Política IPSec/IKE padrão

Os gateways VPN da UiPath são criados com uma política IPsec/IKE padrão projetada para máxima interoperabilidade com uma ampla gama de dispositivos VPN locais. As informações nesta seção são baseadas nas políticas padrão do gateway VPN do Azure.

Na maioria dos cenários, nenhuma política de IPsec/IKE personalizada é necessária. Você deve configurar uma política personalizada somente se seu dispositivo VPN no local impor requisitos rigorosos de criptografia ou não puder negociar com sucesso um túnel usando a política padrão.

Terminologia usada nesta seção

A seguinte terminologia é usada ao longo desta seção:

• SA: associação de segurança
• Fase 1 do IKE: modo principal
• Fase 2 do IKE: modo rápido

IKE Fase 1 - parâmetros padrão

A Fase 1 do IKE estabelece o canal de controle seguro usado para autenticar pares e proteger o tráfego de negócios.

Tabela 1. Propriedades padrão da Fase 1

Propriedade	Valor
Versão do IKE	IKEv1 e IKEv2
Grupo Diffie-Hellman	Grupo 2 (1024 bits)
Método de autenticação	Chave pré-compartilhada
Vida útil do S.A.	28.800 segundos
Número de SAs de modo rápido	100

Os gateways VPN da UiPath são compatíveis com as seguintes combinações de criptografia e integridade como parte da política padrão:

• AES256, SHA1
• AES256, SHA256
• AES128, SHA1
• AES128, SHA256
• 3DES, SHA1
• 3DES, SHA256

Durante a negociar, o gateway seleciona automaticamente a combinação mais forte mutuamente suportada entre a UiPath e o dispositivo VPN no local.

IKE Fase 2 - parâmetros padrão

O IKE Fase 2 estabelece os túnel de dados usados para o tráfego de aplicativos.

Tabela 2. Propriedades padrão da fase 2

Propriedade	Valor
Versão do IKE	IKEv1 e IKEv2
Vida útil do S.A. (tempo)	27.000 segundos
Tempo de vida do S.A. (bytes)	102.400.000 kB
Detecção de Pares Inoperantes (DPD)	Suportado

A política padrão é compatível com várias combinações de criptografia, integridade e PFS. A combinação que é usada depende de se o Gateway VPN da UiPath atua como o iniciador ou o respondente durante a transação da Fase 2.

Esse comportamento é esperado em implementações de IPsec e melhora a compatibilidade com uma ampla gama de dispositivos VPN.

Gateway da UiPath como iniciador

Quando o Gateway VPN da UiPath inicia a fase 2 de negócios, ele é compatível com as seguintes combinações:

Criptografia	Autenticação	Grupo PFS
GCM AES256	GCM (AES256)	Nenhum
AES 256	SHA1	Nenhum
3DES	SHA1	Nenhum
AES 256	SHA256	Nenhum
AES 128	SHA1	Nenhum
3DES	SHA256	Nenhum

Gateway da UiPath como respondente (conjunto completo suportado)

Quando o gateway VPN da UiPath atua como o respondente, ele suporta um conjunto mais amplo de combinações para maximizar a interoperabilidade:

Criptografia	Autenticação	Grupo PFS
GCM AES256	GCM (AES256)	Nenhum
AES 256	SHA1	Nenhum
3DES	SHA1	Nenhum
AES 256	SHA256	Nenhum
AES 128	SHA1	Nenhum
3DES	SHA256	Nenhum
DES	SHA1	Nenhum
AES 256	SHA1	1
AES 256	SHA1	2
AES 256	SHA1	14
AES 128	SHA1	1
AES 128	SHA1	2
AES 128	SHA1	14
3DES	SHA1	1
3DES	SHA1	2
3DES	SHA256	2
AES 256	SHA256	1
AES 256	SHA256	2
AES 256	SHA256	14
AES 256	SHA1	24
AES 256	SHA256	24
AES 128	SHA256	Nenhum
AES 128	SHA256	1
AES 128	SHA256	2
AES 128	SHA256	14
3DES	SHA1	14

Esse amplo suporte a respondente permite que o gateway VPN da UiPath interaja com dispositivos VPN mais antigos, firewalls corporativos rigorosos e dispositivos que impõem requisitos específicos de grupo do PFS.

Equívoco comum

A política padrão usa criptografia fraca.

Isto está incorreto. A política padrão é compatível com vários algoritmos criptográficos, mas não impõe a opção mais fraca. Durante a negociar, a combinação mais forte mutuamente suportada é sempre selecionada.

Principais pontos

A política IPsec/IKE padrão é projetada primeiro para compatibilidade e deve ser usada sempre que possível. Defina uma política personalizada apenas quando houver um requisito técnico ou de conformidade claro.