ZyXEL Communications 91-009-073003B ユーザーズマニュアル

Chapter 5 Quick Setup

ZyWALL USG 50 User’s Guide

Phase 2 in an IKE uses the SA that was established in phase 1 to negotiate SAs for 
IPSec.

Figure 49   VPN Advanced Wizard: Step 4 

• Active Protocol: ESP is compatible with NAT, AH is not.
• Encapsulation: Tunnel is compatible with NAT, Transport is not.
• Encryption Algorithm: 3DES and AES use encryption. The longer the AES 

key, the higher the security (this may affect throughput). Null uses no 

encryption.

• Authentication Algorithm: MD5 gives minimal security. SHA-1 gives higher 

security. MD5 (Message Digest 5) and SHA1 (Secure Hash Algorithm) are hash 

algorithms used to authenticate packet data. The SHA1 algorithm is generally 

considered stronger than MD5, but is slower. 

• SA Life Time: Set how often the ZyWALL renegotiates the IKE SA. A short SA 

life time increases security, but renegotiation temporarily disconnects the VPN 

tunnel. 

• Perfect Forward Secrecy (PFS): Disabling PFS allows faster IPSec setup, but is 

less secure. Select DH1, DH2 or DH5 to enable PFS. DH5 is more secure than 

DH1 or DH2 (although it may affect throughput). DH1 refers to Diffie-Hellman 

Group 1 a 768 bit random number. DH2 refers to Diffie-Hellman Group 2 a 1024 

bit (1Kb) random number. DH5 refers to Diffie-Hellman Group 5 a 1536 bit 

random number (more secure, yet slower).

• Local Policy (IP/Mask): Type the IP address of a computer on your network. 

You can also specify a subnet. This must match the remote IP address 

configured on the remote IPSec device.

• Remote Policy (IP/Mask): Type the IP address of a computer behind the 

remote IPSec device. You can also specify a subnet. This must match the local 

IP address configured on the remote IPSec device.

• Nailed-Up: This displays for the site-to-site and remote access client role 

scenarios. Select this to have the ZyWALL automatically renegotiate the IPSec 

SA when the SA life time expires.