Un cliente regulado debe implementar una política personalizada de IKEv2 en su gateway de VPN de Azure que requiera cifrado fuerte y Perfect Forward Secrecy (PFS). ¿Qué afirmaciones son verdaderas para configurar correctamente una política personalizada de IKEv2 para que el túnel se establezca con PFS aplicado?

La opción correcta explica que para establecer un túnel VPN con PFS aplicado, ambos pares (el gateway de VPN de Azure y el dispositivo VPN local) deben tener configuraciones de política IKEv2 coincidentes para las fases 1 y 2. Esto incluye especificar un grupo Diffie-Hellman (DH) para IKE (fase 1) y un grupo PFS separado para IPSec (fase 2). La coincidencia de parámetros (cifrado, integridad, DH/PFS) y el orden de la política son cruciales para una negociación exitosa. Las opciones incorrectas son: "Solo importa el grupo DH de la fase 1 de IKE..." es incorrecta porque PFS es una característica de la fase 2 de IPSec y requiere una configuración explícita, no se habilita automáticamente con AES-GCM. "Establezca el algoritmo de cifrado en el gateway en AES-128..." es incorrecta porque un cliente regulado requiere cifrado fuerte y la negociación de un cifrado más fuerte no está garantizada; además, PFS no es opcional ni se establece automáticamente. "Habilite PFS en el control deslizante de la GUI..." es incorrecta porque Azure no aceptará grupos DH/PFS no coincidentes ni realizará traducciones de grupos; la configuración debe coincidir en ambos extremos.