Citrix SD-WAN

Configuración de IPsec de WAN Virtual para operaciones compatibles con FIPS

October 27, 2021

Contribución de:

Las mejoras de la configuración de seguridad IPsec son compatibles con la adición de grupos DH y la funcionalidad de generador de números aleatorios para cumplir con las normas federales.

Para configurar la configuración de IPsec de ruta virtual:

Habilite túneles IPsec de ruta virtual para todas las rutas virtuales en las que se requiera el cumplimiento de FIPS. La configuración de IPsec para rutas virtuales se controla mediante conjuntos predeterminados.
Configure la autenticación de mensajes cambiando el modo IPsec a AH o ESP + Auth y utilice una función hash aprobada por FIPS. SHA1 es aceptado por FIPS, pero SHA256 es altamente recomendable.
La vida útil de IPsec debe configurarse durante no más de ocho horas (28.800 segundos).

La WAN virtual utiliza IKE versión 2 con claves previamente compartidas para negociar túneles IPsec a través de la ruta virtual mediante la siguiente configuración:

Grupo DH 19: ECP256 (curva elíptica de 256 bits) para negociación de claves
Cifrado AES-CBC de 256 bits
hash SHA256 para autenticación de mensajes
hash SHA256 para la integridad del mensaje
DH Group 2: MODP-1024 para un secreto directo perfecto

Para configurar el túnel IPsec para un tercero, utilice la siguiente configuración:

Configure el grupo DH aprobado por FIPS. Los grupos 2 y 5 están permitidos bajo FIPS, sin embargo, se recomiendan encarecidamente los grupos 14 y superiores.
Configure la función hash aprobada por FIPS. SHA1 es aceptado por FIPS, sin embargo SHA256 es altamente recomendable.
Si utiliza IKEv2, configure una función de integridad aprobada por FIPS. SHA1 es aceptado por FIPS, sin embargo SHA256 es altamente recomendable.
Configure una vida útil de IKE y una vida útil máxima de no más de 24 horas (86.400 segundos).
Configure la autenticación de mensajes IPsec cambiando el modo IPsec a AH o ESP+Auth y utilice una función hash aprobada por FIPS. SHA1 es aceptado por FIPS, pero SHA256 es altamente recomendable.
Configure una vida útil IPsec y una vida útil máxima de no más de ocho horas (28.800 segundos).

Para configurar túneles IPsec:

En el dispositivo MCN, vaya a Configuración > WAN virtual > Editor de configuración. Abra un paquete de configuración existente. Haga clic en la ficha Avanzadas. Vaya a Conexiones > Túneles IPsec.
Amplíe Configuración de IKE. Configurar grupos en la lista desplegable Grupo DH.
Amplíe Configuración de IPsec. Configure grupos en la lista desplegable Grupo PFS.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

NetScaler Secure Deployment Guide

Configuración de IPsec de WAN Virtual para operaciones compatibles con FIPS

October 27, 2021

Contribución de:

October 27, 2021

Contribución de:

En este artículo

NetScaler Secure Deployment Guide