IKEv1

IKEv1

Для отправки локального сертификата партнеру по протоколу IKEv1:

В LSP-конфигурации (конфигурационный файл)

Ниже приведена схема структуры LSP, отражающая связность нижеописанных структур и атрибутов (Рисунок 1).

Рисунок 1

В структуре IKETransform, описывающей набор параметров для создания ISAKMP SA, в атрибуте RestrictAuthenticationTo необходимо указать используемый тип аутентификации партнера – использовать сертификаты с ГОСТ алгоритмами подписи.

IKETransform crypto:isakmp:policy:1(

RestrictAuthenticationTo = GOST_SIGN

)

Для отправки локального сертификата партнеру по протоколу IKE в LSP в структуре AuthMethodGOSTSign задать атрибут SendCertMode со значением:

• ALWAYS – всегда отсылать партнеру локальный сертификат;
• CHAIN – всегда отсылать партнеру локальный сертификат, СА сертификат и промежуточные СА сертификаты.

Для получения сертификата партнера по протоколу IKE нужно:

• В локальной конфигурации в структуре AuthMethodGOSTSign задать атрибут SendRequestMode со значением ALWAYS – всегда запрашивать сертификат партнера.
• В конфигурации партнера в структуре AuthMethodGOSTSign задать атрибут SendCertMode со значением:

• ALWAYS – высылать сертификат;

• CHAIN – высылать локальный сертификат, СА сертификат с цепочкой промежуточных СА.

AuthMethodGOSTSign GOST:Sign:NEW_PROF

(

RemoteID = Remote:NEW_PROF

LocalID = Local:Cert:NEW_PROF

SendRequestMode = ALWAYS

SendCertMode = ALWAYS

)

Атрибут LocalID задает идентификационную информацию, посылаемую партнеру в первой фазе IKE.

Атрибут RemoteID задает требования к идентификационной информации партнера.

В качестве значения для данных атрибутов указывается ссылка на структуру IdentityEntry, в которой задаются параметры с описанием идентификационной информации.

IdentityEntry Remote:NEW_PROF(

DistinguishedName = USER_SPECIFIC_DATA

)

В структуре AuthMethodGOSTSign можно задать атрибут AcceptCredentialFrom, который устанавливает требуемые параметры СА сертификата, удостоверяющего подлинность сертификата партнера. Также есть атрибут RemoteCredential, в котором описываются похожие параметры, только для сертификата партнера по взаимодействию.

Например:

AuthMethodGOSTSign GOST:Sign:NEW_PROF

(

LocalID = IdentityEntry( DistinguishedName* = USER_SPECIFIC_DATA )

RemoteID = IdentityEntry( DistinguishedName* = USER_SPECIFIC_DATA )

AcceptCredentialFrom *= CertDescription

(

Issuer *= "C=RU,O=S-Terra,OU=QA,CN=autosterraCA"

SerialNumber = "36cae14ef178429040fa97846b7cf27e"

Subject *= "C=RU,O=S-Terra,OU=QA,CN=autosterraCA"

)

SendRequestMode = ALWAYS

SendCertMode = ALWAYS

)

Затем созданные структуры AuthMethodGOSTSign и IKETransform совместно применяются в структуре IKERule, которая задает правило создания контекста соединения для протокола ISAKMP версии 1:

IKERule:VPN:1

(

Transform = crypto:isakmp:policy:1

AggrModeAuthMethod = GOST:Sign:NEW_PROF

MainModeAuthMethod = GOST:Sign:NEW_PROF

)

В cisco-like конфигурации (в интерфейсе командной строки)

При создании политики IKE, параметры которой согласовываются с партнером, в режиме команды crypto isakmp policy задать метод аутентификации сторон с использованием сертификатов, подписанных ГОСТ алгоритмами, командой: authentication gost-sig. Например:

crypto isakmp policy 1

authentication gost-sig

Команда crypto isakmp profile позволяет назначить набор аутентификационных параметров партнеров, используемых при обмене по IKE.

Команда match identity задает ожидаемый идентификатор партнера. Возможно указание как типа - dn (использовать отличительное имя из сертификата (Distinguished Name, DN), так и назначение точного идентификатора. По аналогии с match identity средствами команды self-identity возможно задать собственный идентификатор.

Присланный идентификатор партнера может использоваться для поиска локального сертификата, для включения данной возможности используется команда set identity mapping.

Команда set policy 1 указывает на использование ISAKMP политики - crypto isakmp policy 1.

crypto isakmp profile NEW_PROF

match identity dn

set identity mapping

set policy 1

Так же в режиме crypto isakmp profile возможно указать:

match certificate <CERT_MAP_TAG> - допустимый сертификат партнера;

self-certificate <CERT_MAP_TAG> – собственный сертификат;

ca trust-point <CERT_MAP_TAG> - СА сертификаты.

В качестве значения данные команды принимают <CERT_MAP_TAG> - это профиль с описанием сертификата. Таких профилей может быть несколько:

crypto pki certificate map SOME_CA 1

issuer-name co CN=autosterraCA

serial-number eq = 36cae14ef178429040fa97846b7cf27e

subject-name eq C=RU,O=S-Terra,OU=QA,CN=autosterraCA

!

Далее в режиме редактирования крипто-карты (crypto map) указывается используемый ISAKMP-профиль - set isakmp-profile NEW_PROF.

crypto map VPN 1 ipsec-isakmp

set isakmp-profile NEW_PROF

В файле настроек конвертора cs_conv.ini параметру send_cert присвоено значение ALWAYS, и поэтому по умолчанию партнеру всегда будет отсылаться локальный сертификат по протоколу IKE.

В файле настроек конвертора cs_conv.ini параметру send_request присвоено значение ALWAYS, и поэтому по умолчанию у партнера всегда будет запрашиваться локальный сертификат по протоколу IKE.