Ассоциация безопасности IPsec

Одна действующая ассоциация подтверждает только одно направление. Сеансу СХД нужна правильная пара ассоциаций и согласованные политики.

1. 01

   Ассоциация IPsec однонаправленна; для двустороннего обмена обычно нужны две ассоциации.

   Граница применимости: Архитектура IPsec по RFC 4301.

2. 02

   Ассоциация связывает протокол и режим, алгоритмы, ключи, срок действия и состояние защиты от повторов с обработкой трафика. Состояния туннеля для проверки недостаточно.

   Граница применимости: Эксплуатационная проверка ассоциаций IPsec.

1. Проверьте входящую и исходящую ассоциации.
2. Сверьте селекторы и срок действия.
3. Контролируйте перекрытие при смене ключа и счётчики.

• Первичная спецификация

  RFC 4301: Security Architecture for the Internet Protocol

  Internet Engineering Task Force · RFC 4301, December 2005

  Определяет IPsec architecture, Security Associations, policy boundaries, transport/tunnel modes и автоматическое key management через IKEv2.

  Открыть первоисточник ↗
• Первичная спецификация

  RFC 4303: IP Encapsulating Security Payload

  Internet Engineering Task Force · RFC 4303, December 2005

  Определяет ESP packet format и optional confidentiality, integrity, data-origin authentication и anti-replay services.

  Открыть первоисточник ↗