NetdefendOS_2.27.01_Firewall_User_Manual_RUS

• Нельзя предварительно указать маршруты, поэтому для объекта туннеля необходимо включить
опцию Динамически добавить маршрут в удаленную сеть после установки туннеля
(Dynamically add route to the remote network when tunnel established). Если all-nets – это сеть
назначения, необходимо отключить опцию Добавить маршрут в удаленную сеть (Add route for
remote network).
Примечание
Нет необходимости включать опцию динамического добавления
маршрутов в сценарии установки туннеля LAN to LAN.
• Включите опцию Require IKE XAuth user authentication for inbound IPsec tunnels. При этом
выполняется поиск соответствия правилу XAUTH в правилах аутентификации.
3. Набор IP-правил должен содержать одно правило:
Действие Интерфейс
источника
Сеть источника
Интерфейс
назначения
Сеть
назначения
Сервис
Allow ipsec_tunnel all-nets lan lannet All
Так как правило Allow разрешает установку соединения, разрешен двунаправленный поток трафика,
поэтому в данном случае используется только одно правило. Вместо all-nets, используемого выше,
может использоваться более защищенный IP-объект, который указывает точный диапазон
предварительно назначенных IP-адресов.
Б. IP-адреса выдаются системой NetDefendOS
Если IP-адреса клиента неизвестны, то они могут быть назначены системой NetDefendOS. Для этого
необходимо выполнить следующее:
1. Если в качестве пула доступных адресов используется определенный диапазон IP-адресов, то:
• Создайте объект Config Mode Pool (только один, связанный с установкой NetDefendOS) и
укажите диапазон адресов.
• Включите опцию IKE Config Mode в объекте IPsec Tunnel – ipsec_tunnel.
2. Если IP-адреса клиента получены через DHCP:
• Создайте объект IP Pool и укажите используемый DHCP-сервер. DHCP-сервер может быть
указан в виде IP-адреса или, в качестве альтернативы, быть доступным на определенном
интерфейсе. Если используется внутренний DHCP-сервер, то укажите адрес loopback 127.0.0.1 в
качестве IP-адреса DHCP-сервера.
• Создайте объект Config Mode Pool (только один, связанный с установкой NetDefendOS) и
свяжите его с объектом IP Pool, указанным в предыдущем шаге.
• Включите опцию IKE Config Mode в объекте IPsec Tunnel – ipsec_tunnel.
Настройка IPsec-клиентов
Оба варианта (A) и (Б), представленные выше, требуют корректной настройки IPsec-клиента. Для
настройки клиента требуется следующее (также как и в случае с использованием общих ключей):
• Укажите URL или IP-адрес межсетевого экрана NetDefend. Клиенту необходимо определить
местоположение конечной точки туннеля.
• Укажите общий ключ, используемый для IPsec security.
• Укажите поддерживаемые системой NetDefendOS алгоритмы IPsec, которые будут
использоваться в дальнейшем.
• Укажите, будет ли использовать клиент режим настройки.
Существует множество различных ПО IPsec, доступных у поставщиков, и данное руководство
375