2017 年 10 月 21 日更新。我在RFC 5114的第 4 节“安全注意事项”下找到了一些有用的信息。基于此建议，我们可以认为 DH 组 14 和 24 太弱而无法保护 AES 128 对称密钥 - 这使得DH 组 19 到 21 ECP 作为生成 AES 对称密钥（128 位和更高位）的最低可接受的 Diffie Hellman 组。

当使用适当大小的密钥时，下表提供了每个 Diffie-Hellman 组的强度近似值。对于每个组，该表包含提供大致等效安全级别的 RSA 密钥大小和对称密钥大小。该数据基于 [NIST80057] 中的建议。

GROUP                                      |  SYMMETRIC |   RSA
-------------------------------------------+------------+-------
1024-bit MODP with 160-bit Prime Subgroup  |        80  |   1024
2048-bit MODP with 224-bit Prime Subgroup  |       112  |   2048
2048-bit MODP with 256-bit Prime Subgroup  |       112  |   2048
192-bit Random ECP Group                   |        80  |   1024
224-bit Random ECP Group                   |       112  |   2048
256-bit Random ECP Group                   |       128  |   3072
384-bit Random ECP Group                   |       192  |   7680
521-bit Random ECP Group                   |       256  |  15360

组号映射到RFC 5114 "IKE" Section中的 DH 算法名称。

NAME                                                    | NUMBER
--------------------------------------------------------+---------
1024-bit MODP Group with 160-bit Prime Order Subgroup   |   22
2048-bit MODP Group with 224-bit Prime Order Subgroup   |   23
2048-bit MODP Group with 256-bit Prime Order Subgroup   |   24
192-bit Random ECP Group                                |   25
224-bit Random ECP Group                                |   26
256-bit Random ECP Group                                |   19
384-bit Random ECP Group                                |   20
521-bit Random ECP Group                                |   21

我能够在“密码选择”标题下的strongSwan 安全建议文档中找到一些配对建议。

• “aes128-sha256-modp3072（AES-CBC-128，SHA-256 作为 HMAC和 DH 密钥交换，密钥长度为 3072 位）” DH-Group-15（在我的设备上不可用）
• “aes128gcm16-prfsha256-ecp256（AES-GCM-128 AEAD、SHA-256 作为 PRF和 ECDH 密钥交换，密钥长度为 256 位）” DH-Group-19
• “aes256gcm16-prfsha384-ecp384（AES-GCM-256 AEAD、SHA-384 作为 PRF和 ECDH 密钥交换，密钥长度为 384 位）” DH-Group-20

似乎配对建议可能松散地基于比利时 BlueKrypt keylength.com网站上列出的算法强度分析。

这是我能得到的最接近 diffie-hellman 算法配对推荐的方法。如果您找到其他有信誉的来源来选择匹配良好的 diffie-hellman 组以用于 IPSec 加密，请发布。

不要使用 DH 22,23 和 24。请参阅https://www.rfc-editor.org/rfc/rfc8247#section-2.4

组 22、23 和 24 是具有非安全素数的素数子组的 MODP 组。这些团体的种子尚未公开发布，导致对这些团体的信任度降低。这些组被提议作为第 2 组和第 14 组的替代方案，但从未得到广泛部署。已经表明，具有 1024 位 MODP 的第 22 组太弱了，学术界有资源来生成这种大小的恶意值。这导致第 22 组被降级为 MUST NOT。第 23 组和第 24 组已降级为 SHOULD NOT，预计在不久的将来会进一步降级为 MUST NOT。由于组 23 和 24 具有较小的子组，因此“Internet 密钥交换协议版本 2 (IKEv2) 的附加 Diffie-Hellman 测试”第 2.2 节的第一个项目符号中指定的检查

对此发表评论有点晚，但您所说的并不完全正确。

RFC 5114 第 4 节“安全注意事项”下的有用信息

这些注意事项适用于 RFC5114 中明确定义的转换。以第 3.2 节为例：

然而，在 ECP Diffie-Hellman 组的情况下，迄今为止，密钥交换有效负载的格式和共享秘密的派生是在逐个组的基础上指定的。对于本文档中定义的 ECP Diffie-Hellman 组，必须使用 [RFC4753] 中指定的密钥交换有效负载格式和共享密钥派生过程（IKEv2 和 IKEv1）。

由于在 RFC5114 中定义的三个变换使用带有 ECP 素数子组的 MODP，因此关于 MODP 的评论在逻辑上应该被理解为仅表示这三个变换，因为第 3.2 节清楚地说明了 MODP，即单独的 MODP，在其他地方定义并且可以说包括他们自己的相关安全考虑部分。

在 [RFC4306] 中定义了带有 IKEv2 的 MODP Diffie-Hellman 组的使用，而带有 IKEv1 的 MODP 组的使用在 [RFC2409] 中定义。

RFC5114 不会取代 RFC4306 或 RFC2409，因此不应将其安全考虑部分解释为完全使 MODP 的使用完全无效，正如前面的评论和表格所暗示的那样。这并不是说 ECP 在某些情况下并不比 MODP 好，但 MODP (DH15+) 仍然可以说与 ECP 一样有效，至少目前如此，而且取决于您的设备，实际上可能提供更高的性能优于 ECP。除了 DH21，DH15-18 (MODP) 可以提供与 DH(19-20) 相当相似的安全性。有关 MODP 转换的估计位强度，请参阅 RFC3526 的安全注意事项部分。

   +--------+----------+---------------------+---------------------+
   | Group  | Modulus  | Strength Estimate 1 | Strength Estimate 2 |
   |        |          +----------+----------+----------+----------+
   |        |          |          | exponent |          | exponent |
   |        |          | in bits  | size     | in bits  | size     |
   +--------+----------+----------+----------+----------+----------+
   |   5    | 1536-bit |       90 |     180- |      120 |     240- |
   |  14    | 2048-bit |      110 |     220- |      160 |     320- |
   |  15    | 3072-bit |      130 |     260- |      210 |     420- |
   |  16    | 4096-bit |      150 |     300- |      240 |     480- |
   |  17    | 6144-bit |      170 |     340- |      270 |     540- |
   |  18    | 8192-bit |      190 |     380- |      310 |     620- |
   +--------+----------+---------------------+---------------------+

其他需要考虑的来源是：

• NIST IPSec VPN 指南 ( https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-77r1.pdf )
• NIST 密钥管理建议：第 1 部分（https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-57pt1r5.pdf），pg54-55

后者是 RFC 5114 最初提到的 NIST 文档的最新版本。下表来自第 55 页，其中 FFC 等于 MODP DH 组，ECC 等于 ECP DH 组，与 RFC5114 和 RFC3526 进行比较时应该很有用。