Un cliente regolamentato deve implementare una policy personalizzata IKEv2 sul proprio gateway VPN Azure che richieda una crittografia forte e Perfect Forward Secrecy (PFS). Quali affermazioni sono vere per configurare correttamente una policy personalizzata IKEv2 in modo che il tunnel si attivi con PFS applicato?

Per configurare correttamente una policy IKEv2 personalizzata con PFS, è fondamentale che entrambi i peer (il gateway VPN di Azure e il dispositivo VPN on-premise) abbiano configurazioni corrispondenti per le fasi 1 e 2. Questo include proposte IKEv2 con un gruppo Diffie-Hellman (DH) per la fase 1 (autenticazione e scambio di chiavi) e un gruppo PFS separato per IPSec (fase 2, protezione del traffico dati). L'ordine delle policy e i parametri (crittografia, integrità, DH/PFS) devono essere identici su entrambi i lati per stabilire il tunnel. Le altre opzioni sono errate perché PFS non è automatico con AES-GCM, non è opzionale se richiesto, e Azure non "traduce" gruppi DH/PFS non corrispondenti, richiedendo una configurazione precisa.