Dominio di cifratura o ID proxy supportati
Comprendi i domini di crittografia supportati, gli ID proxy e i selettori di traffico per i tunnel VPN Site-to-Site basati su instradamento e criteri.
Il protocollo IPSec utilizza le associazioni di sicurezza (SA) per decidere come cifrare i pacchetti. All'interno di ogni SA, è possibile definire i domini di cifratura per mappare l'indirizzo IP di origine e destinazione di un pacchetto e il tipo di protocollo a una voce nel database SA per definire come cifrare o decifrare un pacchetto.
Altri fornitori o documentazione di settore potrebbero utilizzare il termine ID proxy, indice dei parametri di sicurezza (SPI) o selettore del traffico quando si fa riferimento ad SA o domini di cifratura. Gli elenchi di accesso sono anche un termine comune di Cisco per i domini di cifratura.
Esistono tre strategie di instradamento generali per i tunnel IPSec:
- Tunnel di instradamento statico: utilizzare un dominio di cifratura
ANY/ANY. Il cliente fornisce un elenco di instradamenti statici che Oracle propaga al DRG. BGP non utilizzato. - Tunnel instradati BGP: utilizzare un dominio di cifratura
ANY/ANYe stabilire sessioni BGP per lo scambio dinamico degli instradamenti tra il CPE del cliente e il DRG. - Tunnel basati su criteri: il cliente definisce blocchi CIDR specifici del dominio di cifratura, incluse le subnet di origine e destinazione, utilizzati nella fase 2 di IPSec. Oracle propaga i prefissi IP di destinazione al DRG.
I backend VPN da sito a sito Oracle utilizzano tunnel basati su instradamento, ma possono funzionare con tunnel basati su criteri con alcune avvertenze elencate nelle sezioni riportate di seguito.
Alcuni fornitori di CPE utilizzano anche terminologie diverse per fare riferimento ai propri tipi di tunnel. Nel contesto Oracle, l'instradamento statico è una strategia basata sull'instradamento.
Se il CPE supporta tunnel basati su instradamento, utilizzare tale metodo per configurare il tunnel. Questa è la configurazione più semplice con la massima interoperabilità con l'headend VPN di Oracle.
Il IPSec basato su instradamento, inclusi l'instradamento statico e i tunnel instradati BGP, utilizza un dominio di cifratura ANY/ANY con i valori seguenti:
- Indirizzo IP di origine:
ANY(0.0.0.0/0) - Indirizzo IP di destinazione:
ANY(0.0.0.0/0) - Protocollo: IPv4
Se è necessario essere più specifici, è possibile utilizzare un unico instradamento di riepilogo per i valori del dominio di cifratura anziché un instradamento predefinito.
Quando si utilizzano i tunnel basati su criteri, ogni voce di criterio (un blocco CIDR su un lato della connessione IPSec) definita genera un'associazione di sicurezza (SA) IPSec con ogni voce idonea sull'altra estremità del tunnel. Questa coppia viene definita dominio di cifratura.
In questo diagramma, l'estremità DRG Oracle del tunnel IPSec contiene voci dei criteri per tre blocchi CIDRIPv4 CIDR IPv4 e un blocco CIDR IPv6. La fine CPE in locale del tunnel contiene le voci dei criteri due blocchi CIDRIPv4 CIDR IPv4 e due blocchi CIDR IPv6. Ogni voce genera un dominio di cifratura con tutte le voci possibili sull'altra estremità del tunnel. Entrambi i lati di una coppia SA devono utilizzare la stessa versione di IP. Il risultato è un totale di otto domini di cifratura.
Se il CPE supporta solo tunnel basati su criteri, tenere presenti le limitazioni riportate di seguito.
- La VPN da sito a sito supporta più domini di cifratura, ma ha un limite massimo di 50 domini di cifratura.
- Se si è verificata una situazione simile all'esempio precedente e sono stati configurati solo tre dei sei possibili domini di cifratura IPv4 sul lato CPE, il collegamento verrà elencato in uno stato "Partial UP" poiché tutti i possibili domini di cifratura vengono sempre creati sul lato DRG.
- A seconda di quando è stato creato un tunnel, potrebbe non essere possibile modificare un tunnel esistente per utilizzare l'instradamento basato su criteri e potrebbe essere necessario sostituire il tunnel con un nuovo tunnel IPSec.
- I blocchi CIDR utilizzati all'estremità del tunnel del DRG Oracle non possono sovrapporsi ai blocchi CIDR utilizzati all'estremità CPE in locale del tunnel.
- Un dominio di cifratura deve sempre trovarsi tra due blocchi CIDR della stessa versione IP.