ПАК «С-Терра Шлюз» (Шлюз КВ) (далее – С-Терра Шлюз, Продукт) выполняет функции межсетевого экрана, средства криптографической защиты информации и маршрутизатора.
ПАК «С-Терра Шлюз» обеспечивает создание виртуальных защищенных сетей (VPN), защиту транзитного трафика между различными узлами сети, защиту трафика самого шлюза безопасности, а также stateless фильтрацию IP-трафика и stateful фильтрацию для протоколов TCP, UDP и FTP.
Основные возможности С-Терра Шлюз:
• защита трафика на уровне аутентификации/шифрования сетевых пакетов по протоколам IPsec AH и/или IPsec ESP;
• поддержка протоколов IKE и IKEv2;
• реализация новых криптографических алгоритмов;
• пакетная фильтрация трафика по адресам, протоколам, портам, по любым полям заголовка IP-пакета;
• контекстная фильтрация трафика для протоколов TCP, UDP и FTP;
• работа по расписанию для правил пакетной фильтрации;
• различные наборы правил обработки трафика на разных интерфейсах;
• возможность задания независимых правил для входящего и исходящего трафиков на каждом интерфейсе, как для пакетной, так и контекстной фильтрации трафика;
• поддержка качества обслуживания QoS (приоритет по полю TOS, управление очередями, фрагментацией пакетов, сеансами TCP, классификация, защита от перегрузки);
• поддержка в качестве IKECFG-сервера – выдача адресов из локальной подсети, адресов DNS-серверов, DNS-суффиксов партнеру;
• статическая и динамическая маршрутизация (по протоколам RIP, OSPF, BGP);
• трансляция сетевых адресов NAT/PAT;
• шифрование трафика на канальном уровне (Ethernet, в том числе MPLS/802.1q/Q-in-Q) с использованием Программного продукта «С-Терра L2» (по умолчанию входит в состав С-Терра Шлюз);
• событийное протоколирование по протоколу syslog с возможностью объединять события в группы и задавать для каждой группы свой независимый уровень протоколирования;
• сбор статистики для мониторинга по протоколу SNMP;
• создание кластера на основе протокола VRRP в режиме горячего резервирования;
• синхронизация системного времени с NTP-сервером;
• работа с криптостойкими предварительно распределёнными ключами (PSK);
• возможность осуществлять фильтрацию сетевого трафика для отправителей информации, получателей информации и всех операций перемещения контролируемой МЭ информации к узлам информационной системы и от них;
• возможность обеспечения фильтрации для всех операций перемещения через МЭ информации к узлам информационной системы и от них;
• возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности субъектов: сетевой адрес узла отправителя; сетевой адрес узла получателя; интерфейс МЭ (на уровне сетевого адреса), через который проходит пакет;
• возможность осуществлять фильтрацию, основанную на следующих типах атрибутов безопасности информации: сетевой протокол, который используется для взаимодействия; атрибуты, указывающие на фрагментацию пакетов; транспортный протокол, который используется для взаимодействия, порты источника и получателя в рамках сеанса (сессии); разрешенные (запрещенные) команды, разрешенный (запрещенный) мобильный код;
• возможность явно разрешать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
• возможность явно запрещать информационный поток, базируясь на устанавливаемых администратором МЭ наборе правил фильтрации, основанном на идентифицированных атрибутах;
• возможность блокирования всех информационных потоков, проходящих через нефункционирующий или функционирующий некорректно МЭ;
• возможность осуществлять политику фильтрации пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов;
• возможность осуществлять проверку каждого пакета по таблице состояний для определения того, не противоречит ли состояние (статус, тип) пакета ожидаемому состоянию;
• возможность осуществлять проверку использования пользователями отдельных команд, для которых администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
• возможность осуществлять проверку использования сетевых ресурсов, содержащих мобильный код, для которого администратором МЭ установлены разрешительные или запретительные атрибуты безопасности;
• возможность осуществлять фильтрацию, основанную на атрибутах: разрешенные/ запрещенные протоколы прикладного уровня;
• возможность разрешать информационный поток, основываясь на результатах проверок;
• возможность запрещать информационный поток, основываясь на результатах проверок;
• возможность осуществлять фильтрацию пакетов с учетом управляющих команд от взаимодействующих с МЭ средств защиты информации других видов, основанную на атрибутах, указывающих на признаки нарушения безопасности в информации сетевого трафика;
• возможность разрешать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на отсутствие нарушений безопасности информации;
• возможность запрещать информационный поток, если значения атрибутов безопасности, установленные взаимодействующими средствами защиты информации для контролируемого сетевого трафика, указывают на наличие нарушений безопасности информации;
• возможность осуществлять фильтрацию при импорте (перехвате) информации сетевого трафика из-за пределов МЭ;
• возможность осуществлять МЭ передачу информационных потоков с переназначением сетевых адресов отправителя и (или) получателя (трансляция адресов и посредничество в передаче), фильтрацию при экспорте (передаче от своего имени) информации сетевого трафика за пределы МЭ;
• возможность экспортировать (передавать от своего имени) информацию сетевого трафика при положительных результатах фильтрации и других проверок;
• возможность осуществлять посредничество в передаче информации сетевого трафика, основанное на типе сетевого трафика;
• возможность маскирования наличия МЭ способами, затрудняющими нарушителям его выявление;
• возможность регистрации и учета выполнения проверок информации сетевого трафика;
• возможность читать информацию из записей аудита уполномоченным администраторам;
• возможность выбора совокупности событий, подвергающихся аудиту, из совокупности событий, в отношении которых возможно осуществление аудита;
• возможность оповещения уполномоченных лиц о критичных видах событий безопасности, в том числе сигнализация о попытках нарушения правил межсетевого экранирования;
• возможность выборочного просмотра данных аудита (поиск, сортировка, упорядочение данных аудита);
• возможность регистрации возникновения событий, которые в соответствии с национальным стандартом Российской Федерации ГОСТ Р ИСО/МЭК 15408-2-2013 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные компоненты безопасности» включены в базовый уровень аудита;
• возможность идентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
• возможность аутентификации администратора МЭ до разрешения любого действия (по администрированию), выполняемого при посредничестве МЭ от имени этого администратора;
• возможность осуществления идентификации субъектов межсетевого взаимодействия до передачи МЭ информационного потока получателю;
• поддержка определенных ролей по управлению МЭ;
• возможность со стороны администраторов управлять режимом выполнения функций безопасности МЭ;
• возможность со стороны администраторов управлять данными МЭ, используемыми функциями безопасности МЭ;
• возможность со стороны администраторов управлять атрибутами безопасности;
• возможность поддержки списка типов сетевого трафика для осуществления посредничества в передаче, предусматривающего разделение трафика по типам;
• обеспечение ассоциации типов сетевого трафика из списка с конкретным сетевым трафиком для осуществления посредничества в передаче и обработки соответствующих типов сетевого трафика прокси- агентами;
• возможность изменения области значений информации состояния соединения со стороны администраторов МЭ;
• возможность присвоения информации состояния соединения допустимых значений, таких как установление соединения, использование соединения, завершение соединения и других;
• возможность ведения для каждого соединения таблицы состояний, основанной на информации состояния соединения;
• предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности для используемых пользователями отдельных команд для осуществления МЭ фильтрации;
• предоставление возможности администраторам МЭ модифицировать, удалять разрешительные и (или) запретительные атрибуты безопасности использования сетевых ресурсов, содержащих отдельные типы мобильного кода, для осуществления МЭ фильтрации;
• возможность обеспечения надежных меток времени при проведении аудита безопасности;
• возможность тестирования (самотестирования) функций безопасности МЭ (контроль целостности исполняемого кода МЭ);
• возможность сохранения штатного функционирования МЭ при некритичных типах сбоев;
• возможность согласованно интерпретировать управляющие команды, атрибуты сетевого трафика и иные данные, получаемые от взаимодействующих с МЭ средств защиты информации других видов;
• поддержка правил интерпретации данных, получаемых от взаимодействующих с МЭ средств защиты информации других видов;
• возможность обеспечения перехода в режим аварийной поддержки, который предоставляет возможность возврата МЭ к штатному режиму функционирования;
• возможность кластеризации МЭ;
• возможность приоритизации контроля и фильтрации разных информационных потоков, а также выделения ресурсов, доступных для разных информационных потоков, обрабатываемых одновременно (в течение определенного периода времени).
Дополнительные возможности:
• поддержка протокола IKEv2, благодаря чему удалось значительно расширить перечень устройств, с которыми стало возможно построение IPsec c использованием сертификатов;
• одновременная работа по протоколам IKEv1 и IKEv2;
• возможность работы с IPv6-адресами;
• формат контейнера закрытых ключей s50 (PKCS#15). Работа с контейнерами формата p15 поддерживается;
• возможность настройки агента ретрансляции DHCP Relay для получения сетевых настроек по протоколу DHCP. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Обеспечение защищенного взаимодействия между DHCP клиентами и серверами из удаленных подсетей», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии прим поддержка MultiWAN – сервис, обеспечивающий резервирование каналов связи (Интернет-провайдеров). Описание процесса настройки с перечисленными возможностями представлено в сценарии «Резервирование каналов связи при помощи сервиса MultiWAN», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• поддержка inside VRF совместно с stVTI интерфейсами для сценариев применения в локальной сети. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN соединения при наличии подсетей с пересекающимся адресным пространством и отказоустойчивостью», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• поддержка протоколов PPPoE, PPTP для подключения к глобальным сетям. Возможна настройка С-Терра Шлюз как клиента для подключения к серверу провайдера. Описание процесса настройки с перечисленными возможностями представлено в сценарии «Построение VPN туннеля с PPPoE/PPTP соединением между двумя подсетями, защищаемыми шлюзами безопасности «С-Терра Шлюз», размещенном на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0»;
• выделение отдельной QoS очереди для обработки приоритетного трафика. Регулируется параметром IPsec-драйвера use_priority_queue, который задается в конфигурационном файле /etc/modprobe.d/vpndrvr.conf;
• поддержка криптостойких предварительно распределённых ключей. Использование данных ключей возможно в производственной эксплуатации, в отличие от стандартных PSK, использование которых возможно только в тестовых целях;
• возможность использования С-Терра Шлюз как коммутатора (bridge) с возможностью фильтрации трафика на портах коммутатора средствами утилиты EBtables (transparent firewall). Описание процесса настройки с перечисленными возможностями представлено в «Использование утилиты «ebtables-legacy»», размещенной на портале документации (https://doc.s-terra.ru/) в разделе «Типовые сценарии применения продуктов. Версия 5.0».
Управление ПАК «С-Терра Шлюз» осуществляется:
• локально и удаленно по протоколу SSH с использованием интерфейса командной строки. В интерфейсе командной строки в основном используются команды cs_console.
На ПАК «С-Терра Шлюз» используется встроенная криптографическая библиотека, разработанная компанией «С-Терра СиЭсПи».
Криптобиблиотека, разработанная компанией «С-Терра СиЭсПи», реализует российские криптографические алгоритмы:
• ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы шифрования для IKE-соединения и протокола ESP;
• ГОСТ 28147-89, ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015), ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) – алгоритмы имитозащиты для протокола ESP;
• ГОСТ Р 34.11-94, ГОСТ 34.11-12 – алгоритмы хэширования для ISAKMP SA и IKEv2 SA;
• ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) – алгоритмы формирования и проверки электронной подписи;
• VKO ГОСТ Р 34.10-2001, VKO ГОСТ Р 34.10-2012, – алгоритмы согласования сессионных ключей для ISAKMP SA, IKEv2 SA и IPsec SA (PFS).
ПАК «С-Терра Шлюз» не работает с международными криптоалгоритмами.
ПК «С-Терра Шлюз КВ ST». Версия 5.0 работает только с контейнерами формата PKCS#15.
Защиту трафика С-Терра Шлюз осуществляет в рамках национальных стандартов:
• ГОСТ 34.11-2018 (ГОСТ Р 34.11-2012) Информационная технология. Криптографическая защита информации. Функция хэширования.
• ГОСТ 34.10-2018 (ГОСТ Р 34.10-2012) Информационная технология. Криптографическая защита информации. Процессы формирования и проверки электронной цифровой подписи.
• ГОСТ 34.12-2018 (ГОСТ Р 34.12-2015) Информационная технология. Криптографическая защита информации. Блочные шифры.
• ГОСТ 34.13-2018 (ГОСТ Р 34.13-2015) Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров.
• Р 1323565.1.026–2019 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров, реализующие аутентифицированное шифрование.
• Р 1323565.1.024–2019 Информационная технология. Криптографическая защита информации. Параметры эллиптических кривых для криптографических алгоритмов и протоколов.
• Р 1323565.1.005-2017 Информационная технология. Криптографическая защита информации. Допустимые объемы материала для обработки на одном ключе при использовании некоторых вариантов режимов работы блочных шифров в соответствии с ГОСТ Р 34.13-2015.
• Р 50.1.110–2016 Информационная технология. Криптографическая защита информации. Контейнер хранения ключей.
• RFC 4357, глава 5.2, «VKO GOST R 34.10-2001» – Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms;
• Р 1323565.1.048–2023 Информационная технология. Криптографическая защита информации. Использование российский криптографических алгоритмов в протоколе обмена ключами в сети Интернет версии 2 (IKEv2).
Для IPv6 используются:
• RFC 1981/8201 - Path MTU Discovery for IP version 6;
• RFC 2401/4301 - Security Architecture for the Internet Protocol;
• RFC 2406/4303 - IP Encapsulating Security Payload (ESP);
• RFC 2428 - FTP Extensions for IPv6 and NATs;
• RFC 2460/8200 - Internet Protocol, Version 6 (IPv6);
• RFC 2461/4861 - Neighbor Discovery for IP version 6 (IPv6);
• RFC 2675 - IPv6 Jumbograms;
• RFC 3168 - The Addition of Explicit Congestion Notification (ECN) to IP;
• RFC 4291 - IP Version 6 Addressing Architecture;
• RFC 4443 - Internet Control Message Protocol (ICMPv6) for the Internet Protocol Version 6 (IPv6);
• RFC 5952 - A Recommendation for IPv6 Address Text Representation;
• RFC 6437 - IPv6 Flow Label Specification;
• RFC 6936 - Applicability Statement for the Use of IPv6 UDP Datagrams with Zero Checksums;
• RFC 7112 - Implications of Oversized IPv6 Header Chains;
• RFC 8021 - Generation of IPv6 Atomic Fragments Considered Harmful;
• RFC 8415 - Dynamic Host Configuration Protocol for IPv6 (DHCPv6).