Citrix SD-WAN

Conformité aux normes FIPS

November 1, 2021

Contributeur:

Dans Citrix SD-WAN, le mode FIPS oblige les utilisateurs à configurer des paramètres conformes à FIPS pour leurs tunnels IPsec et les paramètres IPsec pour les chemins virtuels.

Affiche le mode IKE conforme à la norme FIPS.
Affiche un groupe IKE DH conforme à FIPS dans lequel les utilisateurs peuvent sélectionner les paramètres requis pour configurer l’appliance en mode FIPS (2,5,14 — 21).
Affiche le type de tunnel IPSec conforme à FIPS dans les paramètres IPSec pour les chemins virtuels
Mode Hash IKE et intégrité (IKEV2), mode Auth IPSec.
Effectue des erreurs d’audit pour les paramètres de vie basés sur FIPS

Pour activer la conformité FIPS à l’aide de l’interface graphique Citrix SD-WAN :

Accédez à Configuration > Virtual WAN > Configuration Editor > Global, puis sélectionnez Activer le mode FIPS.

L’activation du mode FIPS permet d’appliquer des vérifications pendant la configuration afin de s’assurer que tous les paramètres de configuration liés à IPSec respectent les normes FIPS. Vous êtes invité par des erreurs d’audit et des avertissements à configurer IPSec.

Pour configurer les paramètres IPSec du chemin virtuel :

Activez les tunnels IPSec de chemin virtuel pour tous les chemins virtuels pour lesquels la conformité FIPS est requise. Les paramètres IPSec pour les chemins virtuels sont contrôlés via les jeux par défaut.
Configurez l’authentification des messages en changeant le mode IPsec en AH ou ESP+Auth et en utilisant une fonction de hachage approuvée FIPS. SHA1 est accepté par la FIPS, mais SHA256 est fortement recommandé.
La durée de vie IPSec ne doit pas être configurée plus de 8 heures (28 800 secondes).

Le Virtual WAN utilise IKE version 2 avec des clés prépartagées pour négocier les tunnels IPSec via le Virtual Path en utilisant les paramètres suivants :

DH Group 19 : ECP256 (courbe elliptique de 256 bits) pour la négociation de clés
Chiffrement AES-CBC 256 bits
Hachage SHA256 pour l’authentification des messages
Hachage SHA256 pour l’intégrité des messages
DH Group 2 : MODP-1024 pour un secret direct parfait

Pour configurer le tunnel IPSec pour un tiers, utilisez les paramètres suivants :

Configurer le groupe DH approuvé FIPS. Les groupes 2 et 5 sont autorisés dans le cadre de la FIPS, mais les groupes 14 et plus sont fortement recommandés.
Configurer la fonction de hachage approuvée FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
Si vous utilisez iKev2, configurez une fonction d’intégrité approuvée par FIPS. SHA1 est accepté par FIPS, mais SHA256 est fortement recommandé.
Configurez une durée de vie IKE et une durée de vie maximale ne dépassant pas 24 heures (86 400 secondes).
Configurez l’authentification des messages IPsec en changeant le mode IPsec en AH ou ESP+Auth et en utilisant une fonction de hachage approuvée FIPS. SHA1 est accepté par la FIPS, mais SHA256 est fortement recommandé.
Configurez une durée de vie IPSec et une durée de vie maximale de huit heures maximum (28 800 secondes).

Pour configurer les tunnels IPSec :

Sur l’appliance MCN, accédez à Configuration > Virtual WAN > Configuration Editor. Ouvrez un package de configuration existant. Accédez à Connexions > Tunnels IPSec.
Accédez à Connexions > Tunnels IPSec. Lorsque le tunnelLANou Intranet est sélectionné, l’écran distingue les groupes conformes FIPS dans les paramètres IKE de ceux qui ne sont pas conformes, ce qui vous permet de configurer facilement la conformité FIPS.

L’écran indique également si l’algorithme de hachage est conforme à FIPS, comme illustré dans la figure suivante.

Image localisée

Options de conformité FIPS pour les paramètres IPSec :

Image localisée

Si la configuration IPSec n’est pas conforme aux normes FIPS lorsqu’elle est activée, une erreur d’audit peut être déclenchée. Voici le type d’erreurs d’audit qui s’affichent dans l’interface graphique.

Lorsque le mode FIPS est activé et que l’option non compatible FIPS est sélectionnée.
Lorsque le mode FIPS est activé et que la valeur de vie incorrecte est entrée.
Lorsque le mode FIPS est activé et que les paramètres IPSec pour le chemin virtuel par défaut sont également activés, et le mode tunnel incorrect est sélectionné (ESP vs ESP_Auth/AH).
Lorsque le mode FIPS est activé, les paramètres IPsec pour le jeu par défaut du chemin virtuel sont également activés et une valeur de durée de vie incorrecte est entrée.

La version officielle de ce document est en anglais. Certains contenus de la documentation Cloud Software Group ont été traduits de façon automatique à des fins pratiques uniquement. Cloud Software Group n'exerce aucun contrôle sur le contenu traduit de façon automatique, qui peut contenir des erreurs, des imprécisions ou un langage inapproprié. Aucune garantie, explicite ou implicite, n'est fournie quant à l'exactitude, la fiabilité, la pertinence ou la justesse de toute traduction effectuée depuis l'anglais d'origine vers une autre langue, ou quant à la conformité de votre produit ou service Cloud Software Group à tout contenu traduit de façon automatique, et toute garantie fournie en vertu du contrat de licence de l'utilisateur final ou des conditions d'utilisation des services applicables, ou de tout autre accord avec Cloud Software Group, quant à la conformité du produit ou service à toute documentation ne s'applique pas dans la mesure où cette documentation a été traduite de façon automatique. Cloud Software Group ne pourra être tenu responsable de tout dommage ou problème dû à l'utilisation de contenu traduit de façon automatique.

Conformité aux normes FIPS

November 1, 2021

Contributeur:

November 1, 2021

Contributeur:

Conformité aux normes FIPS

Dans cet article