配置 IPsec VPN 和 TTL

网络工程 路由 思科-ASA 虚拟专用网 ipsec 隧道
2022-02-07 14:59:52

我有两个站点,每个站点都使用自己的防火墙。曾经是 Cisco Meraki,另一个是 Cisco ASA。这两个站点使用 IPsec 建立 VPN 隧道。

问题:如果两个站点的第 1 阶段和第 2 阶段配置中的每个站点都有不同的 TTL,这会干扰 VPN 流量吗?我的想法是,如果一个站点先于另一个站点在其 VPN 上超时,则可能存在连接问题。它会停止接受连接,还是会请求新的协议或建立新隧道的请求?

一个例子:

站点 A:P1 -> 86400 P2 -> 2800

站点 B:P1 -> 800 P2-> 600

与传统设置相比:

站点 A:P1 -> 86400 P2 -> 2800

站点 B:P1 -> 86400 P2 -> 2800

问题是 ASA 有一个 IPsec 基本许可证,只允许 10 个并发会话,但我们在 ASA 上配置了 15-20 个隧道。我们有可能超过 10 个并发限制。

我们希望减少 TTL 以减少达到限制的机会。问题是我们只能做这个网站。

1个回答

双方应该为每个阶段具有相同的密钥寿命(!),以便顺利运行。第 2 阶段的间隔不应大于第 1 阶段,通常要小得多(第 1 阶段:4-24 小时,第 2 阶段:0.5-12 小时)。

密钥生命周期(有时称为密钥 TTL)不一定会使会话超时。您需要为此激活失效对等检测 (DPD)。