Настройка логирования событий AnyConnect

С-Терра Шлюз / Примеры дополнительных возможностей ~20 мин чтения 17698 слов

Организация IPsec-соединения с IKEv2 при помощи криптошлюза «С-Терра Шлюз» на западных алгоритмах

Скачать в формате PDF

Настоящий документ содержит описание способа совместного использования Продуктов компании ООО «С-Терра СиЭсПи» и Продуктов третьих производителей.

ООО «С-Терра СиЭсПи» осуществляет сопровождение настоящего сценария в части настроек Продуктов Компании. Упоминание наименований, продуктов, торговых марок третьих организаций исключительно неформально и не является поддержкой, рекомендацией либо рекламой. ООО «С-Терра СиЭсПи» не несет какой-либо ответственности в отношении работоспособности и использования этих Продуктов. Документ имеет статус вспомогательного материала, который может быть использован технологическими партнерами, компаниями-интеграторами, при разработке собственных решений.

Решения, разработанные на базе данного сценария, могут применяться в действующих сетях/системах только после тестовой и/или опытной эксплуатации.

Введение

Для организации IPsec-соединения с IKEv2 на западных алгоритмах нужно использовать «С-Терра Шлюз», начиная с версии 5.0.26253 (5.0 BF).

Данный сценарий содержит пример настройки криптошлюза «С-Терра Шлюз» с различными устройствами (Cisco, StrongSwan, Android, Windows, iOS, macOS, AnyConnect) для обеспечения безопасного взаимодействия между защищаемой подсетью центрального офиса, двумя филиалами и мобильными клиентами.

Безопасность взаимодействия обеспечивается применением шифрования и туннелирования трафика с использованием западных алгоритмов и протокола IPsec с IKEv2.

В рамках сценария, подсети филиалов между собой безопасно взаимодействовать не могут. Настройка безопасного взаимодействия подсетей филиалов между собой с перешифрованием в центре описана в главе «Дополнение».

В рамках сценария настройка шифрования производится с помощью создания LSP вручную. Настройка шифрования с помощью cisco-like консоли представлена в Приложении.

Настройка шифрования с помощью cisco-like консоли реализована на несертифицированном криптошлюзе, обратитесь в службу технической поддержки компании для уточнения возможности использования несертифицированного криптошлюза.

В Приложении представлены дополнительные разделы, посвященные использованию УЦ на базе MSCA на примере настройки криптошлюза и Windows, поддержке аутентификации с использованием предварительно распределенных ключей, настройке трассировки в Windows и настройке логирования событий на Windows, Cisco, StrongSwan, AnyConnect.

Предварительные требования

Требования к квалификации администратора

Администратор должен обладать обширными знаниями в области сетевой информационной безопасности, иметь опыт работы с аналогичным оборудованием/программным обеспечением, знать и понимать следующие технологии и протоколы: PKI, IPsec, NAT, Firewall, routing, switching.

Требования к инфраструктуре

Требования к устройствам.
1. «С-Терра Шлюз».
1.1. Устройство «С-Терра Шлюз» должно быть инициализировано (подробнее на https://doc.s-terra.ru раздел С-Терра Шлюз -> С-Терра Шлюз <версия> -> «Подключение ПАК и инициализация С-Терра Шлюз на вычислительных системах архитектуры Intel x86-64»).
В «С-Терра Шлюз» версии 5.0 появилась возможность пройти инициализацию через интерфейс управления (management) по SSH. Данная процедура и ее ограничения описаны в документации и на портале https://doc.s-terra.ru.
2. Центр выпуска сертификатов.
2.1. Должен быть настроен центр выпуска сертификатов (удостоверяющий центр, далее УЦ) для IPsec. Устройство с именем Certification_authority на схеме.
2.2. Для выпуска цифровых сертификатов допускается использование встроенного в OC Windows Server 2016 (или новее) удостоверяющего центра совместно с сертифицированным СКЗИ «КриптоПро» CSP 5.0 R2 (или новее).
2.3. Для тестовых целей можно использовать тестовый УЦ от «КриптоПро» (веб-интерфейс: https://testgost2012.cryptopro.ru/certsrv/certrqxt.asp), либо утилиту ca-tool, входящую в состав пакета auxiliary-tools (пакет auxiliary-tools предназначен для установки на «С-Терра Шлюз» 5.0, документация на ca-tool приведена в инструкции «Центр выпуска тестовых ГОСТ сертификатов для IPsec», документацию и пакет можно загрузить на портале https://doc.s-terra.ru).

Категорически запрещено использование тестового УЦ от «КриптоПро» в производственной (боевой) эксплуатации, так как в данном случае отсутствует возможность контролировать процесс выпуска сертификатов и, соответственно, процедуру аутентификации.

Требования к сетевому взаимодействию.
1. Между устройствами стенда должна быть обеспечена IP связность.

Схема взаимодействия

Рисунок 1. Схема взаимодействия

Общая логика работы

Размещение устройств.
1. В центральном офисе размещаются: центр выпуска сертификатов (Certification_authority), криптошлюз «С-Терра Шлюз» (Hub1) и персональный компьютер (Host-b-Hub1).
2. В филиале № 1 размещаются: устройство Cisco Cloud Services Router 1000v (Cisco) в редакции AX версии 17.3.5 и персональный компьютер (Host-b-Cisco).
3. В филиале № 2 размещаются: устройство на базе Debian12 c установленным StrongSwan версии 5.9.8 и персональный компьютер (Host-b-StrongSwan).
4. В качестве мобильного клиента № 1 используется устройство на базе ОС Android.
5. В качестве мобильного клиента № 2 используется компьютер пользователя на базе ОС Windows 10 версии 22H2 (сборка ОС 19045.3930) или ОС Windows 11 версии 22H2 (сборка ОС 22621.2134).
6. В качестве мобильного клиента № 3 используется устройство на базе ОС iOS.
7. В качестве мобильного клиента № 4 используется компьютер пользователя с чипом Apple M1 с ОС macOS версии Ventura 13.4.1.
8. В качестве мобильного клиента № 5 используется Cisco AnyConnect Secure Mobility Client версии 4.8. Клиент разворачивается на ОС на базе ОС Windows 10 версии 22H2 (сборка ОС 19045.3930) или ОС Windows 11 версии 22H2 (сборка ОС 22621.2134).

Использование Cisco AnyConnect Secure Mobility Client версии 4.9 и выше не представляется возможным в связи с тем, что AnyConnect при построении защищенного соединения IPsec с IKEv2 использует только криптоалгоритмы AES-GCM, которые не реализованы в криптошлюзе.

Подключение к сети Интернет.
В данном сценарии для эмуляции сети Интернет используются маршрутизатор Router1.
1. Криптошлюз Hub1 подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
2. Устройство Cisco подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
3. Устройство StrongSwan на базе Debian12 подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
4. Устройство на базе ОС Android подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
5. Устройство на базе ОС Windows подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
6. Устройство на базе ОС iOS подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
7. Устройство на базе ОС macOS подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
8. Устройство AnyConnect на базе ОС Windows подключается к сети Интернет с помощью DHCP-сервера (маршрут по умолчанию через маршрутизатор Router1).
Параметры шифрования IPsec.
Весь IPv4 трафик между подсетями центрального офиса (192.168.100.0/24), филиалов (192.168.1.0/24, 192.168.2.0/24) и мобильными клиентами защищается с использованием западных алгоритмов и протокола IPsec с IKEv2 в туннельном IPv4 режиме.
Инициировать защищенное соединение между криптошлюзом и Cisco может трафик из подсети филиала № 1 (192.168.1.0/24) в подсеть центра (192.168.100.0/24) и наоборот из центра в филиал № 1.
Инициировать защищенное соединение между криптошлюзом и StrongSwan может трафик из подсети филиала № 2 (192.168.2.0/24) в подсеть центра (192.168.100.0/24) и наоборот из центра в филиал № 2.
Инициировать защищенное соединение между криптошлюзом и мобильными клиентами в рамках данного сценария возможно только трафиком от мобильных клиентов в подсеть центра (192.168.100.0/24).
1. Параметры протокола IKE:

Аутентификация при помощи цифровых сертификатов, алгоритм подписи – RSA 2048;
Алгоритм шифрования – ENCR_AES_CBC_256;
Алгоритм проверки целостности пакета – AUTH_HMAC_SHA2_256_128;
Псевдослучайная функция – PRF_HMAC_SHA2_256;
Алгоритм выработки общего ключа (аналог алгоритма Диффи-Хеллмана) – group 14.

2. Параметры протокола ESP:

Комбинированный алгоритм шифрования – ENCR_AES_CBC_256;
Алгоритм проверки целостности пакета – AUTH_HMAC_SHA2_256_128;
PFS (Perfect Forward Secrecy) – Алгоритм выработки общего ключа (аналог алгоритма Диффи-Хеллмана) – group 14.

Устройства Cisco и AnyConnect не поддерживают алгоритмы выработки общего ключа (PFS). В связи с этой особенностью PFS исключён из параметров протокола ESP для этих устройств.

Настройка стенда

Настройка устройства Host-b-Hub1

Настройте IP адрес – 192.168.100.100 и маску – 255.255.255.0 на сетевом интерфейсе.
Задайте маршрут по умолчанию через 192.168.100.1.
Разрешите прием и отправку ICMP пакетов (если заблокировано).

Настройка устройства Host-b-Cisco

Настройте IP адрес – 192.168.1.100 и маску – 255.255.255.0 на сетевом интерфейсе.
Задайте маршрут по умолчанию через 192.168.1.1.
Разрешите прием и отправку ICMP пакетов (если заблокировано).

Настройка устройства Host-b-StrongSwan

Настройте IP адрес – 192.168.2.100 и маску – 255.255.255.0 на сетевом интерфейсе.
Задайте маршрут по умолчанию через 192.168.2.1.
Разрешите прием и отправку ICMP пакетов (если заблокировано).

Настройка криптошлюза Hub1

Настройка будет происходить локально при помощи консольного подключения.

Настройка может осуществляться и удаленно (по SSH), но исключительно по доверенному каналу связи. Доверенным каналом связи может считаться канал в пределах контролируемой зоны в случае отсутствия в нем нарушителя (в нашем примере это подсеть 192.168.100.0/24). Доверенным каналом связи также считается канал, защищенный при помощи протокола IPsec.

Начальные настройки

Дата и время на криптошлюзе и других устройствах должны быть одинаковы, так как для аутентификации используются цифровые сертификаты, в которых зафиксированы дата и время начала их действия и окончания. Также одинаковые дата и время на всей инфраструктуре облегчают поиск неисправностей по лог-файлам.

Войдите в CLI разграничения доступа (пользователь и пароль по умолчанию: administrator, s-terra) установите правильный тип терминала и требуемую ширину, смените пароль для пользователя administrator.

Перейдите в linux bash консоль, установите пароль для пользователя root, правильное время и временную зону.

Подробная настройка с описанием команд приведена в разделе «Начальные настройки» базового сценария.

Настройка паролей доступа к консоли cisco-like

Войдите в cisco-like консоль и смените пароль для пользователя cscons (пароль по умолчанию: csp) и пароль на enable (пароль по умолчанию: csp).

Подробная настройка с описанием команд приведена в базовом сценарии.

Настройка сетевых параметров

Изменение состояния интерфейсов и назначение IP адресов применяются сразу после ввода соответствующих команд. Политика безопасности применяется после выхода из режима конфигурирования.

Задайте имя устройства:

sterragate(config)#hostname Hub1

Включите внешний GigabitEthernet0/0 и внутренний GigabitEthernet0/1 интерфейсы. В зависимости от параметров сетевого интерфейса его имя может отличаться от GigabitEthernetN/M и иметь имена, например FastEthernetN/M, TenGigabitEthernetN/M:

Hub1(config)# interface GigabitEthernet 0/0 - 1

Hub1(config-if)#no shutdown

Hub1(config-if-range)#exit

Убедитесь, что интерфейсы административно включены и line protocol (способность интерфейса передавать пакеты в данный момент) находится в состоянии up:

Hub1(config)#do show interfaces

GigabitEthernet0/0 is up, line protocol is up

Hardware address is 000c.2968.b16d

MTU 1500 bytes

GigabitEthernet0/1 is up, line protocol is up

Hardware address is 000c.2968.b177

MTU 1500 bytes

...

Примечание - Если line protocol находится в состоянии down, то проверьте подключение сетевого интерфейса криптошлюза к коммутационному или прочему оборудованию.
Задайте IP адрес в соответствии со схемой стенда на внутреннем GigabitEthernet0/1 интерфейсе:

Hub1(config)#interface GigabitEthernet0/1

Hub1(config-if)#ip address 192.168.100.1 255.255.255.0

Hub1(config-if)#end

Hub1#exit

Войдите в linux bash консоль из CLI разграничения доступа:
Настройте получение IP адреса на внешний интерфейс GigabitEthernet0/0. Для этого измените файл настройки сети /etc/network/interfaces так, чтобы описание интерфейса было вне секции, начало и конец которой помечены маркерами ###netifcfg-begin### и ###netifcfg-end###, а описание интерфейса в секции удалите, например:

# interfaces(5) file used by ifup(8) and ifdown(8)

# Include files from /etc/network/interfaces.d:

source /etc/network/interfaces.d/*

# loopback configuration

auto lo

iface lo inet loopback

auto eth0

iface eth0 inet dhcp

###netifcfg-begin###

auto eth1

iface eth1 inet static

mtu 1500

address 192.168.100.1

netmask 255.255.255.0

broadcast 192.168.100.255

###netifcfg-end###

Сохраните изменения в файле и перезапустите сетевые настройки на криптошлюзе:

root@Hub1:~#systemctl restart networking.service

По умолчанию, весь сетевой трафик заблокирован. Для разблокировки прохождения только пакетов по протоколу DHCP выполните команду:

root@Hub1:~# dp_mgr set -ddp passdhcp

Default driver policy is set successfully

Настройки PKI (запросы и сертификаты)

В Приложении описан альтернативный способ настройки PKI с использованием УЦ на базе MSCA на примере криптошлюза и мобильного клиента на базе ОС Windows. Однако его использование не рекомендуется, так как не все клиенты имеют возможность генерировать закрытый ключ и запрос на сертификат. В архитектуре УЦ MSCA клиент сам генерирует закрытый ключ и запрос на сертификат, который затем подписывается УЦ. Для удобства и упрощения сценария используется УЦ на базе OpenSSL, так как он предоставляет возможность создавать запросы на сертификаты для всех типов клиентов.

Генерация закрытого ключа и запроса на сертификат для криптошлюза.
1. Перед генерацией закрытого ключа и запроса на сертификат криптошлюза посмотрите, какой IP адрес был получен по DHCP на интерфейсе eth0:

root@Hub1:~#ip a

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000

link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

inet 127.0.0.1/8 scope host lo

valid_lft forever preferred_lft forever

inet6 ::1/128 scope host noprefixroute

valid_lft forever preferred_lft forever

2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 10000

link/ether 00:0c:29:68:b1:6d brd ff:ff:ff:ff:ff:ff

altname enp2s1

altname ens33

altname GigabitEthernet0_0

inet 10.0.102.25/16 brd 10.0.255.255 scope global eth0:1

valid_lft forever preferred_lft forever

inet6 fe80::3131:e59c:1b76:9759/64 scope link stable-privacy

valid_lft forever preferred_lft forever

3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 10000

link/ether 00:0c:29:68:b1:77 brd ff:ff:ff:ff:ff:ff

altname enp2s2

altname ens34

altname GigabitEthernet0_1

inet 192.168.100.1/24 brd 192.168.100.255 scope global eth1

valid_lft forever preferred_lft forever

inet6 fe80::8a20:427b:dc62:8d40/64 scope link tentative stable-privacy

valid_lft forever preferred_lft forever

2. Запустите процесс генерации закрытого ключа и запроса на сертификат криптошлюза с сохранением файла запроса:

В данной команде необходимо индивидуально вписывать IP адрес внешнего интерфейса криптошлюза, на котором будет закреплена крипто-карта.

root@Hub1:~#cert_mgr create -subj "C=RU,L=Zelenograd,O=S-Terra CSP,OU=RnD,CN=Hub1" -ip 10.0.102.25 -RSA -2048 -fb64 /root/hub1.request

Выпускать сертификаты будет предустановленный на криптошлюз УЦ на базе OpenSSL.
1. Выберите каталог /root/ca для хранения всех ключей и сертификатов:

root@Hub1:~#mkdir /root/ca

2. Создайте структуру каталогов. Файлы index.txt и serial действуют как база данных плоских файлов для отслеживания подписанных сертификатов:

root@Hub1:~#cd /root/ca

root@Hub1:~/ca#mkdir certs crl newcerts private csr

root@Hub1:~/ca#chmod 700 private

root@Hub1:~/ca#touch index.txt

root@Hub1:~/ca#echo 1000 > serial

Для выпуска сертификатов понадобится файл конфигурации OpenSSL, в нем можно менять различные расширения и задавать их. Создайте его под именем openssl.cnf в папке /root/ca/:

При работе с мобильными клиентами есть определенные требования к сертификатам для безопасного соединения IKEv2/IPsec, подробно о них описано в главе «Создание и экспорт сертификата для мобильного клиента с криптошлюза». Ниже представлен конфигурационный файл для создания сертификатов по шаблону:

1. Раздел [ ca ] является обязательным. Укажите OpenSSL использовать параметры из раздела [ CA_default ].

# OpenSSL root CA configuration file.

# Copy to `/root/ca/openssl.cnf`.

[ ca ]

# `man ca`

default_ca = CA_default

2. В [ CA_default ] разделе содержится диапазон значений по умолчанию. Убедитесь, что в качестве директории объявлен выбранный ранее каталог /root/ca.

[ CA_default ]

# Directory and file locations.

dir = /root/ca

certs = $dir/certs

crl_dir = $dir/crl

new_certs_dir = $dir/newcerts

database = $dir/index.txt

serial = $dir/serial

RANDFILE = $dir/private/.rand

# The root key and root certificate.

private_key = $dir/private/ca.key.pem

certificate = $dir/certs/ca.cert.cer

# For certificate revocation lists.

crlnumber = $dir/crlnumber

crl = $dir/crl/ca.crl.pem

crl_extensions = crl_ext

default_crl_days = 30

# SHA-1 is deprecated, so use SHA-2 instead.

default_md = sha256

name_opt = ca_default

cert_opt = ca_default

default_days = 375

preserve = no

policy = policy_loose

# This extension is copied from the subjectAltName query

copy_extensions = copy

3. В этом разделе указана свободная политика для подписи сертификатов без ограничений по какому-либо полю, так как подписываются серверные и клиентские сертификаты.

[ policy_loose ]

countryName = optional

stateOrProvinceName = optional

localityName = optional

organizationName = optional

organizationalUnitName = optional

commonName = supplied

emailAddress = optional

4. Параметры из раздела [ req ] применяются при создании сертификатов или запросов на подписание сертификатов.

[ req ]

# Options for the `req` tool (`man req`).

default_bits = 2048

distinguished_name = req_distinguished_name

string_mask = utf8only

# SHA-1 is deprecated, so use SHA-2 instead.

default_md = sha256

# Extension to add when the -x509 option is used.

x509_extensions = v3_ca

5. В разделе [ req_distinguished_name ] указывается информация, которая обычно требуется в запросе на подписание сертификата. При желании можно указать некоторые значения по умолчанию.

[ req_distinguished_name ]

# See <https://en.wikipedia.org/wiki/Certificate_signing_request>.

commonName = Common Name

countryName = Country Name (2 letter code)

stateOrProvinceName = State or Province Name

localityName = Locality Name

0.organizationName = Organization Name

organizationalUnitName = Organizational Unit Name

emailAddress = Email Address

# Optionally, specify some defaults.

countryName_default =

stateOrProvinceName_default =

localityName_default =

0.organizationName_default =

organizationalUnitName_default =

emailAddress_default =

6. Используются расширения при создании корневого сертификата.

[ v3_ca ]

# Extensions for a typical CA (`man x509v3_config`).

subjectKeyIdentifier = hash

authorityKeyIdentifier = keyid:always,issuer

basicConstraints = critical, CA:true

keyUsage = critical, digitalSignature, cRLSign, keyCertSign

7. В разделе [ usr_cert] указаны расширения, используемые при подписании клиентских сертификатов, которые используются для удаленной аутентификации пользователя.

[ usr_cert ]

# Extensions for client certificates (`man x509v3_config`).

basicConstraints = CA:FALSE

subjectKeyIdentifier = hash

authorityKeyIdentifier = keyid,issuer:always

keyUsage = digitalSignature

extendedKeyUsage = clientAuth

8. В разделе [ server_cert ] указаны расширения, используемые при подписании сертификатов криптошлюза или граничных шлюзов филиалов.

[ server_cert ]

# Extensions for server certificates (`man x509v3_config`).

basicConstraints = CA:FALSE

subjectKeyIdentifier = hash

authorityKeyIdentifier = keyid,issuer:always

keyUsage = digitalSignature, keyEncipherment

extendedKeyUsage = serverAuth

9. В разделе [ crl_ext ] расширение автоматически применяется при создании списков отзыва сертификатов.

[ crl_ext ]

# Extension for CRLs (`man x509v3_config`).

authorityKeyIdentifier = keyid:always

В Приложении представлен текст конфигураций OpenSSL для криптошлюза.
Создайте корневой ключ ca.key.pem и храните его в абсолютной безопасности. Задайте также права только на чтение.

root@Hub1:~/ca#openssl genrsa -aes256 -out private/ca.key.pem 2048

Enter PEM pass phrase:

Verifying - Enter PEM pass phrase:

root@Hub1:~/ca#chmod 400 private/ca.key.pem

Любой, у кого есть корневой ключ, может выдавать доверенные сертификаты. Зашифруйте корневой ключ с помощью 256-битного шифрования AES и надежного пароля.

Создайте корневой сертификат. Для этого используйте корневой ключ ca.key.pem для создания корневого сертификата ca.cert.cer. Укажите корневому сертификату длительный срок действия, например, двадцать лет. По истечении срока действия корневого сертификата все сертификаты, подписанные центром сертификации, становятся недействительными.

root@Hub1:~/ca# openssl req -config openssl.cnf -key private/ca.key.pem -new -x509 -days 7300 -sha256 -extensions v3_ca -out certs/ca.cert.cer

Enter pass phrase for private/ca.key.pem:

You are about to be asked to enter information that will be incorporated

into your certificate request.

What you are about to enter is what is called a Distinguished Name or a DN.

There are quite a few fields but you can leave some blank

For some fields there will be a default value,

If you enter '.', the field will be left blank.

-----

Common Name []:S-Terra CSP Test Root CA-OpenSSL

Country Name (2 letter code) []:RU

State or Province Name []:

Locality Name []:Zelenograd

Organization Name []:S-Terra CSP

Organizational Unit Name []:RnD

Email Address []:

root@Hub1:~/ca#chmod 444 certs/ca.cert.cer

Подпишите сертификат для криптошлюза:
1. Выпустите сертификат на УЦ OpenSSL по сгенерированному запросу на сертификат:

В команде необходимо указать раздел server_cert, чтобы сертификат был выпущен с необходимыми расширениями. В сертификате должно быть «Дополнительное имя субъекта» с IP адресом криптошлюза, который был указан при генерации запроса, а также должно быть расширение «Улучшенный ключ» со значением «Проверка подлинности сервера». Все необходимые расширения для сертификата криптошлюза указаны в файле конфигурации openssl.cnf в разделе server_cert.

root@Hub1:~/ca#openssl ca -config openssl.cnf -extensions server_cert -days 375 -notext -md sha256 -in /root/hub1.request -out certs/hub1.cer

Using configuration from openssl.cnf

Enter pass phrase for /root/ca/private/ca.key.pem:

Check that the request matches the signature

Signature ok

Certificate Details:

Serial Number: 4100 (0x1004)

Validity

Not Before: Jul 29 01:37:40 2024 GMT

Not After : Aug 8 01:37:40 2025 GMT

Subject:

countryName = RU

localityName = Zelenograd

organizationName = S-Terra CSP

organizationalUnitName = RnD

commonName = Hub1

X509v3 extensions:

X509v3 Basic Constraints:

CA:FALSE

X509v3 Subject Key Identifier:

EC:8D:93:40:7C:30:48:A7:95:8D:1E:F6:B9:1B:9B:A6:A6:97:9D:F4

X509v3 Authority Key Identifier:

keyid:3C:6E:22:57:B8:50:A5:95:A5:0E:CC:95:78:02:04:49:7C:5C:28:CD

DirName:/CN=S-Terra CSP Test Root CA-OpenSSL/C=RU/L=Zelenograd/O=S-Terra CSP/OU=RnD

serial:77:0C:FD:38:EF:6F:E6:9B:B1:69:CE:48:FE:D6:F4:50:FF:01:36:A6

X509v3 Key Usage:

Digital Signature, Key Encipherment

X509v3 Extended Key Usage:

TLS Web Server Authentication

X509v3 Subject Alternative Name:

IP Address:10.0.102.25

Certificate is to be certified until Aug 8 01:37:40 2025 GMT (375 days)

Sign the certificate? [y/n]:y

1 out of 1 certificate requests certified, commit? [y/n]y

Write out database with 1 new entries

Database updated

2. Импортируйте сертификат криптошлюза в базу Продукта:

root@Hub1:~/ca#cert_mgr import -l -f certs/hub1.cer

3. Импортируйте сертификат УЦ в базу Продукта:

root@Hub1:~/ca#cert_mgr import -t -f certs/ca.cert.cer

ключ –f задает месторасположение файла сертификата;
ключ –t используется для импортирования доверенного (trusted) сертификата УЦ.

4. Убедитесь, что сертификаты успешно импортированы в базу Продукта:

root@Hub1:~/ca#cert_mgr show

Found 2 certificates. No CRLs found.

1 Status: local C=RU,L=Zelenograd,O=S-Terra CSP,OU=RnD,CN=Hub1

2 Status: trusted CN=S-Terra CSP Test Root CA-OpenSSL,C=RU,L=Zelenograd,O=S-Terra CSP,OU=RnD

Примечание – Видно, что сертификат УЦ импортирован как trusted, а сертификат криптошлюза как local (local означает, что для данного сертификата есть соответствующий ключевой контейнер).
5. Выполните проверку статуса сертификатов в базе Продукта:

root@Hub1:~/ca#cert_mgr check

1 State: Inactive C=RU,L=Zelenograd,O=S-Terra CSP,OU=RnD,CN=Hub1

Certificate can not be verified.

2 State: Inactive CN=S-Terra CSP Test Root CA-OpenSSL,C=RU,L=Zelenograd,O=S-Terra CSP,OU=RnD

Certificate can not be verified.

Примечание – Видно, что все сертификаты имеют статус Inactive (неактивный) с пометкой: «Certificate can not be verified» (сертификат не может быть проверен). Причиной этому является включенный по умолчанию в консоли cisco-like механизм проверки списка отозванных сертификатов (далее СОС или CRL). Так как в базе Продукта СОС отсутствует, поэтому проверка не может быть осуществлена.

Настройка шифрования с помощью LSP

Настройка будет осуществляться при помощи конфигурационного файла LSP, для этого создайте файл lsp.txt, содержимое которого потом будет загружено в LSP.
1. Для начала в файле LSP создайте глобальные параметры:

GlobalParameters(

Title = "Hub1 5.0 LSP IKEv2"

Version = LSP_5_0

CRLHandlingMode = DISABLE

PreserveIPsecSA = FALSE

)

2. Укажите структуру, которая будет задавать аутентификационную информацию. В данном случае аутентификация будет происходить для локальной аутентификации и для аутентификации партнера по сертификатам:

IKEAuth2 IKEV2-AUTH-RSA-SIG-LOCAL (

Identity = IdentityEntry(

DistinguishedName* = USER_SPECIFIC_DATA)

Credential = CertDescription()

SendCertMode = ALWAYS

SendRequestMode = ALWAYS

)

IKEAuth2 IKEV2-AUTH-RSA-SIG-REMOTE (

Credential = CertDescription()

)

3. Создайте отдельную структуру IdentityEntry под именем AnyConnect, которая будет описывать индентификационную информацию для мобильного клиента AnyConnect. Для этого выберите атрибут DistinguishedName с указанием Subject сертификата AnyConnect:

IdentityEntry ANYCONNECT (

DistinguishedName = CertDescription(

Subject = TEMPLATE,"L=Zelenograd,O=S-Terra CSP,CN=AnyConnect"

)

4. Укажите структуру, которая будет иметь требования к идентификационной информации партнёра. Для данной структуры укажите в требования идентификационную информацию структуры IdentityEntry под именем AnyConnect:

IKEAuth2 IKEV2-AUTH-RSA-SIG-ANYCONNECT (

Identity = ANYCONNECT

Credential = CertDescription()

)

5. Задайте пул для адресов и адрес сервера DNS, передаваемые клиенту по протоколу IKECFG:

AddressPool IKECFG_POOL_CLIENTS(

IPAddresses = 192.168.255.1..192.168.255.254

DNSServers = 8.8.8.8

)

6. Создайте политику, описывающую параметры: аутентификации, шифрования, проверки целостности пакета, и выработки общего ключа, для IKE туннеля:

IKEProposal2 IKE2-PROPOSAL (

EncryptionAlg = ENCR_AES_CBC_256

IntegrityAlg = AUTH_HMAC_SHA2_256_128

PrfAlg = PRF_HMAC_SHA2_256

KeyAlg = MODP_2048

)

7. Создайте структуру IKERule2, которая описывает правило создания контекста соединения c Cisco для протокола IKEv2. Параметр IKEPeerIPFilter должен содержать IP адрес внешнего интерфейса Cisco:

IKERule2 IKERule2:VPN:1

(

IKEPeerIPFilter = 10.0.108.195

Proposals = IKE2-PROPOSAL

LocalAuth = IKEV2-AUTH-RSA-SIG-LOCAL

RemoteAuth = IKEV2-AUTH-RSA-SIG-REMOTE

DPDMode = PERIODIC

DPDIdleDuration = 5

Priority = 10

)

8. Создайте структуру IKERule2, которая описывает правило создания контекста соединения c StrongSwan для протокола IKEv2. Параметр IKEPeerIPFilter должен содержать IP адрес внешнего интерфейса StrongSwan:

IKERule2 IKERule2:VPN:2

(

IKEPeerIPFilter = 10.0.108.237

Proposals = IKE2-PROPOSAL

LocalAuth = IKEV2-AUTH-RSA-SIG-LOCAL

RemoteAuth = IKEV2-AUTH-RSA-SIG-REMOTE

DPDMode = PERIODIC

DPDIdleDuration = 5

Priority = 20

)

9. Создайте структуру IKERule2, которая описывает правило создания контекста соединения c Мобильным клиентом AnyConnect для протокола IKEv2. Параметр RemoteAuth должен содержать RemoteSign_AnyConnect:

IKERule2 IKERule2:VPN:3:DMAP:1

(

Proposals = IKE2-PROPOSAL

LocalAuth = IKEV2-AUTH-RSA-SIG-LOCAL

RemoteAuth = IKEV2-AUTH-RSA-SIG-ANYCONNECT

IKECFGPool = IKECFG_POOL_CLIENTS

DPDMode = PERIODIC

DPDIdleDuration = 14

Priority = 100

)

10. Создайте структуру IKERule2, которая описывает правило создания контекста соединения c Мобильными клиентами для протокола IKEv2:

IKERule2 IKERule2:VPN:3:DMAP:2

(

Proposals = IKE2-PROPOSAL

LocalAuth = IKEV2-AUTH-RSA-SIG-LOCAL

RemoteAuth = IKEV2-AUTH-RSA-SIG-REMOTE

IKECFGPool = IKECFG_POOL_CLIENTS

DPDMode = PERIODIC

DPDIdleDuration = 14

Priority = 110

)

11. Задайте комбинированный алгоритм шифрования для трафика:

IPsecProposal2 IKE2-IPSEC-PROPOSAL (

ESPEncryptionAlg = ENCR_AES_CBC_256

ESPIntegrityAlg = AUTH_HMAC_SHA2_256_128

PFSAlg = MODP_2048

)

12. Задайте комбинированный алгоритм шифрования для трафика без использования PFS, так как нет поддержки работы с PFS у Cisco и AnyConnect:

IPsecProposal2 IKE2-IPSEC-PROPOSAL-CISCO (

ESPEncryptionAlg = ENCR_AES_CBC_256

ESPIntegrityAlg = AUTH_HMAC_SHA2_256_128

)

13. В структуре IPsecAction2 задайте правило создания контекста соединения с Cisco для протоколов семейства IPsec:

IPsecAction2 IPsecAction2:VPN:1

(

TunnelingParameters = TunnelEntry(

PeerAddress = 10.0.108.195

Assemble = TRUE

)

ContainedProposals = IKE2-IPSEC-PROPOSAL-CISCO

IKERule = IKERule2:VPN:1

)

14. В структуре IPsecAction2 задайте правило создания контекста соединения с StrongSwan для протоколов семейства IPsec:

IPsecAction2 IPsecAction2:VPN:2(

TunnelingParameters = TunnelEntry(

PeerAddress = 10.0.108.237

Assemble = TRUE

)

ContainedProposals = IKE2-IPSEC-PROPOSAL

IKERule = IKERule2:VPN:2

)

15. В структуре IPsecAction2 задайте правило создания контекста соединения с Мобильным клиентом AnyConnect для протоколов семейства IPsec:

IPsecAction2 IPsecAction2:VPN:3:DMAP:1(

TunnelingParameters = TunnelEntry(

Assemble = TRUE

)

ContainedProposals = IKE2-IPSEC-PROPOSAL-CISCO

IKERule = IKERule2:VPN:3:DMAP:1

)

16. В структуре IPsecAction2 задайте правило создания контекста соединения с Мобильными клиентами для протоколов семейства IPsec:

IPsecAction2 IPsecAction2:VPN:3:DMAP:2(

TunnelingParameters = TunnelEntry(

Assemble = TRUE

)

ContainedProposals = IKE2-IPSEC-PROPOSAL

IKERule = IKERule2:VPN:3:DMAP:2

)

Структура IPsecAction2 без указания параметра PeerAddress, является динамической крипто-картой. При использовании динамической крипто-карты криптошлюз может выступать не только в роли ответчика, но и инициировать IPsec-соединения, что может привести к превышению допустимого числа одновременных IKEv2-сессий. В рамках данного сценария корректно применять динамические крипто-карты только для подключения мобильных клиентов, где криптошлюз выступает в роли ответчика.

17. В структуре FilterChain задайте список правил пакетной и контекстной фильтрации:

FilterChain IPsecPolicy:VPN (

Filters = Filter (

ProtocolID = 17

SourcePort = 500, 4500

Action = PASS

PacketType = LOCAL_UNICAST, LOCAL_MISDIRECTED

Filter (

SourceIP = 192.168.100.0/24

DestinationIP = 192.168.1.0/24

Action = PASS

ExtendedAction = ipsec< sa = IPsecAction2:VPN:1 >

LogEventID = "IPsec:Protect:VPN:1:IPSEC_ACL_HUB1_AND_CISCO"

Filter (

SourceIP = 192.168.100.0/24

DestinationIP = 192.168.2.0/24

Action = PASS

ExtendedAction = ipsec< sa = IPsecAction2:VPN:2 >

LogEventID = "IPsec:Protect:VPN:2:IPSEC_ACL_HUB1_AND_STRONGSWAN"

Filter (

DestinationIP = 192.168.255.0/24

Action = PASS

ExtendedAction = ipsec< sa = IPsecAction2:VPN:3:DMAP:1, IPsecAction2:VPN:3:DMAP:2 >

LogEventID = "IPsec:Protect:VPN:3:DMAP:1:IPSEC_ACL_HUB1_AND_CLIENTS, VPN:3:DMAP:2: IPSEC_ACL_HUB1_AND_CLIENTS"

)

В последнем фильтре параметр SourceIP не указывается, чтобы клиенты имели доступ не только к одной заданной защищаемой сети, а ко всем доступным для криптошлюза.

Если в подсеть, указанную в параметре DestinationIP последнего фильтра динамической крипто-карты, поступает трафик, криптошлюз станет инициатором IPsec. Не допускайте этого, так как это может привести к превышению допустимого количества одновременных IKEv2-сессий.

18. В структуре NetworkInterface выберите внешний интерфейс GigabitEthernet0/0 для подключения созданной крипто-карты VPN к внешнему WAN-интерфейсу:

NetworkInterface (

LogicalName = "GigabitEthernet0/0"

IPsecPolicy = IPsecPolicy:VPN

)

NetworkInterface (

LogicalName = "GigabitEthernet0/1"

)

В Приложении представлен текст конфигураций LSP для криптошлюза.
Загрузите конфигурационный файл LSP в базу продукта:

root@Hub1:~/ca# lsp_mgr load -f lsp.txt

LSP successfully loaded from file "lsp.txt"

Настройка Cisco

Настройка сетевых параметров

Войдите в привилегированный режим и введите пароль, если он настроен:

csr1000v>enable

Password:

Войдите в режим глобальной конфигурации:

csr1000v#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Задайте имя устройства:

csr1000v(config)#hostname Cisco

Включите внешний GigabitEthernet1 и внутренний GigabitEthernet2 интерфейсы:

Cisco(config)#interface range GigabitEthernet 1 - 2

Cisco(config-if-range)#no shutdown

Cisco(config-if-range)#exit

*May 16 10:32:36.456: %LINK-3-UPDOWN: Interface GigabitEthernet1, changed state to up

*May 16 10:32:36.465: %LINK-3-UPDOWN: Interface GigabitEthernet2, changed state to up

*May 16 10:32:37.456: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet1, changed state to up

*May 16 10:32:37.464: %LINEPROTO-5-UPDOWN: Line protocol on Interface GigabitEthernet2, changed state to up

Задайте IP адреса в соответствии со схемой стенда на внешнем GigabitEthernet1 и внутреннем GigabitEthernet2 интерфейсах:

Cisco(config)#interface GigabitEthernet 1

Cisco(config-if)#ip address dhcp

*May 16 10:33:26.367: %DHCP-6-ADDRESS_ASSIGN: Interface GigabitEthernet1 assigned DHCP address 10.0.108.195, mask 255.255.0.0, hostname csr1000v

Cisco(config-if)#exit

Cisco(config)#interface GigabitEthernet 2

Cisco(config-if)#ip address 192.168.1.1 255.255.255.0

Cisco(config-if)#exit

Убедитесь, что интерфейсы настроены и находятся в состоянии up:

Cisco(config)#do sh ip int brief

Interface IP-Address OK? Method Status Protocol

GigabitEthernet1 10.0.108.195 YES DHCP up up

GigabitEthernet2 192.168.1.1 YES manual up up

GigabitEthernet3 unassigned YES NVRAM administratively down down

GigabitEthernet4 unassigned YES NVRAM administratively down down

Настройки PKI (запросы и сертификаты)

Сгенерируйте пару ключей RSA размера 2048 бит под именем VPN с помощью команды ниже:

Cisco(config)#crypto key generate rsa label VPN modulus 2048

The name for the keys will be: VPN

% The key modulus size is 2048 bits

% Generating crypto RSA keys in background ...

Создайте точку доверия с именем CA для использования в процессе получения сертификатов от центра сертификации:

Cisco(config)#crypto pki trustpoint CA

Укажите, что запрос на получение сертификата будет введен непосредственно с устройства через терминал:

Cisco(ca-trustpoint)#enrollment terminal

Установите информацию о субъекте сертификата, такую как общее имя (cn), подразделение (ou), организация (o), местоположение (l), страна (c). А также выключите CRL и установите размер RSA для сертификата равным 2048:

Cisco(ca-trustpoint)#subject-name cn=Cisco-CSR100v, o=S-Terra CSP, l=Zelenograd, c=RU

Cisco(ca-trustpoint)#revocation-check none

Cisco(ca-trustpoint)#rsakeypair VPN

Cisco(ca-trustpoint)#exit

Запустите процесс аутентификации CA и вставьте сертификат УЦ в кодировке BASE64. В ходе этого процесса устройство может проверить подлинность сертификата центра сертификации, чтобы убедиться в его доверительности перед использованием сертификатов, полученных от этого CA:

Cisco(config)#crypto pki authenticate CA

Enter the base 64 encoded CA certificate.

End with a blank line or the word "quit" on a line by itself

-----BEGIN CERTIFICATE-----

MIIDtzCCAp+gAwIBAgIUAX7UbyRms1TINoKSIMbF0wqJME4wDQYJKoZIhvcNAQEL

BQAwYzEpMCcGA1UEAwwgUy1UZXJyYSBDU1AgVGVzdCBSb290IENBLU9wZW5TU0wx

CzAJBgNVBAYTAlJVMRMwEQYDVQQHDApaZWxlbm9ncmFkMRQwEgYDVQQKDAtTLVRl

cnJhIENTUDAeFw0yNDAyMDIwOTQzMTVaFw00NDAxMjgwOTQzMTVaMGMxKTAnBgNV

BAMMIFMtVGVycmEgQ1NQIFRlc3QgUm9vdCBDQS1PcGVuU1NMMQswCQYDVQQGEwJS

VTETMBEGA1UEBwwKWmVsZW5vZ3JhZDEUMBIGA1UECgwLUy1UZXJyYSBDU1AwggEi

MA0GCSqGSIb3DQEBAQUAA4IBDwAwggEKAoIBAQDck4jT5lbNE3kPUQl8biukjRi2

p3KsFLUCsYgAJh7+ujifH+3ld0x9qBXTGjuU9teDTpQIRqMMuvfHfGp0WVhJvVzt

1qDXgC+BTKSbmZ9VhThHWyWoUvFP1nr1MvTNDNdOfK5GmJl0XXYMO9mjdPh7+GRF

wbgc0mkoujXKzaO8srFc9YJxv60up7L9nM+Vx7/NVKIyLM3W/JC02qARL0S9CRrk

o3UPXMyn939/8eZOEAmqLMILVVeRyc6y5YVb/+P6HQQSJESRDU1kZLP/cznFh9Xl

jZ+YzEzo9Er9XXvuGSrq7a63ULtybI65gSnxYb88yAil9N9vbs+JpPK1BrYRAgMB

AAGjYzBhMB0GA1UdDgQWBBSPHKdi7Z4T0MlrmraElH+mblnEgzAfBgNVHSMEGDAW

gBSPHKdi7Z4T0MlrmraElH+mblnEgzAPBgNVHRMBAf8EBTADAQH/MA4GA1UdDwEB

/wQEAwIBhjANBgkqhkiG9w0BAQsFAAOCAQEAO1e7zFcABfo0JxZ2sA1LJAye1S1i

dpVGWFc5Iwl8mWcbyqTPIj0/NYWO1iFB1M/i5Y4qd+exFxMjC/gfDDRk4GrMvkPA

t+VGyQ+4pM7t8nQt0gDEN/Kwq9h8stW273QwwFpT+3jrrCKzQyPkEFf0MuV+lwPf

KtbbBRH4ssuoij5kpqQwY2f0nP5sfwLg9nE2VlP9gROmRv8gjo5mxo6tIF/Nd2DP

GxKmem+ivR4MfS8eZGvdoACpRDHFouW3RxZf538mQE9mzFdMiG4ErLNuyYH0pDgs

gCtMmfx7lcjW+2Ft1v6ePdVq3xPqQbTjyqyPjW5O7FIBhyEV0tz+yTN5Bg==

-----END CERTIFICATE-----

Certificate has the following attributes:

Fingerprint MD5: B48D3CB3 11144F33 179AE0F0 ECB06A54

Fingerprint SHA1: FDC3CA24 E21BCF89 FF403FE1 AF892EEE E42FB02A

% Do you accept this certificate? [yes/no]: yes

Trustpoint CA certificate accepted.

% Certificate successfully imported

Инициируйте процесс генерации запроса на сертификат командой crypto pki enroll CA. Чтобы отобразить сгенерированный запрос на сертификат ответьте положительно yes на вопрос Display Certificate Request to terminal? [yes/no].
Примечание – Сертификат можно использовать без дополнительных элементов: серийного номера или IP адреса в subject name для этого ответьте отрицательно no. При необходимости включить эти дополнительные элементы в subject name ответьте положительно yes:

Cisco(config)#crypto pki enroll CA

% Start certificate enrollment ..

% The subject name in the certificate will include: cn=Cisco-CSR100v, o=S-Terra CSP, l=Zelenograd, c=RU

% The subject name in the certificate will include: Cisco.ikev2.cisco.com

% Include the router serial number in the subject name? [yes/no]: no

% Include an IP address in the subject name? [no]: no

Display Certificate Request to terminal? [yes/no]: yes

Certificate Request follows:

MIIC4TCCAckCAQAwezELMAkGA1UEBhMCUlUxEzARBgNVBAcTClplbGVub2dyYWQx

FDASBgNVBAoTC1MtVGVycmEgQ1NQMRYwFAYDVQQDEw1DaXNjby1DU1IxMDB2MSkw

JwYJKoZIhvcNAQkCFhpDaXNjby1DZXJ0LmlrZXYyLmNpc2NvLmNvbTCCASIwDQYJ

KoZIhvcNAQEBBQADggEPADCCAQoCggEBAJj1jpcbLmAoSDsb3bXmvugEECZeHdDH

HBrvIrTzzhYmrnPyOGu0zowyls2RXsmDOdgXD+AQyzLnIBt9faoN2sZhi4V2/5Pq

SFZ6gDZyoBMoY3H7n/gBTICfNuVGNBdPqWSRgsXoyzGEtHHioIm+jKPfdZI6TDHJ

frm8N2NCJh5itK5CW5G1xrOhS+HqUfUI/DLYVE2sM5FDsxfeqXoGS617UgJ26q+H

bgxTj3gSFtXeAvB8cIVUKn73wrCIwrmCkTv4jXDtApm9TJSYdy3YSZUosgsDRwYR

9VwJC+JG7q1y2S3fwZjXVgOKI4V87ySf+dgBWwVVoHTgZAM5lXF94vsCAwEAAaAh

MB8GCSqGSIb3DQEJDjESMBAwDgYDVR0PAQH/BAQDAgWgMA0GCSqGSIb3DQEBBQUA

A4IBAQAu70Kqtey8tsi2/v0X6UGGrO3FzhXwUO7gj+GY9Ta2KpuZMgM02YdqaGX4

wc53AS7btpiAnB7JwbfWlunGiL5IMmIdAoL1vTy5NjyL4ps+0JhAIYzgv9pxu6N1

c8X6YpF8fZgh+Y/q8bl/MLUghoFcytBKvx1CBeDaXJrxi4PYijr7ya1cIs0U3ydg

Y+8XkltfaC/UuYaxt6kxZtKvgW3ItfZU6GBM2LLFLQ9WBkqifHbTnPqv2QRtKxoC

o9jvUEZqH7BBwdDN2l3RnrwS5Yms1JnWUeG3ARll5ALXyt8zPtD5XFWh5390RY6M

FvW6jcrKrU/xHP7JvaNhtCu7zhQv

---End - This line not part of the certificate request---

Redisplay enrollment request? [yes/no]: no

Cisco не добавляет к выводу запроса сертификата строки -----BEGIN CERTIFICATE REQUEST----- и -----END CERTIFICATE REQUEST-----.

Для корректной обработки запроса на УЦ необходимо вручную добавить эти строки перед передачей файла на подпись.

После выполнения этой команды скопируйте запрос на сертификат в кодировке BASE64 на УЦ.
Создайте файл с запросом Cisco на криптошлюзе под именем cisco.pem по пути /root/ca/csr/cisco.pem и обязательно добавьте заголовки:

-----BEGIN CERTIFICATE REQUEST-----