Διαμόρφωση Ρυθμίσεων IPSec

Το IPSec ή IPsec (Internet Protocol Security) είναι μια οικογένεια πρωτοκόλλων για την κρυπτογράφηση δεδομένων που μεταφέρονται μέσω ενός δικτύου, συμπεριλαμβανομένων των δικτύων Internet. Ενώ το TLS κρυπτογραφεί μόνο τα δεδομένα που χρησιμοποιούνται σε μια συγκεκριμένη εφαρμογή, όπως ένα πρόγραμμα περιήγησης στο Web ή μια εφαρμογή e-mail, το IPSec κρυπτογραφεί είτε ολόκληρα πακέτα IP είτε τα δεδομένα που μεταφέρουν, παρέχοντας ένα πιο ολοκληρωμένο σύστημα ασφάλειας. Το IPSec της συσκευής λειτουργεί σε κατάσταση μεταφοράς, στην οποία κρυπτογραφούνται τα δεδομένα που μεταφέρουν τα πακέτα IP (payload). Με αυτό το χαρακτηριστικό, η συσκευή μπορεί να συνδεθεί απευθείας σε έναν υπολογιστή ο οποίος βρίσκεται στο ίδιο εικονικό ιδιωτικό δίκτυο (VPN). Ελέγξτε τις απαιτήσεις συστήματος και καθορίστε τις απαραίτητες παραμέτρους στον υπολογιστή προτού διαμορφώσετε τις ρυθμίσεις της συσκευής.
Απαιτήσεις Συστήματος
ΣΗΜΕΙΩΣΗ
Λειτουργικοί περιορισμοί IPSec
Το IPSec υποστηρίζει επικοινωνία σε διεύθυνση μοναδικής διανομής (ή σε μία συσκευή).
Η συσκευή δεν μπορεί να χρησιμοποιήσει ταυτόχρονα και το IPSec και το DHCPv6.
Το IPSec δεν είναι διαθέσιμο σε δίκτυα στα οποία έχει υλοποιηθεί NAT ή "μεταμφίεση" IP.
Χρήση IPSec με φίλτρο διεύθυνσης IP
Οι ρυθμίσεις φίλτρου διεύθυνσης IP εφαρμόζονται πριν από τις πολιτικές IPSec.
Καθορισμός Διευθύνσεων IP για Κανόνες Τείχους Προστασίας

Διαμόρφωση Ρυθμίσεων IPSec

Πριν χρησιμοποιήσετε το IPSec για κρυπτογραφημένη επικοινωνία, θα πρέπει να αποθηκεύσετε πολιτικές ασφάλειας (SP). Μια πολιτική ασφάλειας αποτελείται από τις ομάδες των ρυθμίσεων που περιγράφονται παρακάτω. Μπορούν να αποθηκευτούν έως 10 πολιτικές. Μετά την αποθήκευση των πολιτικών, καθορίστε τη σειρά με την οποία θα εφαρμόζονται.
Επιλογέας
Ο επιλογέας ορίζει τις συνθήκες για τα πακέτα IP στα οποία εφαρμόζεται επικοινωνία IPSec. Οι επιλέξιμες συνθήκες περιλαμβάνουν διευθύνσεις IP και αριθμούς θυρών της συσκευής και των συσκευών με τις οποίες επικοινωνεί η συσκευή.
IKE
Το IKE διαμορφώνει το IKEv1 που χρησιμοποιείται για το πρωτόκολλο ανταλλαγής κλειδιών. Λάβετε υπόψη ότι οι οδηγίες διαφέρουν ανάλογα με την επιλεγμένη μέθοδο πιστοποίησης.
[Pre-Shared Key Method:]
Υπάρχει δυνατότητα κοινής χρήσης ενός κλειδιού που αποτελείται από έως και 24 αλφαριθμητικούς χαρακτήρες με άλλες συσκευές. Ενεργοποιήστε το TLS για το Remote UI πριν καθορίσετε αυτήν τη μέθοδο πιστοποίησης (Ενεργοποίηση κρυπτογραφημένης επικοινωνίας TLS για το Remote UI).
[Digital Signature Method:]
Αυτή η συσκευή και οι άλλες συσκευές πιστοποιούν η μία την άλλη με αμοιβαία επαλήθευση των ψηφιακών υπογραφών τους. Δημιουργήστε ή εγκαταστήστε το ζεύγος κλειδιών εκ των προτέρων (Διαμόρφωση Ρυθμίσεων για Ζεύγη Κλειδιών και Ψηφιακά Πιστοποιητικά).
AH/ESP
Καθορίστε τις ρυθμίσεις για το AH/ESP, το οποίο προστίθεται στα πακέτα κατά την επικοινωνία IPSec. Τα AH και ESP μπορούν να χρησιμοποιούνται ταυτόχρονα. Μπορείτε επίσης να επιλέξετε εάν θα ενεργοποιήσετε ή όχι το PFS για μεγαλύτερη ασφάλεια.
1
Εκκινήστε το Remote UI και συνδεθείτε σε Κατάσταση Υπεύθυνου Συστήματος. Εκκίνηση του Remote UI
2
Κάντε κλικ στο [Settings/Registration].
3
Κάντε κλικ στο [Security Settings]  [IPSec Settings].
4
Κάντε κλικ στο [Edit...].
5
Επιλέξτε το πλαίσιο ελέγχου [Use IPSec] και κάντε κλικ στο [OK].
Εάν θέλετε η συσκευή να λαμβάνει μόνο πακέτα που ταιριάζουν με μία από τις πολιτικές ασφάλειας που καθορίζονται στα παρακάτω βήματα, καταργήστε την επιλογή του πλαισίου ελέγχου [Receive Non-Policy Packets].
6
Κάντε κλικ στο [Register New Policy...].
7
Καθορίστε τις Ρυθμίσεις Πολιτικής.
1
Στο πλαίσιο κειμένου [Policy Name], εισάγετε έως και 24 αλφαριθμητικούς χαρακτήρες για το όνομα, το οποίο χρησιμοποιείται για την αναγνώριση της πολιτικής.
2
Επιλέξτε το πλαίσιο ελέγχου [Enable Policy].
8
Καθορίστε τις ρυθμίσεις Επιλογέα.
 
[Local Address:]
Κάντε κλικ στο κουμπί επιλογής που αντιστοιχεί στον τύπο διεύθυνσης IP της συσκευής στον οποίο θα εφαρμοστεί η πολιτική.
[All IP Addresses]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP.
[IPv4 Address]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP που αποστέλλονται από ή προς τη διεύθυνση IPv4 της συσκευής.
[IPv6 Address]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP που αποστέλλονται από ή προς μια διεύθυνση IPv6 της συσκευής.
 
[Remote Address:]
Κάντε κλικ στο κουμπί επιλογής που αντιστοιχεί στον τύπο διεύθυνσης IP των άλλων συσκευών στον οποίο θα εφαρμοστεί η πολιτική.
[All IP Addresses]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP.
[All IPv4 Addresses]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP που αποστέλλονται από ή προς τις διευθύνσεις IPv4 των άλλων συσκευών.
[All IPv6 Addresses]
Επιλέξτε για να χρησιμοποιηθεί το IPSec για όλα τα πακέτα IP που αποστέλλονται από ή προς τις διευθύνσεις IPv6 των άλλων συσκευών.
[IPv4 Manual Settings]
Επιλέξτε για να καθορίσετε μία διεύθυνση IPv4 ή μια περιοχή διευθύνσεων IPv4 για την εφαρμογή του IPSec. Εισάγετε τη διεύθυνση IPv4 (ή την περιοχή) στο πλαίσιο κειμένου [Addresses to Set Manually:].
[IPv6 Manual Settings]
Επιλέξτε για να καθορίσετε μία διεύθυνση IPv6 ή μια περιοχή διευθύνσεων IPv6 για την εφαρμογή του IPSec. Εισάγετε τη διεύθυνση IPv6 (ή την περιοχή) στο πλαίσιο κειμένου [Addresses to Set Manually:].
 
[Addresses to Set Manually:]
Εάν έχει επιλεγεί το στοιχείο [IPv4 Manual Settings] ή [IPv6 Manual Settings] για την επιλογή [Remote Address:], εισάγετε τη διεύθυνση IP στην οποία θα εφαρμοστεί η πολιτική. Μπορείτε επίσης να εισάγετε μια περιοχή διευθύνσεων, εισάγοντας ένα ενωτικό σημείο μεταξύ των διευθύνσεων.
ΣΗΜΕΙΩΣΗ:
Εισαγωγή διευθύνσεων IP
Περιγραφή
Παράδειγμα
Εισαγωγή μεμονωμένης διεύθυνσης
IPv4:
Διαχωρίστε τους αριθμούς με τελείες.
192.168.0.10
IPv6:
Διαχωρίστε τους αλφαριθμητικούς χαρακτήρες με άνω-κάτω τελείες.
fe80::10
Καθορισμός περιοχής διευθύνσεων
Εισάγετε ένα ενωτικό σημείο μεταξύ των διευθύνσεων.
192.168.0.10-192.168.0.20
Καθορισμός περιοχής διευθύνσεων με πρόθεμα (μόνο IPv6)
Εισάγετε τη διεύθυνση, ακολουθούμενη από μια κάθετο και έναν αριθμό που υποδεικνύει το μήκος του προθέματος.
fe80::1234/64
 
[Subnet Settings:]
Κατά τον χειροκίνητο καθορισμό διευθύνσεων IPv4, μπορείτε να εκφράσετε την περιοχή χρησιμοποιώντας τη μάσκα υποδικτύου. Εισάγετε τη μάσκα υποδικτύου χρησιμοποιώντας τελείες για να διαχωρίσετε τους αριθμούς (παράδειγμα: "255.255.255.240").
[Prefix Length:]
Κατά τον χειροκίνητο καθορισμό διευθύνσεων IPv6, μπορείτε να καθορίσετε το μήκος προθέματος.
[Local Port:]/[Remote Port:]
Εάν θέλετε να δημιουργήσετε ξεχωριστές πολιτικές για κάθε πρωτόκολλο, όπως το HTTP ή το SNMP, εισάγετε τον κατάλληλο αριθμό θύρας για το πρωτόκολλο για να καθορίσετε εάν θα χρησιμοποιείται το IPSec.
ΣΗΜΑΝΤΙΚΟ:
Το IPSec δεν εφαρμόζεται στα ακόλουθα πακέτα
Πακέτα βρόχου, πολλαπλής διανομής και εκπομπής
Πακέτα IKE (που χρησιμοποιούν UDP στη θύρα 500)
Πακέτα επίκλησης γειτονικού και κοινοποίησης γειτονικού ICMPv6
9
Καθορίστε τις ρυθμίσεις IKE.
[IKE Mode:]
Εμφανίζεται η κατάσταση που χρησιμοποιείται για το πρωτόκολλο ανταλλαγής κλειδιών. Η συσκευή υποστηρίζει την κύρια κατάσταση λειτουργίας, όχι την κατάσταση χωρίς επιβεβαίωση.
[Authentication Method:]
Επιλέξτε [Pre-Shared Key Method:] ή [Digital Signature Method:] για τη μέθοδο που θα χρησιμοποιηθεί κατά την πιστοποίηση της συσκευής. Πρέπει να ενεργοποιήσετε το TLS για το Remote UI πριν επιλέξετε [Pre-Shared Key Method:] (Ενεργοποίηση κρυπτογραφημένης επικοινωνίας TLS για το Remote UI). Πρέπει να δημιουργήσετε ή να εγκαταστήσετε ένα ζεύγος κλειδιών πριν επιλέξετε [Digital Signature Method:] (Διαμόρφωση Ρυθμίσεων για Ζεύγη Κλειδιών και Ψηφιακά Πιστοποιητικά).
[Valid for:]
Καθορίστε το χρονικό διάστημα που θα διαρκεί μια περίοδος λειτουργίας για το IKE SA (ISAKMP SA). Εισάγετε τον χρόνο σε λεπτά.
[Authentication:]/[Encryption:]/[DH Group:]
Επιλέξτε έναν αλγόριθμό από την αναπτυσσόμενη λίστα. Κάθε αλγόριθμος χρησιμοποιείται στην ανταλλαγή κλειδιών.
[Authentication:]
Επιλέξτε τον αλγόριθμο κατακερματισμού.
[Encryption:]
Επιλέξτε τον αλγόριθμο κρυπτογράφησης.
[DH Group:]
Επιλέξτε την ομάδα Diffie-Hellman, η οποία καθορίζει την ισχύ του κλειδιού.
Χρήση ήδη κοινόχρηστου κλειδιού για πιστοποίηση
1
Κάντε κλικ στο κουμπί επιλογής [Pre-Shared Key Method:] για την επιλογή [Authentication Method:] και κατόπιν επιλέξτε [Shared Key Settings...].
2
Εισάγετε έως και 24 αλφαριθμητικούς χαρακτήρες για το ήδη κοινόχρηστο κλειδί και κάντε κλικ στο [OK].
3
Καθορίστε τις ρυθμίσεις [Valid for:] και [Authentication:]/[Encryption:]/[DH Group:].
Χρήση ζεύγους κλειδιών και προεγκατεστημένων πιστοποιητικών CA για πιστοποίηση
1
Κάντε κλικ στο κουμπί επιλογής [Digital Signature Method:] για την επιλογή [Authentication Method:] και κατόπιν επιλέξτε [Key and Certificate...].
2
Κάντε κλικ στο [Register Default Key], στα δεξιά του ζεύγους κλειδιών που θέλετε να χρησιμοποιήσετε.
ΣΗΜΕΙΩΣΗ:
Προβολή λεπτομερειών ζεύγους κλειδιών ή πιστοποιητικού
Μπορείτε να ελέγξετε τις λεπτομέρειες του πιστοποιητικού ή να επαληθεύσετε το πιστοποιητικό κάνοντας κλικ στην αντίστοιχη σύνδεση κειμένου κάτω από το πεδίο [Key Name] ή στο εικονίδιο πιστοποιητικού. Επαλήθευση Ζευγών Κλειδιών και Ψηφιακών Πιστοποιητικών
3
Καθορίστε τις ρυθμίσεις [Valid for:] και [Authentication:]/[Encryption:]/[DH Group:].
10
Καθορίστε τις Ρυθμίσεις Δικτύου IPSec.
[Use PFS]
Επιλέξτε το πλαίσιο ελέγχου για να ενεργοποιήσετε το PFS (Perfect Forward Secrecy) για τα κλειδιά περιόδων λειτουργίας IPSec. Η ενεργοποίηση του PFS ενισχύει την ασφάλεια, αυξάνοντας παράλληλα το φορτίο στην επικοινωνία. Βεβαιωθείτε ότι το PFS είναι επίσης ενεργοποιημένο για τις άλλες συσκευές.
[Specify by Time]/[Specify by Size]
Καθορίστε τις συνθήκες για τον τερματισμό μιας περιόδου λειτουργίας για το IPSec SA. Το IPSec SA χρησιμοποιείται ως σήραγγα επικοινωνίας. Επιλέξτε ένα ή και τα δύο πλαίσια ελέγχου, όπως απαιτείται. Εάν είναι επιλεγμένα και τα δύο πλαίσια ελέγχου, η περίοδος λειτουργίας IPSec SA τερματίζεται όταν ικανοποιείται οποιαδήποτε από τις συνθήκες.
[Specify by Time]
Εισάγετε ένα χρονικό διάστημα σε λεπτά για να καθορίσετε τη διάρκεια της περιόδου λειτουργίας.
[Specify by Size]
Εισάγετε ένα μέγεθος σε megabyte για να καθορίσετε τον όγκο των δεδομένων που μπορούν να μεταφερθούν σε μια περίοδο λειτουργίας.
[Select Algorithm:]
Επιλέξτε τα πλαίσια ελέγχου [ESP], [ESP (AES-GCM)] ή [AH (SHA1)], ανάλογα με την κεφαλίδα IPSec και τον αλγόριθμο που χρησιμοποιείται. Το AES-GCM είναι ένας αλγόριθμος τόσο για πιστοποίηση όσο και για κρυπτογράφηση. Εάν είναι επιλεγμένο το [ESP], επιλέξτε επίσης αλγορίθμους για πιστοποίηση και κρυπτογράφηση από τις αναπτυσσόμενες λίστες [ESP Authentication:] και [ESP Encryption:].
[ESP Authentication:]
Για να ενεργοποιήσετε την πιστοποίηση ESP, επιλέξτε [SHA1] για τον αλγόριθμο κατακερματισμού. Επιλέξτε [Do Not Use] εάν θέλετε να απενεργοποιήσετε την πιστοποίηση ESP.
[ESP Encryption:]
Επιλέξτε τον αλγόριθμο κρυπτογράφησης για το ESP. Επιλέξτε [NULL] εάν δεν θέλετε να καθορίσετε τον αλγόριθμο ή επιλέξτε [Do Not Use] εάν θέλετε να απενεργοποιήσετε την κρυπτογράφηση ESP.
[Connection Mode]
Εμφανίζεται η κατάσταση σύνδεσης του IPSec. Η συσκευή υποστηρίζει την κατάσταση μεταφοράς, στην οποία κρυπτογραφούνται τα δεδομένα που μεταφέρουν τα πακέτα IP (payload). Η κατάσταση σήραγγας, στην οποία ενθυλακώνονται ολόκληρα τα πακέτα IP (κεφαλίδες και μεταφερόμενα δεδομένα), δεν είναι διαθέσιμη.
11
Κάντε κλικ στο [OK].
Εάν θέλετε να καταχωρίσετε μια πρόσθετη πολιτική ασφάλειας, επιστρέψτε στο βήμα 6.
12
Διευθετήστε τη σειρά των πολιτικών που αναφέρονται στην ενότητα [Registered IPSec Policies].
Οι πολιτικές εφαρμόζονται με σειρά προτεραιότητας, από αυτήν που βρίσκεται στην υψηλότερη θέση προς αυτήν στη χαμηλότερη θέση. Κάντε κλικ στο [Up] ή στο [Down] για να μετακινήσετε μια πολιτική προς τα επάνω ή προς τα κάτω στη σειρά.
ΣΗΜΕΙΩΣΗ:
Επεξεργασία πολιτικής
Κάντε κλικ στην αντίστοιχη σύνδεση κειμένου στο πεδίο [Policy Name] για να εμφανίσετε την οθόνη επεξεργασίας.
Διαγραφή πολιτικής
Κάντε κλικ στο [Delete] στα δεξιά του ονόματος πολιτικής που θέλετε να διαγράψετε  κάντε κλικ στο [OK].
13
Επανεκκινήστε τη συσκευή.
Απενεργοποιήστε τη συσκευή, περιμένετε τουλάχιστον 10 δευτερόλεπτα και ενεργοποιήστε την ξανά.
ΣΥΝΔΕΣΕΙΣ
Διαμόρφωση Ρυθμίσεων για Ζεύγη Κλειδιών και Ψηφιακά Πιστοποιητικά
Λίστα Πολιτικής IPSec
0X35-03X