В cisco-like конфигурации
В cisco-like конфигурации возможно задание параметров только для ISAKMP SA.
Для создания защищенного канала, который будет обеспечивать защиту части обменов информацией первой фазы и все обмены второй фазы IKEv1, создаются ISAKMP политики (или одна политика) с разными приоритетами, которые будут предложены партнеру для согласования. В политиках описываются желаемые алгоритмы и параметры защищенного канала.
Перед созданием ISAKMP SA должны быть выбраны параметры, которые будут использоваться сторонами для защиты части обменов первой фазы и второй фазы IKE. В интерфейсе командной строки с помощью команды crypto isakmp policy задаются IKE политики (или одна политика) с различными приоритетами, которые будут предложены партнеру для согласования. Выполнение этой команды осуществляет вход в режим ISAKMP policy configuration, в котором предлагаются параметры для согласования с помощью следующих команд:
• encryption – указывается алгоритм шифрования, используемый в рамках протокола IKE;
• hash – указывается хеш-алгоритм, используемый в рамках протокола IKE;
• authentication – указывается метод аутентификации (с использованием электронной подписи или предварительно распределённых ключей);
• group – указывается алгоритм, который будет использоваться в рамках протокола IKE для получения ключевого материала;
• lifetime – устанавливается время жизни ISAKMP SA.
Например:
crypto isakmp policy 1
encr magma
hash stribog-256
authentication gost-sig
group vko2
lifetime 86400
Сконфигурированная политика может быть использована как в криптографической карте напрямую, так и в специализированном ISAKMP-профиле:
crypto isakmp profile SOME_ISAKMP_PROFILE
set policy 1
match identity dn
set identity mapping
ISAKMP-профиль позволяет настраивать более детально критерии для аутентификации партнеров во время IKE-сессии. Данный профиль должен быть указан в криптографической карте вместо политики IKE.
В LSP-конфигурации
В LSP конфигурации возможно задание параметров как для ISAKMP SA, так и для IKEv2 SA.
Для ISAKMP SA:
В конфигурационном файле в структуре IKERule задается метод аутентификации сторон, режим для первой фазы IKE, а также предлагается для согласования с партнером политика защиты первой и второй фазы IKE.
Для задания криптографических параметров, используемых при построении ISAKMP SA версии 1, используется структура IKETransform.
IKETransform crypto:isakmp:policy:1 (
CipherAlg = "GR341215M-K256-CFB-65526"
HashAlg = "GR341112_256TC26-65128"
GroupID = VKO2_1B
RestrictAuthenticationTo = GOST_SIGN
LifetimeSeconds = 86400
)
Далее в структуре IKERule в атрибуте Transform указывается наименование структуры IKETransform.
IKERule IKERule:VPN:1 (
Transform = crypto:isakmp:policy:1
)
Для режима ТК26IKE используется структура IKETC26Transform.
Глобальные настройки протокола IKEописываются в одной структуре –IKEParameters.
Для IKEv2 SA:
Для задания криптографических параметров, используемых при построении IKEv2 SA, используется структура IKEProposal2.
IKEProposal2 crypto:isakmp:policy:2 (
PrfAlg = PRF_HMAC_STREEBOG_512
EncryptionAlg = ENCR_MAGMA_MGM_KTREE
KeyAlg = GOST3410_2012_256, GOST3410_2012_512
)
Далее в структуре IKERule2 в атрибуте Proposals указывается наименование структуры IKEProposal2.
IKERule2 IKERule:VPN:2 (
Proposals = crypto:isakmp:policy:2
)
Глобальные настройки протокола IKEv2 описываются в одной структуре – IKEParameters2.