استخدام IPSec
استخدم بروتوكول أمان IP (IPSec) لمنع التجسس على حزم IP المرسلة والمستلمة عبر شبكة IP والتلاعب فيها. يقوم هذا البروتوكول بإجراء تشفير على مستوى بروتوكول IP لضمان الأمان دون الاعتماد على تكوين تطبيق أو شبكة.
شروط IPSec القابلة للتطبيق والأوضاع المدعومة
الحزم التي لا يتم تطبيق بروتوكول IPSec عليها
الحزم التي تحدد عنوان الاسترجاع أو البث المتعدد أو البث واسع النطاق
حزم IKE المرسلة من منفذ UDP 500
حزم استمالة الجار وإعلان الجار ICMPv6
وضع التشغيل لبروتوكول تبادل المفاتيح (أوضاع IKE)
أوضاع IKE المدعومة من الجهاز هي الوضع الرئيسي الوحيد المستخدم لتشفير الحزم والوضع التحسين بدون تشفير.
وضع اتصال IPSec
وضع الاتصال الذي يدعمه الجهاز هو وضع النقل الوحيد، الذي يشفر فقط الجزء باستثناء رأس IP. وضع النفق، الذي يشفر حزمة IP بالكامل، غير مدعوم.
متوافق مع معيار FIPS 140
أثناء اتصال IPSec، وبغض النظر عن إعداد [طريقة تنسيق التشفير لـ FIPS 140]، يتم دائمًا استخدام وحدة تشفير حصلت على مصادقة FIPS 140. [طريقة تنسيق التشفير لـ FIPS 140]
لضمان توافق اتصال IPSec مع معيار FIPS 140، يجب ضبط طول مفتاح كل من مفتاحي DH وRSA لاتصال IPSec إلى 2048 بت أو أطول في بيئة الشبكة التي ينتمي إليها الجهاز.
* يمكنك تحديد طول المفتاح فقط لمفتاح DH على الجهاز. لا يوجد إعداد لمفتاح RSA على الجهاز، لذا ضع هذا في الاعتبار عند إنشاء البيئة.
استخدام IPSec مع تصفية عنوان IP
عند إرسال الحزم، يتم تطبيق إعدادات تصفية عنوان IP أولًا. إعداد جدار حماية
عند استلام الحزم، يتم تطبيق إعدادات IPSec أولًا.
تكوين سياسة IPSec
لإجراء اتصال IPSec على الجهاز، يجب عليك إنشاء سياسة IPSec تتضمن نطاقًا وخوارزميات قابلة للتطبيق للمصادقة والتشفير. تتكون السياسة بشكل أساسي من العناصر التالية:
المحدد
حدد أي حزم IP المراد تطبيق اتصال IPSec لها. بالإضافة إلى تحديد عنوان IP للجهاز وتوصيل الأجهزة، يمكنك أيضًا تحديد أرقام منافذها.
وضع التشغيل لبروتوكول تبادل المفاتيح (وضع IKE)
يدعم بروتوكول تبادل المفاتيح إصدار تبادل مفاتيح الإنترنت 1 (IKEv1). بالنسبة لطريقة المصادقة، حدد طريقة المفتاح المُشارَك مسبقًا أو طريقة التوقيع الرقمي.
طريقة المفتاح المُشارَك مسبقًا
تستخدم طريقة المصادقة هذه كلمة أساسية مشتركة، يُطلق عليها المفتاح المشترك، للاتصال بين الجهاز والأجهزة الأخرى.
تستخدم طريقة المصادقة هذه كلمة أساسية مشتركة، يُطلق عليها المفتاح المشترك، للاتصال بين الجهاز والأجهزة الأخرى.
طريقة التوقيع الرقمي
يقوم كل من الجهاز والأجهزة الأخرى بمصادقة بعضها البعض من خلال التحقق المتبادل من توقيعاتها الرقمية.
يقوم كل من الجهاز والأجهزة الأخرى بمصادقة بعضها البعض من خلال التحقق المتبادل من توقيعاتها الرقمية.
* يجب عليك ضبط الإعدادات لتمكين استخدام بروتوكول SNTP.
ESP/AH
قم بضبط إعدادات بروتوكولات ESP أو AH المراد استخدامها لاتصال IPSec. استخدم السرية التامة لإعادة التوجيه (PFS) لتوفير قدر أكبر من الأمان.
ضبط IPSec
قم بتمكين استخدام IPSec، ومن ثمّ أنشئ سياسة IPSec وسجّلها. إذا تم إنشاء سياسات متعددة، فحدد الترتيب الذي سيتم تطبيقها على أساسه. يُمكنك إنشاء ما يصل إلى 10 سياسات.
يوضح هذا القسم كيفية تكوين الإعدادات باستخدام Remote UI (واجهة المستخدم عن بعد) من جهاز كمبيوتر.
من لوحة التحكم، حدد [
الإعدادات/التسجيل] من الشاشة [الرئيسية] أو شاشة أخرى، ثم حدد [التفضيلات] لتكوين الإعدادات. [إعدادات IPSec]
يلزم توفُّر امتيازات المسؤول أو مسؤول الشبكة.
من لوحة التحكم، حدد [
الإعدادات/التسجيل] من الشاشة [الرئيسية] أو شاشة أخرى، ثم حدد [التفضيلات] لتكوين الإعدادات. [إعدادات IPSec]يلزم توفُّر امتيازات المسؤول أو مسؤول الشبكة.
التجهيزات المطلوبة
قم بتوصيل الجهاز بجهاز كمبيوتر مباشرة على نفس الشبكة الخاصة الافتراضية (VPN) باعتبارها الجهاز. قم بتأكيد ظروف التشغيل، وإنهاء الإعدادات على الكمبيوتر مقدمًا. IPSec
حضّر ما يلي وفقًا لطريقة مصادقة IKE:
عند استخدام طريقة المفتاح المُشارَك مسبقًا، قم بتمكين TLS لاتصال Remote UI (واجهة المستخدم عن بعد). استخدام TLS
عند استخدام طريقة التوقيع الرقمي، قم بإعداد المفتاح والشهادة المراد استخدامها، وقم بضبط الإعدادات لتمكين استخدام SNTP.
عند استخدام PFS، تحقق من تمكين PFS على الجهاز المتصل.
1
قم بتسجيل الدخول إلى Remote UI (واجهة المستخدم عن بعد) كمسؤول. بدء تشغيل Remote UI (واجهة المستخدم عن بعد)
2
على صفحة مدخل Remote UI (واجهة المستخدم عن بعد)، انقر فوق [Settings/Registration]. صفحة بوابة Remote UI (واجهة المستخدم عن بعد)
3
انقر فوق [Network Settings].
تُعرض شاشة إعدادات الشبكة.
4
انقر فوق [IPSec Settings].
يتم عرض شاشة [IPSec Settings].
5
حدد مربع الاختيار [Use IPSec].
لتلقي الحزم التي تتوافق مع السياسة فقط، حدد [Reject] في [Receive Non-Policy Packets].
6
انقر فوق [OK].
تُعرض شاشة إعدادات الشبكة مرة أخرى.
7
انقر فوق [IPSec Policy List].
يتم عرض شاشة [IPSec Policy List].
8
انقر فوق [Register New IPSec Policy].
يتم عرض شاشة [Register Policy].
9
حدد اسم السياسة، ثم اختر [On] في [Policy On/Off].
بالنسبة لاسم السياسة، أدخل اسمًا لتعريف السياسة باستخدام أحرف أبجدية رقمية.
10
قم بتقييد طول مفتاح AES، حسب الحاجة.
لتقييد طول مفتاح AES إلى 256 بت، مثل عند الرغبة في تلبية معايير مصادقة CC، حدد مربع الاختيار [Only Allow 256-bit for AES Key Length].
* تدعم أجهزة Canon متعددة الوظائف طولَي مفتاحين لطريقة التشفير AES: 128 بت و256 بت.
11
اضبط المحدد.
1
انقر فوق [Selector Settings].
يتم عرض شاشة [Selector].
2
اضبط المحدد.
[Local Address Settings] و[Remote Address Settings]
قم بتعيين عنوان IP الذي سيتم تطبيق اتصال IPSec عليه. حدد عنوان IP الخاص بالجهاز في [Local Address Settings]، وعنوان IP الخاص بالجهاز المتصل في [Remote Address Settings].
[All IP Addresses]
حدد هذا لتطبيق IPSec على جميع حزم IP.
[IPv4 Address] أو [All IPv4 Addresses]
حدد هذا الخيار لتطبيق اتصال IPSec على حزم IP المرسلة والمستلمة باستخدام عنوان IPv4.
[IPv6 Address] أو [All IPv6 Addresses]
حدد هذا الخيار لتطبيق اتصال IPSec على حزم IP المرسلة والمستلمة باستخدام عنوان IPv6.
[IPv4 Manual Settings]
حدد هذا الخيار لتحديد عنوان IPv4 الذي سيتم تطبيق اتصال IPSec عليه. استخدم أيًا من الطرق التالية لتحديد عنوان IPv4 الذي سيتم تطبيق الإعدادات عليه.
عند تحديد عنوان IPv4 واحد
حدد [Single Address]، وأدخل عنوان IPv4 في [First Address].
حدد [Single Address]، وأدخل عنوان IPv4 في [First Address].
عند تحديد نطاق من عناوين IPv4
، حدد [Range Address]، وأدخل عناوين IPv4 في [First Address] و [Last Address].
، حدد [Range Address]، وأدخل عناوين IPv4 في [First Address] و [Last Address].
عند تحديد نطاق من عناوين IPv4 باستخدام قناع الشبكة الفرعية
، حدد [Subnet Settings]، وأدخل عنوان IPv4 في [First Address]، ثم أدخل قناع الشبكة الفرعية في [Subnet Settings].
، حدد [Subnet Settings]، وأدخل عنوان IPv4 في [First Address]، ثم أدخل قناع الشبكة الفرعية في [Subnet Settings].
[IPv6 Manual Settings]
حدد هذا الخيار لتحديد عنوان IPv6 الذي سيتم تطبيق اتصال IPSec عليه. استخدم أيًا من الطرق التالية لتحديد عنوان IPv6 الذي سيتم تطبيق الإعدادات عليه.
عند تحديد عنوان IPv6 واحد
حدد [Single Address]، وأدخل عنوان IPv6 في [First Address].
حدد [Single Address]، وأدخل عنوان IPv6 في [First Address].
عند تحديد نطاق من عناوين IPv6
، حدد [Range Address]، وأدخل عناوين IPv6 في [First Address] و [Last Address].
، حدد [Range Address]، وأدخل عناوين IPv6 في [First Address] و [Last Address].
عند تحديد نطاق من عناوين IPv6 باستخدام بادئة
، حدد [Prefix Address]، وأدخل عنوان IPv6 في [First Address]، ثم أدخل طول البادئة في [Prefix Length].
، حدد [Prefix Address]، وأدخل عنوان IPv6 في [First Address]، ثم أدخل طول البادئة في [Prefix Length].
[Port Settings]
حدد المنافذ التي سيتم تطبيق اتصال IPSec عليها.
[Specify by Port Number]
حدِّد هذا الخيار لاستخدام أرقام المنافذ عند تحديد المنافذ التي ينطبق عليها اتصال IPSec. حدد رقم المنفذ الخاص بالجهاز في [Local Port]، وحدد رقم المنفذ الخاص بالجهاز المتصل في [Remote Port].
لتطبيق اتصال IPSec على جميع أرقام المنافذ، حدد [All Ports].
لتطبيق اتصال IPSec على رقم منفذ محدد، اضغط على [Single Port]، وأدخل رقم المنفذ.
[Specify by Service Name]
حدد هذا الخيار لاستخدام أسماء الخدمات عند تحديد المنافذ التي ينطبق عليها اتصال IPSec. حدِّد خانات الاختيار للخدمات التي سيتم تطبيق اتصال IPSec عليها.
3
انقر فوق [OK].
يتم عرض شاشة [Register Policy].
12
قم بتكوين إعدادات IKE.
1
انقر فوق [IKE Settings].
يتم عرض شاشة [IKE].
2
قم بتكوين إعدادات IKE.
[IKE Mode]
حدِّد وضع تشغيل بروتوكول تبادل المفاتيح. عند تحديد [Main]، يتم تعزيز الأمان لأن جلسة IKE نفسها يتم تشفيرها، غير أن الاتصال يكون أبطأ مقارنةً بـ [Aggressive] الذي لا يُجري التشفير.
[Validity]
أدخل الفترة الصالحة لـ IKE SA (ISAKMP SA) لاستخدامها كمسار اتصال التحكم بالدقائق.
[Authentication Method]
حدد طريقة المصادقة للجهاز.
إذا قمت بتحديد [Pre-Shared Key Method]، فانقر فوق [Shared Key Settings]
أدخل السلسلة المراد استخدامها كمفتاح مشترك باستخدام الأحرف الأبجدية الرقمية انقر فوق [OK].
أدخل السلسلة المراد استخدامها كمفتاح مشترك باستخدام الأحرف الأبجدية الرقمية انقر فوق [OK].إذا قمت بتحديد [Digital Signature Method], انقر فوق [Key and Certificate] [Use]لاستخدام المفتاح و الشهادة.
[Use]لاستخدام المفتاح و الشهادة.[Authentication/Encryption Algorithm]
قم بتكوين خوارزمية المصادقة والتشفير لمرحلة IKE الأولى.
لضبط خوارزمية يمكن استخدامها تلقائيًا من قبل كلٍ من هذا الجهاز والجهاز المتصل، حدد [Auto].
لتحديد خوارزمية معينة، حدد [Manual Settings]، وقم بتكوين إعدادات [Authentication] و[Encryption] و [DH Group].
[Authentication]: حدد خوارزمية التجزئة.
[Encryption]: حدد خوارزمية التشفير.
[DH Group]: حدد مجموعة Diffie-Hellman المستخدمة لتحديد قوة المفتاح.
|
عند ضبط [IKE Mode] على [Main]، وضبط [Authentication Method] على [Pre-Shared Key Method].
إذا قمت بتحديد أكثر من عنوان واحد في [Remote Address Settings] في إعدادات المُحدِّد، فسيتم تطبيق القيود التالية عند إنشاء سياسات متعددة:
بالنسبة للسياسات التي تحتوي على أكثر من عنوان واحد محدد، يجب تعيين جميع المفاتيح المشتركة إلى نفس السلسلة.
لا يمكن تعيين السياسات التي تتضمن أكثر من عنوان واحد كأولوية أعلى من السياسات التي تتضمن عنوانًا واحدًا محددا فقط.
|
3
انقر فوق [OK].
تُعرض الشاشة [Register Policy] مرة أخرى.
13
قم بتكوين إعدادات شبكة IPSec.
1
انقر فوق [IPSec Network Settings].
يتم عرض شاشة [IPSec Network].
2
قم بتكوين إعدادات شبكة IPSec.
[Validity]
حدد الفترة الصالحة لـ IPSec SA لاستخدامها كمسار اتصال البيانات حسب الوقت أو الحجم أو كليهما.
إذا قمت بتحديد خانة الاختيار [Time]، فأدخل الفترة الزمنية الصالحة بالدقائق.
إذا قمت بتحديد خانة الاختيار [Size]، فأدخل الفترة الصحيحة بالميغابايت.
إذا قمت بتحديد كليهما، يتم تطبيق العنصر الذي يتم الوصول إلى قيمته المحددة أولاً.
[PFS]
حدد مربع الاختيار هذا لتكوين PFS الخاص بمفتاح الجلسة.
[Authentication/Encryption Algorithm]
قم بتكوين خوارزمية المصادقة والتشفير لمرحلة IKE الثانية
لضبط خوارزمية المصادقة والتشفير ESP تلقائيًا، حدد [Auto].
لتحديد طريقة مصادقة معينة، حدد [Manual Settings]، ثم حدد إحدى طرق المصادقة التالية.
[ESP]:
يتم تنفيذ كل من المصادقة والتشفير.
حدد الخوارزمية في [ESP Authentication] و [ESP Encryption]. إذا لم تكن تريد تحديد خوارزمية، فحدد [NULL].
يتم تنفيذ كل من المصادقة والتشفير.
حدد الخوارزمية في [ESP Authentication] و [ESP Encryption]. إذا لم تكن تريد تحديد خوارزمية، فحدد [NULL].
[ESP (AES-GCM)]:
يتم تنفيذ كل من المصادقة والتشفير.
يتم استخدام خوارزمية AES-GCM.
يتم تنفيذ كل من المصادقة والتشفير.
يتم استخدام خوارزمية AES-GCM.
[AH (SHA1)]:
يتم إجراء المصادقة، ولكن البيانات غير مشفرة.
يتم استخدام خوارزمية SHA1.
يتم إجراء المصادقة، ولكن البيانات غير مشفرة.
يتم استخدام خوارزمية SHA1.
[Connection Mode]
لا يدعم الجهاز إلا وضع النقل فقط.
3
انقر فوق [OK].
تُعرض الشاشة [Register Policy] مرة أخرى.
14
انقر فوق [OK].
تُضاف السياسة التي تم إنشاؤها إلى شاشة [IPSec Policy List].
عند تسجيل سياسات متعددة
حدد سياسة، وانقر فوق [Raise Priority] أو [Lower Priority] لتغيير ترتيب الأولوية. السياسات ذات المستوى الأعلى لها أولوية عند تطبيقها على اتصال IPSec.
15
انقر فوق [Apply Setting Changes] [OK].
[OK].تم تطبيق الإعدادات.
16
قم بتسجيل الخروج من Remote UI (واجهة المستخدم عن بعد).
ملاحظة
تحرير السياسات المسجلة
لتحرير المعلومات المسجلة، انقر فوق اسم السياسة الذي تريد تحريره على شاشة [IPSec Policy List].