При одновременной повторной генерации ключей в процессе pairwise-keys, какое максимальное количество IPsec SA временно создается до перехода на новые SA?

При одновременной повторной генерации ключей (rekeying) в процессе pairwise-keys для каждого туннеля IPsec временно создаются новые SA (Security Associations) до того, как старые SA будут удалены. Это обеспечивает бесшовный переход без прерывания трафика. Для каждого направления (входящего и исходящего) создаются два SA: один для ESP (Encapsulating Security Payload) и один для аутентификации (AH или ESP с аутентификацией). Таким образом, для каждого туннеля (который имеет два направления) одновременно существуют 4 SA (2 старых и 2 новых). Поскольку в SD-WAN туннели IPsec обычно устанавливаются между двумя vEdge или cEdge маршрутизаторами, и каждый маршрутизатор имеет два туннеля (один к другому маршрутизатору и один обратно), общее количество временно создаваемых IPsec SA составляет 8. Варианты 2, 4 и 6 не учитывают все необходимые SA для поддержания бесперебойной связи во время повторной генерации ключей.