NetScreen conceptos y ejemplos: Volumen 5 ... - Juniper Networks

Capítulo 1 IPSec Negociación de túnel
Al igual que ocurre en la fase 1, los participantes intercambian propuestas para determinar los parámetros de
seguridad que se van a emplear en la SA. Una propuesta de fase 2 incluye también un protocolo de seguridad
(encabezado de autenticación, AH, o carga de seguridad encapsulada, ESP) y algoritmos de encriptación y
autenticación seleccionados. La propuesta también puede especificar un grupo Diffie-Hellman si se desea una
confidencialidad directa perfecta (PFS).
Nota: Para obtener más información sobre los grupos Diffie-Hellman, consulte “Intercambio Diffie-Hellman”. Para
obtener más información sobre PFS, consulte “Confidencialidad directa perfecta” en la página 15.
Independientemente del modo utilizado en la fase 1, la fase 2 funciona siempre en modo rápido e implica el
intercambio de tres mensajes 5 .
Los dispositivos NetScreen admiten hasta cuatro propuestas para negociaciones de fase 2 y permiten definir el
grado de restricción del rango aceptable de parámetros de túnel. NetScreen también ofrece una función de
protección contra reprocesamiento de paquetes. El uso de esta función no requiere negociación porque los
paquetes se envían siempre con números de secuencia. Sólo existe la opción de comprobar los números de
secuencia o no. (Para más información sobre la protección contra reprocesamiento de paquetes, consulte más
adelante).
Las propuestas predefinidas de fase 2 que ofrece NetScreen son las siguientes:
Estándar: g2-esp-3des-sha y g2-esp-aes128-sha
Compatibles: nopfs-esp-3des-sha, nopfs-esp-3des-md5, nopfs-esp-des-sha y nopfs-esp-des-md5
Básicas: nopfs-esp-des-sha y nopfs-esp-des-md5
También es posible definir propuestas de fase 2 personalizadas.
En la fase 2, los interlocutores también intercambian IDs de proxy. Una ID de proxy es una tupla de tres partes
compuesta por dirección IP local/dirección IP remota/servicio. La ID de proxy para ambos interlocutores debe
coincidir, es decir, el servicio especificado en la ID de proxy para ambos interlocutores debe ser idéntico, y la
dirección IP local indicada para un interlocutor debe ser igual que la dirección IP remota indicada para el otro
interlocutor.
Juniper Networks NetScreen conceptos y ejemplos – Volumen 5: VPNs 14