이 예에서는 보안 디바이스에서 암호화를 활성화하는 절차를 제공합니다.
이 절차에서는 섀시 클러스터의 두 노드 간 메시지를 암호화하기 위해 control-link를 선택적으로 구성할 수 있는 방법에 대한 단계를 제공합니다. 이 구성은 구성된 내부 SA(IPsec 보안 연결)를 사용하여 안전한 로그인을 보장합니다.
내부 IPsec SA가 구성되면 공격자가 권한 있는 액세스 권한을 얻거나 관리자 명령 및 출력이 포함된 트래픽을 관찰할 수 없도록 IPsec 기반 rlogin 및 원격 명령(rcmd)이 적용됩니다.
구성이 커밋될 때 노드가 동기화되므로 두 노드 모두에서 내부 IPsec SA를 구성할 필요가 없습니다.
- 섀시 클러스터에서 제어 링크 암호화를 활성화하려면 다음 명령을 실행합니다.
유일하게 지원되는 암호화 알고리즘은 3des-cbc이며 키의 길이는 정확히 24바이트여야 합니다. 그렇지 않으면 구성으로 인해 커밋이 실패합니다.
edit security ipsec internal security-association
root@srx-8# show | display set
set security ipsec internal security-association manual encryption algorithm 3des-cbc
set security ipsec internal security-association manual encryption ike-ha-link-encryption enable
set security ipsec internal security-association manual encryption key ascii-text "$9$8gPx-b4aU.PQs2PQFnpu8X7dsgGUHPT3.Pu1EhvMwYgJjq3n9CpBFntOREeKZGDj.fu01hcr"
- 구성을 커밋합니다.
{primary:node0} [edit] root@srx-8# commit
warning: changes needs reboot to take effect
warning: changes needs reboot to take effect
node0: commit complete
node1: commit complete
설정이 올바르게 구성되고 커밋된 후 기능을 적용하려면 다시 부팅해야 합니다.
- 재부팅 전과 재부팅 후의 제어 링크 암호화 구성을 확인합니다.
Before reboot, the status of this feature is disabled.
show security internal-security-association
node0:
--------------------------------------------------------------------------
Internal SA Status : Disabled
HA link encryption for IKE internal message status: Disabled
node1:
--------------------------------------------------------------------------
Internal SA Status : Disabled
HA link encryption for IKE internal message status: Disabled
After reboot, to ensure that the encryption is active
show security internal-security-association
{primary:node0}
root@srx-8> show security internal-security-association
node0:
--------------------------------------------------------------------------
Internal SA Status : Enabled
HA link encryption for IKE internal message status: Enabled
node1:
--------------------------------------------------------------------------
Internal SA Status : Enabled
HA link encryption for IKE internal message status: Enabled
