Программный комплекс С-Терра Шлюз. Версия 4.1. Руководство администратора. Настройка S-Terra Gate с помощью Cisco Security Manager

Пример создания политики безопасности

Сценарий

Построение VPN туннеля между двумя подсетями, защищаемыми шлюзами S-Terra Gate, при

помощи Cicso Security Manager 4.3. Устройства Host1 и Host2 смогут общаться между собой по

защищенному каналу (VPN). Все остальные соединения разрешены, но защищаться не будут.

Аутентификация сторон осуществляется с использованием сертификатов. В качестве

криптопровайдера будет использован «КриптоПро CSP» версии 3.6.

Схема стенда

Рисунок 1

Параметры защищенного соединения:

Аутентификация на сертификатах

IKE parameters:

Encryption algorithm - GOST 28147-89

Hash algorithm - GOST R 34.11-94 Hash

DH-group - VKO GOST R 34.10-2001

IPsec parameters:

ESP encryption algorithm - GOST 28147-89

ESP integrity - GOST R 34.11-94 HMAC.

9

Создание защищенного туннеля между шлюзами при

помощи Cisco Security Manager 4.3

Запуск Cisco Security Manager

При запуске указывается имя сервера (ip адрес), на котором установлен Cisco Security

Manager, логин и пароль пользователя.

Рисунок 2

Подключение S-Terra Gate к CSM

Подключение S-Terra Gate к CSM производится через добавление нового устройства в меню

верхней панели File -> New Device:

В появившемся окне New Device - Choose Method выберите предложение Add

Device From Network и нажмите Next.

В следующем окне New Device - Device Information (Рисунок 3) в разделе

Identity введите:

Host Name - GW1,

IP-Address - 192.168.13.112,

OS Type - IOS 12.3+

Transport Protocol - SSH

В разделе Discover Device Settings выберите Discover - Policies and

Inventory и установите флажок Platform Settings.

13

Рисунок 3

Нажмите Next.

В окне New Device - Device Credentials (Рисунок 4) в разделе Primary

Credentials введите:

Username, Password (пользовательский пароль) и Confirm.

Если пользователь непривилегированный, необходимо еще ввести Enable Password

и Confirm.

Например, вводим Username - cscons, Password - csp, Confirm - csp.

В разделе HTTP Credentials оставьте рекомендуемые настройки.

Нажмите Next.

14

Рисунок 4

Согласитесь с созданием нового тикета (Рисунок 5).

15

Рисунок 5

Во время процесса обнаружения устройства появится предупреждение (Рисунок 6),

нажмите OK.

Рисунок 6

Для сохранения настроек в меню верхней панели нажмите Ticket->Submit Ticket.

Аналогично добавьте новое устройство S-Terra Gate, присвоив ему:

Host Name - GW2,

IP-Address - 192.168.13.78,

16

Далее, чтобы применить сделанные изменения выберите в меню верхней панели File-

>Deploy….

В появившемся окне Deploy Saved Changes отметьте добавленные шлюзы GW1 и GW2,

нажмите Deploy.

Устройства готовы к настройке.

Описание топологии сети

В меню верхней панели выберите Manage>Site-to-Site VPNs…

В появившемся окне Site-to-Site VPN Manager нажмите Create a VPN Topology

(«+ª сверху, в левой панели) и выберите топологию создаваемой защищенной сети -

Point-to-Point VPN.

Появится окно Create Point to Point VPN (Рисунок 7), в котором укажите:

имя создаваемого vpn-соединения - s-terra_vpn

IPSec Technology - Regular IPSec

IKE Version - IKE v1

Рисунок 7

17

Выберите устройства, между которыми будет создаваться защищенное соединение (Рисунок

8).

Поместите, используя кнопку >>, GW1 в поле Peer One, а GW2 в поле Peer Two. Нажмите

Next.

Рисунок 8

18

Затем для каждого устройства отредактируйте параметры соединения (Рисунок 9). Выберите

устройство и нажмите правую кнопку мыши или значок

внизу окна.

Рисунок 9

19

В окне Edit Endpoints for Device GW1 (Рисунок 10) во вкладке VPN Interface для

поля VPN Interface нажмите кнопку Select. В открывшемся окне Interface Selector

выберите FastEthernet0/0.

Установите переключатель Peer IP Address в положение VPN Interface IP Address.

Рисунок 10

Перейдите на вкладку Protected Networks (Рисунок 11) и выберите интерфейс из

защищаемой сети:

для Protected Networks укажите FastEthernet0/1.

20

Рисунок 11

Повторите процедуру по выбору шифрующих и защищаемых интерфейсов для шлюза GW1.

Полученный результат показан на Рисунок 12.

21

Рисунок 12

Нажмите кнопку Finish.

Далее перейдем к настройке IKE политики.

Настройка IKE политики

В окне Site-to-Site VPN Manager в панеле слева в разделе Policies выберите IKE

Proposal. Для выбора значения Ikev1 Proposals нажмите кнопку Select (Рисунок 13).

22

Рисунок 13

В появившемся окне IKE Proposal Selector (Рисунок 14) нажмите на кнопку «+».

В окне Add IKEv1 Proposal настройте параметры IKE политики: выберите алгоритмы

шифрования и аутентификации; метод аутентификации; группу Diffie-Hellman; установите

время жизни SA (Рисунок 15):

из списка Encryption Algorithm выберите значение des, которое будет

интерпретироваться S-Terra Gate как алгоритм шифрования ГОСТ 28147-89;

из списка Hash Algorithm выберите значение MD5, которое будет

интерпретироваться S-Terra Gate как алгоритм хеширования ГОСТ Р 34.11-94;

укажите Modulus Group - 2 (VKO GOST R 34.10-2001);

задайте значение Lifetime - 3600 сек;

из списка Authentication Method выберите Certificate.

Нажмите OK. В окне IKE Proposal Selector (Рисунок 14) выберите созданный IKE

Proposal.

В окне Site-to-Site VPN Manager нажмите Save и перейдите к настройке IPSec политики.

23

Рисунок 14

Рисунок 15

24

Настройка IPSec политики

В окне Site-to-Site VPN Manager в панеле слева в разделе Policies выберите IPSec

Proposal.

В появившемся окне (Рисунок 16) установите:

флажок Enable Ike1;

Lifetime - 3600 сек.;

Lifetime - 4608000 kbytes;

Reverse Route - Standard.

Чтобы выбрать Transform Set нажмите кнопку Select.

Рисунок 16

Появится окно IPSec IKEv1 Transform Sets Selector (Рисунок 17). В поле Selected

IPSec IKEv1 Transform Sets установите набор преобразований tunnel_des_md5.

25

Рисунок 17

В окне Site-to-Site VPN Manager нажмите Save.

26

VPN Summary

В окне Site-to-Site VPN Manager в панеле слева в разделе Policies выберите VPN

Summary. Здесь можно посмотреть основные установленные VPN параметры (Рисунок 18)

Рисунок 18

Более подробно посмотреть созданную конфигурацию можно по команде меню Tools ->

Preview Configuration.

В окне Site-to-Site VPN Manager нажмите Close и, чтобы сохранить внесенные

изменения, в меню на верхней панели нажмите Tickets -> Submit Ticket.

Настройка глобальных параметров

На верхней панели нажмите Device, слева в разделе Devices выберите шлюз безопасности,

в разделе Policies разверните Remote Access VPN > Global Settings (Рисунок 19).

Во вкладке ISAKMP/IPSec Settings установите значение параметра Identity* в

Distinguished Name.

Проделайте аналогичную операцию для второго шлюза безопасности.

Чтобы сохранить внесенные изменения, в меню на верхней панели нажмите Tickets -> Submit

Ticket.

27

Рисунок 19

Доставка конфигурации на устройство

В меню на верхней панели выберите File -> Deploy…. Будет предложено выбрать устройства,

на которые будет доставляться конфигурация. CSM автоматически определяет устройства,

для которых были сделаны изменения, но конфигурация на которые не была загружена.

Отметьте добавленные шлюзы и нажмите Deploy.

Будет выполнена попытка загрузить конфигурацию на устройство. Если конфигурация будет

доставлена на устройство успешно, то выдается соответствующее сообщение (Рисунок 20), в

случае неудачи - будет выдано сообщение об ошибке.

28

Рисунок 20

Проверка работоспособности стенда

После того, как все настройки завершены, инициируйте создание защищенного соединения.

На Host1 выполните команду:

ping 192.168.0.10

PING 192.168.0.10 (192.168.0.10): 56 data bytes

64 bytes from 192.168.0.10: icmp_seq=0 ttl=61 time=1201.3 ms

64 bytes from 192.168.0.10: icmp_seq=1 ttl=61 time=2.8 ms

64 bytes from 192.168.0.10: icmp_seq=2 ttl=61 time=1.3 ms

64 bytes from 192.168.0.10: icmp_seq=3 ttl=61 time=1.6 ms

В результате выполнения этой команды между устройствами GW1 и GW2 будет установлен

VPN туннель.

Убедиться в этом можно, выполнив на устройстве GW1 команду:

[root@GW1 /]# sa_mgr show

ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:

29

///////////////////////////////////////