NetdefendOS_2.27.01_Firewall_User_Manual_RUS

согласование всех параметров является крайне важным для обеих точек доступа.
При наличии двух межсетевых экранов в качестве конечных точек VPN, процесс согласования
значительно упрощен, так как параметры настройки NetDefendOS будут такими же, что и на другом
узле. Тем не менее, этот процесс может быть затруднен, если для установки VPN-туннеля
используется оборудование различных производителей.
Endpoint Identification Local ID – это идентификатор, используемый для идентификации
конечной точки VPN-туннеля. Вместе с общими ключами это
уникальная часть данных, идентифицирующая конечную точку.
Local and Remote
Networks/Hosts
Аутентификация с совместно используемым ключом основана на
алгоритме Диффи-Хеллмана.
Существуют подсети или узлы, между которыми передаются
защищенные данные. В соединении LAN-to-LAN это сетевые адреса
соответствующих сетей LAN.
Если используются удаленные клиенты, для удаленной сети будет
установлено значение all-nets, означающее, что клиент может
подключиться из любой точки.
Tunnel / Transport Mode IPsec может использоваться в двух режимах tunnel или transport.
Режим tunnel указывает на то, что трафик стуннелирован на
удаленное устройство, которое дешифрует/аутентифицирует данные,
извлеченные из туннеля и отправленные в точку конечного
назначения.
В режиме transport, трафик не будет стуннелирован и, следовательно,
не будет проходить через VPN-туннели. Режим применяется для
защиты данных, передаваемых от VPN-клиента непосредственно на
межсетевой экран NetDefend, например, для защищенной удаленной
настройки.
Как правило, в большинстве случаев установлено значение «tunnel».
Remote Endpoint Удаленная конечная точка доступа (иногда – удаленный шлюз) – это
устройство, выполняющее дешифрование/аутентификацию VPN и
передающее незашифрованные данные в точку конечного
назначения. В данном поле также можно установить значение None,
после чего межсетевой экран NetDefend рассматривает удаленный
адрес как удаленную конечную точку. Это особенно полезно при
удаленном доступе, если IP-адреса удаленных VPN-клиентов не
указаны предварительно. Настройка "none" позволит любому IPадресу,
соответствующему "remote network" адресу удаленной
подсети, оговоренному выше, открыть VPN-соединение, при
условии, что они могут проходить проверку подлинности должным
образом.
Можно указать URL-адрес удаленной конечной точки, например,
vpn.company.com. В таком случае необходимо использовать префикс
dns:. Следовательно, URL-адрес будет выглядеть следующим
образом dns:vpn.company.com.
Удаленная конечная точка не используется в режиме Transport.
Main/Aggressive Mode У согласования IKE два режима работы: Main и Aggressive.
Различие между двумя режимами заключается в том, что в режиме
Aggressive передается больше информации в меньшем количестве
пакетов, с преимуществом более быстрой установки соединения и
эффективной передачи.
При использовании режима Aggressive, некоторые параметры
382