GET VPN の GM 削除およびポリシー トリガー機能は、GET VPN ネットワークのすべてのデバイスがこの機能をサポートする GET VPN ソフトウェア バージョンにアップグレードされた後にのみ使用する必要があります。そうしないと、古いソフトウェアを実行しているセカンダリ KS または GM が GM の削除メッセージを無視し、古い SA を使用してトラフィックの暗号化と復号化を続行します。この動作により、ネットワーク トラフィックの中断が発生します。

この機能には、ネットワークのすべてのデバイスが GM の削除をサポートするバージョンを実行しているかどうかを確認するために KS（またはプライマリ KS）で使用するコマンドが用意されています。プライマリ KS が GM の削除をサポートしていないデバイスを含むネットワークの GM を削除しようとすると、警告メッセージが表示されます。詳細については、「GM の削除をサポートするソフトウェア バージョンを GM が実行していることを確認する」セクションを参照してください。

GET VPN GM の削除とポリシー トリガー機能には、一時的な IPsec SA により GM の削除をトリガーするために KS（またはプライマリ KS）で使用するコマンドが用意されています。この動作により、すべての GM のキーのライフタイムが短縮され、キーの有効期限が切れる前に再登録します。GM の削除の間、ライフタイムが期限切れになるまで一時的な IPsec SA を使用してトラフィックの暗号化と復号化が継続されるため、ネットワーク中断は発生しません。詳細については、「一時的な IPsec SA による GM の削除」セクションを参照してください。

GET VPN GM の削除とポリシー トリガー機能では、GM が強制的に古い TEK と KEK を（一時的な SA を使用せず）即座に削除し、再登録するために KS（またはプライマリ KS）で使用できるオプションのキーワードを提供します。ただし、この動作により、データ プレーンに中断が引き起こされる可能性があります。そのため、重大なセキュリティ上の理由がある場合のみこの方式を使用する必要があります。詳細については、「GM の削除と IPSec SA の即座の削除」セクションを参照してください。

この機能なしでは、キー再生成をトリガーする TEK および KEK ポリシー変更に関して不整合があります。

• セキュリティ ポリシーの更新中に複数のキー再生成が送信される可能性があります。

• 一部のポリシー変更は（たとえば、トランスフォーム セット、プロファイル、ライフタイム、およびアンチリプレイ）新しい SA を GM にインストールしますが、既存のポリシーからの SA はライフタイムが期限切れになるまでアクティブのままになります。

• 一部のポリシー変更（たとえば、TEK のアクセス コントロール エントリ/アクセス コントロール リスト（ACE/ACL）の変更）は新しい SA を GM にインストールし、即座に有効になります。ただし、古い SA は各 GM のデータベースで維持されます（ライフタイムが期限切れになるまで show crypto ipsec sa コマンドを使用して表示できます）。

たとえば、KS が Data Encryption Standard（DES）から Advanced Encryption Standard（AES）にポリシーを変更する場合、GM がこのトリガーされたキー再生成を受け取ると、新しい SA（例：AES）がインストールされ、古い SA（例：DES）のライフタイムは短縮されます。GM は短縮されたライフタイムが期限切れになるまで古い SA を使用してトラフィックの暗号化と復号化を継続します。

次に、短縮されたライフタイムを計算する式を示します。

TEK_SLT = MIN(TEK_RLT, MAX(90s, MIN(5%(TEK_CLT), 3600s)))

値は次のとおりです。

• TEK_SLT は TEK の短縮されたライフタイムです。

• TEK_RLT は TEK の残りのライフタイムです。

• TEK_CLT は TEK の設定されたライフタイムです。

次の表は、キー再生成に関する不整合をまとめたものです。

この機能では、一貫性を確保することで、これらの問題を解決します。この機能によって、GET VPN ポリシーの変更単独ではキー再生成がトリガーされなくなります。ポリシー（およびグローバル コンフィギュレーション モードの終了）を変更すると、ポリシーが変更され、キー再生成が必要であることを示す syslog メッセージがプライマリ KS に表示されます。この機能には、（実行コンフィギュレーションの最新のセキュリティ ポリシーに基づく）キー再生成を送信するために KS（またはプライマリ KS）で入力する新しいコマンドが用意されています。

この機能ではまた、古い TEK および KEK を即座に削除し、新しい TEK および KEK をインストールするようにキー再生成を受信する GM に強制する追加のキーワードを新しいコマンドに用意しています。そのため、新しいポリシーは古い SA ポリシーが期限切れになるのを待たずにただちに反映されます。（ただし、すべての GM が同時にキー再生成メッセージを受信しない場合があるため、このキーワードを使用すると、一時的なトラフィックの切断が発生する可能性があります）。

キー再生成のトリガーは、GET VPN ネットワーク内のすべてのデバイスをこの機能をサポートする GET VPN ソフトウェア バージョンにアップグレードしてから使用する必要があります。crypto gdoi ks コマンドをまだサポートしていない古いバージョンを実行している GM では、プライマリ KS はソフトウェアバージョン管理機能を使用してこれらのバージョンを検出し、ポリシー交換のための命令を送信せずにキー再生成のトリガーのみ実行します。したがって、GM がキー再生成を受信すると、新しい SA をインストールしますが、古い SA の有効期間は短縮しません。（この動作は以前のキー再生成メソッドと同様であり、ポリシーの交換をサポートしないデバイスの後方互換性が確保されます。）

この機能は、ネットワークのすべてのデバイスがポリシーの交換をサポートするバージョンを実行しているかどうかを確認するために KS（またはプライマリ KS）で使用するコマンドを提供します。詳細については「GM がポリシーの交換をサポートするソフトウェア バージョンを実行していることを確認する」セクションを参照してください。