云側IPSec VPN實例暫時只支持IKEv2協議。
云側IPSec VPN實例支持的算法
云側IPSec VPN實例支持的算法如下表所示：
加密算法 非AEAD加密算法? ? ? AEAD加密算法
aes128? ? ? ? ? ? ? ? aes128gcm16
aes192? ? ? ? ? ? ? ? aes192gcm16
aes256? ? ? ? ? ? ? ? aes256gcm16
integrity完整性算法 sha1
sha256
sha384
sha512
prf算法 prfsha1
prfsha256
prfsha384
prfsha512
DH Group算法 modp1024
modp2048
modp3072
modp4096
modp6144
modp8192
常用IKE與ESP算法組合
IKEv2協議IKE與ESP配置規范：
ike=encryption-integrity[-prf]-dhgroup
當加密算法配置為AEAD時，integrity算法必須用prf替換。
esp=encryption-integrity-[dhgroup]-[esnmode]
對于AEAD算法，prf、dhgroup、esn都是可選項，非AEAD算法，dhgroup與esn是可選項。非AEAD算法不能與PRF算法共同使用。
常用IKE與ESP算法組合如下：
AEAD加密算法組合
（推薦）
ike=aes128gcm16-prfsha256-modp2048!
esp=aes128gcm16!
ike=aes256gcm16-prfsha256-modp2048!
esp=aes256gcm16-esn!
ike=aes256gcm16-prfsha256-modp2048!
esp=aes256gcm16-prfsha256-esn!
ike=aes256gcm16-prfsha256-modp2048!
esp=aes256gcm16-prfsha256!
非AEAD加密算法組合 ike=aes128-sha1-modp1024!
esp=aes128-sha1-esn!
ike=aes128-sha1-modp1024!
esp=aes128-sha1!
ike=aes256-sha256-modp2048!
esp=aes256-sha256-esn!
ike=aes256-sha256-modp2048!
esp=aes256-sha256!
客戶側防火墻配置例子
客戶側私網網段：192.168.10.0/24
云側私網網段：10.132.0.0/24，10.132.1.0/24，10.132.20.0/24，10.132.21.0/24
客戶側VPN設備為strongswan5.8.0
云側是被動協商，不需要配置IKE與ESP算法，只需在客戶側防火墻配置云側支持的算法（參考前兩小節表格）即可。
云側IPsec VPN實例信息如下：
IPsec VPN名稱：IPSecVPN
客戶側私網網段：192.168.10.0/24
客戶側公網地址：58.63.x.2
IKE版本：IKEv2
預共享密鑰（自定義）：********
標識符類型：FQDN
云端標識符：cloud.responder
客戶側標識符：customer.initiator
客戶側strongswan配置如下：
（1）修改/etc/strongswan/ipsec.conf，參考配置如下：
conn %default
ikelifetime=12h
keylife=4h
rekeymargin=3m
keyingtries=1
authby=psk
keyexchange=ikev2
mobike=no
conn customer-to-cloud
left=58.63.x.2
leftsubnet=192.168.10.0/24
leftauth=psk
leftid=@customer.initiator
right=113.125.x.102
rightsubnet=10.132.0.0/24,10.132.1.0/24,10.132.20.0/24,10.132.21.0/24
rightauth=psk
rightid=@cloud.responder
ike=aes128gcm16-prfsha256-modp2048!
esp=aes128gcm16-esn!
auto=start
dpddelay=10s
dpdtimeout=90s
dpdaction=restart
（2）修改/etc/strongswan/ipsec.secrets配置預共享密鑰為“********”。
（3）修改/etc/strongswwan/strongswan.d/charon.conf，設置make_before_break=no，默認是no。
