Konfigurieren von Virtual WAN IPsec für den FIPS-konformen Betrieb

January 20, 2020

Beigesteuert von: C

Verbesserungen der IPSec-Sicherheitseinstellungen werden durch Hinzufügen von DH-Gruppen und Zufallszahlengeneratorfunktionen unterstützt, um die Einhaltung der Bundesstandards zu gewährleisten.

So konfigurieren Sie IPSec-Einstellungen für virtuelle Pfade:

Aktivieren Sie Virtual Path IPSec-Tunnel für alle virtuellen Pfade, bei denen FIPS-Konformität erforderlich ist. IPSec-Einstellungen für virtuelle Pfade werden über Standardsätze gesteuert.
Konfigurieren Sie die Nachrichtenauthentifizierung, indem Sie den IPSec-Modus in AH oder ESP+Auth ändern und eine FIPS-zugelassene Hashing-Funktion verwenden. SHA1 wird von FIPS akzeptiert, aber SHA256 wird dringend empfohlen.
Die IPSec-Lebensdauer sollte nicht länger als acht Stunden (28.800 Sekunden) konfiguriert werden.

Das virtuelle WAN verwendet IKE Version 2 mit vorinstallierten Schlüsseln, um IPSec-Tunnel über den virtuellen Pfad mit den folgenden Einstellungen auszuhandeln:

DH Group 19: ECP256 (256-Bit-Elliptische Kurve) für Schlüsselverhandlungen
256-Bit-AES-CBC-Verschlüsselung
SHA256-Hashing für die Nachrichtenauthentifizierung
SHA256-Hashing für Nachrichtenintegrität
DH Group 2: MODP-1024 für Perfect Forward Secrecy

Verwenden Sie die folgenden Einstellungen, um IPSec-Tunnel für einen Drittanbieter zu konfigurieren:

Konfigurieren Sie die FIPS-zugelassene DH-Gruppe. Gruppen 2 und 5 sind unter FIPS zulässig, aber Gruppen 14 und höher werden dringend empfohlen.
Konfigurieren Sie die FIPS-zugelassene Hash-Funktion. SHA1 wird von FIPS akzeptiert, jedoch wird SHA256 dringend empfohlen.
Wenn Sie IKEv2 verwenden, konfigurieren Sie eine von FIPS genehmigte Integritätsfunktion. SHA1 wird von FIPS akzeptiert, jedoch wird SHA256 dringend empfohlen.
Konfigurieren Sie eine IKE-Lebensdauer und maximale Lebensdauer von nicht mehr als 24 Stunden (86.400 Sekunden).
Konfigurieren Sie die IPSec-Nachrichtenauthentifizierung, indem Sie den IPSec-Modus in AH oder ESP+Auth ändern und eine FIPS-zugelassene Hashing-Funktion verwenden. SHA1 wird von FIPS akzeptiert, aber SHA256 wird dringend empfohlen.
Konfigurieren Sie eine IPSec-Lebensdauer und maximale Lebensdauer von höchstens acht Stunden (28.800 Sekunden).

So konfigurieren Sie IPSec-Tunnel:

Wechseln Sie auf der MCN-Appliance zu Konfiguration > Virtuelles WAN > Konfigurations-Editor. Öffnen Sie ein vorhandenes Konfigurationspaket. Klicken Sie auf die Registerkarte Erweitert . Gehen Sie zu Verbindungen > IPSec-Tunnel.
Erweitern Sie IKE-Einstellungen. Konfigurieren Sie Gruppen in der Dropdown-Liste DH Group.
Erweitern Sie IPSec-Einstellungen. Konfigurieren Sie Gruppen in der Dropdown-Liste PFS-Gruppe.

Die offizielle Version dieses Inhalts ist auf Englisch. Für den einfachen Einstieg wird Teil des Inhalts der Citrix Dokumentation maschinell übersetzt. Citrix hat keine Kontrolle über maschinell übersetzte Inhalte, die Fehler, Ungenauigkeiten oder eine ungeeignete Sprache enthalten können. Es wird keine Garantie, weder ausdrücklich noch stillschweigend, für die Genauigkeit, Zuverlässigkeit, Eignung oder Richtigkeit von Übersetzungen aus dem englischen Original in eine andere Sprache oder für die Konformität Ihres Citrix Produkts oder Ihres Diensts mit maschinell übersetzten Inhalten gegeben, und jegliche Garantie, die im Rahmen der anwendbaren Endbenutzer-Lizenzvereinbarung oder der Vertragsbedingungen oder einer anderen Vereinbarung mit Citrix gegeben wird, dass das Produkt oder den Dienst mit der Dokumentation übereinstimmt, gilt nicht in dem Umfang, in dem diese Dokumentation maschinell übersetzt wurde. Citrix kann nicht für Schäden oder Probleme verantwortlich gemacht werden, die durch die Verwendung maschinell übersetzter Inhalte entstehen können.

Konfigurieren von Virtual WAN IPsec für den FIPS-konformen Betrieb

January 20, 2020

Beigesteuert von: C

In diesem Artikel

Edit this article