IPsec VPN

Этот раздел содержит информацию о настройке на устройствах Kaspersky NGFW VPN-соединений, защищенных с помощью IPsec (IPsec VPN).

Использование виртуальных частных сетей (англ. virtual private networks, VPN) позволяет объединять между собой устройства в изолированных частных сетях через публичные сети (например, интернет) через защищенный канал. Для доставки пакетов через публичную сеть используются туннели, обеспечивающие инкапсуляцию пакетов. Проходящий через туннель трафик при этом дополнительно защищается криптографическими методами.

Kaspersky NGFW поддерживает установление между устройствами VPN-соединений типа "сеть-сеть" (англ site-to-site VPN) для обеспечения безопасной коммуникации между находящимися за устройствами Kaspersky NGFW частными сетями (например, между филиалами компании). Для защиты VPN-соединений в Kaspersky NGFW используется набор протоколов IPsec (RFC 4301). В основе IPsec лежат следующие протоколы:

• Internet Key Exchange (IKE; RFC 4306)

  Обеспечивает автоматическое управление защищенным каналом: согласование параметров безопасности (способов аутентификации, алгоритмов шифрования и т.п.), обмен ключами, аутентификацию сторон. В процессе работы IKE создаются так называемые ассоциации безопасности (англ. security associations, SA) – параметры безопасности, сопоставляющие между собой участвующие в безопасном соединении стороны.

• Encapsulation Security Payload (ESP; RFC 4303)

  Обеспечивает шифрование (конфиденциальность), аутентификацию и проверку целостности данных. Является современным стандартом обеспечения безопасности IPsec-соединений.

• Authentication Header (AH; RFC 4302)

  Обеспечивает аутентификацию и целостность, но не предоставляет возможность шифрования данных. Редко используется в современных сетях.

Создание защищенного IPsec-соединения происходит в две фазы:

• Фаза 1: создается ассоциация безопасности IKE для управления каналом. Пользователю необходимо указать публичные WAN-адреса обеих сторон, способ аутентификации и алгоритмы шифрования для управляющего канала.
• Фаза 2: создается ассоциация безопасности IPsec для шифрования. Пользователю необходимо селекторы трафика (traffic selectors, TS) – критерии, по которым трафик должен отбираться для отправки в защищенный туннель, а также способ аутентификации и алгоритмы для шифрования трафика.

В Kaspersky NGFW доступны два способа создания VPN-соединений:

• На основе политик (англ. policy-based VPN)

  Трафик отбирается для отправки в туннель на основе пар локальных и удаленных префиксов сетей.

• На основе маршрутизации(англ. route-based VPN)

  Создается виртуальный туннельный интерфейс, и в него отправляется весь трафик согласно таблицам маршрутизации, в которых присутствует этот туннельный интерфейс.

Для создания IPsec VPN используются следующие логические сущности:

• IKE-шлюзы
• Профили IKE
• Профили IPsec
• IPsec-туннели

В следующих разделах более подробно описаны сценарии создания VPN-соединений на основе политик с селекторами трафика и на основе маршрутизации с виртуальным туннельным интерфейсом.