پیکربندی تنظیمات IPSec

با استفاده از IPSec، می توانید مانع از رهگیری یا دستکاری بسته های IP منتقل شده ازطریق شبکه IP توسط اشخاص ثالث شوید. از آنجایی که IPSec عملکردهای امنیتی به IP اضافه می کنند (مجموعه پروتکل پایه استفاده شده برای اینترنت)، می تواند امنیتی ارائه دهد که مستقل از پیکربندی برنامه ها یا شبکه است. برای برقراری ارتباط IPSec با این دستگاه، باید تنظیماتی مانند پارامترهای برنامه و الگوریتم برای تأیید اعتبار و رمزگذاری را پیکربندی کنید. امتیازهای سرپرست یا NetworkAdmin برای پیکربندی این تنظیمات الزامی است.
حالت ارتباط
این دستگاه فقط از حالت انتقال برای ارتباط IPSec پشتیبانی می کند. در نتیجه، تأیید اعتبار و رمزگذاری فقط بر بخش های داده مربوط به بسته های IP اعمال می شود.
پروتکل تبادل کلید
این دستگاه از تبادل کلید اینترنت نسخه 1 (IKEv1) برای تبادل کلیدها براساس انجمن امنیت اینترنت و پروتکل مدیریت کلید (ISAKMP) پشتیبانی می کند. برای روش تأیید اعتبار، روش کلید از قبل به اشتراک گذاشته شده یا روش امضای دیجیتال را تنظیم کنید.
هنگام تنظیم روش کلید از قبل به اشتراک گذاشته شده، باید از قبل عبارت عبوری (کلید از قبل به اشتراک گذاشته شده) در نظر بگیرید که بین جفت ارتباط دستگاه و IPSec استفاده می شود.
هنگام تنظیم روش امضای دیجیتال، از کلید و گواهی قالب گواهی CA و PKCS#12 استفاده کنید تا تأیید اعتبار دوجانبه ای بین جفت ارتباط دستگاه و IPSec انجام شود. برای اطلاعات بیشتر درباره ثبت گواهی های CA جدید یا کلیدها/گواهی ها، به ثبت یک کلید و گواهی برای ارتباط شبکه بروید. توجه داشته باشید که قبل از استفاده از این روش، باید SNTP برای دستگاه پیکربندی شود. انجام تنظیمات SNTP
صرف نظر از تنظیم <Format Encryption Method to FIPS 140-2> برای ارتباط IPSec، ماژول رمزگذاری که قبلاً گواهی FIPS140-2 کسب کرده است، استفاده خواهد شد.
برای اینکه ارتباط IPSec را به گونه ای تنظیم کنید که از FIPS 140-2 پیروی کند، باید طول کلید DH و RSA را برای ارتباط IPSec تا 2048 بیت یا بیشتر در محیط شبکه که دستگاه به آن تعلق دارد، تنظیم کنید.
فقط طول کلید برای DH را می توان از دستگاه مشخص کرد.
هنگام پیکربندی محیط مراقب باشید زیرا هیچ تنظیمی برای RSA در دستگاه وجود ندارد.
می توانید تا 10 خط مشی امنیتی ثبت کنید.
1
 (Settings/Register) را فشار دهید.
2
<Preferences>‏  <Network>‏  <TCP/IP Settings>‏  <IPSec Settings> را فشار دهید.
3
<Use IPSec> را روی <On> تنظیم نمایید و <Register> را فشار دهید.
4
نامی برای خط مشی مشخص کنید.
<Policy Name> را فشار دهید، نام را وارد کنید و <OK> را فشار دهید.
چاپگرهای چند منظوره Canon از دو طول کلید برای روش رمزگذاری AES پشتیبانی می کنند: 128 بیت و 256 بیت. برای محدود کردن طول کلید به 256 بیت و پیروی از استانداردهای تأیید اعتبار CC،<Only Allow 256-bit for AES Key Length> را روی <On> تنظیم کنید.
5
پارامترهای برنامه IPSec را پیکربندی کنید.
1
<Selector Settings‎> را فشار دهید.
2
آدرس IP را مشخص کنید تا خط مشی IPSec را روی آن اعمال کنید.
آدرس IP این دستگاه را در <Local Address> مشخص کنید و آدرس IP جفت ارتباط را در <Remote Address> مشخص کنید.

<All IP Addresses>
IPSec را روی همه بسته های IP ارسال شده و دریافت شده اعمال می شود.
<IPv4 Address>
IPSec روی بسته های IP ارسال شده به و دریافت شده از آدرس IPv4 این دستگاه اعمال می شود.
<IPv6 Address>
IPSec روی بسته های IP ارسال شده به و دریافت شده از آدرس IPv6 این دستگاه اعمال می شود.
<All IPv4 Addresses>
IPSec روی بسته های IP ارسال شده به و دریافت شده از آدرس IPv4 جفت ارتباط اعمال می شود.
<All IPv6 Addresses>
IPSec روی بسته های IP ارسال شده به و دریافت شده از آدرس IPv6 جفت ارتباط اعمال می شود.
<IPv4 Manual Settings>
آدرس IPv4 را مشخص کنید تا IPSec را روی آن اعمال کنید.
<Single Address> را انتخاب کنید تا یک آدرس IPv4 وارد کنید.
<Address Range> را انتخاب کنید تا محدوده آدرس های IPv4 را مشخص کنید. آدرس مجزایی برای <First Address> و <Last Address> وارد کنید.
<Subnet Settings> را انتخاب کنید تا با استفاده از پوشش شبکه فرعی، محدوده آدرس های IPv4 را مشخص کنید. مقادیر مجزایی برای <Address> و <Subnet Mask> وارد کنید.
<IPv6 Manual Settings>
آدرس IPv6 را مشخص کنید تا IPSec را روی آن اعمال کنید.
<Single Address> را انتخاب کنید تا یک آدرس IPv6 وارد کنید.
<Address Range> را انتخاب کنید تا محدوده آدرس های IPv6 را مشخص کنید. آدرس مجزایی برای <First Address> و <Last Address> وارد کنید.
<Specify Prefix> را انتخاب کنید تا با استفاده از پیشوند، محدوده آدرس های IPv6 را مشخص کنید. مقادیر مجزایی برای <Address> و <Prefix Length> وارد کنید.
3
درگاه را مشخص کنید تا IPSec را روی آن اعمال کنید.
<Specify by Port Number> را فشار دهید تا هنگام مشخص کردن درگاه هایی که IPSec روی آنها اعمال می شود، از شماره درگاه استفاده کنید. برای اعمال IPSec روی همه شماره درگاه ها، <All Ports> را انتخاب کنید. برای اعمال IPSec روی شماره درگاهی خاص، <Single Port> را فشار دهید و شماره درگاه را وارد کنید. بعد از مشخص کردن درگاه ها، <OK> را فشار دهید. درگاه این دستگاه را در <Local Port> مشخص کنید و درگاه جفت ارتباط را در <Remote Port> مشخص کنید.
<Specify by Service Name> را فشار دهید تا هنگام مشخص کردن درگاه هایی که IPSec روی آنها اعمال می شود، از نام سرویس ها استفاده کنید. سرویس را در لیست انتخاب کنید و <Service On/Off> را فشار دهید تا آن را روی <On> تنظیم کنید و <OK> را فشار دهید.
4
<OK‎> را فشار دهید.
6
تنظیمات تأیید اعتبار و رمزگذاری را پیکربندی کنید.
1
<IKE Settings‎> را فشار دهید.
2
تنظیمات لازم را پیکربندی کنید.
<IKE Mode>
حالت عملیات را برای پروتکل تبادل انتخاب کنید. وقتی حالت عملیات روی <Main> قرار داده شد، امنیت افزایش می یابد زیرا خود جلسه IKE رمزگذاری شده است، ولی فشار بیشتری بر ارتباطات در مقایسه با <Aggressive> که رمزگذاری انجام نمی دهد، وارد می آورد.
<Validity>
دوره انقضای IKE SA ایجادشده را وارد کنید.
<Authentication Method>
یکی از روش های تأیید اعتبار توضیح داده شده در زیر را انتخاب کنید.
<Pre-Shared Key Method>
همان عبارت عبوری را (کلید از قبل به اشتراک گذاشته شده) تنظیم کنید که برای جفت ارتباط تنظیم شده است. <Shared Key> را فشار دهید، رشته نویسه را برای استفاده به عنوان کلید به اشتراک گذاشته شده وارد کنید و <OK> را فشار دهید.
<Digital Sig. Method>
کلید و گواهی را تنظیم کنید تا برای تأیید اعتبار دوجانبه با جفت ارتباط استفاده شود. <Key and Certificate> را فشار دهید، کلید و گواهی را برای استفاده انتخاب کنید و <Set as Default Key>‏  <Yes>‏  <OK> را فشار دهید.
<Authentication/Encryption Algorithm>
<Auto> یا <Manual Settings> را انتخاب کنید تا نحوه مشخص کردن الگوریتم تأیید اعتبار و رمزگذاری برای فاز 1 IKE را مشخص کنید. اگر <Auto> را انتخاب کنید، الگوریتمی که می توان با این دستگاه و جفت ارتباط استفاده کرد، به طور خودکار تنظیم می شود. اگر می خواهید الگوریتم خاصی را مشخص کنید، <Manual Settings> را انتخاب کنید و تنظیمات زیر را پیکربندی کنید.
<Authentication>
الگوریتم هش را انتخاب کنید.
<Encryption>
الگوریتم رمزگذاری را انتخاب کنید.
<DH Group>
گروه را برای روش تبادل کلید Diffie-Hellman انتخاب کنید تا طول کلید را تنظیم کنید.
3
<OK‎> را فشار دهید.
وقتی <IKE Mode> روی <Main> در صفحه <IKE Settings> تنظیم می شود و <Authentication Method> روی <Pre-Shared Key Method> تنظیم می شود، محدودیت های زیر هنگام ثبت چند خط مشی امنیتی اعمال می شوند.
کلید روش کلید از قبل به اشتراک گذاشته شده: هنگام مشخص کردن چند آدرس IP از راه دور که خط مشی امنیتی روی آن اعمال می شود، همه کلیدهای به اشتراک گذاشته شده برای آن خط مشی امنیتی مشابه هستند (این مورد هنگام مشخص کردن یک آدرس اعمال نمی شود).
اولویت: هنگام مشخص کردن چند آدرس IP از راه دور که خط مشی امنیتی روی آن اعمال می شود، اولویت آن خط مشی امنیتی زیر خط مشی های امنیتی است که تک آدرسی برای آن مشخص می شود.
7
تنظیمات ارتباط IPSec را پیکربندی کنید.
1
<IPSec Network Settings‎> را فشار دهید.
2
تنظیمات لازم را پیکربندی کنید.
<Validity>
دوره انقضای IPSec SA ایجادشده را وارد کنید. حتماً <Time> یا <Size> را تنظیم کنید. اگر هر دو را وارد کنید، تنظیماتی که تاریخ آن اول برسد، اعمال خواهد شد.
<PFS>
اگر عملکرد Perfect Forward Secrecy (PFS) را روی <On> تنظیم کنید، محرمانه بودن کلید رمزگذاری افزایش پیدا می کند اما سرعت ارتباط کمتر می شود. به علاوه، عملیات PFS را باید در دستگاه جفت ارتباط فعال کرد.
<Authentication/Encryption Algorithm>
<Auto> یا <Manual Settings> را انتخاب کنید تا نحوه مشخص کردن الگوریتم تأیید اعتبار و رمزگذاری برای فاز 2 IKE را مشخص کنید. اگر <Auto> را انتخاب کنید، الگوریتم تأیید اعتبار و رمزگذاری ESP به طور خودکار تنظیم می شود. اگر می خواهید روش تأیید اعتبار خاصی را مشخص کنید، <Manual Settings> را فشار دهید و یکی از روش های تأیید اعتبار زیر را انتخاب کنید.
<ESP>
تأیید اعتبار و رمزگذاری هر دو اجرا می شوند. الگوریتم را برای <ESP Authentication> و <ESP Encryption> انتخاب کنید. اگر نمی خواهید الگوریتم تأیید اعتبار و رمزگذاری را تنظیم کنید، <NULL> را انتخاب کنید.
‎<ESP (AES-GCM)>‎
از AES-GCM به عنوان الگوریتم ESP استفاده می شود و تأیید اعتبار و رمزگذاری هر دو اجرا می شوند.
‎<AH (SHA1)>‎
تأیید اعتبار اجرا می شود اما داده رمزگذاری نمی شود. از SHA1 به عنوان الگوریتم استفاده می شود.
3
<OK>‏ <OK> را فشار دهید.
8
سیاست های ثبت شده را فعال کنید و ترتیب اولویت ها را بررسی کنید.
سیاست های ثبت شده را از لیست انتخاب کنید، و <Policy On/Off> را فشار دهید تا آنها را <On> کنید.
سیاست ها به ترتیبی که لیست شده اند، اعمال می شوند که از بالای لیست شروع می شود. اگر می خواهید ترتیب اولویت ها را تغییر دهید، سیاستی را در لیست انتخاب کنید و <Raise Priority> یا <Lower Priority> را فشار دهید.
اگر نمی خواهید بسته هایی که با سیاست ها مطابقت ندارند را ارسال یا دریافت کنید، <Reject> برای <Receive Non-Policy Packets> را انتخاب کنید.
9
<OK‎> را فشار دهید.
10
گزینه  (Settings/Register)‏  (Settings/Register)‏ <Apply Set. Chng.‎>‏  <Yes> را فشار دهید.
مدیریت کردن سیاست های IPSec
می توانید سیاست هایی که در صفحه مرحله 3 نشان داده می شوند را ویرایش کنید.
برای ویرایش جزییات یک سیاست، سیاست موردنظر را از لیست انتخاب کنید و <Edit> را فشار دهید.
برای غیرفعال کردن یک سیاست، سیاست موردنظر را از لیست انتخاب کنید و <Policy On/Off> را فشار دهید.
برای حذف یک سیاست، سیاست موردنظر را از لیست انتخاب کنید و <Delete>‏  <Yes> را فشار دهید.
838E-0E5