Tabla de contenido
216
Autentifica los grupos de comunicación, tanto con claves pre-compartidas
•
(PSK) o certificado.
Intercambia los materiales de enclave con método Diffie-Hellman.
•
Son creados SAs IKE.
•
IKE Fase-2
– Negocia cómo debe ser protegido IPsec.
Crea un par de SAs IPsec utilizando el SAs IKE desde la fase-1,
•
detallando los parámetros para la conexión IPsec.
Extrae el Nuevo material de enclave desde el intercambio de clave
•
Diffie-Helman en fase-1, para que la clave de sesión lo utilice en el flujo
protegido de datos VPN.
Tanto el SAs IKE SAs y el SAs IPsec tiene tiempos de vida limitados, descritos como
tiempo (segundos), y datos (kilobytes). Estos tiempos de vida previenen que una conexión
sea utilizada mucho, lo cual es conveniente desde una perspectiva del
criptanálisis.
La fase-1 IKE involucra un cálculo muy grande, ya que sus tiempos de vida son
generalmente más largos que los tiempos de vida de la fase-2 IPsec. Esto permite que la
conexión IPsec sea re-codificada simplemente ejecutan otra negociación de
fase-2. No hay necesidad de hacer otra fase-1 de negociación hasta que el tiempo de
vida SAs IKE haya expirado.
Modos de Negociación
La negociación IKE tiene dos modos de operación, modo principal y modo
agresivo.
La diferencia este estos dos es que el modo agresivo pasará más información en
menos paquetes, con el beneficio de un establecimiento de conexión ligeramente mas
rápido, al costo de transmitir las identidades de las puertas de enlace de seguridad
fuera de peligro.
Cuando se utiliza el modo agresivo, algunos parámetros de configuración, tales como,
Grupos Diffie-Hellman,
el tener configuraciones "compatibles" en ambos extremos de comunicación.
no pueden ser negociados, resultando de mayor importancia
Guía de Usuario de los Firewalls D-Link
Capítulo 22. Protocolos & Túneles VPN
Tabla de contenido
