استفاده از IPSec
برای جلوگیری از لو رفتن و دستکاری بسته‌های IP ارسالی و دریافتی از طریق شبکه IP، از پروتکل امنیتی IP (IPSec) استفاده کنید. این مورد رمزنگاری را در سطح پروتکل IP انجام می‌دهد، تا بدون وابستگی به پیکربندی برنامه یا شبکه، امنیت را تضمین کند.
شرایط قابل کاربرد و حالت‌های پشتیبانی IPSec
بسته‌هایی که IPSec برای آن‌ها کاربرد ندارد
بسته‌های تعیین‌کننده آدرس حلقه برگشت، چندتایی یا پخش
بسته‌های IKE ارسالی از درگاه 500 UDP
بسته‌های تبلیغات مجاور و درخواست مجاور ICMPv6
حالت عملیات پروتکل تبادل کلید (حالت‌های IKE)
حالت‌های IKE تحت پشتیبانی دستگاه، تنها حالت اصلی است که برای رمزنگاری بسته‌ها و حالت تهاجمی بدون رمزنگاری استفاده میشود.
حالت ارتباط IPsec
حالت ارتباط پشتیبانی شده توسط دستگاه صرفاً حالت انتقال است، که فقط قسمت مورد نظر را به استثناء عنوان IP، رمزنگاری می‌کند. از حالت تونل که کل بسته IP را رمزنگاری می‌کند، پشتیبانی نمی‌شود.
تطابق با FIPS 140
در طول ارتباط IPSec، صرف‌نظر از تنظیم [Format Encryption Method to FIPS 140]، همواره از ماژول رمزنگاری که گواهی اعتبارسنجی FIPS 140 را دریافت کرده است، استفاده میشود. [Format Encryption Method to FIPS 140]
برای اطمینان از اینکه ارتباط IPSec با FIPS 140 مطابقت دارد، لازم است طول کلید هر دو کلید DH و RSA برای ارتباط IPSec را روی 2048 بیت یا طولانی‌تر در محیط شبکه‌ای که دستگاه به آن تعلق دارد تنظیم کنید.
* شما می‌توانید طول کلید را فقط برای کلید DH روی دستگاه مشخص کنید. در این دستگاه هیچ تنظیمی برای کلید RSA وجود ندارد، بنابراین هنگام راه‌اندازی محیط این موضوع را در نظر داشته باشید.
استفاده از IPSec به همراه فیلتر کردن آدرس IP
هنگامی که بسته‌ها ارسال می‌شوند، ابتدا تنظیمات فیلتر کردن آدرس IP اعمال می‌شوند. راه‌اندازی فایروال
هنگامی که بسته‌ها دریافت می‌شوند، ابتدا تنظیمات IPSec اعمال می‌شوند.
پیکربندی خط‌مشی IPSec
برای انجام ارتباط IPSec در دستگاه، شما باید یک خط‌مشی IPSec ایجاد کنید که شامل محدوده کاربردی و الگوریتم‌های احراز هویت و رمزنگاری باشد. این خط‌مشی عموماً از موارد زیر تشکیل میشود:
انتخاب کننده
مشخص کنید ارتباط IPSec برای کدام بسته‌های IP اعمال شود. علاوه بر مشخص کردن آدرس IP این دستگاه و دستگاه‌های ارتباطی، شما همچنین می‌توانید شماره‌های درگاه آن‌ها را نیز تعیین کنید.
حالت عملیات پروتکل تبادل کلید (حالت IKE)
پروتکل تبادل کلید، از نسخه تبادل کلید اینترنتی 1 (IKEv1) پشتیبانی می‌کند. برای روش احراز هویت، روش کلید از قبل اشتراک‌گذاشته‌شده یا روش امضای دیجیتالی را انتخاب کنید.
روش کلید از قبل اشتراک‌گذاشته‌شده:
این روش احراز هویت از یک کلمه کلیدی مشترک که کلید مشترک نامیده میشود، برای ارتباط بین این دستگاه و سایر دستگاه‌ها استفاده می‌کند.
این روش احراز هویت از یک کلمه کلیدی مشترک که کلید مشترک نامیده میشود، برای ارتباط بین این دستگاه و سایر دستگاه‌ها استفاده می‌کند.
روش امضای دیجیتالی
این دستگاه و سایر دستگاه‌ها با تأیید متقابل امضاهای دیجیتالی خود، احراز هویت یکدیگر را انجام می‌دهند.
این دستگاه و سایر دستگاه‌ها با تأیید متقابل امضاهای دیجیتالی خود، احراز هویت یکدیگر را انجام می‌دهند.
* شما باید تنظیمات را پیکربندی کنید تا استفاده از SNTP فعال شود.
ESP/AH
پارامترهای پروتکل‌های ESP یا AH را برای ارتباط IPSec پیکربندی کنید. برای داشتن امنیت بیشتر، از محرمانگی کامل باز-ارسال (PFS) استفاده کنید.
پیکربندی کردن IPSec
استفاده از IPSec را فعال کنید و سپس خط‌مشی IPSec را ایجاد و ثبت کنید. اگر چندین سیاست ایجاد شده است، ترتیب اعمال آن‌ها را مشخص کنید. شما می‌توانید تا 10 خط‌مشی را ایجاد کنید.
این بخش نحوه پیکربندی تنظیمات با استفاده از Remote UI (واسطه کاربر از راه دور) از طریق رایانه را شرح می‌دهد.
در پنل کنترل، گزینه [
Settings/Register] را در صفحه [Home] انتخاب، و سپس برای پیکربندی تنظیمات، گزینه [Preferences] را انتخاب کنید. [IPSec Settings]
اختیارات دسترسی سرپرست یا سرپرست شبکه مورد نیاز است.
در پنل کنترل، گزینه [
Settings/Register] را در صفحه [Home] انتخاب، و سپس برای پیکربندی تنظیمات، گزینه [Preferences] را انتخاب کنید. [IPSec Settings]اختیارات دسترسی سرپرست یا سرپرست شبکه مورد نیاز است.
آماده‌سازی‌های لازم
دستگاه را به صورت مستقیم به رایانه‌ای که در همان شبکه خصوصی مجازی (VPN) قرار دارد، وصل کنید. شرایط عملیات را تأیید و از قبل تنظیمات را روی رایانه تکمیل کنید. IPSec
موارد زیر را مطابق با روش احراز هویت IKE آماده کنید:
هنگام استفاده از روش کلید از قبل اشتراک‌گذاری‌شده، TLS را برای ارتباط Remote UI (واسطه کاربر از راه دور) فعال کنید. استفاده از TLS
هنگام استفاده از روش امضای دیجیتال، کلید و گواهی مورد استفاده را آماده کرده و تنظیمات را برای فعال‌سازی استفاده از SNTP پیکربندی کنید.
هنگام استفاده از PFS، بررسی کنید که PFS رو دستگاه ارتباطی فعال شده باشد.
1
به‌عنوان سرپرست وارد سیستم Remote UI (واسطه کاربر از راه دور) شوید. راه‌اندازی Remote UI (واسطه کاربر از راه دور)
2
در صفحه درگاه Remote UI (واسطه کاربر از راه دور)، روی [Settings/Registration] کلیک کنید. صفحه درگاه Remote UI (واسطه کاربر از راه دور)
3
روی [Network Settings] کلیک کنید.
صفحه تنظیمات شبکه نمایش داده میشود.
4
روی [IPSec Settings] کلیک کنید.
صفحه [IPSec Settings] نمایش داده میشود.
5
کادر انتخاب [Use IPSec] را علامت بزنید.
برای اینکه تنها بسته‌هایی را که با خط‌مشی مطابقت دارند، دریافت کنید، گزینه [Reject] را در [Receive Non-Policy Packets] انتخاب کنید.
6
روی [OK] کلیک کنید.
صفحه تنظیمات شبکه مجدداً نمایش داده میشود.
7
روی [IPSec Policy List] کلیک کنید.
صفحه [IPSec Policy List] نمایش داده میشود.
8
روی [Register New IPSec Policy] کلیک کنید.
صفحه [Register Policy] نمایش داده میشود.
9
نام خط‌مشی را مشخص کنید و در [Policy On/Off]، گزینه [On] را انتخاب کنید.
در رابطه با نام خط‌مشی، با استفاده از نویسه‌های الفبایی عددی تک‌بایتی، نامی را برای شناسایی خط‌مشی وارد کنید.
10
طول کلید AES را در صورت نیاز محدود کنید.
برای محدود کردن طول کلید AES به 256 بیت، مانند وقتی که می‌خواهید استانداردهای احراز هویت CC را رعایت کنید، تیک [Only Allow 256-bit for AES Key Length] را انتخاب کنید.
* دستگاه‌های چندکاره Canon از دو طول کلید برای روش رمزنگاری AES پشتیبانی می‌کنند: 128 بیت و 256 بیت.
11
انتخابگر را تنظیم کنید.
1
روی [Selector Settings] کلیک کنید.
صفحه [Selector] نمایش داده میشود.
2
انتخابگر را تنظیم کنید.
[Local Address Settings] و [Remote Address Settings]
آدرس IP را که ارتباط IPSec باید بر روی آن اعمال شود، تنظیم کنید. آدرس IP دستگاه را در [Local Address Settings] و آدرس IP دستگاه طرف ارتباط را در [Remote Address Settings] مشخص کنید.
[All IP Addresses]
برای اعمال IPSec به همه بسته‌های IP، این گزینه را انتخاب کنید.
[IPv4 Address] یا [All IPv4 Addresses]
این را انتخاب کنید تا ارتباط IPSec را برای بسته‌های IP ارسال و دریافت‌شده با استفاده از یک آدرس IPv4 اعمال کنید.
[IPv6 Address] یا [All IPv6 Addresses]
این را انتخاب کنید تا ارتباط IPSec را بر بسته‌های IP ارسالی و دریافتی با استفاده از آدرس IPv6 اعمال کنید.
[IPv4 Manual Settings]
این را انتخاب کنید تا یک آدرس IPv4 را مشخص کنید که ارتباط IPSec بر روی آن اعمال شود. برای مشخص کردن آدرس IPv4 که تنظیمات باید برای آن اعمال شود، از هر یک از روش‌های زیر استفاده کنید.
هنگام مشخص کردن یک آدرس IPv4 واحد
گزینه [Single Address] را انتخاب کنید و آدرس IPv4 را در [First Address] وارد کنید.
گزینه [Single Address] را انتخاب کنید و آدرس IPv4 را در [First Address] وارد کنید.
هنگام مشخص کردن یک بازه آدرس‌های IPv4
گزینه [Range Address] را انتخاب کنید و آدرس IPv4 را در کادرهای [First Address] و [Last Address] وارد کنید.
گزینه [Range Address] را انتخاب کنید و آدرس IPv4 را در کادرهای [First Address] و [Last Address] وارد کنید.
هنگام مشخص کردن یک محدوده از آدرس‌های IPv4 با استفاده از ماسک شبکه فرعی
گزینه [Subnet Settings] را انتخاب کنید، آدرس IPv4 را در [First Address] وارد کنید و ماسک شبکه فرعی را در [Subnet Settings] وارد کنید.
گزینه [Subnet Settings] را انتخاب کنید، آدرس IPv4 را در [First Address] وارد کنید و ماسک شبکه فرعی را در [Subnet Settings] وارد کنید.
[IPv6 Manual Settings]
این را انتخاب کنید تا یک آدرس IPv6 را مشخص کنید که ارتباط IPSec بر روی آن اعمال شود. از هر یک از روش‌های زیر برای مشخص کردن نشانی IPv6 که تنظیمات باید روی آن اعمال شود، استفاده کنید.
هنگام مشخص کردن یک آدرس IPv6
[Single Address] را انتخاب کنید و آدرس IPv6 را در [First Address] وارد کنید.
[Single Address] را انتخاب کنید و آدرس IPv6 را در [First Address] وارد کنید.
هنگام مشخص کردن یک بازه آدرس‌های IPv6
گزینه [Range Address] را انتخاب کنید و آدرس IPv6 را در کادرهای [First Address] و [Last Address] وارد کنید.
گزینه [Range Address] را انتخاب کنید و آدرس IPv6 را در کادرهای [First Address] و [Last Address] وارد کنید.
هنگام مشخص کردن یک محدوده از آدرس‌های IPv6 با استفاده از یک پیشوند
گزینه [Prefix Address] را انتخاب کنید، آدرس IPv6 را در [First Address] وارد کنید و طول پیشوند را در [Prefix Length] وارد کنید.
گزینه [Prefix Address] را انتخاب کنید، آدرس IPv6 را در [First Address] وارد کنید و طول پیشوند را در [Prefix Length] وارد کنید.
[Port Settings]
درگاه‌هایی را که ارتباط IPSec باید بر روی آن‌ها اعمال شود، تنظیم کنید.
[Specify by Port Number]
برای استفاده از شماره‌های درگاه هنگام مشخص کردن درگاه‌هایی که ارتباط IPSec بر آن‌ها اعمال میشود، این گزینه را انتخاب کنید. شماره درگاه دستگاه را در [Local Port] و شماره درگاه طرف ارتباط را در [Remote Port] مشخص کنید.
برای اعمال ارتباط IPSec به تمام شماره‌های درگاه، گزینه [All Ports] را انتخاب کنید.
برای اعمال ارتباط IPSec به یک شماره درگاه خاص، [Single Port] را فشار دهید و شماره درگاه را وارد کنید.
[Specify by Service Name]
برای استفاده از نام‌های سرویس هنگام مشخص کردن درگاه‌هایی که ارتباط IPSec بر آن‌ها اعمال میشود، این گزینه را انتخاب کنید. کادرهای چک سرویس‌هایی را که می‌خواهید ارتباط IPSec را برای آن‌ها اعمال کنید، انتخاب کنید.
3
روی [OK] کلیک کنید.
صفحه [Register Policy] نمایش داده میشود.
12
تنظیمات IKE را پیکربندی کنید.
1
روی [IKE Settings] کلیک کنید.
صفحه [IKE] نمایش داده میشود.
2
تنظیمات IKE را پیکربندی کنید.
[IKE Mode]
حالت عملیات را برای پروتکل تبادل کلید انتخاب کنید. وقتی [Main] انتخاب میشود، امنیت افزایش می‌یابد زیرا خود جلسه IKE رمزنگاری میشود، اما ارتباط کندتر از [Aggressive] است که رمزنگاری را انجام نمی‌دهد.
[Validity]
مدت معتبر IKE SA (ISAKMP SA) را وارد کنید، تا در مسیر ارتباط کنترل برحسب دقیقه استفاده شود.
[Authentication Method]
روش احراز هویت دستگاه را انتخاب کنید.
اگر [Pre-Shared Key Method] را انتخاب کردید، روی [Shared Key Settings] 
کلیک کنید، رشته نویسه مورد استفاده برای کلید مشترک را با استفاده از نویسه‌های الفبایی عددی تک‌بایتی وارد کنید روی [OK] کلیک کنید.
کلیک کنید، رشته نویسه مورد استفاده برای کلید مشترک را با استفاده از نویسه‌های الفبایی عددی تک‌بایتی وارد کنید روی [OK] کلیک کنید.اگر [Digital Signature Method] را انتخاب کنید، روی [Key and Certificate] [Use] کلید و گواهی مورد استفاده کلیک کنید.
[Use] کلید و گواهی مورد استفاده کلیک کنید.[Authentication/Encryption Algorithm]
الگوریتم احراز هویت و رمزنگاری را برای فاز اول IKE پیکربندی کنید.
برای تنظیم خودکار الگوریتمی که هم توسط این دستگاه و هم توسط دستگاه مقابل قابل استفاده باشد، [Auto] را انتخاب کنید.
برای مشخص کردن یک الگوریتم خاص، [Manual Settings] را انتخاب کرده و تنظیمات [Authentication]، [Encryption] و [DH Group] را پیکربندی کنید.
[Authentication]: الگوریتم هش را انتخاب کنید.
[Encryption]: الگوریتم رمزنگاری را انتخاب کنید.
[DH Group]: گروه دیفی-هلمن مورد استفاده برای تعیین قدرت کلید را انتخاب کنید.
|
وقتی [IKE Mode] روی [Main] و [Authentication Method] روی [Pre-Shared Key Method] تنظیم شده است
اگر در [Remote Address Settings] در تنظیمات انتخابگر بیش از یک آدرس مشخص کنید، هنگام ایجاد چندین سیاست، محدودیت‌های زیر اعمال می‌شوند:
برای سیاست‌هایی که بیش از یک آدرس مشخص شده باشد، تمام کلیدهای مشترک باید روی یک رشته یکسان تنظیم شوند.
سیاست‌هایی که بیش از یک آدرس مشخص دارند، نمی‌توانند اولویت بالاتری نسبت به سیاست‌هایی که تنها یک آدرس مشخص دارند، داشته باشند.
|
3
روی [OK] کلیک کنید.
صفحه [Register Policy] دوباره نمایش داده میشود.
13
تنظیمات شبکه IPSec را پیکربندی کنید.
1
روی [IPSec Network Settings] کلیک کنید.
صفحه [IPSec Network] نمایش داده میشود.
2
تنظیمات شبکه IPSec را پیکربندی کنید.
[Validity]
مدت معتبر IPSec SA را مشخص کنید تا به‌عنوان مسیر ارتباط داده براساس زمان، اندازه یا هر دو، استفاده شود.
اگر کادر انتخاب [Time] علامت زده شده است، مدت زمانی معتبر را برحسب دقیقه وارد کنید.
اگر کادر انتخاب [Size] علامت زده شده است، بازه معتبر را برحسب مگابایت وارد کنید.
اگر هر دو را انتخاب کنید، موردی که مقدار آن زودتر حاصل شود، اعمال خواهد شد.
[PFS]
جهت پیکربندی PFS برای کلید جلسه، این کادر انتخاب را علامت بزنید.
[Authentication/Encryption Algorithm]
الگوریتم احراز هویت و رمزنگاری را برای فاز دوم IKE تنظیم کنید.
برای تنظیم خودکار الگوریتم احراز هویت و رمزنگاری ESP، [Auto] را انتخاب کنید.
برای مشخص کردن روش احراز هویت، گزینه [Manual Settings] را فشار دهید و یکی از روش‌های احراز هویت زیر را انتخاب کنید.
[ESP]:
هم احراز هویت و هم رمزنگاری انجام می‌شوند.
الگوریتم را در [ESP Authentication] و [ESP Encryption] انتخاب کنید. در صورتی که نمی‌خواهید الگوریتم تنظیم کنید، گزینه [NULL] را انتخاب کنید.
هم احراز هویت و هم رمزنگاری انجام می‌شوند.
الگوریتم را در [ESP Authentication] و [ESP Encryption] انتخاب کنید. در صورتی که نمی‌خواهید الگوریتم تنظیم کنید، گزینه [NULL] را انتخاب کنید.
[ESP (AES-GCM)]:
احراز هویت و رمزنگاری هر دو انجام می‌شوند.
از AES-GCM به‌عنوان الگوریتم استفاده میشود.
احراز هویت و رمزنگاری هر دو انجام می‌شوند.
از AES-GCM به‌عنوان الگوریتم استفاده میشود.
[AH (SHA1)]:
احراز هویت انجام میشود، اما داده‌ها رمزنگاری نمی‌شوند.
از SHA1 به‌عنوان الگوریتم استفاده میشود.
احراز هویت انجام میشود، اما داده‌ها رمزنگاری نمی‌شوند.
از SHA1 به‌عنوان الگوریتم استفاده میشود.
[Connection Mode]
این دستگاه فقط از حالت انتقال پشتیبانی می‌کند.
3
روی [OK] کلیک کنید.
صفحه [Register Policy] دوباره نمایش داده میشود.
14
روی [OK] کلیک کنید.
خط‌مشی ایجاد شده به صفحه [IPSec Policy List] افزوده میشود.
وقتی چندین خط‌مشی ثبت می‌شوند
یک خط‌مشی را انتخاب کنید و برای تغییر ترتیب اولویت، روی [Raise Priority] یا [Lower Priority] کلیک کنید. خط‌مشی‌های سطح بالاتر، دارای اولویت بیشتری برای اعمال بر ارتباط IPSec هستند.
15
روی [Apply Setting Changes] [OK] کلیک کنید.
[OK] کلیک کنید.تنظیمات اعمال می‌شوند.
16
از Remote UI (واسطه کاربر از راه دور) خارج شوید.
نکته
ویرایش سیاست‌های ثبت شده
برای ویرایش اطلاعات ثبت‌شده، در صفحه [IPSec Policy List] روی نام خط‌مشی که مایل به ویرایش آن هستید، کلیک کنید.