Атрибут ContainedProposals задает варианты совместного применения IPsec протоколов (AH и ESP).
Атрибут ContainedProposals содержит список единичных структур AHProposal и ESPProposal или их пар в порядке убывания приоритета.
Каждая из структур AHProposal и ESPProposal содержит список вариантов преобразований (transforms). Структуры AHProposal и ESPProposal могут группироваться, позволяя обрабатывать трафик комбинацией протоколов AH и ESP.
Синтаксис |
ContainedProposals *= Proposal Proposal *= (AHProposal [,ESPProposal]) | ESPProposal |
Значение |
Число элементов списка неограничено. Все элементы списка должны быть различными. Каждый вариант может содержать один из протоколов AH или ESP, или оба вместе. Использование протоколов международного стандарта одновременно с TK26 не допускается. Таким образом, нельзя использовать связки [AHTC26Proposal, ESPProposal] и [AHProposal, ESPTC26Proposal]. Инициатор предлагает: Все варианты, состоящие из AHProposal и/или ESPProposal, если в первой фазе был согласован IKETransform. Все варианты, состоящие из AHTC26Proposal и/или ESPTC26Proposal, если в первой фазе был согласован IKETC26Transform. Ответчик присланные предложения инициатора последовательно сравнивает с каждым элементом своего списка и выбирает первое совпавшее. Параметры преобразований и комбинация протоколов AH и ESP определяют качество защиты соединения. Запись (ah1, esp1,(esp2),(ah3) означает, что рассматриваются варианты контекстов: либо связка (ah1, esp1), либо esp2, либо ah3. При наличии AHTC26Proposal или ESPTC26Proposal требуется наличие IKETC26Transform в IKERule и наличие в GroupID хотя-бы одной группы из списка [VKO_1B, VKO2_1B, NO_PFS]. При наличии AHProposal или ESPProposal требуется наличие IKETransform в IKERule. |
Значение по умолчанию |
не существует, атрибут обязательный. |
Пример:
ContainedProposals *=
(ipsec_ah_md5, ipsec_esp_des3),(ipsec_ah_md5, ipsec_esp_idea)
(* (AH(MD5) и ESP(DES3) или AH(MD5) и ESP(IDEA) *)
ContainedProposals *=
(ipsec_ah_md5, ipsec_esp_des3),(ipsec_ah_md5)
(* (AH(MD5) и ESP(DES3) или AH(MD5) *)
ESPProposal ipsec_esp_idea(
Transform *= ESPTransform(
CipherAlg = "IDEA-CBC")
)
AHProposal ipsec_ah_md5(
Transform *= AHTransform(
IntegrityAlg* = "MD5-H96-HMAC")
)
ESPProposal ipsec_esp_des3(
Transform *= ESPTransform(
CipherAlg = "DES3-K168-CBC")
)