受监管的客户必须在其 Azure VPN 网关上实施 IKEv2 自定义策略，该策略要求强加密和完美前向保密 (PFS)。以下哪些陈述对于成功配置 IKEv2 自定义策略以使隧道在强制执行 PFS 的情况下建立是正确的？

要成功配置 IKEv2 自定义策略并强制执行 PFS，两个对等体（Azure VPN 网关和本地 VPN 设备）必须在 IKE 阶段 1 和阶段 2 提议中配置完全匹配的参数。这意味着它们需要相同的加密算法、完整性算法、IKE 阶段 1 的 Diffie-Hellman (DH) 组以及 IPSec 阶段 2 的单独 PFS DH 组。策略的顺序也必须匹配，以确保正确的协商。 选项 B 不正确，因为 PFS 并非在选择 AES-GCM 时自动启用，且 IPSec 提议需要明确配置 PFS 组。选项 C 不正确，因为 Azure 不会随意协商更强的密码，且 PFS 并非由网关自动设置。选项 D 不正确，因为 Azure 不会接受不匹配的 DH/PFS 组并执行转换，而是要求严格匹配才能建立隧道。