製品の機能と性能を見極める機能面と性能面を評価しニーズに合った製品を選択機能面 IPsec の実装レベル拡張機能性能面スループット SA 数 3 Copyright (C) 2001 dit Co.,Ltd. All rights reserved IPsec 機器の形態製品形

Size: px

Start display at page:

ふじきみりゅうとう
5 years ago
Views:

2 製品の機能と性能を見極める機能面と性能面を評価しニーズに合った製品を選択機能面 IPsec の実装レベル拡張機能性能面スループット SA 数 3 Copyright (C) 2001 dit Co.,Ltd. All rights reserved IPsec 機器の形態製品形態による特性も考慮 IPsec 専用装置高スループット低い故障率単機能 IPsec 機能付きファイアウォール機能の統合アクセス制限煩雑な管理障害切り分けの難しさ IPsec 機能付きルータ機能の統合低い故障率低スループット機器自身のセキュリティ IPsec client ソフトモバイル環境低価格低スループット分散管理 4 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

3 目的やニーズの明確化対象になるサービスは何か? 対象のホストセグメントは? 役割は? 規模は? ネットワークの種類は? 要求されるサービスの品質は? 利用者は? 5 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 既存ネットワークへの影響度を吟味 IPsec-VPN を導入するネットワークを図に起こし IPsec 機器の設置箇所を吟味特に既存のネットワークへの影響やサービスへの影響を考慮する現行の IPsec はほとんどの場合既存のネットワークに影響を与える IPsec 導入にあたって既存のネットワークの設定変更や組み換えが伴うことを覚悟する必要あり 6 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

4 2. IPsec-VPN 設計のポイント 7 Copyright (C) 2001 dit Co.,Ltd. All rights reserved ポイント 1. ネットワークインタフェースの種類 2. スループットパフォーマンスに関する注意点 3. SA に関する注意点 4. 経路上のルータの設定 5. 分割されるネットワーク 6. IP アドレスの重複の回避 7. 平文通信許可時の注意点 8. フラグメンテーション 9. 認証方法の選択 10. NAT 併用の注意点 11. Firewall 併用時の注意点 12. その他ソリューションとの併用の注意点 13. IPsec client の仕様 14. 管理機能 15. 障害対応 16. 輸出規制に関する注意点 17. 保守体制 8 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

5 1. ネットワークインタフェースの種類製品のネットワーク I/F LAN 10Base-T 100Base-TX 半二重全二重リモート BRI シリアル PPP PPPoE 9 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 2. パフォーマンススループットに関する注意点ショートパケットが頻発するコンテンツ ( 音声や動画 ) を対象にする場合は実測によるスループットの確認が望ましいパケットロス率 (%) パケットロス率 (%) 負荷 (Mbps) ( 負荷 (Mbps) ( 64byte 長パケット送出 ( カタログスペック 10Mbps の製品 ) 1440byte 長パケット送出 ( カタログスペック 10Mbps の製品 ) 10 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

6 3.SA に関する注意点 SA 最大値 Phase 2 はターゲット毎に確立カタログスペックは曖昧実測が望ましいが Phase 1 の試験は実現困難 Phase 1 SA Phase 2 SA Copyright (C) 2001 dit Co.,Ltd. All rights reserved 3.SA に関する注意点 SA 数の予測ターゲット * IPsec gateway IPsec client Phase 2 Phase 2 Phase Phase 1 上図の例では 1 クライアント当たり 4 本の SA が確立しているターゲットをホスト指定にするかサブネット指定にするかにより構築できる VPN の規模が変わる 12 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

7 3.SA に関する注意点 Re-Key 時の SA 二重保持例えばフェーズ 2の Life Time を 10 分と設定 LifeTime の何 % で次の SA が準備されるかは製品によって異なる LifeTime は経過時間以外にパケット数で設定できる製品も有り Life Time 10 分 (7 分 ) 10 分 7 分経過後次のセッション開始 10 分 10 分この間 SA を二重に保持フェーズ 1は Life Time の時点でいきなり Re-Key Copyright (C) 2001 dit Co.,Ltd. All rights reserved 3.SA に関する注意点リモートアクセス時の SA 二重保持の SA IPsec gateway IPsec 対応ダイヤルアップルータ PPP 再接続の SA 保持の SA Copyright (C) 2001 dit Co.,Ltd. All rights reserved

8 3.SA に関する注意点前述のような理由から Phase2 SA の数はカタログスペックの 50% 程度に考えた方が無難設備の問題で Phase1 SA の実装確認試験は難しい今後の課題 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 3.SA に関する注意点 Re-Key に要する時間もし 1pps に1つ SA が確立するとした場合 1000SA を張り終わるまで 1000 秒 ( 約 17 分 ) 必要になる実際には高トラフィック (1pps ( より速く ) になるため処理ロジックによってはさらに時間がかかる Copyright (C) 2001 dit Co.,Ltd. All rights reserved

9 3.SA に関する注意点 SA の分散 IPsec 機器 IPsec 機器サーバースタティックルーティングルータモードルータモードトンネルポイントの指定 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 4. 経路上のルータの設定 IPsec では様々なプロトコルを使用するそれらが透過的に流れるように経路上のルータのフィルタリングを設定特に ISP のルータには注意事前に申し入れることを推奨 (1)IPsec で使用するプロトコル UDP 500 ISAKMP IP type 51 AH (Authentication Header) IP type 50 ESP (Encapsulation Security Payload) (2) ディレクトリサービスで使用するプロトコル TCP 389( 例 ) LDAP (3)CA が使用するプロトコル (Entrst ( の場合のデフォルト値 ) TCP 709 ( 例 ) PKIX (Public Key Infrastructure X.509) TCP 710 ( 例 ) Entrust administrator サービス (4) その他製品固有の管理用プロトコルなど SSL, SNMP, FTP, 独自 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

10 5. 分割されるネットワークトンネルモード ( ルータモードという場合もある ) で使用の場合 IPsec 機器の前後でネットワークが異なるサブネットの再設定もありえるファイアウォール社内 LAN IPsec gateway ブリッジモードサポートの製品ではサブネットを変更せずに設計することも可能 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 6.IP アドレスの重複の回避 BtoB などエクストラネットで他社拠点と接続する場合は双方のプライベートアドレスの重複を避けるグローバルアドレスを割り振る NAT によりグローバルアドレスに変換 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

11 7. 平文通信許可時の注意点 NAT 機能やルーティングを持たない製品では平文通過許可時の特性を確認する必要有り暗号化 IPsec gateway IPsec gateway 平文一般サイト Copyright (C) 2001 dit Co.,Ltd. All rights reserved 7. 平文通信許可時の注意点平文通信を許すことで認証によるアクセス制限はできなくなるバックボーン側からの平文の通過を許すことになるもしセキュリティ上好ましく無い場合はファイアウォールやルータで不正アクセスを防ぐ IPsec gateway の内側のアドレスのままパケットが外に出ていく暗号化される場合はパケットのアドレス ( ( ) は IPsec gateway の外側のアドレス (G1) ( にカプセルされるが平文のパケットは元のアドレス () ( のまま IPsec gateway を通過する通過するプライベートアドレスのままではインターネットにアクセス不可 Back Bone G1 G1 暗号化 IPsec gateway 平文 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

12 7. 平文通信許可時の注意点ルーティング製品によってはルーティングを行わないのでその場合はバックボーン側のルータ (R1) ( には Ex ポートの後に存在するというスタティクなルーティング情報を登録する平文 Back Bone R1 Ex IPsec gateway In R Copyright (C) 2001 dit Co.,Ltd. All rights reserved 8. フラグメンテーション IPsec ヘッダが不可されることで約 40byte 以上パケット長が延長されるフラグメンテーションが起きた場合の特性は製品によって異なる特に異機種間接続では実装の違いから通信不可になる場合がある Copyright (C) 2001 dit Co.,Ltd. All rights reserved

13 9. 認証方法の選択 IPsec 標準の Pre-Shared Key 小規模 VPN および 1 対 n 接続に向く拡張認証 RADIUS 認証モバイル VPN に適する IPsec ではドラフト段階のため製品によりサポート状況に差あり各種認証デバイス ( ワンタイムパスワード等 ) による認証強化が可能 CA 認証モバイル VPN および大規模 VPN(n 対 n 接続 ) に適する IPsec ではドラフト段階のため製品によりサポート状況に差あり各種認証デバイス (IC ( カード等 ) による認証強化が可能 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 10.NAT 併用の注意点 s d 暗号化データ G2 G3 P4 data アドレス変換 s d 暗号化データ G1 G3 P4 data トンネリング s d G3 G2 G1 P4 NAT NAT によるアドレスの付け替えは IPsec としてはなりすましとして認識される (AH ( 使用の場合 ) IPsec では TCP/UDP も暗号化するのでポート番号等が見えなくなる IP ますカレード等では NAT ルータが複数のセッションを管理するための情報がなくなることになる ESP ではスタティック NAT( 静的なアドレス変換 ) であれば可能 P4 data P2 P Copyright (C) 2001 dit Co.,Ltd. All rights reserved

14 10.NAT 併用時の注意 NAT 併用時問題点の回避策 NAT ルータ自身が IPsec を実装 NAT を使用しない端末にグローバルアドレスを割り振る下図のように小規模拠点は ( 支店 ) 暗号化通信のみ行い一般のサービスへアクセスする場合は本社を経由する NAT Traversal の標準化により問題解決本社支店事業所 LAN FIREWALL 事業所 LAN Copyright (C) 2001 dit Co.,Ltd. All rights reserved 11.Firewall 併用時の注意点ポート番号などの情報が欠けるため暗号化されたデータは Firewall を通過出来ない場合がある Firewall が NAT をする場合の問題もある Copyright (C) 2001 dit Co.,Ltd. All rights reserved

15 11.Firewall 併用時の注意点 global Private FIREWALL IPsec 事業所 LAN 暗号化 Firewall の内側へ IPsec を置く場合非暗号化暗号化パケットを通過させるために様々な設定を Firewall に行う必要が有る Firewall が NAT を行う場合は NAT ルータと同じ問題が発生するこの設置方法は避けた方が賢明 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 11.Firewall 併用時の注意点 global Private IPsec FIREWALL 事業所 LAN 暗号化 Firewall の外側へ IPsec を置く場合非暗号化 Firewall に到達する前にデータは復号化されているので Firewall のフィルタリング設定には影響を与えない Firewall が NAT を行う場合は IPsec gateway から見ると事業所 LAN 上のホストがすべて同じ IP に見えるので細かなセキュリティポリシーが設定できない Copyright (C) 2001 dit Co.,Ltd. All rights reserved

16 11.Firewall 併用時の注意点 global Private 一般支店サイト FIREWALL 事業所 LAN IPsec 暗号化非暗号化 Firewall と IPsec を並列に置く場合 Firewall と IPsec gateway を並列に設置し用途に応じて経路を使い分ける拠点間で暗号化通信をする時は IPsec gateway 側の経路を使用し上の一般サイトへアクセスする時は Firewall 側の経路を使用するルータなどによる経路設定が必要 Firewall の設定に影響をおよぼさない他社との接続では IP アドレスの重複に注意 Copyright (C) 2001 dit Co.,Ltd. All rights reserved 11.Firewall 併用時の注意点 global Private 一般支店サイト DMZ FIREWALL 事業所 LAN IPsec 暗号化非暗号化 Firewall の DMZ 経由で IPsec を並列に置く場合前ページの構成のバリエーションで IPsec gateway の内側のポートを Firewall の DMZ に接続前ページと同様に暗号化と非暗号化の経路を使い分けるがそのルーティングを Firewall にさせる 32 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

17 その他ソリューションとの併用の注意点 QoS との併用暗号データは QoS を適用できない場合がある QoS が適用される前に平文に戻るように設置位置に注意するウィルスチェックサーバとの併用暗号データはウィルスチェックを適用できない場合があるウィルスチェックがされる前に平文に戻るように設置位置に注意する社内 LAN QoS ウィルスチェックサーバ Copyright (C) 2001 dit Co.,Ltd. All rights reserved 13.IPsec client の仕様スループットはプラットホームの性能に左右される対応プラットホームコンフィグレーション環境設定やポリシー変更の容易さアドレス管理経由のモバイル環境において ISP から割り振られるダイナミックアドレスとは別にユーザが管理するアドレスを付与できることが望ましい 34 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

18 14.. 管理機能製品により管理機能が異なる導入後のメンテナンスビリティに関わるので要確認アドレス付与ルール設定バージョンアップ状態監視遠隔管理 SSL SNMP TELNET 独自プロトコルコンソールシリアル接続された PC SA の状態管理 SA の削除コンソールから? 特定の Phase2 だけ削除可? Copyright (C) 2001 dit Co.,Ltd. All rights reserved 15.. 障害対応ログ収集機能コンソールログ管理ソフトによる収集 Syslog SMNP 対応手順を事前に検討ログの確認設定内容の確認電源の off/on 特に遠隔操作で対応できない場合も想定しておく Copyright (C) 2001 dit Co.,Ltd. All rights reserved

19 16.. 輸出規制に関する注意点 IPsec 製品は暗号機能を実装しているので輸出規制の対応となる海外拠点に設置する場合は注意製品開発元の国の輸出規制および日本の輸出規制を事前に確認必要がある輸入規制を取る国もある輸出規制以外に海外拠点への設置については時差言葉の壁文化の違い等によりインストールや保守について十分に事前調整する必要がある Copyright (C) 2001 dit Co.,Ltd. All rights reserved 17.. 保守体制メーカや販売元の保守体制を確認方法センドバックオンサイト対応時間平日 9:00-17: 日 24 時間費用 Copyright (C) 2001 dit Co.,Ltd. All rights reserved

第二部の内容 1. IPsec VPNのの設計ポイント 2. IPsec VPNのの障害対応 2

第二部の内容 1. IPsec VPNのの設計ポイント 2. IPsec VPNのの障害対応 2 I P s e c T10:IPSec ~ 技術概要とセキュアなネットワークの実現手法 ~ 第二部 IPsec VPNのの設計ポイント 2003/12/3 株式会社ディアイティセキュリティビジネス推進室山田英史 Copyright (C) 2003 All rights reserved, by Matsushima &Yamada 第二部の

製品の 機能 と 性能 を見極める 機能面と性能面を評価し ニーズに合った製品を選択 機能面 IPsec の実装レベル 拡張機能 性能面 スループット SA 数 3 Copyright (C) 2001 dit Co.,Ltd. All rights reserved IPsec 機器の形態 製品形

製品の機能と性能を見極める機能面と性能面を評価しニーズに合った製品を選択機能面 IPsec の実装レベル拡張機能性能面スループット SA 数 3 Copyright (C) 2001 dit Co.,Ltd. All rights reserved IPsec 機器の形態製品形