この例では、セキュリティ デバイスの暗号化を有効にする手順を示します。
この手順では、シャーシ クラスタ内の2つのノード間のメッセージを暗号化するために、オプションで制御リンクを設定する方法について説明します。この構成により、構成された内部 IPsec セキュリティ アソシエーション (SA) を使用して、セキュリティで保護されたログインが保証されます。
内部IPsec SAが設定されると、IPsecベースのrloginとリモートコマンド(rcmd)が適用されるため、攻撃者は特権アクセスを取得したり、管理者のコマンドや出力を含むトラフィックを監視することはできません。
内部 IPsec SA は、設定のコミット時にノードが同期されるため、両方のノードで設定する必要はありません。
- シャーシ クラスタで制御リンクの暗号化を有効にするには、次のコマンドを実行します。
サポートされている唯一の暗号化アルゴリズムは 3des-cbc で、鍵の長さは正確に 24 バイトでなければなりません。そうでなければ、設定はコミット失敗につながります。
edit security ipsec internal security-association
root@srx-8# show | display set
set security ipsec internal security-association manual encryption algorithm 3des-cbc
set security ipsec internal security-association manual encryption ike-ha-link-encryption enable
set security ipsec internal security-association manual encryption key ascii-text "$9$8gPx-b4aU.PQs2PQFnpu8X7dsgGUHPT3.Pu1EhvMwYgJjq3n9CpBFntOREeKZGDj.fu01hcr"
- 設定をコミットします。
{primary:node0} [edit] root@srx-8# commit
warning: changes needs reboot to take effect
warning: changes needs reboot to take effect
node0: commit complete
node1: commit complete
設定が正しく構成され、コミットされた後、機能を有効にするには再起動が必要になります。
- 再起動前と再起動後の制御リンク暗号化の設定を表示します。
Before reboot, the status of this feature is disabled.
show security internal-security-association
node0:
--------------------------------------------------------------------------
Internal SA Status : Disabled
HA link encryption for IKE internal message status: Disabled
node1:
--------------------------------------------------------------------------
Internal SA Status : Disabled
HA link encryption for IKE internal message status: Disabled
After reboot, to ensure that the encryption is active
show security internal-security-association
{primary:node0}
root@srx-8> show security internal-security-association
node0:
--------------------------------------------------------------------------
Internal SA Status : Enabled
HA link encryption for IKE internal message status: Enabled
node1:
--------------------------------------------------------------------------
Internal SA Status : Enabled
HA link encryption for IKE internal message status: Enabled
