Настройка параметров IPSec

IPSec или IPsec — это протокол, который подходит для кодирования данных, передающихся по сети, в том числе и Интернету. В то время как TLS шифрует только данные определенного приложения, например веб-браузера или почтовой программы, IPSec шифрует либо все IP-пакеты, либо рабочие нагрузки IP-пакетов, обеспечивая более универсальную систему безопасности. Функция IPSec аппарата работает в режиме передачи, при котором кодируется полезная часть IP-пакета. Благодаря этой функции аппарат можно подключить напрямую к компьютеру, который находится в той же виртуальной частной сети (VPN). Перед настройкой аппарата проверьте системные требования и настройте необходимые параметры на компьютере.
Требования к системе
Функциональные ограничения IPSec
IPSec поддерживает передачу данных на однопунктовые адреса (или одиночные устройства).
Протокол IPSec недоступен в сетях с преобразованием интернет-протокола.
Использование IPSec с фильтрацией IP-адресов
Сначала применяются параметры фильтрации IP-адресов, затем — политики IPSec.
Указание IP-адресов по правилам брандмауэра

Настройка параметров IPSec

Перед использованием IPSec для передачи зашифрованных данных необходимо зарегистрировать концепции безопасности (SP). Политика безопасности включает группы параметров, описанных ниже. Можно зарегистрировать до 10 концепций. После регистрации концепций укажите порядок их применения.
Селектор
Селектор определяет условия применения IPSec для передачи IP-пакетов. Эти условия включают IP-адреса и номера портов аппарата и устройства, между которыми будет происходить обмен данными.
Протокол IKE
IKE настраивает IKEv1, который используется для протокола распределения ключей. Помните, что инструкции зависят от выбранного метода аутентификации.
[Способ защищ. общего ключа]
Совместно с другими устройствами можно использовать ключ, состоящий из 24 алфавитно-цифровых символов. Включение TLS для Удаленного ИП до указания этого метода аутентификации (Активация функции зашифрованной связи TLS для Удаленного ИП).
[Способ цифровой подписи]
Данное устройство, а также другие подобные устройства, опознают друг друга путем выполнения операции взаимного подтверждения своих цифровых подписей. Заблаговременно создайте и установите пару ключей (Настройка параметров для пар ключей и цифровых сертификатов).
AH/ESP
Укажите параметры заголовка AH/ESP, который добавляется к пакету во время передачи IPSec. AH и ESP могут использоваться в одно и то же время. Вы также можете включить PFS для повышения безопасности.
1
Запустите Удаленный ИП и войдите в систему в режиме администратора системы. Запуск Удаленного ИП
2
Щелкните [Настройки/Регистрация].
3
Щелкните [Настройки защиты]  [Параметры IPSec].
4
Щелкните [Изменить...].
5
Установите флажок [Использовать IPSec] и щелкните [OK].
Если вы хотите, чтобы устройство принимало исключительно пакеты, которые соответствуют условиям одной из политик безопасности, определенных вами в предыдущих шагах, снимите флажок [Прием пакетов вне политики].
6
Щелкните [Регистрировать новую политику...].
7
Укажите параметры концепции.
1
В поле [Имя политики] введите имя для идентификации концепции длиной до 24 буквенно-цифровых символов.
2
Установите флажок [Включить политику].
8
Укажите параметры селектора.
 
[Локальный адрес]
Чтобы применить политику, щелкните командную кнопку рядом с типом IP-адреса аппарата.
[Все IP-адреса]
Использование IPSec для всех IP-пакетов.
[IPv4-адрес]
Включите использование IPSec для всех IP-пакетов, которые отправляются с аппарата на IPv4-адрес или поступают в него с этого адреса.
[IPv6-адрес]
Включите использование IPSec для всех IP-пакетов, которые отправляются с аппарата на IPv6-адрес или поступают в него с этого адреса.
 
[Удаленный адрес]
Чтобы применить политику, щелкните командную кнопку рядом с типом IP-адреса других устройств.
[Все IP-адреса]
Использование IPSec для всех IP-пакетов.
[Все IPv4-адреса]
Включите использование IPSec для всех IP-пакетов, которые отправляются с IPv4-адресов других устройств или поступают в них.
[Все IPv6-адреса]
Включите использование IPSec для всех IP-пакетов, которые отправляются с IPv6-адресов других устройств или поступают в них.
[Парам. IPv4, устанавл. вручную]
Выберите, чтобы указать один адрес IPv4 или диапазон адресов IPv4, к которым будет применяться IPSec. Введите адрес IPv4 (или диапазон адресов) в поле [Адреса для установки вручную].
[Парам. IPv6, устанавл. вручную]
Выберите, чтобы указать один адрес IPv6 или диапазон адресов IPv6, к которым будет применяться IPSec. Введите адрес IPv6 (или диапазон адресов) в поле [Адреса для установки вручную].
 
[Адреса для установки вручную]
Если [Парам. IPv4, устанавл. вручную] или [Парам. IPv6, устанавл. вручную] выбраны для [Удаленный адрес], введите IP-адрес для применения политики. Можно также ввести диапазон адресов, разделив адреса знаком тире.

Ввод IP-адреса.
Описание
Пример
Ввод одного адреса
IPv4:
цифры разделяются точками.
192.168.0.10
IPv6:
буквенно-цифровые символы разделяются двоеточием.
fe80::10
Ввод диапазона адресов
Адреса разделяются знаком тире.
192.168.0.10-192.168.0.20
Ввод диапазона адресов с префиксом (только для IPv6)
Введите число, обозначающее длину префикса.
64
 
[Параметры подсети]
Указывая адрес IPv4 вручную, можно указать диапазон с помощью маски подсети. Укажите маску подсети, разделяя цифры точками (например: 255.255.255.240).
[Длина префикса]
Для указания диапазона адресов IPv6 вручную, можно также использовать длину префикса для указания диапазона. Укажите диапазон от 0 до 128 для длины префикса (пример: «64»).
[Локальный порт]/[Удаленный порт]
При необходимости создать отдельную политику для каждого протокола, например HTTP или SMTP, введите номер соответствующего порта для протокола, чтобы указать, нужно ли использовать IPSec.

Действие пакета протоколов IPSec не распространяется на следующие пакеты
Возвратные, многоадресные и широковещательные пакеты
Пакеты IKE (при использовании UDP на порте 500)
Пакеты ICMPv6, такие как запрос к соседу и ответ (предложение) соседа
9
Укажите настройки IKE.
[Режим IKE]
Отображение режима, использующегося для протокола распределения ключей. Аппарат поддерживает основной режим, а не активный.
[Способ аутентификации]
Выберите [Способ защищ. общего ключа] или [Способ цифровой подписи] в качестве метода аутентификации аппарата. Необходимо включить TLS для Удаленного ИП, прежде чем выбирать [Способ защищ. общего ключа] (Активация функции зашифрованной связи TLS для Удаленного ИП). Перед выбором настройки параметра [Способ цифровой подписи] необходимо создать или установить пару ключей (Настройка параметров для пар ключей и цифровых сертификатов).
[Действует]
Укажите длительность сессии для IKE SA (ISAKMP SA). Введите время в минутах.
[Аутентификация]/[Шифрование]/[Группа DH]
Выберите алгоритм из раскрывающегося списка. В распределении ключей используются все алгоритмы.
[Аутентификация]
Выберите хэш-алгоритм.
[Шифрование]
Выберите алгоритм шифрования.
[Группа DH]
Выберите группу шифрования по Диффи — Хеллману, номер группы определяет длину ключа.
 Использование предварительного ключа для аутентификации
1
Щелкните кнопку радио [Способ защищ. общего ключа] для [Способ аутентификации], затем щелкните [Параметры общего ключа].
2
Введите предварительный ключ длиной до 24 буквенно-цифровых символов и щелкните [OK].
3
Задайте параметры [Действует] и [Аутентификация]/[Шифрование]/[Группа DH].
 Использование пары ключей и предустановленных сертификатов CA для выполнения аутентификации
1
Щелкните кнопку радио [Способ цифровой подписи] для [Способ аутентификации], затем щелкните [Ключ и сертификат...].
2
Щелкните [Зарегистрировать ключ по умолчанию] справа от пары ключей, которую вы хотите использовать.

Просмотр информации о паре ключей и сертификате
Можно проверить информацию сертификате или подтвердить сертификат, щелкнув соответствующую текстовую ссылку под [Имя ключа] или нажав значок сертификата. Проверка пар ключей, ключей подписи устройства и сертификатов
3
Задайте параметры [Действует] и [Аутентификация]/[Шифрование]/[Группа DH].
10
Укажите параметры сети IPSec.
[Использовать PFS]
Установите этот флажок для включения режима совершенной прямой секретности (PFS) для ключей сеансов IPSec. Режим PFS повышает безопасность, но в то же время увеличивает нагрузку на соединение. Убедитесь, что функция PFS включена и на других устройствах.
[Указать по времени]/[Указать по размеру]
Укажите условия прекращения сессии IPSec SA. Соединение IPSec SA используется в качестве туннеля связи. При необходимости установите один или оба флажка. Если флажки установлены, сессия IPSec SA прекращается при выполнении любого из условий.
[Указать по времени]
Введите продолжительность сессии в минутах.
[Указать по размеру]
Укажите максимальный объем данных для передачи во время сессии в мегабайтах.
[Выбор алгоритма]
Установите флажок [ESP], [ESP (AES-GCM)] или [AH (SHA1)] в зависимости от заголовка IPSec и использующегося алгоритма. Алгоритм AES-GCM подходит как для аутентификации, так и для шифрования. Если выбрано [ESP], выберите также алгоритмы аутентификации и шифрования из раскрывающихся списков [Аутентификация ESP] и [Шифрование ESP].
[Аутентификация ESP]
Для включения аутентификации ESP выберите [SHA1] в качестве хэш-алгоритма. Выберите [Не использовать] для отключения аутентификации ESP.
[Шифрование ESP]
Выберите алгоритм шифрования ESP. Выберите [NULL], чтобы не указывать алгоритм, или [Не использовать], чтобы отключить шифрование ESP.
[Режим соединения]
Отображается режим с установлением соединения IPSec. Аппарат поддерживает режим передачи, при котором шифруется полезная часть IP-пакета. Туннельный режим, при котором происходит инкапсуляция всего IP-пакета (заголовок и полезная часть), недоступен.
11
Щелкните [OK].
При необходимости зарегистрировать дополнительную концепцию безопасности, вернитесь к шагу 6.
12
Задайте порядок применения концепций в списке [Зарегистрированные политики IPSec].
Концепции применяются в порядке от верхней к нижней. Щелкните [Вверх] или [Вниз], чтобы переместить концепцию вверх или вниз по списку.

Правка политики
Щелкните соответствующую текстовую ссылку под [Имя политики] для вызова экрана редактирования.
Удаление политики
Щелкните [Удалить] справа от имени политики, которую необходимо удалить,  щелкните [OK].
13
Перезапустите аппарат.
Выключите аппарат и подождите как минимум 10 секунд, прежде чем включить его снова.
Передачу данных IPSec можно включить или выключить в <Меню>. Использовать IPSec
ССЫЛКИ
Настройка параметров для пар ключей и цифровых сертификатов
Список политик IPSec
0RAS-08S