常见 VPN 供应商映射 (UiPath IPSec / IKE)

本节帮助将常见的本地部署 VPN 设备术语映射到 UiPath VPN 网关使用的 IPsec /IKE 设置。

不同的供应商对相同的密码概念使用不同的名称。

UiPath 使用标准 IPsec 和 IKE 术语，如果您习惯特定于防火墙的配置屏幕，这些术语可能会让您感到生硬。

映射一般原则

在查看特定于供应商的示例之前，请牢记以下一般原则：

• 在防火墙设备上， IKE 第 1 阶段通常称为“IKE 建议”、“第 1 阶段建议”或“IKE 策略”。

• IKE 第 2 阶段通常称为 IPsec 提议、快速模式或第 2 阶段策略。

• 完全前向保密 (PFS)通常在防火墙上以复选框与 Diffie-Hellman 组结合的形式实现。在 UiPath 中，选择 PFS 组将隐式启用 PFS。

Fortico 客户端 (Forticon)

表 1.第 1 阶段 (IKE)

FortiGate	UiPath
IKE 版本	IKEv1 或 IKEv2
加密方式	AES128、AES256
身份验证	SHA1、SHA256
DH 组	RHGroup2、RHGroup14、RHGroup24
身份验证方法	预共享密钥

示例（常见的 FortiGate 配置）：

• 加密方式：AES256
• 身份验证：SHA256
• RH 组：14

等效 UiPath 第 1 阶段配置：

• 加密方式：AES256
• 完整性：SHA256
• RH 组：RHGroup14

表 2.第 2 阶段 (IPSec)

FortiGate	UiPath
加密方式	AES128、AES256、GCM AES
身份验证	SHA1、SHA256、GCM
启用 PFS	选择 PFS 组
PFS 组	PFS14、PFS2048、ECP256

重要提示：如果 FortiGate 使用 GCM，则 UiPath 必须对加密和完整性使用匹配的 GCM 设置（例如，对两者都使用GCMAES256 ）。

Palo Alto 网络 (泛 OS)

表 3.第 1 阶段（IKE 加密配置文件）

帕罗奥图	UiPath
加密方式	AES128、AES256
身份验证	SHA1、SHA256
DH 组	组 2、组 14、组 20
身份验证方法	预共享密钥

DH 组映射：

• 组 14 → RH组 14

• 组 20 → ECP384

表 4.阶段 2（IPsec 加密配置文件）

帕罗奥图	UiPath
加密方式	AES128、AES256、AES-GCM
身份验证	SHA1、SHA256、无 (GCM)
启用 PFS	选择 PFS 组
DH 组	PFS2、PFS14、PFS2048

Palo Alto 的常见错误

将 AES-GCM 与 SHA256 一起使用无效。请改用以下正确的配置:

• 加密方式：GCMAES256
• 完整性：GCMAES256

Cisco ASA/ Firepower

表 5.第 1 阶段（IKE 策略）

Cisco	UiPath
加密方式	AES、3DES
哈希值	SHA、SHA256
DH 组	2、14、24 小时
身份验证	预共享密钥

示例 Cisco 配置：

• 加密方式：AES-256
• 散列：SHA256
• 组：14 人

等效 UiPath 第 1 阶段配置：

• 加密方式：AES256
• 完整性：SHA256
• RH 组：RHGroup14

表 6.阶段 2（转换集）

Cisco	UiPath
加密方式	esp-aes、esp-gcm
身份验证	esp-sha-hmac，无
PFS	组 2、组 14

Cisco GCM 示例：ESP-GCM 256

等效 UiPath 配置

• 加密方式：GCMAES256
• 完整性：GCMAES256
• PFS：无（除非显式启用）

检查点

表 7.第 1 阶段

检查点	UiPath
加密方式	AES128、AES256
完整性	SHA1、SHA256
DH 组	组 2、组 14

表 8. 第 2 阶段

检查点	UiPath
加密方式	AES、AES-GCM
完整性	SHA、SHA256、无
PFS	已启用 + RH 组

重要提示：

• 启用 PFS 后，在 UiPath 中选择相应的 PFS 组。
• 使用 GCM 时，加密和完整性必须使用匹配的 GCM 算法。

快速参考：PFS 和 RH 组映射

表 9.快速参考

防火墙术语	UiPath
DH 组 1	PFS1
DH 组 2	PFS2
DH 组 14	PFS2048
DH 组 24	PFS24
ECRH 组 19	ECP256
ECRH 组 20	ECP384

如有疑问

如果您不确定如何将防火墙配置映射到 UiPath 设置，请执行以下操作：

1. 从默认的 UiPath IPsec /IKE 策略开始。
2. 验证 VPN 隧道是否成功建立。
3. 仅在需要时引入自定义策略。
4. 一次更改一个参数。

关键要点

大多数 VPN 故障并非由不正确的加密算法引起，而是由供应商之间的术语不匹配引起。本节旨在缩小差距，并简化常见 VPN 平台的配置。