/ip/ipsec/profile
profile
配置文件定义了一组用于阶段 1 IKE 协商的参数。这些参数可以与其他对等点配置共享。
ip/ipsec/profile
Type: Directory
配置文件定义了一组用于阶段 1 IKE 协商的参数。这些参数可以与其他对等点配置共享。
| 标志 | 名称 | 描述 |
|---|---|---|
* | default | 该项目是否为默认项。 |
| 参数 | 类型 | 描述 |
|---|---|---|
name * | string | 配置文件名称。 |
hash-algorithm | enum (md5 | sha1 | sha256 | sha384 | sha512) | 哈希算法。 |
prf-algorithm | enum (auto | sha1 | sha256 | sha384 | sha512) | PRF 算法（仅 IKEv2）。 |
enc-algorithm | ubit (aes-256, aes-192, aes-128, 3des, des) | 加密算法。 |
dh-group | ubit (x25519, ecp256, ecp384, ecp521, modp6144, modp4096, modp3072, modp2048, modp1536, modp1024, modp768) | Diffie-Hellman 组。 |
lifetime | time | 阶段 1 生存期（仅 IKEv1）。 |
lifebytes | num | 阶段 1 生存期（以字节为单位，仅 IKEv1）。它仅作为管理值添加到提议中。用于远程对等点需要特定 lifebytes 值才能建立阶段 1 的情况。 |
proposal-check | enum (obey | strict | claim | exact) { obey:1, strict:2, claim:3, exact:4 } | 阶段 2 生存期检查逻辑： - claim - 取提议生存期和配置生存期中较短的一个，并通知发起方。 - exact - 要求生存期相同。 - obey - 接受发起方发送的任何值。 - strict - 如果提议的生存期长于默认值，则拒绝提议；否则接受提议的生存期。 |
nat-traversal | bool | 使用 Linux NAT-T 机制解决 IPsec 对等点之间的 NAT 路由器与 IPsec 不兼容的问题。此机制只能与 ESP 协议一起使用（按设计不支持 AH，因为 AH 会对整个数据包（包括 IP 头）签名，而 NAT 会更改 IP 头，导致 AH 签名无效）。该方法将 IPsec ESP 流量封装到 UDP 流中，以克服导致 ESP 与 NAT 不兼容的一些小问题。 |
ppk | enum (no | psk | qkd | psk-ike-initial) | 后量子预共享密钥（仅 IKEv2）。 |
dpd-interval | alt { special: enum (disable-dpd) { disable-dpd:0 } , num: time [ .. 3600] } | 对等点失效检测间隔。 |
dpd-maximum-failures | num | 在对等点被视为失效之前的最大 DPD 失败次数（仅 IKEv1）。 |