Configurazione delle impostazioni IPSec
Utilizzando IPSec, è possibile impedire a terze parti di intercettare o manomettere i pacchetti IP trasportati sulla rete IP. Poiché IPSec aggiunge delle funzioni di sicurezza a IP, una famiglia di protocolli base utilizzata per Internet, può fornire una sicurezza che non dipende dalle applicazioni o dalla configurazione di rete. Per eseguire la comunicazione IPSec con questa macchina, è necessario configurare impostazioni quali i parametri di applicazione e l’algoritmo per l’autenticazione e la crittografia. Per configurare queste impostazioni sono necessari i privilegi di amministratore.
|
Modalità di comunicazioneQuesta macchina supporta solo la modalità di trasporto per la comunicazione IPSec. Di conseguenza, l'autenticazione e la crittografia sono applicate solamente alle porzioni di dati dei pacchetti IP. Protocollo di scambio chiaviQuesta macchina supporta Internet Key Exchange versione 1 (IKEv1) per lo scambio di codici in base al protocollo ISAKMP (Internet Security Association and Key Management Protocol). Per il metodo di autenticazione, impostare il metodo codice precondiviso o il metodo firma digitale. Quando si imposta il metodo codice precondiviso, è necessario stabilire prima una passphrase (codice precondiviso), che sarà utilizzata tra la macchina e il peer di comunicazione IPSec. Quando si imposta il metodo firma digitale, utilizzare un certificato CA e un codice in formato PKCS#12 per eseguire la reciproca autenticazione tra la macchina e il peer di comunicazione IPSec. Per ulteriori informazioni sulla registrazione di nuovi certificati CA o nuovi codici/certificati, vedere Registrazione del codice e del certificato per la comunicazione di rete. Si noti che SNTP deve essere configurato per la macchina prima di utilizzare questo metodo. Impostazioni SNTP |
 |
Indipendentemente dall’impostazione di [Standardizzazione metodo di crittografia su FIPS 140-2] per la comunicazione IPSec, verrà utilizzato un modulo di crittografia che ha già ottenuto la certificazione FIPS140-2. Affinché la comunicazione IPSec sia conforme a FIPS 140-2, è necessario impostare la lunghezza della chiave di DH e RSA per la comunicazione IPSec su almeno 2048 bit nell'ambiente di rete al quale appartiene la macchina. Solo la lunghezza della chiave per DH può essere specificata dalla macchina. Annotarla durante la configurazione dell'ambiente, poiché sulla macchina non sono previste impostazioni per RSA. È possibile registrare fino a 10 criteri di protezione. |
Abilitazione di IPSec
1
Avviare la IU remota.Avvio della IU remota
2
Fare clic su [Impostazioni/Registrazione] nella pagina del portale. Schermata IU remota
3
Fare clic su [Impostazioni rete] 
[Impostazioni IPSec].
[Impostazioni IPSec].4
Selezionare [Utilizzo IPSec] e fare clic su [OK].
Per ricevere solo pacchetti che corrispondono ai criteri di sicurezza, selezionare [Rifiutare] per [Ricezione pacchetti non associati a un criterio].
Registrazione dei criteri
1
Avviare la IU remota.Avvio della IU remota
2
Fare clic su [Impostazioni/Registrazione] nella pagina del portale. Schermata IU remota
3
Fare clic su [Impostazioni rete] [Elenco criteri IPSec].
[Elenco criteri IPSec].4
Fare clic su [Registrazione nuovo criterio IPSec].
5
Impostare i criteri.
[Nome criterio]Immettere un nome per identificare i criteri.
[Attivazione/disattivazione criterio]Selezionare [On] per abilitare i criteri registrati.
[Consentire solo 256 bit per lunghezza chiave AES]Selezionare questa casella di controllo per limitare la lunghezza della chiave per il metodo di crittografia AES a 256 bit e soddisfare gli standard di autenticazione CC.
6
Configurare i parametri di applicazione IPSec.
1 | Fare clic su [Impostazioni selettore]. | ||||||||||||||
2 | Specificare l'indirizzo IP a cui applicare il criterio IPSec. Specificare l’indirizzo IP di questa macchina in [Indirizzo locale] e specificare l’indirizzo IP del peer di comunicazione in [Indirizzo remoto]. 
| ||||||||||||||
3 | Specificare la porta a cui applicare l'IPSec.  Selezionare [Specifica per numero di porta] per utilizzare i numeri di porta quando si specificano le porte cui applicare IPSec. Selezionare [Tutte le porte] per applicare IPSec a tutti i numeri di porta. Per applicare IPSec a un numero di porta specifico, selezionare [Porta singola] e immettere il numero di porta. Specificare la porta di questa macchina in [Porta locale], quindi specificare la porta del peer di comunicazione in [Porta remota]. Per specificare le porte alle quali applicare IPSec in base al nome del servizio, selezionare [Specifica per nome servizio] e selezionare i servizi da utilizzare. | ||||||||||||||
4 | Fare clic su [OK]. |
7
Configurare le impostazioni di autenticazione e crittografia.
1 | Fare clic su [Impostazioni IKE]. | ||||||||||
2 | Configurare le impostazioni necessarie.  [Modo IKE]Selezionare la modalità operativa per il protocollo di scambio chiave. La sicurezza aumenta se si seleziona [Principale] poiché la sessione IKE stessa è crittografata, ma la velocità della sessione è più lenta rispetto a quando si seleziona [Aggressive], che non esegue la crittografia dell’intera sessione. [Validità]Impostare il periodo di scadenza dell'IKE SA generato. [Metodo di autenticazione]Selezionare uno dei metodi di autenticazione descritti di seguito.
 [Algoritmo autenticazione/crittografia]Selezionare [Autom.] o [Impostazioni manuali] per impostare come specificare l’algoritmo di autenticazione e crittografia per IKE fase 1. Se si seleziona [Autom.], viene impostato automaticamente un algoritmo che può essere utilizzato sia dalla macchina sia dal peer di comunicazione. Se si desidera specificare un algoritmo particolare, selezionare [Impostazioni manuali] e configurare le impostazioni riportate di seguito.
| ||||||||||
3 | Fare clic su [OK]. |
|
Quando [Modo IKE] è impostato su [Principale] sulla schermata [IKE] e [Metodo di autenticazione] è impostato su [Metodo chiave già condivisa], si applicano le seguenti limitazioni quando si registrano più criteri di protezione. Chiave metodo chiave precondivisa: quando si specificano più indirizzi IP remoti a cui si deve applicare un criterio di protezione, tutte le chiavi condivise per tale criterio di protezione sono identiche (non si applica quando è specificato un singolo indirizzo). Priorità: quando si specificano più indirizzi IP remoti a cui si deve applicare un criterio di protezione, la priorità di tale criterio di protezione è inferiore ai criteri di protezione per cui si specifica un singolo indirizzo. |
8
Configurare le impostazioni di comunicazione IPSec.
1 | Fare clic su [Impostazioni rete IPSec]. | ||||||
2 | Configurare le impostazioni necessarie.  [Validità]Impostare il periodo di scadenza dell’IPSec SA generato. Assicurarsi di impostare [Intervallo] o [Dimensione]. Se si impostano entrambi, viene applicata l’impostazione con il valore raggiunto per primo. [PFS]Se si seleziona [Utilizzo PFS], la segretezza della chiave di crittografia viene aumentata ma la velocità di comunicazione è più lenta. Inoltre, la funzione PFS (Perfect Forward Secrecy) deve essere abilitata sul dispositivo peer di comunicazione. [Algoritmo autenticazione/crittografia]Selezionare [Autom.] o [Impostazioni manuali] per impostare come specificare l’algoritmo di autenticazione e crittografia per IKE fase 2. Se si seleziona [Autom.], l’algoritmo di autenticazione e crittografia ESP viene impostato automaticamente. Se si desidera specificare un metodo di autenticazione particolare, selezionare [Impostazioni manuali] e selezionare uno dei metodi di autenticazione descritti di seguito.
| ||||||
3 | Fare clic su [OK]. |
9
Fare clic su [OK].
10
Abilitare i criteri registrati e verificare l'ordine di priorità.
I criteri vengono applicati nell’ordine in cui sono elencati, a partire dall’alto. Se si desidera cambiare l’ordine di priorità, selezionare un criterio nell’elenco e fare clic su [Alzare priorità] o [Abbassare priorità].
|
Gestione dei criteri IPSecÈ possibile modificare i criteri sulla schermata visualizzata al passo 4. Per modificare i dettagli di un criterio, fare clic sul nome del criterio nell’elenco. Per disabilitare un criterio, fare clic sul nome del criterio nell’elenco selezionare [Off] per [Attivazione/disattivazione criterio] fare clic su [OK].Per eliminare un criterio, selezionare il criterio nell’elenco fare clic su [Elimina] [OK].Utilizzo del pannello operativoÈ inoltre possibile abilitare o disabilitare la comunicazione IPSec da <Imposta> nella schermata <Home>. <Impostazioni IPSec> Importazione/esportazione batchQuesta impostazione può essere importata/esportata con i modelli che ne supportano l'importazione batch. Importazione/esportazione dei dati di impostazione Queste impostazioni sono incluse in [Informazioni principali di Impostazioni/Registrazione] durante l'esportazione dei lotti. Importazione/esportazione di tutte le impostazioni |