Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Quantensicheres IPsec-VPN

Erfahren Sie, wie Sie die Out-of-Band-Schlüsselabrufmechanismen im iked-Prozess verwenden und konfigurieren, um mit quantengesicherten IKE- und IPsec-SAs auszuhandeln.

Quanten-Sicherheit im Überblick

Der IPsec-Kommunikationskanal basiert auf dem Internet Key Exchange (IKE)-Protokoll. Das IKE verwaltet Sicherheitsparameter, um den Datenverkehr zu schützen. Zu den Sicherheitsparametern gehören Verschlüsselungs- und Authentifizierungsalgorithmen und zugehörige Schlüssel.

Die Sicherheitsprotokolle stützen sich auf asymmetrische kryptografische Algorithmen wie Diffie Hellman (DH) oder Elliptic Curve Diffie Hellman (ECDH), um festzustellen, dass Schlüssel anfällig für Angriffe sind.

Um Sicherheitsangriffe zu vermeiden, führt das RFC8784 eine Methode ein, die Out-of-Band-Methode. Die Out-of-Band-Methode fügt dem Initiator und dem Responder einen geheimen Schlüssel hinzu. Der geheime Schlüssel ist ein Post-Quanten-Pre-shared Key (PPK).

  • Sie können das PPK zusätzlich zur Authentifizierungsmethode in IKEv2 verwenden.

  • PPK bietet Quantenresistenz für alle untergeordneten SAs in anfänglich ausgehandelten IPsec-SAs und allen nachfolgenden re-iked IPsec-SAs.

  • Mit PPK und Peer-Authentifizierungsschlüssel können Initiator und Responder Schlüsselinkonsistenzen erkennen.

Junos Key Manager – Übersicht

Sie können den Junos Key Manager (JKM) verwenden, um die statischen Tasten oder Dynamiktasten zum Schutz der Datenebene und der Steuerungsebene zu konfigurieren.

Der JKM-Prozess fungiert als Schlüsselspeicher und Proxy zwischen dem Client oder der Kryptoanwendung. Der Client oder die Kryptoanwendung benötigt einen Schlüssel, um eine verschlüsselte und authentifizierte quantensichere Sitzung mit einem Peer oder einer Anwendung einzurichten. Der Quantensafe verwendet den Out-of-Band-Schlüsselabrufmechanismus, der es zwei Peers ermöglicht, den Schlüssel zu erhalten. Verschiedene Out-of-Band-Mechanismen haben unterschiedliche Protokolle oder Methoden zur Kommunikation. Das JKM bietet eine gemeinsame, einheitliche Schnittstelle für die Kommunikation von Client- oder Kryptoanwendungen.

Mechanismus zum Abrufen von Schlüsseln

Zwei Out-of-Band-Schlüsselabrufmechanismen im iked-Prozess zur Aushandlung mit quantengesicherten IKE- und IPsec-SAs.

  • Statischer Schlüssel: Mit statischen Schlüsselprofilen können Sie eine statische Schlüssel-ID und einen entsprechenden Schlüssel konfigurieren. Dieselbe statische Schlüssel-ID und derselbe Schlüssel werden bei jeder Anforderung an JKM über ein statisches Schlüsselprofil generiert.

  • Quantenschlüssel-Manager: Mit Quantenschlüssel-Manager-Schlüsselprofilen können Sie auf die Quantenschlüsselverteilungsgeräte (QKD) und das Quantennetzwerk zugreifen. Das Quantennetzwerk generiert und tauscht Quantenschlüssel zwischen Peers aus. Generiert auf Anfrage an JKM jedes Mal eine andere Schlüssel-ID und einen anderen Schlüssel über ein Quantenschlüssel-Manager-Schlüsselprofil.

Schlüsselprofil für Quantum Safe IPsec VPN verwenden

Mit statischen Schlüsselprofilen können Sie eine statische Schlüssel-ID und einen entsprechenden Schlüssel konfigurieren. Um die quantensicheren IPsec-SAs einzurichten, verwenden Sie das statische Schlüsselprofil als Post-Quantum Pre-Shared Key-Profil (PPK) in der IPsec-VPN-Konfiguration. Verwendet denselben Schlüssel und dieselbe Schlüssel-ID, um eine vorhandene IKE-Sicherheitszuordnung erneut zu authentifizieren.

Mit den Schlüsselprofilprofilen des Quantenschlüsselmanagers benötigen Sie für den Zugriff auf die Quantennetzwerke Zugriff auf die QKD-Geräte. Das Quantennetzwerk generiert und tauscht Quantenschlüssel zwischen Peers aus. Sie können alle erforderlichen Parameter konfigurieren, z. B. lokale SAE-ID, URL zum QKD-Gerät usw. Verwenden Sie zum Einrichten von IPsec-SAs das Quantenschlüssel-Manager-Schlüsselprofil als Post-Quantum Pre-Shared Key-Profil (PPK) in der IPsec-VPN-Konfiguration. Verwendet einen anderen Schlüssel und eine andere Schlüssel-ID, um eine vorhandene IKE-Sicherheitszuordnung erneut zu authentifizieren.

Quanten-Schlüsselverteilung

Quantenschlüsselverteilung (QKD) ist eine sichere Schlüsselverteilungsmethode, die Quanten verwendet. Netzwerke verwenden Quantenkanäle, um an beiden Enden denselben Schlüssel zu generieren und den Quantenkanal zwischen den Peers zu überwachen. Diese Schlüssel sind dynamisch und schützen die Datenebene und die Steuerungsebene.

Key Management Entity (KME) ist der Begriff, den wir verwenden, um uns auf die QKD-Geräte auf der Verwaltungs- oder Steuerungsebene zu beziehen. QKD-Geräte sind über ihr Quanten- oder QKD-Netzwerk miteinander verbunden. Die KMEs verbinden sich über das öffentliche Netzwerk über die sicheren Kanäle für den Austausch von Steuernachrichten. Die Anwendungen, Secure Application Entity (SAEs) und Geräte interagieren mit KMEs über die sicheren Kanäle gemäß der ETSI-Spezifikation. HTTPS kombiniert mit gegenseitiger TLS-Authentifizierung ermöglicht einen sicheren Betrieb über das QKD-Netzwerk.

Abbildung 1: Zwei Geräte interagieren mit ihren entsprechenden QKD-Geräten, um eine quantengesicherte Sitzung Key management process between Site A with SAE A and KME A, and Site B with SAE B and KME B, ensuring secure synchronization via cloud communication. aufzubauen

In Abbildung 1 wird beschrieben, wie die beiden Geräte mit ihren entsprechenden QKD-Geräten interagieren, um eine quantengesicherte Sitzung aufzubauen

  • SAE Eine Rolle ist primär. SAE A fungiert als Initiator für den Aufbau einer quantengesicherten Sitzung mit SAE B.

  • Die Rolle von SAE B ist zweitrangig. SAE B fungiert als Responder.

  • Die SAE A fordert die KME A über die API zum Abrufen des Schlüssels an, um einen neuen Quantenschlüssel zu generieren und für SAE B mit der Ziel-SAE-ID freizugeben.

  • Der KME A führt den Vorgang durch und antwortet SAE A mit der generierten Schlüssel-ID und dem Schlüsselmaterial.

  • KME B erhält das Schlüsselmaterial und den generierten ID-Schlüssel über das QKD-Netzwerk.

  • SAE A initiiert eine gesicherte Sitzung mit SAE B direkt unter Verwendung desselben Schlüssels und derselben Schlüssel-ID.

  • Durch den Austausch von Nachrichten wird eine sichere Sitzung mit SAE B hergestellt.

  • SAE A sendet die Schlüssel-ID im Klartext oder verschlüsselt für den entsprechenden Quantenschlüssel, der zum Sichern der Sitzung mit SAE B verwendet wird.

  • Sobald SAE B die Schlüssel-ID erhalten hat, kontaktiert SAE B KME B über die API Schlüssel mit IDs abrufen, um den entsprechenden Quantenschlüssel für die angegebene Schlüssel-ID und die Ziel-SAE-ID oder SAE A abzurufen.

  • Nachdem SAE B den Schlüssel erhalten hat, wird eine vollständig quantengesicherte Sitzung zwischen SAE A und SAE B aufgebaut.

Konfigurieren des statischen Schlüsselprofils für den Junos Key Manager

Dieses Beispiel zeigt, wie das statische Schlüsselprofil für den Junos-Schlüsselmanager konfiguriert wird. Konfigurieren Sie die statischen Schlüssel auf den betroffenen Gateways und teilen Sie keine statischen Schlüssel über das Internet, um den IPsec-Tunnel einzurichten.

Anforderungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

  1. Hardwareanforderungen – Gerät, das die Funktion unterstützt.

  2. Software-Anforderungen: Betriebssystem mit Junos IKE - und Junos Key Manager-Paketen , das diese Funktion unterstützt.

Überblick

Bei statischen schlüsselbasierten Profilen müssen Sie eine statische Schlüssel-ID und einen entsprechenden Schlüssel konfigurieren. Wenn Sie das statische Schlüsselprofil im IPsec-VPN-Objekt verwenden, werden bei der erneuten Authentifizierung für eine vorhandene IKE-Sicherheitszuordnung derselbe Schlüssel und dieselbe Schlüssel-ID verwendet.

Konfiguration

Konfigurieren Sie das statische Schlüsselprofil für den Junos Key Manager.

Verifizierung

Zweck

Überprüfen Sie das statische Schlüsselprofil und die Schlüssel.

Aktion

Geben Sie im Betriebsmodus die request security key-manager profiles get profile-keys name km_profile_1 ein, um das statische Schlüsselprofil und die Schlüssel anzuzeigen.

Geben Sie im Betriebsmodus die show security key-manager profiles name km_profile_1 detail ein, um die Details des statischen Schlüsselprofils anzuzeigen.

Bedeutung

Zeigt request security key-manager profiles get profile-keys name km_profile_1 den Status, den Namen des statischen Schlüsselprofils, den Typ, die Schlüsselgröße, die Schlüssel-ID und die Schlüssel an.

Zeigt show security key-manager profiles name km_profile_1 detail den Namen, den Typ und den Anforderungsstatus des statischen Schlüsselprofils an.

Beispiel: Konfigurieren des Profils für statische Schlüssel für Site-to-Site-VPN

Verwenden Sie dieses Konfigurationsbeispiel, um das statische Schlüsselprofil zu konfigurieren. Sie können das Profil mit statischen Schlüsseln verwenden, um eine IPsec Site-to-Site VPN-Infrastruktur zu sichern.

Sie können eine IPsec Site-to-Site VPN-Infrastruktur sichern, indem Sie das Profil mit statischem Schlüssel konfigurieren.

In diesem Konfigurationsbeispiel verwenden die Geräte SRX1 und SRX2 das statische Schlüsselprofil, um die QKD-Schlüssel auf IPsec VPN abzurufen. Die QKD-Schlüssel helfen dabei, Datenverkehr sicher über das Internet zu senden.

Tipp:
Tabelle 1: Geschätzte Timer

Lesezeit

Weniger als eine Stunde

Konfigurationszeit

Weniger als eine Stunde

Beispiele für Voraussetzungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Tabelle 2: Anforderungen

Hardware-Anforderungen

Geräte, die diese Funktion unterstützen.

Anforderungen an die Software

Betriebssystem, das diese Funktion unterstützt.

Bevor Sie beginnen

Tabelle 3: Vorteile, Ressourcen und zusätzliche Informationen

Vorteile

  • Identifizierung von Bedrohungen

    Durch Konfigurieren von Quantenschlüsseln können Sie einen sicheren Quantenkanal zwischen den QKD-Geräten einrichten. Diese Funktion verbessert die Erkennung von Bedrohungen und schützt das Netzwerk.

  • Erweiterte Sicherheit

    Sie können die vorhandenen Schlüssel mit Quantenschlüsseln zusammenführen und die Schlüssel über bestehende VPN-Tunnel verschlüsseln und entschlüsseln. Das Feature verbessert die Sicherheit der IPsec-VPN-Infrastruktur.

  • Verbesserte kryptografische Stärke

    Die RFC 8784-Konformität bietet Ihnen eine einfache Möglichkeit, Angreifer daran zu hindern, die Verbindung zu belauschen und die Schlüssel abzufangen. Die Funktion gewährleistet auch die Interoperabilität mit anderen Geräten, die dem Standard entsprechen.

Nützliche Ressourcen

 

Mehr erfahren

Praktische Erfahrung

vLABs Sandbox

Mehr erfahren

RFC 8784 - Mischen von vorinstallierten Schlüsseln im Internet Key Exchange Protocol Version 2 (IKEv2) für Post-Quanten-Sicherheit

Funktionsübersicht

Tabelle 4: Funktionsübersicht von Static Key Manager
IPsec VPN

Stellen Sie eine IPsec-VPN-Topologie bereit, bei der die Geräte durch VPN-Tunnel verbunden sind, die Datenverkehr durch den IPsec-VPN-Tunnel senden. Die VPN-Tunnel werden später für die Verwendung von Quantenschlüsseln konfiguriert, was die Tunnel zu quantensicheren VPN-Tunneln macht.

IKE Gateway

Stellen Sie eine sichere Verbindung her, das IKE-Gateway verwendet die IKE-Richtlinie, um sich während der Validierung des Zertifikats auf die konfigurierte Gruppe von Zertifizierungsstellen (CA-Profile) zu beschränken.

Vorschläge
IKE-Vorschlag

Definieren Sie die Algorithmen und Schlüssel, die zum Herstellen der sicheren IKE-Verbindung mit dem Peer-Sicherheitsgateway verwendet werden.

IKE erstellt die dynamischen SAs und handelt sie für IPsec aus.

IPsec-Vorschlag

Listen Sie Protokolle, Algorithmen und Sicherheitsdienste auf, die mit dem entfernten IPsec-Peer ausgehandelt werden sollen.

Richtlinien
IKE-Richtlinie

Definieren Sie eine Kombination von Sicherheitsparametern (IKE-Vorschläge), die während der IKE-Aushandlung verwendet werden sollen.

IPsec-Richtlinie

Regeln und Sicherheitsrichtlinien enthalten, um Gruppen-VPN-Datenverkehr zwischen den angegebenen Zonen zuzulassen.

Sicherheits-Richtlinie

Hier können Sie den Typ des Datenverkehrs auswählen, der über die IPsec-SAs gesichert werden soll.

  • VPN-OUT – Lässt Datenverkehr von der Vertrauenszone zur VPN-Zone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-1-Net

    • Zieladresse: HOST-2-Net

    • Anwendung: beliebig

  • VPN-IN: Lässt Datenverkehr von der VPN-Zone in die Vertrauenszone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-2-Net

    • Zieladresse: HOST-1-Net

    • Anwendung: beliebig

Steckbriefe

Schlüsselprofil

Definieren Sie, wie die Geräte das statische Schlüsselprofil verwenden, um die QKD-Schlüssel auf IPsec-VPN abzurufen und den Datenverkehr sicher über das Internet zu senden.

  • Schlüsselprofil: Ein statisches Schlüsselprofil km_profile_1 wird für Anwendungen und Services konfiguriert, um die konfigurierte Schlüssel-ID und den entsprechenden Schlüssel abzurufen.

  • IKE-Vorschlag: Ein IKE-Vorschlag IKE_PROP mit den erforderlichen Algorithmen zum Einrichten einer IKE-SA.

  • IKE-Richtlinie: Eine IKE-Richtlinie IKE_POL wird konfiguriert, um die Laufzeitaushandlungs- und Authentifizierungsattribute festzulegen.

  • IKE-Gateway: Ein IKE-Gateway IKE_GW ist für die Verwaltung der IPsec-Tunnel zwischen Endpunkten konfiguriert. A ppk-profile gibt an, welches Schlüsselprofil verwendet werden soll, um eine quantensichere IKE- oder IPsec-SA einzurichten.

  • IPsec-Vorschlag: Ein IPsec-Vorschlag IPSEC_PROP wird mit den erforderlichen Algorithmen konfiguriert, um eine IPsec-Sicherheitszuordnung einzurichten.

  • IPsec-Richtlinie: Eine IPsec-Richtlinie IPSEC_POL wird konfiguriert, um die IPsec-Aushandlungsattribute für die Laufzeit festzulegen.

  • IPsec-VPN: Eine IPsec-VPN-Richtlinie IPSEC_VPN wird konfiguriert, um den Bereich der Subnetze festzulegen, die gesichert werden müssen.

  • Sicherheit Zone: Es gibt drei verschiedene Sicherheitszonen trust, untrust die vpn für eine bessere Trennung des erwarteten Datenverkehrs innerhalb jeder dieser Zonen konfiguriert sind.

  • Sicherheit Richtlinie: Sicherheit Richtlinien trust to vpn und vpn to trust werden zwischen den Sicherheitszonen konfiguriert, um herauszufiltern, welche Art von Datenverkehr durch die IPsec-SAs gesichert wird.

PPK-Profil

Geben Sie an, welches Schlüsselprofil zum Einrichten quantensicherer IKE- oder IPsec-SAs verwendet werden soll, indem Sie auf das Schlüsselprofil unter dem IKE-Gateway verweisen.

Zertifikate
CA-Zertifikat Überprüfen Sie die Identität von Geräten und authentifizieren Sie die Kommunikationsverbindung zwischen ihnen.
Lokales Zertifikat Generieren Sie PKI, und registrieren Sie es mit dem CA-Zertifikat zur Überprüfung.
KME-Zertifikat Zertifikat eines Drittanbieters vom Hersteller generiert
Sicherheits-Zonen
Vertrauen

Netzwerksegment in der Hostzone

nicht vertrauenswürdig

Netzwerksegment in der Zielserverzone

VPN (VPN)

Netzwerksegment, über das die SRX1- und SRX2-Geräte interagieren.

Primäre Verifizierungsaufgaben

Prüfen Sie, ob die eingerichteten IKE- und IPsec-SAs quantensicher sind.

Überblick über die Topologie

In diesem Beispiel initiiert SRX1 die Aushandlung von quantensicheren IPsec-Tunneln mit SRX2 unter Verwendung eines statischen Schlüssels mit der CLI. SRX2 reagiert auf diese Anfrage, indem es die Identität von SRX1 zusammen mit dem Schlüssel verifiziert und ein quantensicheres IPsec-VPN einrichtet. Sobald der Tunnel eingerichtet ist, wird der Datenverkehr zwischen Host1 und Host2 über den etablierten IPsec-Tunnel gesichert.

Tabelle 5: In dieser Konfiguration verwendete Geräte, Rollen und Funktionen

Hostname

Rolle

Funktion

SRX1

Ein Gerät, das IPsec-Tunnel einrichten kann

Initiiert IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit SRX2 ein, indem ein statischer Schlüssel verwendet wird, der auf dem SRX1 konfiguriert ist.

SRX2 Ein Gerät, das IPsec-Tunnel einrichten kann Reagiert auf die von SRX1 initiierte IKE- oder IPsec-SA-Aushandlung und richtet quantensichere IPsec-Tunnel mit einem statischen Schlüssel ein, der auf dem SRX2 konfiguriert ist.
Host 1 Ein Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von SRX1 Initiiert clientseitigen Datenverkehr in Richtung Host2
Host2 Ein Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von SRX2 Reagiert auf clientseitigen Datenverkehr von Host1

Abbildung der Topologie

Abbildung 2: Site-to-Site-VPN Quantum Safe IPsec VPN Tunnel setup between SRX1 and SRX2 over the Internet, connecting Host 1 at 192.168.90.20 and Host 2 at 192.168.80.20.

Schritt-für-Schritt-Konfiguration auf Firewall-Geräten

Hinweis:

Vollständige Beispielkonfigurationen auf dem Prüfling finden Sie unter:

Diese Konfiguration gilt nur für SRX1- und SRX2-Geräte. Sie müssen die entsprechenden gerätespezifischen Konfigurationsänderungen vornehmen.

  1. Konfigurieren Sie die Schnittstellen.

  2. Konfigurieren Sie ein Schlüsselprofil vom Typ static mit einer Schlüssel-ID und einem entsprechenden Schlüssel.

  3. Konfigurieren Sie die Sicherheitszonen.

Verifizierung

Dieser Abschnitt enthält eine Liste der show-Befehle, mit denen Sie das Feature in diesem Beispiel überprüfen können.

Tabelle 6: Zu überprüfende Befehle anzeigen

Befehl

Verifizierungs-Aufgabe

Details zu Security IKE Security-Associations anzeigen

Stellen Sie sicher, dass die IKE-SAs eingerichtet sind.

Details zu Sicherheits-IPsec-Sicherheitszuordnungen anzeigen

Stellen Sie sicher, dass die IPsec-Sicherheitszertifizierungsstellen eingerichtet sind.

Sicherheits-IPsec-Statistiken anzeigen

Überprüfen Sie die IPsec-Verschlüsselungs- und -Entschlüsselungsstatistiken.

Details zu Sicherheitsschlüssel-Manager-Profilen anzeigen

Überprüfen Sie die wichtigsten Profilstatistiken.

ping 192.168.80.20 Quelle 192.168.90.20 Anzahl 4

Pingen Sie von HOST1 zu HOST2 oder umgekehrt.

Überprüfen von IKE-SAs

Zweck

Überprüfen Sie die IKE-SAs

Aktion

Geben Sie im Betriebsmodus den show security ike security-associations detail Befehl ein, um die IKE-SAs anzuzeigen.

Bedeutung

Die Role: Initiator, State: UPFelder , , und Flags: IKE SA is created zeigen an, PPK-profile: km_profile_1 Optional: NoIPSec security associations: 4 createddass das Gerät erfolgreich IKE-SAs erstellt.

Überprüfen der IPsec-Sicherheitsrichtlinien

Zweck

Überprüfen der IPsec-Sicherheitsvorstellungen

Aktion

Geben Sie im Betriebsmodus den show security ipsec security-associations detail Befehl ein, um die IPsec-Sicherheitsrichtlinien anzuzeigen.

Bedeutung

Die Version: IKEv2 Quantum Secured: Yes Felder und tunnel-establishment: establish-tunnels-immediately IKE SA Index: 1 zeigen an, dass das Gerät die IPsec-Sicherheitsvorstellungen erfolgreich erstellt hat.

Die Beispielausgabe bestätigt die IPsec-SAs.

Überprüfen der IPsec-Statistiken

Zweck

Überprüfen Sie die IPsec-Statistiken.

Aktion

Geben Sie im Betriebsmodus den show security ipsec statistics Befehl ein, um die IPsec-Statistiken anzuzeigen.

Bedeutung

Die ESP Statistics Felder und AH Statistics zeigt die IPsec-Statistiken an.

Überprüfen des Key Manager-Profils

Zweck

Überprüfen Sie das Schlüsselmanagerprofil.

Aktion

Geben Sie im Betriebsmodus das show security key-manager profiles Detail ein, um das Schlüsselmanagerprofil anzuzeigen.

Bedeutung

Die Name: km_profile_1 Felder und Type: Static zeigt das Schlüsselmanagerprofil an.

Ping von HOST 1 zu HOST 2

Zweck

Überprüfen Sie die Konnektivität von HOST 1 zu HOST 2.

Aktion

Geben Sie im Betriebsmodus den Ping 192.168.80.20 source 192.168.90.20 count 4 ein, um die Konnektivität von HOST 1 zu HOST 2 anzuzeigen.

Bedeutung

Das PING 192.168.80.20 (192.168.80.20): 56 data bytes bestätigt die Konnektivität von HOST 1 zu HOST 2.

Anhang 1: Befehle auf allen Geräten festlegen

Stellen Sie die Befehlsausgabe auf allen Geräten ein.

Festlegen von Befehlen auf SRX1
Festlegen von Befehlen auf SRX2

Anhang 2: Konfigurationsausgabe im Prüfling anzeigen

SRX1

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security key-manager profilesBefehle , show security key-manager, , show interfaces, show security zones, show security ike gateway IKE_GWshow security policiesshow security ike policy IKE_POLshow security ike proposal IKE_PROPund show security ipsec proposal IPSEC_PROPshow security ipsec policy IPSEC_POLshow security ipsec vpn IPSEC_VPN eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

SRX2

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security key-manager profilesBefehle , show security key-manager, , show interfaces, show security zones, show security ike gateway IKE_GWshow security policiesshow security ike policy IKE_POLshow security ike proposal IKE_PROPund show security ipsec proposal IPSEC_PROPshow security ipsec policy IPSEC_POLshow security ipsec vpn IPSEC_VPN eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Beispiel: Konfigurieren des Profils für statische Schlüssel für AutoVPN

Verwenden Sie dieses Konfigurationsbeispiel, um eine IPsec AutoVPN-Infrastruktur durch Konfigurieren des Profils mit statischem Schlüssel zu sichern.

Sie können eine IPsec AutoVPN-Infrastruktur sichern, indem Sie das Profil mit statischem Schlüssel konfigurieren.

In diesem Konfigurationsbeispiel verwenden Hub, Spoke 1 und Spoke 2 statische Schlüsselprofile, um die QKD-Schlüssel auf IPsec-VPN abzurufen. Die QKD-Schlüssel helfen dabei, Datenverkehr sicher über das Internet zu senden.

Tipp:
Tabelle 7: Geschätzte Timer

Lesezeit

Weniger als eine Stunde

Konfigurationszeit

Weniger als eine Stunde

Beispiele für Voraussetzungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Tabelle 8: Anforderungen

Hardware-Anforderungen

  • Geräte, die diese Funktion unterstützen.

  • KME- (Key Management Entity) oder QKD-Geräte (Quantum Key Distribution) von Drittanbietern. Die KME-Parameter entsprechen der ETSI GS QKD 014-Spezifikation .

Anforderungen an die Software

Betriebssystem, das diese Funktion unterstützt.

Bevor Sie beginnen

Tabelle 9: Vorteile, Ressourcen und zusätzliche Informationen

Vorteile

  • Identifizierung von Bedrohungen

    Durch Konfigurieren von Quantenschlüsseln können Sie einen sicheren Quantenkanal zwischen den QKD-Geräten einrichten. Dies verbessert die Bedrohungserkennung und schützt das Netzwerk.

  • Erweiterte Sicherheit

    Sie können die vorhandenen Schlüssel mit Quantenschlüsseln zusammenführen und sie über bestehende VPN-Tunnel verschlüsseln und entschlüsseln. Dies verbessert die Sicherheit der IPsec-VPN-Infrastruktur.

  • Verbesserte kryptografische Stärke

    Die RFC 8784-Konformität bietet Ihnen eine einfache Möglichkeit, Angreifer daran zu hindern, die Verbindung zu belauschen und die Schlüssel abzufangen. Dadurch wird auch die Interoperabilität mit anderen Geräten sichergestellt, die sich an den Standard halten.

Nützliche Ressourcen

 

Mehr erfahren

Praktische Erfahrung

vLABs Sandbox

Mehr erfahren

RFC 8784 - Mischen von vorinstallierten Schlüsseln im Internet Key Exchange Protocol Version 2 (IKEv2) für Post-Quanten-Sicherheit

Rufen Sie die Adresse der Zertifizierungsstelle (CA) und die erforderlichen Informationen (z. B. das Challenge-Kennwort) ab und senden Sie Anforderungen für lokale Zertifikate. Weitere Informationen finden Sie unter Grundlegendes zu lokalen Zertifikatanforderungen.

Registrieren Sie die digitalen Zertifikate auf jedem Gerät. Siehe Beispiel: Manuelles Laden von CA- und lokalen Zertifikaten.

Funktionsübersicht

Tabelle 10: Funktionsübersicht des Static Key Manager
IPsec VPN

Stellt eine Hub-and-Spoke-IPsec-VPN-Topologie bereit, bei der die Spokes durch VPN-Tunnel verbunden sind, die den Datenverkehr durch den Hub leiten. Diese VPN-Tunnel werden später für die Verwendung von Quantenschlüsseln konfiguriert, was sie zu quantensicheren VPN-Tunneln macht.

IKE Gateway

Stellt eine sichere Verbindung her, verwendet das IKE-Gateway die IKE-Richtlinie, um sich bei der Validierung des Zertifikats auf die konfigurierte Gruppe von Zertifizierungsstellen (CA-Profile) zu beschränken.

Vorschläge
IKE-Vorschlag

Definiert die Algorithmen und Schlüssel, die zum Herstellen der sicheren IKE-Verbindung mit dem Peer-Sicherheitsgateway verwendet werden.

IKE erstellt die dynamischen SAs und handelt sie für IPsec aus.

IPsec-Vorschlag

Listet Protokolle, Algorithmen und Sicherheitsservices auf, die mit dem entfernten IPsec-Peer ausgehandelt werden sollen.

Richtlinien
IKE-Richtlinie

Definiert eine Kombination von Sicherheitsparametern (IKE-Vorschläge), die während der IKE-Aushandlung verwendet werden sollen.

IPsec-Richtlinie

Enthält Regeln und Sicherheitsrichtlinien, um Gruppen-VPN-Datenverkehr zwischen den angegebenen Zonen zuzulassen.

Sicherheits-Richtlinie

Hier können Sie den Typ des Datenverkehrs auswählen, der über die IPsec-SAs gesichert werden soll.

  • VPN-OUT: Lässt Datenverkehr aus der Vertrauenszone in die VPN-Zone zu, wobei die Übereinstimmungskriterien wie folgt lauten:

    • Quelladresse: HOST-1-Net

    • Zieladresse: HOST-2-Net

    • Anwendung: beliebig

  • VPN-IN: Lässt Datenverkehr von der VPN-Zone zur Vertrauenszone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-2-Net

    • Zieladresse: HOST-1-Net

    • Anwendung: beliebig

Steckbriefe

Schlüsselprofil

Definieren Sie, wie die Geräte mit den KME-Geräten kommunizieren, um QKD-Schlüssel vom externen KME-Server abzurufen. Schlüsselprofile werden auf Hub (HUB_KM_PROFILE_1) und Spokes (SPOKE_1_KM_PROFILE_1 und SPOKE_2_KM_PROFILE_1) separat konfiguriert.

  • Schlüsselprofil: Statische Schlüsselprofile HUB_KM_PROFILE_1, SPOKE_1_KM_PROFILE_1 SPOKE_2_KM_PROFILE_1 die auf dem HUB, SPOKE-1 bzw. SPOKE-2 für Anwendungen/Services konfiguriert sind, um eine in der CLI konfigurierte Schlüssel-ID und den entsprechenden Schlüssel abzurufen.

  • IKE-Vorschlag—IKE-Vorschläge HUB_IKE_PROPSPOKE_1_IKE_PROP und SPOKE_2_IKE_PROP sind auf dem HUB, SPOKE-1 bzw. SPOKE-2 mit den erforderlichen Algorithmen zum Einrichten einer IKE-Sicherheitszuordnung konfiguriert.

  • IKE-Richtlinie: IKE-Richtlinien HUB_IKE_POLSPOKE_1_IKE_POL und SPOKE_3_IKE_POL sind auf HUB, SPOKE-1 bzw. SPOKE-2 konfiguriert, um die Laufzeitaushandlungs-/Authentifizierungsattribute festzulegen.

  • IKE-Gateway: IKE-Gateways HUB_IKE_GWSPOKE_1_IKE_GW und SPOKE_2_IKE_GW sind auf dem HUB, SPOKE-1 bzw. SPOKE-2 konfiguriert, um die Endpunkte festzulegen, zwischen denen die IPsec-Tunnel eingerichtet werden müssen, auf die konfigurierte IKE-Richtlinie, die zu verwendende Version von IKE und ein ppk-Profil zu verweisen, um anzugeben, welches Schlüsselprofil verwendet werden muss, um Quantum sichere IKE/IPsec-Sicherheitszuordnungen einzurichten.

  • IPsec-Vorschlag: IPSEC-Vorschläge HUB_IPSEC_PROPSPOKE_1_IPSEC_PROP und SPOKE_2_IPSEC_PROP sind auf dem HUB, SPOKE-1 bzw. SPOKE-2 mit den erforderlichen Algorithmen zum Einrichten einer IPSEC-Sicherheitszuordnung konfiguriert.

  • IPsec-Richtlinie: IPSEC-Richtlinien HUB_IPSEC_POLSPOKE_1_IPSEC_POL und SPOKE_2_IPSEC_POL sind auf HUB, SPOKE-1 bzw. SPOKE-2 konfiguriert, um die IPsec-Aushandlungsattribute zur Laufzeit festzulegen.

  • IPsec-VPN: IPSEC-VPNs HUB_IPSEC_VPN, SPOKE_1_IPSEC_VPN SPOKE_2_IPSEC_VPN die auf dem HUB, SPOKE-1 bzw. SPOKE-2 konfiguriert sind, um den Bereich der zu sichernden Subnetze festzulegen, verweisen Sie auf die konfigurierte IPsec-Richtlinie und das IKE-Gateway.

  • Sicherheit Zone: Es gibt 3 verschiedene Sicherheitszonen trust, untrust die vpn für eine bessere Trennung des erwarteten Datenverkehrs innerhalb jeder dieser Zonen konfiguriert sind.

  • Sicherheit Richtlinie: Sicherheit Richtlinien trust to vpn und vpn to trust werden zwischen den Sicherheitszonen konfiguriert, um herauszufiltern, welche Art von Datenverkehr durch die IPsec-Sicherheitszuordnungen gesichert wird.

PPK-Profil

Gibt an, welches Schlüsselprofil zum Einrichten quantensicherer IKE- oder IPsec-SAs verwendet werden soll, indem auf das Schlüsselprofil unter dem IKE-Gateway verwiesen wird.

Zertifikate
CA-Zertifikat Überprüft die Identität von Geräten und authentifiziert die Kommunikationsverbindung zwischen ihnen.
Lokales Zertifikat Generiert PKI und registriert es mit dem CA-Zertifikat zur Überprüfung.
KME-Zertifikat Vom Anbieter generiertes Zertifikat eines Drittanbieters.
Sicherheits-Zonen
Vertrauen

Netzwerksegment in der Host-Zone.

nicht vertrauenswürdig

Netzwerksegment in der Zielserverzone.

VPN (VPN)

Netzwerksegment, über das das Hub-and-Spoke interagiert.

Primäre Verifizierungsaufgaben

Prüfen Sie, ob die eingerichteten IKE- und IPsec-SAs quantensicher sind.

Überblick über die Topologie

In diesem Beispiel initiieren SPOKE 1 und SPOKE 2 die Aushandlung von quantensicheren IPsec-Tunneln mit dem Hub mithilfe eines CLI-konfigurierten statischen Schlüssels. Der Hub reagiert auf die Anfragen, indem er die Identität von Spoke 1 und Spoke 2 zusammen mit ihren jeweiligen Schlüsseln überprüft und mit beiden Spokes ein quantensicheres IPsec-VPN aufbaut. Sobald die Tunnel eingerichtet sind, wird der Datenverkehr zwischen Host 1 und Host 3 sowie zwischen Host 2 und Host 3 über die etablierten IPsec-Tunnel gesichert.

Tabelle 11: In dieser Konfiguration verwendete Geräte, Rollen und Funktionen

Hostname

Rolle

Funktion

Drehkreuz Gerät, das IPsec-Tunnel einrichten kann Reagiert auf IKE- oder IPsec-SA-Aushandlungen, die von SPOKE 1 und SPOKE 2 initiiert wurden, und richtet quantensichere IPsec-Tunnel mithilfe eines statischen Schlüssels ein, der auf dem Hub-Gerät konfiguriert ist.
Speiche 1 Gerät, das IPsec-Tunnel einrichten kann Initiiert die Aushandlung der IKE/IPsec-Sicherheitszuordnung und richtet quantensichere IPsec-Tunnel mit dem Hub ein, wobei ein statischer Schlüssel verwendet wird, der auf dem Spoke 1 konfiguriert ist.
Speiche 2 Gerät, das IPsec-Tunnel einrichten kann Initiiert IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit dem Hub mithilfe eines statischen Schlüssels ein, der auf dem Spoke 2 konfiguriert ist.
Gastgeber 1 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von Spoke 1 Initiiert clientseitigen Datenverkehr in Richtung Host 3.
Gastgeber 2 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von Spoke 2 Initiiert clientseitigen Datenverkehr in Richtung Host 3.
Gastgeber 3 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite des HUBs Reagiert auf clientseitigen Datenverkehr von Host 1 und Host 2.

Abbildung der Topologie

Abbildung 3: Statischer Schlüssel mit Auto-VPN
Network topology diagram showing a secure communication setup using Quantum Safe IPsec VPN tunnels with a Hub, Spoke 1, and Spoke 2. Hosts connected to nodes use specific IPs for secure data transmission over the Internet.

Schritt-für-Schritt-Konfiguration auf dem Hub

Hinweis:

Vollständige Beispielkonfigurationen auf dem Prüfling finden Sie unter:

Diese Konfiguration gilt nur für die Hub-Geräte. Sie müssen die entsprechenden gerätespezifischen Konfigurationsänderungen vornehmen.

  1. Konfigurieren Sie die Hub-Schnittstellen.

  2. Konfigurieren Sie das CA-Profil und das CA-Zertifikat.

  3. Binden Sie das CA-Zertifikat im Betriebsmodus an das CA-Profil.

  4. Konfigurieren Sie das Profil des statischen Schlüsselmanagers.

  5. Konfigurieren Sie den Hub-Spoke im IPsec-VPN. Dazu gehören die Konfiguration der Sicherheitszonen, Sicherheitsrichtlinien und relevanten Zertifikate für die Authentifizierung von Geräteidentitäten und deren Kommunikationsverbindungen.

Schritt-für-Schritt-Konfiguration auf Spoke-Geräten

Hinweis:

Vollständige Beispielkonfigurationen auf dem Prüfling finden Sie unter:

Diese Konfiguration gilt für Spoke 1- und Spoke 2-Geräte. Für andere Geräte müssen Sie entsprechende gerätespezifische Konfigurationsänderungen vornehmen.

  1. Konfigurieren Sie die Spoke-Schnittstellen.

  2. Konfigurieren Sie Hub-Spoke auf dem IPsec-VPN. Dazu gehören die Konfiguration der Sicherheitszonen, Sicherheitsrichtlinien und relevanten Zertifikate für die Authentifizierung von Geräteidentitäten und deren Kommunikationsverbindungen.

  3. Konfigurieren Sie das Profil des statischen Schlüsselmanagers.

Verifizierung

Dieser Abschnitt enthält eine Liste der show-Befehle, mit denen Sie das Feature in diesem Beispiel überprüfen können.

Befehl Verifizierungs-Aufgabe

Details zu Security IKE Security-Associations anzeigen

Stellen Sie sicher, dass die IKE-SAs eingerichtet sind.

Details zu Sicherheits-IPsec-Sicherheitszuordnungen anzeigen

ZweckÜberprüfen Sie, ob die IPsec-Sicherheitsvorstellungen eingerichtet sind.

Sicherheits-IPsec-Statistiken anzeigen

ZweckÜberprüfen Sie die IPSec-Verschlüsselungs- und -Entschlüsselungsstatistiken.

Details zu Sicherheitsschlüssel-Manager-Profilen anzeigen

Überprüfen Sie die wichtigsten Profilstatistiken.

ping 192.168.90.20 Quelle 192.168.80.20 Anzahl 4

Pingen Sie von Host 1 zu Host 3 oder umgekehrt.

Überprüfen von IKE-SAs

Zweck

Überprüfen Sie die IKE-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ike security-associations detail Befehl ein, um die IKE-SAs anzuzeigen.

Bedeutung

Die Role: Responder, State: UPFelder , , und Flags: IKE SA is created zeigt an, PPK-profile: HUB_KM_PROFILE_1IPSec security associations: 2 created, 0 deleteddass die IKE-SAs erfolgreich erstellt wurden.

Überprüfen der IPsec-Sicherheitsrichtlinien

Zweck

Überprüfen Sie die IPsec-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ipsec security-associations detail Befehl ein, um die IPsec-Sicherheitsrichtlinien anzuzeigen.

Bedeutung

Die Quantum Secured: YesFelder , , und IPsec SA negotiation succeeds (1 times) zeigt an, Passive mode tunneling: DisabledPolicy-name: HUB_IPSEC_POLdass die IPsec-Sicherheitsvorstellungen erfolgreich erstellt wurden.

Überprüfen der IPsec-Statistiken

Zweck

Überprüfen Sie die IPsec-Statistiken.

Aktion

Geben Sie im Betriebsmodus den show security ipsec statistics Befehl ein, um die IPsec-Statistiken anzuzeigen.

Bedeutung

Die ESP Statistics Felder und AH Statistics zeigt die IPsec-Statistiken an.

Überprüfen des Key Manager-Profils

Zweck

Überprüfen Sie das Schlüsselmanagerprofil.

Aktion

Geben Sie im Betriebsmodus den show security key-manager profiles detail Befehl ein, um das Schlüsselmanagerprofil anzuzeigen.

Bedeutung

Die Name: HUB_KM_PROFILE_1 Felder und Type: Static zeigen das Key Manager-Profil an

Ping von Host 1 zu Host 3 oder umgekehrt

Zweck

Überprüfen Sie die Konnektivität von Host 1 zu Host 3.

Aktion

Geben Sie im Betriebsmodus den ping 192.168.90.20 source 192.168.80.20 count 4 Befehl ein, um die Konnektivität von Host 1 zu Host 3 anzuzeigen.

Bedeutung

Das bestätigt PING 192.168.80.20 (192.168.80.20): 56 data bytes die Konnektivität von HOST 1 zu HOST 3.

Ping von Host 2 zu Host 3 oder umgekehrt

Zweck

Überprüfen Sie die Konnektivität von Host 2 zu Host 3.

Aktion

Geben Sie im Betriebsmodus die ping 192.168.90.20 source 192.168.80.20 count 4 ein, um die Konnektivität von Host 2 zu Host 3 anzuzeigen.

Bedeutung

Das PING 192.168.80.20 (192.168.80.20): 56 data bytes bestätigt die Konnektivität von HOST 2 zu HOST 3.

Anhang 1: Befehle auf allen Geräten festlegen

Stellen Sie die Befehlsausgabe auf allen Geräten ein.

Befehle auf Hub festlegen
Befehle auf Spoke 1 festlegen
Befehle auf Spoke 2 festlegen

Anhang 2: Konfigurationsausgabe im Prüfling anzeigen

Drehkreuz

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die Befehle , show security ike policy HUB_IKE_POL, , show security ike gateway HUB_IKE_GW, show security ipsec proposal HUB_IPSEC_PROP, show security ipsec vpn HUB_IPSEC_VPNshow security ipsec policy HUB_IPSEC_POL, , show interfacesshow security zonesund show security policies eingeben.show security ike proposal HUB_IKE_PROP Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Speiche 1

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security pki ca-profile Root-CABefehle , show security key-manager profiles SPOKE_1_KM_PROFILE_1, , show security ike proposal SPOKE_1_IKE_PROP, show security ike policy SPOKE_1_IKE_POL, show security ipsec vpn SPOKE_1_IPSEC_VPNshow security ipsec policy SPOKE_1_IPSEC_POLshow security ipsec proposal SPOKE_1_IPSEC_PROPshow security ike gateway SPOKE_1_IKE_GWshow interfacesund show security zonesshow security policiesshow security pki eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Speiche 2

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security pkiBefehle , show security key-manager, , show security ike proposal SPOKE_2_IKE_PROP, show security ike policy SPOKE_2_IKE_POL, show security ipsec vpn SPOKE_2_IPSEC_VPNshow security ipsec proposal SPOKE_2_IPSEC_PROPshow security ike gateway SPOKE_2_IKE_GW, show security zonesshow interfacesund show security policies eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Konfigurieren des Quantum Key Manager-Schlüsselprofils für Junos Key Manager

Dieses Beispiel zeigt, wie das Quantenschlüsselprofil für den Junos-Schlüssel-Manager konfiguriert wird. Konfigurieren Sie das Quantenschlüssel-Manager-Schlüsselprofil, um die generierten Schlüssel zu generieren und zu senden, um einen quantensicheren IPsec-VPN-Tunnel einzurichten.

Anforderungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

  1. Hardwareanforderungen – Gerät, das die Funktion unterstützt.

  2. Softwareanforderungen – Betriebssystem mit Junos IKE - und Junos Key Manager-Paketen , das diese Funktion unterstützt.

  3. Verwenden Sie ein beliebiges QKD-Gerät, das den ETSI Quantum Key Distribution (QKD) Rest API-Standard für die Kommunikation unterstützt.

  4. Laden Sie die lokalen Zertifikate auf das Gerät. Es wird empfohlen, den vollständigen Pfad zum Zertifikat anzugeben.

Überblick

Die Geräte verwenden das IPsec-VPN, um Datenverkehr sicher über das Internet zu senden. Konfigurieren Sie das Quantenschlüssel-Manager-Schlüsselprofil im IPsec-VPN, um die vorhandene IKE-Sicherheitszuordnung sowie einen neuen Schlüssel und Schlüssel erneut zu authentifizieren.

Das Quantenschlüssel-Manager-Schlüsselprofil verwendet eine sichere Schlüsselverteilungsmethode basierend auf QKD, um quantensichere Schlüssel zu generieren und zu verteilen. Diese Schlüssel sind dynamisch.

Konfiguration

  1. Konfigurieren Sie das CA-Zertifikat.

  2. Laden Sie das CA-Zertifikat.

  3. Registrieren Sie das CA-Zertifikat.

  4. Konfigurieren Sie das Quantenschlüssel-Manager-Profil.

Verifizierung

Zweck

Überprüfen Sie das Schlüsselprofil und die Schlüssel des Quantenschlüsselmanagers.

Aktion

Geben Sie im Betriebsmodus das show security pki ca-certificate ca-profile Root-CA ein, um das CA-Profil und die CA-Zertifikate anzuzeigen.

Geben Sie im Betriebsmodus das show security pki local-certificate certificate-id SAE_A_CERT ein, um die lokalen PKI-Zertifikate anzuzeigen.

Geben Sie im Betriebsmodus das ein, um das Profil und die request security key-manager profiles get profile-keys name km_profile_1 peer-sae-id SAE_B Schlüssel des Peer-Geräteschlüsselmanagers anzuzeigen.

Geben Sie im Betriebsmodus die show security key-manager profiles name KM_PROFILE_1 detail ein, um die Details des Key Manager-Profils anzuzeigen.

Bedeutung

Zeigt show security pki ca-certificate ca-profile Root-CA PKI-CA-Profilname, Zertifikatsbezeichner, Gültigkeit, Public-Key-Algorithmus usw. an.

Zeigt show security pki local-certificate certificate-id SAE_A_CERT den Namen des lokalen CA-Profils, die Zertifikatskennung, die Gültigkeit, den Algorithmus des öffentlichen Schlüssels usw. an.

Zeigt request security key-manager profiles get profile-keys name km_profile_1 peer-sae-id SAE_B das Profil und die Schlüssel des Peer-Geräte-Managers an.

Zeigt show security key-manager profiles name KM_PROFILE_1 detail den Namen des Sicherheitsschlüssel-Manager-Profils, die URL, Anforderungen usw. an.

Beispiel: Konfigurieren des Quantenschlüssel-Manager-Schlüsselprofils für Site-to-Site-IPsec-VPN

Verwenden Sie dieses Konfigurationsbeispiel, um eine IPsec Site-to-Site-VPN-Infrastruktur zu sichern, indem Sie das Quantenschlüssel-Manager-Schlüsselprofil konfigurieren.

Sie können eine IPsec Site-to-Site-VPN-Infrastruktur sichern, indem Sie das Quantenschlüssel-Manager-Schlüsselprofil konfigurieren.

In diesem Konfigurationsbeispiel verwenden die Geräte SRX1 und SRX2 das Quantenschlüssel-Manager-Profil, um die QKD-Schlüssel auf dem IPsec-VPN abzurufen. Die QKD-Schlüssel helfen dabei, Datenverkehr sicher über das Internet zu senden.

Tipp:
Tabelle 12: Geschätzte Timer

Lesezeit

Weniger als eine Stunde

Konfigurationszeit

Weniger als eine Stunde

Beispiele für Voraussetzungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Tabelle 13: Hardware- und Software-Anforderungen

Hardware-Anforderungen

Gerät, das diese Funktion unterstützt.

Anforderungen an die Software

Betriebssystem, das diese Funktion unterstützt.

Bevor Sie beginnen

Tabelle 14: Vorteile, Ressourcen und zusätzliche Informationen

Vorteile

  • Identifizierung von Bedrohungen

    Durch Konfigurieren von Quantenschlüsseln können Sie einen sicheren Quantenkanal zwischen den QKD-Geräten einrichten. Dies verbessert die Bedrohungserkennung und schützt das Netzwerk.

  • Erweiterte Sicherheit

    Sie können die vorhandenen Schlüssel mit Quantenschlüsseln zusammenführen und sie über bestehende VPN-Tunnel verschlüsseln und entschlüsseln. Dies verbessert die Sicherheit der IPsec-VPN-Infrastruktur.

  • Verbesserte kryptografische Stärke

    Die RFC 8784-Konformität bietet Ihnen eine einfache Möglichkeit, Angreifer daran zu hindern, die Verbindung zu belauschen und die Schlüssel abzufangen. Dadurch wird auch die Interoperabilität mit anderen Geräten sichergestellt, die sich an den Standard halten.

  • Unterstützung der Interoperabilität

    Sie können jedes QKD-Gerät verwenden, das die ETSI QKD Rest API unterstützt.

Nützliche Ressourcen

 

Mehr erfahren

Praktische Erfahrung

vLABs Sandbox

Mehr erfahren

RFC 8784 - Mischen von vorinstallierten Schlüsseln im Internet Key Exchange Protocol Version 2 (IKEv2) für Post-Quanten-Sicherheit

ETSI QKD Rest API

Funktionsübersicht

Tabelle 15: Funktionsübersicht des Quantum Key Manager-Schlüsselprofils
IPsec VPN

Stellt eine Hub-and-Spoke-IPsec-VPN-Topologie bereit, bei der die Spokes durch VPN-Tunnel verbunden sind, die den Datenverkehr durch den Hub leiten. Diese VPN-Tunnel werden später für die Verwendung von Quantenschlüsseln konfiguriert, was sie zu quantensicheren VPN-Tunneln macht.

IKE Gateway

Stellt eine sichere Verbindung her. Das IKE-Gateway verwendet die IKE-Richtlinie, um sich bei der Validierung des Zertifikats auf die konfigurierte Gruppe von Zertifizierungsstellenprofilen (CA) zu beschränken.

Vorschläge
IKE-Vorschlag

Definiert die Algorithmen und Schlüssel, die zum Herstellen der sicheren IKE-Verbindung mit dem Peer-Sicherheitsgateway verwendet werden.

IKE erstellt die dynamischen Sicherheitszuordnungen (SAs) und handelt sie für IPsec aus.

IPsec-Vorschlag

Listet Protokolle, Algorithmen und Sicherheitsservices auf, die mit dem entfernten IPsec-Peer ausgehandelt werden sollen.

Richtlinien
IKE-Richtlinie

Definiert eine Kombination von Sicherheitsparametern (IKE-Vorschläge), die während der IKE-Aushandlung verwendet werden sollen.

IPsec-Richtlinie

Enthält Regeln und Sicherheitsrichtlinien, um Gruppen-VPN-Datenverkehr zwischen den angegebenen Zonen zuzulassen.

Sicherheits-Richtlinie

Hier können Sie den Typ des Datenverkehrs auswählen, der über die IPsec-SAs gesichert werden soll.

  • VPN-OUT: Lässt Datenverkehr aus der Vertrauenszone in die VPN-Zone zu, wobei die Übereinstimmungskriterien wie folgt lauten:

    • Quelladresse: HOST-1-Net

    • Zieladresse: HOST-2-Net

    • Anwendung: beliebig

  • VPN-IN: Lässt Datenverkehr von der VPN-Zone zur Vertrauenszone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-2-Net

    • Zieladresse: HOST-1-Net

    • Anwendung: beliebig

Steckbriefe

Schlüsselprofil

Definiert, wie die Geräte mit den KME-Geräten kommunizieren, um QKD-Schlüssel vom externen KME-Server abzurufen. Schlüsselprofile werden auf Hub (HUB_KM_PROFILE_1) und Spokes (SPOKE_1_KM_PROFILE_1 und SPOKE_2_KM_PROFILE_1) separat konfiguriert.

  • Schlüsselprofil: Ein Quantenschlüssel-Manager-Profil km_profile_1 ist für Anwendungen und Services konfiguriert, um QKD-Schlüssel von einem externen Server abzurufen.

  • IKE-Vorschlag: Ein IKE-Vorschlag IKE_PROP wird mit den erforderlichen Algorithmen konfiguriert, um eine IKE-Sicherheitszuordnung einzurichten.

  • IKE-Richtlinie: Eine IKE-Richtlinie IKE_POL wird konfiguriert, um die Laufzeitaushandlungs- und Authentifizierungsattribute festzulegen.

  • IKE-Gateway: Ein IKE-Gateway IKE_GW ist für die Verwaltung der IPsec-Tunnel zwischen Endpunkten konfiguriert. A ppk-profile gibt an, welches Schlüsselprofil verwendet werden soll, um eine quantensichere IKE- oder IPsec-SA einzurichten.

  • IPsec-Vorschlag: Ein IPsec-Vorschlag IPSEC_PROP wird mit den erforderlichen Algorithmen konfiguriert, um eine IPsec-Sicherheitszuordnung einzurichten.

  • IPsec-Richtlinie: Eine IPsec-Richtlinie IPSEC_POL wird konfiguriert, um die IPsec-Aushandlungsattribute für die Laufzeit festzulegen.

  • IPsec-VPN: Eine IPsec-VPN-Richtlinie IPSEC_VPN wird konfiguriert, um den Bereich der Subnetze festzulegen, die gesichert werden müssen.

  • Sicherheit Zone: Es gibt drei verschiedene Sicherheitszonen trust, untrust die vpn für eine bessere Trennung des erwarteten Datenverkehrs innerhalb jeder dieser Zonen konfiguriert sind.

  • Sicherheit Richtlinie: Sicherheit Richtlinien trust to vpn und vpn to trust werden zwischen den Sicherheitszonen konfiguriert, um herauszufiltern, welche Art von Datenverkehr durch die IPsec-SAs gesichert wird.

PPK-Profil

Gibt an, welches Schlüsselprofil zum Einrichten quantensicherer IKE- oder IPsec-SAs verwendet werden soll, indem auf das Schlüsselprofil unter dem IKE-Gateway verwiesen wird.

Zertifikate
CA-Zertifikat Überprüft die Identität von Geräten und authentifiziert die Kommunikationsverbindung.
Lokales Zertifikat Generiert PKI und registriert es mit dem CA-Zertifikat zur Überprüfung.
KME-Zertifikat Vom Anbieter generiertes Zertifikat eines Drittanbieters.
Sicherheits-Zonen
Vertrauen

Netzwerksegment in der Host-Zone.

nicht vertrauenswürdig

Netzwerksegment in der Zielserverzone.

VPN (VPN)

Netzwerksegment, über das der Hub und die Spokes interagieren.

Primäre Verifizierungsaufgaben

Prüfen Sie, ob die eingerichteten IKE- und IPsec-SAs quantensicher sind.

Überblick über die Topologie

In diesem Beispiel sichern wir die IPsec-VPN-Tunnel SRX1 und SRX2 mithilfe von Quantenschlüsseln, die von KME-Geräten Dritter generiert werden. Die KME-Geräte (KME-A und KME-B) sind über einen Quantenkanal miteinander verbunden, der hochsicher ist und Bedrohungen erkennen kann. Über diesen Kanal rufen die SRX1- und SRX2-Geräte Quantenschlüssel von ihren entsprechenden KME-Geräten ab und führen sie mit den vorhandenen Schlüsseln zusammen, um die VPN-Tunnel quantensicher zu machen.

Tabelle 16: In dieser Konfiguration verwendete Geräte, Rollen und Funktionen

Hostname

Rolle

Funktion

SRX1 Ein Gerät, das IPsec-Tunnel einrichten kann Initiiert IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit SRX2 ein, wobei der QKD-Schlüssel vom KME-A-QKD-Gerät abgerufen wird.
SRX2 Ein Gerät, das IPsec-Tunnel einrichten kann Reagiert auf IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit dem QKD-Schlüssel vom KME-B-QKD-Gerät ein.
HOST1 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von SRX1 Initiiert clientseitigen Datenverkehr in Richtung HOST 2
HOST2 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite von SRX2 Reagiert auf clientseitigen Datenverkehr von HOST 1.
KME-A QKD-Gerät eines Drittanbieters Stellt QKD-Schlüssel als Antwort auf Schlüsselanforderungen von SRX1 bereit.
KME-B QKD-Gerät eines Drittanbieters Stellt QKD-Schlüssel als Antwort auf Schlüsselanforderungen von SRX2 bereit.

Abbildung der Topologie

Abbildung 4: Site-to-Site-VPN
Quantum-safe IPsec VPN tunnel setup with SRX1 and SRX2 connected via the internet. Hosts linked via Ethernet. KME or QKD keys used.

Schritt-für-Schritt-Konfiguration auf Geräten

Hinweis:

Vollständige Beispielkonfigurationen auf dem Prüfling finden Sie unter:

Diese Konfiguration gilt für SRX1- und SRX2-Geräte. Für andere Geräte müssen Sie die entsprechenden gerätespezifischen Konfigurationsänderungen vornehmen.

  1. Konfigurieren Sie die Schnittstellen.

  2. Konfigurieren Sie ein Schlüsselprofil vom Typ quantum-key-manager mit den must- oder empfohlenen Parametern.

    Definieren Sie das CA-Zertifikat, konfigurieren Sie die URL des KME-Servers, konfigurieren Sie die SAE-ID, die vom lokalen Ende verwendet werden soll, konfigurieren Sie das entsprechende Zertifikat für die lokale SAE-ID und konfigurieren Sie das zuvor definierte CA-Zertifikat.

  3. Konfigurieren Sie Site-to-Site-IPsec-VPN. Dazu gehören die Konfiguration der Sicherheitszonen, Sicherheitsrichtlinien und relevanten Zertifikate für die Authentifizierung von Geräteidentitäten und deren Kommunikationsverbindungen.

Verifizierung

Dieser Abschnitt enthält eine Liste der show-Befehle, mit denen Sie das Feature in diesem Beispiel überprüfen können.

Befehl Verifizierungs-Aufgabe

Details zu Security IKE Security-Associations anzeigen

ZweckÜberprüfen Sie, ob die IKE-SAs eingerichtet sind.

Details zu Sicherheits-IPsec-Sicherheitszuordnungen anzeigen

Stellen Sie sicher, dass die IPsec-Sicherheitszertifizierungsstellen eingerichtet sind.

Sicherheits-IPsec-Statistiken anzeigen

Überprüfen Sie die IPsec-Verschlüsselungs- und -Entschlüsselungsstatistiken.

Details zu Sicherheitsschlüssel-Manager-Profilen anzeigen

Überprüfen Sie die wichtigsten Profilstatistiken.

ping 192.168.80.20 Quelle 192.168.90.20 Anzahl 5

Pingen Sie von HOST 1 zu HOST 2 oder umgekehrt.

Überprüfen von IKE-SAs

Zweck

Überprüfen Sie die IKE-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ike security-associations detail Befehl ein, um die IKE-SAs anzuzeigen.

Bedeutung

Die Role: Initiator, State: UPFelder , , und Flags: IKE SA is created zeigt an, PPK-profile: km_profile_1IPSec security associations: 2 created, 0 deleted Phase 2 negotiations in progress: 1dass die IKE-SAs erfolgreich erstellt wurden.

Überprüfen der IPsec-Sicherheitsrichtlinien

Zweck

Überprüfen Sie die IPsec-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ipsec security-associations detail Befehl ein, um die IPsec-Sicherheitsrichtlinien anzuzeigen.

Bedeutung

Die Quantum Secured: YesFelder , , und tunnel-establishment: establish-tunnels-immediately IKE SA Index: 21 zeigt an, Policy-name: IPSEC_POLIPsec SA negotiation succeeds (1 times)dass die IPsec-Sicherheitsvorstellungen erfolgreich erstellt wurden.

Überprüfen der IPsec-Statistiken

Zweck

Überprüfen Sie die IPsec-Statistiken.

Aktion

Geben Sie im Betriebsmodus den show security ipsec statistics Befehl ein, um die IPsec-Statistiken anzuzeigen.

Bedeutung

Die ESP Statistics Felder und AH Statistics zeigt die IPsec-Statistiken an.

Überprüfen des Key Manager-Profils

Zweck

Überprüfen Sie das Schlüsselmanagerprofil.

Aktion

Geben Sie im Betriebsmodus den show security key-manager profiles detail Befehl ein, um das Schlüsselmanagerprofil anzuzeigen.

Bedeutung

Die Name: km_profile_1 Felder und Quantum-key-manager zeigt das Schlüsselmanagerprofil an.

Ping von HOST 1 zu HOST 2 oder umgekehrt

Zweck

Überprüfen Sie die Konnektivität von HOST 1 zu HOST 2.

Aktion

Geben Sie im Betriebsmodus die ping 192.168.80.20 source 192.168.90.20 Anzahl 5 ein, um die Konnektivität von HOST 1 zu HOST 2 anzuzeigen.

Bedeutung

Das PING 192.168.80.20 (192.168.80.20): 56 data bytes count 5 bestätigt die Konnektivität von HOST 1 zu HOST 2.

Anhang 1: Befehle auf allen Geräten festlegen

Stellen Sie die Befehlsausgabe auf allen Geräten ein.

Festlegen von Befehlen auf SRX1
Festlegen von Befehlen auf SRX2

Anhang 2: Konfigurationsausgabe im Prüfling anzeigen

Zeigen Sie die Befehlsausgabe auf dem Prüfling an.

SRX1

SRX 2

Beispiel: Konfigurieren der quantengesicherten IPsec-AutoVPN-Topologie mithilfe des Schlüsselprofils von Quantum Key Manager

Verwenden Sie dieses Konfigurationsbeispiel, um eine IPsec AutoVPN-Infrastruktur zu sichern, indem Sie das Quantenschlüssel-Manager-Schlüsselprofil konfigurieren.

Der Hub, Spoke 1 und Spoke 2 verwenden Quantenschlüssel-Manager-Schlüsselprofile, um mit KME Hub, KME Spoke 1 und KME Spoke 2 zu kommunizieren, um die QKD-Schlüssel abzurufen und dann IPsec-VPN-Tunnel einzurichten.

Tipp:
Tabelle 17: Geschätzte Timer

Lesezeit

Weniger als eine Stunde.

Konfigurationszeit

Weniger als eine Stunde.

Beispiele für Voraussetzungen

Verwenden Sie den Feature-Explorer , um die Plattform- und Release-Unterstützung für bestimmte Funktionen zu bestätigen.

Tabelle 18: Hardware- und Software-Anforderungen

Hardware-Anforderungen

  • Gerät, das diese Funktion unterstützt.

  • KME- (Key Management Entity) oder QKD-Geräte (Quantum Key Distribution) von Drittanbietern. Die KME-Parameter entsprechen der ETSI GS QKD 014-Spezifikation .

Anforderungen an die Software

Betriebssystem, das diese Funktion unterstützt.

Bevor Sie beginnen

Tabelle 19: Vorteile, Ressourcen und zusätzliche Informationen

Vorteile

  • Identifizierung von Bedrohungen

    Richten Sie einen sicheren Quantenkanal zwischen den QKD-Geräten ein, der die Bedrohungserkennung mithilfe von Quantenschlüsseln gewährleistet.

  • Erweiterte Sicherheit

    Führen Sie vorhandene Schlüssel mit Quantenschlüsseln zusammen und verschlüsseln und entschlüsseln Sie sie über bestehende VPN-Tunnel, wodurch die Sicherheit der IPsec-VPN-Infrastruktur erweitert wird.

  • RFC 8784-konform

    Erweitern Sie das bereits standardisierte RFC 8784-Verfahren.

Nützliche Ressourcen

 

Mehr erfahren

Praktische Erfahrung

vLab-Sandbox: IPsec-VPN – Richtlinienbasiert

Mehr erfahren

Funktionsübersicht

Tabelle 20 enthält eine kurze Zusammenfassung der in diesem Beispiel bereitgestellten Konfigurationskomponenten.

Tabelle 20: Funktionsübersicht von Quantum Key Manager
IPsec VPN

Stellen Sie eine Hub-and-Spoke-IPsec-VPN-Topologie bereit, bei der die Spokes durch VPN-Tunnel verbunden sind, die den Datenverkehr durch den Hub leiten. Diese VPN-Tunnel werden später für die Verwendung von Quantenschlüsseln konfiguriert, was sie zu quantensicheren VPN-Tunneln macht.

IKE Gateway

Stellen Sie eine sichere Verbindung her, das IKE-Gateway verwendet die IKE-Richtlinie, um sich während der Validierung des Zertifikats auf die konfigurierte Gruppe von Zertifizierungsstellen (CA-Profile) zu beschränken.

Vorschläge
IKE-Vorschlag

Definieren Sie die Algorithmen und Schlüssel, die zum Herstellen der sicheren IKE-Verbindung mit dem Peer-Sicherheitsgateway verwendet werden.

IKE erstellt die dynamischen SAs und handelt sie für IPsec aus.

IPsec-Vorschlag

Listen Sie Protokolle, Algorithmen und Sicherheitsdienste auf, die mit dem entfernten IPsec-Peer ausgehandelt werden sollen.

Richtlinien
IKE-Richtlinie

Definieren Sie eine Kombination von Sicherheitsparametern (IKE-Vorschläge), die während der IKE-Aushandlung verwendet werden sollen.

IPsec-Richtlinie

Regeln und Sicherheitsrichtlinien enthalten, um Gruppen-VPN-Datenverkehr zwischen den angegebenen Zonen zuzulassen.

Sicherheits-Richtlinie

Hier können Sie den Typ des Datenverkehrs auswählen, der über die IPsec-SAs gesichert werden soll.

  • VPN-OUT – Lässt Datenverkehr von der Vertrauenszone zur VPN-Zone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-1-Net

    • Zieladresse: HOST-2-Net

    • Anwendung: beliebig

  • VPN-IN: Lässt Datenverkehr von der VPN-Zone in die Vertrauenszone zu, wobei das Übereinstimmungskriterium lautet:

    • Quelladresse: HOST-2-Net

    • Zieladresse: HOST-1-Net

    • Anwendung: beliebig

Steckbriefe

Schlüsselprofil

Definieren Sie, wie die SRX-Geräte mit den KME-Geräten kommunizieren, um QKD-Schlüssel vom externen KME-Server abzurufen. Schlüsselprofile werden auf Hub (HUB_KM_PROFILE_1) und Spokes (SPOKE_1_KM_PROFILE_1 und SPOKE_2_KM_PROFILE_1) separat konfiguriert.

Konfigurieren SPOKE-1 und SPOKE-2 für Anwendungen und Dienste zum Abrufen von QKD-Schlüsseln von einem externen Server.

  • Schlüsselprofil: Konfigurieren Sie die folgenden Quantenschlüssel-Manager-Schlüsselprofile auf dem Hub.

    • HUB_KM_PROFILE_1

    • SPOKE_1_KM_PROFILE_1

    • SPOKE_2_KM_PROFILE_1

  • Konfigurieren SPOKE-1 und SPOKE-2 mit den erforderlichen Algorithmen, um eine IKE-SAs einzurichten.

    IKE-Vorschlag: Konfigurieren Sie die folgenden IKE-Vorschläge auf dem Hub.

    • HUB_IKE_PROP

    • SPOKE_1_IKE_PROP

    • SPOKE_2_IKE_PROP

  • Konfigurieren SPOKE-1 und SPOKE-2 Festlegen der Laufzeitaushandlungs- und -Authentifizierungsattribute.

    IKE-Richtlinie: Konfigurieren Sie die folgenden IKE-Richtlinien auf dem Hub.

    • HUB_IKE_POL

    • SPOKE_1_IKE_POL

    • SPOKE_3_IKE_POL

  • Konfigurieren SPOKE-1 und SPOKE-2 Festlegen der Endpunkte zwischen den IPsec-Tunneln.

    IKE-Gateway: Konfigurieren Sie die folgenden IKE-Gateways auf dem Hub.

    A ppk-profile gibt an, welches Schlüsselprofil zum Einrichten einer quantensicheren IKE- oder IPsec-SA verwendet werden soll.

    • HUB_IKE_GW

    • SPOKE_1_IKE_GW

    • SPOKE_2_IKE_GW

  • Konfigurieren SPOKE-1 und SPOKE-2 mit den erforderlichen Algorithmen, um eine IPsec-SA einzurichten.

    IPsec-Vorschlag: Konfigurieren Sie die folgenden IPsec-Vorschläge auf dem Hub.

    • HUB_IPSEC_PROP

    • SPOKE_1_IPSEC_PROP

    • SPOKE_2_IPSEC_PROP

  • Konfigurieren SPOKE-1 und SPOKE-2 Festlegen der Laufzeit-IPsec-Aushandlungsattribute.

    IPsec-Richtlinie: Konfigurieren Sie die folgenden IPsec-Richtlinien auf dem Hub.

    • HUB_IPSEC_POL

    • SPOKE_1_IPSEC_POL

    • SPOKE_2_IPSEC_POL

  • Konfigurieren SPOKE-1 und SPOKE-2 Festlegen des Bereichs der Subnetze, die gesichert werden müssen.

    IPsec-VPN: Konfigurieren Sie die folgenden IPsec-VPNs auf dem Hub.

    • HUB_IPSEC_VPN

    • SPOKE_1_IPSEC_VPN

    • SPOKE_2_IPSEC_VPN

  • Sicherheitszone: Konfigurieren Sie drei verschiedene Sicherheitszonen, um den Datenverkehr zu trennen.

    • trust

    • untrust

    • vpn

  • Sicherheit Richtlinie: Konfigurieren Sie die Sicherheitsrichtlinien trust to vpn und vpn to trust wählen Sie den Typ des Datenverkehrs aus, der durch die IPsec-SAs gesichert wird.

PPK-Profil

Geben Sie an, welches Schlüsselprofil zum Einrichten quantensicherer IKE- oder IPsec-SAs verwendet werden soll, indem Sie auf das Schlüsselprofil unter dem IKE-Gateway verweisen.

Zertifikate
CA-Zertifikat Überprüfen Sie die Identität von Geräten und authentifizieren Sie die Kommunikationsverbindung zwischen ihnen.
Lokales Zertifikat Generieren Sie PKI, und registrieren Sie es mit dem CA-Zertifikat zur Überprüfung.
KME-Zertifikat Vom Anbieter generiertes Zertifikat eines Drittanbieters.
Sicherheits-Zonen
Vertrauen

Netzwerksegment in der Host-Zone.

nicht vertrauenswürdig

Netzwerksegment in der Zielserverzone.

VPN (VPN)

Netzwerksegment, über das der Hub und die Spokes interagieren.

Primäre Verifizierungsaufgaben

Prüfen Sie, ob die eingerichteten IKE- und IPsec-SAs quantensicher sind.

Überblick über die Topologie

In diesem Beispiel sichern wir die Hub-and-Spoke-IPsec-VPN-Tunnel mit Quantenschlüsseln, die von KME-Geräten anderer Anbieter generiert werden. Die KME-Geräte (KME-Hub, KME-Spoke 1 und KME-Spoke 2) sind über einen Quantenkanal miteinander verbunden, der hochsicher ist und Bedrohungen erkennen kann. Über diesen Kanal rufen die Hub-and-Spoke-Geräte Quantenschlüssel von ihrem entsprechenden KME-Gerät ab und führen sie mit den vorhandenen Schlüsseln zusammen, um die VPN-Tunnel quantensicher zu machen.

Tabelle 21: Komponenten der Quantenschlüssel-Manager-Topologie

Topologie-Komponenten

Rolle

Funktion

Hub Ein Gerät, das IPsec-Tunnel einrichten kann Reagiert auf IKE- oder IPsec-SA-Aushandlung und richtet quantensichere IPsec-Tunnel mithilfe des QKD-Schlüssels vom KME-HUB-QKD-Gerät ein SPOKE-1 und SPOKE-2ein.
SPOKE-1 Ein Gerät, das IPsec-Tunnel einrichten kann Initiiert IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit Hub unter Verwendung des QKD-Schlüssels vom KME-SPOKE-1 QKD-Gerät ein.
SPOKE-2 Ein Gerät, das IPsec-Tunnel einrichten kann Initiiert IKE- oder IPsec-SA-Verhandlungen und richtet quantensichere IPsec-Tunnel mit Hub unter Verwendung des QKD-Schlüssels vom KME-SPOKE-2 QKD-Gerät ein.
HOST-1 Der Host in der vertrauenswürdigen Zone oder auf der LAN-Seite von SPOKE 1wird Host 1 durch SPOKE 1gesichert. Initiiert clientseitigen Datenverkehr in Richtung HOST-3
HOST-2 Der Host in der vertrauenswürdigen Zone oder auf der LAN-Seite von SPOKE 2wird Host 2 durch SPOKE 2gesichert. Initiiert clientseitigen Datenverkehr in Richtung HOST-3
HOST- 3 Host innerhalb der vertrauenswürdigen Zone oder der LAN-Seite des Hubs. Host 3 wird gesichert durch Hub. Reagiert auf clientseitigen Datenverkehr von HOST-1 und HOST-2
KME-HUB QKD-Gerät eines Drittanbieters Stellt QKD-Schlüssel als Antwort auf Schlüsselanforderungen von HUB
KME-SPOKE-1 QKD-Gerät eines Drittanbieters Stellt QKD-Schlüssel als Antwort auf Schlüsselanforderungen von SPOKE-1
KME-SPOKE-2 QKD-Gerät eines Drittanbieters Stellt QKD-Schlüssel als Antwort auf Schlüsselanforderungen von SPOKE-2

Abbildung der Topologie

Abbildung 5: Quantum Key Manager mit AutoVPN Error analyzing image

Schritt-für-Schritt-Konfiguration auf dem Hub

Hinweis:

Vollständige Beispielkonfigurationen für die Hub-and-Spoke-Geräte finden Sie unter:

  1. Konfigurieren Sie die Hub-Schnittstellen.

  2. Konfigurieren Sie das IPsec-VPN mit Hub-Spoke. Dazu gehören die Konfiguration der Sicherheitszonen, Sicherheitsrichtlinien und relevanten Zertifikate für die Authentifizierung von Geräteidentitäten und deren Kommunikationsverbindungen.

    Konfigurieren Sie den Hub so, dass das CA-Zertifikat vom CA-Server abgerufen wird, oder laden Sie ein lokal verfügbares CA-Zertifikat vom Gerät.

    Hinweis:

    Die KME-Zertifikate müssen gemäß den Anweisungen des Drittanbieters konfiguriert werden.

    Konfigurieren Sie den IPsec-Vorschlag und die Richtlinie. Konfigurieren Sie die IKE-Richtlinie, den Vorschlag und das Gateway für das IPsec-VPN.

  3. Konfigurieren Sie das Quantenschlüssel-Manager-Schlüsselprofil, um Quantenschlüssel vom entsprechenden KME-Hub-Gerät abzurufen.

  4. Binden Sie das Quantenschlüssel-Manager-Schlüsselprofil als IKE-Gateway-ppk-Profil, um die VPN-Tunnel quantensicher zu machen.

Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .

Schritt-für-Schritt-Konfiguration auf Spoke-Geräten

Hinweis:

Vollständige Beispielkonfigurationen für die Geräte finden Sie unter:

Diese Konfiguration gilt für Spoke 1- und Spoke 2-Geräte, Sie müssen die entsprechenden gerätespezifischen Konfigurationsänderungen vornehmen.

  1. Konfigurieren Sie die Spoke-Schnittstellen.

  2. Konfigurieren Sie das IPsec-VPN mit Hub-Spoke. Dazu gehören die Konfiguration der Sicherheitszonen, Sicherheitsrichtlinien und relevanten Zertifikate für die Authentifizierung von Geräteidentitäten und deren Kommunikationsverbindungen.

    Konfigurieren Sie den Hub so, dass das CA-Zertifikat vom CA-Server abgerufen wird, oder laden Sie ein lokal verfügbares CA-Zertifikat vom Gerät.

    Hinweis:

    Die KME-Zertifikate müssen gemäß den Anweisungen des Drittanbieters konfiguriert werden.

    Konfigurieren Sie den IPsec-Vorschlag und die Richtlinie. Konfigurieren Sie die IKE-Richtlinie, den Vorschlag und das Gateway für das IPsec-VPN.

  3. Konfigurieren Sie das Quantenschlüssel-Manager-Schlüsselprofil, um Quantenschlüssel vom entsprechenden Spoke-Gerät abzurufen.

  4. Binden Sie das Quantenschlüssel-Manager-Schlüsselprofil als IKE-Gateway-ppk-Profil, um die VPN-Tunnel quantensicher zu machen.

Wenn Sie mit der Konfiguration des Geräts fertig sind, rufen Sie den Konfigurationsmodus auf commit .

Verifizierung

Dieser Abschnitt enthält eine Liste der show-Befehle, mit denen Sie das Feature in diesem Beispiel überprüfen können.

Tabelle 22: Verifizierungsaufgaben
Befehl Verifizierungs-Aufgabe

Details zu Security IKE Security-Associations anzeigen

Überprüfen Sie die IKE-SAs.

Details zu Sicherheits-IPsec-Sicherheitszuordnungen anzeigen

Überprüfen Sie die IPsec-SAs.

Sicherheits-IPsec-Statistiken anzeigen

Überprüfen Sie die IPsec-Verschlüsselungs- und -Entschlüsselungsstatistiken.

Details zu Sicherheitsschlüssel-Manager-Profilen anzeigen

Überprüfen Sie die wichtigsten Profilstatistiken.

ping 192.168.90.20 Quelle 192.168.80.20 Anzahl 4

Ping von Host 1 zu Host 3.

ping 192.168.90.20 Quelle 192.168.70.20 Anzahl 4

Ping von Host 2 zu Host 3.

Überprüfen von IKE-SAs

Zweck

Überprüfen Sie die IKE-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ike security-associations detail Befehl ein, um die IKE-SAs anzuzeigen.

Bedeutung

Die Beispielausgabe bestätigt die IKE-SAs.

Überprüfen der IPsec-Sicherheitsrichtlinien

Zweck

Überprüfen Sie die IPsec-SAs.

Aktion

Geben Sie im Betriebsmodus den show security ipsec security-associations detail Befehl ein, um die IPsec-Sicherheitsrichtlinien anzuzeigen.

Bedeutung

Die Beispielausgabe bestätigt die IPsec-SAs.

Überprüfen der IPsec-Statistiken

Zweck

Überprüfen Sie die IPsec-Statistiken.

Aktion

Geben Sie im Betriebsmodus den show security ipsec statistics Befehl ein, um die IPsec-Statistiken anzuzeigen.

Bedeutung

Die Beispielausgabe bestätigt die IPsec-Statistiken.

Überprüfen des Key Manager-Profils

Zweck

Überprüfen Sie das Schlüsselmanagerprofil.

Aktion

Geben Sie im Betriebsmodus den show security key-manager profiles detail Befehl ein und überprüfen Sie das Success Feld in der Request stats Option.

Bedeutung

Die Beispielausgabe bestätigt das Quantenschlüssel-Manager-Profil.

Ping von Host 1 zu Host 3

Zweck

Überprüfen Sie die Konnektivität von Host 1 zu Host 3.

Aktion

Geben Sie im Betriebsmodus den ping 192.168.90.20 source 192.168.80.20 count 5 Befehl ein, um die Konnektivität von Host 1 zu Host 3 anzuzeigen.

Bedeutung

Die Beispielausgabe bestätigt die Konnektivität von Host 1 zu Host 3.

Ping von Host 2 zu Host 3

Zweck

Überprüfen Sie die Konnektivität von Host 2 zu Host 3.

Aktion

Geben Sie im Betriebsmodus den ping 192.168.90.20 source 192.168.80.20 count 5 Befehl ein, um die Konnektivität von Host 2 zu Host 3 anzuzeigen.

Bedeutung

Die Beispielausgabe bestätigt die Konnektivität von Host 2 zu Host 3.

Anhang 1: Befehle auf allen Geräten festlegen

Stellen Sie die Befehlsausgabe auf allen Geräten ein.

Befehle auf Hub festlegen
Befehle auf Spoke 1 festlegen
Befehle auf Spoke 2 festlegen

Anhang 2: Konfigurationsausgabe im Prüfling anzeigen

Zeigen Sie die Befehlsausgabe auf dem Prüfling an.

Drehkreuz

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security pki ca-profile Root-CABefehle , show security key-manager, , show security ike proposal HUB_IKE_PROP, show security ike policy HUB_IKE_POL, show security ipsec vpn HUB_IPSEC_VPNshow security zones security-zone untrustshow security zones security-zone trustshow security ipsec policy HUB_IPSEC_POLshow security ike gateway HUB_IKE_GWshow security ipsec proposal HUB_IPSEC_PROPund show security policies from-zone trust to-zone vpnshow security policies from-zone vpn to-zone trustshow interfaces eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Speiche 1

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security pki ca-profile Root-CABefehle , show security key-manager profiles SPOKE_1_KM_PROFILE_1, , show security ike proposal SPOKE_1_IKE_PROP, show security ike policy SPOKE_1_IKE_POL, show security ipsec vpn SPOKE_1_IPSEC_VPNshow interfacesshow security zones security-zone untrustshow security ipsec policy SPOKE_1_IPSEC_POLshow security ike gateway SPOKE_1_IKE_GWshow security ipsec proposal SPOKE_1_IPSEC_PROPund show security zones security-zone trustshow security policies from-zone trust to-zone vpnshow security policies from-zone vpn to-zone trust eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.

Speiche 2

Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show security pki ca-profile Root-CABefehle , show security key-manager profiles SPOKE_1_KM_PROFILE_1, , show security ike proposal SPOKE_1_IKE_PROP, show security ike policy SPOKE_1_IKE_POL, show security ipsec vpn SPOKE_1_IPSEC_VPNshow interfacesshow security zones security-zone untrustshow security ipsec policy SPOKE_1_IPSEC_POLshow security ike gateway SPOKE_1_IKE_GWshow security ipsec proposal SPOKE_1_IPSEC_PROPund show security zones security-zone trustshow security policies from-zone trust to-zone vpnshow security policies from-zone vpn to-zone trust eingeben. Wenn die Ausgabe nicht die beabsichtigte Konfiguration anzeigt, wiederholen Sie die Konfigurationsanweisungen in diesem Beispiel, um sie zu korrigieren.