crypto ipsec transform-set (TC26)

Синтаксис

crypto ipsec transform-set {transform-set-name} {transform1..3}

no crypto ipsec transform-set transform-set-name

transform-set-name

имя, присваиваемое набору преобразований.

transform1..3

преобразования.

Разрешено использовать до 3 преобразований.

Режим команды

Global configuration

Выполнение этой команды осуществляет вход в режим crypto transform configuration.

Значение по умолчанию

отсутствует

Рекомендации по

использованию

• Режим TK26, IPsec по RFC2401 (IKEv1)

• Набор преобразований - это приемлемая комбинация протоколов защиты, криптографических алгоритмов и других параметров, применяемых в защищаемом IPsec трафике.

• В процессе согласования параметров IPsec SA партнеры соглашаются на использование конкретного набора преобразований для защиты конкретного потока данных.

• Повторный ввод команды с уже заданным именем transform-set-name заменяет набор преобразований.

• Вы можете создать несколько наборов преобразований и затем назначить один или более из них каждой конкретной записи криптографической карты.

• Набор преобразований, указанный в записи криптографической карты, используется при согласовании параметров IPsec SA для защиты потока данных, разрешенного в списке доступа только для этой записи криптографической карты.

• Перед тем как назначить набор преобразований трафика для записи криптографической карты, набор преобразований должен быть задан с помощью этой команды.

• Набор преобразований задает использование протоколов IPsec: Encapsulation Security Protocol (ESP) и указывает какие криптографические алгоритмы следует использовать с этими протоколами. Данные протоколы могут использоваться как по отдельности, так и оба одновременно.

• Для создания набора преобразований следует описать от одного до трех преобразований. Каждое из преобразований должно содержать описание используемых протоколов (AH, ESP) и криптографических алгоритмов.

Примечание

Если при создании IKE политики использовались алгоритмы, определенные в документах «Техническая спецификация по использованию ГОСТ 28147-89, ГОСТ Р 34.11-94 и ГОСТ Р 34.10-2001 при согласовании ключей в протоколах IKE И ISAKMP» и «Техническая спецификация по использованию ГОСТ 28147-89, ГОСТ Р 34.11-2012 и ГОСТ Р 34.10-2012 в протоколах обмена ключами IKE И ISAKMP» (такие алгоритмы начинаются с префикса tc26), то при формировании набора преобразований должны использоваться подобные алгоритмы.

Удаление

Если при удалении ввести имя несуществующего набора преобразований, будет выдано сообщение об ошибке:

Could not find crypto transform set <transform-set-name>

Не допускается удаление набора преобразований, на который присутствуют ссылки в статической и/или динамической криптокартах. В подобной ситуации выдается сообщение вида:

Transform-set <transform-set-name> is in use by the crypto-map(s): <crypto-map-name1> <crypto-map-seq-num1>[, <crypto-map-name2> <crypto-map-seq-num2>...]

Transform-set <transform-set-name> is in use by the dynamic crypto-map template(s): <crypto-dynamic-map-name1> <crypto-dynamic-map-seq-num1>[, <crypto-dynamic-map-name2> <crypto-dynamic-map-seq-num2>...]

First remove the transform-set from the above crypto map(s)/dynamic crypto map template(s)

Примечание

В Продукте С-Терра Шлюз отсутствует поддержка преобразования IP Compression Transform.

Пример

В приведенном ниже примере заданы два набора преобразований, использующие криптографические алгоритмы различной сложности:

Router(config)#crypto ipsec transform-set ts tc26-esp-gost-b-4m-imit

Router(config)#crypto ipsec transform-set gs tc26-esp-gost-z-4m-imit

Тип преобразования

Имя

Описание

ESP Encryption Transform

(один из списка)

tc26-esp-gost-b-4m-imit

Протокол ESP с алгоритмом ГОСТ 28147-89 (в комбинированном режиме: гаммирование и вычисление имитовставки на таблице замен CryptoPro-B). Совместим с КриптоПро IPsec

tc26-esp-gost-z-4m-imit

Протокол ESP с алгоритмом ГОСТ 28147-89 (в комбинированном режиме: гаммирование и вычисление имитовставки на таблице замен ТК26-Z в соответствии со спецификацией ESP_GOST-4M-IMIT, совместим с КриптоПро IPsec).