この機能は、TCP MD5 オプションを置き換える TCP 認証オプション（TCP-AO）を指定します。TCP-AO は、以下を提供するメッセージ認証コード（MAC）を使用します。

• 長時間の TCP 接続のリプレイに対する保護

• TCP MD5 以外の TCP 接続でのセキュリティ アソシエーションの詳細

• 他のシステムや操作の変更を最小限に抑えた多数の MAC

TCP-AO は、マスター キー タプル（MKT）設定と互換性があります。TCP-AO は、接続の繰り返しインスタンスで同じ MKT を使用する場合も接続を保護します。TCP-AO は、MKT から導出されたトラフィック キーを使用して接続を保護し、エンドポイント間の変更を調整します。

（注）	TCPAO と TCP MD5 を同時に使用することはできません。TCP-AO は IPv6 をサポートしており、TCP MD5 の交換に関して提案される要件と完全に互換性があります。

システムは、キーチェーンの下にある "key_id" などの各キーを MKT として変換します。キーチェーン設定には、秘密、ライフタイム、アルゴリズムなどの設定の一部が含まれます。"tcp ao キーチェーン" モードには、MKT 用の TCP AO 固有の設定（send_id および receive_id）が含まれています。

設定を正常に実行するには、設定に関する注意事項に従ってください。

• Send_ID と Receive_ID の両方で許可されている値の範囲は 0 ～ 255 です。

• アプリケーション ネイバーには、1 つのキーチェーンのみをリンクできます。

• 同一のキーチェーンで、ライフタイムが重複しているキーの下に同じ send_id キーを再度設定すると、設定を修正するまで古いキーは使用できなくなります。

• 次のシナリオでは、システムから警告メッセージが送信されます。

  • Send_ID または Receive_ID が変更された場合。

  • 対応するキーが現在アクティブで、一部の接続で使用されている場合。

• BGP ネイバーは、次のいずれかの認証オプションのみを使用できます。

  • MD5

  • EA

  • AO

  （注）	これらのオプションのいずれかを設定すると、設定時にシステムによって他の認証オプションが拒否されます。

設定時の注意事項は次のとおりです。

• key_id を使用する必要があるライフタイムを指定して、key_id ですべての必要な設定（key_string、MAC_algorithm、send_lifetime、accept_lifetime、send_id、receive_id）を行います。

• ピア側で、一致する MKT をまったく同じライフタイムで設定します。

• キーチェーンキーが tcp-ao にリンクされた後は、キーのコンポーネントを変更しないでください。TCP に別のキーの使用を検討させる場合は、そのキーを動的に設定できます。送信ライフタイムの「start-time」に基づいて、TCP AO はキーを使用します。

• （キーチェーンの下にある）key_id の Send_ID と Receive_ID は、ライフタイム範囲が同じである必要があります（たとえば、send-lifetime==accept-lifetime）。

  TCP は send-lifetime の期限切れのみを考慮して次のアクティブ キーに移行します。accept-lifetime はまったく考慮されません。

• 特定のキーの send-lifetime でカバーされる send-lifetime を別のキーに設定しないでください。

  たとえば、既存のキーの send-lifetime が「04:00:00 November 01, 2017 07:00:00 November 01, 2017」に設定されている場合、ユーザが別のキーの send-lifetime を「05:00:00 November 01, 2017 06:00:00 November 01, 2017」に設定すると、接続フラップが発生する可能性があります。

  新しいキーが期限切れになると、TCP AO は古いキーに戻そうとします。ただし、新しいキーがすでに期限切れになっている場合、TCP AO はこのキーを使用できないため、セグメント損失や接続フラップが発生する可能性があります。

• 重複する 2 つのキー間の重複時間は 15 分以上に設定します。TCP は期限が切れたキーを使用しないため、そのキーを使用した不適切なセグメントはドロップされます。

• 簡素化のために、key_id に設定する send_id と receive_id を同一にすることを推奨します。

• TCP には、キーチェーンに含まれるキーチェーンおよびキーの数に関する制限はありません。システムでは 4000 を超えるキーチェーンはサポートされません。4000 を超えると、予期しない動作が発生する可能性があります。

key chain <keychain_name>
   key <key_id>
      accept-lifetime <start-time> <end-time>
      key-string <master-key>
      send-lifetime <start-time> <end-time>
      cryptographic-algorithm <algorithm>
   !
!

BGP などのアプリケーションは、tcp-ao キーチェーンと、ネイバーごとに使用する関連情報を提供します。次に、tcp-ao キーチェーンごとのオプション設定を示します。

• include-tcp-options

• accept-non-ao-connections

router bgp <AS-number>
neighbor <neighbor-ip>
  remote-as <remote-as-number>
  ao <keychain-name> include-tcp-options enable/disable  <accept-ao-mismatch-connections>
!