JNSA IPSec機器相互接続試験のご案内平成12年11月17日 JNSA 相互接続ワーキンググループ 1 目次試験目的試験スケジュール試験環境について試験参加機器について試験参加時の貸出し器材試験環境の器材提供について試験内容試験結果の報告 2 P.3 P.4 P.5 P.6 P.9 P.10 P.11 P.16 試験の目的 • IPSec相互接続試験の目的 IPSec標準機能による相互接続試験は様々なグループで実施されていますが、機器の接続性確認するに留まっています。本試験においては、運用を視野に入れた様々な試験を行い、その結果を一般に公開致します。その結果、ベンダーやユーザに対しVPN構築時に有効な情報を与える事が出来ると共に、セキュリティへの意識を高める事を目的とします。 • 各試験項目の目的 – 接続性確認試験 • 機器間の接続性の確認を行います。例えば認証方式による接続性の確認などが挙げられます。 – 運用性確認試験 • 各ベンダーのこれまでの経験を元に、運用上問題となり易い項目を事前に確認し、障害が発生する可能性や障害発生時の対応方法等を確認します。 – ダイアルアップ接続試験 • 多くのIPSec相互接続試験は、ゲートウェイ型のIPSec機器が使用されていました。本試験ではクライアント製品の接続性確認および運用性確認を実施します。 3 試験スケジュール • • 期間： 2000年 11月22日～ 12月 8日搬入スケジュール – 11月22日 – 11月24日 – 11月24日午後 • 搬入開始発送する場合は、22日必着として下さい。持込みの方は、別紙の搬入指示に従って下さい。設置開始試験実施説明会（各社代表者は参加必須）試験スケジュール – 2000年 11月27日(月)～ 12月8日(金) 10:00～18:00 • リファレンス機選定相互接続試験 • 接続性確認基本試験等 • 試験会場 – 工学院大学新宿キャンパス住所：〒163-8677 東京都新宿区西新宿1-24-2 4 試験環境について・基本的にはローカルネットワークで試験を実施する。・Dialupルータや、クライアント接続試験時にダイアルアップ環境や、リモート接続環境が必要な場合は、回線シュミレータを使用し試験を実施する。 5 試験参加機器について (1/3) • IPSec相互接続試験参加製品要求事項 – IPSec Version2※1対応のハードウェア、ソフトウェアであること – 1製品1エントリ※2とする。(同一製品の複数エントリは認めない) – 実機試験中に技術者派遣が可能なこと ※1 ：最低限次ページの各項目が実装されていることを条件とする。 ※2 ：複数代理店が扱う製品については、代理店間で調整のうえエントリ下さい 6 試験参加機器について • (2/3) IPSec機器実装必須項目について – 下記RFCで実装必須となっている項目をサポートしている事 • • • • • • • • • • • • RFC2401 ：インターネット・プロトコルのためのセキュリティ・アーキテクチャ RFC2402 ：IP 認証ヘッダ RFC2403 ：ESP および AH での HMAC-MD5-96 の使用法 RFC2404 ：ESP および AH での HMAC-SHA-1-96 の使用法 RFC2405 ：明示的 IV を伴う ESP DES-CBC 暗号アルゴリズム RFC2406 ：IP 暗号ペイロード（ESP） RFC2407 ：IPSECにおけるISAKMPの解釈 RFC2408 ：Internet SAと鍵管理プロトコル RFC2409 ：インターネット鍵交換 RFC2410 ：NULL 暗号化アルゴリズムと IPsec でのその使用法 RFC2411 ：IP セキュリティ文書体系 RFC2451 ：ESP CBC モード暗号アルゴリズム 7 試験参加機器について • (3/3) IPSec機器実装必須項目について – 下記のパラメータをサポートしている事 • プロトコル • パケットモード • Phase1パラメータ – モード – 相互認証 – Hash Algorithm – Encryption Algorithm – IDペイロードタイプ • Phase2 パラメータ – モード – Authentication Alg – IDペイロードタイプ – Group Description ：ESP ：トンネルモード：メインモード（クライアントはアグレッシブモード) ：Pre-Shared (ASCII) ：MD5/SHA-1 ：DES-CBC ：ID_IPV4_ADDR ：クイックモード：HMAC-MD5/HMAC-SHA1: ：ID_IPV4_ADDR/ID_IPV4_ADDR_SUBNET ：Group1 8 試験参加時の貸出機材 • ご用意いただきたい機材 – IPSec gateway • ソフトウェアタイプの場合は、製品がインストールされたマシン – IPSec Client • ダイアルアップ用のTAもしくは、ダイアルアップルータを含む – クライアント用ノートPC – 製品マニュアル – HUBおよび10base-Tケーブル（オプション） – テーブルタップ（オプション） – その他、必要と思われる器材 9 試験環境の器材提供について • • 試験環境構築に伴い、以下の器材提供を募集しています。器材への要求事項 – CA局 • IPSec機器への証明書が発行できる証明書発行システム • プロダクト提供の場合は試験サイトにインストール済みのシステムを提供下さい。 • 証明書の形式などが試験期間中に柔軟に変更可能であれば、インターネット経由でのサービスで参加して頂く事も可能です。 – 回線シュミレータ • HSD，ISDNとして利用可能かつ、64kbps～1.5Mbpsの各帯域を利用可能な機器および、設定マニュアル一式 – 測定機器 • プロトコルアナライザ – IKEのネゴシエーション情報をDecrypt可能なプロトコルアナライザと操作マニュアル一式 – 試験期間中に期間限定のライセンス発行が可能な製品 • トラフィックジェネレータ – IPレベルのトラフィックジェネレートが可能な製品および、設定マニュアル一式 10 試験内容 • 試験は４つのカテゴリに分け、以下の順に実施致します。 – 相互接続性確認/基本試験 • 各製品の基本的な接続性を確認 – 運用性確認/基本試験 • IPSec機器の機種や機能に関わらず、IPSec機器を運用する際に、事前確認が必要となる項目 – 相互接続性確認/オプション試験 • デジタル署名による相互認証など、RFCで実装必須となっていない項目を使用した際の接続性を確認 – 運用性確認/オプション試験 • IPSec機器の機能や機種に関係する、運用性の確認 • IPSec機器を運用する際に、有益となる情報取得のための試験 11 試験内容 • 相互接続性/基本試験相互接続性/基本試験 – Pre-Shared相互認証方式での接続試験 • 基本的には参加機器の総当りで接続性を確認します。 • Phase1，Phase2の各パラメータを変更し、パラメータ変更時の接続性の確認も合わせて実施します。 – Phase2 IDペイロードタイプ確認試験 • 各機器がサポートしているPhase2 IDペイロードタイプを確認します。 • peerの設定内容が異なる際の、接続性の確認やエラーの発生状況を確認します。 – 通信中のRe-key動作確認試験 • 通信中にSA Durationを迎えRe-keyが発生した際の通信状態の確認を行います。 12 試験内容 • 運用性/基本試験運用性/基本試験 – SA消失問題に関する試験 • 機器の障害等により、SAを消失した際のSAリカバリ手順等を確認します。 – End to End通信試験（ｱﾌﾟﾘｹｰｼｮﾝ動作試験) • ftp，http，HOST系のアプリケーション通信を、IPSecを使用して行った際の動作を確認します。 – IPフラグメンテーション発生時の通信試験 • IPSec機器で、IPフラグメンテーションが発生した際の動作を確認します。 – SA Life Time動作確認 • 無通信状態で、SA Life Timeを迎えた際の動作を確認します。 13 試験内容 • 相互接続性/オプション試験相互接続性/オプション試験 – デジタル署名認証の接続試験 • Phase1の相互認証で、デジタル署名方式を使用した際の接続性を確認します。 – Public-key認証の接続試験 • Phase1の相互認証で、Public-key方式を使用した際の接続性を確認します。 – NAT Traversal接続試験 • NAT Traversalを使用した際の、接続性を確認します。 14 試験内容 • 運用性/オプション試験運用性/オプション試験 – NAT動作確認試験 • NAT機能を実装したIPSec機器を使用し、NAT使用時のIPSec通信の動作を確認します。 – CAに関する試験 • 証明書の取得方法やCRLの参照方法等、CAを使用する際に必要となる項目の動作を確認します。 – 性能試験 • IPSec機器が確立可能なSA数等、各IPSec機器の性能を計る試験を行います。 – 回線障害試験 • ネゴシエーション中に回線障害が発生した時の動作を確認します。 15 試験結果の報告 • 平成12年12月下旬 – Internet Week2000にて、中間結果報告 • 平成13年2月下旬 – 試験結果をJNSAホームページにて公開 16