IPSec gebruiken
Gebruik IP Security Protocol (IPSec) om spionage van en knoeien met IP-pakketten te verhinderen die via een IP-netwerk worden verzonden en ontvangen. Dit past versleuteling op IP-protocolniveau toe om beveiliging te garanderen zonder dat u vertrouwt op een toepassing of netwerkconfiguratie.
Toepasbare condities en ondersteunde modi voor IPSec
Pakketten waarop IPSec niet wordt toegepast
Pakketten die een loopback-, multicast- en broadcastadres opgeven
IKE-pakketten die vanaf UDP-poort 500 zijn verzonden
Pakketten voor "neighbor sollicitation" en "neighbor advertisement" van ICMPv6
Bedieningsmodus van het protocol voor uitwisselen van sleutels
De IKE-modi die door de machine worden ondersteund zijn de hoofdmodus die wordt gebruikt om pakketten te versleutelen en de agressieve modus zonder versleuteling.
IPSec-communicatiemodus
De door het apparaat ondersteunde communicatiemodus is slechts de transportmodus, die uitsluitend het gedeelte zonder de IP-koptekst versleutelt. De tunnelmodus, die het hele IP-pakket versleutelt, wordt niet ondersteund.
Conform maken met FIPS 140
Tijdens IPSec-communicatie wordt, ongeacht de instelling van [Stel de encryptiemethode in op FIPS 140], altijd een encryptiemodule gebruikt die FIPS 140-authenticatie heeft verkregen. [Stel de encryptiemethode in op FIPS 140]
Als u wilt dat IPSec-communicatie voldoet aan FIPS 140, moet u de lengte van zowel de DH- als de RSA-sleutel voor IPSec-communicatie instellen op 2048 bits of langer in de netwerkomgeving waartoe de machine behoort.
* U kunt de sleutellengte alleen opgeven voor de DH-sleutel op de machine. Er is geen instelling voor de RSA-sleutel op de machine, dus houd hier rekening mee bij het bouwen van de omgeving.
IPSec samen met IP-adresfiltering gebruiken
Wanneer pakketten worden verzonden, worden eerst de IP-adresfilterinstellingen toegepast. Een firewall instellen
Wanneer pakketten worden ontvangen, worden eerst de IPSec-instellingen toegepast.
IPSec-beleidsconfiguratie
Om IPSec-communicatie op het apparaat toe te passen, moet u een IPSec-beleid creëren dat het toepasbare bereik en algoritmes voor verificatie en versleuteling omvat. Het beleid wordt uitsluitend samengesteld uit de volgende items:
Selector
Geef op welke IP-pakketten worden toegepast voor IPSec-communicatie. Naast het opgeven van het IP-adres van het apparaat en communicerende apparaten kunt u ook hun poortnummers opgeven.
Bedieningsmodus van het protocol voor uitwisselen van sleutels (IKE-modus)
Het protocol voor sleuteluitwisseling ondersteunt IKEv1 (Internet Key Exchange Version 1). Bij de authenticatiemethode selecteert u de gedeelde sleutelmethode of de digitale-handtekeningenmethode.
Gedeelde sleutelmethode
Deze authenticatiemethode gebruikt een algemeen sleutelwoord, genaamd Gedeelde sleutel, voor communicatie tussen de machine en andere apparaten.
Deze authenticatiemethode gebruikt een algemeen sleutelwoord, genaamd Gedeelde sleutel, voor communicatie tussen de machine en andere apparaten.
Digitale-handtekeningmethode
De machine en andere apparaten verifiëren elkaar door wederzijds hun digitale handtekeningen te controleren.
De machine en andere apparaten verifiëren elkaar door wederzijds hun digitale handtekeningen te controleren.
* U moet de instellingen configureren om het gebruik van SNTP mogelijk te maken.
ESP/AH
Configureer de instellingen voor de ESP- of AH-protocollen die worden gebruikt voor IPSec-communicatie. Gebruik Perfect Forward Secrecy (PFS) voor nog betere beveiliging.
IPSec configureren
Schakel het gebruik van IPSec in. Creëer en registreer het IPSec beleid. Als er meer dan één beleid is gecreëerd, geef dan de volgorde op waarin ze worden toegepast. U kunt maximaal 10 beleidsregels maken.
In deze sectie ziet u hoe u de instellingen kunt configureren vanaf een computer met Remote UI (UI op afstand).
Selecteer op het bedieningspaneel [
Inst./Registrern] in het scherm [Home] of ander scherm en selecteer vervolgens [Voorkeuren] om de instellingen te configureren. [IPSec instellingen]
De machtigingen Administrator of NetworkAdmin zijn vereist.
Selecteer op het bedieningspaneel [
Inst./Registrern] in het scherm [Home] of ander scherm en selecteer vervolgens [Voorkeuren] om de instellingen te configureren. [IPSec instellingen]De machtigingen Administrator of NetworkAdmin zijn vereist.
Vereiste voorbereidingen
Verbind het apparaat rechtstreeks met een computer op hetzelfde virtual private network (VPN) als het apparaat. Bevestig de condities van de bewerking, en realiseer vooraf de instellingen op de computer. IPSec
Bereid het volgende voor in overeenstemming met de IKE-verificatiemethode:
Als u de gedeelde sleutelmethode gebruikt, schakel dan TLS in voor communicatie via Remote UI (UI op afstand). TLS gebruiken
Als u de digitale handtekeningmethode gebruikt, bereidt u de sleutel en het certificaat voor en configureert u de instellingen om het gebruik van SNTP mogelijk te maken.
Bij gebruik van PFS: controleer dat PFS is ingeschakeld op het communicerende apparaat.
1
Meld u aan Remote UI (UI op afstand) als beheerder. De Remote UI (UI op afstand) starten
2
Klik op de Portal-pagina van Remote UI (UI op afstand) op [Instellingen/Registratie]. Remote UI (UI op afstand)-portaalpagina
3
Klik op [Netwerkinstellingen].
Het scherm met de netwerkinstellingen wordt weergegeven.
4
Klik op [IPSec instellingen].
Het scherm [IPSec instellingen] wordt weergegeven.
5
Schakel het selectievakje [Gebruik IPSec] in.
Om alleen pakketten te ontvangen die voldoen aan het beleid, selecteert u [Weigeren] in [Ontvangst non-policy pakketten].
6
Klik op [OK].
Het netwerkinstellingen-scherm wordt opnieuw weergegeven.
7
Klik op [IPSec policylijst].
Het scherm [IPSec policylijst] wordt weergegeven.
8
Klik op [Nieuw IPSec-beleid registreren].
Het scherm [Beleid registreren] wordt weergegeven.
9
Geef de beleidsnaam op en selecteer [Aan] in [Policy Aan/Uit].
Voer voor de beleidsnaam een naam in om het beleid te identificeren met alfanumerieke tekens.
10
Beperk de lengte van de AES-sleutel, indien nodig.
Als u de lengte van de AES-sleutel wilt beperken tot 256 bits, bijvoorbeeld als u wilt voldoen aan de CC-authenticatienormen, schakelt u het selectievakje in [Alleen 256-bits toestaan voor AES-sleutellengte].
*Multifunctionele Canon-machines ondersteunen twee sleutellengtes voor de AES-coderingsmethode: 128-bits en 256-bits.
11
Stel de keuzeschakelaar in.
1
Klik op [Selectorinstellingen].
Het scherm [Keuzeschakelaar] wordt weergegeven.
2
Stel de keuzeschakelaar in.
[Instellingen Lokaal adres] en [Instellingen Extern adres]
Stel het IP-adres in waarop IPSec-communicatie moet worden toegepast. Geef het IP-adres van de machine op in [Instellingen Lokaal adres] en het IP-adres van het communicerende apparaat in [Instellingen Extern adres].
[Alle IP-adressen]
Selecteer dit om IPSec toe te passen op alle IP-pakketten.
[IPv4-adres] of [Alle IPv4-adressen]
Selecteer dit om IPSec-communicatie toe te passen op IP-pakketten die worden verzonden en ontvangen met een IPv4-adres.
[IPv6-adres] of [Alle IPv6-adressen]
Selecteer dit om IPSec-communicatie toe te passen op IP-pakketten die worden verzonden en ontvangen met een IPv6-adres.
[IPv4 handmatige instellingen]
Selecteer dit om een IPv4-adres op te geven waarop IPSec-communicatie moet worden toegepast. Gebruik een van de volgende methoden om het IPv4-adres op te geven waarop de instellingen moeten worden toegepast.
Als u een enkel IPv4-adres opgeeft
Selecteer [Enkelvoudig adres] en voer het IPv4-adres in [Eerste adres] in.
Selecteer [Enkelvoudig adres] en voer het IPv4-adres in [Eerste adres] in.
Als u een bereik van IPv4-adressen opgeeft
Selecteer [Adressenbereik] en voer de IPv4-adressen in [Eerste adres] en [Laatste adres] in.
Selecteer [Adressenbereik] en voer de IPv4-adressen in [Eerste adres] en [Laatste adres] in.
Als u een bereik van IPv4-adressen opgeeft met behulp van een subnetmasker
Selecteer [Subnetinstellingen], voer het IPv4-adres in [Eerste adres] en voer het subnetmasker in [Subnetinstellingen].
Selecteer [Subnetinstellingen], voer het IPv4-adres in [Eerste adres] en voer het subnetmasker in [Subnetinstellingen].
[IPv6 handmatige instellingen]
Selecteer dit om een IPv6-adres op te geven waarop IPSec-communicatie moet worden toegepast. Gebruik een van de volgende methoden om het IPv6-adres op te geven waarop de instellingen moeten worden toegepast.
Als u een enkel IPv6-adres opgeeft
Selecteer [Enkelvoudig adres] en voer het IPv6-adres in [Eerste adres] in.
Selecteer [Enkelvoudig adres] en voer het IPv6-adres in [Eerste adres] in.
Als u een bereik van IPv6-adressen opgeeft
Selecteer [Adressenbereik] en voer de IPv6-adressen in [Eerste adres] en [Laatste adres] in.
Selecteer [Adressenbereik] en voer de IPv6-adressen in [Eerste adres] en [Laatste adres] in.
Als u een bereik van IPv6-adressen opgeeft met behulp van een prefix
Selecteer [Prefixadres], voer het IPv6-adres in [Eerste adres], en voer de prefixlengte in [Prefixlengte].
Selecteer [Prefixadres], voer het IPv6-adres in [Eerste adres], en voer de prefixlengte in [Prefixlengte].
[Poortinstellingen]
Stel de poorten in waarop IPSec-communicatie moet worden toegepast.
[Aangeven met poortnummer]
Selecteer dit om poortnummers te gebruiken bij het specificeren van de poorten waarop IPSec-communicatie van toepassing is. Geef het poortnummer van de machine op in [Lokale poort] en geef het poortnummer van het communicerende apparaat op in [Poort op afstand].
Als u IPSec-communicatie wilt toepassen op alle poortnummers, selecteert u [Alle poorten].
Als u de IPSec-communicatie op een specifiek poortnummer wilt toepassen, drukt u op [Enkelv. poort] en voert u het poortnummer in.
[Aangeven met servicenaam]
Selecteer dit om servicenamen te gebruiken bij het specificeren van de poorten waarop de IPSec-communicatie van toepassing is. Schakel de selectievakjes in van de services waarop IPSec-communicatie moet worden toegepast.
3
Klik op [OK].
Het scherm [Beleid registreren] wordt weergegeven.
12
Configureer de IKE-instellingen.
1
Klik op [IKE-instellingen].
Het scherm [IKE] wordt weergegeven.
2
Configureer de IKE-instellingen.
[IKE-modus]
Selecteer de werkingsmodus van het sleuteluitwisselingsprotocol. Als [Hoofd] is geselecteerd, is de beveiliging verbeterd omdat de IKE-sessie zelf is versleuteld, maar de communicatie is langzamer dan [Agressief], die geen versleuteling uitvoert.
[Geldigheid]
Voer (in minuten) de geldige periode van IKE SA (ISAKMP SA) in die u wilt gebruiken als het pad voor de besturingscommunicatie.
[Authentificatiemethode]
Selecteer de verificatiemethode van het apparaat.
Als u [Gedeelde sleutelmethode] selecteert, klikt u op [Instellingen Gedeelde sleutel] 
voer de tekenreeks in die u wilt gebruiken als gedeelde sleutel met alfanumerieke tekens klik op [OK].
voer de tekenreeks in die u wilt gebruiken als gedeelde sleutel met alfanumerieke tekens klik op [OK].Als u [Methode digitale handtekening] selecteert, klikt u op [Sleutel en certificaat] [Gebruik] van de sleutel en het certificaat die u wilt gebruiken.
[Gebruik] van de sleutel en het certificaat die u wilt gebruiken.[Authentificatie/Encryptie algoritme]
Configureer het authenticatie- en versleutelingsalgoritme voor IKE fase 1.
Om automatisch een algoritme in te stellen dat zowel door deze machine als door de communicerende machine kan worden gebruikt, selecteert u [Auto].
Om een bepaald algoritme te specificeren, selecteert u [Handmatige instellingen] en configureert u de instellingen [Authentificatie], [Encryptie] en [DH groep].
[Authentificatie]: Selecteer het hash-algoritme.
[Encryptie]: Selecteer het coderingsalgoritme.
[DH groep]: Selecteer de Diffie-Hellman-groep die gebruikt wordt om de sleutelsterkte te bepalen.
|
Als [IKE-modus] is ingesteld op [Hoofd] en [Authentificatiemethode] is ingesteld op [Gedeelde sleutelmethode]
Als u meer dan één adres in [Instellingen Extern adres] opgeeft in de selectorinstellingen, gelden de volgende beperkingen wanneer u meerdere beleidsregels maakt:
Voor beleidsregels met meer dan één adres moeten alle gedeelde sleutels op dezelfde string worden ingesteld.
Beleidsregels met meer dan één adres kunnen niet op een hogere prioriteit worden ingesteld dan beleidsregels met één adres.
|
3
Klik op [OK].
Het scherm [Beleid registreren] wordt opnieuw weergegeven.
13
Configureer de IPSec-netwerkinstellingen.
1
Klik op [Instellingen IPSec-netwerk].
Het scherm [IPSec-netwerk] wordt weergegeven.
2
Configureer de IPSec-netwerkinstellingen.
[Geldigheid]
Geef de geldige periode van IPSec SA op die u wilt gebruiken als het gegevenscommunicatiepad, op basis van tijd, formaat, of beide.
Als u het selectievakje [Tijd] selecteert, voert u de geldige periode in minuten in.
Als u het selectievakje [Formaat] selecteert, voert u de geldige periode in megabytes in.
Als u beide selecteert, wordt het item toegepast waarvan de opgegeven waarde het eerst wordt bereikt.
[PFS]
Selecteer dit selectievakje om PFS voor de sessiesleutel te configureren.
[Authentificatie/Encryptie algoritme]
Stel het authenticatie- en coderingsalgoritme voor IKE-fase 2 in.
Om automatisch de ESP-authenticatie en het encryptie-algoritme in te stellen, selecteert u [Auto].
Als u een specifieke authenticatiemethode wilt opgeven, selecteert u [Handmatige instellingen] en selecteert u een van de volgende authenticatiemethoden.
[ESP]:
Authenticatie en encryptie worden beide uitgevoerd.
Selecteer het algoritme in [ESP-verificatie] en [ESP encryptie]. Als u het algoritme niet wilt instellen, selecteert u [NULL].
Authenticatie en encryptie worden beide uitgevoerd.
Selecteer het algoritme in [ESP-verificatie] en [ESP encryptie]. Als u het algoritme niet wilt instellen, selecteert u [NULL].
[ESP (AES-GCM)]:
Authenticatie en versleuteling worden beide uitgevoerd.
AES-GCM wordt gebruikt als algoritme.
Authenticatie en versleuteling worden beide uitgevoerd.
AES-GCM wordt gebruikt als algoritme.
[AH (SHA1)]:
Authenticatie wordt uitgevoerd, maar gegevens worden niet versleuteld.
SHA1 wordt gebruikt als algoritme.
Authenticatie wordt uitgevoerd, maar gegevens worden niet versleuteld.
SHA1 wordt gebruikt als algoritme.
[Verbindingsmod.]
Het apparaat ondersteunt uitsluitend de transportmodus.
3
Klik op [OK].
Het scherm [Beleid registreren] wordt opnieuw weergegeven.
14
Klik op [OK].
Het nieuw geregistreerde beleid wordt toegevoegd aan [IPSec policylijst] op het scherm.
Als er meer dan één beleid is geregistreerd
Selecteer een beleid en klik op [Verhoog prioriteit] of [Verlaag prioriteit] om de volgorde van de prioriteit te wijzigen. Een beleid met hoger niveau heeft prioriteit bij toepassing voor IPSec-communicatie.
15
Klik op [Gew. inst. toepassen] [OK].
[OK].De instellingen worden toegepast.
16
Uitloggen van Remote UI (UI op afstand).
N.B.
Een geregistreerd beleid bewerken
Als u de geregistreerde informatie wilt bewerken, klikt u op de naam van het beleid dat u wilt bewerken op het scherm [IPSec policylijst].