Konfiguration af IPSec-indstillinger
Internet Protocol Security (IPSec eller IPsec) er en protokolprogrampakke til kryptering af data, der transporteres via et netværk, herunder internetnetværk. Selvom TLS kun krypterer data, der anvendes i et bestemt program, f.eks. en webbrowser eller et e-mailprogram, krypterer IPSec hele IP-pakker eller data i IP-pakker, hvilket giver et mere alsidigt sikkerhedssystem. Maskinens IPSec fungerer i transportstatus, i hvilken dataene i IP-pakkerne krypteres. Med denne funktion kan maskinen oprette direkte forbindelse til en computer, der er på det samme VPN (virtual private network). Kontroller systemkravene, og angiv den nødvendige konfiguration på computeren, før du konfigurerer maskinen.
|
|
Brug af IPSec med IP-adressefilterIndstillinger for IP-adressefiltret anvendes før IPSec-politikkerne. Angivelse af IP-adresser til firewall-indstillinger
|
Konfiguration af IPSec-indstillinger
Før du bruger IPSec til krypteret kommunikation, skal du registrere sikkerhedspolitikkerne (SP). En sikkerhedspolitik består af grupper de indstillinger, der er beskrevet herunder. Når du har registreret politikkerne, skal du angive den rækkefølge, i hvilken de anvendes.
Vælger
Vælgeren definerer betingelserne for IP-pakker for at anvende IPSec-kommunikation. De indstillinger, der kan vælges, omfatter maskinens IP-adresser og portnumre og de enheder, der skal kommunikeres med.
IKE
IKE konfigurerer den IKEv1, der bruges til nøgleudvekslingsprotokollen. Bemærk, at instruktionerne kan variere, afhængigt af den godkendelsesmetode der er valgt.
[Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)]
Denne godkendelsesmetode bruger et fælles nøgleord, der kaldes for Delt Nøgle, til kommunikationen mellem maskine og andre enheder. Aktivér TLS for Fjern-UI, før du angiver godkendelsesmetoden (Konfiguration af nøglen og certifikatet til TLS).
Denne godkendelsesmetode bruger et fælles nøgleord, der kaldes for Delt Nøgle, til kommunikationen mellem maskine og andre enheder. Aktivér TLS for Fjern-UI, før du angiver godkendelsesmetoden (Konfiguration af nøglen og certifikatet til TLS).
[Digital signaturmetode (Digital Signature Method)]
Maskinen og de andre enheder godkender hinanden ved gensidigt at bekræfte deres digitale signaturer. Generér eller installér nøgle og certifikat på forhånd (Registrering af nøglen og certifikatet til netværkskommunikation).
Maskinen og de andre enheder godkender hinanden ved gensidigt at bekræfte deres digitale signaturer. Generér eller installér nøgle og certifikat på forhånd (Registrering af nøglen og certifikatet til netværkskommunikation).
AH/ESP
Angiv indstillingerne for AH/ESP, som føjes til pakkerne under IPSec-kommunikation. AH og ESP bruges samtidigt. Du kan også vælge, hvorvidt du vil aktivere PFS for at stramme sikkerheden eller ej.
|
|
|
For mere information om de grundlæggende handlinger, der skal udføres ved indstilling af maskinen fra Fjern-UI, henvises til Opsætning af menuvalgmuligheder fra Fjern-UI.
|
1
Start Fjern-UI, og log på i Systemadministratortilstand. Start af Fjern-UI
2
Klik på [Indstillinger/registrering (Settings/Registration)] på portalsiden. Skærmen Fjern-UI
3
Vælg [Netværksindstillinger (Network Settings)] 
[IPSec-indstillinger (IPSec Settings)].
[IPSec-indstillinger (IPSec Settings)].4
Klik på [Rediger (Edit)].
5
Marker afkrydsningsfeltet [Brug IPSec (Use IPSec)], og klik på [OK (OK)].
Hvis du ønsker, at maskinen kun skal modtage pakker, der stemmer overens med en af de sikkerhedspolitikker, du definerer i trinnene herunder, skal du rydde markeringen i afkrydsningsfeltet [Modtag Non-policy-pakker (Receive Non-Policy Packets)].
6
Klik på [Registrér ny politik (Register New Policy)].
7
Angiv politikindstillingerne.
|
1
|
I tekstfeltet [Politiknavn (Policy Name)] skal du angive alfanumeriske tegn for et navn, der bruges til identificering af politikken.
|
|
2
|
Marker afkrydsningsfeltet [Aktivér politik (Enable Policy)].
|
8
Angiv indstillingerne for vælgeren.
[Lokal adresse (Local Address)]
Klik på alternativknappen for denne type IP-adresse for maskinen for at anvende politikken.
Klik på alternativknappen for denne type IP-adresse for maskinen for at anvende politikken.
|
[Alle IP-adresser (All IP Addresses)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker.
|
|
[IPv4-adresse (IPv4 Address)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker, der blev sendt til eller fra maskinens IPv4-adresse.
|
|
[IPv6-adresse (IPv6 Address)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker, der blev sendt til eller fra maskinens IPv6-adresse.
|
[Fjernadresse (Remote Address)]
Klik på alternativknappen for denne type IP-adresse for andre enheder for at anvende politikken.
Klik på alternativknappen for denne type IP-adresse for andre enheder for at anvende politikken.
|
[Alle IP-adresser (All IP Addresses)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker.
|
|
[Alle IPv4-adresse (All IPv4 Addresses)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker, der blev sendt til eller fra IPv4-adresser for andre enheder.
|
|
[Alle IPv6-adresse (All IPv6 Addresses)]
|
Vælg indstillingen for at bruge IPSec til alle IP-pakker, der blev sendt til eller fra IPv6-adresser for andre enheder.
|
|
[Manuelle IPv4-indstillinger (IPv4 Manual Settings)]
|
Vælg indstillingen for at angive en enkelt IPv4-adresse eller et udvalg af IPv4-adresser for at anvende IPSec. Angiv IPv4-adressen (eller området) i tekstfeltet [Adresser til manuel indstilling (Addresses to Set Manually)].
|
|
[Manuelle IPv6-indstillinger (IPv6 Manual Settings)]
|
Vælg indstillingen for at angive en enkelt IPv6-adresse eller et udvalg af IPv6-adresser for at anvende IPSec. Angiv IPv6-adressen (eller området) i tekstfeltet [Adresser til manuel indstilling (Addresses to Set Manually)].
|
[Adresser til manuel indstilling (Addresses to Set Manually)]
Hvis [Manuelle IPv4-indstillinger (IPv4 Manual Settings)] eller [Manuelle IPv6-indstillinger (IPv6 Manual Settings)] er valgt for [Fjernadresse (Remote Address)], skal du angive IP-adressen for at anvende politikken. Du kan også angive et adresseområde ved at indsætte en bindestreg mellem adresserne.
Hvis [Manuelle IPv4-indstillinger (IPv4 Manual Settings)] eller [Manuelle IPv6-indstillinger (IPv6 Manual Settings)] er valgt for [Fjernadresse (Remote Address)], skal du angive IP-adressen for at anvende politikken. Du kan også angive et adresseområde ved at indsætte en bindestreg mellem adresserne.
Angivelse af IP-adresser
|
Beskrivelse
|
Eksempel
|
|
|
Indtastning af en enkelt adresse
|
IPv4:
Adskil tal med punktummer. |
192.168.0.10
|
|
IPv6:
Adskil alfanumeriske tegn med koloner. |
fe80::10
|
|
|
Angivelse af adresseområder
|
Indsæt en bindestreg mellem adresserne.
|
192.168.0.10-192.168.0.20
|
[Indstillinger for undernet (Subnet Settings)]
Når du angiver IPv4-adressen manuelt, kan du udtrykke området ved hjælp af undernetmasken. Angiv undernetmasken, og adskil tallene med punktummer (eksempel:"255.255.255.240").
Når du angiver IPv4-adressen manuelt, kan du udtrykke området ved hjælp af undernetmasken. Angiv undernetmasken, og adskil tallene med punktummer (eksempel:"255.255.255.240").
[Præfikslængde (Prefix Length)]
Hvis du angiver et IPv6-adresseområde manuelt, kan du også bruge præfikser til at angive området. Angiv et område fra 0 til 128 som præfikslængde.
Hvis du angiver et IPv6-adresseområde manuelt, kan du også bruge præfikser til at angive området. Angiv et område fra 0 til 128 som præfikslængde.
[Lokal port (Local Port)]/[Fjernport (Remote Port)]
Hvis du vil oprette separate politikker for hver protokol, f.eks. HTTP eller WSD, skal du angive det relevante portnummer for protokollen for at finde ud af, om IPSec skal bruges.
Hvis du vil oprette separate politikker for hver protokol, f.eks. HTTP eller WSD, skal du angive det relevante portnummer for protokollen for at finde ud af, om IPSec skal bruges.
IPSec anvendes ikke på de følgende pakker
Tilbageloop-, multicast- og broadcast-pakker
IKE-pakker (vha. UDP på port 500)
ICMPv6-naboinvitations- og nabomeddelelsespakker
9
Angiv IKE-indstillingerne.
[IKE-tilstand (IKE Mode)]
Den status, der bruges til nøgleudvekslingsprotokollen vises. Maskinen understøtter hovedstatussen, ikke den aggressive status.
Den status, der bruges til nøgleudvekslingsprotokollen vises. Maskinen understøtter hovedstatussen, ikke den aggressive status.
[Autentificeringsmetode (Authentication Method)]
Vælg [Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)] eller [Digital signaturmetode (Digital Signature Method)] for den metode, der bruges, når du godkender maskinen. Du skal aktivere TLS for Fjern-UI, før du vælger [Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)]. Du skal generere eller installere nøgle og certifikat, før du vælger [Digital signaturmetode (Digital Signature Method)] Konfiguration af nøglen og certifikatet til TLS.
Vælg [Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)] eller [Digital signaturmetode (Digital Signature Method)] for den metode, der bruges, når du godkender maskinen. Du skal aktivere TLS for Fjern-UI, før du vælger [Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)]. Du skal generere eller installere nøgle og certifikat, før du vælger [Digital signaturmetode (Digital Signature Method)] Konfiguration af nøglen og certifikatet til TLS.
[Gyldig til (Valid for)]
Angiv, i hvor lang tid en session varer for IKE SA (ISAKMP SA). Angiv tiden i minutter.
Angiv, i hvor lang tid en session varer for IKE SA (ISAKMP SA). Angiv tiden i minutter.
[Autentificering (Authentication)]/[Kryptering (Encryption)]/[DH-gruppe (DH Group)]
Vælg en algoritme på rullelisten. Hver enkelt algoritme bruges i nøgleudvekslingen.
Vælg en algoritme på rullelisten. Hver enkelt algoritme bruges i nøgleudvekslingen.
|
[Autentificering (Authentication)]
|
Vælg hashalgoritmen.
|
|
[Kryptering (Encryption)]
|
Vælg krypteringsalgoritmen.
|
|
[DH-gruppe (DH Group)]
|
Vælg Diffie-Hellman-gruppen, der bestemmer længden på nøglen.
|
Godkendelse af en maskine med en allerede delt nøgle
|
1
|
Klik på alternativknappen [Metoden Forhåndsdelt nøgle (Pre-Shared Key Method)] for [Autentificeringsmetode (Authentication Method)], og klik derefter på [Indstillinger for delt nøgle (Shared Key Settings)].
|
|
2
|
Angiv alfanumeriske tegn for den forhåndsdelte nøgle, og klik på [OK (OK)].
|
|
3
|
Angiv indstillingerne [Gyldig til (Valid for)] og [Autentificering (Authentication)]/[Kryptering (Encryption)]/[DH-gruppe (DH Group)].
|
Godkendelse af en maskine med digital signatur
|
1
|
Klik på alternativknappen [Digital signaturmetode (Digital Signature Method)] for [Autentificeringsmetode (Authentication Method)], og klik derefter på [Nøgle og certifikat (Key and Certificate)].
|
|
2
|
Klik på [Registrer standardnøgle (Register Default Key)] til højre for den nøgle og det certifikat, du vil bruge.
Visning af detaljer om et certifikat
Du kan klikke på detaljerne for certifikatet eller kontrollere certifikatet ved at klikke på det tilhørende tekstlink under [Nøglenavn (Key Name)] eller ikonet for certifikatet.
|
|
3
|
Angiv indstillingerne [Gyldig til (Valid for)] og [Autentificering (Authentication)]/[Kryptering (Encryption)]/[DH-gruppe (DH Group)].
|
10
Angiv netværksindstillingerne for IPSec.
[Brug PFS (Use PFS)]
Markér afkrydsningsfeltet for at aktivere PFS (perfect forward secrecy) for IPSec-sessionsnøgler. Hvis du aktiverer PFS, forbedrer det sikkerheden, samtidig med at belastningen af kommunikationen øges. Sørg for, at PFS også er aktiveret for de andre enheder.
Markér afkrydsningsfeltet for at aktivere PFS (perfect forward secrecy) for IPSec-sessionsnøgler. Hvis du aktiverer PFS, forbedrer det sikkerheden, samtidig med at belastningen af kommunikationen øges. Sørg for, at PFS også er aktiveret for de andre enheder.
[Angiv efter tid (Specify by Time)]/[Angiv efter størrelse (Specify by Size)]
Angiv betingelserne for afslutning af en session for IPSec SA. IPSec SA bruges som en kommunikationstunnel. Marker et eller begge felter efter behov. Hvis du markerer begge felter, afsluttes IPSec SA-sessionen, når en af betingelserne er blevet opfyldt.
Angiv betingelserne for afslutning af en session for IPSec SA. IPSec SA bruges som en kommunikationstunnel. Marker et eller begge felter efter behov. Hvis du markerer begge felter, afsluttes IPSec SA-sessionen, når en af betingelserne er blevet opfyldt.
|
[Angiv efter tid (Specify by Time)]
|
Angiv en tid i minutter for at angive, i hvor lang tid en session varer.
|
|
[Angiv efter størrelse (Specify by Size)]
|
Angiv en størrelse i MB for at angive, hvor mange data der kan transporteres i en session.
|
[Vælg algoritme (Select Algorithm)]
Marker afkrydsningsfeltet/-felterne [ESP (ESP)], [ESP (AES-GCM) (ESP (AES-GCM))] eller [AH (SHA1) (AH (SHA1))], afhængigt af den IPSec-header og –algoritme, der anvendes. AES-GCM er en algoritme til både godkendelse og kryptering. Hvis [ESP (ESP)] er valgt, skal du også vælge algoritmer til godkendelse og kryptering på rullelisterne [ESP-autentificering (ESP Authentication)] og [ESP-kryptering (ESP Encryption)].
Marker afkrydsningsfeltet/-felterne [ESP (ESP)], [ESP (AES-GCM) (ESP (AES-GCM))] eller [AH (SHA1) (AH (SHA1))], afhængigt af den IPSec-header og –algoritme, der anvendes. AES-GCM er en algoritme til både godkendelse og kryptering. Hvis [ESP (ESP)] er valgt, skal du også vælge algoritmer til godkendelse og kryptering på rullelisterne [ESP-autentificering (ESP Authentication)] og [ESP-kryptering (ESP Encryption)].
|
[ESP-autentificering (ESP Authentication)]
|
Hvis du vil aktivere ESP-godkendelsen, skal du vælge [SHA1 (SHA1)] for hashalgoritmen. Vælg [Brug ikke (Do Not Use)], hvis du vil deaktivere ESP-godkendelsen.
|
|
[ESP-kryptering (ESP Encryption)]
|
Vælg krypteringsalgoritmen for ESP. Du kan vælge [NULL (NULL)], hvis du ikke vil angive algoritmen, eller vælge [Brug ikke (Do Not Use)], hvis du vil deaktivere ESP-kryptering.
|
[Tilslutningsstatus (Connection Mode)]
Forbindelsesstatussen for IPSec vises. Maskinen understøtter transportstatussen, i hvilken dataene i IP-pakkerne krypteres. Tunnelstatussen, i hvilken hele IP-pakker (headere og data) indkapsles, er ikke tilgængelig.
Forbindelsesstatussen for IPSec vises. Maskinen understøtter transportstatussen, i hvilken dataene i IP-pakkerne krypteres. Tunnelstatussen, i hvilken hele IP-pakker (headere og data) indkapsles, er ikke tilgængelig.
11
Klik på [OK (OK)].
Hvis du skal registrere en ekstra sikkerhedspolitik, skal du gå tilbage til trin 6.
12
Arranger rækkefølgen af de politikker, der vises under [Registrerede IPSec-politikker (Registered IPSec Policies)].
Politikkerne anvendes fra den, som er placeret højest, til den, der er placeret nederst. Klik på [Op (Up)] eller [Ned (Down)] for at flytte en politik op eller ned i rækkefølgen.
Redigering af en politik
Klik på et tilhørende tekstlink under [Politiknavn (Policy Name)] for redigeringsskærmen.
Sletning af en politik
Klik på [Slet (Delete)] til højre for navnet på den politik, du vil slette , og klik på [OK (OK)].
, og klik på [OK (OK)].13
Genstart maskinen.
Sluk maskinen, vent mindst 10 sekunder, og tænd den igen.
|
|
Brug af kontrolpaneletDu kan også aktivere eller deaktivere IPSec-kommunikation fra <Menu (Menu)> på Hjem (Home)-skærmen. <Brug IPSec (Use IPSec)>
|