STRONGSWAN.CONF(5) strongSwan STRONGSWAN.CONF(5)

strongswan.conf - پرونده پیکربندی strongSwan

در حالی که پرونده پیکربندی ipsec.conf(5) برای تعریف پارامترهای پیکربندی مرتبط با IPsec بسیار مناسب است، اما خواندن گزینه‌ها از این پرونده برای سایر برنامه‌های strongSwan کاربردی نیست. تجزیه (parse) این پرونده دشوار است و تنها ipsec starter قادر به انجام آن است. با رشد مداوم شمار مؤلفه‌های پروژه strongSwan، به پرونده پیکربندی انعطاف‌پذیرتری نیاز بود؛ پرونده‌ای که گسترش آن آسان باشد و همه مؤلفه‌ها بتوانند از آن استفاده کنند. از نسخه 4.2.1 نرم‌افزار strongSwan پرونده strongswan.conf(5) معرفی شد که این نیازمندی‌ها را برآورده می‌سازد.

قالب پرونده strongswan.conf از بخش‌های سلسله‌مراتبی و فهرستی از جفت‌های کلید/مقدار در هر بخش تشکیل شده است. هر بخش دارای یک نام است که به دنبال آن براکت‌های مجعد به سبک زبان C بدنه بخش را مشخص می‌کنند. بدنه هر بخش شامل مجموعه‌ای از زیربخش‌ها و جفت‌های کلید/مقدار است:

settings := (section|keyvalue)*
section  := name { settings }
keyvalue := key = value\n

مقادیر باید با یک خط جدید خاتمه یابند.

کامنت‌گذاری با استفاده از نویسه # امکان‌پذیر است.

نام بخش‌ها و کلیدها می‌توانند شامل هر نویسه قابل چاپی باشند به جز:

. , : { } = " # \n \t space

یک پرونده نمونه در این قالب می‌تواند به این صورت باشد:

a = b
section-one {
	somevalue = asdf
	subsection {
		othervalue = xxx
	}
	# yei, a comment
	yetanother = zz
}
section-two {
	x = 12
}

دندانه‌گذاری (تورفتگی) اختیاری است؛ می‌توانید از نویسه تب یا فاصله استفاده کنید.

گزینه‌هایی که یک مقدار عددی صحیح را مشخص می‌کنند می‌توانند به صورت ده‌دهی (پیش‌فرض) یا شانزده‌شانزدهی (پیشوند "0x"، حروف کوچک یا بزرگ پذیرفته می‌شوند) تعیین گردند. رشته‌های وابسته به محلی‌سازی (locale) (مانند جداکننده هزارگان در محلی‌سازی جاری) نیز ممکن است در محلی‌سازی‌هایی غیر از "C" پذیرفته شوند.

گزینه‌هایی که یک مقدار ممیز شناور را مشخص می‌کنند می‌توانند به صورت ده‌دهی (پیش‌فرض) یا شانزده‌شانزدهی (پیشوند "0x"، حروف کوچک یا بزرگ پذیرفته می‌شوند) تعیین گردند. نویسه رادیکس (جداکننده اعشار) در هر دو حالت به محلی‌سازی وابسته است که معمولاً "." می‌باشد.

مگر در مواردی که خلاف آن ذکر شده باشد، گزینه‌هایی که زمان را مشخص می‌کنند بر حسب ثانیه تعریف می‌شوند. پسوندهای "s"، "m"، "h" و "d" می‌توانند برای تبدیل خودکار مقادیر داده‌شده بر حسب ثانیه، دقیقه، ساعت یا روز به کار روند (برای نمونه، به جای پیکربندی زمان ایجاد کلید مجدد به میزان ۴ ساعت به صورت "14400" ثانیه، می‌توان از "4h" استفاده کرد).

برخی گزینه‌های سراسری وجود دارند که این پسوندها را نمی‌پذیرند زیرا به صورت مقادیر صحیح بر حسب ثانیه یا میلی‌ثانیه یا حتی به صورت اعداد ممیز شناور پیکربندی می‌شوند (مانند مهلت زمانی ارسال مجدد). گزینه‌هایی که این پسوندها را می‌پذیرند دارای یک مقدار پیش‌فرض متناظر هستند.

ارث‌بری تنظیمات و بخش‌ها از بخشی دیگر امکان‌پذیر است. این قابلیت عمدتاً در swanctl.conf (که از همین قالب پرونده استفاده می‌کند) کاربرد دارد. نحو آن به شرح زیر است:

section    := name : references { settings }
references := absname[, absname]*
absname    := name[.name]*

تمام جفت‌های کلید/مقدار و تمام زیربخش‌های بخش‌های مرجع توسط بخشی که با نام مطلق به آن‌ها ارجاع می‌دهد به ارث برده می‌شوند. مقادیر می‌توانند در همان بخش یا هر یک از زیربخش‌های آن بازنویسی شوند (از یک انتساب خالی برای پاک کردن یک مقدار استفاده کنید تا در صورت وجود، مقدار پیش‌فرض آن اعمال شود). در حال حاضر محدود کردن سطح گنجاندن یا پاک کردن/حذف زیربخش‌های به ارث رسیده امکان‌پذیر نیست.

اگر ترتیب اهمیت داشته باشد (مثلاً برای دورهای احراز هویت در یک اتصال، چنانچه از round استفاده نشود)، باید توجه داشت که تنظیمات/بخش‌های موروثی پس از موارد تعریف‌شده در بخش فعلی قرار خواهند گرفت (اگر به چند بخش ارجاع داده شود، تنظیمات آن‌ها از چپ به راست شمارش می‌شوند).

ارجاع‌ها در زمان اجرا به صورت پویا ارزیابی می‌شوند، بنابراین ارجاع به بخش‌هایی که در ادامه پرونده پیکربندی آمده‌اند یا از طریق پرونده‌های دیگر گنجانده شده‌اند، مشکلی ندارد.

نمونه‌ای از نحوه نگارش این ساختار در زیر آمده است:

conn-defaults {
	# default settings for all conns (e.g. a cert, or IP pools)
}
eap-defaults {
	# defaults if eap is used (e.g. a remote auth round)
}
child-defaults {
	# defaults for child configs (e.g. traffic selectors)
}
connections {
	conn-a : conn-defaults, eap-defaults {
		# set/override stuff specific to this connection
		children {
			child-a : child-defaults {
				# set/override stuff specific to this child
			}
		}
	}
	conn-b : conn-defaults {
		# set/override stuff specific to this connection
		children {
			child-b : child-defaults {
				# set/override stuff specific to this child
			}
		}
	}
	conn-c : connections.conn-a {
		# everything is inherited, including everything conn-a
		# already inherits from the sections it and its
		# sub-section reference
	}
}

با استفاده از دستور include می‌توان سایر پرونده‌ها را در strongswan.conf گنجاند، برای نمونه:

include /some/path/*.conf

اگر نام پرونده یک مسیر مطلق نباشد، نسبت به پوشه پرونده‌ای که دستور include در آن قرار دارد سنجیده می‌شود. نام پرونده می‌تواند شامل نویسه‌های عام پوسته (نگاه کنید به sh(1)) باشد. همچنین این گنجاندن‌ها می‌توانند به صورت تودرتو باشند.

بخش‌های بارگذاری‌شده از پرونده‌های گنجانده‌شده، بخش‌های قبلاً بارگذاری‌شده را گسترش می‌دهند؛ مقادیر موجود از قبل جایگزینمی‌شوند. توجه به این نکته مهم است که تنظیمات نسبت به بخشی که دستور include در آن قرار دارد اضافه می‌شوند.

به عنوان نمونه، سه پرونده زیر به همان پیکربندی نهایی ذکرشده در بالا منتهی می‌شوند:

	a = b
	section-one {
		somevalue = before include
		include include.conf
	}
	include other.conf
include.conf:
	# settings loaded from this file are added to section-one
	# the following replaces the previous value
	somevalue = asdf
	subsection {
		othervalue = yyy
	}
	yetanother = zz
other.conf:
	# this extends section-one and subsection
	section-one {
		subsection {
			# this replaces the previous value
			othervalue = xxx
		}
	}
	section-two {
		x = 12
	}

دسترسی به مقادیر با استفاده از فهرستی از بخش‌ها که با نقطه از هم جدا شده‌اند و یک کلید انجام می‌شود. با توجه به نمونه بالا، دسترسی به section-one.subsection.othervalue مقدار xxx را برمی‌گرداند.

کلیدهای زیر در حال حاضر تعریف شده‌اند (با استفاده از نشانه‌گذاری نقطه‌ای). مقدار پیش‌فرض (در صورت وجود) در داخل براکت پس از کلید آورده شده است.

پلاگین‌هایی که باید در ابزار ipsec aikgen بارگذاری شوند.
شناسه یکپارچه منابع (URI) پایگاه داده اطلاعات اندازه‌گیری پرونده. اگر این شناسه حاوی گذرواژه است، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
پلاگین‌هایی که باید در ابزار ipsec attest بارگذاری شوند.

گزینه‌های مربوط به دیمن IKE به نام charon.

نکته: بسیاری از گزینه‌های این بخش برای charon-cmd و سایر مشتقات charon نیز اعمال می‌شوند. کافی است از نام مربوط به آن‌ها استفاده کنید (مثلاً charon-cmd به جای charon). برای بسیاری از گزینه‌ها می‌توان مقادیر پیش‌فرض را در بخش libstrongswan تعریف کرد.

نقض عمدی الزامات استاندارد IKE و اجازه استفاده از شناسه‌های الگوریتم خصوصی، حتی در صورتی که پیاده‌سازی طرف مقابل ناشناخته باشد.
پذیرش بار داده‌های (payloads) رمزنگاری‌نشده ID و HASH در حالت اصلی (Main Mode) پروتکل IKEv1.

برخی پیاده‌سازی‌ها پیام سوم Main Mode را به صورت رمزنگاری‌نشده ارسال می‌کنند، احتمالاً برای یافتن PSKهای متناظر با ID مشخص‌شده به منظور احراز هویت. این رفتار بسیار شبیه به Aggressive Mode است و پیامدهای امنیتی مشابهی دارد: یک مهاجم غیرفعال (شنودکننده) می‌تواند هویت مذاکره‌شده را شنود کرده و با استفاده از بار داده HASH، حمله جستجوی فراگیر (brute force) را روی PSK آغاز کند.

توصیه می‌شود این گزینه روی no باقی بماند، مگر اینکه دقیقاً از پیامدهای آن آگاه باشید و به سازگاری با چنین دستگاه‌هایی (برای نمونه، برخی دستگاه‌های SonicWall) نیاز داشته باشید.

حداکثر تعداد IKE_SAهای نیمه‌باز (شامل IKE_SA_INITهای پردازش‌نشده) برای یک IP طرف مقابل.
اینکه آیا فهرست‌های ابطال گواهی (CRLها) که از طریق HTTP یا LDAP دریافت شده‌اند باید با یک نام پرونده یکتا مشتق‌شده از کلید عمومی مرجع صدور گواهی (CA) به ترتیب در ${sysconfdir}/ipsec.d/crls (stroke) یا ${sysconfdir}/swanctl/x509crl (vici) ذخیره شوند یا خیر.
اینکه آیا روابط در زنجیره‌های گواهی معتبر باید در حافظه موقت (کَش) ذخیره شوند یا خیر.
به طور پیش‌فرض، پس از تشخیص هرگونه تغییر در رابط‌ها و/یا نشانی‌ها، در صورتی که مسیر جاری به سمت طرف مقابل همچنان قابل استفاده به نظر برسد هیچ اقدامی صورت نمی‌گیرد. فعال کردن این گزینه از DPD استفاده خواهد کرد تا بررسی کند آیا مسیر واقعاً هنوز کار می‌کند یا اینکه مثلاً طرف مقابل پس از یک قطعی طولانی‌مدت ارتباط وضعیت را حذف کرده است یا خیر. همچنین اگر نگاشت‌های NAT در زمان قطعی حذف شده باشند، یک به‌روزرسانی MOBIKE را راه‌اندازی می‌کند.
ارسال بار داده شناسه ارائه‌دهنده (Vendor ID) مربوط به Cisco FlexVPN، که برای الزام دستگاه‌های برند Cisco به منظور اجازه مذاکره برای یک انتخاب‌گر ترافیک (Traffic Selector) محلی (از دید strongSwan) که آدرس IP مجازی اختصاص‌یافته نباشد، در صورتی که چنین آدرسی توسط strongSwan درخواست شده باشد، مورد نیاز است. ارسال شناسه Cisco FlexVPN مانع از آن می‌شود که طرف مقابل انتخاب‌گر ترافیک محلی آغازگر (initiator) را محدود کند و به آن اجازه می‌دهد به عنوان مثال برای یک TS با مقدار 0.0.0.0/0 == 0.0.0.0/0 مذاکره کند. این قابلیت با قالب Cisco تحت عنوان "tunnel mode ipsec ipv4" آزمایش شده است اما برای کپسوله‌سازی GRE نیز باید کار کند.
ارسال بار داده شناسه سازنده Cisco Unity (فقط IKEv1).
بستن IKE_SA در صورت شکست در راه‌اندازی CHILD_SA به همراه IKE_AUTH.
تعداد IKE_SAهای نیمه‌باز (شامل IKE_SA_INITهای پردازش‌نشده) که مکانیزم کوکی را فعال می‌کنند.
تعداد IKE_SAهای نیمه‌باز (شامل IKE_SA_INITهای پردازش‌نشده) برای یک IP طرف مقابل که مکانیزم کوکی را فعال می‌کنند.
سنجش کارایی (بنچمارک) الگوریتم‌های رمزنگاری و مرتب‌سازی آن‌ها بر اساس کارایی.
اندازه بافر استفاده‌شده برای بنچمارک رمزنگاری.
مدت زمان بر حسب میلی‌ثانیه که طی آن کارایی الگوریتم رمزنگاری سنجیده می‌شود.
آزمایش الگوریتم‌های رمزنگاری در هنگام ثبت (نیازمند بردارهای آزمایشی ارائه‌شده توسط پلاگین test-vectors است).
آزمایش الگوریتم‌های رمزنگاری در هر بار نمونه‌سازی از توابع اولیه رمزنگاری.
الزام اکید به وجود حداقل یک بردار آزمایشی جهت فعال‌سازی یک الگوریتم.
اینکه آیا RNG با کیفیت واقعی (TRUE) آزمایش شود یا خیر؛ نیازمند انتروپی زیادی است.
حذف CHILD_SAها بلافاصله پس از ایجاد موفقیت‌آمیز کلید مجدد آن‌ها (فقط IKEv1). شمار CHILD_SAهای کهنه را در سناریوهایی با ایجاد کلید مجدد مکرر کاهش می‌دهد. با این حال، ممکن است در پیاده‌سازی‌هایی که به استفاده از SAهای مجدداً کلیدگذاری‌شده تا زمان انقضای آن‌ها ادامه می‌دهند، مشکلاتی ایجاد کند.
تأخیر بر حسب ثانیه تا زمان حذف IPsec SAهای ورودی پس از ایجاد کلید مجدد (فقط IKEv2). برای پردازش بسته‌های با تأخیر، بخش ورودی یک CHILD_SA تا تعداد ثانیه‌های پیکربندی‌شده پس از جایگزین شدن در حین کلیدگذاری مجدد، نصب‌شده باقی می‌ماند. در صورت تنظیم روی 0، CHILD_SA تا زمان انقضا نصب‌شده می‌ماند (اگر طول عمری تنظیم نشده باشد، بلافاصله نابود می‌شود).
استفاده از اندازه توان DH طبق ANSI X9.42 یا اندازه بهینه متناسب با قدرت رمزنگاری.
استفاده از RTLD_NOW با dlopen در هنگام بارگذاری پلاگین‌ها و IMV/IMCها برای آشکار شدن فوری نمادهای ناموجود.
سرور DNS اختصاص‌یافته به طرف مقابل از طریق بار داده پیکربندی (CP).
سرور DNS اختصاص‌یافته به طرف مقابل از طریق بار داده پیکربندی (CP).
فعال‌سازی محافظت در برابر حمله محروم‌سازی از سرویس (DoS) با استفاده از کوکی‌ها و بررسی‌های میزان تهاجم.

بخش تعریف لاگرهای پرونده‌ای، نگاه کنید به LOGGER CONFIGURATION در strongswan.conf(5).

مقدار <name> در صورتی که فقط شامل نویسه‌های مجاز در نام بخش‌ها باشد، می‌تواند مسیر کامل پرونده لاگ باشد. اگر path مشخص شده باشد، نادیده گرفته می‌شود.
سطح لاگ برای یک زیرسیستم خاص.
اگر این گزینه فعال باشد، ورودی‌های لاگ به انتهای پرونده موجود افزوده می‌شوند.
سطح لاگ پیش‌فرضی را مشخص می‌کند که برای زیرسیستم‌هایی که سطح لاگ خاصی برای آن‌ها تعریف نشده، استفاده می‌شود.
فعال کردن این گزینه بافرینگ بلوکی را غیرفعال کرده و بافرینگ خطی را فعال می‌سازد.
افزودن نام اتصال و یک شناسه عددی یکتا برای IKE_SA جاری به هر ورودی لاگ در صورت موجود بودن.
نوشتن هر ورودی لاگ به عنوان یک شیء JSON در پرونده را فعال می‌کند. مشخصه‌ها عبارتند از "time" (اگر `time_format` تنظیم شده باشد)، "thread"، "group"، "level" و "msg". در مورد آخر خط‌های جدید، نقل‌قول‌های دوتایی و بک‌اسلش‌ها فراردهی (escape) می‌شوند. در صورت فعال بودن `ike_name`، فیلدهای "ikesa-uniqueid" و "ikesa-name" در صورت موجود بودن به شیء اضافه می‌شوند. در صورت فعال بودن این حالت، گزینه `log_level` اعمال نمی‌شود.
افزودن سطح لاگ هر پیام پس از نام زیرسیستم (مثلاً [IKE2]).
مسیر اختیاری به پرونده لاگ. نام بخش را بازنویسی می‌کند. در صورتی که مسیر شامل نویسه‌های غیرمجاز در نام بخش‌ها باشد باید استفاده شود.
پیشوندگذاری هر ورودی لاگ با برچسب زمان. این گزینه رشته قالبی را می‌پذیرد که به strftime(3) ارسال می‌شود.
افزودن میلی‌ثانیه (ms) یا میکروثانیه (us) در ثانیه جاری پس از برچسب زمان (که با نقطه جدا می‌شوند، بنابراین time_format باید با %S یا %T خاتمه یابد). به طور پیش‌فرض، چیزی اضافه نمی‌شود.
در صورت فعال بودن، اشیای استفاده‌شده در حین احراز هویت (گواهی‌ها، هویت‌ها و غیره) پس از برقراری IKE_SA جهت آزادسازی حافظه رها می‌شوند. فعال‌سازی این مورد ممکن است با پلاگین‌هایی که بعداً به مواردی چون گواهی‌های استفاده‌شده نیاز دارند تداخل ایجاد کند.
اینکه آیا تغییرمسیرهای (redirects) مربوط به IKEv2 طبق RFC 5685 دنبال شوند یا خیر.
نقض استاندارد RFC 5998 و استفاده از احراز هویت مبتنی بر فقط EAP، حتی اگر طرف مقابل اعلان EAP_ONLY_AUTHENTICATION را در جریان IKE_AUTH ارسال نکرده باشد.
حداکثر اندازه (اندازه کامل دیتاگرام IP بر حسب بایت) یک تکه (fragment) ارسالی IKE هنگام استفاده از قطعه‌بندی اختصاصی IKEv1 یا قطعه‌بندی استانداردشده IKEv2؛ پیش‌فرض 1280 است (مقدار 0 را برای مقادیر پیش‌فرض ویژه هر خانواده آدرس به کار ببرید که برای IPv4 از مقدار کمتری استفاده می‌کند). در صورت تعیین، مگر اینکه بازنویسی شود، این حد برای هر دو پروتکل IPv4 و IPv6 استفاده می‌شود.
حداکثر اندازه (اندازه کامل دیتاگرام IPv4 بر حسب بایت) یک تکه ارسالی IKE هنگام استفاده از قطعه‌بندی اختصاصی IKEv1 یا قطعه‌بندی استانداردشده IKEv2.
حداکثر اندازه (اندازه کامل دیتاگرام IPv6 بر حسب بایت) یک تکه ارسالی IKE هنگام استفاده از قطعه‌بندی اختصاصی IKEv1 یا قطعه‌بندی استانداردشده IKEv2.
نام گروهی که دیمن پس از راه‌اندازی به آن تغییر وضعیت می‌دهد.
مهلت زمانی بر حسب ثانیه برای اتصالات IKE_SA (همچنین نگاه کنید به IKE_SA_INIT DROPPING).
فعال‌سازی پشتیبانی از هش و نشانی اینترنتی (Hash and URL).
حداکثر تعداد رشته‌های (threads) هم‌روند تحلیل‌گر نام میزبان (در صورت عدم استفاده خاتمه می‌یابند).
حداقل تعداد رشته‌های تحلیل‌گر که باید فعال نگه داشته شوند.
در صورت فعال بودن، پاسخ‌دهندگان (responders) مجاز به استفاده از حالت تهاجمی (Aggressive Mode) پروتکل IKEv1 با کلیدهای از پیش به‌اشتراک‌گذاشته‌شده (PSK) هستند؛ امری که به دلایل امنیتی توصیه نمی‌شود (حملات آفلاین روی هش فاش‌شده PSK که به صورت رمزنگاری‌نشده منتقل می‌شود).
در صورت غیرفعال بودن، انتخاب‌گرهای ترافیک حاصل از رویدادهای acquire هسته سیستم‌عامل (که از بسته محرک مشتق شده‌اند) به ابتدای انتخاب‌گرهای ترافیک حاصل از پیکربندی اتصال IKEv2 اضافه می‌شوند. با فعال کردن این گزینه، این انتخاب‌گرهای ترافیک خاص نادیده گرفته شده و تنها موارد موجود در پیکربندی ارسال خواهند شد. این اتفاق همواره برای اتصالات IKEv1 رخ می‌دهد زیرا این پروتکل تنها از یک مجموعه انتخاب‌گر ترافیک در هر CHILD_SA پشتیبانی می‌کند.
فهرستی از جدول‌های مسیریابی (جداشده با فاصله) که باید از جستجوهای مسیر مستثنی شوند.
حداکثر تعداد IKE_SAهایی که می‌توانند به طور هم‌زمان برقرار باشند، پیش از آنکه تلاش‌ها برای اتصالات جدید مسدود شوند.
تعداد بخش‌های دارای قفل انحصاری در جدول هش.
اندازه جدول هش IKE_SA.

مقادیر پیش‌فرض برای گزینه‌های این بخش را می‌توان در بخش libimcv پیکربندی کرد.
اینکه آیا IMVها صفت استاندارد Assessment Result طبق IETF را ارسال کنند یا خیر.
شناسه یکپارچه منابع (URI) پایگاه داده سراسری خط‌مشی IMV. اگر حاوی گذرواژه است، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
تنظیم دستی اینکه آیا گذرواژه پیش‌فرض فعال است یا خیر.
تنظیم دستی نام سیستم‌عامل کلاینت (مثلاً Ubuntu).
تنظیم دستی نسخه سیستم‌عامل کلاینت (مثلاً 12.04 i686).
اسکریپتی که برای هر اتصال TNC جهت تولید خط‌مشی‌های IMV فراخوانی می‌شود.
اینکه آیا در صورت بسته شدن تنها CHILD_SA به دلیل عدم فعالیت، IKE_SA نیز بسته شود یا خیر.
محدود کردن اتصالات جدید بر اساس تعداد فعلی IKE_SAهای نیمه‌باز؛ نگاه کنید به IKE_SA_INIT DROPPING در strongswan.conf(5).
محدود کردن اتصالات جدید بر اساس تعداد کارهای در صف پردازش (نگاه کنید به IKE_SA_INIT DROPPING).
باعث می‌شود دیمن charon درخواست‌های آغاز اتصال IKE را نادیده بگیرد.
نصب مسیرها در یک جدول مسیریابی جداگانه برای تونل‌های برقرارشده IPsec.
نصب نشانی‌های IP مجازی.
نام رابط شبکه‌ای که نشانی‌های IP مجازی باید روی آن نصب شوند. در صورت عدم تعیین، نشانی‌ها روی رابط خروجی نصب خواهند شد.
بررسی یکپارچگی دیمن، libstrongswan و پلاگین‌ها در هنگام راه‌اندازی.
فهرستی از رابط‌های شبکه (جداشده با کاما) که باید نادیده گرفته شوند؛ اگر interfaces_use تعیین شده باشد، این گزینه اثری ندارد.
فهرستی از رابط‌های شبکه (جداشده با کاما) که باید توسط charon استفاده شوند. تمامی رابط‌های دیگر نادیده گرفته می‌شوند.

تنظیمات سراسری برای پروتکل IP-TFS (استاندارد RFC 9347). هسته لینوکس از نسخه 6.14 از این حالت پشتیبانی می‌کند. با این حال، در حال حاضر تنها از تجمیع/قطعه‌بندی بسته‌های IP تونل‌شده در بسته‌های ESP/AGGFRAG پشتیبانی می‌نماید و هنوز از سایر قابلیت‌های IP-TFS نظیر ارسال بسته‌ها با نرخ ثابت یا کنترل ازدحام پشتیبانی نمی‌کند.
اینکه آیا قطعات بسته‌های داخلی در میان چند بار داده AGGFRAG پذیرفته شوند یا خیر. این یک گزینه IKEv2 است، بنابراین اگر طرف مقابل از این درخواست پیروی نکند و همچنان چنین قطعاتی را ارسال کند، توسط هسته پردازش خواهند شد.
غیرفعال‌سازی اجباری قطعه‌بندی بسته‌های داخلی در میان چند بار داده AGGFRAG هنگام ارسال ترافیک خروجی (در صورتی که طرف مقابل اعلام کند از پردازش چنین بسته‌هایی پشتیبانی نمی‌کند، قطعه‌بندی به طور خودکار غیرفعال می‌شود).
مدت زمان انتظار بر حسب میکروثانیه برای بسته‌های نامرتب هنگام پردازش ترافیک ورودی.
مدت زمان انتظار بر حسب میکروثانیه برای بسته‌های بعدی جهت تجمیع با یکدیگر هنگام ارسال ترافیک خروجی. تنها زمانی مرتبط است که هیچ بسته‌ای از قبل برای ارسال در صف قرار نگرفته باشد.
حداکثر بایت‌های مجاز برای قرارگیری در صف ارسال روی تونل (پیش‌فرض 1 مبی‌بایت). اگر صف پر باشد، بسته‌ها دور ریخته می‌شوند.
حداکثر اندازه بسته بیرونی (لایه ۳) هنگام ارسال بسته‌ها. مقدار پیش‌فرض 0 از PMTU به عنوان اندازه بسته استفاده خواهد کرد. توجه داشته باشید که هسته در حال حاضر بسته‌های کوچک‌تر را پر (pad) نمی‌کند.
تعداد بسته‌هایی که می‌توانند هنگام پردازش ترافیک ورودی بدون ترتیب وارد شوند.
بازه زمانی زنده نگه‌داشتن ارتباط NAT (Keep-alive).
تعداد ثانیه‌هایی که بازه زنده نگه‌داشتن می‌تواند از حد مجاز فراتر رود پیش از آنکه به جای پیام زنده نگه‌داشتن NAT، یک پیام DPD ارسال شود (0 برای غیرفعال‌سازی). این گزینه تنها زمانی کاربرد دارد که از ساعتی استفاده شود که زمان صرف‌شده در حالت تعلیق را نیز در بر می‌گیرد (مانند CLOCK_BOOTTIME).
شامل کردن نام پرونده‌های منبع و شماره خطوط در خروجی ردیاب نشتی حافظه (leak detective).
آستانه بر حسب بایت برای تخصیص‌های حافظه جهت گنجانده شدن در گزارش‌های مصرف (0 برای گنجاندن همه).
آستانه بر حسب تعداد دفعات تخصیص برای گنجانده شدن در گزارش‌های مصرف (0 برای گنجاندن همه).
پلاگین‌هایی که باید در دیمن IKE به نام charon بارگذاری شوند.
در صورت فعال بودن، فهرست پلاگین‌ها برای بارگذاری بر اساس مقدار گزینه‌های charon.plugins.<name>.load تعیین می‌شود. افزون بر یک پرچم بولی ساده، این گزینه می‌تواند یک مقدار عددی صحیح را به عنوان اولویت پلاگین بپذیرد که بر ترتیب پلاگین در فهرست پلاگین‌ها تأثیر می‌گذارد (پیش‌فرض 1 است). اگر دو پلاگین اولویت یکسانی داشته باشند، ترتیب آن‌ها در فهرست پیش‌فرض پلاگین‌ها حفظ می‌شود. پلاگین‌های فعال‌شده‌ای که در آن فهرست یافت نشوند، پیش از سایر پلاگین‌های با اولویت مشابه به ترتیب الفبایی مرتب می‌شوند.
آغاز احراز هویت مجدد در IKEv2 با طرح «ایجاد پیش از قطع» (make-before-break) به جای طرح «قطع پیش از ایجاد» (break-before-make). طرح ایجاد پیش از قطع، با بازسازی کلیه SAهای جدید پیش از حذف موارد قدیمی، از هم‌پوشانی IKE و CHILD_SA در طول احراز هویت مجدد استفاده می‌کند. این رفتار می‌تواند برای جلوگیری از قطعی اتصال حین احراز هویت مجدد سودمند باشد، اما نیازمند پشتیبانی طرف مقابل از SAهای هم‌پوشان است. strongSwan از نسخه 5.3.0 قادر به مدیریت چنین SAهای هم‌پوشانی می‌باشد.
حداکثر تعداد تبادلات فاز ۲ پروتکل IKEv1 در هر IKE_SA که وضعیت آن‌ها به طور هم‌روند نگهداری و پیگیری می‌شود.
حداکثر اندازه بسته پذیرفته‌شده توسط charon.
فعال‌سازی تبادلات چندگانه احراز هویت (RFC 4739).
سرورهای WINS اختصاص‌یافته به طرف مقابل از طریق بار داده پیکربندی (CP).
سرورهای WINS اختصاص‌یافته به طرف مقابل از طریق بار داده پیکربندی (CP).
طول نانس‌ها (nonces) در درخواست‌های OCSP. طبق RFC 8954 مقادیر معتبر بین 1 تا 32 هستند، و کلاینت‌های جدید ملزم به استفاده از 32 می‌باشند. ممکن است برخی سرورها از آن پشتیبانی نکنند، بنابراین کاهش مقدار مثلاً به 16 ممکن است لازم باشد.
استاندارد RFC3779 ایجاب می‌کند که تمام addrblockهای ادعاشده توسط یک گواهی باید در پسوند addrblock گواهی صادرکننده تا مرجع صدور ریشه (Root CA) وجود داشته باشند. تنظیم عمق پیش‌فرض روی -1 این مورد را اعمال می‌کند.

در عمل، ممکن است مراجع صدور گواهی شخص ثالث (ریشه) حاوی این پسوند نباشند و این امر باعث غیرقابل استفاده شدن پسوند addrblock در ذیل چنین Cهایی می‌شود. با محدود کردن عمق اعتبارسنجی، تنها سطح مشخصی از گواهی‌های صادرکننده برای وجود پسوندهای مناسب addrblock ارزیابی می‌شوند: عمق 0 هیچ‌یک از پسوندهای گواهی صادرکننده را بررسی نمی‌کند، عمق 1 تنها صادرکننده مستقیم گواهی نهاد نهایی را بررسی می‌کند، و به همین ترتیب.

در صورت تنظیم روی yes، اگر گواهی صادرکننده دارای پسوند addrblock باشد، گواهی موضوع فاقد پسوند addrblock رد می‌شود. در صورت تنظیم روی no، گواهی‌های موضوع صادرشده بدون پسوند addrblock بدون هیچ‌گونه بررسی انتخاب‌گر ترافیک پذیرفته می‌شوند و هیچ خط‌مشی‌ای توسط پلاگین اعمال نمی‌شود.
سطح لاگ برای ثبت رویدادها در لاگر ویژه اندروید.

بخش تعیین ویژگی‌های دلخواهی که از طریق بار داده پیکربندی (CP) به طرف مقابل اختصاص داده می‌شوند.
مشخصه <attr> می‌تواند یکی از موارد address، netmask، dns، nbns، dhcp، subnet، split-include، split-exclude یا شناسه عددی نوع صفت باشد. مقدار اختصاص‌یافته می‌تواند یک نشانی IPv4/IPv6، یک زیرشبکه با نمادگذاری CIDR یا بسته به نوع صفت یک مقدار دلخواه باشد. برای برخی انواع صفت‌ها می‌توان مقادیر چندگانه را به صورت فهرستی جداشده با کاما مشخص کرد.
آزادسازی تمام اجاره‌های آنلاین در حین راه‌اندازی. جهت اشتراک‌گذاری پایگاه داده بین چندین درگاه VPN این گزینه را غیرفعال کنید.
شناسه یکپارچه منابع (URI) پایگاه داده برای پلاگین attr-sql مورد استفاده توسط charon. اگر حاوی گذرواژه است، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
فعال‌سازی ثبت وقایع (لاگ) تاریخچه اجاره استخر IP در SQL.
در صورت فعال بودن، تنها از RNG داخلی Botan در سراسر پلاگین استفاده خواهد شد. در غیر این صورت، و در صورت پشتیبانی Botan، از پیاده‌سازی‌های rng_t ارائه‌شده توسط سایر پلاگین‌های بارگذاری‌شده به عنوان RNG استفاده می‌شود.
نام نمونه RNG در Botan جهت استفاده برای کیفیت‌های RNG_STRONG و RNG_WEAK (مانند user، user-threadsafe یا system).
نام نمونه RNG در Botan جهت استفاده برای کیفیت RNG_TRUE (مانند user، user-threadsafe یا system).
فهرستی از رابط‌های شبکه (جداشده با کاما) که زیرشبکه‌های متصل به آن‌ها باید نادیده گرفته شوند؛ اگر interfaces_use تعیین شده باشد، این گزینه اثری ندارد.
فهرستی از رابط‌های شبکه (جداشده با کاما) که زیرشبکه‌های متصل به آن‌ها باید مد نظر قرار گیرند. تمامی رابط‌های دیگر نادیده گرفته می‌شوند.
رشته‌ای به سبک cron برای تعیین زمان‌های صدور خروجی پرونده CSV.
رشته‌ای که برای فیلدهای خالی CAهای میانی استفاده می‌شود.
استفاده از شمار فیلد ثابت برای CAهای میانی.
اجبار به خروجی گرفتن از تمام زنجیره‌های اعتمادی که برای آن‌ها کلید خصوصی داریم.
رشته قالب strftime(3) برای صدور تاریخ‌های انقضا.
رشته قالب strftime(3) برای نام پرونده CSV جهت صدور گواهی‌های محلی.
رشته قالب strftime(3) برای نام پرونده CSV جهت صدور گواهی‌های طرف مقابل (remote).
جداکننده فیلدهای CSV.
پرونده‌ای برای ذخیره فهرست جفت‌سازی (coupling).
الگوریتم هش برای اثرانگشت‌گیری از گواهی‌های جفت‌شده.
حداکثر تعداد ورودی‌های جفت‌سازی برای ایجاد.
حداکثر تعداد تغییرمسیرهایی که توسط پلاگین دنبال می‌شود؛ مقدار 0 برای غیرفعال کردن دنبال کردن تغییرمسیرها و مقدار -1 برای حالت بدون محدودیت است.
پک‌اند SSL/TLS جهت پیکربندی در curl در صورتی که چند مورد موجود باشد (نیازمند libcurl نسخه 7.56 یا جدیدتر است). در صورت عدم پیکربندی، فهرستی از گزینه‌های موجود در سطح لاگ 2 ثبت می‌شود. وضعیت مشابهی در سطح لاگ 1 رخ می‌دهد اگر بک‌اند انتخاب‌شده در دسترس نباشد.
همواره از نشانی سرور پیکربندی‌شده استفاده شود. این مورد زمانی سودمند است که سرور DHCP روی همان میزبان strongSwan اجرا شود و دیمن DHCP روی رابط loopback گوش ندهد. در این حالت سرور از طریق unicast (یا حتی 255.255.255.255) قابل دسترسی نخواهد بود زیرا از طریق loopback مسیریابی می‌شود. تنظیم این گزینه روی yes و پیکربندی نشانی برودکست محلی (مثلاً 192.168.0.255) به عنوان نشانی سرور ممکن است کارساز باشد.
مشتق کردن نشانی MAC تعریف‌شده توسط کاربر از هش هویت IKE و ارسال گزینه شناسه کلاینت در DHCP.
نام رابطی که پلاگین برای تخصیص نشانی استفاده می‌کند. حالت پیش‌فرض اتصال (bind) به هر نشانی (0.0.0.0) است و انتخاب نحوه مسیریابی بسته‌ها به سرور DHCP به عهده سیستم گذاشته می‌شود.
نام رابطی که پلاگین برای اتصال سوکت دریافت خود استفاده می‌کند. حالت پیش‌فرض استفاده از همان رابط سوکت ارسال است. آن را روی یک رشته خالی تنظیم کنید تا از اتصال سوکت دریافت به هر رابطی جلوگیری شود در حالی که سوکت ارسال به یک رابط متصل است. اگر سرور روی همان میزبان اجرا می‌شود و سوکت ارسال به یک رابط متصل است، ممکن است نیاز باشد این گزینه روی `lo` یا رشته خالی تنظیم شود.
نشانی IP تک‌پخشی (unicast) یا همگانی (broadcast) سرور DHCP.
استفاده از پورت سرور DHCP (67) به عنوان پورت مبدأ به جای پورت کلاینت DHCP (68)، هنگامی که یک نشانی سرور یونیکست پیکربندی شده و پلاگین به عنوان عامل رله (relay agent) عمل می‌کند. در هنگام پاسخ در این حالت، سرور DHCP بسته‌ها را همواره به پورت سرور DHCP ارسال می‌کند و اگر فرآیندی به این پورت متصل نباشد، پیام ICMP عدم دسترسی به پورت برگشت داده خواهد شد که این برای برخی سرورهای DHCP دردسرساز است. برای پیشگیری از این مسئله، فعال کردن این گزینه باعث می‌شود پلاگین پورت سرور DHCP را برای ارسال درخواست‌های خود در نقش عامل رله متصل (bind) کند. این کار اگر سرور DHCP از قبل روی همان میزبان اجرا شده باشد ضروری نیست و حتی ممکن است سبب تداخل شود (و از آنجا که پورت سرور از قبل متصل است، خطاهای ICMP مشکلی ایجاد نخواهند کرد).
فعال‌سازی دریافت رکوردهای CERT از طریق DNS.
تعداد درخواست‌های بیت شبه‌تصادفی از DRBG پیش از رخ دادن بازبذردهی (reseeding) خودکار.
فعال‌سازی برای بررسی توالی مقادیر AKA SQN به منظور راه‌اندازی چرخه‌های همگام‌سازی مجدد.
فعال‌سازی برای بررسی توالی مقادیر AKA SQN به منظور راه‌اندازی چرخه‌های همگام‌سازی مجدد.
در صورت فعال بودن، روش‌های EAP پیشنهادی در پیام EAP-Nak ارسال‌شده توسط طرف مقابل نسبت به روش‌های ثبت‌شده محلی ترجیح داده می‌شوند.
روش(های) EAP ترجیحی برای استفاده. اگر تعیین نشود، در ابتدا از نخستین روش ثبت‌شده استفاده خواهد شد. در صورت ارائه یک فهرست جداشده با کاما، روش‌ها پیش از امتحان سایر روش‌های ثبت‌شده، به ترتیب ارائه‌شده آزموده می‌شوند.
بک‌اند XAuth برای استفاده جهت اعتبارسنجی اطلاعات هویتی.
حداکثر اندازه یک بسته EAP-PEAP.
گنجاندن طول در بسته‌های قطعه‌بندی‌نشده EAP-PEAP.
حداکثر تعداد بسته‌های EAP-PEAP پردازش‌شده (0 = بدون محدودیت).
روش احراز هویت کلاینت در فاز ۲ EAP.
سوار کردن (piggyback) درخواست هویت فاز ۲ EAP توسط سرور روی پیام TLS Finished، تنها در صورت مذاکره TLS 1.2 یا نسخه‌های قدیمی‌تر کاربرد دارد.
آغاز پروتکل TNC فاز ۲ EAP پس از احراز هویت موفق کلاینت.
درخواست احراز هویت طرف مقابل بر اساس گواهی کلاینت.
ارسال اطلاعات حسابرسی (accounting) به سرورهای RADIUS.
بستن IKE_SA در صورت رخ دادن مهلت زمانی در حین به‌روزرسانی‌های میانی حسابرسی RADIUS.
بازه زمانی بر حسب ثانیه برای به‌روزرسانی‌های میانی حسابرسی RADIUS، چنانچه توسط سرور RADIUS در پیام Access-Accept تعیین نشده باشد.
در صورت فعال بودن، حسابرسی غیرفعال می‌شود مگر اینکه یک IKE_SA حداقل دارای یک IP مجازی باشد. تنها برای IKEv2 کاربرد دارد، زیرا برای IKEv1 داشتن IP مجازی اکیداً ضروری است.
در صورت فعال بودن، صفت‌های Class دریافت‌شده در پیام Access-Accept را به پیام‌های حسابرسی RADIUS می‌افزاید.
استفاده از صفت class ارسال‌شده در پیام RADIUS-Accept به عنوان اطلاعات عضویت گروه که با گروه‌های مشخص‌شده در گزینه rightgroups در ipsec.conf(5) مقایسه می‌شود.
بستن تمام IKE_SAها در صورتی که ارتباط با سرور RADIUS دچار مهلت زمانی شود. اگر تنظیم نشود، تنها IKE_SA فعلی بسته خواهد شد.
فعال‌سازی پشتیبانی از افزونه مجوزدهی پویا یا DAE (استاندارد RFC 5176).
نشانی شنود پیام‌های DAE از سرور RADIUS.
پورت شنود درخواست‌های DAE.
راز مشترک (Shared secret) مورد استفاده برای اعتبارسنجی/امضای پیام‌های DAE. در صورت تنظیم، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
ارسال EAP-Start به جای EAP-Identity جهت آغاز مکالمه با RADIUS.
اگر صفت tunnel_type مربوط به RADIUS با مقدار ESP دریافت شود، از صفت filter_id ارسال‌شده در پیام RADIUS-Accept به عنوان اطلاعات عضویت در گروه استفاده می‌شود که با گروه‌های مشخص‌شده در گزینه rightgroups در ipsec.conf(5) مقایسه می‌گردد.
صفت‌های RADIUS که باید از IKEv2 به RADIUS هدایت شوند (می‌توان بر اساس نام یا شماره صفت تعریف کرد؛ برای تعیین صفت‌های ویژه سازنده می‌توان از دونقطه استفاده کرد، مثلاً Reply-Message، یا 11، یا 36906:12).
مشابه charon.plugins.eap-radius.forward.ike_to_radius اما از RADIUS به IKEv2؛ برای انتقال صفت‌ها از یک اعلان خصوصی ویژه strongSwan با کد (40969) استفاده می‌شود.
پیشوند EAP-Identity؛ برخی سرورهای AAA از یک پیشوند IMSI برای انتخاب روش EAP استفاده می‌کنند.
شناسه NAS (یا NAS-Identifier) برای گنجاندن در پیام‌های RADIUS.
پورت سرور RADIUS (احراز هویت).
پایه مورد استفاده برای محاسبه پس‌نشینی نمایی (exponential backoff).
مهلت زمانی بر حسب ثانیه پیش از ارسال اولین تلاش مجدد.
تعداد دفعات ارسال مجدد یک بسته پیش از انصراف.
راز مشترک بین RADIUS و NAS. در صورت تنظیم، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
نشانی IP/نام میزبان سرور RADIUS.

بخش تعیین چند سرور RADIUS. گزینه‌های source، nas_identifier، secret، sockets و port (یا auth_port) را می‌توان برای هر سرور مشخص کرد. نشانی IP/نام میزبان سرور را می‌توان با استفاده از گزینه address پیکربندی نمود. گزینه acct_port [1813] می‌تواند برای تعیین پورت مورد استفاده در حسابرسی RADIUS به کار رود. برای هر سرور RADIUS می‌توان اولویتی را با استفاده از گزینه preference [0] مشخص کرد. زمان ارسال مجدد برای هر سرور را می‌توان با retransmit_base، retransmit_timeout و retransmit_tries تنظیم نمود.
تعداد سوکت‌ها (پورت‌ها) برای استفاده؛ برای بارهای کاری سنگین افزایش دهید.
نشانی IP مبدأ خاص و اختیاری برای استفاده.
اینکه آیا پورت UDP در صفت‌های Called-Station-Id و Calling-Station-Id مربوط به RADIUS گنجانده شود یا خیر.

بخش پیکربندی چندین دور احراز هویت XAuth از طریق RADIUS. زیربخش‌ها به اصطلاح پروفایل‌های احراز هویت را با نام‌های دلخواه تعریف می‌کنند. در هر بخش پروفایل می‌توان یک یا چند نوع XAuth را با یک پیام اختصاص‌یافته پیکربندی کرد. برای هر نوع، یک تبادل XAuth جداگانه آغاز می‌شود و تمام پاسخ‌ها به صورت پیوسته در صفت User-Password قرار می‌گیرند که سپس از طریق RADIUS اعتبارسنجی می‌شود.

انواع XAuth موجود عبارتند از password، passcode، nextpin و answer. این نوع برای strongSwan یا سرور AAA اهمیتی ندارد، اما کلاینت ممکن است کادر گفتگوی متفاوتی را (همراه با پیام پیکربندی‌شده) نمایش دهد.

برای استفاده از پروفایل‌های پیکربندی‌شده، باید آن‌ها را در اتصال مربوطه در ipsec.conf(5) با افزودن نام پروفایل (جداشده با دونقطه) به پیکربندی بک‌اند xauth-radius در rightauth یا rightauth2 مشخص کرد؛ به عنوان نمونه: rightauth2=xauth-radius:profile.

حداکثر اندازه یک بسته EAP-TLS.
گنجاندن طول در بسته‌های قطعه‌بندی‌نشده EAP-TLS.
حداکثر تعداد بسته‌های EAP-TLS پردازش‌شده (0 = بدون محدودیت).
حداکثر تعداد بسته‌های EAP-TNC پردازش‌شده (0 = بدون محدودیت).
نسخه پروتکل IF-TNCCS برای استفاده (tnccs-2.0 تنها گزینه موجود است).
حداکثر اندازه یک بسته EAP-TTLS.
گنجاندن طول در بسته‌های قطعه‌بندی‌نشده EAP-TTLS.
حداکثر تعداد بسته‌های EAP-TTLS پردازش‌شده (0 = بدون محدودیت).
روش احراز هویت کلاینت در فاز ۲ EAP.
سوار کردن درخواست هویت فاز ۲ EAP توسط سرور روی پیام TLS Finished.
آغاز پروتکل TNC فاز ۲ EAP پس از احراز هویت موفق کلاینت.
پروتکل انتقال TNC فاز ۲ EAP (pt به عنوان استاندارد IETF یا شیوه قدیمی tnc)
درخواست احراز هویت طرف مقابل بر اساس گواهی کلاینت.
سوکت ارائه‌شده توسط پلاگین error-notify.
دستوری برای ارسال به پوسته سیستم جهت اعتبارسنجی و مجوزدهی طرف مقابل. مجوزدهی در صورتی موفق در نظر گرفته می‌شود که دستور به طور عادی با کد خروج صفر اجرا شود. برای کلیه کدهای خروج دیگر، مجوزدهی IKE_SA رد می‌شود.

متغیرهای محیطی زیر به اسکریپت ارسال می‌شوند: IKE_UNIQUE_ID: شناسه عددی یکتای IKE_SA. IKE_NAME: نام اتصال پیکربندی طرف مقابل. IKE_LOCAL_HOST: نشانی IP محلی IKE. IKE_REMOTE_HOST: نشانی IP دوردست (طرف مقابل) IKE. IKE_LOCAL_ID: هویت محلی IKE. IKE_REMOTE_ID: هویت دوردست IKE. IKE_REMOTE_EAP_ID: هویت دوردست EAP یا XAuth، در صورت استفاده.

فهرستی از گروه‌های چندپخشی (multicast) جداشده با کاما برای پیوستن محلی. میزبان محلی بسته‌ها را در شبکه محلی (LAN) فقط برای گروه‌های چندپخشی پیوسته‌شده دریافت و بازهدایت می‌کند. بسته‌های منطبق با فهرست گروه‌های چندپخشی به کلاینت‌های متصل بازهدایت می‌شوند. گروه پیش‌فرض شامل چندپخشی‌های میزبان، IGMP، mDNS، LLMNR و SSDP/WS-Discovery است و معمولاً انتخاب مناسبی برای کلاینت‌های ویندوز به شمار می‌رود.
نام رابط محلی برای شنود پیام‌های برودکست جهت بازهدایت. اگر رابطی پیکربندی نشود، نخستین رابط قابل استفاده به کار گرفته می‌شود که معمولاً برای میزبان‌های تک‌رابطه کاملاً مناسب است. اگر میزبان شما دارای چند رابط است، این گزینه را روی رابط شبکه محلی (LAN) که می‌خواهید برودکست‌ها را از آن/به آن هدایت کنید تنظیم نمایید.
فهرستی از نام‌های پیکربندی CHILD_SA جداشده با کاما که برای آن‌ها بازتزریق بسته‌های چندپخشی/پخش‌همگانی انجام می‌شود. برای کلاینت‌هایی که از طریق چنین پیکربندی متصل می‌شوند، هرگونه چندپخشی/برودکست دریافت‌شده از طریق تونل مجدداً به تمامی تونل‌های فعال بازتزریق می‌شود. این امر باعث می‌شود برودکست‌ها برای سایر طرف‌ها قابل مشاهده باشند و برای نمونه به کلاینت‌ها امکان می‌دهد اشتراک‌گذاری‌های دیگران را ببینند. در صورت غیرفعال بودن، پیام‌های چندپخشی/برودکست دریافت‌شده از طریق یک تونل تنها به شبکه محلی تزریق می‌شوند، نه به سایر کلاینت‌های IPsec.
بازه زمانی بر حسب ثانیه جهت توازن خودکار بخش‌های مدیریت‌شده میان گره‌ها. برای غیرفعال‌سازی روی 0 تنظیم کنید.
اندازه بافر برای پیام‌های HA دریافت‌شده. برای IKEv1 فاکتورهای عمومی DH نیز منتقل می‌شوند، بنابراین بسته به گروه DH، پیام‌های HA می‌توانند بسیار بزرگ شوند (مقدار پیش‌فرض باید تا modp4096 پاسخگو باشد).
حداکثر اندازه بافر دریافت برای سوکت HA بر حسب بایت. این مقدار مشخص می‌کند که چه تعداد بایت از پیام‌های HA می‌تواند در سوکت صف‌بندی شود. در صورت تنظیم روی 0، مقدار پیش‌فرض از `/proc/sys/net/core/rmem_default` اعمال خواهد شد. توجه داشته باشید که هسته سیستم‌عامل مقدار پیکربندی‌شده را برای محاسبه سربار دو برابر می‌کند. برای فراتر رفتن از حداکثر سراسری سیستم در `/proc/sys/net/core/rmem_max`، مجوزهای ویژه (CAP_NET_ADMIN) لازم است، در غیر این صورت هسته سیستم‌عامل بدون هشدار مقدار را محدود می‌کند.
فعال‌سازی دریافت رکوردهای IPSECKEY از طریق DNS.
اجازه دادن به اینکه انتخاب‌گر ترافیک دوردست برابر با طرف مقابل IKE باشد. مسیری که برای چنین ترافیکی (از طریق دستگاه TUN) نصب می‌شود معمولاً مانع از ترافیک بیشتر IKE می‌گردد. گزینه‌های fwmark برای پلاگین‌های kernel-netlink و socket-default می‌توانند برای دور زدن این مشکل استفاده شوند.
علامت فایروال (Firewall mark) جهت تنظیم روی بسته‌های خام ESP خروجی.
اینکه آیا در صورت پشتیبانی در این پلتفرم و عدم تشخیص NAT، بسته‌های ESP بدون کپسوله‌سازی UDP ارسال و دریافت شوند یا خیر.
اندازه بافر برای پیام‌های Netlink دریافت‌شده.
علامت فایروال جهت تنظیم روی قاعده مسیریابی که ترافیک را به جدول مسیریابی ما هدایت می‌کند. قالب به صورت [!]mark[/mask] است که علامت تعجب اختیاری مفهوم را معکوس می‌کند (یعنی قاعده تنها روی بسته‌هایی اعمال می‌شود که با علامت مطابقت ندارند).
اگر هسته سیستم‌عامل از باراندازی سخت‌افزاری (Hardware offloading) پشتیبانی کند، پلاگین باید پرچم ویژگی را پیدا کند که نشان‌دهنده پشتیبانی دستگاه‌های شبکه از باراندازی سخت‌افزاری است. استفاده از دستگاه loopback برای این منظور معمولاً مناسب است، زیرا همواره باید حضور داشته باشد. برای موارد نادری که دستگاه loopback نمی‌تواند برای به دست آوردن پرچم ویژگی مناسب به کار رود، این گزینه می‌تواند برای تعیین یک رابط جایگزین جهت تشخیص قابلیت‌های باراندازی استفاده شود.
اینکه آیا خطاهای بالقوه ناشی از ارسال مجدد نادیده گرفته شوند یا خیر.
اینکه آیا مسیرها از طریق رابط‌های XFRM به طور خودکار برای SAهایی که از طریق if_id_out به چنین رابطی ارجاع می‌دهند نصب شوند یا خیر. اگر انتخاب‌گرهای ترافیک شامل ترافیک IKE به طرف مقابل باشند، این مورد نیازمند دقت ویژه است (مثلاً نصب خط‌مشی‌ها و/یا مسیرهای دورزدن (bypass)، یا تنظیم یک علامت روی سوکت IKE و مستثنی کردن چنین بسته‌هایی از جدول مسیریابی پیکربندی‌شده از طریق گزینه fwmark).
مقدار MSS جهت تنظیم روی مسیرهای نصب‌شده، 0 برای غیرفعال‌سازی.
مقدار MTU جهت تنظیم روی مسیرهای نصب‌شده، 0 برای غیرفعال‌سازی.
اینکه آیا پرس‌وجوهای هم‌روند Netlink ROUTE روی یک سوکت واحد انجام شود یا خیر. اگرچه پرس‌وجوهای موازی می‌توانند توان عملیاتی را بهبود بخشند، اما سربار بیشتری دارند. در توزیع‌های استاندارد لینوکس، پرس‌وجوهای DUMP با خطای EBUSY مواجه می‌شوند و باید دوباره امتحان شوند که این امر کارایی را بیشتر کاهش می‌دهد.
اینکه آیا پرس‌وجوهای هم‌روند Netlink XFRM روی یک سوکت واحد انجام شود یا خیر.
اینکه آیا همواره از XFRM_MSG_UPDPOLICY برای نصب خط‌مشی‌ها استفاده شود یا خیر.
اینکه آیا از خط‌مشی‌های دورزدن XFRM برای IKE مبتنی بر پورت استفاده شود یا مبتنی بر سوکت. خط‌مشی‌های دورزدن IKE برای معاف کردن ترافیک IKE از پردازش‌های XFRM به کار می‌روند. خط‌مشی‌های پیش‌فرض مبتنی بر سوکت مستقیماً به سوکت‌های UDP پروتکل IKE گره خورده‌اند، در حالی که خط‌مشی‌های مبتنی بر پورت از خط‌مشی‌های دورزدن سراسری XFRM برای پورت‌های UDP استفاده‌شده IKE بهره می‌برند.
اینکه آیا تغییرات در قواعد مسیریابی جهت راه‌اندازی رویدادهای جابجایی (roam) پردازش شوند یا خیر. این گزینه در حال حاضر تنها در صورتی مفید است که از جستجوی مسیر مبتنی بر هسته استفاده شود (یعنی اگر نصب مسیر غیرفعال باشد یا تطبیق fwmark معکوس پیکربندی شده باشد).
حداکثر بافر دریافت سوکت Netlink بر حسب بایت. این مقدار مشخص می‌کند چه تعداد بایت از پیام‌های Netlink می‌تواند در سوکت Netlink صف‌بندی شود. در صورت تنظیم روی 0، مقدار پیش‌فرض از /proc/sys/net/core/rmem_default اعمال می‌شود. توجه داشته باشید که هسته سیستم‌عامل مقدار پیکربندی‌شده را برای محاسبه سربار دو برابر می‌کند. برای فراتر رفتن از حداکثر سراسری سیستم در /proc/sys/net/core/rmem_max، مجوزهای ویژه (CAP_NET_ADMIN) لازم است، در غیر این صورت هسته سیستم‌عامل بدون هشدار مقدار را محدود می‌کند.
تعداد ارسال‌های مجدد پیام Netlink در هنگام رخ دادن مهلت زمانی.
اینکه آیا هنگام تغییر رابط‌ها، نشانی‌ها یا مسیرها رویدادهای جابجایی (roam) فعال شوند یا خیر.
اینکه آیا پروتکل و پورت‌ها در انتخاب‌گر نصب‌شده روی SAهای IPsec حالت انتقال (transport mode) در هسته تنظیم شوند یا خیر. گرچه انجام این کار خط‌مشی‌ها را برای ترافیک ورودی اعمال می‌کند، مانع استفاده بیش از یک انتخاب‌گر ترافیک از یک SA واحد IPsec نیز می‌شود.

پیکربندی آستانه هشینگ خط‌مشی XFRM برای IPv4 و IPv6.

این بخش آستانه‌های هشینگی را تعریف می‌کند که در هنگام راه‌اندازی دیمن در هسته پیکربندی می‌شوند. هر خانواده نشانی یک آستانه برای زیرشبکه محلی خط‌مشی IPsec (مبدأ در خط‌مشی‌های out، مقصد در خط‌مشی‌های in و forward) و زیرشبکه دوردست (مقصد در خط‌مشی‌های out، مبدأ در خط‌مشی‌های in و forward) می‌پذیرد.

اگر زیرشبکه تعداد بیت‌های شبکه بیشتر یا مساوی با مقدار آستانه داشته باشد، نخستین بیت‌های آستانه برای محاسبه هش جهت جستجوی خط‌مشی استفاده می‌شوند.

آستانه‌های هشینگ خط‌مشی پیش از لینوکس نسخه 3.18 پشتیبانی نمی‌شوند و ممکن است در نسخه‌های پیش از لینوکس 4.8 با خط‌مشی‌های سوکت تداخل داشته باشند.

آستانه هشینگ خط‌مشی XFRM برای زیرشبکه محلی در IPv4.
آستانه هشینگ خط‌مشی XFRM برای زیرشبکه دوردست در IPv4.
آستانه هشینگ خط‌مشی XFRM برای زیرشبکه محلی در IPv6.
آستانه هشینگ خط‌مشی XFRM برای زیرشبکه دوردست در IPv6.
مهلت زمانی ارسال مجدد پیام Netlink، مقدار 0 برای غیرفعال کردن ارسال‌های مجدد است.
طول عمر وضعیت acquire مربوط به XFRM که هنگام تطبیق ترافیک با یک خط‌مشی trap توسط هسته ایجاد می‌شود. این مقدار در /proc/sys/net/core/xfrm_acq_expires نوشته می‌شود. به طور غیرمستقیم تأخیر بین پیام‌های acquire مربوط به XFRM را که توسط هسته برای یک خط‌مشی trap راه‌اندازی می‌شوند کنترل می‌کند. همین مقدار به عنوان مهلت زمانی برای SPIهای تخصیص‌یافته توسط هسته به کار می‌رود. مقدار پیش‌فرض با کل مهلت زمانی ارسال مجدد برای پیام‌های IKE برابر است، نگاه کنید به IKEv2 RETRANSMISSION در strongswan.conf(5).
اندازه بافر دریافت برای سوکت رویدادها (0 برای اندازه پیش‌فرض). از آنجا که رویدادها به صورت ناهمگام دریافت می‌شوند، برای دریافت تمام پیام‌ها، نصب مثلاً خط‌مشی‌های پرتعداد ممکن است در پلتفرم‌های خاصی به بافری بزرگ‌تر از پیش‌فرض نیاز داشته باشد.
اینکه آیا در مسیرهای نصب‌شده از رابط داخلی استفاده شود یا رابط خارجی. رابط داخلی رابطی است که نشانی IP موجود در انتخاب‌گر ترافیک محلی در آن قرار دارد؛ رابط خارجی رابطی است که از طریق آن نشانی مقصد تونل IPsec قابل دسترسی است. اگر از IPهای مجازی استفاده شود که برای آن‌ها یک دستگاه TUN ساخته شده و در مسیرها استفاده می‌شود، این مورد کاربردی ندارد.
مقدار MTU برای تنظیم روی دستگاه‌های TUN ساخته‌شده جهت IPهای مجازی.
مدت زمان بر حسب میلی‌ثانیه برای انتظار تا زمان پدیدار شدن/ناپدید شدن نشانی‌های IP مجازی پیش از اعلام شکست.

بخش پیکربندی پلاگین load-tester، برای جزئیات به LOAD TESTS در strongswan.conf(5) مراجعه کنید.

بخشی شامل جفت‌های کلید/مقدار با استخرهای نشانی (با نمادگذاری CIDR) جهت استفاده برای یک رابط شبکه خاص، مثلاً eth0 = 10.10.0.0/16.
اینکه آیا نشانی‌های پویا حتی پس از خاتمه یافتن SA مربوطه حفظ شوند یا خیر.
طول پیشوند شبکه هنگام نصب نشانی‌های پویا. در صورت تنظیم روی -1 کل نشانی استفاده می‌شود (یعنی 32 یا 128).
پوشه‌ای برای بارگذاری گواهی‌های CA (میانی).
ثانیه‌ها تا آغاز کلیدگذاری مجدد CHILD_SA پس از راه‌اندازی.
نشانی URI به یک CRL برای گنجاندن به عنوان نقطه توزیع گواهی در گواهی‌های تولیدشده.
تأخیر بین آغازگرها برای هر رشته (thread).
حذف یک IKE_SA به محض برقراری آن.
الگوریتم خلاصه‌سازی (digest) مورد استفاده در هنگام صدور گواهی‌ها.
تأخیر DPD برای استفاده در آزمون بار.
پورت پایه مورد استفاده برای درخواست‌ها (هر کلاینت از پورت متفاوتی استفاده می‌کند).
راز EAP مورد استفاده در آزمون بار.
فعال‌سازی پلاگین سنجش بار (load testing). هشدار: هرگز این پلاگین را در سامانه‌های عملیاتی فعال نکنید. این پلاگین اطلاعات هویتی از پیش پیکربندی‌شده ارائه می‌دهد و به مهاجم امکان می‌دهد به عنوان هر کاربری احراز هویت کند.
پیشنهاد (proposal) پروتکل CHILD_SA جهت استفاده برای آزمون‌های بار.
شبیه‌سازی جعلی رابط هسته جهت امکان‌پذیر ساختن آزمون بار علیه خود سامانه.
ثانیه‌ها تا آغاز کلیدگذاری مجدد IKE_SA پس از راه‌اندازی.
حد سراسری SAهای برقرارشده هم‌روند در حین آزمون بار.
نشانی برای آغاز اتصال از آن.
روش(های) احراز هویت که آغازگر استفاده می‌کند.
شناسه آغازگر مورد استفاده در آزمون بار.
شناسه آغازگر جهت تطبیق به عنوان پاسخ‌دهنده.
انتخاب‌گر ترافیک در سمت آغازگر، طبق پیشنهاد ارائه‌شده توسط آغازگر.
انتخاب‌گر ترافیک در سمت پاسخ‌دهنده، طبق پیشنهاد ارائه‌شده توسط آغازگر.
تعداد رشته‌های هم‌روند آغازگر برای استفاده در آزمون بار.
مسیر گواهی صادرکننده (اگر پیکربندی نشود، مقدار پیش‌فرض کدنویسی‌شده استفاده می‌شود).
مسیر کلید خصوصی که برای صدور گواهی‌ها استفاده می‌شود (اگر پیکربندی نشود، مقدار پیش‌فرض کدنویسی‌شده استفاده می‌شود).
تعداد IKE_SAهایی که توسط هر آغازگر در آزمون بار آغاز می‌شود.
حالت IPsec برای استفاده؛ یکی از موارد tunnel، transport یا beet.
ارائه INTERNAL_IPV4_ADDRها از یک استخر نام‌گذاری‌شده.
کلید از پیش به‌اشتراک‌گذاشته‌شده برای استفاده در آزمون بار.
پیشنهاد IKE برای استفاده در آزمون بار.
درخواست یک INTERNAL_IPV4_ADDR و INTERNAL_IPV6_ADDR از سرور.
نشانی جهت آغاز اتصالات به سمت آن.
روش(های) احراز هویت که پاسخ‌دهنده استفاده می‌کند.
شناسه پاسخ‌دهنده مورد استفاده در آزمون بار.
انتخاب‌گر ترافیک در سمت آغازگر، آن‌گونه که توسط پاسخ‌دهنده محدود (باریک) شده است.
انتخاب‌گر ترافیک در سمت پاسخ‌دهنده، آن‌گونه که توسط پاسخ‌دهنده محدود شده است.
خاموش کردن دیمن پس از برقراری تمام IKE_SAها.
سوکت ارائه‌شده توسط پلاگین load-tester.
نسخه IKE برای استفاده (مقدار 0 یعنی استفاده از IKEv2 به عنوان آغازگر و پذیرش هر نسخه‌ای به عنوان پاسخ‌دهنده).
سوکت ارائه‌شده توسط پلاگین lookip.
شناسه موتور (ENGINE ID) جهت استفاده در پلاگین OpenSSL.
تنظیم حالت FIPS مربوط به OpenSSL. در نسخه‌های OpenSSL پیش از 3.0، مقادیر پشتیبانی‌شده عبارتند از غیرفعال(0)، فعال(1) و Suite B فعال(2). در OpenSSL نسخه 3 و بالاتر، هر مقداری غیر از 0 صراحتاً ارائه‌دهندگان fips و base را بارگذاری می‌کند (load_legacy نادیده گرفته خواهد شد). مورد دوم همچنان نیازمند پیکربندی در fipsmodule.cnf است (مثلاً برای MAC ماژول)، اما اجازه می‌دهد ارائه‌دهنده را حتی در صورتی که در آن پیکربندی فعال نشده باشد، صراحتاً بارگذاری کنید.
بارگذاری ارائه‌دهنده قدیمی (legacy provider) در OpenSSL نسخه 3 و بالاتر برای الگوریتم‌هایی مانند MD4، DES، یا Blowfish (دو مورد اول برای EAP-MSCHAPv2 لازم هستند). در صورت غیرفعال بودن، ارائه‌دهنده پیش‌فرض یا موارد پیکربندی‌شده در پیکربندی OpenSSL (مانند ارائه‌دهنده fips) بارگذاری می‌شوند.
شناسه یکپارچه منابع (URI) پایگاه داده برای اتصال به پایگاه داده certificate در OpenXPKI. اگر حاوی گذرواژه است، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
اینکه آیا سرورهای DNS به جای جایگزینی، به ورودی‌های موجود افزوده شوند یا خیر.

بخش فعال‌سازی درخواست نشانی‌های سرور P-CSCF برای اتصالات جداگانه.
مقدار <conn> نام اتصالی با یک ePDG است که از آن باید نشانی‌های سرور P-CSCF درخواست شود. درخواست‌ها برای نشانی‌هایی از همان خانواده‌هایی ارسال می‌شوند که IPهای داخلی برای آن‌ها درخواست شده است.

فهرست ماژول‌های PKCS#11 در دسترس.
اینکه آیا گواهی‌ها به طور خودکار از توکن‌ها بارگذاری شوند یا خیر.
اینکه آیا قفل‌گذاری سیستم‌عامل برای این ماژول فعال شود یا خیر.
مسیر کامل به پرونده شیء اشتراکی (shared object) این ماژول PKCS#11.
بارگذاری مجدد گواهی‌ها از تمام توکن‌ها در صورت دریافت سیگنال SIGHUP توسط charon.
اینکه آیا ماژول‌های PKCS#11 برای DH و ECDH استفاده شوند یا خیر (نگاه کنید به گزینه use_ecc).
اینکه آیا ماژول‌های PKCS#11 برای عملیات‌های کلید عمومی ECDH و ECDSA استفاده شوند یا خیر. کلیدهای خصوصی ECDSA بدون در نظر گرفتن این گزینه قابل استفاده هستند.
اینکه آیا ماژول‌های PKCS#11 برای هش کردن داده‌ها استفاده شوند یا خیر.
اینکه آیا ماژول‌های PKCS#11 برای عملیات‌های کلید عمومی استفاده شوند، حتی برای کلیدهایی که روی توکن‌ها ذخیره نشده‌اند.
اینکه آیا ماژول‌های PKCS#11 به عنوان RNG استفاده شوند یا خیر.
اینکه آیا ماژول‌های PKCS#11 باید تلاش کنند از هشینگ داخلی برای امضاهای RSA-PSS استفاده کنند یا خیر (برخی کتابخانه‌های PKCS#11 هشینگ داخلی را در ارتباط با RSA-PSS به درستی پیاده‌سازی نمی‌کنند).
پوشه‌ای که در آن صفت‌های RADIUS در پرونده‌های ویژه هر شناسه کلاینت ذخیره می‌شوند.
صفت‌ها به طور پیش‌فرض به تمام پیام‌های IKE_AUTH افزوده می‌شوند (-1)، یا فقط به پیام IKE_AUTH با شناسه پیام IKEv2 داده‌شده اضافه می‌گردند.
پرونده‌ای برای خواندن بایت‌های تصادفی از آن.
در صورت تنظیم روی yes، کلاس RNG_STRONG بایت‌های تصادفی را از همان منبع کلاس RNG_TRUE می‌خواند.
پرونده‌ای برای خواندن بایت‌های شبه‌تصادفی از آن.
پرونده‌ای برای افزودن ورودی‌های سرور DNS در صورت عدم استفاده از resolvconf(8).
نام رابط و پروتکل ارسال‌شده به resolvconf(8). این مقدار باید طبق قوانین تعریف‌شده توسط resolvconf یک نام رابط معتبر باشد. همچنین، اگر در سیستم مربوطه معنادار باشد، باید طبق ترتیب تعریف‌شده در interface-order(5) دارای اولویت بالایی باشد.
مسیر/دستور برای resolvconf(8). دستور توسط یک پوسته اجرا می‌شود، بنابراین اگر "resolvconf" در PATH دیمن باشد کار خواهد کرد.

اگر پیکربندی نشود، resolvconf(8) در صورتی که در مکان پیش‌فرض یافت شود استفاده خواهد شد. در غیر این صورت، پرونده مشخص‌شده در charon.plugins.resolve.file مستقیماً تغییر داده خواهد شد.

اینکه آیا اعتبارسنجی CRL باید فعال باشد یا خیر.
اینکه آیا اعتبارسنجی OCSP باید فعال باشد یا خیر.
مهلت زمانی مورد استفاده هنگام دریافت OCSP/CRL.
اینکه آیا کلیدهای ESP ذخیره شوند یا خیر.
اینکه آیا کلیدهای IKE ذخیره شوند یا خیر.
اینکه آیا پلاگین بارگذاری شود یا خیر.
پوشه‌ای که کلیدها در آن با قالب پشتیبانی‌شده توسط Wireshark ذخیره می‌شوند. کلیدهای IKEv1 در پرونده ikev1_decryption_table ذخیره می‌گردند. کلیدهای IKEv2 در پرونده ikev2_decryption_table ذخیره می‌شوند. کلیدهای مربوط به ESP CHILD_SAها در پرونده esp_sa ذخیره می‌گردند.
علامت فایروال (Firewall mark) جهت تنظیم روی بسته‌های خروجی.
تنظیم نشانی مبدأ روی بسته‌های خروجی، در صورت امکان.
اجبار به استفاده از رابط ارسال‌کننده خاص روی بسته‌های خروجی، در صورت امکان. این کار اجازه می‌دهد از نشانی‌های link-local مربوط به IPv6 به عنوان نقاط انتهایی تونل استفاده شود.
شنود روی IPv4، در صورت امکان.
شنود روی IPv6، در صورت امکان.
شناسه یکپارچه منابع (URI) پایگاه داده برای پلاگین SQL دیمن charon. اگر حاوی گذرواژه است، مطمئن شوید که مجوزهای پرونده پیکربندی را متناسب با آن تنظیم کرده‌اید.
سطح لاگ برای ثبت رویدادها در پایگاه داده SQL.
تجزیه و تحلیل نشانی‌ها/نام‌های میزبان در left|right جهت تشخیص اینکه کدام سمت محلی است و جابجایی گزینه‌های پیکربندی در صورت لزوم. اگر غیرفعال باشد، left همواره local (محلی) در نظر گرفته می‌شود.
تلقی گواهی‌های موجود در ipsec.d/cacerts و بخش‌های ca در ipsec.conf به عنوان گواهی‌های CA حتی اگر فاقد محدودیت پایه‌ای CA باشند.
حداکثر تعداد پیام‌های stroke که به صورت هم‌روند مدیریت می‌شوند.
در صورت فعال بودن، تغییرات سطح لاگ از طریق سوکت stroke مجاز نیست.
مکان پرونده ipsec.secrets.
سوکت ارائه‌شده توسط پلاگین stroke.
مهلت زمانی بر حسب میلی‌ثانیه برای هر دستور stroke. از مقدار 0 برای غیرفعال کردن مهلت زمانی استفاده کنید.
بازه زمانی بر حسب ثانیه جهت بررسی اعتبار زمان سیستم. مقدار 0 بررسی را غیرفعال می‌کند.
اینکه آیا در صورت تشخیص طول عمر نامعتبر گواهی، از احراز هویت مجدد (reauth) استفاده شود یا حذف صورت گیرد.
تاریخ آستانه‌ای که در آن زمان سیستم معتبر در نظر گرفته می‌شود. اگر مشخص نشود غیرفعال است.
قالب strptime(3) مورد استفاده برای تجزیه گزینه آستانه.
مدت زمان انتظار برای یک زمان معتبر سیستم در صورتی که بازه‌ای پیکربندی شده باشد. مقدار 0 برای بررسی مجدد به صورت نامحدود است.
تخلیه IMC از حافظه پس از استفاده.
زبان ترجیحی برای توصیه‌های TNC.
تخلیه IMV از حافظه پس از استفاده.
سیاست توصیه TNC، یکی از default، any، یا all.
فعال‌سازی پروتکل PT-TLS روی strongSwan PDP.
درگاه سرور PT-TLS که strongSwan PDP روی آن گوش می‌دهد.
فعال‌سازی پروتکل RADIUS روی strongSwan PDP.
روش تونل EAP مورد استفاده.
درگاه سرور RADIUS که strongSwan PDP روی آن گوش می‌دهد.
رمز مشترک RADIUS میان strongSwan PDP و NAS. در صورت تنظیم، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
نام strongSwan PDP همان‌طور که در گواهی AAA آمده است.
مهلت زمانی بر حسب ثانیه پیش از بستن اتصالات ناقص.
حداکثر اندازه یک دسته PB-TNC (حد بالا از طریق PT-EAP = 65529).
حداکثر اندازه یک پیام PA-TNC (حد بالا از طریق PT-EAP = 65497).
فعال‌سازی پروتکل متقابل PB-TNC.
ارسال یک نوع پیام پشتیبانی‌نشده PB-TNC با تنظیم پرچم NOSKIP.
ارسال یک دسته PB-TNC با نسخه تغییریافته PB-TNC.
دستگیره (handle) کلید تصدیق RSA یا ECC (موسوم به EK) برای استفاده در برقراری یک نشست احراز هویت‌شده با TPM 2.0 (مانند 0x81010001).
آیا TPM 2.0 با FIPS-186-4 سازگار است یا خیر، که مثلاً استفاده از طول سالت پیش‌فرض را به جای حداکثر طول سالت در لایه‌گذاری RSAPSS اجباری می‌کند.
نام کتابخانه TPM 2.0 TCTI. مقادیر معتبر: tabrmd، device یا mssim. مقدار پیش‌فرض device است اگر دستگاه مدیر منابع درون هسته‌ای TPM 2.0 به نشانی /dev/tpmrm0 وجود داشته باشد، و در غیر این صورت tabrmd است که نیازمند در دسترس بودن کارگزار دسترسی و مدیر منابع مبتنی بر d-bus مربوط به TPM 2.0 می‌باشد.
گزینه‌های مربوط به کتابخانه TPM 2.0 TCTI. مقدار پیش‌فرض /dev/tpmrm0 است اگر نام کتابخانه TCTI برابر با device باشد، و در غیر این صورت هیچ گزینه‌ای تنظیم نمی‌شود.
اینکه آیا TPM باید به عنوان RNG (تولیدکننده اعداد تصادفی) استفاده شود یا خیر. به دلایل امنیتی تنها در صورتی فعال کنید که بتوان یک نشست احراز هویت‌شده برقرار کرد (گزینه ek_handle را ببینید).
پرونده‌ای برای خواندن کلیدهای مورد اعتماد DLV (DNSSEC Lookaside Validation). از همان قالب trust_anchors استفاده می‌کند. تنها یک DLV را می‌توان پیکربندی کرد که سپس به عنوان DLV مورد اعتماد ریشه استفاده می‌شود، به این معنی که یک lookaside برای ریشه است.
پرونده‌ای برای خواندن پیکربندی تحلیل‌گر DNS.
پرونده‌ای برای خواندن لنگرهای اعتماد DNSSEC (معمولاً KSK ناحیه ریشه). قالب پرونده همان قالب استاندارد پرونده DNS Zone است؛ لنگرها را می‌توان به عنوان ورودی‌های DS یا DNSKEY در پرونده ذخیره کرد.
اینکه آیا اسکریپت updown باید سرورهای DNS تخصیص‌یافته از طریق IKEv1 Mode Config یا بار داده‌های پیکربندی IKEv2 را مدیریت کند یا خیر (در صورت فعال بودن، پلاگین‌های دیگر مانند resolve نمی‌توانند آن‌ها را مدیریت کنند).
سوکت محلی که افزونه vici برای سرویس‌دهی به کلاینت‌ها استفاده می‌کند.
فعال‌سازی افزونه بارگذاری‌شده فهرست سفید (whitelist).
سوکت ارائه‌شده توسط افزونه فهرست سفید.
فعال‌سازی جهت جلوگیری از بارگذاری افزونه در صورتی که wolfSSL در حالت FIPS نباشد.
افزونه EAP که به عنوان پس‌زمینه (backend) برای اعتبارسنجی مدارک شناسایی XAuth استفاده می‌شود.
سرویس PAM مورد استفاده برای احراز هویت.
باز کردن/بستن یک نشست PAM برای هر IKE_SA فعال.
اگر یک نشانی ایمیل به عنوان نام کاربری XAuth دریافت شود، آن را تنها به بخش نام کاربری کوتاه کند.
درگاه UDP مورد استفاده محلی. اگر روی 0 تنظیم شود، یک درگاه تصادفی تخصیص می‌یابد.
درگاه UDP مورد استفاده محلی در صورت NAT-T. اگر روی 0 تنظیم شود، یک درگاه تصادفی تخصیص داده خواهد شد. باید با charon.port متفاوت باشد، در غیر این صورت یک درگاه تصادفی تخصیص می‌یابد.
به‌طور پیش‌فرض، charon انجمن‌های امنیتی (SA) را روی مسیر مسیریابی با نشانی‌هایی که قبلاً استفاده کرده نگه می‌دارد، مشروط بر اینکه آن مسیر هنوز قابل استفاده باشد. با تنظیم این گزینه روی yes، نرم‌افزار با جدیت بیشتری تلاش می‌کند تا SAها را از طریق MOBIKE در هنگام تغییر اولویت مسیریابی با استفاده از ارزان‌ترین مسیر به‌روزرسانی کند. این کار ترافیک پیام‌های اضافی را بیشتر می‌کند، اما امکان تطبیق پویا SAها با تغییرات اولویت مسیریابی را فراهم می‌سازد. اگر MOBIKE پشتیبانی نشود یا غیرفعال باشد، این گزینه اثری ندارد.
ترجیح دادن پیشنهادهای پیکربندی‌شده محلی برای IKE/IPsec بر پیشنهادهای ارائه‌شده هنگام ایفای نقش پاسخ‌دهنده (responder) (غیرفعال کردن این گزینه می‌تواند از تلاش‌های مجدد کلیدزنی ناشی از اعلان‌های INVALID_KE_PAYLOAD جلوگیری کند).
به‌طور پیش‌فرض، نشانی‌های مبدأ دائمی IPv6 بر نشانی‌های موقت (RFC 4941) ترجیح داده می‌شوند تا اتصالات پایدارتر باشند. این گزینه را فعال کنید تا این رفتار معکوس شود.

این گزینه همچنین مشخص می‌کند که در صورت استفاده از MOBIKE کدام نشانی‌های IPv6 به عنوان نشانی‌های اضافی اعلام شوند. اگر این گزینه غیرفعال باشد، فقط نشانی‌های دائمی ارسال می‌شوند و اگر فعال باشد، تنها نشانی‌های موقت ارسال خواهند شد.

پردازش رویدادهای RTM_NEWROUTE و RTM_DELROUTE.

بخش پیکربندی تعداد نخ‌های رزروشده به ازای هر کلاس اولویت؛ بخش JOB PRIORITY MANAGEMENT را در strongswan.conf(5) ببینید.
نحوه تطبیق RDNها در DNهای موضوع گواهی‌ها با شناسه‌های پیکربندی‌شده. مقادیر ممکن عبارتند از strict (پیش‌فرض)، reordered، و relaxed. با مقدار strict تعداد، نوع و ترتیب تمامی RDNها باید مطابقت داشته باشد؛ نویسه‌های عام (*) برای مقادیر RDN مجاز هستند (که برای هر سه حالت صادق است). با استفاده از reordered حتی در صورت جابه‌جا بودن ترتیب RDNها نیز DNها تطبیق داده می‌شوند، اما تعداد و نوع همچنان باید مطابقت داشته باشد. در نهایت، relaxed تطبیق DNهایی را که حاوی RDNهای بیشتری نسبت به شناسه پیکربندی‌شده هستند نیز مجاز می‌داند (RDNهای غایب مانند یک تطبیق نویسه عام در نظر گرفته می‌شوند).

توجه داشته باشید که reordered و relaxed بار محاسباتی قابل توجهی را بر مصرف حافظه و زمان اجرا، به‌ویژه در موارد عدم تطابق، در مقایسه با strict تحمیل می‌کنند.

تأخیر بر حسب میلی‌ثانیه برای دریافت بسته‌ها، جهت شبیه‌سازی RTT بزرگ‌تر.
اعمال تأخیر روی پیام‌های درخواست.
اعمال تأخیر روی پیام‌های پاسخ.
نوع پیام خاص IKEv2 برای اعمال تأخیر، 0 برای همه انواع.
رد کردن همتایانی که از گواهی‌های نهاد پایانی مورد اعتماد (یعنی گواهی‌های محلی) استفاده می‌کنند.
اندازه پنجره بازپخش (replay window) برای AH/ESP بر حسب بسته.
مقدار نخستین reqid که به‌طور خودکار به یک CHILD_SA تخصیص می‌یابد.
پایه مورد استفاده برای محاسبه عقب‌نشینی نمایی؛ بخش IKEv2 RETRANSMISSION را در strongswan.conf(5) ببینید.
حداکثر نوسان (jitter) بر حسب درصد که به‌صورت تصادفی به مهلت ارسال مجدد محاسبه‌شده اعمال می‌شود (0 برای غیرفعال کردن).
حد بالای مهلت محاسبه‌شده ارسال مجدد بر حسب ثانیه (0 برای غیرفعال کردن).
مهلت زمانی بر حسب ثانیه پیش از ارسال نخستین بازtransmision (ارسال مجدد).
تعداد دفعات ارسال مجدد یک بسته پیش از صرف‌نظر کردن.
بازه زمانی بر حسب ثانیه هنگام تلاش مجدد برای آغاز IKE_SA (مثلاً در صورت شکست در تحلیل DNS)، مقدار 0 برای غیرفعال کردن تلاش مجدد.
آغاز CHILD_SA درون IKE_SAهای موجود (برای IKEv1 همیشه فعال است).
شماره جدول مسیریابی عددی برای نصب مسیرها در آن.
اولویت جدول مسیریابی.
اینکه آیا به‌طور پیش‌فرض از الگوریتم RSA با لایه‌گذاری PSS به جای لایه‌گذاری PKCS#1 استفاده شود یا خیر.
اینکه آیا مقدار صریح trailerField برابر 0x01 در algorithmIdentifier مربوط به RSA-PSS (موسوم به CONTEXT3) کدگذاری شود یا اینکه با حذف آن از مقدار DEFAULT استفاده گردد.
تأخیر بر حسب میلی‌ثانیه برای ارسال بسته‌ها، جهت شبیه‌سازی RTT بزرگ‌تر.
اعمال تأخیر روی پیام‌های درخواست.
اعمال تأخیر روی پیام‌های پاسخ.
نوع پیام خاص IKEv2 برای اعمال تأخیر، مقدار 0 برای همه انواع.
ارسال بار داده شناسه سازنده strongSwan (Vendor ID).
اینکه آیا احراز هویت مبتنی بر امضا بر اساس RFC 7427 فعال شود یا خیر.
در صورت فعال بودن، طرح‌های امضای پیکربندی‌شده در rightauth، علاوه بر استفاده به عنوان محدودیت در برابر طرح‌های امضای به‌کاررفته در زنجیره گواهی، به عنوان محدودیت در برابر طرح امضای استفاده‌شده توسط همتایان در طول IKEv2 نیز به کار می‌روند.
مقداری که پس از اعمال spi_mask در SPIهای محلی IKE ترکیب می‌شود.
ماسک اعمال‌شده بر SPIهای محلی IKE پیش از ترکیب spi_label (بیت‌های تنظیم‌شده با spi_label جایگزین خواهند شد).
حد بالای SPIهای درخواستی از هسته برای SAهای IPsec.
حد پایین SPIهای درخواستی از هسته برای SAهای IPsec. نباید کمتر از 0x00000100 (256) تنظیم شود، زیرا SPIهای میان 1 و 255 توسط IANA رزرو شده‌اند.

بخشی شامل فهرستی از اسکریپت‌ها (name = path) که هنگام راه‌اندازی دیمن اجرا می‌شوند.

بخشی شامل فهرستی از اسکریپت‌ها (name = path) که هنگام خاتمه دیمن اجرا می‌شوند.

بخش تعریف ثبت‌کننده‌های وقایع syslog؛ بخش LOGGER CONFIGURATION را در strongswan.conf(5) ببینید.

پارامتر <facility> یکی از امکانات پشتیبانی‌شده syslog است؛ بخش LOGGER CONFIGURATION را در strongswan.conf(5) ببینید.
سطح ثبت گزارش برای یک زیرسیستم خاص.
سطح ثبت گزارش پیش‌فرض را برای زیرسیستم‌هایی که سطح گزارش خاصی برای آن‌ها تعریف نشده است، مشخص می‌کند.
پیشوند زدن نام اتصال و یک شناسه عددی یکتا برای هر IKE_SA به ابتدای هر ورودی گزارش.
افزودن سطح ثبت گزارش هر پیام پس از زیرسیستم (مانند [IKE2]).
تنظیم پیش‌فرض -1 تمام پیام‌ها را با سطح گزارش LOG_INFO به syslog ارسال می‌کند. یک مقدار غیرمنفی، سطوح گزارش خاص strongSwan (0..4) را از شماره مشخص‌شده به سطح syslog نگاشت می‌کند. به عنوان مثال، مقدار 5 (LOG_NOTICE) سطح گزارش 0 در strongSwan را به LOG_NOTICE، سطح 1 را به LOG_INFO، و سطوح 2، 3 و 4 را به LOG_DEBUG نگاشت می‌کند. این کار امکان فیلتر کردن (بیشتر) پیام‌های گزارش را روی سرور syslog فراهم می‌سازد.
شناسه سراسری مورد استفاده در فراخوانی openlog(3) که توسط syslog به ابتدای هر پیام گزارش افزوده می‌شود. در صورت عدم پیکربندی، openlog(3) فراخوانی نمی‌شود، بنابراین مقدار به پیش‌فرض‌های سیستم بستگی خواهد داشت (اغلب نام برنامه).
تعداد نخ‌های پردازشی (worker threads) در charon. چند مورد از این نخ‌ها برای وظایف طولانی‌مدت در ماژول‌های داخلی و پلاگین‌ها رزرو شده‌اند. بنابراین، مطمئن شوید که این مقدار را خیلی پایین تنظیم نکنید. تعداد نخ‌های پردازشی بیکار فهرست‌شده در خروجی ipsec statusall می‌تواند به عنوان شاخصی برای تعداد نخ‌های رزروشده استفاده شود.
فهرست رمزهای رمزگذاری TLS.
فهرست گروه‌های تبادل کلید TLS.
فهرست روش‌های تبادل کلید TLS.
فهرست الگوریتم‌های MAC مربوط به TLS.
اینکه آیا مراجع صدور گواهی (CA) در پیام CertificateRequest سرور گنجانده شوند یا خیر. در صورتی که کلاینت‌ها نتوانند فهرست طولانی CAها را پردازش کنند، ممکن است غیرفعال شود.
فهرست طرح‌های امضای TLS.
فهرست مجموعه‌های رمزنگاری (cipher suites) برای TLS.
حداکثر نسخه TLS برای مذاکره.
حداقل نسخه TLS برای مذاکره.
پرونده پیکربندی TNC IMC/IMV.
نام کاربری که دیمن پس از راه‌اندازی به آن تغییر هویت می‌دهد.
رد کردن گواهی‌هایی که دارای افزونه‌های حیاتی (critical extensions) ناشناخته یا پشتیبانی‌نشده هستند.

بخش تنظیمات مختص کلاینت خط فرمانی `charon-cmd`. تنظیمات بخش `charon` به ارث برده نمی‌شوند، اما بسیاری از آن‌ها را می‌توان در اینجا نیز استفاده کرد.
بارگذاری تنها افزونه‌هایی که صریحاً فعال شده‌اند.

بخش تنظیمات مختص پس‌زمینه NetworkManager موسوم به `charon-nm`. تنظیمات بخش `charon` به ارث برده نمی‌شوند، اما بسیاری از آن‌ها در اینجا نیز قابل استفاده هستند. مقادیر پیش‌فرض برای برخی تنظیمات بسیار حساب‌شده انتخاب شده‌اند و فقط در صورت بروز تداخل باید تغییر کنند.
پوشه‌ای که در صورت عدم پیکربندی هیچ گواهی‌ای، گواهی‌های CA از آن بارگذاری می‌شوند.
رابطی که نشانی‌های IP مجازی روی آن نصب می‌شوند. توجه داشته باشید که NM همچنین IPهای مجازی را روی رابط XFRM نصب می‌کند.
بارگذاری تنها افزونه‌هایی که صریحاً فعال شده‌اند.
مقدار MTU برای رابط‌های XFRM ایجادشده توسط افزونه NM.
بسته‌های دارای این نشانه (mark) جدول مسیریابی را نادیده بگیرند. باید همان نشانه‌ای باشد که در charon-nm.plugins.socket-default.fwmark تنظیم شده است.
نشانه‌ای که به بسته‌های IKE و ESP اعمال می‌شود تا جدول مسیریابی را نادیده بگیرند و هنگام استفاده از رابط‌های XFRM از حلقه‌های مسیریابی جلوگیری شود.
درگاه مبدأ هنگام ارسال بسته‌ها به درگاه 500. به‌طور پیش‌فرض یک درگاه گذرا (ephemeral) است. در صورتی که قوانین دیوار آتش نیازمند یک درگاه ایستا باشند، می‌تواند روی 500 تنظیم شود.
درگاه مبدأ هنگام ارسال بسته‌ها به درگاه 4500 یا یک درگاه سرور سفارشی. به‌طور پیش‌فرض یک درگاه گذرا است. در صورتی که قوانین دیوار آتش نیازمند یک درگاه ایستا باشند، می‌تواند مثلاً روی 4500 تنظیم شود.
پایه مورد استفاده برای محاسبه عقب‌نشینی نمایی؛ بخش IKEv2 RETRANSMISSION را در strongswan.conf(5) ببینید. تنظیمات پیش‌فرض ارسال مجدد برای charon-nm عمداً پایین‌تر در نظر گرفته شده‌اند تا زودتر با خطا مواجه شوند و در صورت امکان SAها سریع‌تر مجدداً برقرار شوند.
مهلت زمانی بر حسب ثانیه پیش از ارسال نخستین بازtransmision (ارسال مجدد).
تعداد دفعات ارسال مجدد یک بسته پیش از صرف‌نظر کردن.
جدولی که مسیرها از طریق رابط XFRM در آن نصب می‌شوند. به دلیل وجود نشانه، باید با جدول استفاده‌شده برای دیمن معمولی IKE متفاوت باشد.
اولویت جدول مسیریابی. بالاتر از اولویت پیش‌فرض استفاده‌شده برای دیمن معمولی IKE است.
پیش‌فرض برای ثبت گزارش از طریق امکان daemon در syslog روی سطح 1.

بخش پیکربندی ثبت‌کننده بومی ژورنال systemd، بسیار شبیه به ثبت‌کننده syslog همان‌طور که در LOGGER CONFIGURATION در strongswan.conf(5) شرح داده شده است.
سطح ثبت گزارش برای یک زیرسیستم خاص.
سطح ثبت گزارش پیش‌فرض را برای زیرسیستم‌هایی که سطح گزارش خاصی برای آن‌ها تعریف نشده است، مشخص می‌کند.
فرمان شل برای اجرا در صورت توصیه allow (مجاز).
فرمان شل برای اجرا به ازای تمام توصیه‌های دیگر.
شناسه یکتای پایگاه داده (URI) برای پایگاه داده‌ای که اطلاعات بسته‌ها را ذخیره می‌کند. اگر حاوی گذرواژه است، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
افزونه‌هایی که باید در مدیر سیاست IMV بارگذاری شوند.
سطح اشکال‌زدایی برای کتابخانه مستقل libimcv.
افزونه‌هایی که باید در IMC/IMVها با کتابخانه مستقل libimcv بارگذاری شوند.
پرونده حباب (blob) کلید خصوصی رمزگذاری‌شده AIK.
پرونده گواهی AIK.
دستگیره (handle) شیء AIK.
پرونده کلید عمومی AIK.
الگوریتم درهم‌سازی ترجیحی اندازه‌گیری.
اجباری کردن گروه‌های الزامی دیفی-هلمن.
طول نانس (nonce) در DH.
مقدار PCR17 پس از اندازه‌گیری.
مقدار PCR17 پیش از اندازه‌گیری.
مقدار اندازه‌گیری ساختگی گسترش‌یافته درون PCR17 در صورتی که گزارش TBOOT در دسترس نباشد.
مقدار PCR18 پس از اندازه‌گیری.
مقدار PCR18 پیش از اندازه‌گیری.
مقدار اندازه‌گیری ساختگی گسترش‌یافته درون PCR17 در صورتی که گزارش TBOOT در دسترس نباشد.
اینکه آیا اطلاعات pcr_before و pcr_after ارسال شوند یا خیر.
اینکه آیا هنگام گسترش در بانک SHA256 PCR مقادیر اندازه‌گیری‌های SHA1 مربوط به IMA لایه‌گذاری شوند یا خیر.
استفاده از امضای Quote2 AIK به جای امضای Quote.
اطلاعات نسخه در امضای Quote2 گنجانده شود.
ارسال اطلاعات چهارتایی (quadruple) بدون نیاز به درخواست صریح.
بخش تعریف زیرنوع‌های PWG HCD PA.
یک بخش زیرنوع PWG HCD PA را تعریف می‌کند. نام‌های بخش‌های زیرنوع شناخته‌شده عبارتند از system، control، marker، finisher، interface و scanner.
یک بخش نوع نرم‌افزار را تعریف می‌کند. نام‌های شناخته‌شده برای بخش نوع نرم‌افزار عبارتند از firmware، resident_application و user_application.
یک بخش نرم‌افزاری با نام دلخواه تعریف می‌کند.
نام نرم‌افزار نصب‌شده بر روی دستگاه چاپ/کپی (hardcopy device).
رشته‌ای که تمام وصله‌های اعمال‌شده روی نرم‌افزار مورد نظر در این دستگاه چاپ/کپی را توصیف می‌کند. وصله‌های جداگانه با نویسه خط جدید '\\n' از هم تفکیک می‌شوند.
رشته‌ای که نسخه نرم‌افزار مورد نظر در این دستگاه چاپ/کپی را توصیف می‌کند.
رشته نسخه با کدگذاری هگزادسیمال و طول ۱۶ بایت متشکل از فیلدهای شماره نسخه اصلی (۴ بایت)، شماره نسخه فرعی (۴ بایت)، شماره ساخت (۴ بایت)، شماره اصلی بسته خدماتی (۲ بایت) و شماره فرعی بسته خدماتی (۲ بایت).
برچسب زبان طبیعی با طول متغیر مطابق با RFC 5646 که زبان مورد استفاده در پیام ارزیابی سلامت یک زیرنوع خاص را مشخص می‌کند.
وضعیت گواهینامه با کدگذاری هگزادسیمال.
وضعیت پیکربندی با کدگذاری هگزادسیمال.
رشته‌ای که نوع و مدل دستگاه چاپ/کپی را مشخص می‌کند.
مشخص می‌کند که آیا یک رابط نمابر PSTN روی دستگاه چاپ/کپی نصب و فعال شده است یا خیر.
رشته‌ای که نام میزبان کارگزار زمان شبکه (NTP) مورد استفاده توسط دستگاه چاپ/کپی را مشخص می‌کند.
مشخص می‌کند که آیا کاربران می‌توانند برنامه‌ها را به‌صورت پویا روی دستگاه چاپ/کپی بارگیری و اجرا کنند یا خیر.
مشخص می‌کند که آیا برنامه‌های بارگیری‌شده به‌صورت پویا توسط کاربر می‌توانند فراتر از مرزهای یک کار واحد روی دستگاه چاپ/کپی باقی بمانند یا خیر.
رشته‌ای که سازنده دستگاه چاپ/کپی را مشخص می‌کند.
یک عدد صحیح که کد SMI بیست و چهار بیتی یکتای جهانی تخصیص‌یافته به سازنده دستگاه چاپ/کپی را مشخص می‌کند.
تنظیم دستی مسیر گواهی دستگاه کلاینت (مانند /etc/pts/aikCert.der).
تنظیم دستی دستگیره یک کلید خصوصی مقید به کارت هوشمند یا TPM (مانند 0x81010004).
تنظیم دستی شناسه دستگاه کلاینت در قالب هگزادسیمال (مانند 1083f03988c9762703b1c1080c2e46f72b99cc31).
تنظیم دستی مسیر کلید عمومی دستگاه کلاینت (مانند /etc/pts/aikPub.der).
ارسال اطلاعات سیستم‌عامل بدون نیاز به درخواست صریح.
ارسال درگاه‌های باز در حال شنود بدون نیاز به درخواست صریح.
تنظیم دستی مقدار دوره (epoch) ۳۲ بیتی برای شناسه‌های رویداد در صورت عدم دسترسی به پایگاه داده گردآورنده نرم‌افزار.
پذیرش اشتراک‌های SW Inventory یا SW Events.
شناسه یکتا (URI) پایگاه داده گردآورنده نرم‌افزار شامل برچسب‌های زمانی رویدادها، رویدادهای ایجاد و حذف نرم‌افزار و شناسه‌های نرم‌افزارهای جمع‌آوری‌شده. اگر حاوی گذرواژه است، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
پوشه‌ای که برچسب‌های SWID در آن قرار دارند.
گنجاندن اطلاعات پرونده در برچسب‌های SWID دارای کدگذاری XML.
تولید برچسب‌های SWID کدگذاری‌شده به صورت XML با تورفتگی خوانا (pretty).
تعداد شناسه‌های IMC اضافی.
فرمانی که باید به Test IMV ارسال شود.
اندازه ویژگی ساختگی که باید به Test IMV ارسال شود (0 = غیرفعال).
انجام تلاش مجدد برای دست‌تکانی (handshake).
فرمانی که باید در تلاش مجدد دست‌تکانی به Test IMV ارسال شود.
مسیر پوشه حاوی گواهی‌های ریشه (cacerts) مربوط به AIK.
گروه ترجیحی دیفی-هلمن.
الگوریتم درهم‌سازی ترجیحی اندازه‌گیری.
اجباری کردن گروه‌های الزامی دیفی-هلمن.
حداقل طول نانس در DH.
شناسه یکتا (URI) اشاره‌کننده به دستورالعمل‌های اصلاح و رفع نقص سیستم‌عامل.
شناسه یکتا (URI) اشاره‌کننده به دستورالعمل‌های اصلاح و رفع نقص پویشگر (scanner).
مهلت زمانی تراکنش HTTP POST در SWID REST API.
شناسه HTTP URI مربوط به SWID REST API.
تعداد دورهای تلاش مجدد IMC-IMV.
غیرفعال کردن خروجی در stderr هنگام استفاده از کتابخانه مستقل libimcv.
فرمان تولیدکننده SWID برای اجرا.
نام نهاد tagCreator (ایجادکننده برچسب).
شناسه regid مربوط به نهاد tagCreator.
افزونه‌هایی که باید در ابزار pki بارگذاری شوند.
نشانی IP مبدأ برای اتصال جهت عملیات‌های HTTP.
مهلت زمانی برای عملیات‌های HTTP.
برخی از سرورهای SCEP (مانند openxpki) تمدید گواهی را به اشتباه از طریق نوع پیام PKCSReq (19) به جای RenewalReq (17) انجام می‌دهند.
شناسه یکتای پایگاه داده (URI) برای پایگاه داده‌ای که استخرهای IP و ویژگی‌های پیکربندی را ذخیره می‌کند. اگر حاوی گذرواژه است، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
افزونه‌هایی که باید در ابزار ipsec pool بارگذاری شوند.

گزینه‌های مربوط به ابزار sec-updater.
شناسه یکتای پایگاه داده (URI) سیاست سراسری IMV. اگر حاوی گذرواژه است، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
افزونه‌هایی که باید در ابزار sec-updater بارگذاری شوند.
فرمان تولیدکننده SWID برای اجرا.
نام نهاد tagCreator (ایجادکننده برچسب).
شناسه regid مربوط به نهاد tagCreator.
محل ذخیره‌سازی موقت برای پرونده بسته deb بارگیری‌شده.
محل ذخیره‌سازی موقت برای برچسب‌های SWID تولیدشده.
فرمان strongTNC manage.py مورد استفاده برای درون‌ریزی برچسب‌های SWID.
محل پرونده ipsec.conf.
غیرفعال کردن هشدار گزینه بارگذاری افزونه charon.

گزینه‌های مربوط به ابزار sw-collector.
شناسه یکتا (URI) به پایگاه داده گردآورنده نرم‌افزار شامل برچسب‌های زمانی رویدادها، رویدادهای ایجاد و حذف نرم‌افزار و شناسه‌های نرم‌افزارهای جمع‌آوری‌شده. اگر حاوی گذرواژه است، حتماً مجوزهای دسترسی پرونده پیکربندی را متناسب با آن تنظیم کنید.
مسیر اشاره‌کننده به پرونده ایجادشده هنگام نصب سیستم‌عامل لینوکس.
زمان به وقت UTC هنگام نصب سیستم‌عامل لینوکس.
مسیر اشاره‌کننده به پرونده history.log برنامه apt.
افزونه‌هایی که باید در ابزار sw-collector بارگذاری شوند.
مهلت زمانی تراکنش HTTP POST در REST API.
شناسه HTTP URI مربوط به REST API گردآورنده مرکزی.
افزونه‌هایی که باید در swanctl بارگذاری شوند.
سوکت VICI برای اتصال به‌صورت پیش‌فرض.

گزینه‌ها در strongswan.conf(5) روش بسیار منعطف‌تری را برای پیکربندی ثبت‌کننده‌های وقایع (loggers) برای دیمن IKE با نام charon نسبت به استفاده از گزینه charondebug در ipsec.conf(5) فراهم می‌کنند.

نکته: اگر هر ثبت‌کننده‌ای در strongswan.conf مشخص شود، گزینه charondebug هیچ اثری نخواهد داشت.

در حال حاضر دو نوع ثبت‌کننده وجود دارد:

ثبت‌کننده‌های پرونده‌ای (File loggers)
مستقیماً در یک پرونده ثبت می‌کنند و با تعیین یک زیربخش با نام دلخواه در بخش charon.filelog تعریف می‌شوند. مسیر کامل پرونده در تنظیم path آن زیربخش پیکربندی می‌شود؛ هرچند اگر فقط شامل نویسه‌های مجاز در نام بخش‌ها باشد، می‌توان این تنظیم را حذف کرد و مسیر را به عنوان نام زیربخش مشخص نمود. برای ثبت گزارش در کنسول می‌توان از دو نام پرونده ویژه stdout و stderr استفاده کرد.
ثبت‌کننده‌های سیستم (Syslog loggers)
در یکی از امکانات syslog ثبت می‌کنند و با تعیین امکان مورد نظر برای ثبت به عنوان نام زیربخش در بخش charon.syslog تعریف می‌شوند. در حال حاضر امکانات زیر پشتیبانی می‌شوند: daemon و auth.

می‌توان چندین ثبت‌کننده برای هر نوع با سطوح مختلف جزئیات ثبت گزارش برای زیرسیستم‌های گوناگون دیمن تعریف کرد.

راه‌اندازی اصلی دیمن / پاک‌سازی / مدیریت سیگنال‌ها
مدیر IKE_SA، که همگام‌سازی برای دسترسی به IKE_SA را مدیریت می‌کند
مربوط به IKE_SA
مربوط به CHILD_SA
صف‌بندی/پردازش وظایف و مدیریت استخر نخ‌ها
مدیریت پیکربندی و افزونه‌ها
رابط هسته IPsec/شبکه
ارتباطات شبکه IKE
کدگذاری/کدگشایی سطح پایین (ASN.1، X.509 و غیره)
عملیات کدگذاری/کدگشایی و رمزگذاری/رمزگشایی بسته‌ها
پیام‌های کتابخانه libtls
پیام‌های کتابخانه libipsec
پیام‌های کتابخانه libstrongswan
اتصال شبکه مورد اعتماد (Trusted Network Connect)
گردآورنده اندازه‌گیری یکپارچگی (Integrity Measurement Collector)
تأییدکننده اندازه‌گیری یکپارچگی (Integrity Measurement Verifier)
سرویس اعتماد پلتفرم (Platform Trust Service)

-1
کاملاً بی‌صدا
0
گزارش‌های حسابرسی بسیار اولیه (مانند SA up/SA down)
1
جریان کنترل عمومی همراه با خطاها، یک پیش‌فرض مناسب برای دیدن روند رویدادها
2
جریان کنترل اشکال‌زدایی با جزئیات بیشتر
3
شامل تخلیه داده‌های خام (RAW) در قالب هگزادسیمال
4
همچنین گنجاندن داده‌های حساس در تخلیه‌ها، مانند کلیدها

charon {
	filelog {
		charon {
			path = /var/log/charon.log
			time_format = %b %e %T
			append = no
			default = 1
		}
		stderr {
			ike = 2
			knl = 3
			ike_name = yes
		}
	}
	syslog {
		# فعال‌سازی ثبت وقایع در LOG_DAEMON، استفاده از پیش‌فرض‌ها
		daemon {
		}
		# ثبت حسابرسی حداقلی IKE در LOG_AUTHPRIV
		auth {
			default = -1
			ike = 0
		}
	}
}

برخی عملیات در دیمن IKEv2 با نام charon در حال حاضر به‌صورت همگام (synchronous) و مسدودکننده (blocking) پیاده‌سازی شده‌اند. دو نمونه از چنین عملیاتی عبارتند از ارتباط با یک سرور RADIUS از طریق EAP-RADIUS، یا واکشی اطلاعات CRL/OCSP در طول اعتبارسنجی زنجیره گواهی. در شرایط بار کاری بالا، استخر نخ‌ها ممکن است با کمبود نخ‌های در دسترس مواجه شود و برخی کارهای مهم‌تر، مانند بررسی زنده بودن (liveness checking)، ممکن است به موقع اجرا نشوند.

برای جلوگیری از گرسنگی نخ‌ها (thread starvation) در چنین شرایطی، اولویت‌های کاری معرفی شدند. پردازشگر کارها تعدادی از نخ‌ها را برای کارهای با اولویت بالاتر رزرو می‌کند؛ این نخ‌ها برای کارهای مسدودکننده با اولویت پایین‌تر در دسترس نخواهند بود.

در حال حاضر ۴ اولویت تعریف شده است و در charon به شرح زیر استفاده می‌شوند:

اولویت برای کارهای توزیع‌کننده با اجرای طولانی (dispatcher jobs).
تبادلات INFORMATIONAL، همان‌طور که توسط بررسی زنده بودن (DPD) استفاده می‌شود.
هر چیزی به جز HIGH/LOW، از جمله پردازش IKE_SA_INIT.
پردازش پیام IKE_AUTH. واکشی‌های RADIUS و CRL در اینجا مسدود می‌شوند.

اگرچه پردازش IKE_SA_INIT از نظر محاسباتی سنگین است، اما صریحاً به کلاس MEDIUM اختصاص داده شده است. این کار به charon اجازه می‌دهد در حالی که نخ‌های دیگر در IKE_AUTH مسدود شده‌اند، تبادل DH را انجام دهد. برای جلوگیری از پذیرش بیش از حد درخواست‌های IKE_SA_INIT توسط دیمن فراتر از توان پردازش آن، از IKE_SA_INIT DROPPING استفاده کنید.

استخر نخ‌ها کارها را کاملاً بر اساس اولویت پردازش می‌کند، به این معنی که پیش از بررسی کارهای با اولویت پایین‌تر، تمامی کارهای با اولویت بالاتر را مصرف خواهد کرد. علاوه بر این، نخ‌هایی را برای اولویت‌های مشخص رزرو می‌کند. یک کلاس اولویت با داشتن n نخ رزروشده، همواره n نخ در دسترس برای این کلاس خواهد داشت (خواه در حال حاضر در حال پردازش یک کار باشند، یا در انتظار دریافت کار).

برای اطمینان از اینکه همواره نخ‌های کافی برای وظایف با اولویت بالاتر در دسترس است، باید نخ‌هایی برای هر کلاس اولویت رزرو شوند.

نخ‌های رزروشده برای کارهای کلاس اولویت CRITICAL
نخ‌های رزروشده برای کارهای کلاس اولویت HIGH
نخ‌های رزروشده برای کارهای کلاس اولویت MEDIUM
نخ‌های رزروشده برای کارهای کلاس اولویت LOW

پیکربندی زیر را در نظر بگیرید:

charon {
	processor {
		priority_threads {
			high = 1
			medium = 4
		}
	}
}

با این پیکربندی، یک نخ برای وظایف با اولویت HIGH رزرو می‌شود. از آنجا که در حال حاضر تنها بررسی زنده بودن و پردازش پیام‌های stroke با اولویت بالا انجام می‌شوند، یک یا دو نخ باید کافی باشد.

کلاس MEDIUM بیشتر کارهای غیرمسدودکننده را پردازش می‌کند. مگر اینکه سیستم شما در هنگام دسترسی به منابع مشترک، قفل‌شدگی‌های زیادی را تجربه کند، نخ‌هایی به اندازه یک یا دو برابر تعداد هسته‌های پردازنده (CPU) مناسب خواهد بود.

معمولاً نیازی به رزرو نخ برای کارهای CRITICAL نیست. کارهای این کلاس به ندرت بازمی‌گردند و نخ خود را به استخر آزاد نمی‌کنند.

نخ‌های باقی‌مانده برای کارهای با اولویت LOW در دسترس هستند. رزرو نخ برای این دسته توجیهی ندارد (مگر اینکه اولویت حتی پایین‌تری داشته باشیم).

برای مشاهده اینکه نخ‌ها در عمل چه می‌کنند، دستور ipsec statusall را اجرا کنید. تحت بار سنگین، چیزی شبیه به این نمایش داده خواهد شد:

worker threads: 2 or 32 idle, 5/1/2/22 working,
	job queue: 0/0/1/149, scheduled: 198

از میان ۳۲ نخ پردازشی (worker thread):

2
در حال حاضر بیکار (idle) هستند.
5
در حال اجرای کارهای با اولویت CRITICAL هستند (توزیع پیام‌ها از سوکت‌ها و غیره).
1
در حال حاضر در حال مدیریت یک کار با اولویت HIGH است. این در واقع همان نخی است که در حال حاضر این اطلاعات را از طریق stroke ارائه می‌دهد.
2
در حال مدیریت کارهای با اولویت MEDIUM هستند، احتمالاً پیام‌های IKE_SA_INIT یا CREATE_CHILD_SA.
22
در حال مدیریت کارهای با اولویت LOW هستند، احتمالاً در هنگام پردازش پیام‌های IKE_AUTH در انتظار پاسخ EAP-RADIUS به سر می‌برند.

بار صف وظایف (job queue load) نشان می‌دهد که چه تعداد کار برای هر اولویت در صف قرار گرفته و آماده اجرا هستند. کار تکی با اولویت MEDIUM بلافاصله اجرا خواهد شد، زیرا ما دو نخ آزاد رزروشده برای کارهای کلاس MEDIUM در اختیار داریم.

اگر یک پاسخ‌دهنده (responder) درخواست‌های اتصال بیشتری در ثانیه نسبت به ظرفیت پردازش خود دریافت کند، پذیرش پیام‌های IKE_SA_INIT بیشتر منطقی نیست. و اگر آن‌ها در صف قرار گیرند اما نتوانند به موقع پردازش شوند، ممکن است پاسخی پس از اینکه کلاینت از اتصال منصرف شده و فرآیند برقراری ارتباط خود را از نو آغاز کرده ارسال شود. این امر بار روی پاسخ‌دهنده را بیش از پیش افزایش می‌دهد.

برای محدود کردن بار روی پاسخ‌دهنده ناشی از تلاش‌های اتصال جدید، دیمن می‌تواند پیام‌های IKE_SA_INIT را بلافاصله پس از دریافت دور بیندازد (drop کند). دو سازوکار برای تصمیم‌گیری در مورد این امر وجود دارد که با گزینه‌های زیر پیکربندی می‌شوند:

محدودیت بر اساس تعداد IKE_SAهای نیمه‌باز. IKE_SAهای نیمه‌باز، SAهایی در حالت اتصال هستند که هنوز برقرار نشده‌اند.
محدودیت بر اساس تعداد کارهایی که در حال حاضر در صف پردازش قرار دارند (مجموع تمام اولویت‌های کاری).

محدودیت دوم شامل بار ناشی از کارهای دیگر مانند تجدید کلید (rekeying) نیز می‌شود. انتخاب یک مقدار مناسب دشوار است و به سخت‌افزار و بار مورد انتظار بستگی دارد.

محاسبه محدودیت اول ساده‌تر است، اما تنها بار ناشی از اتصالات جدید را در بر می‌گیرد. اگر پاسخ‌دهنده شما قادر به مذاکره ۱۰۰ تونل در ثانیه باشد، ممکن است این محدودیت را روی ۱۰۰۰ تنظیم کنید. در این صورت، اگر تولید پاسخ نیازمند بیش از ۱۰ ثانیه زمان باشد، دیمن تلاش‌های اتصال جدید را دور می‌اندازد. اگر حداکثر زمان پاسخ بیش از ۳۰ ثانیه را مجاز می‌دانید، تنظیم مهلت زمانی اتصال IKE_SAها را مد نظر قرار دهید (charon.half_open_timeout). یک پاسخ‌دهنده، به‌طور پیش‌فرض، اگر آغازگر ظرف ۳۰ ثانیه IKE_SA را برقرار نکند، آن را حذف می‌کند. تحت بار کاری سنگین، ممکن است مقدار بالاتری لازم باشد.

برای انجام آزمایش‌های پایداری و بهینه‌سازی‌های کارایی، دیمن IKE با نام charon افزونه load-tester را ارائه می‌دهد. این افزونه به شخص اجازه می‌دهد هزاران تونل را به‌طور هم‌زمان در برابر خود دیمن یا یک میزبان راه دور برپا کند.

هشدار: هرگز افزونه سنجش بار را روی سیستم‌های عملیاتی فعال نکنید. این افزونه مدارک شناسایی از پیش پیکربندی‌شده ارائه می‌دهد و به مهاجم اجازه می‌دهد تا به عنوان هر کاربری احراز هویت کند.

برای احراز هویت کلید عمومی، پاسخ‌دهنده از شناسه "CN=srv, OU=load-test, O=strongSwan" استفاده می‌کند. برای آغازگر، هر تلاش اتصال از یک شناسه متفاوت به شکل "CN=c1-r1, OU=load-test, O=strongSwan" استفاده می‌کند که در آن شماره اول نشان‌دهنده شماره کلاینت و شماره دوم دور احراز هویت است (در صورت استفاده از دورهای احراز هویت چندگانه).

برای احراز هویت PSK، شناسه‌های FQDN به کار می‌روند. سرور از srv.strongswan.org استفاده می‌کند، و کلاینت از شناسه‌ای به شکل c1-r1.strongswan.org بهره می‌برد.

برای احراز هویت EAP، کلاینت از یک NAI به شکل 100000000010001@strongswan.org استفاده می‌کند.

برای پیکربندی دورهای احراز هویت چندگانه، چندین روش را به هم متصل کنید، مانند:

initiator_auth = pubkey|psk|eap-md5|eap-aka

پاسخ‌دهنده از یک گواهی ثابت درون کد بر پایه یک کلید ۱۰۲۴ بیتی RSA استفاده می‌کند. این گواهی علاوه بر این به عنوان گواهی CA نیز عمل می‌کند. همتا از همان کلید خصوصی استفاده می‌کند، اما در صورت نیاز گواهی‌های کلاینت امضاشده توسط گواهی CA را تولید می‌نماید. گواهی پاسخ‌دهنده/CA را روی میزبان راه دور نصب کنید تا تمامی کلاینت‌ها را احراز هویت نماید.

برای افزایش سرعت آزمایش، افزونه سنجش بار یک پیاده‌سازی ویژه از دیفی-هلمن به نام modpnull را ارائه می‌دهد. با تنظیم

proposal = aes128-sha1-modpnull
این پیاده‌سازی فوق‌العاده سریع DH استفاده می‌شود. این گزینه مطلقاً هیچ امنیتی فراهم نمی‌کند، اما به شخص اجازه می‌دهد آزمایش‌ها را بدون تحمیل بار محاسباتی DH اجرا کند.

در ساده‌ترین حالت، دیمن با استفاده از رابط loopback ارتباط‌های IKE_SA را در برابر خود آغاز می‌کند. این کار در عمل تعداد IKE_SAها را دو برابر برقرار می‌سازد، زیرا دیمن برای هر IKE_SA به‌طور هم‌زمان هم آغازگر است و هم پاسخ‌دهنده. نصب SAهای IPsec با شکست مواجه خواهد شد، زیرا هر SA دو بار نصب می‌شود. برای شبیه‌سازی رفتار درست، می‌توان یک رابط هسته ساختگی را فعال کرد که SAهای IPsec را در سطح هسته نصب نمی‌کند.

یک پیکربندی ساده loopback می‌تواند به این شکل باشد:

charon {
	# ایجاد IKE_SAهای جدید برای هر CHILD_SA جهت شبیه‌سازی
	# کلاینت‌های مختلف
	reuse_ikesa = no
	# غیرفعال کردن حفاظت در برابر انکار سرویس (DoS)
	dos_protection = no
	plugins {
		load-tester {
			# فعال‌سازی افزونه
			enable = yes
			# استفاده از ۴ نخ برای آغاز هم‌زمان
			# اتصالات
			initiators = 4
			# هر نخ ۱۰۰۰ اتصال را آغاز می‌کند
			iterations = 1000
			# تأخیر در هر آغاز در هر نخ به میزان ۲۰ میلی‌ثانیه
			delay = 20
			# فعال‌سازی رابط هسته ساختگی برای
			# جلوگیری از تداخل SA
			fake_kernel = yes
		}
	}
}

این پیکربندی ۴۰۰۰ ارتباط IKE_SA را ظرف ۲۰ ثانیه آغاز می‌کند. اگر دستگاه شما توان پردازش این میزان بار را ندارد می‌توانید مقدار تأخیر (delay) را افزایش دهید، یا برای اعمال بار بیشتر آن را کاهش دهید. اگر دیمن شروع به ارسال مجدد پیام‌ها کند، به احتمال زیاد دستگاه شما توان مدیریت تمامی تلاش‌های اتصال را ندارد.

این افزونه همچنین امکان آزمایش در برابر یک میزبان راه دور را فراهم می‌کند. این امر ممکن است به آزمایش در برابر یک پیکربندی واقعی در دنیای واقعی کمک کند. راه‌اندازی اتصال برای انجام آزمون فشار (stress testing) روی یک دروازه (gateway) می‌تواند به شکل زیر باشد:

charon {
	reuse_ikesa = no
	threads = 32
	plugins {
		load-tester {
			enable = yes
			# ۱۰۰۰۰ اتصال، ده مورد به‌صورت موازی
			initiators = 10
			iterations = 1000
			# استفاده از تأخیر ۱۰۰ میلی‌ثانیه‌ای، زمان کل برابر است با:
			# iterations * delay = 100s
			delay = 100
			# نشانی دروازه
			remote = 1.2.3.4
			# پیشنهاد IKE مورد استفاده
			proposal = aes128-sha1-modp1024
			# استفاده از احراز هویت سریع‌تر PSK به جای
			# RSA با کلید ۱۰۲۴ بیتی
			initiator_auth = psk
			responder_auth = psk
			# درخواست IP مجازی با استفاده از بارهای داده
			# پیکربندی
			request_virtual_ip = yes
			# تجدید کلید CHILD_SA هر ۶۰ ثانیه
			child_rekey = 60
		}
	}
}

مهلت‌های ارسال مجدد (retransmission timeouts) در دیمن IKEv2 با نام charon را می‌توان به‌صورت سراسری با استفاده از پنج کلید فهرست‌شده در زیر پیکربندی کرد:

charon.retransmit_base [1.8]
charon.retransmit_timeout [4.0]
charon.retransmit_tries [5]
charon.retransmit_jitter [0]
charon.retransmit_limit [0]

الگوریتم زیر برای محاسبه مهلت زمانی استفاده می‌شود:

relative timeout = retransmit_timeout * retransmit_base ^ (n-1)

که در آن n شمارش فعلی ارسال مجدد است. مهلت زمانی محاسبه‌شده نمی‌تواند از مقدار پیکربندی‌شده retransmit_limit (در صورت وجود) فراتر رود، که در صورت بالا بودن تعداد تلاش‌های مجدد کاربردی است.

اگر نوسان (jitter) بر حسب درصد پیکربندی شده باشد، مهلت زمانی به شرح زیر اصلاح می‌شود:

relative timeout -= random(0, retransmit_jitter * relative timeout)

با استفاده از مقادیر پیش‌فرض، بسته‌ها در فواصل زمانی زیر مجدداً ارسال می‌شوند:

ارسال مجدد مهلت نسبی مهلت مطلق
1 4s 4s
2 7s 11s
3 13s 24s
4 23s 47s
5 42s 89s
صرف‌نظر کردن 76s 165s

متغیرهای استفاده‌شده در بالا به شرح زیر پیکربندی شده‌اند:

${piddir}               /var/run
${prefix}               /usr
${sysconfdir}           /etc
${random_device}        /dev/random
${urandom_device}       /dev/urandom

/etc/strongswan.conf       پرونده پیکربندی
/etc/strongswan.d/         پوشه حاوی قطعه‌های پیکربندی گنجانده‌شده
/etc/strongswan.d/charon/  قطعه‌های پیکربندی ویژه افزونه‌ها

swanctl.conf(5), swanctl(8), ipsec.conf(5), ipsec.secrets(5), ipsec(8), charon-cmd(8)

توسط Tobias Brunner، Andreas Steffen و Martin Willi برای پروژه strongSwan نوشته شده است.

6.1.0