미리 공유한 키로 IKE 구성

미리 공유한 키는 가장 간단한 IKE 인증 방법입니다. IKE를 사용하도록 두 시스템을 구성 중이며 두 시스템의 관리자라면 미리 공유한 키를 사용하는 것이 좋습니다. 단, 공개 키 인증서와 달리 미리 공유한 키는 특정 IP 주소와 연관되어 있습니다. 미리 공유한 키는 모바일 시스템 또는 번호가 재지정될 수 있는 시스템에서 사용할 수 없습니다.

미리 공유한 키로 IKE를 구성하는 방법

IKE 구현은 키 길이가 다양한 알고리즘을 제공합니다. 키 길이는 사이트 보안에 따라 선택할 수 있습니다. 일반적으로 길이가 긴 키는 길이가 짧은 키에 비해 더 강력한 보안을 제공합니다.

이 절차에서는 enigma 및 partym 시스템 이름을 사용합니다. enigma 및 partym 이름을 사용자의 현재 시스템 이름으로 대체하십시오.

시스템 콘솔에서 기본 관리자 역할 또는 수퍼 유저로 로그인합니다.
기본 관리자 역할에는 기본 관리자 프로파일이 포함됩니다. 역할을 만들어 사용자에게 지정하려면 Oracle Solaris 관리: 기본 관리의 2 장, Solaris Management Console 작업(작업)을 참조하십시오.

주 - 원격으로 로그인하면 보안이 중요한 트래픽이 도청될 수 있습니다. 원격 로그인을 보호해도 시스템의 보안은 원격 로그인 세션 보안으로 약해집니다. 원격 로그인을 보호하려면 ssh 명령을 사용하십시오.
각 시스템에서 /etc/inet/ike/config.sample 파일을 /etc/inet/ike/config 파일에 복사합니다.

각 시스템의 ike/config 파일에 규칙 및 전역 매개변수를 입력합니다.

이 파일의 규칙 및 전역 매개변수는 시스템의 ipsecinit.conf 파일에 설정되어 있는 IPsec 정책이 성공하도록 허용해야 합니다. 다음 ike/config 예는 IPsec를 사용하여 두 시스템 사이의 트래픽을 보호하는 방법의 ipsecinit.conf 예와 함께 작동합니다.

예를 들어, enigma 시스템에서 /etc/inet/ike/config 파일을 수정합니다.

### ike/config file on enigma, 192.168.116.16

## Global parameters
#
## Phase 1 transform defaults
p1_lifetime_secs 14400
p1_nonce_len 40
#
## Defaults that individual rules can override.
p1_xform
  { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
p2_pfs 2
#
## The rule to communicate with partym
#  Label must be unique
{ label "enigma-partym"
  local_addr 192.168.116.16
  remote_addr 192.168.13.213
  p1_xform
    { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
  p2_pfs 5
}

partym 시스템에서 /etc/inet/ike/config 파일을 수정합니다.

### ike/config file on partym, 192.168.13.213
## Global Parameters
#
p1_lifetime_secs 14400
p1_nonce_len 40
#
p1_xform
  { auth_method preshared oakley_group 5 auth_alg sha encr_alg 3des }
p2_pfs 2

## The rule to communicate with enigma
#  Label must be unique
{ label "partym-enigma"
  local_addr 192.168.13.213
  remote_addr 192.168.116.16
p1_xform
  { auth_method preshared oakley_group 5 auth_alg sha1 encr_alg aes }
p2_pfs 5
}

각 시스템에서 파일의 구문을 확인합니다.
```
# /usr/lib/inet/in.iked -c -f /etc/inet/ike/config
```
키 입력 자료로 사용할 난수를 생성합니다.
사이트에 난수 생성기가 있는 경우 생성기를 사용합니다. Oracle Solaris 10 시스템에서 od 명령을 사용할 수 있습니다. 예를 들어, 다음 명령은 두 라인의 16진수를 출력합니다.
```
% od -X -A n /dev/random | head -2
         f47cb0f4 32e14480 951095f8 2b735ba8
         0a9467d0 8f92c880 68b6a40e 0efe067d
```
od 명령에 대한 설명은 Oracle Solaris 시스템에서 난수를 생성하는 방법 및 od(1) 매뉴얼 페이지를 참조하십시오.

주 - 다른 운영 체제에서는 ASCII 키 입력 자료가 필요할 수 있습니다. 16진수와 ASCII 형식으로 동일한 키를 생성하려면 예 23-1을 참조하십시오.
단계 5 출력에서 키 하나를 생성합니다.
```
f47cb0f432e14480951095f82b735ba80a9467d08f92c88068b6a40e
```
이 절차의 인증 알고리즘은 단계 3과 같이 SHA–1입니다. 해시 크기, 즉 인증 알고리즘의 출력 크기에 따라 미리 공유한 키의 최소 권장 크기가 결정됩니다. SHA–1 알고리즘의 출력은 160비트 또는 40자입니다. 예에서의 키 길이는 56자이며 IKE에서 사용할 추가 키 입력 자료를 제공합니다.

각 시스템에서 /etc/inet/secret/ike.preshared 파일을 만듭니다.

각 파일에 미리 공유한 키를 삽입합니다.

예를 들어, enigma 시스템에서 ike.preshared 파일이 다음과 유사하게 표시됩니다.

# ike.preshared on enigma, 192.168.116.16
#…
{ localidtype IP
    localid 192.168.116.16
    remoteidtype IP
    remoteid 192.168.13.213
    # enigma and partym's shared key in hex (192 bits)
    key f47cb0f432e14480951095f82b735ba80a9467d08f92c88068b6a40e
    }

partym 시스템에서 ike.preshared 파일이 다음과 유사하게 표시됩니다.

# ike.preshared on partym, 192.168.13.213
#…
{ localidtype IP
    localid 192.168.13.213
    remoteidtype IP
    remoteid 192.168.116.16
    # partym and enigma's shared key in hex (192 bits)
    key f47cb0f432e14480951095f82b735ba80a9467d08f92c88068b6a40e
    }

주 - 각 시스템의 미리 공유한 키는 동일해야 합니다.

예 23-1 운영 체제가 다른 두 시스템에 대해 동일한 키 입력 자료 생성

Oracle Solaris의 IPsec 기능은 다른 운영 체제의 IPsec과 상호 운용됩니다. 시스템이 ASCII 미리 공유한 키가 필요한 시스템과 통신하는 경우 16진수와 ASCII 두 가지 형식으로 된 키 하나를 생성해야 합니다.

이 예에서 Oracle Solaris 시스템 관리자는 56자의 키 입력 자료가 필요합니다. 관리자는 다음 명령을 사용하여 ASCII 문장암호에서 16진수 키를 생성합니다. -tx1 옵션은 모든 Oracle Solaris 시스템에서 한 번에 하나씩 바이트를 출력합니다.

# /bin/echo "papiermache with cashews and\c" | od -tx1 | cut -c 8-55 | \
tr -d '\n' | tr -d ' ' | awk '{print}'
7061706965726d616368652077697468206361736865777320616e64

오프셋을 제거하고 16진수 출력을 연결하면 Oracle Solaris 시스템의 16진수 키는 7061706965726d616368652077697468206361736865777320616e64입니다. 관리자는 이 값을 Oracle Solaris 시스템의 ike.preshared 파일에 지정합니다.

# Shared key in hex (192 bits)
key 7061706965726d616368652077697468206361736865777320616e64

ASCII 미리 공유한 키가 필요한 시스템에서 문장암호는 미리 공유한 키입니다. Oracle Solaris 시스템 관리자는 문장암호 papiermache with cashews and를 소유한 다른 관리자에게 전화를 겁니다.

IKE 미리 공유한 키를 새로 고치는 방법

이 절차에서는 미리 공유된 기존 키를 사용자가 정기적으로 바꾸려고 한다고 가정합니다.

시스템 콘솔에서 기본 관리자 역할 또는 수퍼 유저로 로그인합니다.
기본 관리자 역할에는 기본 관리자 프로파일이 포함됩니다. 역할을 만들어 사용자에게 지정하려면 Oracle Solaris 관리: 기본 관리의 2 장, Solaris Management Console 작업(작업)을 참조하십시오.

주 - 원격으로 로그인하면 보안이 중요한 트래픽이 도청될 수 있습니다. 원격 로그인을 보호해도 시스템의 보안은 원격 로그인 세션 보안으로 약해집니다. 원격 로그인을 보호하려면 ssh 명령을 사용하십시오.
난수를 생성하고 적절한 길이의 키를 구성합니다.
자세한 내용은 Oracle Solaris 시스템에서 난수를 생성하는 방법을 참조하십시오. Oracle Solaris용 미리 공유한 키를 생성하는 경우 ASCII가 필요한 운영 체제와 통신하는 시스템에 대해서는 예 23-1을 참조하십시오.
현재 키를 새 키로 바꿉니다.
예를 들어, enigma 및 partym 호스트에서 /etc/inet/secret/ike.preshared 파일의 key 값을 같은 길이의 새 숫자로 바꿉니다.
새 키를 커널로 읽습니다.
- Solaris 10 4/09 릴리스부터는 ike 서비스를 다시 시작합니다.
```
# svcadm enable ike
```
- Solaris 10 4/09 이전 릴리스를 실행 중인 경우 in.iked 데몬을 강제 종료한 후 다시 시작합니다.
  1. in.iked 데몬의 권한 레벨을 확인합니다.
```
# /usr/sbin/ikeadm get priv
Current privilege level is 0x0, base privileges enabled
```
    명령이 0x1 또는 0x2 권한 레벨을 반환한 경우 키 입력 자료를 변경할 수 있습니다. 레벨이 0x0인 경우에는 키 입력 자료를 수정하거나 볼 수 없습니다. 기본적으로 in.iked 데몬은 0x0 권한 레벨에서 실행됩니다.
  2. 권한 레벨이 0x0인 경우 데몬을 강제 종료한 후 다시 시작합니다.
    데몬을 다시 시작하면 새 버전의 ike.preshared 파일을 읽습니다.
```
# pkill in.iked
# /usr/lib/inet/in.iked
```
  3. 권한 레벨이 0x1 또는 0x2인 경우에는 새 버전의 ike.preshared 파일에서 읽습니다.
```
# ikeadm read preshared
```

IKE 미리 공유한 키를 보는 방법

기본적으로 ikeadm 명령은 Phase 1 SA의 덤프에서 실제 키를 보지 못하도록 합니다. 디버깅 중에는 키를 보는 것이 유용합니다.

실제 키를 보려면 데몬의 권한 레벨을 향상시켜야 합니다. 권한 레벨에 대한 설명은 ikeadm 명령을 참조하십시오.

주 - Solaris 10 4/09 이전 릴리스에서 이 절차를 수행하려면 예 23-2를 참조하십시오.

시작하기 전에

IKE가 구성되고 ike 서비스가 실행 중입니다.

IKE 미리 공유한 키를 봅니다.
```
# ikeadm
ikeadm> dump preshared
```
오류가 발생하면 in.iked 데몬의 권한 레벨을 향상시킵니다.
1. SMF 저장소에서 in.iked 데몬의 권한 레벨을 향상시킵니다.
```
# svcprop -p config/admin_privilege ike
base
# svccfg -s ike setprop config/admin_privilege=keymat
```
2. 실행 중인 in.iked 데몬의 권한 레벨을 향상시킵니다.
```
# svcadm refresh ike ; svcadm restart ike
```
3. (옵션) 권한 레벨이 keymat인지 확인합니다.
```
# svcprop -p config/admin_privilege ike
keymat
```
4. 단계 1을 다시 실행하여 키를 봅니다.
IKE 데몬을 기본 권한 레벨로 되돌립니다.
1. 키를 본 다음 권한 레벨을 기본값으로 되돌립니다.
```
# svccfg -s ike setprop config/admin_privilege=base
```
2. IKE를 새로 고친 후 다시 시작합니다.
```
# svcadm refresh ike ; svcadm restart ike
```

예 23-2 Solaris 10 4/09 이전 릴리스에서 IKE 미리 공유한 키 확인

다음 예에서 관리자는 현재 Oracle Solaris 10 릴리스에서 실행되고 있지 않은 Solaris 시스템의 키를 보고 있습니다. 관리자는 이 시스템의 키가 통신 시스템의 키와 동일한지 확인하려고 합니다. 두 시스템의 키가 동일한지 확인한 후 관리자는 권한 레벨을 0으로 복원합니다.

먼저 관리자는 in.iked 데몬의 권한 레벨을 확인합니다.

adm1 # /usr/sbin/ikeadm get priv
Current privilege level is 0x0, base privileges enabled

권한 레벨이 0x1 또는 0x2가 아니므로 관리자는 in.iked 데몬을 중지한 후 권한 레벨을 2로 향상시킵니다.
```
adm1 # pkill in.iked
adm1 # /usr/lib/inet/in.iked -p 2
Setting privilege level to 2
```

관리자가 키를 표시합니다.

adm1 # ikeadm dump preshared
PSKEY: Preshared key (24 bytes): f47cb…/192
LOCIP: AF_INET: port 0, 192.168.116.16 (adm1).
REMIP: AF_INET: port 0, 192.168.13.213 (com1).

관리자는 원격으로 통신 시스템에 로그인하여 키가 동일한지 확인합니다.
그런 다음 기본 권한 레벨을 복원합니다.
```
# ikeadm set priv base
```

`ipsecinit.conf`으로 새 정책 항목에 대해 IKE 미리 공유한 키를 추가하는 방법

같은 피어 간의 작업 구성에 IPsec 정책 항목을 추가할 경우에는 IPsec 정책 서비스를 새로 고쳐야 합니다. IKE는 재구성하거나 다시 시작하지 않아도 됩니다.

IPsec 정책에 새 피어를 추가할 경우 IPsec 변경 외에 IKE 구성도 수정해야 합니다.

주 - Solaris 10 4/09 이전 릴리스에서 이 절차를 수행하려면 예 23-3을 참조하십시오.

시작하기 전에

ipsecinit.conf 파일을 업데이트했으며 피어 시스템에 대한 IPsec 정책을 새로 고쳤습니다.

시스템 콘솔에서 기본 관리자 역할 또는 수퍼 유저로 로그인합니다.
기본 관리자 역할에는 기본 관리자 프로파일이 포함됩니다. 역할을 만들어 사용자에게 지정하려면 Oracle Solaris 관리: 기본 관리의 2 장, Solaris Management Console 작업(작업)을 참조하십시오.

주 - 원격으로 로그인하면 보안이 중요한 트래픽이 도청될 수 있습니다. 원격 로그인을 보호해도 시스템의 보안은 원격 로그인 세션 보안으로 약해집니다. 원격 로그인을 보호하려면 ssh 명령을 사용하십시오.
이 시스템에서 난수를 생성하고 64-448비트의 키를 구성합니다.
자세한 내용은 Oracle Solaris 시스템에서 난수를 생성하는 방법을 참조하십시오. Oracle Solaris용 미리 공유한 키를 생성하는 경우 ASCII가 필요한 운영 체제와 통신하는 시스템에 대해서는 예 23-1을 참조하십시오.
원격 시스템의 관리자에게 키를 전송합니다.
두 사람 모두 동일한 미리 공유한 키를 동시에 추가해야 합니다. 키의 보안은 전송 방식의 보안에 따라 달라집니다. 등록된 메일 또는 보호된 팩스와 같은 대역 외 방식이 가장 좋습니다. 또한 ssh 세션을 사용하여 두 시스템을 관리할 수도 있습니다.

enigma 및 새 피어인 ada의 키를 관리하는 IKE용 규칙을 만듭니다.

enigma시스템에서 /etc/inet/ike/config 파일에 다음 규칙을 추가합니다.

### ike/config file on enigma, 192.168.116.16
 
## The rule to communicate with ada

{label "enigma-to-ada"
 local_addr 192.168.116.16
 remote_addr 192.168.15.7
 p1_xform
 {auth_method preshared oakley_group 5 auth_alg sha1 encr_alg blowfish}
 p2_pfs 5
    }

ada 시스템에서 다음 규칙을 추가합니다.

### ike/config file on ada, 192.168.15.7
 
## The rule to communicate with enigma

{label "ada-to-enigma"
 local_addr 192.168.15.7
 remote_addr 192.168.116.16
 p1_xform
 {auth_method preshared oakley_group 5 auth_alg sha1 encr_alg blowfish}
 p2_pfs 5
}

재부트 시 IKE 미리 공유한 키를 사용할 수 있는지 확인합니다.

enigma 시스템에서 /etc/inet/secret/ike.preshared 파일에 다음 정보를 추가합니다.

# ike.preshared on enigma for the ada interface
# 
{ localidtype IP
  localid 192.168.116.16
  remoteidtype IP
  remoteid 192.168.15.7
  # enigma and ada's shared key in hex (32 - 448 bits required)
  key 8d1fb4ee500e2bea071deb2e781cb48374411af5a9671714672bb1749ad9364d
}

ada 시스템에서 ike.preshared 파일에 다음 정보를 추가합니다.

# ike.preshared on ada for the enigma interface
# 
{ localidtype IP
  localid 192.168.15.7
  remoteidtype IP
  remoteid 192.168.116.16
  # ada and enigma's shared key in hex (32 - 448 bits required)
  key 8d1fb4ee500e2bea071deb2e781cb48374411af5a9671714672bb1749ad9364d
}

각 시스템에서 ike 서비스를 새로 고칩니다.
```
# svcadm refresh ike
```
시스템에서 통신할 수 있는지 확인합니다.
IKE 미리 공유한 키가 동일한지 확인하는 방법을 참조하십시오.

예 23-3 새 IPsec 정책 항목에 대해 IKE 미리 공유한 키 추가

다음 예에서 관리자는 현재 Oracle Solaris 10 릴리스에서 실행되고 있지 않은 Solaris 시스템에 미리 공유한 키를 추가하고 있습니다. 관리자는 앞의 절차에 따라 ike/config 및 ike.preshared 파일을 수정하고, 키를 생성하고, 원격 시스템에 연결합니다.

새 키를 생성하기 전에 관리자는 in.iked 데몬의 권한 레벨을 2로 설정합니다.
```
# pkill in.iked
# /usr/lib/inet/in.iked -p 2
Setting privilege level to 2
```
키를 다른 시스템으로 보내고 시스템에 새 키를 추가한 후 관리자는 권한 레벨을 내립니다.
```
# ikeadm set priv base
```
마지막으로 관리자는 새 IKE 규칙을 커널로 읽습니다.
```
# ikeadm read rules
```

다음 순서

IPsec 정책 설정을 완료하지 않았으면 IPsec 정책을 사용으로 설정하거나 새로 고치는 IPsec 절차로 돌아가십시오.

IKE 미리 공유한 키가 동일한지 확인하는 방법

통신 시스템에서 미리 공유한 키가 동일하지 않은 경우 시스템을 인증할 수 없습니다.

시작하기 전에

IPsec가 구성되고 테스트 중인 두 시스템 간에 사용으로 설정됩니다. 현재 Oracle Solaris 10 릴리스가 실행 중입니다.

주 - Solaris 10 4/09 이전 릴리스에서 이 절차를 수행하려면 예 23-2를 참조하십시오.

시스템 콘솔에서 기본 관리자 역할 또는 수퍼 유저로 로그인합니다.
기본 관리자 역할에는 기본 관리자 프로파일이 포함됩니다. 역할을 만들어 사용자에게 지정하려면 Oracle Solaris 관리: 기본 관리의 2 장, Solaris Management Console 작업(작업)을 참조하십시오.

주 - 원격으로 로그인하면 보안이 중요한 트래픽이 도청될 수 있습니다. 원격 로그인을 보호해도 시스템의 보안은 원격 로그인 세션 보안으로 약해집니다. 원격 로그인을 보호하려면 ssh 명령을 사용하십시오.
각 시스템에서 in.iked 데몬의 권한 레벨을 확인합니다.
```
# svcprop -p config/admin_privilege ike
base
```
- 권한 레벨이 keymat인 경우 단계 3을 진행합니다.
- 권한 레벨이 base 또는 modkeys인 경우 권한 레벨을 향상시킵니다.
  ike 서비스를 새로 고치고 다시 시작합니다.
```
# svccfg -s ike setprop config/admin_privilege=keymat
# svcadm refresh ike ; svcadm restart ike
# svcprop -p config/admin_privilege ike
keymat
```

각 시스템에서 미리 공유한 키 정보를 봅니다.

# ikeadm dump preshared
PSKEY: Preshared key (24 bytes): f47cb…/192
LOCIP: AF_INET: port 0, 192.168.116.16 (enigma).
REMIP: AF_INET: port 0, 192.168.13.213 (partym).

두 덤프를 비교합니다.
미리 공유한 키가 동일하지 않으면 한 키를 /etc/inet/secret/ike.preshared 파일의 다른 키로 바꿉니다.
확인이 완료되면 각 시스템의 권한 레벨을 기본값으로 되돌립니다.
```
# svccfg -s ike setprop config/admin_privilege=base
# svcadm restart ike
```

탐색 링크 건너뛰기
인쇄 보기 종료
	Oracle Solaris 관리: IP 서비스 Oracle Solaris 10 1/13 Information Library (한국어)