如何更改阶段 1 IKE 密钥协商的持续时间

1. 在系统控制台上，承担主管理员角色或成为超级用户。

   主管理员角色拥有主管理员配置文件。有关如何创建该角色并将其指定给用户，请参见《系统管理指南：基本管理》中的第 2  章 “使用 Solaris Management Console（任务）”。

   ---

   注 –

   远程登录会使安全关键型通信易于遭到窃听。即使以某种方式保护远程登录，系统的安全性也会降至远程登录会话的安全性。请使用 ssh 命令进行安全的远程登录。

   ---

2. 在每个系统上更改全局传输参数的缺省值。

   在每个系统上，修改 /etc/inet/ike/config 文件中的阶段 1 持续时间参数。

   ### ike/config file on system ## Global parameters # ## Phase 1 transform defaults # #expire_timer 300 #retry_limit 5 #retry_timer_init 0.5 (integer or float) #retry_timer_max 30 (integer or float)

   expire_timer

   允许尚未完成的 IKE 阶段 1 协商在删除协商尝试之前延迟的秒数。缺省情况下，尝试延迟 30 秒。

   retry_limit

   异常中止任何 IKE 协商之前的重新传输次数。缺省情况下，IKE 尝试五次。

   retry_timer_init

   重新传输之间的初始时间间隔。在达到 retry_timer_max 值之前，此时间间隔以双倍递增。初始时间间隔为 0.5 秒。

   retry_timer_max

   重新传输之间的最大时间间隔（以秒为单位）。重新传输时间间隔在达到此限制时停止增加。缺省情况下，该限制为 30 秒。

3. 将已更改的配置读入内核。

   • 从 Solaris 10 4/09 发行版开始，请刷新 ike 服务。

     # svcadm refresh svc:/network/ipsec/ike

   • 如果您运行的是 Solaris 10 4/09 发行版之前的发行版，请重新引导系统。

     # init 6

     或者，先停止然后再启动 in.iked 守护进程。

示例 23–13 延长 IKE 阶段 1 协商时间

在以下示例中，系统已通过高流量传输线路连接到其 IKE 对等方。原始设置位于文件的注释中。新设置延长了协商时间。

### ike/config file on partym
## Global Parameters
#
## Phase 1 transform defaults
#expire_timer   300
#retry_limit      5
#retry_timer_init 0.5 (integer or float)
#retry_timer_max 30   (integer or float)
#
expire_timer  600
retry_limit  10
retry_timer_init  2.5
retry_timer_max  180

示例 23–14 缩短 IKE 阶段 1 协商时间

在以下示例中，系统已通过小流量的高速线路连接到其 IKE 对等方。原始设置位于文件的注释中。新设置缩短了协商时间。

### ike/config file on partym
## Global Parameters
#
## Phase 1 transform defaults
#expire_timer   300
#retry_limit      5
#retry_timer_init 0.5 (integer or float)
#retry_timer_max 30   (integer or float)
#
expire_timer  120
retry_timer_init  0.20