CSP VPN Client

CSP VPN Client обеспечивает защиту трафика между сетевыми узлами с установленным программным обеспечением семейства CSP VPN, а также пакетную фильтрацию трафика. CSP VPN агенты являются частью решения по безопасности Cisco, адаптированного к российским стандартам информационной безопасности, и предназначены для использования в рамках идеологии CiscoSAFE. Клиент может быть предварительно сконфигурирован для массового развертывания с помощью технологии установки одним нажатием кнопки (One-Click-Installation). После этого формирование политики доступа к ресурсам сети реализуется на CSP VPN Gate. Конфигурирование политики клиента может быть осуществлено с помощью графического интерфейса административного пакета. При необходимости более тонкого конфигурирования предоставляется возможность создания политики клиента в терминах локальной политики безопасности (LSP), являющейся внутренним представлением конфигурации CSP VPN агентов.

Программное обеспечение CSP VPN Client представляет собой Агента Безопасности под управлением операционных систем MS Windows 2000 Professional (SP4), MS Windows XP Professional (SP2), MS Windows XP Home Edition (SP2).

CSP VPN Client совместим со следующими продуктами компаний Cisco и S-Terra CSP:

Cisco Routers. IOS version 12.2(13)T5 и выше
Cisco PIX Security Appliance. Software version 6.3 и выше
CSP VPN Server
CSP VPN Gate - 100B/100/1000/3000/7000/NME-RVPN

Характеристики

MS Windows 2000 Professional, MS Windows XP Professional, MS Windows XP Home Edition
Поддержка One-Click-Installation (OCI) пакета с использованием Windows Installer (MSI)
Подготовка OCI пакета с помощью графического пакета администратора
Интеллектуальное обнаружение доступности узла сети (DPD)
Аутентификация пользователя CSP VPN Client при старте операционной системы и программного продукта
Возможность выбора одной из предварительно загруженных политик безопасности после аутентификации пользователя CSP VPN Client
Интегрированный межсетевой экран
Поддержка открытого интерфейса подключения криптографических модулей
Возможность аутентификации на базе RADIUS/TACACS серверов (Xauth клиент)
Возможность работы мобильного пользователя в соответствии с политикой безопасности внутрикорпоративной сети (IKE-CFG клиент)
Обеспечение защиты трафика на уровне аутентификации/шифрации сетевых пакетов по протоколам IPSec AH и/или IPSec ESP
Поддержка транспортного и туннельного режимов работы в рамках протоколов IPSec
Обеспечение пакетной фильтрации трафика с использованием информации в полях заголовков сетевого и транспортного уровней
Возможность получения сертификатов открытых ключей по протоколу LDAP
Управляемое событийное протоколирование (syslog)
Мониторинг глобальной статистики по протоколу SNMP, совместимость с CiscoWorks Monitoring Center for Performance 2.0.2, входящего в состав CiscoWorks VMS 2.3
Прозрачность для работы сервиса QoS
Поддержка инкапсуляции пакета ESP в UDP (NAT traversal)
Совместимость с PKI и LDAP службами зарубежных и российских производителей (RSA Keon, Microsoft, SunONE, КриптоПро, Валидата и Сигнал-КОМ)

Спецификация продукта

Описание	Спецификация
Операционные системы	MS Windows 2000 Professional (SP4), MS Windows XP Professional (SP2), MS Windows XP Home Edition (SP2)
Протоколы IKE/IPsec	Стандарты RFC 2401 - 2412
Алгоритмы шифрования	NULL, DES-CBC (IV32), 3DES-K168-CBC, IDEA-CBC, AES-K128-CBC, AES-K192-CBC, AES-K256-CBC, ГОСТ 28147-89
Алгоритмы электронно - цифровой подписи	DSA, RSA, ГОСТ Р 34.10-94, ГОСТ Р 34.10-2001
Алгоритмы вычисления хэш сумм	MD5, SHA1, ГОСТ Р 34.11-94
Подключение внешних криптографических модулей	Возможность встраивания криптобиблиотек в соответствии с RFC 2628. Подключаются модули прикладного уровня и уровня ядра операционной системы. В состав входят: тестовый модуль для подключения западных криптоалгоритмов; модуль для подключения криптобиблиотеки СКЗИ КриптоПро CSP 2.0, 3.0 (производитель – компания КриптоПро), реализующей российские криптографические алгоритмы и функции; модуль для подключения криптобиблиотеки СКЗИ Крипто-Ком 3.1 (производитель – компания Сигнал КОМ), реализующей российские криптографические алгоритмы и функции
Информационные обмены протокола IKE	Main mode, Aggressive mode, Quick mode, Transaction Exchanges, Informational Exchanges
Режимы аутентификации в протоколе IKE	Preshared key, RSA digital signature, DSA digital signature, ГОСТ Р 34.10-94, ГОСТ Р 34. 10-2001
Дополнительные методы аутентификации	XAUTH< v.6
Обеспечение надежности (пересинхронизации) защищенных соединений	Dead Peer Detection (DPD) протокол (draft-ietf-ipsec-dpd-04)
Событийное протоколирование	Syslog
Сбор статистики	SNMP v.1, v.2c
Формат сертификатов публичных ключей	X.509 v.3 (RSA, DSA, ГОСТ)
Формат запроса на регистрацию сертификата при генерации ключевой пары (RSA/DSA) продуктом	Certificate Enrollment Request (CER), упакованный в PKCS#10 base 64 или bin формат
Способы получения сертификатов	Протоколы IKE, LDAP v.3 Импорт из файла (bin и base64, PKCS#7 bin и base64, PKCS#12 bin и base64)
Способ получения ключевой пары	Генерация продуктом с выдачей CER Генерация внешним PKI сервисом с доставкой через PKSC#12, контейнеры КриптоПро или Крипто КОМ
Поддержка списка отозванных сертификатов	Обработка Certificate Revocation List (CRL) опциональна Поддерживается CRL v.2. Способ получения CRL – протокол LDAP v.3
Работа через NAT	Поддержана NAT Traversal Encapsulation (инкапсуляция IPsec в UDP) в соответствии с NAT-T по draft-ietf-ipsec-nat-t-ike-03(02) и draft-ietf-ipsec-udp-encaps-03(02)