键控尝试次数 (KeyingTries) 输入建立连接失败后重试的次数。如果输入值 0，则会不断尝试建立连接。 • 有效期 [分钟] (Lifetime[min]) 输入以分钟为单位的时间段，指定验证的有效期。如果已到设定的时间，则所涉及的 VPN端点间必须重新进行相互验证并生成新密钥。 • DPD 启用后，将使用 DPD（失效伙伴检测）。使用 DPD，可以了解是仍保持 VPN连接还是连 接已经中止。 说明 发送 DPD 查询会增加收发的数据量。这将导致成本增加。 • DPD 周期 [秒] (DPDPeriod [sec]) 输入发送 DPD 查询前的时间段。这些查询可测试远程站是否仍可用。 • DPD 超时 [秒] (DPDTimeout [sec]) 仅可针对 IKEv1 进行调整。对于 IKEv2，在“安全 > IPsec >常规”(Security > IPsec > General) 下组态设置。 输入时间段。如果对 DPD查询无任何响应，则在该时间段到期后宣布与远程站的连接无效。 说明 为了避免不需要的连接故障，请将 DPD 超时设置为明显高于 DPD周期。建议将其设置为 至少比 DPD 周期长 2 分钟。 • 挑战模式 (Aggressive Mode) – 禁用 使用主模式 –启用 使用挑战模式 主模式与挑战模式之间的区别在于主模式使用“身份保护”。在主模式下会加密身份传 输，而挑战模式下则不然。 阶段 2阶段 2：数据交换（ESP = 封装安全有效载荷） 在此页面中，可以为 IPsec数据交换协议设置参数。此阶段中的整个通信使用标准化安全协 议 ESP 进行加密，您可以为其设置以下协议参数。说明 该表包含以下列： •名称 (Name) 显示与设置相关联的 VPN 连接的名称。 • 默认密码 (Default Ciphers)启用后，会在连接建立期间将预设列表传输到 VPN 连接伙伴。该列表包含三种算法（加 密、验证、密钥导出）的组合。要建立 VPN连接，VPN 连接伙伴必须至少支持其中的一 种组合。更多信息，请参见“IPsec VPN (页 3464)”部分。 • 加密(Encryption) 对于阶段 2，选择所需的加密算法。只有在“默认密码”(Default Ciphers) 禁用后才可选择。更多信息，请参见“IPsec VPN (页 3464)”部分。 说明 CCM 和 GCM 这两种 AES模式各自包含单独的数据验证机制。如果使用 AES x CCM 或 AES x GCM模式进行“加密”，则在验证时也会使用相同的模式。然后，仅伪随机函数源自 “验证”(Authentication) 参数。 • 验证(Authentication) 指定计算校验和的方法。只有在“默认密码”(Default Ciphers) 禁用后才可选择。支持下列方法：为建立 VPN 连接，所有设备需要使用相同的设置或提供可兼容的密钥过程。 • 有效期 [分钟] (Lifetime[min]) 输入以分钟为单位的时间段，指定商定密钥的有效期。时间到期后，密钥将重新协商。 • 有效期字节 (Lifebytes)输入以字节为单位的数据限制，指定商定密钥的有效期。达到数据限制时，密钥将重新 协商。 • 协议 (Protocol) 指定 VPN连接适用的协议，例如 UDP、TCP、ICMP。如果要将该设置用于所有协议，则 输入“*”。 • 端口（范围） (Port(Range)) 指定可供 VPN 隧道通信的端口。该设置仅适用于特定端口。 –如果要将该设置用于某一端口范围，则以起始端口“-”结束端口的形式输入范围，例如 30 - 40。 –如果要将该设置用于所有端口，则输入“*”。 此设置仅对基于端口的协议有效。 • 自动防火墙规则 (Auto FirewallRules) – 已启用 对于 VPN 连接，将自动创建从“外部”访问“内部”和从“内部”访问“外部”的防 火墙规则。可以在“安全> 防火墙 > 预定义的 IPv4”(Security > Firewall > PredefinedIPv4) 下启用对设备特定服务的访问。默认情况下 ping 处于启用状态。 – 已禁用 您需要自行创建防火墙规则。
OpenVPN 综述可在此页面激活 OpenVPN 客户端。 说明 该页面包含以下内容： • 启用 OpenVPN 启用或禁用 OpenVPN 客户端。连接 可在此页面组态 OpenVPN 连接的基本设置。可在“验证”(Authentication) 页面中指定安全 设置。 说明 •连接名称 (Connection name) 输入 OpenVPN 连接的唯一名称。 该表包含以下列： • 选择 (Select)选中要删除的行中的复选框。 • 名称 (Name) 显示 OpenVPN 连接的名称。• LZO 补偿 (LZO Comp.) –禁用 (-) 压缩已禁用。服务器无法再次启用压缩。 – 否 默认禁止压缩。服务器可启用压缩。 – 是压缩默认被启用。服务器可禁用压缩。 – 自适应 默认情况下，以自适应方式激活压缩。只有在数据良好，可用于压缩时才进行压缩，否则将在特定时间内禁用压缩。 • 自动防火墙规则 (Auto Firewall Rules) – 启用 对于 VPN连接，将自动创建从“外部”访问“内部”和从“内部”访问“外部”的防 火墙规则。此外，允许从设备访问外部。可以在“安全 > 防火墙> 预定义的 IPv4”(Security > Firewall > Predefined IPv4)下启用对设备特定服务的访问。默认情况 下 ping 处于启用状态。 – 禁用 需要自行创建适用的防火墙规则。 • 启用 NAT(Enable NAT) 可以通过该设置为该接口启用自动 IP 地址伪装。从外部不能直接访问本地设备，而只能 通过接口的 IP地址进行访问。但是，本地设备可以通过 OpenVPN 服务器连接到下游设 备。有关 NAT 的详细信息，请参见“技术基础 >NAT (页 3425)” • 超时 [min] (Timeout [min])指定以分钟为单位的持续时间。如果未发生任何数据交换，则在该时间结束后，VPN 隧 道将自动终止。 本地客户端在此页面上，可以组态远程伙伴（OpenVPN 端点）。可以为每个连接指定多个 OpenVPN 伙 伴。设备将逐个尝试所有组态的OpenVPN 伙伴，直至成功建立连接。 说明 该页面包含以下内容： • 远程名称 (Remote name) 输入 OpenVPN远程伙伴的名称，然后单击“创建”(Create) 可创建新的伙伴。该表包含以下列： • 选择 (Select)选中要删除的行中的复选框。 • 名称 (Name) 显示 Open VPN 伙伴的名称。 • 连接 (Connection)选择相应连接。只能组态已在“连接”(Connection) 页面上组态的连接。 • 远程地址 (Remote Address) 输入OpenVPN 伙伴的 WAN IP 地址或 DNS 主机名称。 • 端口 (Port) 指定可供 OpenVPN隧道通信的端口。该设置仅适用于特定端口。 • 协议 (Protocol) 指定将使用 OpenVPN 连接的协议。 • 代理(Proxy) 指定是否通过代理服务器建立与定义的 OpenVPN 伙伴的 OpenVPN 隧道。只能选择在“系 统 >代理服务器”(System > Proxy Server) 中组态的代理服务器。 验证 在此页面中，可指定 VPN连接伙伴间相互验证的方式。 说明 该表包含以下列： • 名称 (Name) 显示与设置相关联的 VPN 连接的名称。 • TLS验证密钥 (TLS Auth. Key) 选择用于为 TLS 数据包签名的密钥文件。如果传入的 TLS 数据包未使用此密钥进行签名，则会丢弃这些数据包。 • 方向 (Direction) 指定方向。如果选择 0，则必须在伙伴设备上设置1，反之亦然。可使用此设置限制可对 自身进行身份验证的客户端。 如果未在 OpenVPN服务器上进行任何设置，则选择“none”。如果选择“none”，则会禁用 此设置。• 方法 (Method) 选择验证方法。对于VPN 连接，要求伙伴必须使用相同的验证方法。 – 禁用 (Disabled) 未选择验证方法。无法建立连接。 – 证书(Certificates) 使用证书进行验证。稍后需通过 WBM 添加证书并将其下载到设备。 – 用户名/密码(Username/Password) 使用用户名/密码进行验证。稍后需通过 WBM 添加证书并将其下载到设备。 –证书/用户名/密码 (Cert/Username/Password)要进行身份验证，除了证书之外，还需要用户名和密码。仅当两项操作均成功完成后， 才会建立 VPN 连接。 • CA 证书 (CACertificate) 通过 WBM 选择 CA 证书并将其加载到设备。 可以在“系统 > 加载和保存”(System> Load&Save) 下为设备加载证书。加载的证书和密 钥文件显示在 WBM 页面“Security >Certificates”上。 • 机器证书 (Machine Certificate) 选择机器证书。只能选择已加载的证书。可以在“系统 > 加载和保存”(System > Load&Save) 下为设备加载证书。加载的证书和密钥文件显示在 WBM 页面“Security > Certificates”上。 • 用户名 (User Name)指定用户名。 • 密码 (Password) 输入密码。 • 密码确认 (Password Confirmation) 确认密码。暴力破解预防 组态说明 暴力破解预防是指试图通过数量足够大的密码防止设备受到未授权访问。会通过限制特定时间段内的错误登录尝试次数实现此目的。