Ein regulierter Kunde muss eine benutzerdefinierte IKEv2-Richtlinie auf seinem Azure VPN-Gateway implementieren, die eine starke Verschlüsselung und Perfect Forward Secrecy (PFS) erfordert. Welche Aussagen treffen zu, um eine benutzerdefinierte IKEv2-Richtlinie erfolgreich zu konfigurieren, sodass der Tunnel mit erzwungenem PFS aufgebaut wird?

Um eine benutzerdefinierte IKEv2-Richtlinie mit erzwungenem PFS zu implementieren, müssen die IKE-Phase-1- und Phase-2-Vorschläge auf beiden VPN-Peers exakt übereinstimmen. Dies beinhaltet die Konfiguration einer spezifischen Diffie-Hellman (DH)-Gruppe für IKE (Phase 1) und einer separaten Perfect Forward Secrecy (PFS)-Gruppe für IPSec (Phase 2). Beide Peers müssen identische Parameter (Verschlüsselung, Integrität, DH/PFS) und eine übereinstimmende Richtlinienreihenfolge aufweisen, um einen erfolgreichen Tunnelaufbau zu gewährleisten. Die Option, dass nur die IKE-Phase-1-DH-Gruppe relevant ist und PFS automatisch durch AES-GCM aktiviert wird, ist falsch, da PFS explizit für Phase 2 konfiguriert werden muss und nicht automatisch durch den Verschlüsselungsalgorithmus aktiviert wird. Die Annahme, dass Azure eine stärkere Chiffre aushandelt oder PFS optional ist, ist ebenfalls inkorrekt, da für regulierte Umgebungen strenge Übereinstimmung und explizite Konfiguration erforderlich sind. Die Behauptung, dass Azure nicht übereinstimmende DH/PFS-Gruppen akzeptiert und übersetzt, ist falsch; strikte Übereinstimmung ist für den Tunnelaufbau unerlässlich.