NetdefendOS_2.27.01_Firewall_User_Manual_RUS

• Установите remote_gw для Remote Endpoint.
• Установите Tunnel для Encapsulation mode.
• Для Authentication выберите объект Pre-shared Key (Общий ключ), определенный выше в
шаге (1).
В последующих шагах объект IPsec Tunnel обрабатывается так же, как любой объект Interface
NetDefendOS.
5. Укажите два IP-правила в наборе IP-правил для туннеля:
• Правило Allow для исходящего трафика, у которого есть предварительно определенный объект
ipsec_tunnel в качестве Destination Interface. Сеть назначения (Destination Network) правила – это
удаленная сеть remote_net.
• Правило Allow для входящего трафика, у которого есть предварительно определенный объект
ipsec_tunnel в качестве Source Interface. Сеть источника (Source Network) – это удаленная сеть
remote_net.
Действие Интерфейс
источника
Сеть источника Интерфейс
назначения
Сеть
назначения
Сервис
Allow lan lannet ipsec_tunnel remote_net All
Действие Интерфейс
источника
Сеть источника
Интерфейс
назначения
Сеть
назначения
Сервис
Allow ipsec_tunnel remote_net lan lannet All
В данных правилах используется сервис All, однако это может быть предварительно определенный
сервис.
6. Укажите новый Маршрут (Route) NetDefendOS, который определяет, что VPN туннель
ipsec_tunnel – это Интерфейс, используемый для ограничения маршрутизации пакетов для
удаленной сети на другом конце туннеля.
Интерфейс Сеть Шлюз
ipsec_tunnel remote_net
9.2.2. Создание IPsec-туннелей LAN to LAN с
использованием сертификатов
Как правило, безопасность LAN to LAN обеспечивается за счет общих ключей, но иногда вместо них
необходимо использовать сертификаты X.509. В таких случаях используются сертификаты,
выданные центром сертификатов (Certificate Authority, CA), взятые с внутреннего сервера CA или
предоставленные коммерческим поставщиком сертификатов.
Создание туннеля LAN to LAN с использованием сертификатов выполняется с помощью тех же
шагов, что и в предыдущем разделе, описывающем использование общего ключа. Различие
заключается в том, что в данном случае для аутентификации общие ключи заменены на
сертификаты.
Для аутентификации туннеля LAN to LAN требуются два сертификата, выданных CA (два для
каждой конечной точки, корневой сертификат и сертификат для шлюза).
Для установки выполняются следующие шаги:
1. Откройте Web-интерфейс управления межсетевого экрана NetDefend в одной точке туннеля.
2. В Authentication Objects (Объекты аутентификации) добавьте Root Certificate и Host Certificate.
Для корневого сертификата добавляются два компонента: файл сертификата и файл приватного
ключа. Для сертификата шлюза требуется добавить только файл сертификата.
372