Configuración de IPsec con etiquetas (mapa de tareas)

El siguiente mapa de tareas describe las tareas que se utilizan para agregar etiquetas a las protecciones IPsec.

Cómo aplicar las protecciones IPsec en una red de Trusted Extensions de varios niveles

En este procedimiento, se configura IPsec en dos sistemas Trusted Extensions para manejar las siguientes condiciones:

• Los dos sistemas, enigma y partym, son sistemas Trusted Extensions de varios niveles que se ejecutan en una red de varios niveles.

• Los datos de aplicación están cifrados y protegidos contra cambios no autorizados en la red.

• La etiqueta de seguridad de los datos se visualiza en forma de una opción IP de CALIPSO o CIPSO para su uso en dispositivos de seguridad y enrutadores de varios niveles en la ruta entre los sistemas enigma y partym.

• La etiquetas de seguridad que enigma y partym intercambian están protegidas contra cambios no autorizados.

Antes de empezar

Debe estar con el rol de usuario root en la zona global.

1. Agregue los hosts enigma y partym a una plantilla de seguridad cipso.

   Siga los procedimientos de Etiquetado de hosts y redes (mapa de tareas). Utilice una plantilla con un tipo de host cipso.

2. Configure IPsec para los sistemas enigma y partym.

   Para conocer el procedimiento, consulte Cómo proteger el tráfico entre dos sistemas con IPsec de Protección de la red en Oracle Solaris 11.1. Utilice IKE para la gestión de claves, como se describe en el siguiente paso.

3. Agregue etiquetas a las negociaciones IKE.

   Siga el procedimiento de Cómo configurar IKE con claves previamente compartidas de Protección de la red en Oracle Solaris 11.1 y, luego, modifique el archivo ike/config de la siguiente manera:

   1. Agregue las palabras clave label_aware, multi_label y wire_label inner al archivo /etc/inet/ike/config del sistema enigma.

      El archivo resultante tiene el siguiente aspecto. Se resaltan las adiciones de etiquetas.

          ### ike/config file on enigma, 192.168.116.16
          ## Global parameters
          #
      ## Use IKE to exchange security labels.
          label_aware
        #
              ## Defaults that individual rules can override.
          p1_xform
                { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
          p2_pfs 2
          #
        ## The rule to communicate with partym
            # Label must be unique
          { label "enigma-partym"
                local_addr 192.168.116.16
                remote_addr 192.168.13.213
                multi_label
                wire_label inner
                p1_xform
                 { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
                p2_pfs 5
          }

   2. Agregue las mismas palabras clave al archivo ike/config del sistema partym.

          ### ike/config file on partym, 192.168.13.213
          ## Global Parameters
          #
      ## Use IKE to exchange security labels.
          label_aware
          #
              p1_xform
                { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
          p2_pfs 2
          ## The rule to communicate with enigma
          # Label must be unique
          { label "partym-enigma"
                local_addr 192.168.13.213
                remote_addr 192.168.116.16
                multi_label
                wire_label inner
          p1_xform
                 { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
              p2_pfs 5
          }

4. Si, en la red, no se puede utilizar la protección AH de las opciones IP de CALIPSO o CIPSO, utilice la autenticación ESP.

   Utilice encr_auth_algs en lugar de auth_algs en el archivo /etc/inet/ipsecinit.conf para gestionar la autenticación. La autenticación ESP no abarca el encabezado IP y las opciones IP, pero autenticará toda la información después del encabezado ESP.

   {laddr enigma raddr partym} ipsec {encr_algs any encr_auth_algs any sa shared}

   ---

   Nota - También puede agregar etiquetas a los sistemas que están protegidos mediante certificados. Los certificados de claves públicas se gestionan en la zona global en los sistemas Trusted Extensions. Modifique los archivos ike/config de manera similar cuando complete los procedimientos de Configuración de IKE con certificados de clave pública de Protección de la red en Oracle Solaris 11.1.

   ---

Cómo configurar un túnel en una red que no es de confianza

Este procedimiento configura un túnel IPsec en una red pública entre dos sistemas de puerta de enlace VPN de Trusted Extensions. El ejemplo que se utiliza en este procedimiento se basa en la configuración ilustrada en Descripción de la topología de red para la protección de una VPN por parte de las tareas de IPsec de Protección de la red en Oracle Solaris 11.1.

Supongamos que se realizan las siguientes modificaciones en la ilustración:

• Las 10 subredes son redes de confianza de varios niveles. Las etiquetas de seguridad de las opciones IP de CALIPSO o CIPSO se visualizan en estas LAN.

• Las subredes 192.168 son redes no de confianza de una sola etiqueta que funcionan en la etiqueta PUBLIC. Estas redes no admiten las opciones IP de CALIPSO o CIPSO.

• El tráfico con etiquetas entre euro-vpn y calif-vpn está protegido contra cambios no autorizados.

Antes de empezar

Debe estar con el rol de usuario root en la zona global.

1. Siga los procedimientos de Etiquetado de hosts y redes (mapa de tareas) para definir lo siguiente:
   1. Agregue las direcciones IP 10.0.0.0/8 a una plantilla de seguridad con etiquetas.

      Utilice una plantilla con un tipo de host cipso. Conserve el rango de etiquetas predeterminado, de ADMIN_LOW a ADMIN_HIGH.

   2. Agregue las direcciones IP 192.168.0.0/16 a una plantilla de seguridad sin etiquetas en la etiqueta PUBLIC.

      Utilice una plantilla con un tipo de host sin etiquetas. Defina PUBLIC como la etiqueta predeterminada. Conserve el rango de etiquetas predeterminado, de ADMIN_LOW a ADMIN_HIGH.

   3. Agregue las direcciones de Internet Calif-vpn y Euro-vpn, 192.168.13.213 y 192.168.116.16, a una plantilla cipso.

      Conserve el rango de etiquetas predeterminado.

2. Cree un túnel IPsec.

   Siga el procedimiento de Cómo proteger una VPN con IPsec en modo de túnel de Protección de la red en Oracle Solaris 11.1. Utilice IKE para la gestión de claves, como se describe en el siguiente paso.

3. Agregue etiquetas a las negociaciones IKE.

   Siga el procedimiento de Cómo configurar IKE con claves previamente compartidas de Protección de la red en Oracle Solaris 11.1 y, luego, modifique el archivo ike/config de la siguiente manera:

   1. Agregue las palabras clave label_aware, multi_label y wire_label none PUBLIC al archivo /etc/inet/ike/config del sistema euro-vpn.

      El archivo resultante tiene el siguiente aspecto. Se resaltan las adiciones de etiquetas.

              ### ike/config file on euro-vpn, 192.168.116.16
          ## Global parameters
          #
      ## Use IKE to exchange security labels.
          label_aware
          #
              ## Defaults that individual rules can override.
          p1_xform
                { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
          p2_pfs 2
          #
         ## The rule to communicate with calif-vpn
             # Label must be unique
          { label "eurovpn-califvpn"
                local_addr 192.168.116.16
                remote_addr 192.168.13.213
                multi_label
                wire_label none PUBLIC
                p1_xform
                 { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
                p2_pfs 5
              }

   2. Agregue las mismas palabras clave al archivo ike/config del sistema calif-vpn.

          ### ike/config file on calif-vpn, 192.168.13.213
          ## Global Parameters
          #
      ## Use IKE to exchange security labels.
          label_aware
          #
              p1_xform
                { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
          p2_pfs 2
          ## The rule to communicate with euro-vpn
          # Label must be unique
          { label "califvpn-eurovpn"
                local_addr 192.168.13.213
                remote_addr 192.168.116.16
                multi_label
                wire_label none PUBLIC
          p1_xform
                 { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
              p2_pfs 5
          }

   ---

   Nota - También puede agregar etiquetas a los sistemas que están protegidos mediante certificados. Modifique los archivos ike/config de manera similar al completar los procedimientos de Configuración de IKE con certificados de clave pública de Protección de la red en Oracle Solaris 11.1.

   ---