Настройка параметров IPSec
IPSec или IPsec — это протокол, который подходит для кодирования данных, передающихся по сети, в том числе и Интернету. В то время как TLS шифрует только данные определенного приложения, например веб-браузера или почтовой программы, IPSec шифрует либо все IP-пакеты, либо рабочие нагрузки IP-пакетов, обеспечивая более универсальную систему безопасности. Функция IPSec аппарата работает в режиме передачи, при котором кодируется полезная часть IP-пакета. Благодаря этой функции аппарат можно подключить напрямую к компьютеру, который находится в той же виртуальной частной сети (VPN). Перед настройкой аппарата проверьте системные требования (Функции управления) и настройте необходимые параметры на компьютере.
|
|
Использование IPSec с фильтрацией IP-адресовСначала применяются параметры фильтрации IP-адресов, затем — политики IPSec. Указание IP-адресов для параметров брандмауэра
|
Настройка параметров IPSec
Перед использованием IPSec для передачи зашифрованных данных необходимо зарегистрировать концепции безопасности (SP). Политика безопасности включает группы параметров, описанных ниже. После регистрации политик укажите порядок их применения.
Селектор
Селектор определяет условия применения IPSec для передачи IP-пакетов. Эти условия включают IP-адреса и номера портов аппарата и устройства, между которыми будет происходить обмен данными.
Протокол IKE
IKE настраивает IKEv1, который используется для протокола распределения ключей. Помните, что инструкции зависят от выбранного метода аутентификации.
[Способ защищенного общего ключа]
В этом способе аутентификации для связи между аппаратом и другими устройствами используется общее ключевое слово, которое называется «Общий ключ». Включение TLS для Удаленного ИП до указания этого метода аутентификации (Настройка ключа и сертификата для TLS).
В этом способе аутентификации для связи между аппаратом и другими устройствами используется общее ключевое слово, которое называется «Общий ключ». Включение TLS для Удаленного ИП до указания этого метода аутентификации (Настройка ключа и сертификата для TLS).
[Способ цифровой подписи]
Данный аппарат, а также другие подобные устройства, опознают друг друга путем выполнения операции взаимного подтверждения своих цифровых подписей. Заблаговременно создайте или установите ключ и сертификат (Регистрация ключа и сертификата для связи с сетью).
Данный аппарат, а также другие подобные устройства, опознают друг друга путем выполнения операции взаимного подтверждения своих цифровых подписей. Заблаговременно создайте или установите ключ и сертификат (Регистрация ключа и сертификата для связи с сетью).
AH/ESP
Укажите параметры заголовка AH/ESP, который добавляется к пакету во время передачи IPSec. AH и ESP могут использоваться в одно и то же время. Можно также включить PFS для повышения безопасности.
|
|
|
Дополнительные сведения о базовых операциях, которые требуется выполнить при настройке аппарата из Удаленного ИП, см. в разделе Настройка параметров меню с помощью Удаленного ИП.
|
1
Запустите Удаленный ИП и войдите в систему в режиме администратора системы. Запуск Удаленному ИП
2
На странице портала нажмите кнопку [Настройки/Регистрация]. Экран Удаленного ИП
3
Выберите [Настройки сети] 
[Параметры IPSec].
[Параметры IPSec].4
Нажмите [Изменить].
5
Установите флажок [Использовать IPSec] и нажмите [ОК].
Если требуется, чтобы аппарат принимал только те пакеты, которые соответствуют условиям одной из политик безопасности, определенных вами в предыдущих шагах, снимите флажок [Прием пакетов вне политики].
6
Нажмите [Регистрировать новую политику].
7
Укажите параметры политики.
|
1
|
В текстовом поле [Имя политики] введите алфавитно-цифровые символы имени для идентификации политики.
|
|
2
|
Установите флажок [Включить политику].
|
8
Укажите параметры селектора.
[Локальный адрес]
Чтобы применить политику, нажмите переключатель рядом с типом IP-адреса аппарата.
Чтобы применить политику, нажмите переключатель рядом с типом IP-адреса аппарата.
|
[Все IP-адреса]
|
Использование IPSec для всех IP-пакетов.
|
|
[IPv4-адрес]
|
Включите использование IPSec для всех IP-пакетов, которые отправляются с аппарата на IPv4-адрес или поступают в него с этого адреса.
|
|
[IPv6-адрес]
|
Включите использование IPSec для всех IP-пакетов, которые отправляются с аппарата на IPv6-адрес или поступают в него с этого адреса.
|
[Удаленный адрес]
Чтобы применить политику, нажмите переключатель рядом с типом IP-адреса других устройств.
Чтобы применить политику, нажмите переключатель рядом с типом IP-адреса других устройств.
|
[Все IP-адреса]
|
Использование IPSec для всех IP-пакетов.
|
|
[Все IPv4-адреса]
|
Включите использование IPSec для всех IP-пакетов, которые отправляются с IPv4-адресов других устройств или поступают в них.
|
|
[Все IPv6-адреса]
|
Включите использование IPSec для всех IP-пакетов, которые отправляются с IPv6-адресов других устройств или поступают в них.
|
|
[Параметры IPv4, устанавливаемые вручную]
|
Выберите, чтобы указать один адрес IPv4 или диапазон адресов IPv4, к которым будет применяться IPSec. Введите адрес IPv4 (или диапазон адресов) в поле [Адреса для установки вручную].
|
|
[Параметры IPv6, устанавливаемые вручную]
|
Выберите, чтобы указать один адрес IPv6 или диапазон адресов IPv6, к которым будет применяться IPSec. Введите адрес IPv6 (или диапазон адресов) в текстовом поле [Адреса для установки вручную].
|
[Адреса для установки вручную]
Если для параметра [Удаленный адрес] выбран вариант [Параметры IPv4, устанавливаемые вручную] или [Параметры IPv6, устанавливаемые вручную], для применения политики введите IP-адрес. Можно также ввести диапазон адресов, разделив адреса дефисом.
Если для параметра [Удаленный адрес] выбран вариант [Параметры IPv4, устанавливаемые вручную] или [Параметры IPv6, устанавливаемые вручную], для применения политики введите IP-адрес. Можно также ввести диапазон адресов, разделив адреса дефисом.
Ввод IP-адресов
|
Описание
|
Пример
|
|
|
Ввод одного адреса
|
IPv4:
цифры разделяются точками. |
192.168.0.10
|
|
IPv6:
алфавитно-цифровые символы разделяются двоеточием. |
fe80::10
|
|
|
Ввод диапазона адресов
|
Адреса разделяются дефисом.
|
192.168.0.10-192.168.0.20
|
[Параметры подсети]
Указывая адрес IPv4 вручную, можно указать диапазон с помощью маски подсети. Укажите маску подсети, разделяя цифры точками (например: 255.255.255.240).
Указывая адрес IPv4 вручную, можно указать диапазон с помощью маски подсети. Укажите маску подсети, разделяя цифры точками (например: 255.255.255.240).
[Длина префикса]
При указании диапазонов адресов IPv6 вручную также можно указывать диапазон с префиксами. Задайте диапазон от 0 до 128 в качестве длины префикса.
При указании диапазонов адресов IPv6 вручную также можно указывать диапазон с префиксами. Задайте диапазон от 0 до 128 в качестве длины префикса.
[Локальный порт]/[Удаленный порт]
При необходимости создать отдельную политику для каждого протокола, например HTTP или WSD, введите номер соответствующего порта для протокола, чтобы указать, нужно ли использовать IPSec.
При необходимости создать отдельную политику для каждого протокола, например HTTP или WSD, введите номер соответствующего порта для протокола, чтобы указать, нужно ли использовать IPSec.
Действие пакета протоколов IPSec не распространяется на следующие пакеты
Возвратные, многоадресные и широковещательные пакеты
Пакеты IKE (при использовании UDP на порте 500)
Пакеты ICMPv6, такие как запрос к соседу и ответ (предложение) соседа
9
Укажите настройки IKE.
[Режим IKE]
Отображается режима, использующийся для протокола распределения ключей. Аппарат поддерживает основной режим, а не активный.
Отображается режима, использующийся для протокола распределения ключей. Аппарат поддерживает основной режим, а не активный.
[Способ аутентификации]
Выберите [Способ защищенного общего ключа] или [Способ цифровой подписи] в качестве метода аутентификации аппарата. Необходимо включить TLS для Удаленного ИП, прежде чем выбирать [Способ защищенного общего ключа]. Перед выбором параметра [Способ цифровой подписи] необходимо сгенерировать или установить ключ и сертификат. Настройка ключа и сертификата для TLS
Выберите [Способ защищенного общего ключа] или [Способ цифровой подписи] в качестве метода аутентификации аппарата. Необходимо включить TLS для Удаленного ИП, прежде чем выбирать [Способ защищенного общего ключа]. Перед выбором параметра [Способ цифровой подписи] необходимо сгенерировать или установить ключ и сертификат. Настройка ключа и сертификата для TLS
[Действует]
Укажите длительность сессии для IKE SA (ISAKMP SA). Введите время в минутах.
Укажите длительность сессии для IKE SA (ISAKMP SA). Введите время в минутах.
[Аутентификация]/[Шифрование]/[Группа DH]
Выберите алгоритм из раскрывающегося списка. В распределении ключей используются все алгоритмы.
Выберите алгоритм из раскрывающегося списка. В распределении ключей используются все алгоритмы.
|
[Аутентификация]
|
Выберите алгоритм хеширования.
|
|
[Шифрование]
|
Выберите алгоритм шифрования.
|
|
[Группа DH]
|
Выберите группу кодирования по Диффи — Хеллману; номер группы определяет длину ключа.
|
Аутентификация аппарата с помощью предварительного ключа
|
1
|
Нажмите переключатель [Способ защищенного общего ключа] в пункте [Способ аутентификации], затем нажмите кнопку [Параметры общего ключа].
|
|
2
|
Введите алфавитно-цифровые символы для предварительного ключа и щелкните [ОК].
|
|
3
|
Укажите настройки параметров [Действует] и [Аутентификация]/[Шифрование]/[Группа DH].
|
Аутентификация аппарата с использованием способа цифровой подписи
|
1
|
Нажмите переключатель [Способ цифровой подписи] в пункте [Способ аутентификации], затем нажмите кнопку [Ключ и сертификат].
|
|
2
|
Щелкните [Зарегистрировать ключ по умолчанию] справа от ключа и сертификата, которые вы хотите использовать.
Просмотр сведений о сертификате
Можно проверить информацию сертификате или подтвердить сертификат, щелкнув соответствующую текстовую ссылку под кнопкой [Имя ключа] или нажав значок сертификата.
|
|
3
|
Укажите настройки параметров [Действует] и [Аутентификация]/[Шифрование]/[Группа DH].
|
10
Укажите параметры сети IPSec.
[Использовать PFS]
Установите этот флажок для включения режима совершенной прямой секретности (PFS) для ключей сеансов IPSec. Режим PFS повышает безопасность, но в то же время увеличивает нагрузку на соединение. Убедитесь, что функция PFS включена и на других устройствах.
Установите этот флажок для включения режима совершенной прямой секретности (PFS) для ключей сеансов IPSec. Режим PFS повышает безопасность, но в то же время увеличивает нагрузку на соединение. Убедитесь, что функция PFS включена и на других устройствах.
[Указать по времени]/[Указать по размеру]
Задайте условия прекращения сессии IPSec SA. Соединение IPSec SA используется в качестве туннеля связи. При необходимости установите один или оба флажка. Если флажки установлены, сессия IPSec SA прекращается при выполнении любого из условий.
Задайте условия прекращения сессии IPSec SA. Соединение IPSec SA используется в качестве туннеля связи. При необходимости установите один или оба флажка. Если флажки установлены, сессия IPSec SA прекращается при выполнении любого из условий.
|
[Указать по времени]
|
Введите продолжительность сессии в минутах.
|
|
[Указать по размеру]
|
Укажите максимальный объем данных для передачи во время сессии в мегабайтах.
|
[Выбор алгоритма]
Установите флажок [ESP], [ESP (AES-GCM)] или [AH (SHA1)] в зависимости от заголовка IPSec и используемого алгоритма. Алгоритм AES-GCM подходит как для аутентификации, так и для кодирования. Если выбран вариант [ESP], выберите также алгоритмы аутентификации и кодирования из раскрывающихся списков [Аутентификация ESP] и [Шифрование ESP].
Установите флажок [ESP], [ESP (AES-GCM)] или [AH (SHA1)] в зависимости от заголовка IPSec и используемого алгоритма. Алгоритм AES-GCM подходит как для аутентификации, так и для кодирования. Если выбран вариант [ESP], выберите также алгоритмы аутентификации и кодирования из раскрывающихся списков [Аутентификация ESP] и [Шифрование ESP].
|
[Аутентификация ESP]
|
Для включения аутентификации ESP выберите [SHA1] в качестве хэш-алгоритма. Выберите [Не использовать] для отключения аутентификации ESP.
|
|
[Шифрование ESP]
|
Выберите алгоритм кодирования ESP. Выберите [NULL], чтобы не указывать алгоритм, или [Не использовать], чтобы отключить кодирование ESP.
|
[Режим соединения]
Отображается режим с установлением соединения IPSec. Аппарат поддерживает режим передачи, при котором кодируется полезная часть IP-пакета. Туннельный режим, при котором происходит инкапсуляция всего IP-пакета (заголовок и полезная часть), недоступен.
Отображается режим с установлением соединения IPSec. Аппарат поддерживает режим передачи, при котором кодируется полезная часть IP-пакета. Туннельный режим, при котором происходит инкапсуляция всего IP-пакета (заголовок и полезная часть), недоступен.
11
Нажмите [ОК].
При необходимости зарегистрировать дополнительную политику безопасности, вернитесь к шагу 6.
12
Задайте порядок применения политик в списке [Зарегистрированные политики IPSec].
Политики применяются в порядке от верхней к нижней. Нажимайте [Вверх] или [Вниз], чтобы переместить политику вверх или вниз по списку.
Редактирование политики
Перейдите по соответствующей ссылке в разделе [Имя политики], чтобы открыть окно редактирования.
Удаление политики
Нажмите кнопку [Удалить] справа от имени политики, которую требуется удалить нажмите [ОК].
нажмите [ОК].13
Перезапустите аппарат.
Выключите аппарат и подождите как минимум 10 секунд, прежде чем включить его снова.
|
|
Использование панели управленияМожно также включить или отключить функцию передачи данных IPSec в <Меню> на экране Главный. <Использовать IPSec>
|