Konfiguriranje postavki za IPSec
Upotrebom opcije IPSec trećim stranama možete onemogućiti presretanje ili neovlašteni pristup IP paketima koji se prenose preko IP mreže. Budući da IPSec dodaje sigurnosne funkcije IP-u, osnovnom skupu protokola koji se upotrebljava za Internet, može omogućiti zaštitu koja je neovisna o aplikacijama ili mrežnoj konfiguraciji. Kako biste osigurali IPSec komunikaciju s ovim uređajem, morate konfigurirati postavke poput aplikacijskih parametara i algoritma za autentikaciju i enkripciju. Za konfiguriranje tih postavki nužne su administratorske ovlasti.
|
|
Komunikacijski način radaUređaj podržava samo način prijenosa za IPSec komunikaciju. Rezultat toga jest da se autentikacija i enkripcija primjenjuju samo na podatkovne dijelove IP paketa.
Protokol razmjene ključevaUređaj podržava Internet Key Exchange verzije 1 (IKEv1) za razmjenu ključeva temeljem standarda ISAKMP (Internet Security Association and Key Management Protocol). Za metodu autentikacije odaberite metodu unaprijed dijeljenog ključa ili metodu digitalnog potpisa.
Prilikom postavljanja metode unaprijed dijeljenog ključa, morate unaprijed odabrati pristupni izraz (unaprijed dijeljeni ključ) koji se upotrebljava između uređaja i uređaja za IPSec komunikaciju.
Prilikom postavljanja metode digitalnog potpisa, odaberite CA certifikat i ključ u formatu PKCS#12 i certifikat za međusobnu autentikaciju između uređaja i uređaja za IPSec komunikaciju. Više informacija o registraciji novih CA certifikata ili ključeva/certifikata potražite u odjeljku Registriranje ključa i certifikata za mrežnu razmjenu podataka. Napominjemo kako SNTP prije upotrebe te metode mora biti konfiguriran za uređaj. Podešavanje SNTP postavki
|
|
|
Bez obzira na postavljanje opcije [Format Encryption Method to FIPS 140-2] za IPSec komunikaciju, koristit će se modul za enkripciju s postojećim FIPS140-2 certifikatom.
Kako biste osigurali usklađenost IPSec komunikacije sa standardom FIPS 140-2, u mrežnom okruženju kojemu uređaj pripada morate postaviti dužinu ključa za DH i RSA u IPSec komunikaciji na 2048 ili više bitova.
S uređaja možete odrediti samo dužinu ključa za DH.
Obratite pažnju prilikom konfiguriranja okruženja, jer uređaj ne sadrži postavke za RSA.
Možete registrirati do 10 sigurnosnih pravila.
|
Aktiviranje IPSec-a
1
Pokrenite Remote UI (Udaljeni UI). Pokretanje sučelja Remote UI (Udaljeni UI)
2
Kliknite [Settings/Registration] na stranici portala. Zaslon sučelja Remote UI (Udaljeni UI)
3
Kliknite [Network Settings] 
[IPSec Settings].
[IPSec Settings].4
Odaberite [Use IPSec] i kliknite [OK].
Da biste samo primali pakete koji odgovaraju sigurnosnim pravilima, odaberite [Reject] za [Receive Non-Policy Packets].
Registriranje pravila
1
Pokrenite Remote UI (Udaljeni UI). Pokretanje sučelja Remote UI (Udaljeni UI)
2
Kliknite [Settings/Registration] na stranici portala. Zaslon sučelja Remote UI (Udaljeni UI)
3
Kliknite [Network Settings] [IPSec Policy List].
[IPSec Policy List].4
Kliknite [Register New IPSec Policy].
5
Postavite pravilo.
[Policy Name]Unesite naziv za identificiranje pravila.
[Policy On/Off]Odaberite [On] da biste omogućili registrirano pravilo.
[Only Allow 256-bit for AES Key Length]Odaberite potvrdni okvir da biste ograničili dužinu ključa AES metode enkripcije na 256 bita i uskladili sa CC standardima za provjeru valjanosti.
6
Konfigurirajte parametre IPSec aplikacije.
|
1
|
Kliknite [Selector Settings].
|
||||||||||||||
|
2
|
Odredite IP adresu na koju ćete primijeniti IPSec pravila.
Odredite IP adresu ovog uređaja u izborniku [Local Address] i odredite IP adresu uređaja za komunikaciju u izborniku [Remote Address].
|
||||||||||||||
|
3
|
Odredite port na koji ćete primijeniti IPSec.
Odaberite [Specify by Port Number] za upotrebu brojeva portova prilikom određivanja portova na koje se IPSec odnosi. Odaberite [All Ports] kako biste IPSec primijenili na sve brojeve portova. Kako biste IPSec primijenili na određeni broj priključka, pritisnite [Single Port] i unesite broj priključka. Odredite priključak ovog uređaja u izborniku [Local Port] i odredite priključak uređaja za komunikaciju u izborniku [Remote Port].
Da biste naveli priključke na koje ćete primijeniti IPSec po nazivu usluge, odaberite [Specify by Service Name] i odaberite usluge koje želite koristiti.
|
||||||||||||||
|
4
|
Kliknite [OK].
|
7
Konfigurirajte postavke autentikacije i enkripcije.
|
1
|
Kliknite [IKE Settings].
|
||||||||||
|
2
|
Konfigurirajte neophodne postavke.
[IKE Mode]
Odaberite način rada za protokol razmjene ključeva. Zaštita će biti jača ako odaberete [Main] jer je i sama IKE sesija šifrirana, ali sesija će biti sporija nego uz postavku [Aggressive] koja ne šifrira čitavu sesiju.
[Validity]
Postavite razdoblje isteka generiranog IKE SA.
[Authentication Method]
Odaberite jednu od metoda autentikacije opisanih u nastavku.
 [Authentication/Encryption Algorithm]
Odaberite [Auto] ili [Manual Settings] i postavite kako odrediti algoritam kriptiranja i autentikacije za IKE, fazu 1. Ako odaberete [Auto], algoritam koji može upotrebljavati ovaj uređaj i uređaj za komunikaciju postavit će se automatski. Ako želite odrediti određeni algoritam, odaberite [Manual Settings] i konfigurirajte postavke u nastavku.
|
||||||||||
|
3
|
Kliknite [OK].
|
|
|
|
Ako za [IKE Mode] odaberete vrijednost [Main] na zaslonu [IKE], a [Authentication Method] postavite na [Pre-Shared Key Method], vrijedit će sljedeća ograničenja prilikom registracije više sigurnosnih pravila.
Metoda unap. dijelj. ključa: prilikom navođenja više udaljenih IP adresa na koje će se primijeniti sigurnosno pravilo, svi dijeljeni ključevi za to sigurnosno pravilo bit će identični (to se ne primjenjuje ako je određena jedna adresa).
Prioritet: prilikom navođenja više udaljenih IP adresa na koje će se primijeniti sigurnosno pravilo, prioritet tog sigurnosnog pravila bit će ispod sigurnosnih pravila za koja je određena jedna adresa.
|
8
Konfigurirajte IPSec postavke komunikacije.
|
1
|
Kliknite [IPSec Network Settings].
|
||||||
|
2
|
Konfigurirajte neophodne postavke.
[Validity]
Postavite razdoblje valjanosti generiranog IPSec SA. Postavite [Time] ili [Size]. Ako postavite oboje, primjenjuje se postavka s vrijednošću koja je prva dosegnuta.
[PFS]
Ako odaberete [Use PFS], tajnost ključa šifriranja raste, ali brzina komunikacije opada. Osim toga, funkciju PFS-a (Perfect Forward Secrecy) morate omogućiti na uređaju za komunikaciju.
[Authentication/Encryption Algorithm]
Odaberite [Auto] ili [Manual Settings] i postavite kako odrediti algoritam kriptiranja i autentikacije za IKE, fazu 2. Ako odaberete [Auto], ESP algoritam kriptiranja i autentikacije postavit će se automatski. Ako želite odrediti konkretnu metodu autentikacije, odaberite [Manual Settings] i odaberite jednu od metoda autentikacije u nastavku.
|
||||||
|
3
|
Kliknite [OK].
|
9
Kliknite [OK].
10
Omogućite registrirana pravila i provjerite redoslijed prioriteta.
Pravila se primjenjuju redoslijedom kojim su navedena, počevši od vrha. Ako želite promijeniti redoslijed prioriteta, odaberite pravila s popisa i pritisnite [Raise Priority] ili [Lower Priority].
|
|
Upravljanje IPSec pravilimaMožete uređivati pravila na zaslonu koji je prikazan u 4. koraku.
Da biste uredili pojedinosti pravila, kliknite naziv pravila na popisu.
Da biste onemogućili pravilo, kliknite naziv pravila na popisu
odaberite [Off] za [Policy On/Off] kliknite [OK].Kako biste izbrisali pravilo, odaberite pravilo s popisa
kliknite [Delete] [OK].Uporaba upravljačke pločeRazmjenu podataka putem protokola IPSec možete omogućiti ili onemogućiti i na izborniku <Podesi> na zaslonu <Početni prikaz>. <IPSec postavke>
Serijski uvoz / serijski izvozPostavku možete uvoziti/izvoziti s modelima koji podržavaju serijski uvoz te postavke. Uvoz/izvoz podataka o postavkama
Ta je postavka uključena u [Settings/Registration Basic Information] prilikom serijskog izvoza. Uvoz/izvoz svih postavki
|