Citrix SD-WAN

Conformité aux normes FIPS

May 6, 2021

Contributeur:

Dans Citrix SD-WAN, le mode FIPS oblige les utilisateurs à configurer les paramètres conformes FIPS pour leurs tunnels IPSec et les paramètres IPsec pour les chemins virtuels.

Affiche le mode IKE compatible FIPS.
Affiche un groupe IKE DH conforme FIPS dans lequel les utilisateurs peuvent sélectionner les paramètres requis pour configurer l’appliance en mode conforme FIPS (2,5,14 — 21).
Affiche le type de tunnel IPsec compatible FIPS dans les paramètres IPsec pour les chemins virtuels
Mode d’intégrité IKE et (IKEv2), mode d’authentification IPsec.
Effectue des erreurs d’audit pour les paramètres de vie basés sur FIPS

Pour activer la conformité FIPS à l’aide de l’interface graphique Citrix SD-WAN :

Accédez à Configuration > Réseau étendu virtuel > Éditeur de configuration > Global, puis sélectionnez Activer le mode FIPS .

L’activation du mode FIPS impose des vérifications pendant la configuration afin de s’assurer que tous les paramètres de configuration liés à IPSec respectent les normes FIPS. Les erreurs d’audit et les avertissements vous invitent à configurer IPSec.

Pour configurer les paramètres IPsec du chemin virtuel :

Activez Virtual Path Tunnels IPsec pour tous les chemins virtuels où la conformité FIPS est requise. Les paramètres IPsec pour les chemins virtuels sont contrôlés via les ensembles par défaut.
Configurez l’authentification des messages en changeant le mode IPSec en AH ou ESP+Auth et utilisez une fonction de hachage approuvée par FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
La durée de vie IPsec ne doit pas être configurée plus de 8 heures (28 800 secondes).

Le réseau WAN virtuel utilise IKE version 2 avec des clés pré-partagées pour négocier des tunnels IPSec via le chemin virtuel en utilisant les paramètres suivants :

DH Groupe 19 : ECP256 (courbe elliptique 256 bits) pour la négociation des clés
Cryptage AES-CBC 256 bits
Hachage SHA256 pour l’authentification des messages
Hachage SHA256 pour l’intégrité des messages
DH Groupe 2 : MODP-1024 pour un secret parfait avant

Pour configurer IPSec Tunnel pour un tiers, utilisez les paramètres suivants :

Configurer le groupe DH approuvé par FIPS. Les groupes 2 et 5 sont autorisés dans le cadre de la FIPS, mais les groupes 14 et plus sont fortement recommandés.
Configurer la fonction de hachage approuvée par FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
Si vous utilisez IKev2, configurez une fonction d’intégrité approuvée par FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
Configurez une durée de vie IKE et une durée de vie maximale ne dépassant pas 24 heures (86 400 secondes).
Configurez l’authentification des messages IPSec en changeant le mode IPSec en AH ou ESP+Auth et utilisez une fonction de hachage approuvée par FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
Configurez une durée de vie IPsec et une durée de vie maximale ne dépassant pas huit heures (28 800 secondes).

Pour configurer les tunnels IPSec :

Sur l’appliance MCN, accédez à Configuration > Virtual WAN > Éditeur de configuration. Ouvrez un package de configuration existant. Accédez à Connexions > Tunnels IPSec .
Accédez à Connexions > Tunnels IPSec . Avec LAN ou Intranet Tunnel sélectionné, l’écran distingue les groupes conformes FIPS dans les paramètres IKE de ceux qui ne sont pas conformes, de sorte que vous pouvez facilement configurer la conformité FIPS.

L’écran indique également si l’algorithme de hachage est conforme à la norme FIPS, comme illustré dans la figure suivante.

image localisée

Options de conformité FIPS pour les paramètres IPsec :

image localisée

Si la configuration IPSec n’est pas conforme aux normes FIPS lorsqu’elle est activée, une erreur d’audit peut être déclenchée. Voici le type d’erreurs d’audit qui s’affichent dans l’interface graphique.

Lorsque, le mode FIPS est activé et l’option non conforme FIPS est sélectionnée.
Lorsque, le mode FIPS est activé et une valeur de vie incorrecte est entrée.
Lorsque, le mode FIPS est activé et les paramètres IPsec pour le chemin virtuel par défaut sont également activés, et le mode Tunnel incorrect est sélectionné (ESP vs ESP_Auth/AH).
Lorsque le mode FIPS est activé, les paramètres IPsec pour le chemin virtuel par défaut sont également activés et une valeur de durée de vie incorrecte est entrée.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Conformité aux normes FIPS

May 6, 2021

Contributeur:

May 6, 2021

Contributeur:

Conformité aux normes FIPS

Dans cet article