Cloud VPN admite los siguientes cifrados y parámetros de configuración para dispositivos VPN de terceros o servicios de VPN. Cloud VPN negocia automáticamente la conexión siempre que el otro extremo use un ajuste de cifrado de intercambio de claves en Internet (IKE) compatible.
Para obtener instrucciones de configuración, consulta Configurar la pasarela de VPN de par.
Cloud VPN funciona en el modo de túnel ESP de IPsec.
Se admiten los siguientes cifrados IKE para VPN clásica y VPN de alta disponibilidad.
La compatibilidad con direcciones IPv6 para interfaces de pasarela de VPN de alta disponibilidad está en versión preliminar.
Orden de propuestas
Cloud VPN puede actuar como iniciador o como receptor de solicitudes IKE en función del origen del tráfico cuando se necesite una nueva asociación de seguridad.
Cuando Cloud VPN inicia una conexión VPN, propone los algoritmos de cifrado configurados en el túnel VPN de Cloud. Si no has configurado los algoritmos de cifrado ([Vista previa](https://cloud.google.com/products#product-launch-stages)), el túnel de Cloud VPN propondrá los algoritmos de cifrado en el orden que se muestra en las tablas de cifrado admitidas para cada rol de cifrado. El otro participante que recibe la propuesta selecciona un algoritmo.
Si el otro extremo inicia la conexión, Cloud VPN selecciona un cifrado de la propuesta usando el mismo orden que se ha configurado o que se muestra en la tabla para cada rol de cifrado.
En función de qué lado sea el iniciador o el receptor, el cifrado seleccionado puede ser diferente. Por ejemplo, la cifra seleccionada puede cambiar con el tiempo a medida que se creen nuevas asociaciones de seguridad (SAs) durante la rotación de claves. Como un cambio en la selección de cifrado puede afectar a características importantes del túnel, como el rendimiento o la MTU, utiliza una selección de cifrado estable. Para obtener más información sobre la MTU, consulta Cuestiones importantes sobre las MTU.
Para evitar cambios frecuentes en la selección de cifrado, configura tu gateway de VPN de peer y el túnel de Cloud VPN para que propongan y acepten solo un cifrado para cada rol de cifrado. Ambos deben admitir este cifrado. No proporciones una lista de cifrados para cada rol de cifrado. Con esta práctica recomendada, ambas partes del túnel de Cloud VPN siempre seleccionan el mismo cifrado IKE durante la negociación de IKE.
Cloud Location Finder te ayuda a identificar las regiones y zonas de Google Cloud más cercanas a tus ubicaciones físicas en todo el mundo. Con Cloud Location Finder, puedes tomar decisiones fundamentadas sobre en qué Google Cloud región desplegar tus pasarelas de Cloud VPN, lo que te permite optimizar la latencia, la ubicación geográfica y el consumo de energía de carbono. Para obtener más información, consulta la documentación de Cloud Location Finder.
En el caso de los pares de túneles de VPN de alta disponibilidad, configura ambos túneles de VPN de alta disponibilidad en tu pasarela de VPN de par para que usen los mismos valores de cifrado y de tiempo de vida de la fase 2 de IKE.
Fragmentación de IKE
Cloud VPN admite la fragmentación IKE tal como se describe en el protocolo de fragmentación IKEv2 (RFC 7383).
Para obtener los mejores resultados, Google recomienda que habilites la fragmentación IKE en tu dispositivo VPN peer si aún no lo has hecho.
Si no tienes habilitada la fragmentación de IKE, se descartarán los paquetes IKE que se envíen desde Google Cloud al dispositivo VPN del par y que sean más grandes que la MTU de la pasarela.
Algunos mensajes IKE no se pueden fragmentar, como los siguientes:
IKE_SA_INITIKE_SESSION_RESUME
Para obtener más información, consulta la sección Limitaciones de RFC 7383.
Tablas de cifrado admitidas
En las siguientes secciones se enumeran las cifrados admitidos por Cloud VPN.
Cifrados IKEv2 que usan AEAD
Los siguientes cifrados usan cifrado autenticado con datos asociados (AEAD).
Fase 1
| Rol de cifrado | Nombre del cifrado | Valor de configuración (se distingue entre mayúsculas y minúsculas) |
Notas |
|---|---|---|---|
| Cifrado e integridad |
|
|
En esta lista, el primer número es el tamaño del parámetro ICV en bytes (octetos) y el segundo es la longitud de la clave en bits. En algunos documentos, el parámetro ICV (el primer número) se expresa en bits (8 se convierte en 64, 12 en 96 y 16 en 128). |
| Función seudoaleatoria (PRF) |
|
|
Muchos dispositivos no requieren un ajuste de PRF explícito. |
| Diffie-Hellman (DH) |
|
|
No se admite el cifrado modp_8192 para las pasarelas de VPN de alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Tiempo de vida de la fase 1 | 36.000 segundos (10 horas) |
Fase 2
| Rol de cifrado | Nombre del cifrado | Valor de configuración (se distingue entre mayúsculas y minúsculas) |
Notas |
|---|---|---|---|
| Cifrado e integridad |
|
|
El primer número de cada algoritmo es el tamaño del parámetro ICV en bytes (octetos) y el segundo es la longitud de su clave en bits. En algunos documentos, el parámetro ICV (el primer número) se expresa en bits (8 se convierte en 64, 12 en 96 y 16 en 128). |
| Algoritmo PFS (obligatorio) |
|
|
No se admite el cifrado modp_8192 para las pasarelas de VPN de alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Consulta la fase 1. | Si tu gateway de VPN requiere ajustes de DH para la fase 2, usa los mismos ajustes que hayas usado en la fase 1. |
| Tiempo de vida de la fase 2 | 10.800 segundos (3 horas) |
Algoritmos de cifrado IKEv2 que no usan AEAD
Fase 1
| Rol de cifrado | Nombre del cifrado | Valor de configuración (se distingue entre mayúsculas y minúsculas) |
Notas |
|---|---|---|---|
| Cifrado |
|
|
|
| Integridad |
|
|
Es posible que la documentación de tu gateway de VPN local use un nombre ligeramente diferente para el algoritmo. Por ejemplo, |
| Función seudoaleatoria (PRF) |
|
|
Muchos dispositivos no requieren un ajuste de PRF explícito. |
| Diffie-Hellman (DH) |
|
|
No se admite el cifrado modp_8192 para las pasarelas de VPN de alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Tiempo de vida de la fase 1 | 36.000 segundos (10 horas) |
Fase 2
| Rol de cifrado | Nombre del cifrado | Valor de configuración (se distingue entre mayúsculas y minúsculas) |
Notas |
|---|---|---|---|
| Cifrado |
|
|
|
| Integridad |
|
|
Es posible que la documentación de tu gateway de VPN local use un nombre ligeramente diferente para el algoritmo. Por ejemplo, |
| Algoritmo PFS (obligatorio) |
|
|
No se admite el cifrado modp_8192 para las pasarelas de VPN de alta disponibilidad con interfaces IPv6 (gatewayIpVersion=IPv6). |
| Diffie-Hellman (DH) | Consulta la fase 1. | Consulta la fase 1. | Si tu gateway de VPN requiere ajustes de DH para la fase 2, utiliza los mismos ajustes que usaste en la fase 1. |
| Tiempo de vida de la fase 2 | 10.800 segundos (3 horas) |
Cifrados IKEv1
Fase 1
| Rol de cifrado | Cifrado |
|---|---|
| Cifrado | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Función pseudaleatoria (PRF)1 | PRF-SHA1-96 |
| Diffie-Hellman (DH) | modp_1024 (Grupo 2) |
| Tiempo de vida de la fase 1 | 36.600 segundos (10 horas y 10 minutos) |
1Para obtener más información sobre PRF en IKEv1, consulta RFC 2409.
Fase 2
| Rol de cifrado | Cifrado |
|---|---|
| Cifrado | AES-CBC-128 |
| Integridad | HMAC-SHA1-96 |
| Algoritmo PFS (obligatorio) | modp_1024 (Grupo 2) |
| Diffie-Hellman (DH) | Si necesitas especificar DH para tu gateway de VPN, usa el mismo ajuste que hayas usado en la fase 1. |
| Tiempo de vida de la fase 2 | 10.800 segundos (3 horas) |
Siguientes pasos
- Para obtener información sobre los conceptos básicos de Cloud VPN, consulta la información general sobre Cloud VPN.
- Para ayudarte a resolver los problemas habituales que pueden surgir al usar Cloud VPN, consulta la sección Solución de problemas.