Описание поддержки криптографических алгоритмов Набора B, добавленных в IPsec

В этой статье описывается поддержка криптографических алгоритмов Набора B, добавленных в IPsec.

Применимо к: Windows Server 2012 R2, Windows 7 пакет обновления 1
Исходный номер базы знаний: 949856

Поддержка Windows Vista с пакетом обновления 1 (SP1) заканчивается 12 июля 2011 г. Чтобы продолжить получать обновления для системы безопасности для Windows, убедитесь, что вы используете Windows Vista с пакетом обновления 2 (SP2). Дополнительные сведения см. в статье Окончание поддержки для некоторых версий Windows.

Введение

В этой статье описывается поддержка криптографических алгоритмов Набора B, добавленная в Windows Vista с пакетом обновления 1 (SP1) и в Windows Server 2008. Набор B — это группа криптографических алгоритмов, утвержденных США Агентством национальной безопасности (АНБ).

Набор B используется в качестве совместимой криптографической платформы для защиты конфиденциальных данных. Расширена поддержка алгоритмов набора B в следующих областях:

• Основной режим
• Быстрый режим
• Параметры проверки подлинности

В этой статье также описывается синтаксис конфигурации политики IPsec, в котором используются алгоритмы Набора B.

Дополнительная информация

Ограничения поддержки

Ограничения поддержки для набора B включают следующие:

• Создание и применение политики IPsec с помощью алгоритмов Набора B поддерживается только в Windows Vista с пакетом обновления 1 (SP1), в Windows Server 2008 или более поздних версиях Windows.
• Создание политик, содержащих алгоритмы набора B, поддерживается с помощью оснастки "Брандмауэр Windows в режиме повышенной безопасности" (MMC) консоли управления (MMC) для Windows 7 и более поздних версий Windows.
• Команда справки Netsh advfirewall не отображает параметры конфигурации для алгоритмов Набора B. Это относится только к Windows Vista с пакетом обновления 1 (SP1).

Определения

• Набор B

Набор B — это набор стандартов, определенных Агентством национальной безопасности (АНБ). Набор B предоставляет отрасли общий набор криптографических алгоритмов, которые можно использовать для создания продуктов, отвечающих самым широким потребностям правительства США. Набор B включает спецификацию следующих типов алгоритмов:

• Целостность
• Шифрование
• Обмен ключами
• Цифровая подпись
• Федеральные стандарты обработки информации (FIPS)

FIPS — это набор руководящих принципов и стандартов, которые регулируют федеральные вычислительные ресурсы. Все алгоритмы набора B утверждены FIPS.

Дополнительные сведения см. в разделе Лаборатория информационных технологий.

• NIST

  Это сокращение от Национального института стандартов и технологий.

• Алгоритмы целостности данных

  Алгоритмы целостности данных используют хэши сообщений, чтобы убедиться, что информация не изменяется во время передачи.

• Алгоритмы шифрования данных

  Алгоритмы шифрования данных используются для скрытия передаваемых сведений. Алгоритмы шифрования используются для преобразования обычного текста в секретный код.

  Например, алгоритмы шифрования могут преобразовывать обычный текст в шифротекст. Затем шифрованный текст можно декодировать в исходный обычный текст. Каждый алгоритм использует "ключ" для выполнения преобразования. Тип ключа и длина ключа зависят от используемого алгоритма.

• IPSec

  Это сокращение термина "Безопасность протокола Интернета".

  Дополнительные сведения об IPsec см. в статье Что такое IPSec?

• Алгоритм цифровой подписи с эллиптической кривой (ECDSA)

  Эллиптическая кривая (EC) — это вариант алгоритма цифровой подписи, который работает с группами EC. Вариант EC обеспечивает меньшие размеры ключей для того же уровня безопасности.

  Этот алгоритм описан в публикации FIPS 186-2. Чтобы просмотреть эту публикацию, ознакомьтесь со стандартом цифровой подписи (DSS).

• Центр сертификации (ЦС)

  Центр сертификации — это сущность, которая выдает цифровые сертификаты. IPsec может использовать эти сертификаты в качестве метода проверки подлинности.

• Заголовок проверки подлинности (AH)

  Заголовок проверки подлинности — это протокол IPsec, который обеспечивает проверку подлинности, целостность и функцию защиты от воспроизведения для всего пакета. Сюда входят заголовок IP-адреса и полезные данные.

  AH не обеспечивает конфиденциальность. Это означает, что AH не шифрует данные. Данные доступны для чтения, но они незаписываемы.

• Инкапсулирование полезных данных безопасности (ESP)

  ESP — это протокол IPsec, который обеспечивает функциональность конфиденциальности, проверки подлинности, целостности и защиты от воспроизведения. ESP можно использовать отдельно или совместно с AH.

Алгоритмы основного режима

В Windows Vista с пакетом обновления 1 (SP1) и Windows Server 2008 в дополнение к алгоритмам, которые уже поддерживаются в выпускной версии Windows Vista, поддерживаются следующие алгоритмы целостности:

• SHA-256
• SHA-384

Алгоритмы быстрого режима

В Windows Vista с пакетом обновления 1 (SP1) и Windows Server 2008 в дополнение к алгоритмам, которые уже поддерживаются в выпускной версии Windows Vista, поддерживаются следующие алгоритмы.

Целостность (AH или ESP)

• SHA-256
• AES-GMAC-128
• AES-GMAC-192
• AES-GMAC-256

Целостность и шифрование (только ESP)

• AES-GCM-128
• AES-GCM-192
• AES-GCM-256

Дополнительные сведения о сочетаниях AH и ESP, которые поддерживаются и не поддерживаются, см. в разделе "Сочетания алгоритмов шифрования в быстром режиме, которые поддерживаются и не поддерживаются".

Ограничения для быстрого режима

• Для AH и ESP следует использовать один и тот же алгоритм целостности.
• Алгоритмы AES-GMAC доступны для алгоритма целостности с шифрованием NULL. Таким образом, если какой-либо из этих алгоритмов указан для целостности ESP, алгоритм шифрования нельзя указать.
• При использовании алгоритма AES-GCM один и тот же алгоритм должен быть указан для целостности ESP и шифрования.

Проверка подлинности

В Windows Vista с пакетом обновления 1 (SP1) и Windows Server 2008 в дополнение к методам проверки подлинности, которые уже поддерживаются в выпускной версии Windows Vista, поддерживаются следующие методы проверки подлинности.

• Сертификат компьютера с подписью ECDSA-P256
• Сертификат компьютера с подписью ECDSA-P384>

Метод проверки подлинности по умолчанию для Windows Vista — проверка подлинности RSA SecurId.

Синтаксис и примеры

В этом разделе описывается синтаксис использования команды Netsh advfirewall для добавления и изменения правил безопасности подключения. В этом разделе также приведены примеры команд Netsh advfirewall.

Добавление правила безопасности подключения

Netsh advfirewall
Usage: add rule name=<string>
 endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>
 endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>
 action=requireinrequestout|requestinrequestout|
 requireinrequireout|noauthentication
 [description=<string>]
 [mode=transport|tunnel (default=transport)]
 [enable=yes|no (default=yes)]
 [profile=public|private|domain|any[,...] (default=any)]
 [type=dynamic|static (default=static)]
 [localtunnelendpoint=<IPv4 address>|<IPv6 address>]
 [remotetunnelendpoint=<IPv4 address>|<IPv6 address>]
 [port1=0-65535|any (default=any)]
 [port2=0-65535|any (default=any)]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any (default=any)]
 [interfacetype=wiresless|lan|ras|any (default=any)]
 [auth1=computerkerb|computercert|computercertecdsap256|computercertecdsap384|computerpsk|
 computerntlm|anonymous[,...]]
 [auth1psk=<string>]
 [auth1ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1healthcert=yes|no (default=no)]
 [auth1ecdsap256ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap256healthcert=yes|no (default=no)]
 [auth1ecdsap384ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap384healthcert=yes|no (default=no)]
 [auth2=computercert| computercertecdsap256|computercertecdsap384|userkerb|usercert| usercertecdsap256|usercertecdsap384|userntlm|anonymous[,...]]
 [auth2ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap256ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap384ca="<CA Name> [certmapping:yes|no] ..."]
 [qmpfs=dhgroup1|dhgroup2|dhgroup14|ecdhp256|ecdhp384|mainmode|
 none (default=none)]
 [qmsecmethods=
 ah:<integrity>+esp:<integrity>-<encryption>+[valuemin]+[valuekb]
 |default]

Remarks:

- The rule name should be unique, and it cannot be "all."
 - When mode=tunnel, both tunnel endpoints must be specified and must be
 the same IP version. Also, the action must be requireinrequireout.
 - At least one authentication must be specified.
 - Auth1 and auth2 can be comma-separated lists of options.
 - The "computerpsk" and "computerntlm" methods cannot be specified together
 for auth1.
 - Computercert cannot be specified with user credentials for auth2.
 - Certsigning options ecdsap256 and ecdsap384 are supported only on Windows Vista SP1 and on later versions of Windows Vista.
 - Qmsecmethods can be a list of proposals separated by a comma (,).
 - For qmsecmethods, integrity=md5|sha1|sha256| aesgmac128|aesgmac192|aesgmac256|aesgcm128|aesgcm192|aesgcm256 and
 encryption=3des|des|aes128|aes192|aes256|aesgcm128|aesgcm192|aesgcm256.
 - If aesgcm128, aesgcm192, or aesgcm256 is specified, it must be used for both ESP integrity and encryption. 
 - sha-256, aesgmac128, aesgmac192, aesgmac256, aesgcm128, aesgcm192, aesgcm256 are supported only on Windows Vista SP1 and on later versions of Windows Vista. 
 - Qmpfs=mainmode uses the main mode key exchange setting for PFS.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The default value for certmapping and for excludecaname is "no."
 - The quotation mark (") characters in the CA name must be replaced with a backslash character followed by a single quotation mark (\').

Пример 1

Рассмотрим следующий пример команды Netsh advfirewall:
Netsh advfirewall consec add rule name=test1 endpoint1=any endpoint2=any action=requestinrequestout description="Use ECDSA256 certificate and AESGMAC256" auth1=computercert,computercertdsap256 auth1ca="C=US, O=MSFT, CN='Microsoft North, South, East и West Root Authority'" auth1healthcert=no auth1ecdsap256ca="C=US, O=MSFT, CN='Microsoft North, South, East и West Root Authority'" auth1ecdsap256healthcert=yes qmsecmethods=ah: aesgmac256+esp:aesgmac256-none

Эта команда создает правило безопасности подключения, которое содержит следующие методы проверки подлинности в наборе проверки подлинности:

• Первый метод проверки подлинности — это сертификат, который использует подпись сертификата RSA.
• Второй метод проверки подлинности — это сертификат работоспособности, который использует ECDSA256 для подписывания сертификата.
• Правило безопасности подключения защищает трафик с помощью целостности AH и ESP с новым алгоритмом AES-GMAC 256. Правило не включает шифрование.

Пример 2

Рассмотрим следующий пример команды Netsh advfirewall:
Netsh advfirewall consec add rule name=test2 endpoint1=any endpoint2=any action=requestinrequestout description="Use SHA 256 for Integrity and AES192 for encryption" auth1=computercert auth1ca="C=US, O=MSFT, CN='Microsoft North, South, East и West Root Authority'" auth1healthcert=no qmsecmethods=ah:sha256+esp:sha256-aes192

Эта команда создает правило безопасности подключения, которое имеет один метод проверки подлинности в наборе проверки подлинности. Метод проверки подлинности — это сертификат, который использует подпись сертификата RSA.

Правило безопасности подключения защищает трафик с помощью целостности AH и ESP с SHA256 для обеспечения целостности и AES192 для шифрования.

Изменение существующего правила безопасности подключения

Netsh advfirewall
Usage: set rule
 group=<string> | name=<string>
 [type=dynamic|static]
 [profile=public|private|domain|any[,...] (default=any)]
 [endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [port1=0-65535|any]
 [port2=0-65535|any]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any]
 new
 [name=<string>]
 [profile=public|private|domain|any[,...]]
 [description=<string>]
 [mode=transport|tunnel]
 [endpoint1=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [endpoint2=any|localsubnet|dns|dhcp|wins|defaultgateway|
 <IPv4 address>|<IPv6 address>|<subnet>|<range>|<list>]
 [action=requireinrequestout|requestinrequestout|
 requireinrequireout|noauthentication]
 [enable=yes|no]
 [type=dynamic|static]
 [localtunnelendpoint=<IPv4 address>|<IPv6 address>]
 [remotetunnelendpoint=<IPv4 address>|<IPv6 address>]
 [port1=0-65535|any]
 [port2=0-65535|any]
 [protocol=0-255|tcp|udp|icmpv4|icmpv6|any]
 [interfacetype=wiresless|lan|ras|any]
 [auth1=computerkerb|computercert|computercertecdsap256|computercertecdsap384|computerpsk|
 computerntlm|anonymous[,...]]
 [auth1psk=<string>]
 [auth1ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1healthcert=yes|no (default=no)]
 [auth1ecdsap256ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap256healthcert=yes|no (default=no)]
 [auth1ecdsap384ca="<CA Name> [certmapping:yes|no] [excludecaname:yes|no] ..."]
 [auth1ecdsap384healthcert=yes|no (default=no)]
 [auth2=computercert| computercertecdsap256|computercertecdsap384|userkerb|usercert| usercertecdsap256|usercertecdsap384|userntlm|anonymous[,...]]
 [auth2ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap256ca="<CA Name> [certmapping:yes|no] ..."]
 [auth2ecdsap384ca="<CA Name> [certmapping:yes|no] ..."]
 [qmsecmethods=
 ah:<integrity>+esp:<integrity>-<encryption>+[valuemin]+[valuekb]|
 default]

Remarks:

- This sets a new parameter value on an identified rule. The command fails
 if the rule does not exist. To create a rule, use the "add" command.
 - Values after the new keyword are updated in the rule. If there are
 no values, or if the "new" keyword is missing, no changes are made.
 - Only a group of rules can be enabled or disabled.
 - If multiple rules match the criteria, all matching rules are 
 updated.
 - The rule name should be unique, and it cannot be "all."
 - Auth1 and auth2 can be comma-separated lists of options.
 - The computerpsk and computerntlm methods cannot be specified together
 for auth1.
 - Computercert cannot be specified by using user credentials for auth2.
 - Certsigning options ecdsap256 and ecdsap384 are supported only on Windows Vista SP1 and on later versions of Windows Vista. 
 - Qmsecmethods can be a list of proposals that are separated by a comma (,).
 - For qmsecmethods, integrity=md5|sha1|sha256| aesgmac128|aesgmac192|aesgmac256|aesgcm128|aesgcm192|aesgcm256 and
 encryption=3des|des|aes128|aes192|aes256|aesgcm128| aesgcm192|aesgcm256
 - If aesgcm128 or aesgcm256 is specified, it must be used for both ESP integrity and for encryption. 
 - Sha-256, aesgmac128, aesgmac192, aesgmac256, aesgcm128, aesgcm192, and aesgcm256 are supported only on Windows Vista SP1 and on later versions of Windows Vista.
 - If qmsemethods are set to "default," qmpfs will be set to "default" also.
 - Qmpfs=mainmode uses the main mode key exchange setting for PFS.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The default value for "certmapping" and "excludecaname" is "no."
 - The quotation mark (") characters in the CA name must be replaced with a backslash character followed by a single quotation mark (\').

Ниже приведен пример команды, которая обновляет правило, созданное в примере 1 в предыдущем разделе: Netsh advfirewall consec set rule name=test new qmsecmethods=ah:aesgmac256+. esp:aesgcm256-aesgcm256 Эта команда обновляет правило использования AES-GCM 256 для целостности и шифрования ESP и AES-GMAC 256 для целостности AH.

Настройка глобальных параметров основного режима

Следующий текст справки предназначен для глобальной команды Netsh advfirewall set.

netsh advfirewall>set global

Usage: set global statefulftp|statefulpptp enable|disable|notconfigured
 set global IPsec (parameter) (value)
 set global mainmode (parameter) (value) | notconfigured

IPsec Parameters:

strongcrlcheck - Configures how CRL checking is enforced.
 0: Disable CRL checking
 1: Fail if cert is revoked and the CRL exists in the client's CRL cache (default behavior)and the CRL exists in the client's CRL cache (default behavior) 2: Fail on any error
 notconfigured: Returns the value to its unconfigured state.
 saidletimemin - Configures the security association idle time in
 minutes.
 - Usage: 5-60|notconfigured (default=5)
 defaultexemptions - Configures the default IPsec exemptions. The default is
 to exempt IPv6 neighbordiscovery protocol from
 IPsec.
 - Usage: none|neighbordiscovery|notconfigured

Main Mode Parameters:

mmkeylifetime - Sets the main mode key lifetime in minutes, in sessions, or in both.
 - Usage: <num>min,<num>sess
 mmsecmethods - Configures the main mode list of proposals
 - Usage:
 keyexch:enc-integrity,enc-integrity[,...]|default
 - keyexch=dhgroup1|dhgroup2|dhgroup14|
 ecdhp256|ecdhp384
 - enc=3des|des|aes128|aes192|aes256
 - integrity=md5|sha1|sha256|sha384

Remarks:

- This configures global settings, such as advanced IPsec options.
 - We recommend that you do not use DES, MD5, or DHGroup1. These
 cryptographic algorithms are provided for backward compatibility
 only.
 - The mmsecmethods keyword default sets the policy to the following:
 dhgroup2-aes128-sha1,dhgroup2-3des-sha1
 - Sha256 and sha384 are supported only on Windows Vista SP1 and on later versions of Windows Vista.

Ниже приведен пример команды, которая использует новые алгоритмы SHA в криптографических наборах в режиме main: Netsh advfirewall set global mainmode mmsecmethods dhgroup1:3des-sha256, 3des-sha384

Команды по устранению неполадок, настройке и проверке

Команда "Netsh advfirewall consec show rule all"

Команда Netsh advfirewall consec show rule all отображает конфигурацию для всех правил безопасности подключения.

Ниже приведен пример выходных данных для этой команды.

Rule Name:test
Enabled:Yes
Profiles:Domain,Private,Public
Type:Static
Mode:Transport
Endpoint1:Any
Endpoint2:Any
Protocol:Any
Action:RequestInRequestOut
Auth1:ComputerPSK
Auth1PSK: 12345
MainModeSecMethods ECDHP384-3DES-SHA256,ECDHP384-3DES-SHA384
QuickModeSecMethodsAH:AESGMAC256+ESP:AESGCM256-AESGCM256+60 min+100000kb

Команда "Монитор Netsh advfirewall show mmsa"

В мониторе Netsh advfirewall отображается команда mmsa, где отображается связь безопасности основного режима.

Ниже приведен пример выходных данных для этой команды.

Main Mode SA at 01/04/2008 13:10:09
Local IP Address:157.59.24.101
Remote IP Address: 157.59.24.119
My ID:
Peer ID:
First Auth:ComputerPSK
Second Auth:None
MM Offer: ECDHAP384-3DES-SHA256
Cookie Pair:203d57505:5d088705
Health Pair:No
Ok.

Команда "Монитор Netsh advfirewall show qmsa"

Команда Netsh advfirewall monitor show qmsa отображает сопоставление безопасности быстрого режима.

Ниже приведен пример выходных данных для этой команды.

Main Mode SA at 01/04/2008 13:10:09
Local IP Address:157.59.24.101
Remote IP Address: 157.59.24.119
Local Port:Any
Remote Port:Any
Protocol:Any
Direction:Both
QM Offer: AH:AESGMAC256+ESP:AESGCM256-AESGCM256+60min +100000kb
Ok.

Команда Netsh advfirewall show global

Команда Netsh advfirewall show global отображает глобальные параметры.

Ниже приведен пример выходных данных для этой команды.

Global Settings:
IPsec:
StrongCRLCheck0:Disabled
SAIdleTimeMin5min
DefaultExemptions NeighborDiscovery
IPsecThroughNAT Server and client behind NAT

StatefulFTPEnable
StatefulPPTPEnable

Main Mode:
KeyLifetime2min,0sess
SecMethodsDHGroup1-3DES-SHA256,DHGroup1-3DES-SHA384

Взаимодействие

Создание, применение и управление политикой IPsec, использующими алгоритмы Набора B, появились в Windows Vista с пакетом обновления 1 (SP1) и в Windows Server 2008. Управлять групповая политика, содержащим алгоритмы набора B, можно только с помощью средств, выпущенных в Windows Vista с пакетом обновления 1 (SP1) или Windows Server 2008.

Примеры сценариев и ожидаемые результаты приведены ниже.

Сценарий 1

Новые алгоритмы шифрования используются для применения политики, созданной на компьютере под управлением Windows Server 2008 или Windows Vista с пакетом обновления 1 (SP1) к компьютеру под управлением версии Windows Vista.

Ожидаемый результат

Если правило содержит криптографические наборы, использующие новые алгоритмы шифрования, эти криптографические наборы удаляются, а вместо них используются другие криптографические наборы в наборе.

Если ни один из криптографических наборов в правиле не распознан, все правило удаляется. Регистрируется событие, указывающее, что правило не может быть обработано. Таким образом, если все криптографические наборы в наборе шифрования обмена ключами удаляются, ни одно из правил безопасности подключения в политике не применяется. Однако все правила брандмауэра по-прежнему применяются.

Процесс набора проверки подлинности похож на процесс задания шифрования. Если политика, содержащая новые флаги сертификатов (ECDSA-P256 или ECDSA-P384), применяется к компьютеру под управлением версии Windows Vista, методы проверки подлинности удаляются.

Если все методы проверки подлинности в первом наборе проверки подлинности удаляются по этой причине, все правило не обрабатывается. Если все методы проверки подлинности во втором наборе проверки подлинности удаляются, правило обрабатывается с помощью только первого набора проверки подлинности.

Сценарий 2

На компьютере под управлением версии Windows Vista вы используете новые алгоритмы шифрования для просмотра политики, созданной на компьютере под управлением Windows Server 2008 или Windows Vista с пакетом обновления 1 (SP1).

Ожидаемый результат

Новые алгоритмы отображаются как "неизвестные" в частях мониторинга и разработки оснастки MMC "Расширенная безопасность брандмауэра Windows". Команда Netsh advfirewall также отображает алгоритмы как неизвестные в Windows Vista.

Ограничения на взаимодействие

Ниже перечислены ограничения на взаимодействие.

• Мы не поддерживаем удаленное управление политиками, которые используют алгоритмы набора B на компьютерах под управлением Windows Vista с пакетом обновления 1 (SP1) или Windows Server 2008 с компьютера под управлением версии Windows Vista.
• Когда политика, созданная на компьютере под управлением Windows Vista с пакетом обновления 1 (SP1) или Windows Server 2008, импортируется на компьютер под управлением версии Windows Vista, некоторые части политики удаляются. Это происходит из-за того, что выпускная версия Windows Vista не может распознать новые алгоритмы.

Сочетания алгоритмов шифрования в быстром режиме, которые поддерживаются и не поддерживаются

В следующей таблице показаны поддерживаемые сочетания алгоритмов шифрования в быстром режиме.

Сочетания, описанные в следующей таблице, не поддерживаются.

Дополнительные сведения о наборе B см. в разделе Коммерческий набор алгоритмов национальной безопасности.

Дополнительные сведения о IPsec и правилах безопасности подключений см. в разделах Брандмауэр Windows в режиме повышенной безопасности и IPsec.