Стенд открытого тестирования СКЗИ "КриптоПро CSP"/"КриптоПро IPsec"

Оглавление

• Конфигурация стенда
• Типовой сценарий тестирования
• Дополнительные сервисы стенда
• Ссылки

Введение

Стенд предназначен для проверки совместимости реализаций IPsec использующих российские алгоритмы (см. "Совместимость российских реализаций IPsec [1]") и самостоятельного тестирования возможности встречной работы их реализаций с реализацией СКЗИ "КриптоПро CSP"/"КриптоПро IPsec".

Возникающие технические вопросы в части реализации IPsec можно задавать в соответствующем разделе нашего форума (см. "Форум КРИПТО-ПРО [2] » Средства криптографической защиты информации [3] » КриптоПро IPsec [4]").

При возникновении организационных вопросов или появлении необходимости изменения конфигурации стенда информацию об этом можно направить письмом на <mailto:vpngost@cryptopro.ru [5]>.

Внимание: Подключаться к стенду рекомендуется только со стендов соответствующим образом отделённых от офисных и прочих рабочих сетей адекватными мерами защиты. ООО "КРИПТО-ПРО" не несёт ответственности за содержание передаваемой информации.

Конфигурация стенда

Стенд обеспечивает возможность подключения и тестирование российских реализаций VPN и IPsec, как по современному протоколу IPv6 [6] (vpngost-v6.cryptopro.ru, vpngost-v6-a.cryptopro.ru, vpngost-v6-tun.cryptopro.ru, vpngost-v6-a-tun.cryptopro.ru), так и по традиционному протоколу IPv4 [7] (vpngost.cryptopro.ru, vpngost-a.cryptopro.ru, vpngost-tun.cryptopro.ru, vpngost-a-tun.cryptopro.ru).

Рисунок 1. Схема узла vpngost.cryptopro.ru

Адреса узлов

vpngost.cryptopro.ru	193.37.157.89 [8]
vpngost-v6.cryptopro.ru	2002:c125:9d59::c125:9d59 [9]
	10.89.90.2
	fe00:0a59:5a00::2
vpngost-tun.cryptopro.ru	193.37.157.90 [10]
vpngost-v6-tun.cryptopro.ru	2002:c125:9d5a::c125:9d5a [11]
	10.89.90.1
	fe00:0a59:5a00::1
vpngost-a.cryptopro.ru	193.37.157.91 [12]
vpngost-v6-a.cryptopro.ru	2002:c125:9d5b::c125:9d5b [13]
	10.89.90.4
	fe00:0a59:5a00::4
vpngost-a-tun.cryptopro.ru	193.37.157.92 [14]
vpngost-v6-a-tun.cryptopro.ru	2002:c125:9d5c::c125:9d5c [15]
	10.89.90.3
	fe00:0a59:5a00::3

Адреса узлов могут меняться, пожалуйста, уточняйте актуальные в протоколах в файлах "readme".

Параметры методов аутентификации

IKE‑GOST‑PSK	32-байтное значение в HEX-формате: "0123456789ABCDEF0102030405060708090A0B0C0D0E0FFEDCBA9876543210"
IKE‑GOST‑SIGNATURE	Сертификат выпущенный тестовым УЦ: https://www.cryptopro.ru/certsrv [16] или http://www.cryptopro.ru/certsrv [17]
L2TP/IPsec	login/password: vpngost-test/vpngost-test

Используемый метод аутентификации, как и используемое преобразование, согласуется обычным образом.

Узлы тестирования обязательных параметров IPsec

На узлах vpngost, vpngost-v6, vpngost-tun, vpngost-v6-tun, установлены обязательные к реализации параметры по умолчанию.

Для методов аутентификации IKE-GOST-PSK и IKE-GOST-SIGNATURE используются параметры:

• Хэш функция GOST_R_3411_94;
• Алгоритм шифрования GOST-B-CFB-IMIT;
• Группа VKO GOST R 34.10 2001 XchB;
• Режим Quick Mode (QM) без использования Perfect Forward Secrecy (PFS).

Для преобразований ESP_GOST-4M-IMIT и ESP_GOST-1K-IMIT используются параметры:

• Узел замены из id-Gost28147-89-CryptoPro-B-ParamSet;
• Не согласуется опциональный атрибут Extended (64-bit) Sequence Number (ESN).

Узлы с альтернативными параметрами IPsec

На узлах vpngost-a, vpngost-a-tun, vpngost-v6-a, vpngost-v6-a-tun по запросу могут быть установлены другие опциональные параметры. Текущие установленные параметры доступны в протоколах соответствующего узла.

Для методов аутентификации IKE-GOST-PSK и IKE-GOST-SIGNATURE могут быть установлены следующие параметры:

• Хэш функция GOST_R_3411_94;
• Алгоритм шифрования GOST-C-CFB-IMIT (или GOST-A-CFB-IMIT, GOST-D-CFB-IMIT);
• Группа VKO GOST R 34.10 2001 XchA;
• Режим принудительного запрета согласования QM без использования режима PFS (Disable Non-PFS);
• Режим QM с использованием PFS.

Для преобразований ESP_GOST-4M-IMIT и ESP_GOST-1K-IMIT могут быть установлены следующие параметры:

• Узел замены из id-Gost28147-89-CryptoPro-D-ParamSet (или id-Gost28147-89-CryptoPro-A-ParamSet, id-Gost28147-89-CryptoPro-C-ParamSet);
• Использование ESN;
• Опциональный режим совместимости, в котором может согласовываться атрибут "Authentication Algorithm" (5) со значением GOST-NULL-INTEGRITY-ALGORITHM (65411).

Политики IPsec узлов транспортного режима

На узлах vpngost, vpngost-a, vpngost-v6, vpngost-v6-a установлено:

icmp	Принимаются, как зашифрованные, так и открытые входящие пакеты; Исходящие пакеты передаются зашифрованными только, если установлена ESP SA, а если нет, то они передаются в открытом виде;
echo, discard, daytime	Принимаются, как зашифрованные, так и открытые входящие пакеты; Исходящие пакеты передаются только зашифрованными;
qotd, chargen и др.	Принимаются и передаются только зашифрованные пакеты;
http, https, isakmp, ipsec‑msft	Принимаются и передаются только в открытом виде;
L2TP/IPsec	Порождает динамические политики.
VPN	Обмен с VPN (10.89.0.0/16 и fe00:0a59/32) осуществляется только в открытом виде.

L2TP/IPsec, SSTP выделяет адреса в диапазонах, на vpngost, vpngost-v6: 10.89.89.0/24 и fe00:0a59:5900/48, а на vpngost-v6, vpngost-v6-a: 10.89.91.0/24 и fe00:0a59:5b00/48.

Политики IPsec узлов туннельного режима

На узлах vpngost-tun, vpngost-v6-tun, vpngost-a-tun, vpngost-v6-a-tun установлено:

icmp	Принимаются, как зашифрованные, так и открытые входящие пакеты; Исходящие пакеты передаются зашифрованными только, если установлена ESP SA, а если нет, то они передаются в открытом виде;
IPsec туннели	Пакеты туннельного режима в адрес конечных точек передаются и принимаются ими только зашифрованными;
http, https, isakmp, ipsec‑msft	Принимаются и передаются только в открытом виде;
VPN	Обмен с VPN (10.89.0.0/16 и fe00:0a59/32) осуществляется только в открытом виде.

Конечные точки туннелей и соответствующие им подсети настраиваются по запросу. Для vpngost-tun, vpngost-v6-tun подсети должны быть: 10.89.{1..30}.0/24 и fe00:0a59:5a5a:{1..ffff}/64. Для vpngost-a-tun, vpngost-v6-a-tun подсети должны быть: 10.89.{201..230}.0/24 и fe00:0a59:5c5c:{1..ffff}/64.

Типовой сценарий тестирования

Подготовка к тестирования

Узлы стенда поддерживают обслуживание инициаторов использующих NAT, однако тесты ответчиков и/или туннельных режимов потребуют специальных настроек. Поэтому рекомендуется использовать "прямые" IPv4 и IPv6 адреса, а так же рекомендуется использование "статических" адресов для тестов туннельного режима.

Проверка связи со стендом

Может быть проведена командой `ping', либо доступом по HTTP к протоколам узла стенда.

В протоколах узла стенда и/или в файле readme будут указаны текущие настройки и параметры.

Тест инициатора транспортного режима

Не требует дополнительных действий. После согласования ESP SA, доступны тестовые нагрузки: icmp, echo, discard, daytime, qotd, chargen. Например, к TCP нагрузкам можно обратиться командой `telnet vpngost-v6.cryptopro.ru echo', а к UDP командой `nc vpngost-v6.cryptopro.ru echo' из пакета Netcat.

Тест ответчика транспортного режима

При обращении к тестовым нагрузкам echo, discard, daytime, стенд для ответных пакетов будет самостоятельно инициировать согласование ISAKMP SA и/или ESP SA.

Использование icmp для этого теста возможно, но не рекомендуется, т.к. одновременно с инициацией согласования SA или же при ошибках согласования стенда посылает icmp ответ в открытом виде, соответственно Вы можете получить ложноположительный результат.

Использование NAT в этом тесте возможно, но не рекомендуется, в виду сложности настройки.

Тест инициатора режима L2TP/IPsec

После согласования L2TP/IPsec, доступны тестовые нагрузки: icmp, echo, discard, daytime, qotd, chargen по адресам: 10.89.90.2 и/или fe00:0a59:5a00::2.

Подготовка к тестам туннельного режима

Рекомендуется выделять статический IPv4 или IPv6 адрес, при доступе к которому разрешён протокол icmp. После чего выслать нам согласование и настройку туннельную подсеть.

Тест инициатора туннельного режима

После согласования туннеля, доступны тестовые нагрузки: icmp, echo, discard, daytime, qotd, chargen по адресам: 10.89.90.2 и/или fe00:0a59:5a00::2.

Тест ответчика туннельного режима

Для инициации согласования туннеля со стороны стенда можно использовать: второй туннель, соединение L2TP/IPsec или SSTP.

Дополнительные сервисы стенда

Доступ к IPv6 по HTTPS

При необходимости, для доступа к тестам IPv6 можно использовать шлюзы инкапсуляции IPv6 по протоколу IP-HTTPS, которые настроены на каждом узле, так как шлюзы настроены без запроса клиентского сертификата. Таким образом, получение сертификата тестового УЦ является не обязательным.

Не рекомендуется использование "динамических" адресов и NAT в этом тесте, в виду сложности настройки.

Доступ по протоколу SSTP (MS SSL-VPN)

При необходимости, для создания тестовых нагрузок можно использовать подключение к VPN по протоколу SSTP.

Методы аутентификации при доступе по SSTP идентичны методам аутентификации при доступе по L2TP/IPsec.

Загрузка программного обеспечения

Для проведения тестирования могут потребоваться:

• Netcat;
• КриптоПро CSP 3.6R3;
• КриптоПро IPsec;
• Утилита командной строки cryptcp;

Все перечисленные продукты "Крипто-Про" имеют демонстрационную лицензию на 3 месяца и могут быть загружены со страницы загрузок. Дополнительные лицензии для проведения тестирования могут быть выданы на основании аргументированного запроса.

Ссылки

[MS‑IPHTTPS]	IP over HTTPS (IP-HTTPS) Tunneling Protocol Specification [18]
[MS‑SSTP]	Secure Socket Tunneling Protocol (SSTP) Specification [19]
[]
[]