В cisco-like конфигурации
В cisco-like конфигурации возможно задание параметров только для IPsec SA версии 1.
Далее нужно предложить партнеру для согласования наборы преобразований, которые будут использоваться для создания защищенного виртуального соединения (IPsec SA). IPsec SA – это однонаправленное логическое соединение, поэтому при двустороннем обмене данными нужно установить два IPsec SA.
В интерфейсе командной строки с помощью команды crypto ipsec transform-set описать параметры IPsec наборов преобразований (или одного набора преобразований). Можно указать до трех преобразований. Например:
crypto ipsec transform-set SOME_IPSEC-V1_PROPOSAL esp-magma-mgm
С помощью команды mode указать режим использования (туннельный или транспортный) для заданного набора преобразований.
В LSP-конфигурации
В LSP конфигурации возможно задание параметров для IPsec SA версии 1 и 2.
Для IPsec SA версии 1:
Структура ESPTransform устанавливает алгоритм шифрования для защищаемого трафика и алгоритм контроля целостности ESP. Структура ESPProposal задает список допустимых к использованию ESPTransform для создаваемого IPsec SA. Для режима ТК26ESP, задающего алгоритмы комбинированного преобразования целевого трафика, используются структуры ESPTC26Proposal и ESPTC26Transform.
Пример структур ESPProposal и ESPTransform:
ESPTransform SOME_ESP_TRANSFORM (
CipherAlg *= "GR341215M-K288-MGM-33"
IntegrityAlg *= "GR341194CPRO1-H96-HMAC-65534"
LifetimeSeconds = 3600
LifetimeKilobytes = 4608000
)
ESPProposal SOME_IPSEC-V1_PROPOSAL:ESP (
Transform *= SOME_ESP_TRANSFORM
)
Для протокола AH используются структуры AHProposal и AHTransform. В структуре AHTransform задается алгоритм контроля целостности для создаваемого AH SA. Для режима ТК26AH используются структуры AHTC26Proposal и AHTC26Transform.
Для IPsec SA версии 2:
Для задания набора криптографических преобразований протокола ESP используется структура IPsecProposal2. В атрибутах данной структуры, по сравнению с ESPTransform, возможно перечисление допустимых к использованию алгоритмов через запятую.
Например:
IPsecProposal2 SOME_IPSEC-V2_PROPOSAL:ESP (
ESPEncryptionAlg = ENCR_MAGMA_MGM_KTREE, ENCR_MAGMA_MGM_MAC_KTREE
PFSAlg = NO_PFS, GOST3410_2012_256, GOST3410_2012_512
)