В современных условиях для эффективной работы организации требуется обеспечение передачи информации между удаленными подразделениями и постоянный доступ к корпоративным сервисам из любой точки земного шара. Для защиты информации при ее передаче по общедоступным каналам связи была разработана технология VPN (Virtual Private Network, виртуальные частные сети). По сути при использовании VPN происходит обмен информацией с удаленной локальной сетью по виртуальному каналу через Интернет с имитацией частного подключения «точка-точка» (создается зашифрованный VPN туннель или целая VPN сеть).

Так как технология VPN включает в себя криптографию (шифрование), то, в соответствии с законами Российской Федерации, на территории России возможно использование криптографических средств (криптомаршрутизатор/криптошлюз/VPN шлюз) следующих типов:

• западная криптография (длина ключа до 56* бит включительно);
• западная криптография (длина ключа от 56 бит) - с уведомлением заказчиком ФСБ России;
• российская криптография (ГОСТ 28147—89, ГОСТ 34.10—2012, ГОСТ 34.11—2012).

В ответ на требования рынка и законодательства по криптографическим средствам компания «АльтЭль» встроила в VPN шлюз ALTELL NEO криптографическое ядро собственной разработки на базе алгоритма ГОСТ 28147—89. Это позволяет использовать ALTELL NEO для объединения удаленных филиалов в единую VPN сеть, предоставления доступа к локальной сети организации с мобильных сотрудников (с помощью ПО ALTELL VPN клиент для мобильных устройств) к ресурсам компании и обмену данными между филиалами и контрагентами в защищенном режиме. Широкий модельный ряд ALTELL NEO удовлетворяет потребности в безопасном объединении компаний любого размера: как небольшого удаленного офиса, так и головного подразделения крупного холдинга с штатом в несколько тысяч сотрудников.

Как криптошлюз ALTELL NEO позволяет организовать подключение удаленных пользователей по защищенному каналу (через VPN туннель) к локальной сети организации без снижения уровня ее защищенности. Пользователям может быть разрешен доступ только к определенным серверам или отдельным службам. Для удаленной работы на мобильных устройствах должен быть установлен VPN клиент.

Топология

Ниже представлена схема организации VPN соединения между филиалами компании с помощью криптомаршрутизатора ALTELL NEO (рис. 1). VPN туннель строится на основе отечественных или западных криптоалгоритмов (ГОСТ/AES128 по протоколам IPsec или OpenVPN). Внутри VPN туннеля может передаваться трафик из конвергентных сетей: данные, голос, видео.

Рис.1 Организация соединения VPN между филиалами.

На рисунке 2 представлена схема организации VPN соединения с удаленными пользователями. На мобильных устройствах установлен VPN клиент, с помощью которого пользователь получает защищенный доступ в сеть организации.

Рис.2 Организация VPN соединения с мобильными пользователями.

В настоящее время VPN шлюз ALTELL NEO поддерживает следующие типы VPN соединений:

Преимущества

• возможность доступа к внутренним ИТ-ресурсам предприятия из удаленных филиалов;
• защита трафика с помощью отечественных или западных криптоалгоритмов (ГОСТ/AES128 по протоколам IPsec или OpenVPN);
• бесперебойность работы за счет организации схемы с резервным провайдером или применения резервных маршрутизируемых колец в топологии;
• организация схемы высокой доступности;
• возможность защищенной работы во внутренней сети предприятия отдельных единичных пользователей из домашнего офиса или любой точки интернета;
• фильтрация нежелательного трафика в VPN-канале;
• возможность выделения защищенных сегментов в существующих сетях;
• неизменность существующей ИТ-инфраструктуры;
• масштабируемая VPN сеть;
• широкий спектр средств построения VPN сети;
• быстрое развертывание и первоначальная настройка;
• простота эксплуатации системы.

Сертификаты

Криптошлюз ALTELL NEO обладает всеми необходимыми сертификатами для использования в качестве средства защиты информации, в том числе сертификаты ФСТЭК России по классам МЭ2/МЭ3/МЭ4 и НДВ2/НДВ3, позволяющие использовать этот VPN шлюз для защиты автоматизированных систем до класса 1Б включительно и создания защищенных ИСПДн в соответствии с 152-ФЗ «О персональных данных» до класса К1 включительно.

Бесплатное тестирование

Все модели ALTELL NEO доступны для тестирования в вашей организации совершенно бесплатно. Для получения интересующей вас модели необходимо заполнить заявку. Вы также можете подобрать конфигурацию устройства (дополнительная память, модули расширения, версия ПО и т. д.) и рассчитать приблизительную цену устройства с помощью

Криптошлюзы (VPN-шлюзы, VPN-маршрутизаторы или крипто-маршрутизаторы) выполняют функции обеспечения конфиденциальности данных пользователя путём их шифрования и функции контроля целостности сообщений пользователя на выходе из ГСПД при помощи аутентификаторов сообщений. Центр управления ВЧС выполняет функции мониторинга и управления работой криптошлюзов, а также отвечает за распределение криптографических ключей между ними. В состав ВЧС могут входить отдельные рабочие станции пользователей, ЛВС и другие АС.

В настоящее время существует четыре метода построения криптошлюзов ВЧС:

На базе сетевых операционных систем со встроенными функциями организации ВЧС;

На базе маршрутизаторов/коммутаторов, ПО которых имеет функции построения ВЧС;

На базе МЭ, в ПО которых интегрированы функции по построению ВЧС;

На базе специализированного программно-аппаратного обеспечения, предназначенного только для построения ВЧС.

В рамках ВЧС все данные, как правило, передаются по так называемым «туннелям» , которые представляют собой виртуальное соединение между двумя криптошлюзами ВЧС. Алгоритм передачи сообщений через туннель ВЧС выглядит следующим образом. Перед отправкой сообщений пользователя через туннель криптошлюз их зашифровывает, вычисляет для них аутентификатор, после чего сообщения инкапсулируются (переупаковываются) в новые сообщения, которые и передаются по туннелю. При этом в поле заголовка «Адрес получателя» сформированного сообщения указывается адрес криптошлюза, а не адрес АС пользователя которому на самом деле предназначается сообщение, что позволяет скрыть истинные адреса субъектов соединения. После передачи сообщений на другом конце туннеля криптошлюз извлекает полученные данные, расшифровывает их, проверяет их целостность, после чего данные передаются адресатам. Такой способ передачи сообщений принято называть «туннелированием» . Схема туннелирования сообщений пользователя изображена на рис. 19.2.

Рисунок 19.2 - Схема туннелирования сообщений пользователя

Взаимодействие между криптошлюзами ВЧС реализуется при помощи протоколов специального типа, называемых криптопротоколами. Криптопротоколы могут быть реализованы на различных уровнях модели ВОС (табл. 19.1).

Таблица 19.1. Криптопротоколы различных уровней модели ВОС

В настоящее время наиболее часто для построения ВЧС используется криптопротокол IPSec , спецификация которого является частью базового стандарта шестой версии протокола IP, посредством которого реализуются функции уровня межсетевого взаимодействия стека протоколов TCP/IP.

Континент-К
Аппаратно-программный комплекс

В современных информационных системах (ИС) в последнее время широкое распространение получили виртуальные частные сети (Virtual Private Network - VPN).

Технология VPN позволяет формировать виртуальные защищенные каналы связи в сетях общего пользования (например, Internet), гарантирующие конфиденциальность и достоверность информации. VPN-сеть представляет собой объединение локальных сетей (ЛВС) или отдельных компьютеров, подключенных к сети общего пользования, в единую защищенную виртуальную сеть.

Растущий интерес к данной технологии обусловлен следующими факторами:

• низкой стоимостью эксплуатации за счет использования сетей общего пользования вместо собственных или арендуемых линий связи;
• практически неограниченной масштабируемостью;
• простотой изменения конфигурации и наращивания корпоративной сети;
• "прозрачностью" для пользователей и приложений.

Переход от распределенной корпоративной сети на базе выделенных каналов к VPN на основе сетей общего пользования позволяет существенно снизить эксплуатационные расходы.

Но использование сетей общего пользования для организации VPN предъявляет дополнительные требования к обеспечению защиты информационных ресурсов предприятия от несанкционированного доступа (НСД).

Для надежной защиты информации в VPN предназначен аппаратно-программный комплекс "Континент-К", разработанный НИП "Информзащита". Этот комплекс обеспечивает защиту конфиденциальной информации в корпоративных VPN-сетях, использующих протоколы семейства TCP/IP. В качестве составных частей VPN могут выступать ЛВС предприятия или их отдельные фрагменты.

Аппаратно-программный комплекс "Континент-К" обеспечивает:

• защиту внутренних сегментов сети от несанкционированного доступа со стороны пользователей сетей общего пользования;
• скрытие внутренней структуры защищаемых сегментов сети;
• криптографическую защиту данных, передаваемых по каналам связи сетей общего пользования между защищаемыми сегментами сети (абонентскими пунктами);
• безопасный доступ пользователей VPN к ресурсам сетей общего пользования;
• централизованное управление настройками VPN-устройств сети.

В настоящее время комплекс "Континент-К" сертифицирован Гостехкомиссией России по 3 классу защищенности для межсетевых экранов (Сертификат Гостехкомиссии России № 352 от 28.08.2000 г.). По результатам сертификационных испытаний в ФАПСИ получено положительное заключение о соответствии комплекса требованиям, предъявляемым к средствам криптографической защиты конфиденциальной информации класса КС2 (письмо командира в/ч 43753-Ф от 13.07.01 г.).

2.1. СОСТАВ КОМПЛЕКСА

Комплекс "Континент-К" включает в свой состав следующие компоненты:

• центр управления сетью криптографических шлюзов;
• криптографический шлюз;
• программа управления сетью криптографических шлюзов;
• сервер доступа;
• абонентский пункт;
• программа управления сервером доступа.

Центр управления сетью (ЦУС) осуществляет управление работой всех (КШ), входящих в состав виртуальной сети. ЦУС осуществляет контроль за состоянием всех зарегистрированных КШ, проводит рассылку ключевой информации, предоставляет администратору функции удаленного управления КШ, обеспечивает получение и хранение содержимого системных журналов КШ, а также ведение журнала событий НСД.

Криптографический шлюз (КШ) обеспечивает криптографическую защиту информации при ее передаче по открытым каналам сетей общего пользования и защиту внутренних сегментов сети от проникновения извне.

Программа управления обеспечивает отображение состояний КШ, просмотр содержимого системных журналов КШ, изменение настроек маршрутизации и правил фильтрации пакетов.

Абонентский пункт (АП) осуществляет доступ удаленных пользователей к ресурсам защищаемых сетей по выделенным и коммутируемым каналам связи.

Сервер доступа обеспечивает связь между удаленным абонентским пунктом и защищаемой сетью, проводит идентификацию и аутентификацию пользователя, определяет его уровень доступа.

Программа управления сервером доступа (ПУ СД) обеспечивает настройку Сервера доступа, регистрацию пользователей АП и установку прав доступа пользователей АП к ресурсам защищаемых сетей, а также мониторинг подключенных пользователей АП.

2.2. КЛЮЧЕВАЯ СИСТЕМА

В аппаратно-программном комплексе используется симметричная ключевая система. Криптографическое соединение между КШ в сети осуществляется на ключах парной связи. Шифрование каждого пакета производится на индивидуальном ключе, который формируется из ключа парной связи. Для шифрования данных используется алгоритм ГОСТ 28147-89 в режиме гаммирования с обратной связью. Имитозащита данных осуществляется с использованием алгоритма ГОСТ 28147-89 в режиме имитовставки.

Ключи парной связи генерируются центром управления сетью для каждого КШ сети. Передача ключей на КШ с ЦУС производится по защищенному каналу связи (на ключе связи с ЦУС). В качестве ключевого носителя для ключа связи с ЦУС используется дискета.

Ключи парной связи хранятся на диске в зашифрованном виде (на ключе хранения). Ключ хранения находится в защищенной энергонезависимой памяти ЭЗ "Соболь".

Для защиты соединения между управляющей консолью и ЦУС используется специальный административный ключ. Этот ключ хранится на ключевом диске администратора системы.

Плановая смена ключей на КШ осуществляется из ЦУС по каналу связи в защищенном виде на ключе связи с ЦУС.

АПК "Континент-К" использует протокол криптографической защиты разработки НИП "Информзащита". Он разработан на основе известного протокола IPSec. Разработчикам удалось существенно снизить накладные расходы при туннелировании трафика. Они составляют от 26 до 36 байт на пакет (в зависимости от режимов сжатия пакета) против 86 байт у IPSec.

Это преимущество позволяет использовать "Континент-К" в сетях, использующих короткие IP пакеты, например, IP-телефонии или передачи трафика телеконференций.

3.1. КРИПТОГРАФИЧЕСКИЙ ШЛЮЗ

Криптографический шлюз представляет собой специализированное программно-аппаратное устройство, функционирующее под управлением ОС FreeBSD в сокращенной версии, обеспечивающей высокий уровень безопасности.

Криптошлюз обеспечивает:

• прием и передачу пакетов по протоколам семейства TCP/IP (статическая маршрутизация);
• шифрование передаваемых и принимаемых IP-пакетов (ГОСТ 28147-89, режим гаммирования с обратной связью);
• сжатие защищаемых данных;
• защиту данных от искажения (ГОСТ 28147-89, режим имитовставки);
• фильтрацию IP-пакетов в соответствии с заданными правилами фильтрации;
• скрытие внутренней структуры защищаемого сегмента сети;
• криптографическую аутентификацию удаленных абонентов (при установлении на КШ сервера доступа);
• периодическое оповещение ЦУС о своей активности;
• регистрацию событий, связанных с работой КШ;
• оповещение администратора в режиме реального времени о событиях, требующих оперативного вмешательства;
• идентификацию и аутентификацию администратора при запуске КШ (средствами ЭЗ "Соболь");
• контроль целостности программного обеспечения КШ до загрузки операционной системы (средствами ЭЗ "Соболь").

Обработка исходящих IP-пакетов представлена на Рис.4. Все IP-пакеты, поступившие от внутренних абонентов защищаемого сегмента, вначале подвергаются фильтрации.

Фильтрация IP-пакетов осуществляется в соответствии с установленными администратором правилами на основе IP-адресов отправителя и получателя, допустимых значений полей заголовка, используемых портов UDP/TCP и флагов TCP/IP-пакета. Если пакет не удовлетворят правилам фильтрации, он отвергается. Отправитель пакета получает ICMP-сообщение о недоступности абонента.

При установке КШ автоматически генерируются правила, необходимые для обеспечения защищенного взаимодействия с ЦУС, корректной работы механизма маршрутизации пакетов, обработки управляющего трафика коммуникационного оборудования и обеспечения возможности начала работы VPN-функций без дополнительного конфигурирования.

IP-пакеты, удовлетворяющие правилам фильтрации, обрабатываются блоком криптографической защиты и передаются на внешний интерфейс КШ. КШ-отправитель обеспечивает его сжатие, зашифрование и имитозащиту, инкапсуляцию в новый IP-пакет, в котором в качестве IP-адреса приемника выступает IP-адрес КШ-получателя, а в качестве IP-адреса источника выступает IP-адрес КШ-отправителя.

IP-пакеты, адресованные абонентам, внешним по отношению к VPN-сети (Web-сайты, ftp-серверы), передаются в открытом виде. Это позволяет использовать КШ при доступе к общедоступным ресурсам сетей общего пользования в качестве межсетевого экрана пакетного уровня.

Входящие IP-пакеты от открытых абонентов блоком криптографической защиты не обрабатываются и поступают непосредственно в фильтр IP-пакетов.

Для пакетов, полученных от абонентов VPN, блок криптографической защиты осуществляет проверку целостности и расшифровывает их, после чего пакеты поступают в фильтр IP-пакетов. Если целостность пакета нарушена, то он отбрасывается без расшифрования и без оповещения отправителя, с генерацией сообщения о НСД.

IP-пакеты, удовлетворяющие правилам фильтрации, передаются через внутренний интерфейс внутренним абонентам.

Криптографический шлюз осуществляет регистрацию следующих событий:

• загрузку и инициализацию системы и ее программный останов;
• вход (выход) администратора КШ в систему (из системы);
• запросы на установление виртуальных соединений между криптошлюзами, между КШ и Центром управления;
• результат фильтрации входящих/исходящих пакетов;
• попытки НСД;
• любые внештатные ситуации, происходящие при работе КШ;
• информацию о потере и восстановлении связи на физическом уровне протоколов.

Перечень регистрируемых событий при эксплуатации КШ определяется администратором. При регистрации события фиксируются:

• дата, время и код регистрируемого события;
• адрес источника и адрес получателя (при фильтрации), включая порты протоколов IP,TCP, UDP;
• результат попытки осуществления регистрируемого события - успешная или неуспешная (или результат фильтрации);
• идентификатор администратора КШ, предъявленный при попытке осуществления регистрируемого события (для событий локального/удаленного управления).

Оповещение о событиях, требующих вмешательства администратора, осуществляется по протоколу SNMP. Оповещения передаются в открытом виде на ЦУС, откуда могут быть получены консолью управления. Криптографический шлюз обеспечивает сжатие передаваемых данных об однотипных событиях.

Локальная сигнализация о событиях, требующих вмешательства администратора, осуществляется путем вывода соответствующих сообщений на монитор криптошлюза.

Технические характеристики

• Общая пропускная способность КШ (имитовставка, шифрование, туннелирование) - 30 Мбит/с (Celeron/500).
• Увеличение размера пакета - 26-36 байт (в зависимости от степени сжатия пакета).
• Максимальное количество КШ в сети с одним ЦУС - не более 5000;
• Максимальное количество установленных программ управления - не ограничено;

Комплектация криптографического шлюза
Предусматривается три варианта комплектации криптографического шлюза:

• На базе стандартного IBM-совместимого компьютера;
• На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 2U.
• На базе промышленного компьютера, предназначенного для монтажа в 19" стойку 4U.

Независимо от комплектации в состав криптографического шлюза входят:

• плата Электронного замка "Соболь";
• считыватель Touch Memory;
• электронные идентификаторы Touch Memory DS1992 (2 шт);
• сетевые платы Ethernet (от 2 до 16 портов).

3.2. ЦЕНТР УПРАВЛЕНИЯ СЕТЬЮ

Центр управления сетью осуществляет управление работой всех КШ, входящих в состав системы защиты. ЦУС осуществляет контроль состояния всех зарегистрированных КШ, проводит рассылку ключевой информации, предоставляет администратору функции удаленного управления КШ, обеспечивает получение и хранение содержимого системных журналов КШ, а также ведение журнала событий НСД. ЦУС обеспечивает:

• аутентификацию КШ и консолей управления;
• контроль текущего состояния всех КШ системы;
• хранение информации о состоянии системы защиты (сети КШ);
• централизованное управление криптографическими ключами и настройками каждого КШ сети;
• взаимодействие с программой управления;
• регистрацию событий по управлению и изменению параметров КШ;
• получение журналов регистрации от всех имеющихся КШ и их хранение.

Программное обеспечение ЦУС устанавливается на одном из КШ защищаемой сети.

3.4. ПРОГРАММА УПРАВЛЕНИЯ

Программа управления предназначена для централизованного управления всеми КШ, работающими под управлением одного ЦУС. Эта программа позволяет:

• отображать информацию о текущем состоянии всех имеющихся КШ;
• добавлять в систему новые КШ, изменять сведения о существующих КШ или удалять КШ;
• централизованно управлять настройками КШ;
• управлять правилами маршрутизации КШ;
• управлять ключами шифрования;
• анализировать содержание журналов регистрации КШ.

Программа управления предназначена для работы на компьютерах, оснащенных процессорами семейства Intel x86 или совместимых с ними, и функционирующих под управлением ОС Windows NT 4.0 (Service Pack 4 и выше), Windows 2000. На этих компьютерах должны быть установлены компоненты, обеспечивающие работу с сетевыми протоколами семейства TCP/IP.

Аппаратно-программный комплекс "Континент-К" отличает:

• эффективная и надежная защита информации в гетерогенных сетях;
• отсутствие вмешательства в существующие технологии обработки информации, полная прозрачность для приложений и пользователей;
• централизованное управление настройками системы и оперативный мониторинг ее состояния;
• совмещение в одном устройстве функций межсетевого экрана и криптографического маршрутизатора;
• возможность разграничивать доступ от нескольких внутренних защищаемых сегментов;
• удобный графический интерфейс программы управления;
• простота в настройке и обслуживании.

3.4. СЕРВЕР ДОСТУПА

Сервер доступа - программное обеспечение, позволяющее устанавливать защищенное соединение с удаленными абонентами. Сервер доступа (СД) устанавливается на один из криптошлюзов "Континент-К". После запроса на соединение СД проводит идентификацию и аутентификацию удаленного пользователя, и определяет его уровень доступа, устанавливаемый администратором "Континент-К". На основании этой информации осуществляется подключение абонента к ресурсам сети. СД позволяет осуществить до 500 одновременных сеансов связи с удаленными пользователями.

В системе используется аутентификация пользователей при помощи сертификатов открытых ключей. В дальнейшем планируется разработка программного обеспечения, реализующего технологию PKI при использовании сторонних сертификационных центров.

Сервер доступа предустанавливается на ЦУС и КШ, что позволяет организовывать гибкую схему подключения абонентских пунктов к сегментам защищаемой сети.

Управление настройками СД, выработка правил и ключевой информации для абонентов осуществляется через программу управления.

3.4. АБОНЕНТСКИЙ ПУНКТ.

Абонентский пункт (АП) - программное обеспечение, позволяющее удаленному пользователю связываться по защищенному каналу с сетью АПК "Континент-К". АП устанавливается на компьютер клиента и позволяет осуществить:

• удаленный доступ к ресурсам защищаемой сети по шифрованному каналу
• функционирование под управлением ОС Windows 95/98/NT/2000
• связь с сервером доступа "Континент-К" со скоростью до 2 Мб/с в шифрующем режиме
• идентификацию и аутентификацию пользователя
• функционирование с динамическим распределением IP адресов - возможность удаленного доступа мобильных пользователей

Основу криптографической системы абонентского пункта составляет Средство криптографической защиты информации "КриптоПро CSP", сертифицированное ФАПСИ (Сертификат соответствия ФАПСИ СФ/124-0460 от 20.04.01 г.).

Установка и конфигурирование абонентского пункта непосредственно на рабочем месте включает:

• установку программного обеспечения СКЗИ "КриптоПро CSP" и абонентского пункта
• определение места хранения ключевых материалов;
• указания IP-адреса сервера доступа (одного или нескольких), с которым устанавливается защищенное взаимодействие.

Информация о правилах фильтрации и правах доступа передается на абонентский пункт с сервера доступа. Абонентский пункт обеспечивает прозрачный для прикладных программ обмен с защищенными сегментами сети.

4.1. СОЗДАНИЕ КОРПОРАТИВНОЙ VPN

АПК "Континент-К" является средством создания виртуальных частных сетей на основе сетей TCP/IP. В качестве транспортной среды может быть использована любая сеть, работающая по протоколу TCP/IP, например, Интернет. Такой вариант существенно дешевле использования сети на основе выделенных каналов при сохранении высокого уровня безопасности.

При связывании локальных сетей предприятия "Континент-К", как правило, подключается к LAN порту внешнего маршрутизатора. К внутренним портам криптошлюза подключаются локальные сети предприятия. Наличие нескольких внутренних интерфейсов позволяет гибко осуществлять изменение конфигурации сети. Одним из вариантов, повышающих общую безопасность сети, является вынос управляющих консолей для "Континент-К", для управления маршрутизатором и т.д. на отдельный внутренний интерфейс КШ.

При создании VPN на основе "Континент-К" через внешние сети по умолчанию пропускается только зашифрованный трафик. Администратор может создавать на криптошлюзе правила, разрешающие прохождение трафика наружу в открытом виде, т.е. возможность работать с внешними ресурсами - серверами, web-хостами и т.д. (Схема 2) Администратор также может управлять разграничением доступа между подсетями, если они связаны только через "Континент-К". Таким образом, можно разделять трафик между разными подразделениями, как это показано на примере (Схема 3)

4.2. ЗАЩИЩЕННОЕ УПРАВЛЕНИЕ МАРШРУТИЗАТОРАМИ

АПК "Континент-К" позволяет также реализовать функцию защищенного управления удаленными маршрутизаторами. Управление ведется "реверсным" методом, когда управляющий трафик, зашифрованный в ядре, проходит через маршрутизатор на "Континент-К", где расшифровывается и направляется обратно на маршрутизатор (Схема 4). Таким образом, открытый трафик не проходит через сеть общего пользования (исходим из того, что кабель между "Континент-К" и маршрутизатором контролируется администратором. На практике, как правило, они находятся рядом).

4.3. УДАЛЕННЫЙ ДОСТУП ПО ЗАЩИЩЕННОМУ КАНАЛУ.

АПК "Континент" позволяет осуществлять защищенный доступ удаленных абонентов к ресурсам VPN. Доступ производится при помощи специальной программы - абонентского пункта устанавливаемой на компьютер пользователя. Запрос на соединение осуществляется на сервере доступа , установленном на одном из криптошлюзов. Сервер доступа проводит идентификацию и аутентификацию пользователя, и осуществляет его связь с ресурсами защищаемой сети (Схема 5).

Данную схему выгодно используется, когда требуется связь с офисом мобильных сотрудников через Интернет. Для организации доступа достаточно установить АП на любой компьютер, например, ноутбуке, и получить доступ в Интернет.
АПК "Континент-К" позволяет создавать виртуальные частные сети, обладающие большими возможностями в конфигурировании и управлении. При помощи "Континент-К" реализуются функции передачи шифрованного трафика через сеть общего пользования, защиты локальных сетей от проникновения извне, сокрытия внутренней структуры сети, работы по открытым каналам с внешними ресурсами, создания параллельных сетей в пределах одной VPN, защищенного управления удаленными маршрутизаторами. Эти возможности делают "Континент-К" удобным и эффективным инструментом создания VPN.

АПКШ «Континент» IPC-25 компактный криптошлюз для небольшого офиса. АПКШ «Континент» является мощным и гибким инструментом создания виртуальных частных сетей, позволяющим строить VPN любой архитектуры. Обеспечивает криптографическую защиту информации (в соответствии с ГОСТ 28147–89), передаваемой по открытым каналам связи, между составными частями VPN (локальные вычислительные сети, их сегменты и отдельные компьютеры). осуществляет шифрование отдельных пакетов данных уникальными ключами, что гарантирует защиту от дешифровки перехваченных данных. Для защиты от НСД предусмотрена система фильтрация трафика. Осуществляет поддержку VoIP, видеоконференций, GPRS, 3G, LTE, ADSL, Dial-Up и спутниковых каналов связи, технологии NAT/PAT для сокрытия структуры сети.

АПКШ «Континент» предназначен для решения следующих типовых задач:

• Защита сети по всему периметру
• Предоставляет возможность объединить территориально распределенные филиалы организации в единую защищенную сеть.
• Обеспечивает защиту удаленного доступа сотрудников в корпоративную сеть.

Производитель : ООО "Код Безопасности"

180 000,00 руб.

Счет сформируется автоматически. Укажите тип плательщика "юридическое лицо" и заполните реквизиты.

Сравнение версий

	АПКШ «Континент» - IPC-25	АПКШ «Континент» - IPC-100	АПКШ «Континент» - IPC-400	АПКШ «Континент» - IPC-1000
Цена	180 000 Р Купить	270 000 Р Купить	665 000 Р Купить	1 021 000 Р Купить
Производительность VPN (шифрования+ фильтрация МЭ)	до 50 Мбит/с	до 300 Мбит/с	до 500 Мбит/с	до 950 Мбит/с
Производительность МЭ (открытый трафик)	до 100 Мбит/с	до 400 Мбит/с	до 1 Гбит/с	до 1 Гбит/с
Максимальное количество обрабатываемых конкурирующих TCP сессий (keep-state)	10000	250000	350000	1000000
Количество защищенных соединение (VPN тоннелей)	25	не ограничено	не ограничено	не ограничено

Аппаратная конфигурация:

Форм-фактор	Mini-ITX, высота 1U
Габариты (ВхШxГ)	155 х 275 x 45 мм
Процессор	Intel Atom C2358 частотой 1743 МГц
Оперативная память	SODIMM DDR3 DRAM, 2 Гбайта, PC-1333
Сетевые интерфейсы	4х 1000BASE-T Ethernet 10/100/1000 RJ45 (выполнены в виде легко заменяемых модулей)
Жесткие диски	SATA DOM модуль 4Gb
Блок питания	внешний адаптер переменного тока 19В, 220B 80Вт
Считыватель	Touch Memory
Персональные идентификаторы	Touch Memory iButton DS1992L 2 шт.
Встроенный модуль АПМДЗ	ПАК «Соболь» 3.0 (mini-PCIe)
USB-flash drive	не менее 512 Мб
Уровень акустического шума при 100% загрузке (методика измерения ISO7779)
Встроенная операционная система	Continent OS – усовершенствованная ОС с усиленной безопасностью на основе ядра FreeBSD

В состав АПКШ «Континент» 3.9 входит:

• Центр управления сетью криптографических шлюзов (ЦУС) – осуществляет аутентификацию КШ и АРМ управления/ мониторинг и протоколирование состояния сети КШ/ хранение журналов и конфигурации КШ/ рассылку ключевой и конфигурационной информации/ централизованное управление криптографическими ключами/ взаимодействие с программой управления.
• Криптошлюз (КШ) – это специализированное аппаратно-программное устройство, осуществляющее прием и передачу IP-пакетов по протоколам TCP/IP (статическая маршрутизация)/ шифрование пакетов (ГОСТ 28147–89, режим гаммирования с обратной связью, длина ключа 256 бит)/ защиту передаваемых данных от искажения (ГОСТ 28147–89, режим имитовставки)/ фильтрацию пакетов/ скрытие структуры сети/ регистрацию событий/ оповещение ЦУС о своей активности и о событиях, требующих вмешательства/ контроль целостности ПО КШ.
• Программа управления ЦУС (ПУ ЦУС) – её основная функция – централизованное управление настройками и оперативный контроль состояния всех КШ, входящих в состав комплекса. Устанавливается в защищенной сети на АРМ администратора под управлением ОС MS Windows 2003/2008/7/8.
• Агент ЦУС и СД осуществляет установление защищенного соединения и обмен данными с ЦУС и ПУ /получение от ЦУС, хранение и передачу ПУ содержимого журналов/ получение от ЦУС и передачу ПУ информации о работе комплекса.
• Клиент аутентификации пользователя - обеспечивает аутентификацию пользователей, работающих на компьютерах, находящихся в защищенном сегменте сети, при подключении их к криптографическому шлюзу.
• Абонентский пункт (Континент-АП) осуществляет установление VPN-туннеля между удаленным рабочим местом пользователя и внутренней защищаемой сетью организации. При подключении по сетям общего доступа и Интернет выполняет аутентификацию пользователя/ поддержку динамического распределения адресов/ удаленный доступ к ресурсам защищаемой сети по шифрованному каналу/ доступ по выделенным и коммутируемым каналам связи/ возможность доступа к ресурсам сетей общего пользования.
• Сервер доступа осуществляет обеспечение связи между удаленным АП и защищаемой сетью, а также определение уровня доступа пользователя и его аутентификацию.
• Программа управления сервером доступа (ПУ СД) – обеспечивает оперативное оповещение администратора сети о событиях безопасности. Предназначена для управления настройками всех серверов доступа, входящих в состав комплекса.
• Детектор атак «Континент» - это программный компонент, обеспечивающий анализ трафика, поступающего от криптошлюза, и фильтрацию несанкционированных вторжений. Работает совместно с Центром управления сетью криптографических шлюзов «Континент» версии 3.7 и выше.

Сертификаты

• соответствие руководящих документов ФСТЭК России по 2-му уровню контроля на отсутствие НДВ и 2-му классу защищенности для межсетевых экранов. Может использоваться для создания автоматизированных систем до класса защищенности 1Б включительно и при создании информационных систем персональных данных до 1-го класса включительно;
• соответствие требованиям ФСБ России к устройствам типа межсетевой экран по 4 классу защищенности;
• соответствие требованиям ФСБ России к средствам криптографической защиты информации класса КС3 и возможность применения для криптографической защиты информации не содержащей сведений, составляю- щих государственную тайну;
• Минкомсвязи России – о соответствие установленным требованиям к оборудованию маршрутизации пакетов информации и возможности применения на сетях связи общего пользования в качестве оборудования коммутации и маршрутизации пакетов информации.

Криптошлюз

Криптошлюз (криптографический шлюз, vpn-шлюз, криптомаршрутизатор) - аппаратно-программный комплекс криптографической защиты трафика данных, голоса, видео на основе шифрования пакетов по протоколам IPsec AH и/или IPsec ESP при установлении соединения, соответствующий требованиям к средствам криптографической защиты информации (СКЗИ ) ФСБ России и обеспечивающий базовую функциональность современного VPN -устройства.

Назначение

Криптошлюз предназначен для обеспечения информационной безопасности организации, защиты её информационных сетей от вторжения со стороны сетей передачи данных (Интернет), обеспечения конфиденциальности при передаче информации по открытым каналам связи (VPN), а также организации безопасного доступа пользователей к ресурсам сетей общего пользования.

Криптошлюз обеспечивает базовую функциональность современного VPN-устройства:

1. конфиденциальность и целостность потока IP-пакетов;
2. маскировку топологии сети за счет инкапсуляции трафика в защищенный туннель;
3. прозрачность для NAT ;
4. аутентификацию узлов сети и пользователей;
5. унификацию политики безопасности для мобильных и «внутренних» пользователей (динамическое конфигурирование корпоративных IP-адресов для удаленных пользователей «внутри VPN»).

Криптошлюзы представлены как в сегменте VPN устройств, так и в сегменте унифицированных устройств (UTM) объединяющих несколько средств безопасности в одном.

Отличие криптошлюзов от обычных VPN маршрутизаторов заключается в том, что они работают на основе протокола IPSec и обеспечивают защиту информации, передаваемой по каналам связи, используя алгоритмы, которые отвечают требованиям российских криптографических стандартов (ГОСТ 28147-89 и ГОСТ Р 34.10-2001) .

Доступ к ресурсам информационной системы

Криптошлюзы позволяют осуществить защищенный доступ удаленных абонентов к ресурсам корпоративной информационной системы. Доступ производится с использованием специального программного обеспечения, установленным на компьютере пользователя (VPN-клиент) для осуществления защищенного взаимодействия удаленных и мобильных пользователей с криптошлюзом.

Программное обеспечение криптошлюза (сервер доступа) проводит идентификацию и аутентификацию пользователя и осуществляет его связь с ресурсами защищаемой сети. С помощью криптошлюзов формируют виртуальные защищенные каналы в сетях общего пользования (например, Internet), которые гарантируют конфиденциальность и достоверность информации, и организовывать виртуальные частные сети (Virtual Private Network – VPN), представляющие собой объединение локальных сетей или отдельных компьютеров, подключенных к сети общего пользования в единую защищенную виртуальную сеть. Для управления такой сетью обычно используется специальное программное обеспечение (центр управления), которое обеспечивает централизованное управление локальными политиками безопасности VPN-клиентов и криптошлюзов, рассылает для них ключевую информацию и новые конфигурационные данные, обеспечивает ведение системных журналов.

Примечания

Литература

1. Жданов, О. Н., Золотарев, В. В. Методы и средства криптографической защиты информации: Учебное пособие . - Красноярск: СибГАУ, 2007. - 217 с.

Ссылки

• Объединение локальных сетей офисов и удаленных филиалов . logic-soft. Архивировано
• Компоненты АПКШ «Континент» 3.5 . Компания «Код Безопасности». Архивировано из первоисточника 25 мая 2012. Проверено 28 февраля 2012.
• Константин Кузовкин Удаленный доступ к информационным ресурсам. Защита информации, передаваемой по каналам связи . i-teco. Архивировано из первоисточника 25 мая 2012. Проверено 28 февраля 2012.

Wikimedia Foundation . 2010 .

Смотреть что такое "Криптошлюз" в других словарях:

криптошлюз - КШ криптошлюз криптографический шлюз …

Запрос «Software» перенаправляется сюда. Cм. также другие значения. Программное обеспечение (произношение обеспечение не рекомендуется, точнее, не рекомендовалось) наряду с аппаратными средствами, важнейшая составляющая информационных … Википедия

Запрос «Software» перенаправляется сюда. Cм. также другие значения. Программное обеспечение (произношение обеспечение не рекомендуется, точнее, не рекомендовалось) наряду с аппаратными средствами, важнейшая составляющая информационных … Википедия

Запрос «Software» перенаправляется сюда. Cм. также другие значения. Программное обеспечение (произношение обеспечение не рекомендуется, точнее, не рекомендовалось) наряду с аппаратными средствами, важнейшая составляющая информационных … Википедия

Запрос «Software» перенаправляется сюда. Cм. также другие значения. Программное обеспечение (произношение обеспечение не рекомендуется, точнее, не рекомендовалось) наряду с аппаратными средствами, важнейшая составляющая информационных … Википедия

КШ - координационный штаб Словарь: Словарь сокращений и аббревиатур армии и спецслужб. Сост. А. А. Щелоков. М.: ООО «Издательство АСТ», ЗАО «Издательский дом Гелеос», 2003. 318 с. КШ кран на шасси Словарь: С. Фадеев. Словарь сокращений современного… … Словарь сокращений и аббревиатур