VPN

VPN – это обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений поверх другой сети, например сети Интернет.

ARMA FW поддерживает работу двух технологий VPN:

• OpenVPN;

• IPsec.

В ARMA FW реализована возможность просмотра конфигурации созданных серверов и клиентов при создании подключения OpenVPN или ГОСТ VPN (см. «Диагностика VPN» настоящего руководства).

OpenVPN

OpenVPN – это реализация технологии VPN, использующая SSL/TLS для защиты туннелируемого трафика. В работе OpenVPN используется механизм TUN/TAP, реализованный в виде загружаемого драйвера ядра.

ARMA FW поддерживает работу OpenVPN в режимах «сеть – сеть» и «узел – сеть».

При настройке подключения OpenVPN рекомендуется придерживаться следующих криптографических установок:

• «Пиринговая сеть (Общий ключ)»:

  • «Алгоритм шифрования» – «AES-256-CBC (256 bit key, 128 bit block)», «AES-128-CBC (128 bit key, 128 bit block)»;

  • «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)», «SHA512 (512-bit)»;

• «Пиринговая сеть (SSL/TLS)»:

  • «Алгоритм шифрования» – «AES-256-CBC (256 bit key, 128 bit block)»;

  • «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)», «SHA512 (512-bit)»;

• «Удаленный доступ (SSL/TLS)»:

  • «Алгоритм шифрования» – «AES-256-GCM (256 bit key, 128 bit block, TLS client/server mode only)»;

  • «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)»;

• «Удаленный доступ (аутентификация пользователя)»:

  • «Алгоритм шифрования» – «AES-256-GCM (256 bit key, 128 bit block, TLS client/server mode only)»;

  • «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)»;

• «Удаленный доступ (SSL/TLS+аутентификация пользователя)»:

  • «Алгоритм шифрования» – «AES-256-GCM (256 bit key, 128 bit block, TLS client/server mode only)»;

  • «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)».

Для режимов сервера «Удаленный доступ (SSL/TLS)», «Удаленный доступ (аутентификация пользователя)» и «Удаленный доступ (SSL/TLS+аутентификация пользователя)» рекомендуется не включать сжатие туннельных пакетов.

Настройка OpenVPN в режиме «сеть – сеть»

В качестве примера настройки OpenVPN в режиме «сеть – сеть» будет использоваться схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки OpenVPN в режиме «сеть – сеть»).

Рисунок – Схема стенда для настройки OpenVPN в режиме «сеть – сеть»

Перед началом настройки необходимо создать правила МЭ, разрешающие трафик ICMP, для интерфейсов «WAN» каждого ARMA FW (см. «Создание правил межсетевого экранирования» настоящего руководства) и убедиться в следующем:

• интерфейсы «WAN» каждого ARMA FW используют IP-адреса доступные друг другу по команде «ping»;

• сегмент интерфейса «LAN» каждого ARMA FW использует уникальную сеть, в примере используются сети «192.168.1.0/24» и «192.168.2.0/24».

Примечание

При использовании динамической маршрутизации OSPF в туннеле OpenVPN необходимо учитывать следующие особенности:

• при настройке сервера и клиента OpenVPN в режимах «Пиринговая сеть (Общий ключ)» или «Пиринговая сеть (SSL/TLS)» для параметра «Режим работы устройства» выбрать значение «tun», а поля параметров «Локальная сеть IPv4» и «Удаленная сеть IPv4» не должны быть заполнены;

• при настройке сервера OpenVPN в режиме «Пиринговая сеть (SSL/TLS)» в блоке «Настройки клиента» установить флажок для параметра «Топология сети».

Настройка на ARMA FW1

Для настройки OpenVPN на ARMA FW1 необходимо выполнить следующие действия:

1. Перейти в подраздел настройки серверов OpenVPN («VPN» - «OpenVPN» - «Серверы») и нажать кнопку «+Добавить» для добавления нового сервера.

2. В открывшейся форме указать параметры согласно таблице (см. Таблица «Параметры OpenVPN ARMA FW1») и нажать кнопку «Сохранить». Неуказанные параметры оставить по умолчанию.

Таблица «Параметры OpenVPN ARMA FW1»

Параметр	Значение
Описание	OpenVPN peer 1
Режим сервера	Пиринговая сеть (Общий Ключ)
Интерфейс	WAN
Локальный порт	1194
Автоматически назначить порт	Флажок установлен
Совместно использующийся ключ	Флажок установлен
Алгоритм шифрования	AES-256-CBC (256 bit key, 128 bit block)
Дайджест-алгоритм аутентификации	SHA512 (512-bit)
Туннельная сеть IPv4	10.10.0.0/24
Локальная сеть IPv4	192.168.1.0/24
Удаленная сеть IPv4	192.168.2.0/24
Сжатие	Включено с использованием адаптивного сжатия
Уровень детальности сообщений	3 (рекомендуется)

Копирование ключа

После создания сервера в поле параметра «Совместно использующийся Ключ» будет отображён сгенерированный ключ (см. Рисунок – Совместно используемый ключ OpenVPN).

Рисунок – Совместно используемый ключ OpenVPN

Для копирования ключа необходимо выполнить следующие действия:

1. Перейти в подраздел настройки серверов OpenVPN («VPN» - «OpenVPN» - «Серверы») и нажать кнопку «» напротив созданного сервера.

2. В открывшейся форме перейти в блок настроек «Криптографические установки» и скопировать в буфер обмена содержимое поля параметра «Совместно использующийся Ключ».

Настройка на ARMA FW2

Для настройки OpenVPN на ARMA FW2 необходимо выполнить следующие действия:

1. Перейти в подраздел настройки клиента OpenVPN («VPN» - «OpenVPN» - «Клиенты») и нажать кнопку «+Добавить» для добавления нового клиента.

2. В открывшейся форме указать следующие значения параметров:

• «Описание» – «OpenVPN peer 2»;

• «Режим сервера» – «Пиринговая сеть (Общий Ключ)»;

• «Интерфейс» – «WAN»;

• «Удаленный сервер, Хост или адрес» – «198.51.100.51»;

• «Удаленный сервер, Порт» – «1194»;

• «Локальный порт» – «1194»;

• «Автоматически назначить порт» – флажок установлен;

• «Совместно использующийся ключ» – флажок не установлен. Вставлено значение ранее скопированного ключа (см. раздел «Копирование ключа» настоящего руководства);

• «Алгоритм шифрования» – «AES-256-CBC (256 bit key, 128 bit block)»;

• «Дайджест-алгоритм аутентификации» – «SHA512 (512-bit)»;

• «Туннельная сеть IPv4» – «10.10.0.0/24»;

• «Удаленная сеть IPv4» – «192.168.1.0/24»;

• «Сжатие» – «Включено с использованием адаптивного сжатия»;

• «Уровень детальности сообщений» – «3 (рекомендуется)»;

и нажать кнопку «Сохранить».

Неуказанные параметры оставить по умолчанию.

В результате настройки OpenVPN будет создан VPN-канал со следующими характеристиками:

• SSL/TLS используется;

• туннелируемый трафик инкапсулируется в UDP-пакеты;

• демон OpenVPN обрабатывает подключения только на IP-адрес, присвоенный WAN-адаптеру;

• сертификаты не используются;

• аутентификация по логину/паролю не используется;

• аутентификация TLS не используется;

• сжатие данных используется.

Создание правил МЭ

Для корректной работы VPN-туннеля необходимо настроить правила МЭ:

• на ARMA FW1 правило для разрешения OpenVPN трафика и трафика из сети «192.168.2.0/24»;

• на ARMA FW2 правило для разрешения трафика из сети «192.168.1.0/24».

Описание создания правил МЭ представлено в разделе «Создание правил межсетевого экранирования» настоящего руководства.

Необходимо создать правила, указав следующие значения параметров:

• ARMA FW1 (правило №1):

  • «Интерфейс» – «WAN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «UDP»;

  • «Отправитель» – «Единственный хост или сеть», «203.0.113.67»;

  • «Диапазон портов назначения» – «OpenVPN»;

  • «Описание» – «Allow VPN»;

• ARMA FW1 (правило №2):

  • «Интерфейс» – «OpenVPN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «Любой»;

  • «Отправитель» – «Единственный хост или сеть», «192.168.2.0/24»;

  • «Диапазон портов назначения» – «Любой»;

  • «Описание – «Allow VPN Traffic»;

• ARMA FW2:

  • «Интерфейс» – «OpenVPN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «Любой»;

  • «Отправитель» – «Единственный хост или сеть», «192.168.1.0/24»;

  • «Диапазон портов назначения» – «Любой»;

  • «Описание» – «Allow VPN Traffic».

Неуказанные параметры оставить по умолчанию.

После применения правил МЭ необходимо убедиться в работе канала, для этого на любом из ARMA FW перейти в подраздел статусов соединения OpenVPN («VPN» - «OpenVPN» - «Статус соединения»), значение столбца «Статус» должно быть «up» (см. Рисунок – Статус соединения OpenVPN).

Рисунок – Статус соединения OpenVPN

Настройка OpenVPN в режиме «узел – сеть»

В качестве примера настройки OpenVPN в режиме «узел – сеть» будет использоваться схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки OpenVPN в режиме «узел – сеть»), авторизация пользователей осуществляется согласно локальной БД ARMA FW.

Рисунок – Схема стенда для настройки OpenVPN в режиме «узел – сеть»

Для настройки OpenVPN в режиме «узел – сеть» необходимо выполнить следующие шаги:

1. Создать доверенный центр сертификации.

2. Создать сертификат сервера.

3. Создать пользовательскую УЗ и клиентский сертификат.

4. Настроить ARMA FW в качестве сервера OpenVPN.

Создание доверенного центра сертификации

Для создания доверенного центра сертификации необходимо выполнить действия, представленные в разделе «Создание внутреннего центра сертификации» настоящего руководства.

Создание сертификата сервера

Для создания сертификата сервера необходимо выполнить следующие действия, представленные в разделе «Создание внутреннего сертификата» настоящего руководства.

Создание пользовательской УЗ и клиентского сертификата

Описание создания пользовательской УЗ представлено в разделе «Учётные записи и права доступа» настоящего руководства.

Для создания пользовательского сертификата необходимо выполнить следующие действия:

1. Открыть форму создания сертификата:

• при создании УЗ – установить флажок для параметра «Сертификат» и нажать кнопку «Сохранить» (см. Рисунок – Создание сертификата при создании УЗ);

• для УЗ, созданной ранее – в форме редактирования УЗ нажать кнопку «» в параметре «Сертификаты пользователя» (см. Рисунок – Создание сертификата при редактировании УЗ).

Рисунок – Создание сертификата при создании УЗ

Рисунок – Создание сертификата при редактировании УЗ

2. В открывшейся форме указать следующие значения параметров:

• «Метод» – «Создать внутренний сертификат»;

• «Центр сертификации» – «ARMA CA»;

• «Тип» – «Сертификат клиента»;

• «Время существования (дни)» – «365»;

и нажать кнопку «Сохранить».

3. Нажать кнопку «Сохранить» в форме редактирования УЗ.

Настройка ARMA FW

Для настройки ARMA FW в качестве сервера OpenVPN необходимо выполнить следующие действия:

1. Перейти в подраздел настройки серверов OpenVPN («VPN» - «OpenVPN» - «Серверы») и нажать кнопку «+Добавить» для добавления нового сервера.

2. В открывшейся форме указать следующие значения параметров:

• «Описание» – «OpenVPN Server»;

• «Режим сервера» – «Удаленный доступ (SSL/TLS + аутентификация пользователя)»;

• «Сервер для аутентификации» – «Локальная база данных»;

• «Интерфейс» – «OPT1»;

• «Локальный порт» – «1194»;

• «Центр сертификации пиров» – «ARMA CA»;

• «Сертификат сервера» – «OpenVPN cert (ARMA CA)»;

• «Алгоритм шифрования» – «AES-256-GCM (256 bit key, 128 bit block, TLS client/server mode only)»;

• «Дайджест-алгоритм аутентификации» – «SHA256 (256-bit)»;

• «Туннельная сеть IPv4» – «10.0.8.0/24»;

• «Локальная сеть IPv4» – «192.168.1.0/24»;

• «Сжатие» – «Выключено – Без сжатия»;

• «DNS-серверы» – флажок установлен, указывается IP-адреc DNS сервера для локальной сети, в примере «192.168.1.1»;

• «Уровень детальности сообщений» – «3 (рекомендуется)»;

и нажать кнопку «Сохранить».

Неуказанные параметры оставить по умолчанию.

После создания OpenVPN сервера необходимо создать правила МЭ для интерфейсов «OPT1» и «OpenVPN», указав следующие значения параметров:

• Правило для интерфейса «OPT1»:

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «UDP»;

  • «Отправитель» – «OPT1 сеть»;

  • «Диапазон портов назначения» – «OpenVPN»;

  • «Описание» – «Allow VPN»;

• Правило для интерфейса «OpenVPN»:

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «Любой»;

  • «Отправитель» – «OpenVPN сеть»;

  • «Диапазон портов назначения» – «Любой»;

  • «Описание» – «Allow VPN Traffic».

Описание создания правил МЭ представлено в разделе «Создание правил межсетевого экранирования» настоящего руководства.

Настройка клиента

Для настройки клиента необходим конфигурационный файл OpenVPN.

Для создания конфигурационного файла необходимо выполнить следующие действия:

1. Перейти в подраздел экспорта настроек клиента («VPN» - «OpenVPN» - «Экспорт настроек клиента») (см. Рисунок – Экспорт настроек клиента).

Рисунок – Экспорт настроек клиента

2. Задать параметры для экспорта:

• «Сервер удаленного доступа» – созданный сервер, в примере «OpenVPN Server UDP:1194»;

• «Тип экспорта» – «Только файл»;

• «Имя хоста» – имя или IP-адрес сервера, в примере «192.168.2.1».

Остальные параметры оставить по умолчанию.

3. Нажать кнопку «» напротив имени пользователя внизу страницы и сохранить конфигурационный файл, следуя указаниям веб-браузера.

Экспортированный конфигурационный файл необходимо импортировать в клиентскую часть ПО «OpenVPN» на ПК «Client» и выполнить подключение к созданному серверу на ARMA FW.

IPsec

IPsec – набор протоколов для обеспечения защиты данных, передаваемых по межсетевому протоколу IP.

ARMA FW поддерживает работу IPsec в режимах «сеть – сеть» и «узел – сеть».

В случае временного отключения и последующего подключения участника IPsec-туннеля, восстановление туннеля происходит автоматически.

Примечание

При включении IPsec на виртуальных машинах возможны сбои в работе ARMA FW.

Создание туннеля IPsec осуществляется в два этапа:

• «фаза 1» – согласование узлами метода идентификации и параметров шифрования для обмена ключами;

• «фаза 2» – согласование узлами метода параметров шифрования трафика.

При настройке фазы 1 туннеля IPsec в поле параметра «Версия обмена ключами» допускается выбор следующих значений версии протокола «IKE»: «auto», «V1», «V2» – используется по умолчанию.

При настройке фазы 1 туннеля IPsec в поле параметра «Действие закрытия» возможно указать действие, выполняемое в случае потери связности с удалённым узлом:

• «Отсутствует» – отключает действие;

• «Сброс» – закрывает соединение без дальнейших действий;

• «Удержание» – перехватывает трафик и повторно инициирует согласование соединения по требованию;

• «Перезапуск» – немедленно инициирует согласование соединения.

Примечание

Для параметра «Действие закрытия» следует установить значение «Отсутствует», если узел использует повторную аутентификацию или проверку уникальных идентификаторов.

При настройке фазы 1 туннеля в режиме динамической маршрутизации необходимо в блоке «Дополнительные параметры» снять флажок для параметра «Политика установки».

При настройке фазы 2 туннеля IPsec для параметра «Режим» возможен выбор следующих значений:

• «Туннель IPv4» – режим туннелирования по версии IPv4, при котором выполняется шифрование IP-заголовка пакета и передаваемых данных с последующей инкапсуляцией в новый IP-пакет;

• «Туннель IPv6» – режим туннелирования по версии IPv6, при котором выполняется шифрование заголовка пакета и передаваемых данных;

• «Динамическая маршрутизация» – режим используется совместно с динамической маршрутизацией;

• «Транспортный протокол» – транспортный режим, при котором выполняется шифрование только передаваемых данных.

Настройка IPsec в режиме «узел – сеть»

В качестве примера настройки IPsec в режиме «узел – сеть», используется схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки IPsec в режиме «узел – сеть»).

Рисунок – Схема стенда для настройки IPsec в режиме «узел – сеть»

Для настройки IPsec в режиме «узел – сеть» необходимо выполнить следующие шаги:

1. Создать внутренний центр сертификации.

2. Создать внутренний сертификат.

3. Настроить мобильный клиент и туннель IPsec.

4. Добавить ключ IPsec.

5. Импортировать сертификат клиенту.

6. Настроить новое сетевое подключение.

Шаг 1. Создание внутреннего центра сертификации

Для создания доверенного центра сертификации необходимо выполнить действия, представленные в разделе «Создание внутреннего центра сертификации» настоящего руководства.

Сертификат созданного центра сертификации необходимо экспортировать, нажав кнопку «Экспортировать сертификат CA» (см. Рисунок – Экспорт сертификата СА) в подразделе полномочий («Система» - «Доверенные сертификаты» - «Полномочия»).

Рисунок – Экспорт сертификата CA

Шаг 2. Создать внутренний сертификат

Для создания внутреннего сертификата необходимо выполнить действия, представленные в разделе «Создание внутреннего сертификата» настоящего руководства, указав следующие значения параметров:

• «Метод» – «Создать внутренний сертификат»;

• «Описательное имя» – «IKEv2 cert»;

• «Центр сертификации» – «ARMA CA»;

• «Тип» – «Сертификат сервера»;

• «Время существования (дни)» – «365»;

• «Код страны» – «RU (Russia)»;

• «Область» – «МО»;

• «Город» – «Moscow»;

• «Организация» – «InfoWatch»;

• «Эл. почта» – «admin@infowatch.ru»;

• «Стандартное имя» – «IPsecCA»;

• «Альтернативные Имена, Тип» – «IP-адрес»;

• «Альтернативные Имена, Значение» – IP-адрес WAN интерфейса ARMA FW, на схеме – «192.168.2.1».

Значения параметров «Описательное имя», «Код страны», «Область», «Город», «Организация», «Эл. почта», «Стандартное имя» указаны справочно.

Шаг 3. Настройка мобильного клиента и туннеля IPsec

Для поддержки мобильных клиентов IPsec необходимо выполнить следующие действия:

1. Перейти в подраздел настроек мобильных клиентов IPsec («VPN» - «IPsec» - «Мобильные клиенты») (см. Рисунок – Настройка мобильного клиента IPsec).

Рисунок – Настройка мобильного клиента IPsec

2. Указать следующие настройки:

• «Включить» – флажок установлен;

• «Сервер для аутентификации» – «Локальная база данных»;

• «Пул виртуальных IPv4-адресов» – флажок установлен и указано значение «10.0.8.0/24».

Остальные параметры оставить по умолчанию.

3. Нажать кнопку «Сохранить». Появится предупреждение о необходимости создания фазы 1 (см. Рисунок – Предупреждение о необходимости создания фазы 1).

Рисунок – Предупреждение о необходимости создания фазы 1

4. Нажать кнопку «Создайте Phase1» и указать следующие значения параметров в открывшейся форме (см. Рисунок – Настройка фазы 1):

• «Метод аутентификации» – «EAP-MSCHAPV2»;

• «Мой идентификатор» – «IP-адрес», «192.168.2.1»;

• «Мой сертификат» – «IKEv2 cert»;

• «Алгоритм шифрования» – «AES», «256»;

• «Группа ключей DH» – «2 (1024 bits)», «14 (2048 bits)».

Остальные параметры оставить по умолчанию.

Рисунок – Настройка фазы 1

5. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

6. Для созданной записи нажать кнопку «» (см. Рисунок – Добавление записи фазы 2) для добавления записи фазы 2.

Рисунок – Добавление записи фазы 2

7. Указать следующие значения параметров в открывшейся форме (см. Рисунок – Настройка фазы 2):

• «Алгоритмы шифрования» – флажки установлены для значений «AES» и «3DES»;

• «Алгоритмы хеша» – «SHA1».

Остальные параметры оставить по умолчанию.

Рисунок – Настройка фазы 2

8. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

9. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить».

Шаг 4. Добавление ключа IPsec

Для добавления ключа IPsec необходимо выполнить следующие действия:

1. Перейти в подраздел предварительно выданных ключей («VPN» - «IPsec» - «Предварительно выданные ключи») и нажать кнопку «+Добавить».

2. Указать следующие настройки в открывшейся форме (см. Рисунок – Добавление ключа IPsec):

• «Идентификатор» – «User»;

• «Предварительно выданный ключ» – «123»;

• «Тип» – «EAP».

Рисунок – Добавление ключа IPsec

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Шаг 5. Импорт сертификата клиенту

Перед началом импорта необходимо создать оснастку для работы с сертификатами, в качестве примера будет использоваться ОС «Windows».

Порядок создания оснастки для работы с сертификатами на ПК «Client» необходимо выполнить следующие действия:

1. Нажать комбинацию клавиш «Win» + «R» и в появившемся меню «Выполнить» ввести «mmc» и нажать клавишу «ENTER» для запуска консоли управления.

2. В меню «Файл» открывшейся консоли управления выбрать «Добавить или удалить оснастку…».

3. В открывшейся форме добавления и удаления оснасток из столбца «Доступные оснастки» выбрать «Сертификаты» и нажать «Добавить».

4. На первом шаге открывшейся оснастки выбрать значение «учетной записи компьютера» и нажать кнопку «Далее», в следующем шаге выбрать значение «локальным компьютером» и нажать кнопку «Готово».

5. Нажать кнопку «ОК» в форме добавления и удаления оснасток (см. Рисунок – Создание оснастки для работы с сертификатами на ПК «Client»).

Рисунок – Создание оснастки для работы с сертификатами на ПК «Client»

6. При необходимости сохранить консоль – выбрать значение «Сохранить» или «Сохранить как» меню «Файл». Рекомендуемое имя «armacertmngr».

Для импорта сертификата, экспортированного на шаге 1 (см. «Шаг 1. Создание внутреннего центра сертификации» настоящего руководства), необходимо выполнить следующие действия:

1. В оснастке для работы с сертификатами перейти в иерархии по пути:

• «Сертификаты (локальный компьютер)» - «Доверенные корневые центры сертификации» - «Сертификаты».

2. В меню «Действие» консоли управления выбрать «Все задачи», а затем «Импорт».

3. Следовать указаниям мастера импорта сертификатов, выбрав сертификат, экспортированный на шаге 1 (см. «Шаг 1. Создание внутреннего центра сертификации» настоящего руководства).

Шаг 6. Настройка нового сетевого подключения

В качестве примера настройки нового сетевого подключения будет использоваться создание и настройка подключения в ОС «Windows».

Для создания и настройки VPN подключения на ПК «Client» необходимо выполнить следующие действия:

1. Перейти в «Панель управления», установить режим просмотра «Мелкие значки», выбрать раздел «Центр управления сетями и общим доступом» и нажать «Создание и настройка нового подключения или сети».

2. В открывшемся мастере выбрать «Подключение к рабочему месту» и нажать кнопку «Далее».

3. На следующем шаге выбрать «Использовать мое подключение к интернету (VPN)», а в следующем шаге задать настройки подключения (см. Рисунок – Настройка нового сетевого подключения):

• «Адрес в Интернете» – «192.168.2.1»;

• «Имя объекта назначения» – «VPN-подключение»;

и нажать кнопку «Создать».

Рисунок – Настройка нового сетевого подключения

4. Перейти в «Панель управления», установить режим просмотра «Мелкие значки», выбрать раздел «Центр управления сетями и общим доступом».

5. Выбрать «Изменение параметров адаптера», нажать правой кнопкой мыши на созданное ранее подключение «VPN-подключение» и выбрать «Свойства».

6. Перейти во вкладку «Безопасность» (см. Рисунок – Настройка параметров сетевого подключения) и указать следующие значения параметров:

• «Тип VPN» – «IKEv2»;

• «Шифрование данных» – «обязательное (отключиться, если нет шифрования)»;

• «Проверка подлинности» – флажок установлен «Microsoft: защищённый пароль (EAP-MSCHAP v2) (шифрование включено)»;

и нажать кнопку «OK».

Рисунок – Настройка параметров сетевого подключения

Для подключения VPN соединения необходимо нажать правой кнопкой мыши на созданное ранее подключение «VPN-подключение» и выбрать «Подключить». Ввести аутентификационные данные, созданные на шаге 4 (см. «Шаг 4. Добавление ключа IPsec» настоящего руководства) и нажать кнопку «OK» для подключения.

Проверка подключения

Для проверки успешного подключения необходимо убедиться в соответствующих записях в следующих подразделах:

1. Статуса аренды адресов («VPN» - «IPsec» - «Статус аренды адресов») (см. Рисунок – «VPN» - «IPsec» - «Статус аренды адресов»).

Рисунок – «VPN» - «IPsec» - «Статус аренды адресов»

2. Базы данных безопасных ассоциаций («VPN» - «IPsec» - «База данных безопасных ассоциаций (SAD)») (см. Рисунок – «VPN» - «IPsec» - «База данных безопасных ассоциаций (SAD)»).

Рисунок – «VPN» - «IPsec» - «База данных безопасных ассоциаций (SAD)»

3. Базы данных политик безопасности («VPN» - «IPsec» - «База данных политик безопасности (SPD)») (см. Рисунок – «VPN» - «IPsec» - «База данных политик безопасности (SPD)»).

Рисунок – «VPN» - «IPsec» - «База данных политик безопасности (SPD)»

Настройка IPsec в режиме «сеть – сеть»

В качестве примера настройки IPsec в режиме «сеть – сеть», используется схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки IPsec в режиме «сеть – сеть»).

Рисунок – Схема стенда для настройки IPsec в режиме «сеть – сеть»

Для настройки IPsec в режиме «сеть – сеть» необходимо выполнить следующие шаги:

1. Добавить ключ IPsec.

2. Настроить туннель IPsec на ARMA FW1.

3. Настроить туннель IPsec на ARMA FW2.

Примечание

В случае необходимости, при настройке записи фазы 2, в режимах «Туннель IPv4» или «Туннель IPv6», в блоке настроек «Общая информация» возможно выбрать протокол, трафик по которому будет направлен в туннель. При выборе протоколов «TCP» или «UDP» и типа сети «Адрес» или «Сеть» в блоках настроек «Локальная сеть» и «Удаленная сеть» дополнительно появятся параметры «Диапазон портов источника» и «Диапазон портов назначения» соответственно.

Примечание

В случае перезагрузки одного из ARMA FW автоматически выполнится перезапуск IPsec на обоих ARMA FW для дальнейшей корректной работы.

Шаг 1. Добавление ключа IPsec

Для добавления ключа IPsec необходимо выполнить следующие действия:

1. На ПК «Server» в веб-интерфейсе ARMA FW1 перейти в подраздел предварительно выданных ключей («VPN» - «IPsec» - «Предварительно выданные ключи») и нажать кнопку «+Добавить».

2. В открывшейся форме (см. Рисунок – Добавление ключа IPsec) указать следующие значения параметров:

• «Идентификатор» – «ANY»;

• «Предварительно выданный ключ» – «12345»;

• «Тип» – «PSK».

Значения параметров «Идентификатор» и «Предварительно выданный ключ» приведены в качестве примера.

Рисунок – Добавление ключа IPsec

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Параметры созданного ключа необходимо будет указать при настройке туннеля IPsec на ARMA FW1 и ARMA FW2.

Шаг 2. Настройка туннеля IPsec на ARMA FW1

Для настройки туннеля IPsec ARMA FW1 необходимо выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и нажать кнопку «» для создания фазы 1.

2. Указать следующие значения параметров в открывшейся форме (см. Рисунок – Настройка фазы 1 на ARMA FW1):

• «Удалённый шлюз» – IP-адрес WAN интерфейса ARMA FW2, в примере «203.0.113.67»;

• «Описание» – «peer 1»;

• «Предварительно выданный ключ» – «12345»;

• «Алгоритм шифрования» – «AES», «256»;

• «Группа ключей DH» – «14 (2048 bits)»;

• «Отключить MOBIKE» – флажок установлен;

• «Обнаружение недоступных пиров» – флажок установлен.

Остальные параметры оставить по умолчанию.

Рисунок – ARMA FW1: настройка фазы 1

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

4. Для созданной записи нажать кнопку «» (см. Рисунок – Добавление записи фазы 2 на ARMA FW1) для добавления записи фазы 2.

Рисунок – ARMA FW1: добавление записи фазы 2

5. Указать следующие значения параметров в открывшейся форме (см. Рисунок – Настройка фазы 2 на ARMA FW1):

• «Описание» – «peer 1»;

• «Адрес» (Удаленная сеть) – адрес локальной сети ARMA FW2, в примере «192.168.2.0», «24»;

• «Алгоритмы шифрования» – флажок установлен для значения «aes256gcm16»;

• «Алгоритмы хеша» – «SHA1»;

• «Автоматически пингуйте хост» – IP-адрес LAN интерфейса ARMA FW2, в примере «192.168.2.1».

Остальные параметры оставить по умолчанию.

Рисунок – ARMA FW1: настройка фазы 2

Примечание

В случае необходимости дополнительной настройки политик трафика, проходящего через интерфейс IPsec, следует ввести IP-адрес в формате CIDR в поле параметра «Ручные записи SPD».

6. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

7. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить».

Примечание

Для разрешения прохождения трафика в сеть LAN необходимо создать разрешающее правило МЭ (см. «Создание правил межсетевого экранирования» настоящего руководства) для интерфейса «IPsec», выбрав значение «LAN сеть» в поле параметра «IP-адрес назначения».

Шаг 3. Настройка туннеля IPsec на ARMA FW2

Для настройки туннеля IPsec ARMA FW2 необходимо выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и нажать кнопку «» для создания фазы 1.

2. Указать следующие значения параметров в открывшейся форме (см. Рисунок – ARMA FW1: настройка фазы 1):

• «Удалённый шлюз» – IP-адрес WAN интерфейса ARMA FW1, в примере «198.51.100.51»;

• «Описание» – «peer 2»;

• «Предварительно выданный ключ» – «12345»;

• «Алгоритм шифрования» – «AES», «256»;

• «Группа ключей DH» – «14 (2048 bits)»;

• «Отключить MOBIKE» – флажок установлен;

• «Обнаружение недоступных пиров» – флажок установлен.

Остальные параметры оставить по умолчанию.

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

4. Для созданной записи нажать кнопку «» для добавления записи фазы 2.

5. Указать следующие значения параметров в открывшейся форме:

• «Описание» – «peer 2»;

• «Адрес» (Удаленная сеть) – IP-адрес локальной сети ARMA FW1, в примере «192.168.1.0», «24»;

• «Алгоритмы шифрования» – флажок установлен для значения «aes256gcm16»;

• «Алгоритмы хеша» – «SHA1»;

• «Автоматически пингуйте хост» – IP-адрес LAN интерфейса ARMA FW1, в примере «192.168.1.1».

Остальные параметры оставить по умолчанию.

6. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

7. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить».

Примечание

Для разрешения прохождения трафика в сеть LAN необходимо создать разрешающее правило МЭ (см. «Создание правил межсетевого экранирования» настоящего руководства) для интерфейса «IPsec», выбрав значение «LAN сеть» в поле параметра «IP-адрес назначения».

Проверка подключения

Для проверки работоспособности подключения необходимо на каждом ARMA FW перейти в подраздел статуса IPsec («VPN» - «IPsec» - «Информация о статусе»), нажать кнопку «», затем кнопку «» и убедиться в наличии активного соединения (см. Рисунок – ARMA FW2: Информация о статусе IPsec VPN).

Рисунок – ARMA FW2: Информация о статусе IPsec VPN

Клонирование фазы IPsec

ARMA FW поддерживает возможность клонирования фазы IPsec.

Для клонирования какой-либо фазы IPsec необходимо выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и нажать кнопку «» напротив фазы, которую требуется клонировать.

2. При необходимости изменить параметры на открывшейся странице редактирования клонированной фазы.

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Для одновременного клонирования фаз 1 и 2 следует выполнить следующие действия:

1. Инициировать процесс клонирования фазы 1 (см. Рисунок – Клонирование фазы 1).

Рисунок – Клонирование фазы 1

2. Установить флажок для параметра «Скопировать phase2» на открывшейся странице редактирования клонированной фазы 1 (см. Рисунок – Клонирование фаз 1 и 2).

Рисунок – Клонирование фаз 1 и 2

3. Нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Примечание

Появляющаяся фаза 2 после одновременного клонирования фаз будет неактивна (см. Рисунок – Фазы IPsec). Для активации необходимо нажать кнопку «».

Рисунок – Фазы IPsec

Настройка IPsec в режиме «Транспортный протокол»

В качестве примера будет использоваться схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки туннеля GRE).

На обоих ARMA FW выполнена настройка туннеля GRE (см. «GRE» настоящего руководства).

Для настройки IPsec в режиме «Транспортный протокол» необходимо на обоих ARMA FW выполнить следующие шаги:

1. Добавить ключ IPsec.

2. Настроить IPsec.

Шаг 1. Добавление ключа IPsec

Для добавления ключа IPsec необходимо на обоих ARMA FW выполнить действия представленные в п. «Шаг 1. Добавление ключа IPsec» настоящего руководства.

Шаг 2. Настройка IPsec

Для настройки IPsec необходимо на обоих ARMA FW выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и нажать кнопку «» для создания фазы 1 и указать следующие значения параметров в открывшейся форме (см. Рисунок – ARMA FW1: настройка фазы 1):

• ARMA FW1:

  • «Интерфейс» – «GRE_FW»;

  • «Удалённый шлюз» – IP-адрес GRE интерфейса ARMA FW2, в примере «10.0.8.2»;

  • «Описание» – «peer 1»;

  • «Предварительно выданный ключ» – «12345»;

  • «Алгоритм шифрования» – «AES», «128»;

  • «Алгоритм хеша» – «SHA256»;

  • «Группа ключей DH» – «14 (2048 bits)»;

  • «Отключить MOBIKE» – флажок установлен;

  • «Обнаружение недоступных пиров» – флажок установлен;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения»;

• ARMA FW2:

  • «Интерфейс» – «GRE_FW»;

  • «Удалённый шлюз» – IP-адрес GRE интерфейса ARMA FW1, в примере «10.0.8.1»;

  • «Описание» – «peer 2»;

  • «Предварительно выданный ключ» – «12345»;

  • «Алгоритм шифрования» – «AES», «128»;

  • «Алгоритм хеша» – «SHA256»;

  • «Группа ключей DH» – «14 (2048 bits)»;

  • «Отключить MOBIKE» – флажок установлен;

  • «Обнаружение недоступных пиров» – флажок установлен;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Неуказанные параметры оставить по умолчанию.

2. Для созданной записи нажать кнопку «» (см. Рисунок – ARMA FW1: Добавление записи фазы 2) с целью добавления записи фазы 2.

Рисунок – ARMA FW1: Добавление записи фазы 2

3. Указать следующие значения параметров в открывшейся форме:

• ARMA FW1:

  • «Режим» – «Транспортный протокол»;

  • «Описание» – «peer 1»;

  • «Автоматически пингуйте хост» – IP-адрес интерфейса LAN ARMA FW2, в примере «192.168.2.1»;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения»;

• ARMA FW2:

  • «Режим» – «Транспортный протокол»;

  • «Описание» – «peer 2»;

  • «Автоматически пингуйте хост» – IP-адрес интерфейса LAN ARMA FW1, в примере «192.168.1.1»;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Неуказанные параметры оставить по умолчанию.

4. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить».

Примечание

Для разрешения прохождения трафика в сеть LAN необходимо создать разрешающее правило МЭ (см. «Создание правил межсетевого экранирования» настоящего руководства) для интерфейса «IPsec», выбрав значение «LAN сеть» в поле параметра «IP-адрес назначения».

Проверка подключения

Для проверки работоспособности подключения необходимо на каждом ARMA FW перейти в подраздел статуса IPsec («VPN» - «IPsec» - «Информация о статусе»), нажать кнопку «», затем кнопку «» и убедиться в наличии активного соединения (см. Рисунок – ARMA FW1: Информация о статусе IPsec в режиме «Транспортный протокол»).

Рисунок – ARMA FW1: Информация о статусе IPsec в режиме «Транспортный протокол»

Настройка IPsec в режиме «Динамическая маршрутизация»

В качестве примера настройки IPsec в режиме «Динамическая маршрутизация», используется схема стенда, представленная на рисунке (см. Рисунок – Схема стенда для настройки IPsec в режиме «сеть – сеть»).

Для настройки IPsec в режиме «Динамическая маршрутизация» необходимо выполнить следующие шаги:

1. Добавить ключ IPsec.

2. Настроить IPsec.

3. Настроить динамическую маршрутизацию.

4. Перезапустить IPsec.

В примере используется протокол динамической маршрутизации OSPF.

Шаг 1. Добавление ключа IPsec

Для добавления ключа IPsec необходимо на обоих ARMA FW выполнить действия представленные в п. «Шаг 1. Добавление ключа IPsec» настоящего руководства.

Шаг 2. Настройка IPsec

Для настройки IPsec необходимо на обоих ARMA FW выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и нажать кнопку «» для создания фазы 1 и указать следующие значения параметров в открывшейся форме (см. Рисунок – ARMA FW1: настройка фазы 1):

• ARMA FW1:

  • «Интерфейс» – «WAN»;

  • «Удалённый шлюз» – IP-адрес интерфейса WAN ARMA FW2, в примере «203.0.113.67»;

  • «Описание» – «peer 1»;

  • «Предварительно выданный ключ» – «12345»;

  • «Алгоритм шифрования» – «AES», «256»;

  • «Алгоритм хеша» – «SHA256»;

  • «Группа ключей DH» – «14 (2048 bits)»;

  • «Политика установки» – флажок не установлен;

  • «Отключить MOBIKE» – флажок установлен;

  • «Обнаружение недоступных пиров» – флажок установлен;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения»;

• ARMA FW2:

  • «Интерфейс» – «WAN»;

  • «Удалённый шлюз» – IP-адрес интерфейса WAN ARMA FW1, в примере «198.51.100.51»;

  • «Описание» – «peer 2»;

  • «Предварительно выданный ключ» – «12345»;

  • «Алгоритм шифрования» – «AES», «256»;

  • «Алгоритм хеша» – «SHA256»;

  • «Группа ключей DH» – «14 (2048 bits)»;

  • «Политика установки» – флажок не установлен;

  • «Отключить MOBIKE» – флажок установлен;

  • «Обнаружение недоступных пиров» – флажок установлен;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Неуказанные параметры оставить по умолчанию.

2. Для созданной записи нажать кнопку «» (см. Рисунок – ARMA FW1: Добавление записи фазы 2) с целью добавления записи фазы 2.

Рисунок – ARMA FW1: Добавление записи фазы 2

3. Указать следующие значения параметров в открывшейся форме:

• ARMA FW1:

  • «Режим» – «Динамическая маршрутизация»;

  • «Описание» – «peer 1»;

  • «Локальный адрес» – «10.0.10.1»;

  • «Удаленный адрес» – «10.0.10.2»;

  • «Автоматически пингуйте хост» – IP-адрес интерфейса LAN ARMA FW2, в примере «192.168.2.1»;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения»;

• ARMA FW2:

  • «Режим» – «Динамическая маршрутизация»;

  • «Описание» – «peer 2»;

  • «Локальный адрес» – «10.0.10.2»;

  • «Удаленный адрес» – «10.0.10.1»;

  • «Автоматически пингуйте хост» – IP-адрес интерфейса LAN ARMA FW1, в примере «192.168.1.1»;

  и нажать кнопку «Сохранить», а затем кнопку «Применить изменения».

Неуказанные параметры оставить по умолчанию.

4. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить» (см. Рисунок – ARMA FW1: Включение IPsec).

Рисунок – ARMA FW1: Включение IPsec

Примечание

Для разрешения прохождения трафика в сеть LAN необходимо создать разрешающее правило МЭ (см. «Создание правил межсетевого экранирования» настоящего руководства) для интерфейса «IPsec», выбрав значение «LAN сеть» в поле параметра «IP-адрес назначения».

Шаг 3. Настройка динамической маршрутизации

Для настройки динамической маршрутизации по протоколу OSPF необходимо на обоих ARMA FW выполнить действия представленные в п. «Особенности настройки маршрутизации OSPF с туннелем IPsec» настоящего руководства.

Шаг 4. Перезапуск IPsec

На обоих ARMA FW необходимо перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля») и выполнить перезапуск IPsec.

Проверка подключения

Для проверки работоспособности подключения необходимо на каждом ARMA FW перейти в подраздел статуса IPsec («VPN» - «IPsec» - «Информация о статусе»), нажать кнопку «», затем кнопку «» и убедиться в наличии активного соединения (см. Рисунок – ARMA FW1: Информация о статусе IPsec в режиме «Динамическая маршрутизация»).

Рисунок – ARMA FW1: Информация о статусе IPsec в режиме «Динамическая маршрутизация»

ГОСТ IPsec

ГОСТ IPsec – это реализация IPsec, с применением алгоритмов шифрования, соответствующих ГОСТ и криптографических средств, прошедших процедуру оценки соответствия в ФСБ России.

Перед настройкой подключения необходимо выполнить установку лицензии ГОСТ IPsec.

Примечание

Лицензия ГОСТ IPsec не входит в комплект поставки ARMA FW. Для использования функциональности необходимо приобрести лицензию у вендора или дистрибьюторов.

После активации лицензии ГОСТ IPsec будут доступны следующие криптографические средства защиты информации:

1. Алгоритмы шифрования:

• «KUZNYECHIK-MGM»;

• «MAGMA-MGM»;

• «GOST341215K».

2. Алгоритмы хеша:

• «STREEBOG-256»;

• «STREEBOG-512».

ARMA FW поддерживает работу ГОСТ IPsec в режиме «сеть – сеть».

Лицензия ГОСТ IPsec

Для активации лицензии ГОСТ IPsec необходимо выполнить следующие действия:

1. Перейти в подраздел настройки туннелей IPsec («VPN» - «IPsec» - «Настройки туннеля»).

2. Установить флажок для параметра «Включить IPsec» и нажать кнопку «Сохранить».

3. Произвести аутентификацию в локальном консольном интерфейсе.

4. Перейти в интерфейс командной строки (см. «Доступ к командной строке» Руководства администратора ARMA FW), ввести следующую команду:

make_lprng_start

и нажать клавишу «ENTER» для запуска формирования файла инициализации программного ДСЧ. При обновлении лицензии запуск формирования файла инициализации программного ДСЧ не используется.

5. Последовательно ввести буквы и цифры, идентичные указанным в интерфейсе (см. Рисунок – ГОСТ IPsec. Запись файла инициализации ДСЧ). При правильном вводе будет произведена запись файла инициализации ДСЧ.

Рисунок – ГОСТ IPsec. Запись файла инициализации ДСЧ

6. Перейти в подраздел лицензии ГОСТ IPsec («VPN» - «IPsec» - «Лицензия ГОСТ»).

7. Ввести в поле параметра «Ключ лицензии» серийный номер предоставленной лицензии «ЛИССИ-Софт», затем нажать кнопку «Создать запрос лицензии» (см. Рисунок – Лицензия ГОСТ IPsec).

Рисунок – Лицензия ГОСТ IPsec

В результате будет экспортирован файл «LIC.REQ», который следует передать сотрудникам компании «ЛИССИ-Софт» для последующего получения файла лицензии.

8. Нажать кнопку «Выберите файл» и указать файл лицензии «LIC.DAT».

В результате отобразится статус лицензии ГОСТ IPsec – «Активный» (см. Рисунок – Лицензия ГОСТ IPsec активна).

Рисунок – Лицензия ГОСТ IPsec активна

Настройка ГОСТ IPsec в режиме «сеть – сеть»

В качестве примера приведено описание настройки ГОСТ IPsec в режиме «сеть – сеть» с использованием схемы стенда, представленной на рисунке (см. Рисунок – Схема стенда для настройки IPsec в режиме «сеть – сеть»).

Для настройки ГОСТ IPsec в режиме «сеть – сеть» необходимо выполнить шаги, аналогичные указанным в разделе Настройка IPsec в режиме «сеть – сеть» настоящего руководства, учитывая следующие особенности:

1. При создании фазы 1 туннеля IPsec дополнительно указать следующие значения параметров:

• «Алгоритм шифрования» – «GOST341215K»;

• «Алгоритм хеша» – «STREEBOG-512»;

• «Группа ключей DH» – «5 (1536 bits)»;

• «Действие закрытия» – «Удержание».

2. При создании фазы 2 туннеля IPsec дополнительно указать следующие значения параметров:

• «Алгоритмы шифрования» – флажок установлен для значения «GOST341215K»;

• «Алгоритмы хеша» – «STREEBOG-512».

3. Выполнить перезапуск IPsec.

В результате будут отображаться записи представленные на рисунке (см. Рисунок – Туннель ГОСТ IPsec. Алгоритм шифрования – GOST341215K).

Рисунок – Туннель ГОСТ IPsec. Алгоритм шифрования – GOST341215K

Примечание

При создании туннеля IPsec с использованием алгоритма шифрования «KUZNYECHIK-MGM» или «MAGMA-MGM» следует для фазы 2 указать в поле параметра «Алгоритмы хеша» значение «Не выбрано», сняв флажки для всех значений. В результате будут отображаться записи представленные на рисунке (см. Рисунок – Туннель ГОСТ IPsec. Алгоритм шифрования – KUZNYECHIK-MGM).

Рисунок – Туннель ГОСТ IPsec. Алгоритм шифрования – KUZNYECHIK-MGM

ГОСТ VPN

ГОСТ VPN – это реализация OpenVPN, с применением алгоритмов шифрования, соответствующих ГОСТ и криптографических средств, прошедших процедуру оценки соответствия в ФСБ России.

ARMA FW поддерживает работу ГОСТ VPN в режимах «сеть – сеть» и «узел – сеть» с режимом работы устройства «tun» с настройками режима сервера, представленными в таблице (см. Таблица «Режимы работы сервера ГОСТ VPN»).

Таблица «Режимы работы сервера ГОСТ VPN»

Соединение	Режим сервера
Сеть – сеть	Пиринговая сеть (SSL/TLS)
Узел – сеть	Удаленный доступ (SSL/TLS) Удаленный доступ (аутентификация пользователя) Удаленный доступ (SSL/TLS+аутентификация пользователя)

Перед настройкой режимов подключения необходимо выполнить установку лицензии ГОСТ VPN.

Примечание

Лицензия ГОСТ VPN не входит в комплект поставки ARMA FW. Для использования функциональности необходимо приобрести лицензию «OpenVPN-ГОСТ» у вендора или дистрибьюторов.

Лицензии ГОСТ VPN

Установка и обновление лицензии ГОСТ VPN доступны только с доступом в Интернет. Лицензия продукта должна быть в виде текстового ключа, например:

• «2JXC-4P5T-PAAH-NPFP».

Для ГОСТ VPN существуют следующие типы лицензии:

• центрального шлюза – лицензия позволяет настроить ARMA FW сервером, генерировать ключи и сертификаты;

• шлюза филиала – лицензия позволяет подключиться к центральному шлюзу и обеспечить защищённый канал с ним;

• отдельного компьютера – лицензия позволяет отдельному устройству подключиться к центральному шлюзу по зашифрованному каналу.

Для работы ГОСТ VPN в режиме «сеть – сеть» необходимо использовать следующие типы лицензии:

• центрального шлюза в качестве серверной лицензии – на ARMA FW, выполняющем роль сервера;

• шлюза филиала в качестве клиентской лицензии – на ARMA FW, выполняющем роль клиента.

Для работы ГОСТ VPN в режиме «узел – сеть» на ARMA FW, выполняющем роль сервера, необходимо использовать лицензию центрального шлюза в качестве серверной лицензии.

Установка или обновление лицензии ГОСТ VPN

Установка или обновление лицензии ГОСТ VPN осуществляется с помощью скрипта «openvpn-gost.sh».

Перед первой установкой лицензии необходимо сформировать файл инициализации ДСЧ. Для этого необходимо выполнить следующие действия:

1. Произвести аутентификацию в локальном консольном интерфейсе.

2. Перейти в интерфейс командной строки (см. «Доступ к командной строке» Руководства администратора ARMA FW).

Для выведения справочной информации о доступных ключах к скрипту (см. Рисунок – Справочная информация) ввести команду «openvpn-gost.sh -h».

Рисунок – Справочная информация

3. В интерфейсе командной строки ввести следующую команду:

openvpn-gost.sh -i

и нажать клавишу «ENTER» для смены кодировки и корректного отображения выводимой информации и для запуска формирования файла инициализации программного ДСЧ. При обновлении лицензии запуск формирования файла инициализации программного ДСЧ не используется.

4. Последовательно ввести цифры, идентичные указанным в интерфейсе (см. Рисунок – Запись файла инициализации ДСЧ). При правильном вводе будет произведена запись файла инициализации ДСЧ.

Рисунок – Запись файла инициализации ДСЧ

Для установки или обновления лицензии необходимо выполнить следующие действия:

1. Произвести аутентификацию в локальном консольном интерфейсе.

2. Нажать клавишу «8», а затем клавишу «ENTER» на клавиатуре для выбора пункта меню «Shell».

3. Запустить процесс получения требуемой лицензии:

• для серверной лицензии ввести команду:

  openvpn-gost.sh -s 4PJ2-DK5Y-ABTE-6T3W
  

где «4PJ2-DK5Y-ABTE-6T3W» ключ лицензии для центрального шлюза, указан справочно;

• для клиентской лицензии ввести команду:

  openvpn-gost.sh -c B9PZ-E7K8-3PC1-YGSE
  

где «B9PZ-E7K8-3PC1-YGSE» ключ лицензии для шлюза филиала, указан справочно;

и нажать клавишу «ENTER».

4. В случае успешного получения лицензии будет выведено сообщение:

• для серверной лицензии:

  • «Получен файл лицензии. Лицензия успешно сохранена в файл /opt/cryptopack4/ssl/cryptocom_server.lic»;

• для клиентской лицензии:

  • «Получен файл лицензии. Лицензия успешно сохранена в файл /opt/cryptopack4/ssl/cryptocom_client.lic».

Особенности настройки подключения ГОСТ VPN

При настройке подключения ГОСТ VPN необходимо придерживаться следующих криптографических установок:

• в режиме сервера «Пиринговая сеть (SSL/TLS)»:

  • «Алгоритм шифрования» – «magma-mgm (256 bit key, 64 bit blocks, TLS client/server mode only)»;

  • «Дайджест-алгоритм аутентификации» – «md_gost12_256 (256-bit)»; «md_gost12_512 (512-bit)»; «magma-mac(64-bit)»;

• в режимах сервера «Удаленный доступ (SSL/TLS)», «Удаленный доступ (аутентификация пользователя)», «Удаленный доступ (SSL/TLS+аутентификация пользователя)»:

  • «Алгоритм шифрования» – «magma-ctr (256 bit key, 64 bit blocks, TLS client/server mode only)»; «magma-mgm (256 bit key, 64 bit block, TLS client/server mode only)»;

  • «Дайджест-алгоритм аутентификации» – «md_gost12_256 (256-bit)»; «md_gost12_512 (512-bit)»; «magma-mac(64-bit)».

Настройка ГОСТ VPN в режиме «сеть – сеть»

В качестве примера приведено описание настройки ГОСТ VPN в режиме «сеть – сеть» без аутентификации TLS с использованием схемы стенда, представленной на рисунке (см. Рисунок – Схема стенда для настройки OpenVPN в режиме «сеть – сеть»).

Для настройки ГОСТ VPN в режиме «сеть – сеть» необходимо выполнить следующие шаги:

1. Создать доверенный центр сертификации ГОСТ на ARMA FW1. Экспортировать сертификат и секретный ключ для созданного центра сертификации.

2. Создать сертификаты сервера и клиента ГОСТ на ARMA FW1. Экспортировать пользовательские сертификат и ключ, созданного сертификата клиента.

3. Настроить сервер ГОСТ VPN на ARMA FW1.

4. Настроить правила МЭ на ARMA FW1.

5. Импортировать созданный центр сертификации на ARMA FW2.

6. Импортировать сертификат клиента ГОСТ на ARMA FW2.

7. Настроить клиент ГОСТ VPN на ARMA FW2.

8. Настроить правила МЭ на ARMA FW2.

Настройка ARMA FW1

Создание доверенного центра сертификации ГОСТ

Для создания доверенного центра сертификации необходимо выполнить действия, представленные в разделе «Создание внутреннего центра сертификации» настоящего руководства, указав значения параметров из таблицы (см. Таблица «Значения параметров центра сертификации ГОСТ»). Неуказанные параметры оставить по умолчанию.

Таблица «Значения параметров центра сертификации ГОСТ»

Параметр	Значение
Описательное имя	GOST CA
Метод	Создать внутренний центр сертификации по ГОСТ
Длина ключа (бит)	2048
Код страны	RU (Russia)
Область	Мoscow
Город	Moscow
Организация	InfoWatch
Эл. почта	admin@infowatch.ru
Стандартное имя	GOST CA

Параметры «Описательное имя», «Код страны», «Область», «Город», «Организация», «Эл. почта», «Стандартное имя» указаны справочно.

Затем необходимо нажать кнопки напротив созданного центра сертификации ГОСТ (см. Рисунок – Экспорт сертификата CA), для экспорта:

• «» – сертификата CA (1);

• «» – ключа сертификата CA (2).

Рисунок – Экспорт сертификата CA

Просмотр и копирование содержимого экспортированных файлов возможны с помощью текстового редактора, например, «Notepad++».

Создание сертификатов ГОСТ

Для создания сертификатов сервера и клиента ГОСТ необходимо выполнить действия, представленные в разделе «Создание внутреннего сертификата» настоящего руководства, указав следующие значения параметров:

• Сертификат сервера:

  • «Метод» – «Создать внутренний сертификат по ГОСТ»;

  • «Описательное имя» – «GOST-server»;

  • «Центр сертификации» – «GOST CA»;

  • «Тип» – Сертификат сервера;

  • «Время существования (дни)» – «365»;

  • «Стандартное имя» – «GOST-server»;

• Сертификат клиента:

  • «Метод» – «Создать внутренний сертификат по ГОСТ»;

  • «Описательное имя» – «GOST-client»;

  • «Центр сертификации» – «GOST CA»;

  • «Тип» – Сертификат клиента;

  • «Время существования (дни)» – «365»;

  • «Стандартное имя» – «GOST-client».

Неуказанные параметры оставить по умолчанию.

Примечание

Возможность создания внутреннего сертификата ГОСТ доступна только при активной лицензии ГОСТ VPN.

Затем необходимо нажать кнопки напротив сертификата клиента (см. Рисунок – Экспорт сертификата клиента), для экспорта:

• «» – пользовательского сертификата (1);

• «» – пользовательского ключа сертификата (2).

Рисунок – Экспорт сертификата клиента

Просмотр и копирование содержимого экспортированных файлов возможны с помощью текстового редактора, например, «Notepad++».

Настройка сервера ГОСТ VPN

Для настройки сервера ГОСТ VPN необходимо выполнить следующие действия:

1. Перейти в подраздел настройки серверов («VPN» - «OpenVPN» - «Серверы»).

2. Нажать кнопку «+Добавить».

3. В открывшейся форме указать следующие значения параметров сервера ГОСТ VPN:

• «Тип» – «GostVPN»;

• «Описание» – «GOST-server»;

• «Режим сервера» – «Пиринговая сеть (SSL/TLS)»;

• «Интерфейс» – «WAN»;

• «Локальный порт» – «1194»;

• «Аутентификация TLS» – флажок не установлен;

• «Центр сертификации пиров» – «GOST CA»;

• «Сертификат сервера» – «GOST-server (GOST CA)»;

• «Алгоритм шифрования» – «magma-mgm (256 bit key, 64 bit blocks, TLS client/server mode only)»;

• «Дайджест-алгоритм аутентификации» – «md_gost12_256 (256-bit)»;

• «Туннельная сеть IPv4» – «10.10.0.0/24»;

• «Локальная сеть IPv4» – «192.168.1.0/24»;

• «Удаленная сеть IPv4» – «192.168.2.0/24»;

• «Уровень детальности сообщений» – «3 (рекомендуется)»;

• «Принудительно принимать логин из переопределенных значений клиента» – флажок установлен;

и нажать кнопку «Сохранить».

Неуказанные параметры оставить по умолчанию.

Переопределение значений клиентов

Для режима сервера «Пиринговая сеть (SSL/TLS)» необходимо выполнить следующие настройки:

1. Перейти в настройки переопределения значений клиентов OpenVPN («VPN» - «OpenVPN» - «Переопределение значений для конкретного клиента») и нажать кнопку «+Добавить».

2. В открывшейся форме указать значения параметров:

• «Серверы» – используемый сервер ГОСТ VPN;

• «Стандартное имя» – имя сертификата клиента, в примере «GOST-client» (см. Рисунок – Имя сертификата клиента);

• «Туннельная сеть IPv4» – «10.10.0.0/24»;

• «Удаленная сеть IPv4» – «192.168.2.0/24».

Рисунок – Имя сертификата клиента

Примечание

При включённой аутентификации TLS в поле «Стандартное имя» следует указать «Root».

3. Нажать кнопку «Сохранить».

Настройка правил МЭ

Для корректной работы VPN-туннеля необходимо настроить правила МЭ (см. раздел «Создание правил межсетевого экранирования» настоящего руководства), указав следующие значения параметров:

• ARMA FW1 (правило №1):

  • «Интерфейс» – «WAN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «UDP»;

  • «IP-адрес назначения» – «Любой»;

  • «Диапазон портов назначения» – «OpenVPN»;

  • «Описание» – «Allow VPN»;

• ARMA FW1 (правило №2):

  • «Интерфейс» – «OpenVPN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «Любой»;

  • «Отправитель» – «LAN сеть»;

  • «Диапазон портов назначения» – «Любой»;

  • «Описание» – «Allow VPN Traffic»;

• ARMA FW2:

  • «Интерфейс» – «OpenVPN»;

  • «Действие» – «Разрешить (Pass)»;

  • «Быстрая проверка» – «Включено»;

  • «Версии TCP/IP» – «IPv4»;

  • «Протокол» – «Любой»;

  • «Отправитель» – «LAN сеть»;

  • «Диапазон портов назначения» – «Любой»;

  • «Описание» – «Allow VPN Traffic».

Неуказанные параметры оставить по умолчанию.

Настройка ARMA FW2

Импорт центра сертификации

Для импорта центра сертификации ГОСТ необходимо выполнить следующие действия:

1. Перейти в подраздел полномочий («Система» - «Доверенные сертификаты» - «Полномочия»).

2. Нажать кнопку «+Добавить».

3. В открывшейся форме (см. Рисунок – Импорт сертификата CA) указать следующие значения параметров:

• «Описательное имя» – «GOST CA», должно совпадать с именем созданного центра сертификации (см. «Создание доверенного центра сертификации ГОСТ» настоящего руководства);

• «Метод» – «Импортировать существующий центр сертификации по ГОСТ»;

• «Данные сертификата» – скопированное значение из экспортированного файла сертификата СА (см. «Создание доверенного центра сертификации ГОСТ» настоящего руководства);

• «Секретный ключ сертификата (необязательно)» – скопированное значение из экспортированного файла секретного ключа СА.

Рисунок – Импорт сертификата CA

4. Нажать кнопку «Сохранить».

Импорт сертификата клиента

Для импорта сертификата клиента ГОСТ необходимо выполнить следующие действия:

1. Перейти в подраздел полномочий («Система» - «Доверенные сертификаты» - «Сертификаты»).

2. Нажать кнопку «+Добавить».

3. В открывшейся форме указать следующие значения параметров:

• «Описательное имя» – «GOST-client»;

• «Метод» – «Импортировать существующий сертификат по ГОСТ»;

• «Данные сертификата» – скопированное значение из экспортированного файла сертификата клиента (см. «Создание сертификатов ГОСТ» настоящего руководства);

• «Данные секретного ключа» – скопированное значение из экспортированного файла секретного ключа клиента.

4. Нажать кнопку «Сохранить».

Настройка клиента ГОСТ VPN

Для настройки клиента ГОСТ VPN необходимо выполнить следующие действия:

1. Перейти в подраздел настройки клиентов («VPN» - «OpenVPN» - «Клиенты»).

2. Нажать кнопку «+Добавить».

3. В открывшейся форме указать следующие значения параметров клиента ГОСТ VPN:

• «Тип» – «GostVPN»;

• «Описание» – «GOST-client»;

• «Режим сервера» – «Пиринговая сеть (SSL/TLS)»;

• «Интерфейс» – «WAN»;

• «Удаленный сервер, Хост или адрес» – IP-адрес WAN интерфейса ARMA FW1;

• «Удаленный сервер, Порт» – «1194»;

• «Локальный порт» – «1194»;

• «Аутентификация TLS» – флажок не установлен;

• «Центр сертификации пиров» – «GOST CA»;

• «Сертификат клиента» – «GOST-client»;

• «Алгоритм шифрования» – «magma-mgm (256 bit key, 64 bit blocks, TLS client/server mode only)»;

• «Дайджест-алгоритм аутентификации» – «magma-mac(64-bit)»;

• «Туннельная сеть» – «10.10.0.0/24»;

• «Удаленная сеть» – «192.168.1.0/24»;

• «Уровень детальности сообщений» – «3».

Неуказанные параметры оставить по умолчанию.

4. Нажать кнопку «Сохранить».

Настройка правил МЭ

Для корректной работы VPN-туннеля необходимо настроить правила МЭ с параметрами, указанными в «Настройка правил МЭ» настоящего руководства. Неуказанные параметры оставить по умолчанию.

После применения правил МЭ необходимо убедиться в работе канала, для этого на ARMA FW2 перейти в подраздел статусов соединения OpenVPN («VPN» - «OpenVPN» - «Статус соединения»), значение в столбце «Статус» должно быть «up».

Особенности настройки ГОСТ VPN в режиме «узел – сеть»

При настройке ГОСТ VPN в режиме «узел – сеть» следует придерживаться принципа настройки OpenVPN в аналогичном режиме (см. Раздел «Настройка OpenVPN в режиме «узел – сеть»» настоящего руководства) за исключением следующих действий:

• создание доверенного центра сертификации – в подразделе полномочий («Система» - «Доверенные сертификаты» - «Полномочия») необходимо выбирать значение «Создать внутренний центр сертификации по ГОСТ» для параметра «Метод» в форме создания центра сертификации;

• создание сертификата – в подразделе сертификатов («Система» - «Доверенные сертификаты» - «Сертификаты») необходимо выбирать значение «Создать внутренний сертификат по ГОСТ» для параметра «Метод» в форме создания сертификата;

• настройка сервера – использовать криптографические установки указанные в разделе «Особенности настройки подключения ГОСТ VPN» настоящего руководства.