Používanie protokolu IPSec
Používajte protokol IPSec (IP Security Protocol), aby sa zabránilo sledovaniu a manipulácii s paketmi IP odosielanými a prijímanými cez sieť IP. Protokol IPSec vykonáva šifrovanie na úrovni protokolu IP, aby sa zaručila bezpečnosť bez spoliehania sa na aplikáciu alebo konfiguráciu siete.
Podmienky použiteľné pre protokol IPSec a podporované režimy
Pakety, na ktoré sa IPSec nepoužíva
Pakety určujúce adresu slučky, prenosu multicast alebo vysielania
Pakety IKE odoslané z protokolu UDP na porte 500
Pakety žiadosti suseda ICMPv6 a oznámenia suseda
Prevádzkový režim protokolu výmeny kľúča (režimy IKE)
Režimy IKE podporované zariadením sú hlavný režim, ktorý sa používa na šifrovanie paketov a Aggressive Mode, ktorý nepoužíva šifrovanie.
Režim komunikácie IPSec
Režim komunikácie podporovaný zariadením je jediný režim prenosu, v ktorom sa šifruje iba časť bez hlavičky IP. Tunelový režim, v ktorom sa šifruje celý paket IP, nie je podporovaný.
V súlade so štandardom FIPS 140
Pri komunikácii cez IPSec sa bez ohľadu na nastavenie [Metóda kódovania formátu na FIPS 140] vždy používa šifrovací modul, ktorý získal certifikát FIPS 140. [Metóda kódovania formátu na FIPS 140]
Ak chcete zabezpečiť, aby komunikácia IPSec spĺňala požiadavky normy FIPS 140, musíte v sieťovom prostredí, do ktorého zariadenie patrí, nastaviť dĺžku kľúča DH aj kľúča RSA pre komunikáciu IPSec na 2048 bitov alebo dlhšiu.
* Dĺžku kľúča môžete určiť len pre kľúč DH na danom zariadení. Na tomto zariadení nie je nastavený kľúč RSA, preto to zohľadnite pri príprave prostredia.
Používanie protokolu IPSec v kombinácii s filtrovaním adries IP
Pri odosielaní paketov sa najskôr uplatnia nastavenia filtrovania adries IP. Nastavenie brány firewall
Pri prijatí paketov sa najskôr uplatnia nastavenia protokolu IPSec.
Konfigurácia zásad IPSec
Ak chcete v zariadení vykonávať komunikáciu prostredníctvom protokolu IPSec, musíte vytvoriť politiku protokolu IPSec, ktorá zahŕňa príslušný rozsah a algoritmy na overovanie a šifrovanie. Táto politika sa skladá hlavne z nasledujúcich bodov:
Volič
Určite, na ktoré IP pakety sa má uplatniť komunikácia prostredníctvom protokolu IPSec. Okrem určenia adresy IP zariadenia a komunikujúcich zariadení môžete zadať aj čísla ich portov.
Prevádzkový režim protokolu výmeny kľúča (režim IKE)
Protokol výmeny kľúča podporuje protokol Internet Key Exchange verzie 1 (IKEv1). Ako metódu overovania vyberte metódu predbežne zdieľaného kľúča alebo metódu digitálneho podpisu.
Metóda predbežne zdieľaného kľúča
Táto metóda overovania používa na komunikáciu medzi zariadením a inými zariadeniami spoločné kľúčové slovo, nazývané zdieľaný kľúč.
Táto metóda overovania používa na komunikáciu medzi zariadením a inými zariadeniami spoločné kľúčové slovo, nazývané zdieľaný kľúč.
Metóda digitálneho podpisu
Zariadenie a ostatné zariadenia sa navzájom autentifikujú prostredníctvom vzájomného overovania svojich digitálnych podpisov.
Zariadenie a ostatné zariadenia sa navzájom autentifikujú prostredníctvom vzájomného overovania svojich digitálnych podpisov.
* Musíte nakonfigurovať nastavenia tak, aby bolo možné používať protokol SNTP.
ESP/AH
Nakonfigurujte nastavenia protokolov ESP alebo AH, ktoré sa majú používať pre komunikáciu IPSec. Na ešte vyššie zabezpečenie používajte protokol PFS (Perfect Forward Secrecy).
Nastavenie protokolu IPSec
Povoľte používanie protokolu IPSec a následne vytvorte a zaregistrujte politiku IPSec. Ak sa vytvorilo viacero politík, zadajte poradie, v ktorom sa použijú. Môžete vytvoriť najviac 10 politík.
Táto časť popisuje, ako konfigurovať nastavenia pomocou Remote UI (Vzdialené PR) z počítača.
Na ovládacom paneli vyberte položku [
Nastav./Uložiť] na obrazovke [Domov] alebo na inej obrazovke, potom vyberte [Predvoľby] a nakonfigurujte nastavenia. [Nastavenia IPSec]
Vyžadujú sa oprávnenia Administrator alebo NetworkAdmin.
Na ovládacom paneli vyberte položku [
Nastav./Uložiť] na obrazovke [Domov] alebo na inej obrazovke, potom vyberte [Predvoľby] a nakonfigurujte nastavenia. [Nastavenia IPSec]Vyžadujú sa oprávnenia Administrator alebo NetworkAdmin.
Požadované prípravy
Pripojte zariadenie priamo k počítaču v rovnakej virtuálnej súkromnej sieti (VPN) ako zariadenie. Overte prevádzkové podmienky a vopred dokončite nastavenia na počítači. IPSec
Nakonfigurujte nasledujúce nastavenia podľa spôsobu overovania IKE:
Keď sa používa metóda predbežne zdieľaného kľúča, aktivujte protokol TLS pre komunikáciu rozhrania Remote UI (Vzdialené PR). Používanie protokolu TLS
Pri použití metódy digitálneho podpisu si pripravte kľúč a certifikát, ktoré chcete použiť, a nakonfigurujte nastavenia tak, aby bolo možné používať protokol SNTP.
Keď sa používa protokol PFS, skontrolujte, či je v komunikujúcom zariadení aktivovaný protokol PFS.
1
Prihláste sa do Remote UI (Vzdialené PR) ako správca. Spustenie rozhrania Remote UI (Vzdialené PR)
2
Na stránke portálu Remote UI (Vzdialené PR) kliknite na [Settings/Registration]. Stránka portálu Remote UI (Vzdialené PR)
3
Kliknite na položku [Network Settings].
Zobrazí sa obrazovka s nastaveniami siete.
4
Kliknite na položku [IPSec Settings].
Zobrazí sa obrazovka [IPSec Settings].
5
Začiarknite políčko [Use IPSec].
Ak chcete prijímať iba pakety, ktoré spĺňajú podmienky politiky, vyberte v [Reject] položku [Receive Non-Policy Packets].
6
Kliknite na položku [OK].
Znovu sa zobrazí obrazovka s nastaveniami siete.
7
Kliknite na položku [IPSec Policy List].
Zobrazí sa obrazovka [IPSec Policy List].
8
Kliknite na položku [Register New IPSec Policy].
Zobrazí sa obrazovka [Register Policy].
9
Zadajte názov politiky a v poli [On] vyberte [Policy On/Off].
Ako názov politiky zadajte názov identifikujúci politiku v alfanumerických znakoch.
10
Podľa potreby obmedzte dĺžku kľúča AES.
Ak chcete obmedziť dĺžku kľúča AES na 256 bitov, napríklad ak chcete splniť štandardy overovania CC, zaškrtnite políčko [Only Allow 256-bit for AES Key Length].
* Multifunkčné zariadenia Canon podporujú dve dĺžky kľúčov pre metódu šifrovania AES: 128 bitov a 256 bitov.
11
Nastavte volič.
1
Kliknite na položku [Selector Settings].
Zobrazí sa obrazovka [Selector].
2
Nastavte volič.
[Local Address Settings] a [Remote Address Settings]
Nastavte IP adresu, na ktorú sa má vzťahovať komunikácia cez IPSec. Špecifikujte adresu IP tohto zariadenia pod položkou [Local Address Settings] a IP adresu komunikačného zariadenia pod položkou [Remote Address Settings].
[All IP Addresses]
Vyberte, aby sa IPSec použilo pre všetky pakety IP.
[IPv4 Address] alebo [All IPv4 Addresses]
Túto možnosť vyberte, ak chcete použiť komunikáciu IPSec na IP pakety odosielané a prijímané prostredníctvom adresy IPv4.
[IPv6 Address] alebo [All IPv6 Addresses]
Túto možnosť vyberte, ak chcete použiť komunikáciu IPSec na IP pakety odosielané a prijímané prostredníctvom adresy IPv6.
[IPv4 Manual Settings]
Túto možnosť vyberte, ak chcete určiť adresu IPv4, na ktorú sa má vzťahovať komunikácia cez IPSec. Na určenie adresy IPv4, na ktorú sa majú nastavenia uplatniť, použite niektorú z nasledujúcich metód.
Pri zadávaní jednej adresy IPv4
Vyberte [Single Address] a adresu IPv4 zadajte do poľa [First Address].
Vyberte [Single Address] a adresu IPv4 zadajte do poľa [First Address].
Pri zadávaní rozsahu adries IPv4
Vyberte [Range Address] a zadajte adresy IPv4 do polí [First Address] a [Last Address].
Vyberte [Range Address] a zadajte adresy IPv4 do polí [First Address] a [Last Address].
Pri zadávaní rozsahu adries IPv4 pomocou masky podsiete
Vyberte [Subnet Settings], zadajte adresu IPv4 do poľa [First Address] a zadajte masku podsiete do poľa [Subnet Settings].
Vyberte [Subnet Settings], zadajte adresu IPv4 do poľa [First Address] a zadajte masku podsiete do poľa [Subnet Settings].
[IPv6 Manual Settings]
Túto možnosť vyberte, ak chcete určiť adresu IPv6, na ktorú sa má vzťahovať komunikácia cez IPSec. Na určenie adresy IPv6, na ktorú sa majú nastavenia uplatniť, použite niektorú z nasledujúcich metód.
Pri zadávaní jednej adresy IPv6
Vyberte [Single Address] a adresu IPv6 zadajte do poľa [First Address].
Vyberte [Single Address] a adresu IPv6 zadajte do poľa [First Address].
Pri zadávaní rozsahu adries IPv6
Vyberte [Range Address] a zadajte adresy IPv6 do polí [First Address] a [Last Address].
Vyberte [Range Address] a zadajte adresy IPv6 do polí [First Address] a [Last Address].
Pri zadávaní rozsahu adries IPv6 pomocou predpony
Vyberte [Prefix Address], zadajte adresu IPv6 do poľa [First Address] a dĺžku predpony do poľa [Prefix Length].
Vyberte [Prefix Address], zadajte adresu IPv6 do poľa [First Address] a dĺžku predpony do poľa [Prefix Length].
[Port Settings]
Nastavte porty, na ktorých sa má používať komunikácia cez IPSec.
[Specify by Port Number]
Túto možnosť vyberte, ak chcete pri určovaní portov, na ktoré sa vzťahuje komunikácia cez IPSec, používať čísla portov. Špecifikujte číslo portu zariadenia v položke [Local Port] a číslo portu komunikačného zariadenia v položke [Remote Port].
Ak chcete použiť komunikáciu cez IPSec pre všetky čísla portov, vyberte možnosť [All Ports].
Ak chcete použiť komunikáciu cez IPSec na špecifické číslo portu, stlačte možnosť [Single Port] a zadajte číslo portu.
[Specify by Service Name]
Túto možnosť vyberte, ak chcete pri určovaní portov, na ktoré sa vzťahuje komunikácia cez IPSec, používať názvy služieb. Zaškrtnite políčka pri službách, na ktoré sa má vzťahovať komunikácia cez IPSec.
3
Kliknite na položku [OK].
Zobrazí sa obrazovka [Register Policy].
12
Nakonfigurujte nastavenia IKE.
1
Kliknite na položku [IKE Settings].
Zobrazí sa obrazovka [IKE].
2
Nakonfigurujte nastavenia IKE.
[IKE Mode]
Vyberte prevádzkový režim pre protokol výmeny kľúča. Ak je zvolená možnosť [Main], zvyšuje sa úroveň bezpečnosti, pretože samotná relácia IKE je šifrovaná, komunikácia je však pomalšia ako v prípade možnosti [Aggressive], ktorá šifrovanie nevyužíva.
[Validity]
Zadajte platné obdobie pre protokol IKE SA (ISAKMP SA), ktoré sa má použiť ako riadiaca komunikačná cesta, v minútach.
[Authentication Method]
Vyberte spôsob overovania zariadenia.
Ak vyberiete položku [Pre-Shared Key Method], kliknite na položku [Shared Key Settings] 
zadajte reťazec, ktorý chcete použiť ako zdieľaný kľúč, pomocou alfanumerických znakov kliknite na položku [OK].
zadajte reťazec, ktorý chcete použiť ako zdieľaný kľúč, pomocou alfanumerických znakov kliknite na položku [OK].Ak vyberiete [Digital Signature Method], kliknite na [Key and Certificate] [Use] kľúča a certifikátu, ktoré chcete použiť.
[Use] kľúča a certifikátu, ktoré chcete použiť.[Authentication/Encryption Algorithm]
Nakonfigurujte algoritmus overovania a šifrovania pre fázu 1 protokolu IKE.
Ak chcete automaticky nastaviť algoritmus, ktorý môže používať toto zariadenie aj komunikujúce zariadenie, vyberte [Auto].
Ak chcete určiť konkrétny algoritmus, vyberte [Manual Settings] a nastavte parametre [Authentication], [Encryption] a [DH Group].
[Authentication]: Vyberte transformačný algoritmus.
[Encryption]: Vyberte algoritmus šifrovania.
[DH Group]: Vyberte skupinu Diffie-Hellman, ktorá určuje silu kľúča.
|
Keď je položka [IKE Mode] nastavená na [Main] a položka [Authentication Method] je nastavená na [Pre-Shared Key Method]
Ak v nastaveniach voliča zadáte v časti [Remote Address Settings] viac ako jednu adresu, pri vytváraní viacerých politík platia nasledujúce obmedzenia:
V prípade politík, v ktorých je uvedená viac ako jedna adresa, musia mať všetky zdieľané kľúče nastavený rovnaký reťazec.
V prípade politík, v ktorých je uvedená viac ako jedna adresa, nie je možné nastaviť vyššiu prioritu ako pre politiky, v ktorých je uvedená len jedna adresa.
|
3
Kliknite na položku [OK].
Znova sa zobrazí obrazovka [Register Policy].
13
Nakonfigurujte nastavenia siete IPSec.
1
Kliknite na položku [IPSec Network Settings].
Zobrazí sa obrazovka [IPSec Network].
2
Nakonfigurujte nastavenia siete IPSec.
[Validity]
Zadajte platné obdobie protokolu IPSec SA, ktoré sa má použiť ako cesta dátovej komunikácie, zadajte čas, veľkosť alebo oba údaje.
Ak zaškrtnete políčko [Time], zadajte platné obdobie v minútach.
Ak zaškrtnete políčko [Size], zadajte platné obdobie v megabajtoch.
Ak vyberiete obe, použije sa položka, ktorej určená hodnota sa dosiahne prvá.
[PFS]
Začiarknutím tohto políčka sa PFS konfiguruje ako kľúč relácie.
[Authentication/Encryption Algorithm]
Nastavte algoritmus overovania a šifrovania pre fázu 2 protokolu IKE.
Ak chcete automaticky nastaviť algoritmus overovania a šifrovania ESP, vyberte [Auto].
Ak chcete určiť konkrétnu metódu overovania, vyberte položku [Manual Settings] a jednu z nasledujúcich metód overovania.
[ESP]:
Prebieha overovanie a šifrovanie.
Vyberte algoritmus v poliach [ESP Authentication] a [ESP Encryption]. Ak nechcete určiť algoritmus, vyberte položku [NULL].
Prebieha overovanie a šifrovanie.
Vyberte algoritmus v poliach [ESP Authentication] a [ESP Encryption]. Ak nechcete určiť algoritmus, vyberte položku [NULL].
[ESP (AES-GCM)]:
Prebieha overovanie aj šifrovanie.
Ako algoritmus sa používa AES-GCM.
Prebieha overovanie aj šifrovanie.
Ako algoritmus sa používa AES-GCM.
[AH (SHA1)]:
Overovanie sa vykonáva, ale údaje nie sú šifrované.
Ako algoritmus sa používa SHA1.
Overovanie sa vykonáva, ale údaje nie sú šifrované.
Ako algoritmus sa používa SHA1.
[Connection Mode]
Zariadenie podporuje len režim prenosu.
3
Kliknite na položku [OK].
Znova sa zobrazí obrazovka [Register Policy].
14
Kliknite na položku [OK].
Novovytvorená politika sa pridá na obrazovke [IPSec Policy List].
Keď sa registruje viacero politík
Vyberte politiku a kliknutím na [Raise Priority] alebo [Lower Priority] zmeňte poradie politík. Politiky vyššej úrovne majú prioritu pri použití na komunikáciu IPSec.
15
Kliknite na položky [Apply Setting Changes] [OK].
[OK].Nastavenia sa aplikujú.
16
Odhláste sa z Remote UI (Vzdialené PR).
POZNÁMKA
Úprava zaregistrovaných politík
Ak chcete upraviť zaregistrované informácie, kliknite na názov politiky, ktorú chcete upraviť na obrazovke [IPSec Policy List].