是否可以为IKEv1 / IKEv2 /IPSEC使用自定义DH参数？

Question

在研究如何最安全地为web服务器部署TLS时，我了解到使用自定义DH参数是关键之一。

现在我正在部署IKE / IPSEC。据我所知，IKEv1和IKEv2只支持标准的DH参数，这些参数是用标准化的组名表示的。

这是否意味着我不能为IKEv1 1/2(由openssl dhparam生成)使用自己的自定义DH参数？

Answer 1

这是否意味着我不能为IKEv1 1/2(由openssl生成)使用自己的自定义DH参数？

是的，只有预定义的MODP和ECP组可以与IKE一起使用，IKEv2和IKEv1的列表可以在IANA上找到。

如果您不关心互操作性，您当然可以定义您自己的组，并使用来自私有使用范围的标识符。