Ustawienia automatycznej wymiany kluczy oraz ręczne ustawienia kluczy szyfrowania
Urządzenie obsługuje dwie metody określania kluczy: metodę ręczną i metodę wymiany automatycznej. Podczas wykorzystywania tych metod należy określić zgodność algorytmu i klucza IPsec zarówno dla nadawcy, jak i odbiorcy. Zgodności takie tworzą tak zwany SA (Związek ochrony). Komunikacja IPsec jest możliwa tylko, jeśli ustawienia SA nadawcy i odbiorcy są identyczne.
Jeśli do określania klucza szyfrowania używana jest metoda wymiany automatycznej, ustawienia SA są konfigurowane automatycznie po obu stronach komunikacji. Jednak przed określeniem związku SA IPsec, dokonywana jest automatyczna konfiguracja ustawień ISAKMPSA (Faza 1). Po zakończeniu tej operacji dokonywana jest automatyczna konfiguracja ustawień IPsec SA (Faza 2), które pozwalają na nawiązanie komunikacji IPsec.
Ponadto, jako dodatkowy środek bezpieczeństwa, związek SA może być okresowo aktualizowany automatycznie poprzez zastosowanie okresu ważności (ograniczenia czasowego) w ustawieniach. W przypadku stsosowania automatycznej wymiany kluczy szyfrowania urządzenie obsługuje wyłącznie IKEv1.
Jeśli klucz szyfrowania jest określany ręcznie, ustawienia SA muszą być współdzielone i określone w sposób identyczny dla obu stron. Aby utrzymać bezpieczeństwo ustawień SA, zalecamy, aby nie dokonywać ich wymiany poprzez sieć.
Należy zwrócić uwagę, że zarówno w przypadku ręcznej, jak i automatycznej metody określania klucza szyfrowania dla związku SA określić można wiele ustawień.
Ustawienia 1-4 i ustawienie domyślne
Korzystając z ręcznej lub automatycznej metody skonfigurować można cztery osobne zestawy szczegółowych danych SA (takich jak różne klucze współdzielone oraz algorytmy IPsec). W przypadku domyślnych ustawień tych zestawów wprowadzić można ustawienia, które nie są objęte polami zestawów od 1 do 4.
Kiedy IPsec jest włączony, najwyższy priorytet posiada zestaw 1, a najniższy - zestaw 4. Systemu priorytetów użyć można do bezpieczniejszego uzyskiwania dostępu do adresów IP. Na przykład, ustawić można najszerszy zakres IP przy najniższym priorytecie (4), a następnie określić konkretne adresy IP przy wyższym priorytecie (3 i wyżej). W ten sposób, gdy komunikacja IPsec jest włączona dla określonego adresu IP, stosowane będą ustawienia bezpieczeństwa o wyższym priorytecie.
