Documentación de productos
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
Ver PDF

Configuración de IPSec de WAN Virtual para operaciones compatibles con FIPS

May 7, 2021
Contribución de: 
C

Las mejoras en la configuración de seguridad IPsec son compatibles con la adición de grupos DH y la funcionalidad del generador de números aleatorios para cumplir con los estándares federales.

Para configurar la configuración de IPSec de ruta virtual:

  • Habilite los túneles IPSec de ruta virtual para todas las rutas virtuales donde se requiera el cumplimiento FIPS. La configuración IPSec para rutas virtuales se controla mediante conjuntos predeterminados.
  • Configure la autenticación de mensajes cambiando el modo IPSec a AH o ESP+Auth y use una función hash aprobada por FIPS. SHA1 es aceptado por FIPS, pero SHA256 es altamente recomendable.
  • La vida útil de IPsec debe configurarse durante no más de ocho horas (28.800 segundos).

La WAN virtual utiliza IKE versión 2 con claves previamente compartidas para negociar túneles IPSec a través de la ruta virtual mediante la siguiente configuración:

  • Grupo DH 19: ECP256 (curva elíptica de 256 bits) para negociación de claves
  • Cifrado AES-CBC de 256 bits
  • Hashing SHA256 para autenticación de mensajes
  • Hashing SHA256 para la integridad del mensaje
  • DH Grupo 2: MODP-1024 para el secreto directo perfecto

Para configurar el túnel IPSec para un tercero, utilice los valores siguientes:

  1. Configure el grupo DH aprobado por FIPS. Los grupos 2 y 5 están permitidos bajo FIPS, sin embargo los grupos 14 y superiores son altamente recomendados.

  2. Configure la función hash aprobada por FIPS. SHA1 es aceptado por FIPS, sin embargo SHA256 es altamente recomendable.

  3. Si utiliza IKEv2, configure una función de integridad aprobada por FIPS. SHA1 es aceptado por FIPS, sin embargo SHA256 es altamente recomendable.

  4. Configure una duración de IKE y una duración máxima de no más de 24 horas (86.400 segundos).

  5. Configure la autenticación de mensajes IPSec cambiando el modo IPSec a AH o ESP+Auth y utilice una función hash aprobada por FIPS. SHA1 es aceptado por FIPS, pero SHA256 es altamente recomendable.

  6. Configure una vida útil de IPSec y una vida útil máxima de no más de ocho horas (28.800 segundos).

Para configurar túneles IPSec:

  1. En el dispositivo MCN, vaya a Configuración > Virtual WAN > Editor de configuración. Abra un paquete de configuración existente. Haga clic en la ficha Avanzadas. Vaya a Conexiones > Túneles IPSec. Imagen localizada

  2. Expanda Configuración IKE. Configurar grupos en la lista implementable Grupo DH. Imagen localizada

  3. Expanda Configuración de IPSec. Configure grupos en la lista implementable Grupo PFS. Imagen localizada

Configuración de IPSec de WAN Virtual para operaciones compatibles con FIPS
May 7, 2021
Contribución de: 
C
May 7, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.