Создание политики IPsec

Создание политики IPsec

В формируемой политике необходимо указать:

• список доступа для трафика, который нужно защищать;
• адрес партнера по IPsec;
• используемую IKE политику;
• используемый набор преобразований протокола ESP.

В cisco-like конфигурации

В интерфейсе командной строки создание политики IPsec выполняется с помощью команды crypto map, которая осуществляет переход в режим настройки криптографических карт.

Создание набора динамических криптографических карт в интерфейсе командной строки осуществляется командой crypto dynamic map.

Например:

crypto map VPN 1 ipsec-isakmp

match address IPV4_LIST

match ipv6 address IPV6_LIST

set peer 172.16.100.2

set peer ipv6 2023:1234:5678:2b::2

set transform-set SOME_IPSEC-V1_PROPOSAL

set isakmp-profile SOME_ISAKMP_PROFILE

В LSP-конфигурации

В LSP конфигурации возможно задание параметров для ISAKMP SA версии 1 и 2.

Для IPsec SA версии 1:

В конфигурационном файле структура IPsecAction определяет режим использования IPsec и список предлагаемых наборов преобразований IPsec.

IPsecAction IPsecAction:VPN:1 (

TunnelingParameters = TunnelEntry(

PeerAddress = 172.16.100.2

),

IPv6TunnelEntry(

PeerAddress = 2023:1234:5678:2b::2

)

ContainedProposals = ( SOME_IPSEC-V1_PROPOSAL:ESP )

DFHandling = COPY

IKERule = IKERule:VPN:1

)

Для IPsec SA версии 2:

В конфигурационном файле структура IPsecAction2 определяет режим использования IPsec и список предлагаемых наборов преобразований IPsec.

IPsecAction2 IPsecAction:VPN:2 (

TunnelingParameters = TunnelEntry(

PeerAddress = 172.16.100.2

),

IPv6TunnelEntry(

PeerAddress = 2023:1234:5678:2b::2

)

ContainedProposals = SOME_IPSEC-V2_PROPOSAL:ESP

IKERule = IKERule:VPN:2

)

Завершающим этапом настройки является привязка сконфигурированной политики IPsec к интерфейсу. Описание настроек можно посмотреть в разделе «Настройка сетевых интерфейсов».