Предопределенные правила

Как и предопределенные политики, предопределенное правило отклика может быть активизировано без дополнительной настройки или изменено в соответствии с конкретными потребностями. Оно добавляется в каждую создаваемую политику, но не активизируется автоматически. Правило предназначено для любых компьютеров, которые не требуют безопасности, но должны иметь возможность дать соответствующий отклик при запросе безопасной связи от другого компьютера.

Предопределенные действия фильтра

Как и предопределенные правила, предопределенные действия фильтра могут быть активизированы без дополнительной настройки, изменены или использованы в качестве шаблона при определении собственных действий фильтра. Следующие действия фильтра доступны для активизации в любом новом или существующем правиле.

• Требовать безопасность. Высокая безопасность. Небезопасные связи не допускаются.

• Запрос безопасности (необязательно). Безопасность от средней до низкой. Небезопасная связь допускается для обеспечения связи с компьютерами, не выполняющими согласование IPSEC.

Методы безопасности ipsec

Каждый метод безопасности определяет требования к безопасности подключения, к которому применяется соответствующее правило. Создание нескольких методов безопасности повышает шансы нахождения общего метода для двух компьютеров.

Предопределенные методы безопасности

• Высокая безопасность (EPS). Использует протокол ESP для обеспечения конфиденциальности (шифрования данных), проверки подлинности, отсутствия повторов и проверки целостности, благодаря чему подходит в ситуациях, когда требуется высокий уровень безопасности. ESP не обеспечивает целостность заголовка IP (содержащего сведения об адресации). Если требуется одновременно защита данных и адресации, можно создать настраиваемый метод безопасности. Если шифрование не требуется, можно использовать метод Средняя безопасность (AH).

• Средняя безопасность (AH). Использует протокол AH для обеспечения целостности, отсутствия повторов и проверки подлинности. Этот метод годится в ситуациях, когда план безопасности предусматривает стандартные методы безопасности. AH обеспечивает целостность заголовка IP и данных, но не зашифровывает данные.

Настраиваемые методы безопасности

Опытные пользователи могут указать настраиваемые методы безопасности, если требуются одновременно шифрование и проверка целостности, сильные алгоритмы или ограничение времени жизни ключей. Также можно комбинировать методы.

• Протоколы безопасности

В настраиваемом методе безопасности можно включить использование как AH, так и ESP, если требуется обеспечить целостность заголовка IP и шифрование данных. Если включены оба протокола, указывать второй алгоритм проверки подлинности для ESP не обязательно; целостность будет обеспечиваться алгоритмом, выбранным для AH.

• Проверка целостности

• Алгоритм MD5 (Message Digest 5) создает 128-битный ключ.

• Алгоритм SHA (Secure Hash Algorithm) создает 160-битный ключ. Более длинный ключ обеспечивает более надежную защиту, поэтому алгоритм SHA надежнее.

• Конфиденциальность

• Алгоритм 3DES надежнее всех алгоритмов DES и несколько снижает быстродействие. 3DES обрабатывает каждый блок три раза, каждый раз используя уникальный ключ.

• Алгоритм DES предназначен для использования в случаях, когда нет необходимости в высокой безопасности и объеме вычислений 3DES, или для обеспечения взаимодействия. DES использует только 56 бит данных для ключа.

• Время жизни ключа

Параметры времени жизни ключа определяют время создания нового ключа, а не способ его создания. Время жизни можно задать в килобайтах переданных данных, в секундах или обоими способами. Например, если связь продолжается в течение 100 000 секунд, а для ключа задано время жизни в 1000 секунд, за время обмена данными будет создано 10 ключей. Это гарантирует, что даже при захвате части подключения злоумышленники не смогут захватить подключение в целом. Создание новых ключей выполняется автоматически, настройка не обязательна. Имейте в виду, что по окончании времени жизни ключа, помимо обновления или пересоздания ключа, сопоставление безопасности также согласовывается заново.