Синтаксис

crypto ipsec transform-set {transform-set-name} {transform1..3} 

no crypto ipsec transform-set {transform-set-name}

transform-set-name

имя, присваиваемое набору преобразований.

transform1..3

преобразования

Разрешено использовать до 3 преобразований.

Режимы команды

Global configuration   

Выполнение этой команды осуществляет вход в режим crypto transform configuration.

Значение по умолчанию

отсутствует

Рекомендации по

использованию

•      Набор преобразований – это приемлемая комбинация протоколов защиты, криптографических алгоритмов и других параметров, применяемых в защищаемом IPsec трафике.

•      В процессе согласования параметров IPsec SA партнеры соглашаются на использование конкретного набора преобразований для защиты конкретного потока данных.

•      Повторный ввод команды с уже заданным именем transform-set-name заменяет набор преобразований.

•      Вы можете создать несколько наборов преобразований и затем назначить один или более из них каждой конкретной записи криптографической карты.

•      Набор преобразований, указанный в записи криптографической карты, используется при согласовании параметров IPsec SA для защиты потока данных, разрешенного в списке доступа только для этой записи криптографической карты.

•      Перед тем как назначить набор преобразований трафика для записи криптографической карты, набор преобразований должен быть задан с помощью этой команды.

•      Набор преобразований задает использование протоколов IPsec: Encapsulation  Security  Protocol (ESP) и Authentication  Header (AH) и указывает какие криптографические алгоритмы следует использовать с этими протоколами. Данные протоколы могут использоваться как по отдельности, так и оба одновременно.

•      Для создания набора преобразований следует описать от одного до трех преобразований. Каждое из преобразований должно содержать описание используемых протоколов (AH, ESP) и криптографических алгоритмов.

Примечание

если при создании IKE политики использовались алгоритмы, определенные в документах «Техническая спецификация по использованию ГОСТ 28147-89, ГОСТ Р 34.11-94 и ГОСТ Р 34.10-2001 при согласовании ключей в протоколах IKE И ISAKMP» и «Техническая спецификация по использованию ГОСТ 28147-89, ГОСТ Р 34.11-2012 и ГОСТ Р 34.10-2012 в протоколах обмена ключами IKE И ISAKMP» (такие алгоритмы начинаются с префикса tc26), то при формировании набора преобразований должны использоваться подобные алгоритмы.

Удаление

Если при удалении ввести имя несуществующего набора преобразований, будет выдано сообщение об ошибке:

Could not find crypto transform set <transform-set-name>

Не допускается удаление набора преобразований, на который присутствуют ссылки в статической и/или динамической криптокартах. В подобной ситуации выдается сообщение вида:

Transform-set <transform-set-name> is in use by the crypto-map(s):  <crypto-map-name1> <crypto-map-seq-num1>[, <crypto-map-name2> <crypto-map-seq-num2>...]

Transform-set <transform-set-name> is in use by the dynamic crypto-map template(s):  <crypto-dynamic-map-name1> <crypto-dynamic-map-seq-num1>[, <crypto-dynamic-map-name2> <crypto-dynamic-map-seq-num2>...]

First remove the transform-set from the above crypto map(s)/dynamic crypto map template(s)

Отличие данной

команды от подобной команды Cisco IOS

В Продукте С-Терра Шлюз отсутствует поддержка преобразования IP Compression Transform.

Пример

В приведенном ниже примере заданы два набора преобразований, использующие криптографические алгоритмы различной сложности:

Router(config)#crypto ipsec transform-set ts esp-3des esp-sha-hmac

Router(config)#crypto ipsec transform-set gost ah-md5-hmac esp-des

Внимание!

Алгоритм ГОСТ Р 34.12-2015 «Кузнечик» в режиме MGM без шифрования не обеспечивает защиту конфиденциальности и должен применяться только для имитозащиты трафика.

Варианты обозначений:

•      в cisco-like консоли - esp-kuznyechik-mgm-mac;

•      в LSP - ENCR_KUZNYECHIK_MGM_MAC_KTREE (в атрибуте ESPEncryptionAlg структуры IPsecProposal2) и GR341215K-K352-MGM_MAC-34 (в атрибуте CipherAlg структуры ESPTransform);

•      в ГСУ - ESP ENCR_KUZNYECHIK_MGM_MAC_KTREE.

Если для защиты трафика выбран только этот алгоритм, то пользовательские данные будут отправлены в канал связи незашифрованными, в формате, позволяющем обеспечить контроль их целостности.

Внимание!

Алгоритм ГОСТ Р 34.12-2015 «Магма» в режиме MGM без шифрования не обеспечивает защиту конфиденциальности и должен применяться только для имитозащиты трафика.

Варианты обозначений:

•      в cisco-like консоли - esp-magma-mgm-mac;

•      в LSP - ENCR_MAGMA_MGM_MAC_KTREE (в атрибуте ESPEncryptionAlg структуры IPsecProposal2) и GR341215M-K288-MGM_MAC-35 (в атрибуте CipherAlg структуры ESPTransform);

•      в ГСУ - ESP ENCR_MAGMA_MGM_MAC_KTREE.

Если для защиты трафика выбран только этот алгоритм, то пользовательские данные будут отправлены в канал связи незашифрованными, в формате, позволяющем обеспечить контроль их целостности.