IPSec-beállítások konfigurálása

Az Internet Protocol Security (IPSec vagy IPsec) protokoll hálózaton keresztül (azon belül az interneten keresztül is) továbbított adatok titkosítására szolgáló protokollcsomag. Míg a TLS csak egy adott alkalmazás, például webböngésző vagy levelezőprogram adatait, addig az IPSec a teljes IP-csomagokat, illetve az általuk szállított adatokat is titkosítja, ezáltal sokoldalúbb biztonsági rendszert kínál. A készülék IPSec funkciója szállítási módban működik, tehát az IP-csomagok hasznos adattartalmát titkosítja. E funkciónak köszönhetően a készülék közvetlenül csatlakozni tud azokhoz a számítógépekhez, amelyek vele megegyező virtuális magánhálózatban (VPN) vannak. Mielőtt konfigurálná a készüléket, ellenőrizze a rendszerkövetelményeket, és állítsa be a számítógépen a szükséges konfigurációt.
Rendszerkövetelmények
Az IPSec funkcionális korlátai
Az IPSec az unicast címekkel (vagyis egyetlen eszközzel) folytatott kommunikációt támogatja.
Az IPSec nem érhető el olyan hálózatokon, amelyeken NAT fordítást vagy IP-maszkolást alkalmaznak.
IPSec használata IP-cím szűrővel
Az IP-címszűrési beállítások az IPSec-szabályok előtt vannak alkalmazva.
IP-címek megadása tűzfalszabályokhoz

IPSec-beállítások konfigurálása

Ahhoz, hogy az IPSec protokollal titkosíthassa a kommunikációt, biztonsági házirendeket kell regisztrálnia. Egy biztonsági házirend az alábbi beállításcsoportokból áll. Legfeljebb 10 házirend regisztrálható. A házirendek regisztrálása után meg kell adnia az alkalmazásuk sorrendjét.
Választó
A választóval feltételeket határozhat meg, amelyekkel kiválaszthatja, hogy milyen IP-csomagokra alkalmazza az IPSec-kommunikációt. A választható feltételek között a készülék IP-címei és portszámai, valamint a készülékkel kommunikáló eszközök szerepelnek.
IKE
Az IKE az IKEv1 kulcscsere-protokollt konfigurálja. Az utasítások a kiválasztott hitelesítési módtól függően változnak.
[Előre megosztott kulcsos mód]
A többi eszközzel megosztható egy legfeljebb 24 alfanumerikus karakterből álló kulcs. Mielőtt ezt a hitelesítési módot választaná, engedélyezze a TLS-t a Távoli felhasználói felülethez (TLS protokollal titkosított kommunikáció engedélyezése a Távoli felhasználói felülethez).
[Digitális aláírás mód]
A készülék és a többi eszköz egymás digitális aláírásainak kölcsönös ellenőrzésével hitelesíti egymást. Ehhez elő kell állítania és telepítenie kell a kulcspárt (Kulcspárok és digitális tanúsítványok beállításainak konfigurálása).
AH/ESP
Az AH/ESP beállításait határozza meg, amely az IPSec-kommunikáció során a csomagok részévé válik. Az AH és ESP egyszerre használható. Szigorúbb biztonsági feltételek esetén a PFS használatát is engedélyezheti.
1
Indítsa el a Távoli felhasználói felületet, és jelentkezzen be rendszerkezelői módban. A Távoli felhasználói felület indítása
2
Kattintson a [Beállítások/Bejegyzés] gombra.
3
Kattintson a [Biztonsági beállítások] [IPSec-beállítások] gombra.
4
Kattintson a [Szerkesztés...] elemre.
5
Jelölje be a [IPSec használata] jelölőnégyzetet, és kattintson a [OK] gombra.
Ha szeretné, hogy a készülék csak az alábbi lépések során meghatározott biztonsági szabályoknak megfelelő csomagokat fogadjon, akkor törölje a jelet a [H.rendnek nem megf. csom. vét.] jelölőnégyzetből.
6
Kattintson a [Új házirend bejegyzése...] elemre.
7
Adja meg a házirend-beállításokat.
1
A [Házirend neve] szövegmezőben legfeljebb 24 alfanumerikus karakterrel adja meg a házirendet azonosító nevet.
2
Jelölje be az [Házirend engedélyezése] jelölőnégyzetet.
8
Adja meg a választóbeállításokat.
 
[Helyi cím]
Kattintson a készülék IP-címtípusai közül azoknak a választógombjára, amelyekre alkalmazni kell a házirendet.
[Minden IP-cím]
Akkor válassza, ha minden IP-csomagra alkalmazza az IPSec protokollt.
[IPv4-cím]
Akkor válassza, ha a készülék IPv4-címéről vagy címére küldött IP-csomagokra szeretné alkalmazni az IPSec protokollt.
[IPv6-cím]
Akkor válassza, ha a készülék IPv6-címéről vagy címére küldött IP-csomagokra szeretné alkalmazni az IPSec protokollt.
 
[Távoli cím]
Kattintson a készülék IP-címtípusai közül azoknak a választógombjára, amelyekre alkalmazni kell a házirendet.
[Minden IP-cím]
Akkor válassza, ha minden IP-csomagra alkalmazza az IPSec protokollt.
[Minden IPv4-cím]
Akkor válassza, ha az egyéb készülékek IPv4-címéről és címére küldött IP-csomagokra szeretné alkalmazni az IPSec protokollt.
[Minden IPv6-cím]
Akkor válassza, ha az egyéb készülékek IPv6-címéről és címére küldött IP-csomagokra szeretné alkalmazni az IPSec protokollt.
[IPv4 kézi beállítása]
Adja meg azokat az önálló IPv4-címeket vagy IPv4-címtartományokat, amelyekre alkalmazza az IPSec protokollt. Az IPv4-címet (vagy tartományt) az [Kézzel beállítandó címek] szövegmezőben adhatja meg.
[IPv6 kézi beállítása]
Adja meg azokat az önálló IPv6-címeket vagy IPv6-címtartományokat, amelyekre alkalmazza az IPSec protokollt. Az IPv6-címet (vagy tartományt) az [Kézzel beállítandó címek] szövegmezőben adhatja meg.
 
[Kézzel beállítandó címek]
Ha a [IPv4 kézi beállítása] vagy a [IPv6 kézi beállítása] lehetőség van kiválasztva a [Távoli cím] mezőben, akkor adja meg azt az IP-címet, amelyre alkalmazni kell a házirendet. Címtartományt is megadhat, ebben az esetben kötőjellel válassza el egymástól a címeket.

IP-címek megadása
Leírás
Példa
Egyetlen IP-cím megadása
IPv4:
A számokat pontokkal válassza el.
192.168.0.10
IPv6:
Az alfanumerikus karaktereket kettőspontokkal válassza el.
fe80::10
Címtartomány megadása
A címek közé tegyen kötőjelet.
192.168.0.10-192.168.0.20
Címtartomány megadása előtaggal (csak IPv6 esetén)
Adjon meg az előtag hosszát egy számmal.
64
 
[Alhálózat beállításai]
Ha kézzel ad meg IPv4-címeket, akkor alhálózati maszkkal is kifejezheti a tartományt. Adja meg az alhálózati maszkot, a számokat pontokkal elválasztva (például: „255.255.255.240”).
[Előtag hossza]
Egy IPv6 címtartomány manuális megadásához használhatja az Előtag hossza beállítást. Az előtag hosszaként 0 és 128 közötti tartományt adhat meg (például: „64”).
[Helyi port]/[Távoli port]
Ha az egyes protokollokhoz, például a HTTP vagy SMTP protokollhoz külön házirendeket szeretne létrehozni, akkor a protokoll helyes portszámának megadásával alkalmazhatja rájuk az IPSec protokollt.

Az IPSec nem vonatkozik a következő csomagokra:
Visszacsatolt, multicast és üzenetszórásos csomagok
IKE-csomagok (UDP protokollal, az 500-as porton)
ICMPv6 szomszédkeresési és szomszédhirdetési csomagok
9
Határozza meg az IKE-beállításokat.
[IKE mód]
A kulcscsere-protokollként használt mód jelenik meg. A készülék a fő módot támogatja, nem az agresszív módot.
[Hitelesítési mód]
Válassza az [Előre megosztott kulcsos mód] vagy a [Digitális aláírás mód] lehetőséget a készülék hitelesítésének módjaként. Az [Előre megosztott kulcsos mód] választása esetén engedélyeznie kell a TLS-protokollt a Távoli felhasználói felülethez (TLS protokollal titkosított kommunikáció engedélyezése a Távoli felhasználói felülethez). A [Digitális aláírás mód] lehetőség választása előtt elő kell állítania, majd telepítenie kell egy kulcspárt (Kulcspárok és digitális tanúsítványok beállításainak konfigurálása).
[Érvényesség]
Határozza meg, hogy mennyi ideig tarthat egy IKE SA (ISAKMP SA) munkamenet. Az időtartamot percekben adhatja meg.
[Hitelesítés]/[Titkosítás]/[DH csoport]
Válasszon egy algoritmust a legördülő listából. A kulcscserében mindegyik algoritmus részt vesz.
[Hitelesítés]
Válasszon tördelő algoritmust.
[Titkosítás]
Válasszon titkosítási algoritmust.
[DH csoport]
Válassza ki a kulcs erősségét meghatározó Diffie-Hellman csoportot.
 Hitelesítés előmegosztott kulccsal
1
Kattintson a [Előre megosztott kulcsos mód] választógombra a [Hitelesítési mód] mezőben, majd kattintson a [Megosztott kulcs beállításai...] lehetőségre.
2
Adja meg legfeljebb 24 alfanumerikus karakterrel az előmegosztott kulcsot, majd kattintson az [OK] gombra.
3
Adja meg az [Érvényesség] és [Hitelesítés]/[Titkosítás]/[DH csoport] beállításokat.
 Hitelesítés kulcspárral és előre telepített hitelesítésszolgáltatói tanúsítvánnyal
1
Kattintson a [Digitális aláírás mód] választógombra a [Hitelesítési mód] mezőben, majd kattintson a [Kulcs és tanúsítvány...] lehetőségre.
2
Kattintson a használni kívánt kulcspártól jobbra látható [Alapértelmezett kulcs bejegyzése] parancsra.

Kulcspár vagy tanúsítvány részleteinek megtekintése
A [Kulcsnév] alatti megfelelő szöveges hivatkozásra vagy a tanúsítvány ikonjára kattintva megtekintheti a tanúsítvány részleteit, illetve ellenőrizheti a tanúsítványt. Kulcspárok, eszközhöz tartozó aláírókulcsok és tanúsítványok ellenőrzése
3
Adja meg az [Érvényesség] és [Hitelesítés]/[Titkosítás]/[DH csoport] beállításokat.
10
Adja meg az IPSec hálózati beállításokat.
[PFS használata]
Az IPSec-munkamenetkulcsok tökéletes továbbítási titkosságának (Perfect Forward Secrecy, PFS) engedélyezéséhez jelölje be a jelölőnégyzetet. A PFS engedélyezésével erősítheti a biztonságot, egyúttal növelheti a kommunikációs terhelést. Győződjön meg róla, hogy az PFS a többi eszközön is engedélyezve van.
[Megadás idővel]/[Megadás mérettel]
Állítsa be, hogy milyen feltételek esetén záruljanak le az IPSec SA-munkamenetek. Az IPSec SA kommunikációs csatornaként szolgál. Jelölje be szükség szerint valamelyik vagy mindkettő jelölőnégyzetet. Ha mindkét jelölőnégyzetet bejelöli, akkor az IPSec SA-munkamenet akkor zárul le, ha a kettő feltétel közül bármelyik teljesül.
[Megadás idővel]
Adja meg, hogy hány percig tartson egy munkamenet.
[Megadás mérettel]
Adja meg, hogy hány megabájtnyi adatot lehessen továbbítani egy munkamenetben.
[Algoritmus választása]
Jelölje be az [ESP], [ESP (AES-GCM)] vagy [AH (SHA1)] jelölőnégyzet(ek)et a használt IPSec-fejlécnek és algoritmusnak megfelelően. Az AES-GCM olyan algoritmus, amely egyszerre hitelesítést és titkosítást is végez. Ha az [ESP] lehetőséget választja, akkor az [ESP-hitelesítés] és [ESP-titkosítás] legördülő listából válassza ki a hitelesítési és titkosítási algoritmusokat is.
[ESP-hitelesítés]
Az ESP-hitelesítés engedélyezéséhez válassza az [SHA1] lehetőséget tördelő algoritmusként. Ha le szeretné tiltani az ESP-hitelesítést, akkor válassza a [Ne használja] lehetőséget.
[ESP-titkosítás]
Válasszon titkosítási algoritmust az ESP számára. Választhatja a [NULL] lehetőséget, ha nem kívánja az algoritmust meghatározni, vagy a [Ne használja] lehetőséget, ha le kívánja tiltani az ESP-titkosítást.
[Csatlakozási mód]
Az IPSec csatlakozási módja látható. A készülék a szállítási módot támogatja, amelyben az IP-csomagok hasznos tartalma titkosítva van. A csatorna mód, amelyben az egész IP-csomagok (fejlécek és hasznos adatok) egy egységként vannak kezelve, nem érhető el.
11
Kattintson az [OK] gombra.
Ha további biztonsági házirendet kell regisztrálnia, akkor térjen vissza a 6. lépéshez.
12
Rendezze sorba a [Bejegyzett IPSec-házirendek] mezőben felsorolt házirendeket.
A készülék a legmagasabb pozíciótól kezdve a legalacsonyabbig alkalmazza a házirendeket. A házirendeket a [Fel] és [Le] gombbal helyezheti feljebb vagy lejjebb a listában.

Házirend szerkesztése
A szerkesztési képernyő megnyitásához kattintson a [Házirend neve] alatti megfelelő szöveges hivatkozásra.
Házirend törlése
Kattintson a törölni kívánt házirendnévtől jobbra látható [Törlés] pontra  kattintson az [OK] gombra.
13
Indítsa újra a készüléket.
Kapcsolja ki a készüléket, várjon legalább 10 másodpercet, majd kapcsolja be.
Az IPSec kommunikáció a <Menü> használatával engedélyezhető vagy letiltható. IPSec használata
HIVATKOZÁSOK
Kulcspárok és digitális tanúsítványok beállításainak konfigurálása
IPSec-házirendlista
0SYK-08S