NetdefendOS_2.27.01_Firewall_User_Manual_RUS

пользователя не сконцентрировано на определенном ПО. Сетевой администратор должен
использовать клиента, наиболее выгодного экономически и удовлетворяющего потребности.
9.2.4. Подключение удаленных клиентов к IPsecтуннелю
с использованием сертификатов
Если при работе с удаленными IPsec-клиентами вместо общих ключей используются сертификаты,
то в таком случае нет необходимости использовать объект Pre-shared Key, и различия в настройке
будут следующими:
1. Загрузите Корневой сертификат и Сертификат шлюза в NetDefendOS. Необходимо загрузить два
компонента корневого сертификата: файл сертификата и файл приватного ключа. Для сертификата
шлюза необходимо добавить только файл сертификата.
2. При настройке объекта IPsec Tunnel определите сертификаты для использования в Authentication.
Для этого выполните следующее:
а. Включите опцию X.509 Certificate.
б. Выберите Gateway Certificate (Сертификат шлюза).
в. Добавьте Root Certificate (Корневой сертификат).
3. Необходимо корректно настроить программное обеспечение IPsec с использованием сертификатов
и удаленных IP-адресов. Как указано выше, программное обеспечение доступно у поставщиков и в
данном руководстве не обсуждается какой-либо определенный клиент.
Шаг по настройке аутентификации пользователя является опциональным, так как представляет собой
дополнительный уровень безопасности сертификатов.
Примечание: Системные дата и время должны быть
корректно установлены
Следует установить корректное время и дату в NetDefendOS, так как у
сертификатов ограниченный срок действия.
Также необходимо просмотреть Раздел 9.6, «Доступ к серверу CA», в котором описывается проверка
подлинности сертификатов.
9.2.5. Подключение клиентов к L2TP-туннелю с
использованием общих ключей
L2TP, встроенный в Microsoft Windows, популярен среди VPN-клиентов удаленного доступа. Как
правило, L2TP инкапсулируется в IPsec, обеспечивая шифрование при работе IPsec в режиме
transport mode вместо tunnel mode. Для настройки L2TP over IPsec необходимы следующие шаги:
1. Создайте IP-объект (назовем его l2tp_pool), с указанием диапазона назначаемых клиенту IPадресов.
Диапазон может быть двух типов:
• Диапазон взят из внутренней сети, к которой подключены клиенты. Если диапазон внутренней
сети – 192.168.0.0/24, то можно использовать адреса в диапазоне 192.168.0.10 – 192.168.0.20.
Опасность заключается в случайном использовании IP-адреса во внутренней сети и его назначении
клиенту.
• Используйте новый диапазон адресов, полностью отличающийся от диапазона любой
внутренней сети, чтобы исключить возможность использования адреса во внутренней сети.
2. Укажите два других IP-объекта:
• ip_ext – внешний публичный IP-адрес для подключения клиентов (предположим, что это IPадрес
интерфейса ext).
• ip_int – внутренний IP-адрес интерфейса для подключения внутренней сети (назовем этот
интерфейс int).
376