Создание профиля IPsec

Вы можете создавать профили IPsec в сетевом шаблоне или на устройстве Kaspersky NGFW. Профили IPsec, созданные в сетевом шаблоне, автоматически создаются на всех устройствах, которые используют этот шаблон.

Чтобы создать профиль IPsec:

1. В главном меню Консоли Open Single Management Platform перейдите в раздел Приложения и сервисы → NGFW.
2. Перейдите к созданию профиля IPsec одним из следующих способов:
   • Если вы хотите создать профиль IPsec в сетевом шаблоне, в меню откройте вкладку Сетевые шаблоны, нажмите на сетевой шаблон и выберите раздел IPsec VPN.
   • Если вы хотите создать профиль IPsec на устройстве, в меню откройте вкладку Устройства, нажмите на устройство и выберите раздел IPsec VPN.
3. Откройте вкладку Профили IPsec.

   Отобразится таблица профилей IPsec.

4. Нажмите Создать.

   Откроется окно создания профиля IPsec.

5. В поле Название укажите название нового профиля IPsec. Название профиля IPsec должно быть уникальным в списке профилей IPsec этого устройства.

   Максимальная длина – 256 символов. Вы можете использовать латинские буквы и цифры, без пробелов.

6. При необходимости в поле Описание введите описание профиля IPsec.
7. Укажите протокол обеспечения безопасности передачи данных, выбрав нужное значение в блоке Протокол:
   • ESP

     Обеспечивает шифрование (конфиденциальность), аутентификацию и проверку целостности данных.

     Это значение выбрано по умолчанию.

   • AH

     Обеспечивает аутентификацию и целостность, но не предоставляет возможность шифрования данных.

   Рекомендуется использовать протокол ESP как современный стандарт обеспечения безопасности IPsec-соединений.

8. Укажите режим работы IPsec-туннеля, выбрав нужное значение в блоке Режим:
   • Туннельный

     Шифруются как полезная нагрузка исходного IP-пакета, так и его заголовок. Используется при передаче публичную незащищенную сеть. Этот режим выбран по умолчанию.

   • Транспортный

     Шифруется только полезная нагрузка IP-пакета, но не заголовок. Может использоваться для шифрования данных между узлами, имеющими непосредственную IP-связь.

9. Укажите нужный механизм шифрования данных для защиты трафика, выбрав его в списке Шифрование. Доступны следующие механизмы шифрования:
   • AES-CBC-128
   • AES-CBC-192
   • AES-CBC-256
   • AES-GCM-128
   • AES-GCM-192
   • AES-GCM-256 (выбран по умолчанию)
10. Если на предыдущем шаге вы выбрали механизм шифрования из семейства AES-CBC, вам необходимо будет дополнительно указать криптографическую функцию, гарантирующую целостность данных во время согласования ассоциаций безопасности IKE. Для этого выберите нужное значение в списке в списке Алгоритм целостности данных. Доступны следующие значения:
    • HMAC-SHA256
    • HMAC-SHA384 (выбрано по умолчанию)
    • HMAC-SHA512
11. Укажите псевдослучайную функцию (англ. pseudorandom function, PRF), которая будет генерировать псевдослучайные данные для криптографических целей при создании безопасного соединения. Для этого выберите нужное значение в списке PRF. Доступны следующие псевдослучайные функции:
    • PRF-SHA256
    • PRF-SHA384 (выбрано по умолчанию)
    • PRF-SHA512
12. Укажите группу Диффи – Хеллмана (группу DH, от англ. Diffie–Hellman) – набор параметров, определяющих длину и характеристики простых чисел, используемых в алгоритме обмена ключами Диффи – Хеллмана для безопасного распределения ключей между участниками IPsec-соединения. Для этого выберите нужное значение в списке Группа DH. Доступны следующие группы DH:
    • MODP-2048
    • MODP-3072
    • MODP-4096
    • ECP-256
    • ECP-384 (выбрано по умолчанию)
    • ECP-521
13. Укажите период действия ассоциаций безопасности для IPsec-соединения в поле Время жизни SA. Значение по умолчанию – 2880.
14. Нажмите Создать.

    Созданный профиль IPsec появится в таблице профилей IPsec.