VPN: Standard Lebensdauer

[stasoft]

Guten Tag,

aus welchem Grund wird bei VPN-Verbindungen vom Intranator eine IPsec SA Lebensdauer vorgeschlagen, die acht mal grösser ist als die der ersten Phase? Oder wurden vielleicht die beiden Werte "verwechselt"? (Laut RFC 2407 ist der Standardwert für Phase 1 SA lifetime 28800 Sekunden, deshalb diese Vermutung...)


Mit freundlichen Grüssen,

Jukka Salmi

[Gerd von Egidy]

Hallo,

die Werte wurden, wenn ich mich richtig erinnere, so aus den Beispielen von FreeSWAN übernommen.

Es spricht nichts dagegen, wenn Sie die Werte nach Ihren Vorstellungen verändern. Wir haben es mit unterschiedlichen Gegenstellen ausprobiert und herausgefunden, daß, wenn Sie die Werte nicht unter 10 Minuten stellen, es für die Stabilität des VPNs relativ egal ist, welche Timeouts Sie einstellen.

Bei den verwendeten Schlüssellängen dürfte das Argument Sicherheit nicht wirklich relevant sein. Bei kurzen Timeouts erkennen Sie den Offline-Status der Gegenstelle schneller.

Herzliche Grüße,

v. Egidy

[stasoft]

Hallo,

besten Dank für die prompte Antwort. Ich wollte nur nachfragen, ob da nicht was verwechselt wurde, da der Intranator 3600/28800 verwendet, einige andere Implementationen aber 28800/3600. Aber kein Problem mit den Werten, funktionieren tut es.


Freundliche Grüsse,

Jukka Salmi