Zum Hauptinhalt springen

4.4.2.1. Datenelemente im SAD (Data Items in the SAD)

Die folgenden Datenelemente MÜSSEN in der SAD enthalten sein:

Sicherheitsparameterindex (Security Parameter Index, SPI)​

32-Bit-Wert, der vom empfangenden Ende einer SA ausgewählt wird, um die SA eindeutig zu identifizieren. Für eine ausgehende SA wird der SPI verwendet, um den AH/ESP-Header des Pakets zu konstruieren. Für eine eingehende SA wird der SPI verwendet, um den Verkehr der entsprechenden SA zuzuordnen.

Sequenznummernzähler (Sequence Number Counter)​

64-Bit-Zähler zur Generierung des Sequenznummernfelds in AH/ESP-Headern. 64-Bit-Sequenznummern sind Standard, aber 32-Bit-Sequenznummern werden ebenfalls unterstützt, wenn ausgehandelt.

Sequenzzählerüberlauf (Sequence Counter Overflow)​

Flag, das angibt, ob ein Überlauf des Sequenznummernzählers ein prüfbares Ereignis generieren und die Übertragung zusätzlicher Pakete auf der SA verhindern soll, oder ob ein Rollover zulässig ist.

Anti-Replay-Fenster (Anti-Replay Window)​

64-Bit-Zähler und Bitmap (oder Äquivalent), um zu bestimmen, ob ein eingehendes AH/ESP-Paket ein Replay ist.

AH-Authentifizierungsalgorithmus​

AH-Authentifizierungsalgorithmus, Schlüssel usw. Nur erforderlich, wenn AH unterstützt wird.

ESP-Verschlüsselungsalgorithmus​

ESP-Verschlüsselungsalgorithmus, Schlüssel, Modus, IV usw. Wenn ein kombinierter Modus-Algorithmus verwendet wird, sind diese Felder nicht anwendbar.

ESP-Integritätsalgorithmus​

ESP-Integritätsalgorithmus, Schlüssel usw. Wenn der Integritätsdienst nicht ausgewählt ist oder ein kombinierter Modus-Algorithmus verwendet wird, sind diese Felder nicht anwendbar.

ESP-Algorithmen im kombinierten Modus​

ESP-Algorithmen im kombinierten Modus, Schlüssel usw. Diese Daten werden verwendet, wenn ein kombinierter Modus-Algorithmus (Verschlüsselung und Integrität) mit ESP verwendet wird.

Lebensdauer dieser SA (Lifetime)​

Zeitintervall, nach dem eine SA durch eine neue SA (und neuen SPI) ersetzt oder beendet werden muss. Kann als Zeit- oder Byte-Zählung oder gleichzeitige Verwendung beider ausgedrückt werden. Eine konforme Implementierung MUSS beide Arten von Lebensdauern unterstützen.

IPsec-Protokollmodus​

Tunnel oder Transport. Gibt an, welcher Modus von AH oder ESP auf den Verkehr auf dieser SA angewendet wird.

Zustandsbehaftetes Fragment-Checking-Flag​

Gibt an, ob zustandsbehaftetes Fragment-Checking für diese SA gilt.

DF-Bit umgehen (T/F)​

Anwendbar auf Tunnelmodus-SAs, bei denen sowohl innere als auch äußere Header IPv4 sind.

DSCP-Werte​

Satz von DSCP-Werten, die für über diese SA übertragene Pakete zulässig sind.

DSCP umgehen​

DSCP umgehen (T/F) oder auf ungeschützte DSCP-Werte abbilden, falls erforderlich, um das Umgehen von DSCP-Werten einzuschränken. Anwendbar auf Tunnelmodus-SAs.

Pfad-MTU (Path MTU)​

Jede beobachtete Pfad-MTU und Alterungsvariablen.

Tunnel-Header-IP-Quell-/Zieladresse​

Beide Adressen müssen IPv4- oder IPv6-Adressen sein. Wird nur verwendet, wenn der IPsec-Protokollmodus Tunnel ist.