NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Единственное, что необходимо учитывать при использовании ключей PSK – это их распределение.
Каким образом ключи PSK распределяются между удаленными VPN-клиентами и межсетевыми
экранами? Это важный вопрос, так как безопасность системы PSK основана на секретности ключей.
Если один ключ PSK взломан, необходимо изменить настройки для использования новый ключей.
Сертификаты
У каждого межсетевого экрана VPN есть собственный сертификат и один (или более) доверенный
корневой сертификат.
Аутентификация основана на том, что:
• У каждой конечной точки есть приватный ключ, соответствующий публичному ключу в
сертификате и доступный только для данной конечной точки.
• Сертификат, подписанный кем-либо, является доверенным для удаленной конечной точки.
Преимущества сертификатов
Основным преимуществом сертификатов является универсальность. Например, можно управлять
несколькими VPN-клиентами без одного и того же ключа, настроенного на каждом из них, что часто
требуется при использовании общих ключей и удаленных клиентов. Вместо этого, если клиент
взломан, сертификат клиента может быть объявлен недействительным. Нет необходимости в
повторной настройке каждого клиента.
Недостатки сертификатов
Основным недостатком сертификатов является комплексность. Аутентификация на основе
сертификата может использоваться как часть крупной инфраструктуры публичного ключа, что
делает всех VPN-клиентов и межсетевые экраны зависимыми от третьей стороны. Другими словами,
существует множество аспектов, которые необходимо настроить, но вероятность проблем при этом
крайне высока.
9.3.4. Протоколы IPsec (ESP/AH)
IPsec-протоколы используются для защиты трафика, проходящего через VPN. Актуальные
протоколы и ключи, используемые с этими протоколами, согласуются с помощью протокола IKE.
Существует два протокола, связанных с IPsec: AH и ESP. Данные протоколы рассматриваются ниже.
AH (Authentication Header)
AH – это протокол, используемый для аутентификации потока данных.
Рис. 9.1 Протокол AH
Протокол AH использует криптографическую хэш-функцию для создания MAC из данных в IP-
386