Nationale Zertifizierung für essentielle Sicherheitsmaßnahmen (LINCE)
LINCE ist ein öffentlicher Standard Spaniens, der Sicherheitsanforderungen für kryptografische Module definiert.
Notiz
SFOS 20.0 MR1 und MR2 sind LINCE-konform.
LINCE-konforme Algorithmen
Für VPN-Konfigurationen auf LINCE-kompatiblen Firewalls stehen folgende Algorithmen zur Verfügung:
- KexAlgorithms: diffie-hellman-group14-sha256, diffie-hellman-group16-sha512, diffie-hellman-group18-sha512, ecdh-sha2-nistp256, ecdh-sha2-nistp384 und ecdh-sha2-nistp521
- Verschlüsselung: aes128-gcm@openssh.com und aes256-gcm@openssh.com
- Authentifizierung mit öffentlichem Schlüssel: hmac-sha2-256 und hmac-sha2-512
- Server-Host-Schlüsselalgorithmen: rsa-sha2-512, rsa-sha2-256, ecdsa-sha2-nistp256, ecdsa-sha2-nistp384 und ecdsa-sha2-nistp521
Wie man LINCE einschaltet
Um den LINCE-Modus zu aktivieren, öffnen Sie die Befehlszeilenschnittstelle (CLI) und geben Sie folgenden Befehl ein:
system certification lince enable Warnung
Der SSH-Dienst wird neu gestartet und bestehende SSH-Verbindungen werden getrennt. Wenn Sie die Authentifizierung mit öffentlichen Schlüsseln verwenden, stellen Sie sicher, dass das Schlüsselpaar einen der LINCE-kompatiblen Algorithmen verwendet. Siehe LINCE-konforme Algorithmen.
Aktivieren Sie den LINCE-Modus bei Hochverfügbarkeitsumgebungen (HA) wie folgt:
- SFOS 21.5 GA: Schalten Sie zuerst den LINCE-Modus auf einem beliebigen Gerät ein, dann aktivieren Sie HA.
- SFOS 21.5 MR1 und höher: Schalten Sie zuerst den LINCE-Modus für beide Geräte ein, dann HA.
Notiz
Ab SFOS 21.5 MR1 kann der LINCE-Modus nicht mehr ein- oder ausgeschaltet werden, nachdem HA eingerichtet wurde.
Sichern und Wiederherstellen mit LINCE
Sie können Backups mit aktiviertem oder deaktiviertem LINCE auf jeder kompatiblen Firewall-Version wiederherstellen. Die folgende Tabelle zeigt, wie sich dies auf den LINCE-Modus in der wiederhergestellten Konfiguration auswirkt.
Notiz
Ab SFOS 21.5 MR1 ist eine Wiederherstellung des Backups nicht möglich, wenn das Backup und die HA-Geräte, auf denen es wiederhergestellt werden soll, nicht denselben LINCE-Status aufweisen.
| Sicherungstyp | Wiederherstellung einer Firewall-Version, die LINCE unterstützt | Wiederherstellung einer Firewall-Version, die LINCE nicht unterstützt |
|---|---|---|
| LINCE wurde eingeschaltet | LINCE wird eingeschaltet. In einer HA-Konfiguration wird LINCE auf beiden HA-Knoten aktiviert. | LINCE wird nicht verfügbar sein. |
| LINCE wurde ausgeschaltet | LINCE wird deaktiviert In einer HA-Konfiguration wird LINCE auf beiden HA-Knoten deaktiviert. | LINCE wird nicht verfügbar sein. |
Firmware-Upgrades mit LINCE
Wenn Sie die Firmware migrieren oder aktualisieren und anschließend LINCE aktivieren, können Sie zur vorherigen Version zurückkehren, in der LINCE deaktiviert war, da die Konfiguration weiterhin verfügbar ist.