Hoofdstuk 4 Infrastructuur en integratie 43
•
Op het apparaat moet het certicaat zijn geïnstalleerd van de certicaatautoriteit die het
servercerticaat heeft ondertekend. Als dit geen rootcerticaat is, moet u de rest van de
vertrouwensketen installeren om ervoor te zorgen dat dit certicaat wordt vertrouwd.
Als u gebruikmaakt van clientcerticaten, moet u ervoor zorgen dat op de VPN-server het
certicaat is geïnstalleerd van de vertrouwde certicaatautoriteit die het clientcerticaat heeft
ondertekend. Bij gebruik van identiteitscontrole op basis van certicaten moet de server zo
zijn gecongureerd dat deze de identiteit van de gebruikersgroep kan vaststellen op basis van
velden in het clientcerticaat.
Belangrijk:De certicaten en certicaatautoriteiten moeten geldig zijn (ze mogen bijvoorbeeld
niet verlopen zijn). Het versturen van een certicaatketen door de server wordt niet ondersteund.
Instellingen en beschrijvingen van IPSec
IPSec heeft verschillende instellingen waarmee u de implementatie ervan kunt bepalen:
•
Mode: 'Tunnel Mode'.
•
IKE Exchange Modes: 'Aggressive Mode' voor hybride identiteitscontrole en controle op basis van
een vooraf gedeelde sleutel, of 'Main Mode' voor identiteitscontrole op basis van certicaten.
•
Encryption Algorithms: 3DES, AES-128 of AES256.
•
Authentication Algorithms: HMAC-MD5 of HMAC-SHA1.
•
Die-Hellman Groups: 'Group 2' is vereist voor hybride identiteitscontrole en controle op basis
van een vooraf gedeelde sleutel. 'Group 2' met 3DES en AES-128 voor identiteitscontrole met
certicaten. 'Group 2' of 'Group 5' met AES-256.
•
PFS (Perfect Forward Secrecy): Voor IKE fase 2 moet bij gebruik van PFS dezelfde Die-Hellman-
groep worden gebruikt als voor IKE fase 1.
•
Mode Conguration: Moet zijn ingeschakeld.
•
Dead Peer Detection: Aanbevolen.
•
Standard NAT Traversal: Wordt ondersteund en kan worden ingeschakeld (IPSec via TCP wordt
niet ondersteund).
•
Load Balancing: Wordt ondersteund en kan worden ingeschakeld.
•
Rekeying of Phase 1: Wordt momenteel niet ondersteund. U wordt aangeraden om het interval
voor re-keying op de server in te stellen op één uur.
•
ASA Address Mask: Zorg ervoor dat alle adrespoolmaskers van apparaten hetzij niet zijn
ingesteld, hetzij zijn ingesteld op 255.255.255.255. Bijvoorbeeld:
asa(config-webvpn)# ip local pool vpn_users 10.0.0.1-10.0.0.254 mask
255.255.255.255.
Wanneer u dit aanbevolen adresmasker gebruikt, worden sommige routes die door de VPN-
conguratie worden verondersteld, mogelijk genegeerd. Om dit te voorkomen, zorgt u ervoor
dat uw routeringstabel alle benodigde routes bevat en controleert u of de subnetadressen
toegankelijk zijn voordat u een en ander implementeert.
•
Application Version: Informatie over de softwareversie op de client wordt naar de server
gestuurd, zodat de server verbindingen kan toestaan of weigeren op basis van de softwareversie
op het apparaat.
•
Banner: Als de banner op de server is gecongureerd, wordt deze op het apparaat weergegeven.
De gebruiker kan de banner vervolgens accepteren of de verbinding verbreken.
•
Split Tunnel: Ondersteund.
•
Split DNS: Ondersteund.
•
Default Domain: Ondersteund.
