„IPSec“ naudojimas
Kad apsisaugotumėte nuo IP tinklu siunčiamų ir gaunamų IP paketų slapto pasiklausymo ir neteisėto keitimo, naudokite IP saugumo protokolą („IPSec“). Jį naudojant šifruojama IP protokolo lygmeniu, todėl užtikrinama sauga ir nereikia pasikliauti taikomąja programa arba tinklo konfigūracija.
„IPSec“ taikomos sąlygos ir palaikomi režimai
Paketai, kuriems netaikomas „IPSec“
Paketai, kuriuose nurodomi kilpinės jungties, sudėtiniai arba platinimo adresai
IKE paketai, siunčiami iš UDP 500 prievado
ICMPv6 kaimyno prašymo ir kaimyno reklamos paketai
Raktų mainų protokolo veikimo režimas (IKE režimai)
Aparato palaikomi IKE režimai yra pagrindinis režimas, naudojamas paketams šifruoti, ir agresyvusis režimas be šifravimo.
„IPSec“ ryšio režimas
Aparato palaikomas ryšio režimas yra tik transportavimo režimas, kuriuo šifruojama tik dalis be IP antraštės. Tunelinis režimas, kuriuo šifruojamas visas IP paketas, nepalaikomas.
Atitikimas FIPS 140
„IPSec“ ryšio metu, nepriklausomai nuo parametro [Formatuoti šifravimo metodą FIPS 140] visada naudojamas šifravimo modulis, kuriam suteiktas FIPS 140 autentifikavimas. [Formatuoti šifravimo metodą FIPS 140]
Norint užtikrinti, kad „IPSec“ ryšys atitiktų FIPS 140, tinklo aplinkoje, kuriai priklauso aparatas, reikia nustatyti IPSec ryšio DH ir RSA rakto ilgį – 2048 bitai arba daugiau.
* Galite nurodyti rakto ilgį tik aparate esančiam DH raktui. Aparate nėra RSA rakto nustatymų, todėl į tai reikėtų atsižvelgti kuriant aplinką.
„IPSec“ naudojimas kartu su IP adresų filtravimu
Siunčiant paketus, pirmiausia taikomi IP adreso filtro nustatymai. Užkardos nustatymas
Gavus paketus, pirmiausia taikomi „IPSec“ nustatymai.
„IPSec“ taisyklių konfigūravimas
Kad aparate veiktų „IPSec“ ryšys, turite sukurti „IPSec“ taisyklę, apimančią taikomą diapazoną ir autentifikavimo bei šifravimo algoritmus. Taisyklė iš esmės sudaryta iš toliau nurodytų elementų.
Išrinkiklis
Nurodoma, kuriems IP paketams taikomas „IPSec“ ryšys. Be aparato ir ryšio įrenginių IP adresų taip pat galite nurodyti jų prievadų numerius.
Raktų mainų protokolo veikimo režimas (IKE režimas)
Raktų mainų protokolas palaiko interneto raktų mainų 1 versiją (IKEv1). Kaip autentifikavimo metodą pasirinkite iš anksto bendrinamo rakto arba skaitmeninio parašo metodą.
Iš anksto bendrinamo rakto metodas
Pagal šį autentifikavimo metodą ryšiui tarp aparato ir kitų įrenginių naudojamas bendras raktinis žodis, vadinamas bendrinamu raktu.
Pagal šį autentifikavimo metodą ryšiui tarp aparato ir kitų įrenginių naudojamas bendras raktinis žodis, vadinamas bendrinamu raktu.
Skaitmeninio parašo metodas
Šis aparatas ir kiti įrenginiai vienas kitą autentifikuoja tikrindami vienas kito skaitmeninius parašus.
Šis aparatas ir kiti įrenginiai vienas kitą autentifikuoja tikrindami vienas kito skaitmeninius parašus.
* Norint naudoti SNTP, reikia konfigūruoti atitinkamus parametrus.
ESP / AH
Konfigūruokite ESP arba AH protokolų parametrus, kurie bus naudojami „IPSec“ ryšiui. Kad užtikrintumėte dar geresnį saugumą, naudokite „Perfect Forward Secrecy“ (PFS).
„IPSec“ konfigūravimas
Įjunkite „IPSec“ naudojimą, tada sukurkite ir užregistruokite „IPSec“ taisyklę. Jeigu sukurtos kelios taisyklės, nurodykite jų taikymo eilės tvarką. Galima sukurti iki 10 taisyklių.
Šiame skyriuje aprašoma, kaip sukonfigūruoti parametrus per „Remote UI“ (Nuotolinė naudotojo sąsaja) iš kompiuterio.
Valdymo skydelio ekrane [Pagrindinis] arba kitame ekrane pasirinkite [
Nust./Įreg.], tuomet, kad konfigūruotumėte parametrus, pasirinkite [Nuostatos]. [IPSec parametrai]
Būtinos administratoriaus arba „NetworkAdmin“ (tinklo administratoriaus) teisės.
Valdymo skydelio ekrane [Pagrindinis] arba kitame ekrane pasirinkite [
Nust./Įreg.], tuomet, kad konfigūruotumėte parametrus, pasirinkite [Nuostatos]. [IPSec parametrai]Būtinos administratoriaus arba „NetworkAdmin“ (tinklo administratoriaus) teisės.
Reikalingas pasiruošimas
Aparatą prijunkite tiesiai prie tame pačiame virtualiajame privačiame tinkle (VPN) esančio kompiuterio. Kompiuteryje iš anksto patvirtinkite veikimo sąlygas ir baikite nustatyti parametrus. IPSec
Pagal į IKE autentifikavimo metodą atlikite toliau nurodytus paruošiamuosius veiksmus.
Kai taikomas iš anksto bendrinamo rakto metodas, įjunkite TLS „Remote UI“ (Nuotolinė naudotojo sąsaja) ryšiui. TLS naudojimas
Naudodami skaitmeninio parašo metodą, pasiruoškite raktą ir sertifikatą, kuriuos ketinate naudoti, bei konfigūruokite parametrus, kad būtų įjungtas SNTP naudojimas.
Kai naudojamas PFS, patikrinkite, ar ryšio įrenginyje įjungtas PFS.
1
Prisijunkite prie „Remote UI“ (Nuotolinė naudotojo sąsaja) kaip administratorius. Priemonės „Remote UI“ (Nuotolinė naudotojo sąsaja) paleidimas
2
„Remote UI“ (Nuotolinė naudotojo sąsaja) portalo puslapyje spustelėkite [Settings/Registration]. „Remote UI“ (Nuotolinė naudotojo sąsaja) portalo puslapis
3
Spustelėkite [Network Settings].
Pasirodo tinklo parametrų ekranas.
4
Spustelėkite [IPSec Settings].
Rodomas ekranas [IPSec Settings].
5
Pasirinkite žymės langelį [Use IPSec].
Jei norite gauti tik tuos paketus, kurie atitinka nustatytą taisyklę, pasirinkite [Reject] elemente [Receive Non-Policy Packets].
6
Spustelėkite [OK].
Vėl pasirodo tinklo parametrų ekranas.
7
Spustelėkite [IPSec Policy List].
Rodomas ekranas [IPSec Policy List].
8
Spustelėkite [Register New IPSec Policy].
Rodomas ekranas [Register Policy].
9
Nurodykite taisyklės pavadinimą ir pasirinkite [On] lauke [Policy On/Off].
Įveskite taisyklės pavadinimą taisyklei identifikuoti naudodami raidinius ir skaitinius simbolius.
10
Jei reikia, apribokite AES rakto ilgį.
Jei norite apriboti AES rakto ilgį iki 256 bitų, pavyzdžiui, siekdami atitikti CC autentifikavimo standartus, pažymėkite žymimąjį langelį [Only Allow 256-bit for AES Key Length].
* Daugiafunkciai „Canon“ spausdintuvai palaiko du rakto ilgius AES šifravimo metodui: 128 bitų ir 256 bitų.
11
Nustatykite išrinkiklį.
1
Spustelėkite [Selector Settings].
Rodomas ekranas [Selector].
2
Nustatykite išrinkiklį.
[Local Address Settings] ir [Remote Address Settings]
Nustatykite IP adresą, kuriam taikytinas „IPSec“ ryšys. Šio aparato IP adresą nurodykite [Local Address Settings], o ryšio įrenginio IP adresą nurodykite [Remote Address Settings].
[All IP Addresses]
Pasirinkite „IPSec“ taikyti visiems IP paketams.
[IPv4 Address] arba [All IPv4 Addresses]
Pasirinkite šią parinktį, jei norite, kad „IPSec“ ryšys būtų taikomas IP paketams, siunčiamiems ir gaunamiems naudojant IPv4 adresą.
[IPv6 Address] arba [All IPv6 Addresses]
Pasirinkite šią parinktį, jei norite, kad „IPSec“ ryšys būtų taikomas IP paketams, siunčiamiems ir gaunamiems naudojant IPv6 adresą.
[IPv4 Manual Settings]
Pasirinkite šią parinktį, jei norite nurodyti IPv4 adresą, kuriam bus taikomas „IPSec“ ryšys. Naudokite bet kurį iš toliau nurodytų būdų, kad nurodytumėte IPv4 adresą, kuriam bus taikomi šie nustatymai.
Nurodydami vieną IPv4 adresą
, pasirinkite [Single Address] ir įveskite IPv4 adresą į lauką [First Address].
, pasirinkite [Single Address] ir įveskite IPv4 adresą į lauką [First Address].
Nurodydami IPv4 adresų intervalą
, pasirinkite [Range Address] ir įveskite IPv4 adresus į lauką [First Address] ir [Last Address].
, pasirinkite [Range Address] ir įveskite IPv4 adresus į lauką [First Address] ir [Last Address].
Nurodydami IPv4 adresų intervalą naudojant potinklio kaukę
, pasirinkite [Subnet Settings], įveskite IPv4 adresą lauke [First Address] ir įveskite potinklio kaukę lauke [Subnet Settings].
, pasirinkite [Subnet Settings], įveskite IPv4 adresą lauke [First Address] ir įveskite potinklio kaukę lauke [Subnet Settings].
[IPv6 Manual Settings]
Pasirinkite šią parinktį, jei norite nurodyti IPv6 adresą, kuriam taikytinas „IPSec“ ryšys. Naudokite bet kurį iš toliau nurodytų būdų, kad nurodytumėte IPv6 adresą, kuriam bus taikomi šie nustatymai.
Nurodydami vieną IPv6 adresą
, pasirinkite [Single Address] ir įveskite IPv6 adresą į lauką [First Address].
, pasirinkite [Single Address] ir įveskite IPv6 adresą į lauką [First Address].
Nurodydami IPv6 adresų intervalą
, pasirinkite [Range Address] ir įveskite IPv6 adresus lauke [First Address] ir [Last Address].
, pasirinkite [Range Address] ir įveskite IPv6 adresus lauke [First Address] ir [Last Address].
Kai nustatote IPv6 adresų intervalą naudodami priešdėlį
, pasirinkite [Prefix Address], įveskite IPv6 adresą į lauką [First Address] ir įveskite priešdėlio ilgį į lauką [Prefix Length].
, pasirinkite [Prefix Address], įveskite IPv6 adresą į lauką [First Address] ir įveskite priešdėlio ilgį į lauką [Prefix Length].
[Port Settings]
Nustatykite prievadus, kuriuose bus naudojamas „IPSec“ ryšys.
[Specify by Port Number]
Pasirinkite šią parinktį, jei norite nurodyti prievadų numerius, kai nustatote prievadus, kuriuose naudojamas „IPSec“ ryšys. Šio aparato prievado numerį nurodykite [Local Port], o ryšio įrenginio prievado numerį nurodykite [Remote Port].
Kad taikytumėte „IPSec“ ryšį visiems prievadų numeriams, pasirinkite [All Ports].
Norėdami „IPSec“ ryšį taikyti konkrečiam prievado numeriui, paspauskite [Single Port] ir įveskite prievado numerį.
[Specify by Service Name]
Pasirinkite šią parinktį, jei norite nurodyti paslaugų pavadinimus, kai nustatote prievadus, kuriuose taikomas „IPSec“ ryšys. Pažymėkite žymimuosius langelius prie tų paslaugų, kurioms norite taikyti „IPSec“ ryšį.
3
Spustelėkite [OK].
Rodomas ekranas [Register Policy].
12
Sukonfigūruokite IKE parametrus.
1
Spustelėkite [IKE Settings].
Rodomas ekranas [IKE].
2
Sukonfigūruokite IKE parametrus.
[IKE Mode]
Pasirinkite raktų mainų protokolo veikimo režimą. Pasirinkus [Main], sustiprinamas saugumas, nes pati IKE sesija yra šifruojama, tačiau ryšys yra lėtesnis nei pasirinkus [Aggressive], kur šifravimas nevykdomas.
[Validity]
Įveskite galiojantį IKE SA (ISAKMP SA) laikotarpį minutėmis, naudojamą kaip valdymo ryšio kelias.
[Authentication Method]
Pasirinkite aparato autentifikavimo metodą.
Jei pasirinksite [Pre-Shared Key Method], spustelėkite [Shared Key Settings]
naudodami raidinius ir skaitinius simbolius įveskite eilutę, kuri bus naudojama kaip bendrinamas raktas spustelėkite [OK].
naudodami raidinius ir skaitinius simbolius įveskite eilutę, kuri bus naudojama kaip bendrinamas raktas spustelėkite [OK].Jei pasirinksite [Digital Signature Method], spustelėkite [Key and Certificate] [Use] prie rakto ir sertifikato, kuriuos norite naudoti.
[Use] prie rakto ir sertifikato, kuriuos norite naudoti.[Authentication/Encryption Algorithm]
Nustatykite IKE 1 etapo autentifikavimo ir šifravimo algoritmą.
Norėdami automatiškai nustatyti algoritmą, kurį galėtų naudoti tiek šis aparatas, tiek ryšio įrenginys, pasirinkite [Auto].
Norėdami nurodyti konkretų algoritmą, pasirinkite [Manual Settings] ir nustatykite parametrus [Authentication], [Encryption] bei [DH Group].
[Authentication]: Pasirinkite maišos algoritmą.
[Encryption]: Pasirinkite šifravimo algoritmą.
[DH Group]: Pasirinkite „Diffie-Hellman“ grupę, naudojamą rakto sudėtingumui nustatyti.
|
Kai [IKE Mode] nustatyta į [Main] ir [Authentication Method] nustatyta į [Pre-Shared Key Method]
Jei išrinkiklio parametruose dalyje [Remote Address Settings] nurodysite daugiau nei vieną adresą, kuriant kelias taisykles bus taikomi šie apribojimai:
Jei taisyklėse nurodytas daugiau nei vienas adresas, visi bendri raktai turi būti nustatyti į tą pačią eilutę.
Taisyklėms, kuriose nurodytas daugiau nei vienas adresas, negalima nustatyti aukštesnio prioriteto nei taisyklėms, kuriose nurodytas tik vienas adresas.
|
3
Spustelėkite [OK].
Vėl parodomas [Register Policy] ekranas.
13
Sukonfigūruokite „IPSec“ ryšio parametrus.
1
Spustelėkite [IPSec Network Settings].
Rodomas ekranas [IPSec Network].
2
Sukonfigūruokite „IPSec“ ryšio parametrus.
[Validity]
Nurodykite galiojantį „IPSec“ SA, naudojamą kaip duomenų ryšio kelias pagal laiką, dydį arba abu šiuos parametrus.
Jei pažymėsite žymės langelį [Time], įveskite galiojimo laikotarpį minutėmis.
Jei pažymėsite žymės langelį [Size], įveskite galiojimo laikotarpį megabaitais.
Jei pažymėsite abu žymės langelius, taikomas elementas, kurio nurodyta reikšmė pasiekiama pirmiau.
[PFS]
Pažymėkite šį žymės langelį, jei pageidaujate sukonfigūruoti PFS seanso raktui.
[Authentication/Encryption Algorithm]
Nustatykite IKE 2 etapo autentifikavimo ir šifravimo algoritmą.
Norėdami automatiškai nustatyti ESP autentifikavimo ir šifravimo algoritmą, pasirinkite [Auto].
Norėdami nurodyti konkretų autentifikavimo metodą, pasirinkite [Manual Settings] ir pasirinkite vieną iš toliau nurodytų autentifikavimo metodų.
[ESP]:
Atliekamas tiek autentifikavimas, tiek šifravimas.
Pasirinkite algoritmą laukuose [ESP Authentication] ir [ESP Encryption]. Jeigu algoritmo nustatyti nenorite, pasirinkite [NULL].
Atliekamas tiek autentifikavimas, tiek šifravimas.
Pasirinkite algoritmą laukuose [ESP Authentication] ir [ESP Encryption]. Jeigu algoritmo nustatyti nenorite, pasirinkite [NULL].
[ESP (AES-GCM)]:
Atliekamas tiek autentifikavimas, tiek šifravimas.
Naudojamas AES-GCM algoritmas.
Atliekamas tiek autentifikavimas, tiek šifravimas.
Naudojamas AES-GCM algoritmas.
[AH (SHA1)]:
Atliekamas autentifikavimas, bet duomenys nėra šifruojami.
Naudojamas SHA1 algoritmas.
Atliekamas autentifikavimas, bet duomenys nėra šifruojami.
Naudojamas SHA1 algoritmas.
[Connection Mode]
Aparatas palaiko tik transportavimo režimą.
3
Spustelėkite [OK].
Vėl parodomas [Register Policy] ekranas.
14
Spustelėkite [OK].
Sukurta taisyklė įtraukiama į ekraną [IPSec Policy List].
Kai užregistruotos kelios taisyklės
Pasirinkite taisyklę ir spustelėkite [Raise Priority] arba [Lower Priority], kad pakeistumėte prioritetų tvarką. Aukštesnio lygio taisyklėms teikiamas prioritetas, kai jos taikomos „IPSec“ ryšiui.
15
Spustelėkite [Apply Setting Changes] [OK].
[OK].Parametrai bus pritaikyti.
16
Atsijunkite nuo „Remote UI“ (Nuotolinė naudotojo sąsaja).
PASTABA
Užregistruotų taisyklių redagavimas
Norėdami redaguoti užregistruotą informaciją, ekrane [IPSec Policy List] spustelėkite taisyklės, kurią norite redaguoti, pavadinimą.