Создание политики IKE

Создание политики IKE

В cisco-like конфигурации

В cisco-like конфигурации возможно задание параметров только для ISAKMP SA.

Для создания защищенного канала, который будет обеспечивать защиту части обменов информацией первой фазы и все обмены второй фазы IKEv1, создаются ISAKMP политики (или одна политика) с разными приоритетами, которые будут предложены партнеру для согласования. В политиках описываются желаемые алгоритмы и параметры защищенного канала.

Перед созданием ISAKMP SA должны быть выбраны параметры, которые будут использоваться сторонами для защиты части обменов первой фазы и второй фазы IKE. В интерфейсе командной строки с помощью команды crypto isakmp policy задаются IKE политики (или одна политика) с различными приоритетами, которые будут предложены партнеру для согласования. Выполнение этой команды осуществляет вход в режим ISAKMP policy configuration, в котором предлагаются параметры для согласования с помощью следующих команд:

• encryption – указывается алгоритм шифрования, используемый в рамках протокола IKE;
• hash – указывается хеш-алгоритм, используемый в рамках протокола IKE;
• authentication – указывается метод аутентификации (с использованием электронной подписи или предварительно распределённых ключей);
• group – указывается алгоритм, который будет использоваться в рамках протокола IKE для получения ключевого материала;
• lifetime – устанавливается время жизни ISAKMP SA.

Например:

crypto isakmp policy 1

encr magma

hash stribog-256

authentication gost-sig

group vko2

lifetime 86400

Сконфигурированная политика может быть использована как в криптографической карте напрямую, так и в специализированном ISAKMP-профиле:

crypto isakmp profile SOME_ISAKMP_PROFILE

set policy 1

match identity dn

set identity mapping

ISAKMP-профиль позволяет настраивать более детально критерии для аутентификации партнеров во время IKE-сессии. Данный профиль должен быть указан в криптографической карте вместо политики IKE.

В LSP-конфигурации

В LSP конфигурации возможно задание параметров как для ISAKMP SA, так и для IKEv2 SA.

Для ISAKMP SA:

В конфигурационном файле в структуре IKERule задается метод аутентификации сторон, режим для первой фазы IKE, а также предлагается для согласования с партнером политика защиты первой и второй фазы IKE.

Для задания криптографических параметров, используемых при построении ISAKMP SA версии 1, используется структура IKETransform.

IKETransform crypto:isakmp:policy:1 (

CipherAlg = "GR341215M-K256-CFB-65526"

HashAlg = "GR341112_256TC26-65128"

GroupID = VKO2_1B

RestrictAuthenticationTo = GOST_SIGN

LifetimeSeconds = 86400

)

Далее в структуре IKERule в атрибуте Transform указывается наименование структуры IKETransform.

IKERule IKERule:VPN:1 (

Transform = crypto:isakmp:policy:1

)

Для режима ТК26IKE используется структура IKETC26Transform.

Глобальные настройки протокола IKEописываются в одной структуре –IKEParameters.

Для IKEv2 SA:

Для задания криптографических параметров, используемых при построении IKEv2 SA, используется структура IKEProposal2.

IKEProposal2 crypto:isakmp:policy:2 (

PrfAlg = PRF_HMAC_STREEBOG_512

EncryptionAlg = ENCR_MAGMA_MGM_KTREE

KeyAlg = GOST3410_2012_256, GOST3410_2012_512

)

Далее в структуре IKERule2 в атрибуте Proposals указывается наименование структуры IKEProposal2.

IKERule2 IKERule:VPN:2 (

Proposals = crypto:isakmp:policy:2

)

Глобальные настройки протокола IKEv2 описываются в одной структуре – IKEParameters2.