ikev1: Allow immediate deletion of rekeyed CHILD_SAs
[strongswan.git] / conf / options / charon.opt
1 charon {}
2         Options for the charon IKE daemon.
3
4         Options for the charon IKE daemon.
5
6         **Note**: Many of the options in this section also apply to **charon-cmd**
7         and other **charon** derivatives.  Just use their respective name (e.g.
8         **charon-cmd** instead of **charon**). For many options defaults can be
9         defined in the **libstrongswan** section.
10
11 charon.accept_unencrypted_mainmode_messages = no
12         Accept unencrypted ID and HASH payloads in IKEv1 Main Mode.
13
14         Accept unencrypted ID and HASH payloads in IKEv1 Main Mode.
15
16         Some implementations send the third Main Mode message unencrypted, probably
17         to find the PSKs for the specified ID for authentication. This is very
18         similar to Aggressive Mode, and has the same security implications: A
19         passive attacker can sniff the negotiated Identity, and start brute forcing
20         the PSK using the HASH payload.
21
22         It is recommended to keep this option to no, unless you know exactly
23         what the implications are and require compatibility to such devices (for
24         example, some SonicWall boxes).
25
26 charon.block_threshold = 5
27         Maximum number of half-open IKE_SAs for a single peer IP.
28
29 charon.cert_cache = yes
30         Whether relations in validated certificate chains should be cached in
31         memory.
32
33 charon.cisco_unity = no
34         Send Cisco Unity vendor ID payload (IKEv1 only).
35
36 charon.close_ike_on_child_failure = no
37         Close the IKE_SA if setup of the CHILD_SA along with IKE_AUTH failed.
38
39 charon.cookie_threshold = 10
40         Number of half-open IKE_SAs that activate the cookie mechanism.
41
42 charon.crypto_test.bench = no
43         Benchmark crypto algorithms and order them by efficiency.
44
45 charon.crypto_test.bench_size = 1024
46         Buffer size used for crypto benchmark.
47
48 charon.crypto_test.bench_time = 50
49         Number of iterations to test each algorithm.
50
51 charon.crypto_test.on_add = no
52         Test crypto algorithms during registration (requires test vectors provided
53         by the _test-vectors_ plugin).
54
55 charon.crypto_test.on_create = no
56         Test crypto algorithms on each crypto primitive instantiation.
57
58 charon.crypto_test.required = no
59         Strictly require at least one test vector to enable an algorithm.
60
61 charon.crypto_test.rng_true = no
62         Whether to test RNG with TRUE quality; requires a lot of entropy.
63
64 charon.delete_rekeyed = no
65         Delete CHILD_SAs right after they got successfully rekeyed (IKEv1 only).
66
67         Delete CHILD_SAs right after they got successfully rekeyed (IKEv1 only).
68         Reduces the number of stale CHILD_SAs in scenarios with a lot of rekeyings.
69         However, this might cause problems with implementations that continue to
70         use rekeyed SAs until they expire.
71
72 charon.dh_exponent_ansi_x9_42 = yes
73         Use ANSI X9.42 DH exponent size or optimum size matched to cryptographic
74         strength.
75
76 charon.dlopen_use_rtld_now = no
77         Use RTLD_NOW with dlopen when loading plugins and IMV/IMCs to reveal missing
78         symbols immediately.
79
80 charon.dns1
81         DNS server assigned to peer via configuration payload (CP).
82
83 charon.dns2
84         DNS server assigned to peer via configuration payload (CP).
85
86 charon.dos_protection = yes
87         Enable Denial of Service protection using cookies and aggressiveness checks.
88
89 charon.ecp_x_coordinate_only = yes
90         Compliance with the errata for RFC 4753.
91
92 charon.flush_auth_cfg = no
93         Free objects during authentication (might conflict with plugins).
94
95         If enabled objects used during authentication (certificates, identities
96         etc.) are released to free memory once an IKE_SA is established. Enabling
97         this might conflict with plugins that later need access to e.g. the used
98         certificates.
99
100 charon.fragment_size = 0
101         Maximum size (complete IP datagram size in bytes) of a sent IKE fragment
102         when using proprietary IKEv1 or standardized IKEv2 fragmentation (0 for
103         address family specific default values). If specified this limit is used
104         for both IPv4 and IPv6.
105
106 charon.group
107         Name of the group the daemon changes to after startup.
108
109 charon.half_open_timeout = 30
110         Timeout in seconds for connecting IKE_SAs (also see IKE_SA_INIT DROPPING).
111
112 charon.hash_and_url = no
113         Enable hash and URL support.
114
115 charon.host_resolver.max_threads = 3
116         Maximum number of concurrent resolver threads (they are terminated if
117         unused).
118
119 charon.host_resolver.min_threads = 0
120         Minimum number of resolver threads to keep around.
121
122 charon.i_dont_care_about_security_and_use_aggressive_mode_psk = no
123         Allow IKEv1 Aggressive Mode with pre-shared keys as responder.
124
125         If enabled responders are allowed to use IKEv1 Aggressive Mode with
126         pre-shared keys, which is discouraged due to security concerns (offline
127         attacks on the openly transmitted hash of the PSK).
128
129 charon.ignore_routing_tables
130         A space-separated list of routing tables to be excluded from route lookups.
131
132 charon.ignore_acquire_ts = no
133         Whether to ignore the traffic selectors from the kernel's acquire events for
134         IKEv2 connections (they are not used for IKEv1).
135
136         If this is disabled the traffic selectors from the kernel's acquire events,
137         which are derived from the triggering packet, are prepended to the traffic
138         selectors from the configuration for IKEv2 connection. By enabling this,
139         such specific traffic selectors will be ignored and only the ones in the
140         config will     be sent. This always happens for IKEv1 connections as the
141         protocol only supports one set of traffic selectors per CHILD_SA.
142
143 charon.ikesa_limit = 0
144         Maximum number of IKE_SAs that can be established at the same time before
145         new connection attempts are blocked.
146
147 charon.ikesa_table_segments = 1
148         Number of exclusively locked segments in the hash table.
149
150 charon.ikesa_table_size = 1
151         Size of the IKE_SA hash table.
152
153 charon.inactivity_close_ike = no
154         Whether to close IKE_SA if the only CHILD_SA closed due to inactivity.
155
156 charon.init_limit_half_open = 0
157         Limit new connections based on the current number of half open IKE_SAs, see
158         IKE_SA_INIT DROPPING in **strongswan.conf**(5).
159
160 charon.init_limit_job_load = 0
161         Limit new connections based on the number of queued jobs.
162
163         Limit new connections based on the number of jobs currently queued for
164         processing (see IKE_SA_INIT DROPPING).
165
166 charon.initiator_only = no
167         Causes charon daemon to ignore IKE initiation requests.
168
169 charon.install_routes = yes
170         Install routes into a separate routing table for established IPsec tunnels.
171
172 charon.install_virtual_ip = yes
173         Install virtual IP addresses.
174
175 charon.install_virtual_ip_on
176         The name of the interface on which virtual IP addresses should be installed.
177
178         The name of the interface on which virtual IP addresses should be installed.
179         If not specified the addresses will be installed on the outbound interface.
180
181 charon.integrity_test = no
182         Check daemon, libstrongswan and plugin integrity at startup.
183
184 charon.interfaces_ignore
185         A comma-separated list of network interfaces that should be ignored, if
186         **interfaces_use** is specified this option has no effect.
187
188 charon.interfaces_use
189         A comma-separated list of network interfaces that should be used by charon.
190         All other interfaces are ignored.
191
192 charon.keep_alive = 20s
193         NAT keep alive interval.
194
195 charon.leak_detective.detailed = yes
196         Includes source file names and line numbers in leak detective output.
197
198 charon.leak_detective.usage_threshold = 10240
199         Threshold in bytes for leaks to be reported (0 to report all).
200
201 charon.leak_detective.usage_threshold_count = 0
202         Threshold in number of allocations for leaks to be reported (0 to report
203         all).
204
205 charon.load
206         Plugins to load in the IKE daemon charon.
207
208 charon.load_modular = no
209         Determine plugins to load via each plugin's load option.
210
211         If enabled, the list of plugins to load is determined via the value of the
212         _charon.plugins.<name>.load_ options.  In addition to a simple boolean flag
213         that option may take an integer value indicating the priority of a plugin,
214         which would influence the order of a plugin in the plugin list (the default
215         is 1). If two plugins have the same priority their order in the default
216         plugin list is preserved. Enabled plugins not found in that list are ordered
217         alphabetically before other plugins with the same priority.
218
219 charon.max_ikev1_exchanges = 3
220         Maximum number of IKEv1 phase 2 exchanges per IKE_SA to keep state about and
221         track concurrently.
222
223 charon.max_packet = 10000
224         Maximum packet size accepted by charon.
225
226 charon.make_before_break = no
227         Initiate IKEv2 reauthentication with a make-before-break scheme.
228
229         Initiate IKEv2 reauthentication with a make-before-break instead of a
230         break-before-make scheme. Make-before-break uses overlapping IKE and
231         CHILD_SA during reauthentication by first recreating all new SAs before
232         deleting the old ones. This behavior can be beneficial to avoid connectivity
233         gaps during reauthentication, but requires support for overlapping SAs by
234         the peer. strongSwan can handle such overlapping SAs since version 5.3.0.
235
236 charon.multiple_authentication = yes
237         Enable multiple authentication exchanges (RFC 4739).
238
239 charon.nbns1
240         WINS servers assigned to peer via configuration payload (CP).
241
242 charon.nbns2
243         WINS servers assigned to peer via configuration payload (CP).
244
245 charon.port = 500
246         UDP port used locally. If set to 0 a random port will be allocated.
247
248 charon.port_nat_t = 4500
249         UDP port used locally in case of NAT-T. If set to 0 a random port will be
250         allocated.  Has to be different from **charon.port**, otherwise a random
251         port will be allocated.
252
253 charon.prefer_temporary_addrs = no
254         By default public IPv6 addresses are preferred over temporary ones (RFC
255         4941), to make connections more stable. Enable this option to reverse this.
256
257 charon.process_route = yes
258         Process RTM_NEWROUTE and RTM_DELROUTE events.
259
260 charon.processor.priority_threads {}
261         Section to configure the number of reserved threads per priority class
262         see JOB PRIORITY MANAGEMENT in **strongswan.conf**(5).
263
264 charon.receive_delay = 0
265         Delay in ms for receiving packets, to simulate larger RTT.
266
267 charon.receive_delay_response = yes
268         Delay response messages.
269
270 charon.receive_delay_request = yes
271         Delay request messages.
272
273 charon.receive_delay_type = 0
274         Specific IKEv2 message type to delay, 0 for any.
275
276 charon.replay_window = 32
277         Size of the AH/ESP replay window, in packets.
278
279 charon.retransmit_base = 1.8
280         Base to use for calculating exponential back off, see IKEv2 RETRANSMISSION
281         in **strongswan.conf**(5).
282
283 charon.retransmit_timeout = 4.0
284         Timeout in seconds before sending first retransmit.
285
286 charon.retransmit_tries = 5
287         Number of times to retransmit a packet before giving up.
288
289 charon.retry_initiate_interval = 0
290         Interval in seconds to use when retrying to initiate an IKE_SA (e.g. if DNS
291         resolution failed), 0 to disable retries.
292
293 charon.reuse_ikesa = yes
294         Initiate CHILD_SA within existing IKE_SAs (always enabled for IKEv1).
295
296 charon.routing_table
297         Numerical routing table to install routes to.
298
299 charon.routing_table_prio
300         Priority of the routing table.
301
302 charon.send_delay = 0
303         Delay in ms for sending packets, to simulate larger RTT.
304
305 charon.send_delay_response = yes
306         Delay response messages.
307
308 charon.send_delay_request = yes
309         Delay request messages.
310
311 charon.send_delay_type = 0
312         Specific IKEv2 message type to delay, 0 for any.
313
314 charon.send_vendor_id = no
315         Send strongSwan vendor ID payload
316
317 charon.signature_authentication = yes
318         Whether to enable Signature Authentication as per RFC 7427.
319
320 charon.signature_authentication_constraints = yes
321         Whether to enable constraints against IKEv2 signature schemes.
322
323         If enabled, signature schemes configured in _rightauth_, in addition to
324         getting used as constraints against signature schemes employed in the
325         certificate chain, are also used as constraints against the signature scheme
326         used by peers during IKEv2.
327
328 charon.start-scripts {}
329         Section containing a list of scripts (name = path) that are executed when
330         the daemon is started.
331
332 charon.stop-scripts {}
333         Section containing a list of scripts (name = path) that are executed when
334         the daemon is terminated.
335
336 charon.threads = 16
337         Number of worker threads in charon.
338
339         Number of worker threads in charon. Several of these are reserved for long
340         running tasks in internal modules and plugins. Therefore, make sure you
341         don't set this value too low. The number of idle worker threads listed in
342         _ipsec statusall_ might be used as indicator on the number of reserved
343         threads.
344
345 charon.tls.cipher
346         List of TLS encryption ciphers.
347
348 charon.tls.key_exchange
349         List of TLS key exchange methods.
350
351 charon.tls.mac
352         List of TLS MAC algorithms.
353
354 charon.tls.suites
355         List of TLS cipher suites.
356
357 charon.user
358         Name of the user the daemon changes to after startup.
359
360 charon.x509.enforce_critical = yes
361         Discard certificates with unsupported or unknown critical extensions.