Новое в версии 5.0

Введение ~2 мин чтения 1343 слов

Поиск в комплекте Источник

Новое в версии 5.0

Реализован новый криптографический алгоритм ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) («Магма» в режиме MGM);
добавлена поддержка протокола IKEv2, благодаря чему удалось значительно расширить перечень устройств, с которыми стало возможно построение IPsec c использованием сертификатов и западных алгоритмов (совместимость с Cisco IOS, Strongswan, Windows 10/11, Android, iOS, MacOS);
реализована одновременная работа по протоколам IKEv1 и IKEv2;
добавлена возможность работы с IPv6 адресами;
реализована возможность одновременной работы в сетях с IPv4 и IPv6-адресацией. Поддерживается технология двойного стека (Dual stack). Инкапсуляция пакетов IPv6 в IPv6, IPv4 в IPv6 в рамках IPsec SA;
прекращена поддержка алгоритма формирования и проверки ЭЦП - ГОСТ Р 34.10-2001;
добавлен новый формат контейнера закрытых ключей s50 (PKCS#15). Работа с контейнерами формата p15 поддерживается;
появилась возможность проведения процедуры инициализации удаленно, по SSH через mgmt‑интерфейс (Management Interface). Данная возможность не доступна для исполнений «С-Терра Шлюз DP ST КС1», «С-Терра Шлюз DP ST КС2», «С-Терра Шлюз DP ST КС3»;
добавлена поддержка работы с ДСЧ «Криптон USB ДСЧ»;
упрощен процесс конфигурирования для работы с разными УЦ;
возможна интеграция с внешней системой безопасности – Программным комплексом «САКУРА», разработанным компанией ИТ‑Экспертиза. С-Терра Шлюз создает защищенное соединение с тем VPN‑клиентом, удаленное рабочее место которого успешно проверено ПК «САКУРА». Поиск и удаление существующих соединений запускается при получении соответствующей команды от внешней системы безопасности. Взаимодействие с VPN‑клиентом обеспечивается программным модулем stgateapi, описание которого представлено в инструкции «Программный модуль stgateapi. Руководство программиста.», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлена возможность настройки агента ретрансляции DHCP Relay для получения сетевых настроек по протоколу DHCP. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Обеспечение защищенного взаимодействия между DHCP клиентами и серверами из удаленных подсетей», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлена возможность настройки DHCP failover на VRRP кластере. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Пример настройки DHCP сервера на криптошлюзе «С-Терра Шлюз»», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлена поддержка MultiWAN – сервис, обеспечивающий резервирование каналов связи (Интернет-провайдеров). Описание процесса настройки с перечисленными возможностями представлено в сценарии «Резервирование каналов связи при помощи сервиса MultiWAN», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлена поддержка inside VRF совместно с stVTI интерфейсами для сценариев применения в локальной сети. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN соединения при наличии подсетей с пересекающимся адресным пространством и отказоустойчивостью», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлена поддержка протоколов PPPoE, PPTP для подключения к глобальным сетям. Возможна настройка С-Терра Шлюз как клиента для подключения к серверу провайдера. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN туннеля с PPPoE/PPTP соединением между двумя подсетями, защищаемыми шлюзами безопасности «С-Терра Шлюз»», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
добавлено выделение отдельной QoS очереди для обработки приоритетного трафика. Регулируется параметром IPsec-драйвера use_priority_queue, который задается в конфигурационном файле /etc/modprobe.d/vpndrvr.conf;
добавлена поддержка криптостойких предварительно распределённых ключей. Использование данных ключей возможно в производственной эксплуатации, в отличие от стандартных PSK, использование которых возможно только в тестовых целях;
добавлена поддержка работы с устройствами квантового распределения ключей (КРК). Партнерам по защищенному соединению предоставляется общий ключ, который используется для обеспечения устойчивости IPsec SA от взлома на основе вычислений квантовых компьютеров;
добавлена возможность использования С-Терра Шлюз как коммутатора (bridge) с возможностью фильтрации трафика на портах коммутатора средствами утилиты EBtables (transparent firewall). Описание процесса настройки с перечисленными возможностями представлено в «Использование утилиты «ebtables-legacy»», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
расширен список поддерживаемых USB-модемов. Описание процесса настройки и перечень поддерживаемых USB-модемов представлено в инструкции «Использование USB-модемов в «С-Терра Шлюз» 5.0», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
появилась возможность восстановления пароля по умолчанию для С‑Терра Шлюз. В случае утери пароля от учетной записи administrator консоли разграничения доступа можно восстановить пароль по умолчанию с помощью средств Upflash 5.0.

В Cisco-like консоль добавлены:

Настройка IPv6-адресации;
возможность добавления маршрутов для протокола IPv6;
фильтрация по IPv6;
фильтрация ICMP-сообщений по типу и коду;
возможность добавления и конфигурирования VLAN и GRE –интерфейсов;
добавлена возможность создания профилей, определяющих различные идентификационные параметры для партнеров ISAKMP SA. При создании осуществляется переход в режим конфигурируемого isakmp профиля (conf-isa-prof);
добавлен режим конфигурирования предварительно распределенных ключей (сonf-keyring);
добавлен режим формирования списков сертификатов (ca-certificate-map);
возможность изменения номера порта, используемого протоколом IKE;
возможность изменения номера порта, используемого протоколом NAT Traversal;
возможность настройки NTP-клиента;
добавлен новый режим конфигурирования VRRP-интерфейса, реализована возможность задания правила SLA, а также добавлены настройки для IPv6-адресации;
добавлен новый режим конфигурирования RADIUS-клиента, предоставляющий возможность задания резервных RADIUS-серверов;
возможность просмотра списков доступа на отдельных интерфейсах;
в команде для работы с интерфейсами – interface появилась возможность конфигурирования интересов PPPoE и stVTI (настройка адреса, привязка крипто-карты, привязка правил фильтрации и т.п.). Настройки PPPoE/PPTP и VRF осуществляются в отдельных файлах.

В Продукт добавлены утилиты:

cert_mgr block_* – предназначена для внесения/удаления сертификатов в список заблокированных, также используется для просмотра данного списка;
key_mgr block_* – предназначена для внесения/удаления предварительно распределённых ключей в список заблокированных, также используется для просмотра данного списка;
key_mgr import - добавлена возможность задать срок действия предварительно распределённых ключей;
genpskey - позволяет создавать контейнер с криптостойким предварительно распределенным ключом. Также были расширены возможности утилиты key_mgr, теперь возможно импортировать ключи из данных контейнеров в базу Продукта и экспортировать, соответственно;
cert_mgr export – используется для выгрузки СА, локальных сертификатов, сертификатов партнеров и CRL из базы Продукта в файл;
excont_mgr get_gamma – предназначена для получения и сохранения гамма-материала;
excont_mgr putc2kc – предназначена для добавления сертификата в ключевой контейнер;
excont_mgr getc4kc – предназначена для получения сертификата из ключевого контейнера;
для утилит cert_mgr и excont_mgr добавлены опции для работы с неизвлекаемыми ключами на токенах, а также добавлена возможность интерактивного и машинного ввода пароля контейнера;
для утилиты cspvpn_verify модифицирован метод контроля целостности файлов Продукта;
расширены возможности утилиты sa_mgr – добавлена возможность просмотра информации об IKEv2 SA и построенных на их основе IPsec SA, а также добавлена соответствующая опция для фильтрации вывода;
расширены возможности фильтрации вывода сообщений утилиты klogview;
расширен набор настраиваемых параметров утилиты drv_mgr;
добавлена расширенная статистика IPsec-драйвера (VPN-драйвера), отвечающего за перехват, фильтрацию и обработку пакетов (см. вывод kstat_show -e).

В конфигурационный файл (LSP) добавлены структуры:

ConnectionLimits – описывает ограничения активности IKE и IPsec SA;
IPsecAction2 – задает правило создания контекста соединения для протоколов семейства IPsec в соответствии с RFC 4301;
IPsecProposal2 – задаёт набор допустимых комбинаций IPsec протоколов и криптоалгоритмов для создания IPsec SA. Данный набор используется в структуре IPsecAction2;
IPv6TunnelEntry – описывает параметры внешнего IPv6-заголовка пакета при использовании туннельного режима IPsec;
IKEProposal2 – задаёт набор параметров, необходимых для создания IKEv2 SA;
IKERule2 – описывает правило создания контекста соединения для протокола ISAKMP версии 2 в соответствии с RFC 7296;
IKEAuth2 – описывает правила формирования и проверки аутентификационной информации партнеров по IKEv2 SA;
IPv6Filters – задает набор правил фильтрации IPv6-трафика;
IPv6Routes – задает набор маршрутов для добавления в таблицу маршрутизации протокола IPv6;
QKDRule – описывает правило обращения к устройствам КРК (КРК - квантового распределения ключей);
QKDServer – описывает параметры доступа к устройствам КРК и согласуемый в IKE идентификатор устройства КРК;
добавлена возможность задания резервных RADIUS-серверов в атрибуте структуры AAARule;
для режима IPsec добавлена возможность выставления алгоритма формирования DF-бита, режима использования NAT-T, режима изменения опции MSS;
для структур IKERule добавлен атрибут QKD, позволяющий устанавливать правило обращения к устройствам КРК. В атрибуте GroupID структуры IPsecAction, устанавливаюший алгоритм выработки закрытого ключа для каждого нового IPsec SA, добавлена возможность использования КРК;
появилась возможность задания режима работы DPD (Dead-Peer-Detection).

Изменения, касающиеся работы с токенами:

добавлена поддержка одновременной работы с несколькими токенами;
добавлена поддержка работы с неизвлекаемыми ключами на токенах:

• JaCarta-2 ГОСТ (в том числе JaCarta-2 PKI/ГОСТ);

• Рутокен ЭЦП 2.0/3.0.

ПК «С-Терра Шлюз ST». Версия 5.0 работает только с контейнерами формата PKCS#15.