NetdefendOS_2.27.01_Firewall_User_Manual_RUS

определяя набор безопасных ассоциаций (Security Associations, SA) для каждого соединения.
Ассоциации SA являются однонаправленными, поэтому, как правило, для каждого IPsec-соединения
существует как минимум две ассоциации.
Вторая часть – передача IP-данных с помощью методов шифрования и аутентификации,
утвержденных в согласовании IKE. Выполняется с помощью нескольких методов; с использованием
IPsec-протоколов ESP, AH или комбинации из двух протоколов.
Поток событий состоит из следующих стадий:
• IKE согласовывает способ защиты IKE
• IKE согласовывает способ защиты IPsec
• IPsec отправляет данные в VPN
В следующих разделах представлено подробное описание каждой из данных стадий.
9.3.2. Протокол IKE (Internet Key Exchange)
Данный раздел описывает протокол IKE (Internet Key Exchange), а также используемые параметры.
Данные передаются напрямую, единственное, что требуется – алгоритмы шифрования и
аутентификации, а также ключи. Протокол IKE (Internet Key Exchange), используемый в качестве
метода распределения «ключей сессии», также предоставляет конечным точкам VPN возможность
согласовать способ защиты данных.
У протокола IKE три основные задачи:
• Предоставить конечным точкам средства, позволяющие им аутентифицировать друг друга.
• Установить новые IPsec-соединения (создать пары SA)
• Управлять существующими соединениями
Безопасные ассоциации (SA)
Протокол IKE отслеживает соединения, назначая набор безопасных ассоциаций (SA) для каждого
соединения. SA описывает все параметры, связанные с определенным соединением, например,
используемый IPsec-протокол (ESP/AH/оба), а также ключи сессии, используемых для
шифрования/дешифрования и/или аутентификации/проверки передаваемых данных.
Безопасная ассоциация SA является однонаправленной и используется для потока трафика, идущего
только в одном направлении. Поэтому для двунаправленного трафика, характерного для VPN,
требуется более одной безопасной ассоциации на соединение. В большинстве случаев, при
использовании одного ESP или AH, для каждого соединения создаются две SA, одна описывает
входящий трафик, а другая – исходящий. В случае, когда используются ESP и AH, будет создано
четыре ассоциации SA.
Согласование IKE
Процесс согласования параметров сессии состоит из определенного количества фаз и режимов.
Подробная информация представлена в разделах ниже.
Поток событий суммируется следующим образом:
IKE Phase-1 • Согласование защиты IKE
IKE Phase-2 • Согласование защиты IPsec
Срок действия IKE и IPsec
• Получение новых ключей сессии при обмене ключами в фазе-1,
используемых в аутентификации и шифровании потока VPN-данных.
380