IKEv1 - UNIVERGE IX 2000シリーズの各バージョン追加項目についてメモ

< 当記事は NEC様よりマニュアルの転載許可を頂いた上で公開しております >

公式のマニュアルに記載してある事なので直接見ればいいのだが
自分が見やすいように纏めたかったのでカキコ

主にバージョンで追加された機能や一部細かい動作をまとめた。
それぞれの機能がどういう動きをするのかの詳細はマニュアル見ればいいと思う。

尚、2017/09/25時点の情報です。

機能説明書 Ver9.5
コマンドリファレンスマニュアル Ver9.5
取扱い説明書 Ver9.5

IPsecはこっち（まだかいてない）
IKEv2はこっち（まだかいてない）

ike commit-bit
- NEC独自
- aggressive mode + Responderでのみ有効、initiatorやmain modeではサポートしてない
- 対向がIXじゃない場合は使わない方が良いかも
ike retransmit-count, ike retransmit-interval
- commit-bitに付随する奴、多分これも独自

ike keepalive
- passive mode出来るようになった
- 自身がkeepaliveを設定してなくても、対向が設定していれば keepalive-ack を送る
IKE 自動再接続機能
- commit-bit再送終了時に行う、設定コマンドはない

ike suppress-dangling
- これを入れると Continuous-channel SA 型になる、IPsecSAに連動してIKESAも落ちる
- デフォルトは Dangling SA 型、連動しない

ike rekey remaining-lifetime default
- 動作をデフォルト状態に戻すのではなく、何秒前にリキーを行うかを全体に設定するコマンド
- これを入れないデフォルト状態は、SAライフタイム満了の30秒前にリキーを行う
ike rekey remaining-lifetime policy
- 特定ポリシーのみ、リキーの秒数を設定したい場合はこっちを使う
IKE AES-CBC 192,256bit
- 暗号アルゴリズムのAESに192bitと256bitが追加

peer-fqdn-ipv4
- ike policy設定にて宛先をFQDNで指定可能
- 指定したFQDNの名前解決を行い、対応したアドレスを宛先として使用する
- 名前解決した情報はFQDNデータベースに記録される

名前解決の契機	定期的な更新 - 名前解決前:60秒 - 名前解決後:depend on TTL 全てのSAが削除された場合
アドレス更新時の動作	該当するSAを削除
名前未解決時の動作	SA作成不可

ike interoperability unprotected-aggressive-mode
- aggressive modeのinitiatorとして動作する際、Phase 1の最後のパケットが暗号化されない事を期待する装置と接続を可能とする
- デフォルトは暗号される状態
- Phase 2以降は保護される

NewGroup mode : サポートしてない