crypto ikev2 lifetime
crypto ikev2 lifetime
Данная команда используется для задания ограничений времени жизни IKEv2 и IPsec SA (ассоциация защиты). Под временем жизни понимается время, разрешенное для действия SA. По истечении этого времени SA прекращают свое существование и начинают работать новые SA.
Время жизни может задаваться в секундах, килобайтах трафика, количестве обработанных пакетов. Также можно ограничить время активности IKEv2 SA по количеству созданных IPsec SA под его защитой. Для восстановления значения по умолчанию используйте ту же команду с префиксом no.
Синтаксис crypto ikev2 lifetime {ikev2-lifetime-name} no crypto ikev2 lifetime | |
ikev2-lifetime-name | имя набора глобальных параметров для ограничения времени жизни SA в IKEv2. |
Режим команды | Global configuration |
Значение по умолчанию | В килобайтах - для IKEv2 SA неограничено, для IPsec SA 4096000 килобайтов; В секундах - для IKEv2 SA 28800 секунд, для IPsec SA 3600 секунд; По числу обработанных пакетов и установленных соединений - значение отсутствует. |
Рекомендации по использованию | Используйте эту команду для изменения установленных значений времени жизни SA. Следует помнить, что уменьшение времени жизни SA ведет к повышению уровня защиты соединения, но повышает нагрузку на процессор, что, в свою очередь, ведет к снижению пропускной способности. На стадии согласования условий создания новой SA устанавливается минимальное время жизни SA из предложенных сторонами. Существуют четыре параметра, ограничивающие время жизни SA - время в секундах, количество переданной и принятой информации в килобайтах, количество обработанных пакетов и количество созданных IPsec SA под его защитой. Ограничение всегда будет действовать по достижении лимита любым из этих параметров. Например, закончилось время жизни, установленное в секундах, а ограничение по трафику не выполнено и наполовину. В этом случае будет действовать ограничение по времени. Пересоздание SA не будет в случае отсутствия трафика между партнерами. Рекомендуется указывать такое время жизни SA в секундах, чтобы в основном удаление SA происходило по времени, а ограничения на объем трафика, обработанных пакетов и созданных соединений выбирать как дополнительную меру. Если закончилось время жизни и SA уже не существует, то новый SA не установится, если не будет трафика. Изменения вступят в силу после выхода из режима global configuration командой exit. |