VPN 组的属性 Known Peers 和Unknown Peers 已建立 VPN 连接 VPN 组的属性由所选验证方法以及 IKE 阶段 1 和阶段 2的组态参数构成，且这些属性会在加 载过程中传送到所有 VPN 组节点。在响应端上，可启动 VPN 与 VPN 组已组态属性建立连接的安全模块 IP 地址将另行存储。当某个安全模块试图与响应端建立 VPN 连接时，将检 查发起方的 IP地址是否对其已知。如果是这种情况，则发起方为 Known Peer。如果由该 Known Peer 建议的 VPN 组属性与Known Peer 响应端存储的那些属性匹配，则响应端会允 许建立 VPN 连接。除 VPN 组属性之外，可为 VPN 组分配后备VPN 配置文件。VPN 配置文 件包括用于验证方法、IKE 阶段 1 和阶段 2 的预定义属性。对于 SCALANCES-600、CP 343-1 Adv. / CP 443-1 Adv. 和 CP 1628，后备 VPN 配置文件可用作建立 VPN连接的备选组态。发 起方的 VPN 属性与响应方的 VPN 属性不匹配时，这类配置文件将生效。在这种情况下，后备 VPN配置文件可确保 VPN 连接建立。仅作为 VPN 组属性的已组态后备 VPN 配置文件会传送 到所有 VPN组节点。按组态中的顺序指定后备 VPN 配置文件的使用优先级。后备 VPN 配置 文件和 VPN 组属性的验证方法必须相同。如果由于处于生产模式下的发起方通过 NAT 转换进行连接等原因，导致响应端不知悉发起 方的 IP 地址，则该发起方为 UnknownPeer (Road Warrior)。默认情况下，响应端允许 Unknown Peers 建立连接。在响应端的模块特定 VPN属性中，假设模块是 SCALANCE S-600、 CP 343-1 Adv./CP 443-1 Adv. 或 CP 1628模块，可指定响应端是否允许通过 Unknown Peers 建立连接，如果允许，可指定使用的 VPN组属性；请参见“组态模块特定和连接特定的 VPN 设置 (页 571)”部分。 组态 VPN 组的属性 VPN 组的属性说明 必需的 IPsec 知识 要能够设置这些参数，需要具有 IPsec 知识。如果不进行或修改任何设置，则将应用默认值。 可在VPN 组的属性中组态以下设置： • 自动设置兼容的 VPN 组态（条目：“设置”(Settings)） •验证方法（条目：“常规”(General)） • IKE 设置（条目：“gaoji设置阶段 1”）
VPN 组名称/主题的公用名的命名约定 VPN组的名称可使用字符 0-9、a-z、A-Z、-、_。名称必须以字母开头、以字母或数字结尾。在“.”字符之前只允许使用字母或数字，“.”字符之后只允许使用字母。在“_”或“-”字符之前只允 许使用字母或数字。 显示 VPN组及其属性 如果所选安全模块属于一个或多个 VPN 组，则其所在 VPN 组的属性将在“网络数 据”(Network data)区域进行显示。在“网络数据”(Network data) 区域“VPN”选项卡的列内，将显示各 VPN 组的以下属性： 属性/列 含义VPN 所选安全模块所属 VPN 组的名称 安全模块 (Security module) 所分配的安全模块的名称 验证(Authentication) 验证类型：预共享密钥或证书 组成员有效期 (Group membership until)安全模块的 VPN 组证书一直有效的截止日期 和时间 类型 (Type) 所分配的安全模块的型号 注释 (Comment)注释可以使用以下方法： 验证方法按 VPN 组指定，并决定了所使用的验证类型。 支持下列基于密钥或基于证书的认证方法： • 预共享密钥通过之前指定的、分配到组中所有模块的字符串进行验证。 在 VPN 组属性对话框的“身份认证 >常规”(Authentication > General) 下的“密钥”(Key)字段中，输入预共享密钥。如果单击“更新预共享密钥”(Renew preshared key) 按钮， STEP 7会更新要使用的预共享密钥。 • 证书 基于证书进行身份认证“证书”为默认设置。过程如下： – 创建组时，将生成一个 CA证书作为根证书。 – VPN 组中的每个安全模块还会收到签署了 CA 证书密钥的组证书。 如果单击“更新证书”(Renewcertificate) 按钮，STEP 7 会更新 VPN 组的 CA 证书。 所有证书都基于 ITU 标准X.509v3（ITU，国际电信联盟）。 证书由 STEP 7 中包含的证书颁发机构生成。 说明 VLAN 操作中的限制不会通过安全模块的 VPN 隧道在 IP 帧中传输任何 VLAN 标记。当 IP 帧通过安全模块时， 其中包括的 VLAN标记会丢失，因为 IPsec 用于传送 IP 帧。 默认情况下，无法使用 IPsec 通过第 3 层 VPN 隧道传送任何 IP广播或 IP 组播帧。通过安 全模块的第 2 层 VPN 隧道，像 MAC 数据包（包括 UDP 中的以太网报头）一样对 IP 广播或 IP 组播帧进行打包并传送。利用这些数据包，VLAN 标记得以保留。• IPsec 设置（条目：“gaoji设置阶段 2”） •后备 VPN 配置文件 如果您所组态的 VPN 组属性的安全性比建议属性低，则 STEP 7 将通过相应消息文本通知您。如何访问该功能 1. 在全局安全功能中，选择要在“VPN 组”(VPN groups) 条目下组态属性的 VPN 组。 2.从该条目的快捷菜单中选择“打开”(Open)。 结果：VPN 组属性将出现在“验证”(Authentication)下的本地安全设置区域。 3. 在“设置”(Settings) 条目下，选择是否应自动设置兼容的 VPN 组态。该功能激活后，各个组成员的设置将根据支持的设备功能而更改，以符合Zui适当的安全要求。 4. 在“常规”(General)条目下，选择是使用预共享密钥还是使用证书进行验证。更多详细信息， 请参见： 认证方法 (页 553)。 5. 选择“IKE版本”(IKE version)。视选择而定，“gaoji设置”(Advanced settings) 中可提供不同选 项。gaoji设置阶段 1 阶段 1：阶段 2 中 Security Association (SA) 的 IKE 协商： 在此处设置阶段2 中用于协商安全参数的参数：阶段 2 的 VPN 组属性 阶段 2：用于 IPsec 数据交换的 SecurityAssociation (SA) 的 IKE 协商： 在此处设置通过 ESP（Encapsulating SecurityPayload，封装安全有效载荷）和 AH （Authentication Header，验证报头）进行 IPsec数据交换的协商安全参数的参数。阶段 2 中 的通信已加密。组态后备 VPN 配置文件 除 VPN 组属性之外，可为 VPN 组分配后备VPN 配置文件。VPN 配置文件包括用于验证方法、 IKE 阶段 1 和阶段 2 的预定义属性。后备 VPN 配置文件可用作建立VPN 连接的备选组态。发 起方的 VPN 属性与响应方的 VPN 属性不匹配时，这类配置文件将生效。在这种情况下，后备 VPN配置文件可确保 VPN 连接建立。仅作为 VPN 组属性的已组态后备 VPN 配置文件传送到 所有 VPN组成员。按组态中的顺序指定后备 VPN 配置文件的使用优先级。后备 VPN 配置文 件和 VPN组属性的验证方法必须相同。SOFTNET 安全客户端和 SCALANCE M 的特殊功能 已组态的后备 VPN 配置文件不包含在Road Warrior 模块 SOFTNET 安全客户端和 SCALANCE M 的组态文件中。对于 SOFTNET 安全客户端和SCALANCE M 模块，以下内容适用： • 在响应端设置中选择 VPN 配置文件，用以建立 SOFTNET安全客户端/SCALANCE M 模块 与 SCALANCE S/CP 的 VPN 连接，请参见组态模块特定和连接特定的 VPN 设置(页 571) 部分。 • 对于 SCALANCE M 模块与 SCALANCE M 模块间的 VPN 连接，使用已组态的VPN 组设置。 • 对于从 SOFTNET 安全客户端到 SCALANCE M 模块的 VPN 连接，始终采用 VPN 配置文件 3的设置。 VPN 组的模式 VPN 模式 根据添加到 VPN 组的安全模块的模式区分不同的 VPN 组模式。VPN组的模式提供有关可以 添加到 VPN 组的安全模块及其模式的信息。 构成组的规则 如果要创建 VPN 组，请记住以下规则： • 对于SCALANCE S612/S613/S623/S627-2M/SCALANCE M/VPN 设备 分配给 VPN组的首个模块决定了还可以向其添加其它哪些模块。 如果要Zui先添加的 SCALANCE S 模块处于路由模式，或Zui先添加的安全模块为SCALANCE M 模块或 VPN 设备，则由于 SCALANCE M 模块和 VPN 设备始终在路由模式下运行，仅可添加含已激活路由功能的附加 SCALANCE S 模块或 SCALANCE M 模块或 VPN 设备。 如果第一个SCALANCE S 模块处于网桥模式下，则只能添加处于网桥模式下的其它 SCALANCE S 模块。如果要更改 VPN组的模式，则必须移除组中包含的所有模块并重新 添加。SCALANCE S 处于网桥或路由模式中时，可向组中添加一个 CP 和一个SSC。 • 对于 CP/SSC 如果 CP/SSC 是 VPN 组中的第一个模块，则可在任意模式下添加安全模块。决定模式的下一个模块还将决定 VPN 组的模式。一个 CP/SSC 可分配给多个 VPN 组并使用不同的 模式。之后，CP/SSC将运行在混合模式中。 • 如果一个 VPN 组中包含有处于网桥模式的模块，那么不能向该组中添加 SCALANCE M 模 块。