Создание IPsec наборов преобразований

Создание IPsec наборов преобразований

В cisco-like конфигурации

В cisco-like конфигурации возможно задание параметров только для IPsec SA версии 1.

Далее нужно предложить партнеру для согласования наборы преобразований, которые будут использоваться для создания защищенного виртуального соединения (IPsec SA). IPsec SA – это однонаправленное логическое соединение, поэтому при двустороннем обмене данными нужно установить два IPsec SA.

В интерфейсе командной строки с помощью команды crypto ipsec transform-set описать параметры IPsec набора преобразований. Можно указать до трех преобразований.
Например:

crypto ipsec transform-set SOME_IPSEC-V1_PROPOSAL esp-magma-mgm

С помощью команды mode указать режим использования (туннельный или транспортный) для заданного набора преобразований.

В LSP-конфигурации

В LSP конфигурации возможно задание параметров для IPsec SA версии 1 и 2.

Для IPsec SA версии 1:

Структура ESPTC26Transform устанавливает алгоритм шифрования для защищаемого трафика и алгоритм контроля целостности ESP. Структура ESPTC26Proposal задает список допустимых к использованию ESPTC26Transform для создаваемого IPsec SA. Для режима ТК26ESP, задающего алгоритмы комбинированного преобразования целевого трафика, используются структуры ESPTC26Proposal и ESPTC26Transform.
Пример структур ESPTC26Proposal и ESPTC26Transform:

ESPTC26Transform SOME_ESP_TRANSFORM (

CombinedAlg *= "GOST_B_4M_IMIT"

LifetimeSeconds = 3600

LifetimeKilobytes = 4608000

)

ESPTC26Proposal SOME_IPSEC-V1_PROPOSAL:ESP (

Transform *= SOME_ESP_TRANSFORM

)

Для IPsec SA версии 2:

Для задания набора криптографических преобразований протокола ESP используется структура IPsecProposal2. В атрибутах данной структуры, по сравнению с ESPTC26Transform, возможно перечисление допустимых к использованию алгоритмов через запятую.
Например:

IPsecProposal2 SOME_IPSEC-V2_PROPOSAL:ESP (

ESPEncryptionAlg = ENCR_MAGMA_MGM_KTREE, ENCR_MAGMA_MGM_MAC_KTREE

PFSAlg = NO_PFS, GOST3410_2012_256, GOST3410_2012_512

)