NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Оба соединения IKE и IPsec имеют ограниченный срок действия, измеряемый в единицах времени
(секунды) и объема данных (килобайты). Данный срок действия предотвращает длительное
использование соединения, что является выгодным с точки зрения криптоанализа.
Срок действия IPsec должен быть короче, чем срок действия IKE. Разница во времени между двумя
сроками действия должна быть, как минимум, 5 минут. Это позволяет IPsec-соединению повторно
получить ключ, благодаря выполнению другой фазы согласования – фазы-2. Нет необходимости
выполнять согласование другой фазы-1 пока не истечет срок действия IKE.
IKE Algorithm Proposals
Список предложенных IKE алгоритмов предоставляет различные способы защиты потока данных с
помощью IPsec. VPN-устройство, инициирующее IPsec-соединение, отправляет список
поддерживаемых комбинаций алгоритмов, обеспечивающих защиту соединения, устройству в
противоположной точке соединения, чтобы выяснить, какой из алгоритмов является подходящим.
Отвечающее VPN-устройство, получившее список поддерживаемых алгоритмов, выбирает
комбинацию алгоритмов, наиболее подходящую политикам безопасности, и отправляет ответ с
указанием выбранного алгоритма. Если подходящий алгоритм не найден, устройство отправляет
ответ, сообщая, что в списке нет подходящего алгоритма, и, возможно, также предоставляет
текстовое объяснение в целях диагностики.
Это согласование, осуществляемое при поиске взаимовыгодного алгоритма, выполняется не только
для обнаружения наилучшего способа защиты IPsec-соединения, но также в целях обеспечения
безопасности самого согласования IKE.
Список предлагаемых алгоритмов содержит не только подходящие комбинации алгоритмов для
шифрования и аутентификации данных, но также другие параметры, связанные с IKE. Подробная
информация о согласовании IKE и других параметрах IKE представлена далее.
IKE Phase-1 - IKE Security Negotiation
Согласование IKE состоит из двух фаз. Фаза 1 используется для взаимной аутентификации двух
межсетевых экранов VPN или VPN-клиентов, подтверждая, что у удаленного устройства
соответствующий общий ключ.
Защита согласования IKE выполняется, как описывается в предыдущем разделе, когда инициатор
отправляет список предложений отвечающему устройству. После отправки и получения списка,
попытаемся аутентифицировать противоположную точку VPN-соединения. Техника, известная как
Алгоритм обмена ключами Диффи-Хеллмана позволяет двум узлам получить совместно
используемый ключ и ключи для шифрования.
Аутентификация выполняется с помощью общих ключей, сертификатов или публичных ключей,
используемых для шифрования. На данный момент применение общих ключей – это наиболее
широко используемый метод аутентификации. NetDefendOS VPN-модуль поддерживает PSK и
сертификаты.
IKE Phase-2 - IPsec Security Negotiation
В фазе 2 выполняется другое согласование с детализацией параметров для IPsec-соединения.
Во время фазы 2 также будут получены новые ключи в результате обмена Диффи-Хеллмана,
используемые для защиты потока данных VPN.
Если используется PFS (Perfect Forwarding Secrecy), для каждого согласования фазы 2 выполняется
новый обмен Диффи-Хеллмана. Поскольку это согласование требует больше времени, оно
гарантирует, что никакие ключи не будут зависеть от любых ранее использованных ключей; никакие
ключи не будут извлекаться из начального ключа. Это сделано для того, чтобы в случае
рассекречивания некоторых ключей, не создавались зависимые ключи.
После завершения фазы 2 VPN-соединение установлено и готово к работе.
Параметры IKE
В процессе согласования используется ряд параметров.
Ниже приведена краткая информация о параметрах, необходимых для настройки VPN-соединения.
Рекомендуется изучить данную информацию перед настройкой конечных точек VPN, так как
381