set pfs (crypto map)
set pfs (crypto map)
Команда set pfs используется для установки опции PFS. Использование данной опции позволяет повысить уровень защищенности трафика - при создании каждого IPsec SA производится выработка новых сессионных ключей. Для снятия опции PFS используется та же команда, но с префиксом no.
Синтаксис set pfs vko2 no set pfs vko2 | |
vko2 | используется алгоритм VKO GOST R 34.10-2012, длина ключа 256 бит. |
Режим команды | Crypto map configuration |
Значение по умолчанию | по умолчанию опция PFS отключена. |
Рекомендации по использованию | • Режим ТК26IKE • В процессе согласования параметров SA будет затребовано включение опции PFS. • Если при формировании записи криптографической карты алгоритм не был указан, то будет предложено использовать group1 (значение по умолчанию). • Если создание SA инициировано партнером, а локальная конфигурация требует использования PFS, то, либо партнер принимает условие использования PFS, либо SA не будет установлена. • Если в локальной конфигурации явно прописано использование group2, эту же группу должен принять партнер в процессе согласования параметров, иначе SA не будет установлена. • Использование PFS усиливает уровень защиты потому, что даже если один из сессионных ключей будет взломан атакующей стороной, то только та часть данных, которая была зашифрована на этом ключе, может быть скомпрометирована. Без использования PFS скомпрометированными могут оказаться все данные, передаваемые в рамках созданной SA. • При использовании PFS при каждом создании новой SA будет производиться новый обмен ключами. Подобный обмен потребует дополнительных ресурсов процессора. • Используемые алгоритмы генерации ключей указываются в файле cs_conv.ini. |
Пример | Ниже приведен пример требования на использования PFS с группой vko2 для записи номер 10 криптографической карты "mymap": Router(config)#crypto map mymap 10 ipsec-isakmp Router(config-crypto-map)#set pfs vko2 |