Добрый день!

1.В руководстве администратора безопасности версии 1.1 в п.1.Назначение есть фраза в конце:
"Соединения, построенные с использованием режимов и алгоритмов IPSec, отличных от описанных в настоящей документации, должны рассматриваться как незащищенные соединения."
Значит ли это, что любая конфигурация с использованием cryptopro ipsec отличная от приведенных в данном руководстве должна рассматриваться как незащищенная, соответственно на нее не будет распространятся сертификация ФСБ?

2.В лицензии на CryptoPro IpSec сказано:
"3.2. Вознаграждение Лицензиара за предоставленное право на использование программы для ЭВМ СКЗИ «КриптоПро IPsec» на рабочем месте входит в сумму вознаграждения за предоставленное право на использование программы для ЭВМ СКЗИ «КриптоПро CSP» версии 3.6.1 на условиях простой (неисключительной) лицензии."
В то же время в прайсе видим:
"Лицензия на право использования СКЗИ КриптоПро IPSec версии 1.0 на одном сервере - 20000"
Поясните, плз.
Получается надо купить лицензию за 20 тыс.руб. на CryptoPro CSP на сервер и CryptoPro IPsec на сервер то же за 20. Итого 40 тыс.руб. Как это вяжется с лицензией?

Хотим связать удаленные офисы с головным. Сейчас на шлюзе (он же фаервол) в головном офисе настроен ipsec, на стандартной западной криптографии.
В удаленных офисах в качестве шлюза обычные рабочие станции на Windows XP, там то же поднят ipsec. Хочется сертифицированной защиты :)
Предполагаем за существующим шлюзом в головном офисе поставить сервер с CryptoPro CSP + ipsec, такая же конфигурация на шлюзах в удаленных офисах. Маршрутизация в голове для доступа в удаленные офисы настраивается через этот сервер. Использовать PSK или сертификаты - пока не решили, протестируем потом определимся.
Вопрос вызван тем, что в Руководстве администратора безопасности описывавются варианты с использованием ISA, TMG, CheckPoint совместно с КриптоПро ipsec на одном сервере - у нас ничего из этих продуктов не используется и фаервол/шлюз планируется внешний по отношению к серверу с КриптоПро ipsec.

Нет. site-to-site. Даже там где 2 компа. Один из компов - шлюз. Как ни странно, Windows Xp и Windows 7 нормально справляются с ролью шлюза.
Авторизация клиентов не нужна, шлюз в удаленном офисе должен быть всегда на связи, даже если пользователь не работает в данный момент.

Да, совершенно верно, туннельный ipsec с подсетями в фильтрах и дополнительное правило непосредственно для внешнего интерфейса шлюза.
Аналогичную конфигурацию хочется и с КрпитоПро осуществить, чтоб обошлось с наименьшими трудозатратами.
Поэтому и возник вопрос о том будет ли сеть все еще защищенной и не аннулируются ли сертификаты из-за "неправильного использования", т.к. предполагаемая схема не очень-то вписывается в описанные в Руководстве схемы.

Ясно.
Спасибо за наводку! Видимо пропустил когда читал руководство.
Да, ошибиться есть где. Как-то у микрософта это слишком сложно сделано, в том же линуксе или freebsd настройка ipsec гораздо проще происходит.
Но спасает то, что если не правильно настроишь, то, как правило, связи нет, поэтому ошибки диагностируются легко, но, бывает, тяжело исправляются :)