NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Алгоритм Диффи-Хеллман используется для назначения общих секретных ключей для IKE, IPsec и
PFS.
Группа Diffie-Hellman указывает на степень безопасности, используемую для обмена DH. Чем больше
количество групп, тем выше безопасность, а также расходы, связанные с обработкой. Система
NetDefendOS поддерживает следующие группы DH:
• DH группа 1 (768-бит)
• DH группа 2 (1024-бит)
• DH группа 5 (1536-бит)
Все эти группы HA доступны для использования с IKE, IPsec и PFS.
9.3.3. Аутентификация IKE
Обмен ключами вручную
Наиболее простым способом настройки VPN является метод manual keying (обмен ключами
вручную). В данном методе IKE не используется; настройка ключей для аутентификации и
шифрования, а также некоторых других параметров выполняется непосредственно на
противоположных узлах VPN-туннеля.
Примечание
NetDefendOS не поддерживает функцию обмена ключами вручную.
Преимущества функции обмена ключами вручную
Обмен ключами вручную является довольно простым и, соответственно, функционально
совместимым процессом. В настоящее время в IKE существует множество проблем совместимости.
Обмен ключами вручную «обходит» IKE и устанавливает собственные IPsec SA.
Недостатки функции обмена ключами вручную
Обмен ключами вручную является методом, который применялся до введения в использование
протокола IKE и поэтому не содержащит некоторые функции IKE. Следовательно, этот метод имеет
ряд ограничений, таких, как необходимость всегда использовать один и тот же ключ для
аутентификации/шифрования и отсутствие служб анти-повтора (anti-replay services). Также нет
способа проверки подлинности удаленного узла / межсетевого экрана.
Данный тип соединения также уязвим для так называемых «атак повтора» (replay attacks), другими
словами, злоумышленники, у которых есть доступ к зашифрованному трафику, могут записывать
некоторые пакеты, хранить их и отправлять по месту назначения позже. У конечной точки
назначения VPN не будет никакой возможности сообщить, была ли выполнена повторная передача
пакета или нет. Использование IKE устраняет эту уязвимость.
PSK
При применении PSK (Pre-shared Key) конечные точки VPN совместно используют секретный ключ.
Эта услуга, предоставляемая IKE, и, следовательно, содержащая все преимущества IKE, что
обеспечивает больше возможностей, чем обмен ключами вручную.
Преимущества PSK
Использование общего ключа имеет ряд преимуществ по сравнению с функцией обмена ключами
вручную. Например, аутентификация пользователя, для которой используются общие ключи.
Функция также включает в себя все преимущества использования IKE. Вместо использования
фиксированного набора ключей шифрования, сеансовые ключи используются в течение
ограниченного периода времени, после которого применяется новый набор сеансовых ключей.
Недостатки PSK
385