Π‘ΠΈΡΡΠ°ΡΠΈΡΡΠ°
ΠΠΎΠ»ΡΡΠΈΡ Π΄Π΅ΠΌΠΎ Π²Π΅ΡΡΠΈΡ Π½Π° C-Terra VPN ΠΏΡΠΎΠ΄ΡΠΊΡΠΈ Π²Π΅ΡΡΠΈΡ 4.3 Π·Π° ΡΡΠΈ ΠΌΠ΅ΡΠ΅ΡΠ°. ΠΡΠΊΠ°ΠΌ Π΄Π° ΡΠ°Π·Π±Π΅ΡΠ° Π΄Π°Π»ΠΈ ΠΌΠΎΡΡ ΠΈΠ½ΠΆΠ΅Π½Π΅ΡΠ΅Π½ ΠΆΠΈΠ²ΠΎΡ ΡΠ΅ ΡΡΠ°Π½Π΅ ΠΏΠΎ-Π»Π΅ΡΠ΅Π½ ΡΠ»Π΅Π΄ ΠΏΡΠ΅ΠΌΠΈΠ½Π°Π²Π°Π½Π΅ ΠΊΡΠΌ Π½ΠΎΠ²Π°ΡΠ° Π²Π΅ΡΡΠΈΡ.
ΠΠ½Π΅Ρ Π½Π΅ Π΅ ΡΡΡΠ΄Π½ΠΎ, Π΅Π΄Π½Π° ΡΠΎΡΠ±Π° ΡΠ°Π·ΡΠ²ΠΎΡΠΈΠΌΠΎ ΠΊΠ°ΡΠ΅ 3 Π² 1 ΡΡΡΠ±Π²Π° Π΄Π° Π΅ Π΄ΠΎΡΡΠ°ΡΡΡΠ½Π°. Π©Π΅ Π²ΠΈ ΠΊΠ°ΠΆΠ° ΠΊΠ°ΠΊ Π΄Π° ΠΏΠΎΠ»ΡΡΠΈΡΠ΅ Π΄Π΅ΠΌΠΎΠ½ΡΡΡΠ°ΡΠΈΠΈ. Π©Π΅ ΡΠ΅ ΠΎΠΏΠΈΡΠ°ΠΌ Π΄Π° ΡΡΠ·Π΄Π°ΠΌ ΡΡ
Π΅ΠΌΠΈΡΠ΅ GRE-over-IPsec ΠΈ IPsec-over-GRE.
ΠΠ°ΠΊ Π΄Π° ΠΏΠΎΠ»ΡΡΠΈΡΠ΅ Π΄Π΅ΠΌΠΎ
ΠΡ ΡΠΈΠ³ΡΡΠ°ΡΠ° ΡΠ»Π΅Π΄Π²Π°, ΡΠ΅ Π·Π° Π΄Π° ΠΏΠΎΠ»ΡΡΠΈΡΠ΅ Π΄Π΅ΠΌΠΎ ΡΡΡΠ±Π²Π°:
- ΠΠ°ΠΏΠΈΡΠΈ ΠΏΠΈΡΠΌΠΎ Π΄ΠΎ [ΠΈΠΌΠ΅ΠΉΠ» Π·Π°ΡΠΈΡΠ΅Π½] ΠΎΡ ΠΊΠΎΡΠΏΠΎΡΠ°ΡΠΈΠ²Π΅Π½ Π°Π΄ΡΠ΅Ρ;
- Π ΠΏΠΈΡΠΌΠΎΡΠΎ ΠΏΠΎΡΠΎΡΠ΅ΡΠ΅ TIN Π½Π° Π²Π°ΡΠ°ΡΠ° ΠΎΡΠ³Π°Π½ΠΈΠ·Π°ΡΠΈΡ;
- ΠΠ·Π±ΡΠΎΠΉΡΠ΅ ΠΏΡΠΎΠ΄ΡΠΊΡΠΈΡΠ΅ ΠΈ ΡΡΡ Π½ΠΎΡΠΎ ΠΊΠΎΠ»ΠΈΡΠ΅ΡΡΠ²ΠΎ.
ΠΠ΅ΠΌΠΎ Π²Π΅ΡΡΠΈΠΈΡΠ΅ ΡΠ° Π²Π°Π»ΠΈΠ΄Π½ΠΈ ΡΡΠΈ ΠΌΠ΅ΡΠ΅ΡΠ°. ΠΠΎΡΡΠ°Π²ΡΠΈΠΊΡΡ Π½Π΅ ΠΎΠ³ΡΠ°Π½ΠΈΡΠ°Π²Π° ΡΡΡ Π½Π°ΡΠ° ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»Π½ΠΎΡΡ.
Π Π°Π·ΡΠΈΡΡΠ²Π°Π½Π΅ Π½Π° ΠΈΠ·ΠΎΠ±ΡΠ°ΠΆΠ΅Π½ΠΈΠ΅ΡΠΎ
ΠΠ΅ΠΌΠΎΠ½ΡΡΡΠ°ΡΠΈΡΡΠ° Π½Π° Security Gateway Π΅ ΠΈΠ·ΠΎΠ±ΡΠ°ΠΆΠ΅Π½ΠΈΠ΅ Π½Π° Π²ΠΈΡΡΡΠ°Π»Π½Π° ΠΌΠ°ΡΠΈΠ½Π°. ΠΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΌ VMWare Workstation. ΠΡΠ»Π΅Π½ ΡΠΏΠΈΡΡΠΊ Π½Π° ΠΏΠΎΠ΄Π΄ΡΡΠΆΠ°Π½ΠΈΡΠ΅ Ρ ΠΈΠΏΠ΅ΡΠ²Π°ΠΉΠ·ΠΎΡΠΈ ΠΈ ΡΡΠ΅Π΄ΠΈ Π·Π° Π²ΠΈΡΡΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡ Π΅ Π΄ΠΎΡΡΡΠΏΠ΅Π½ Π½Π° ΡΠ΅Π±ΡΠ°ΠΉΡΠ° Π½Π° Π΄ΠΎΡΡΠ°Π²ΡΠΈΠΊΠ°.
ΠΡΠ΅Π΄ΠΈ Π΄Π° Π·Π°ΠΏΠΎΡΠ½Π΅ΡΠ΅, ΠΈΠΌΠ°ΠΉΡΠ΅ ΠΏΡΠ΅Π΄Π²ΠΈΠ΄, ΡΠ΅ Π½ΡΠΌΠ° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ Π² ΠΈΠ·ΠΎΠ±ΡΠ°ΠΆΠ΅Π½ΠΈΠ΅ΡΠΎ Π½Π° Π²ΠΈΡΡΡΠ°Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π° ΠΏΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅:
ΠΠΎΠ³ΠΈΠΊΠ°ΡΠ° Π΅ ΡΡΠ½Π°, ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΡ ΡΡΡΠ±Π²Π° Π΄Π° Π΄ΠΎΠ±Π°Π²ΠΈ ΡΠΎΠ»ΠΊΠΎΠ²Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ, ΠΊΠΎΠ»ΠΊΠΎΡΠΎ ΠΌΡ ΡΡΡΠ±Π²Π°Ρ. Π©Π΅ Π΄ΠΎΠ±Π°Π²Ρ ΡΠ΅ΡΠΈΡΠΈ Π½Π°Π²Π΅Π΄Π½ΡΠΆ:
Π‘Π΅Π³Π° ΡΡΠ°ΡΡΠΈΡΠ°ΠΌ Π²ΠΈΡΡΡΠ°Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°. ΠΠ΅Π΄Π½Π°Π³Π° ΡΠ»Π΅Π΄ ΡΡΠ°ΡΡΠΈΡΠ°Π½Π΅ΡΠΎ ΡΠ»ΡΠ·ΡΡ ΠΈΠ·ΠΈΡΠΊΠ²Π° ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π»ΡΠΊΠΎ ΠΈΠΌΠ΅ ΠΈ ΠΏΠ°ΡΠΎΠ»Π°.
Π S-Terra Gateway ΠΈΠΌΠ° Π½ΡΠΊΠΎΠ»ΠΊΠΎ ΠΊΠΎΠ½Π·ΠΎΠ»ΠΈ Ρ ΡΠ°Π·Π»ΠΈΡΠ½ΠΈ Π°ΠΊΠ°ΡΠ½ΡΠΈ. Π©Π΅ ΠΏΡΠ΅Π±ΡΠΎΡ Π±ΡΠΎΡ ΠΈΠΌ Π² ΠΎΡΠ΄Π΅Π»Π½Π° ΡΡΠ°ΡΠΈΡ. ΠΠ° ΡΠ΅Π³Π°:
Login as: administrator
Password: s-terra
ΠΠ½ΠΈΡΠΈΠ°Π»ΠΈΠ·ΠΈΡΠ°ΠΌ ΡΠ»ΡΠ·Π°. ΠΠ½ΠΈΡΠΈΠ°Π»ΠΈΠ·ΠΈΡΠ°Π½Π΅ΡΠΎ Π΅ ΠΏΠΎΡΠ»Π΅Π΄ΠΎΠ²Π°ΡΠ΅Π»Π½ΠΎΡΡ ΠΎΡ Π΄Π΅ΠΉΡΡΠ²ΠΈΡ: Π²ΡΠ²Π΅ΠΆΠ΄Π°Π½Π΅ Π½Π° Π»ΠΈΡΠ΅Π½Π·, Π½Π°ΡΡΡΠΎΠΉΠΊΠ° Π½Π° Π³Π΅Π½Π΅ΡΠ°ΡΠΎΡ Π½Π° Π±ΠΈΠΎΠ»ΠΎΠ³ΠΈΡΠ½ΠΈ ΡΠ»ΡΡΠ°ΠΉΠ½ΠΈ ΡΠΈΡΠ»Π° (ΡΠΈΠΌΡΠ»Π°ΡΠΎΡ Π½Π° ΠΊΠ»Π°Π²ΠΈΠ°ΡΡΡΠ° - ΠΌΠΎΡΡ ΡΠ΅ΠΊΠΎΡΠ΄ Π΅ 27 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ) ΠΈ ΡΡΠ·Π΄Π°Π²Π°Π½Π΅ Π½Π° ΠΊΠ°ΡΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ.
ΠΠ°ΡΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡΠ΅ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ. Π‘ΡΠ°Π½Π° ΠΏΠΎ-Π»Π΅ΡΠ½ΠΎ
ΠΠ΅ΡΡΠΈΡ 4.2 ΠΏΠΎΠ·Π΄ΡΠ°Π²ΠΈ Π°ΠΊΡΠΈΠ²Π½ΠΈΡ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π» ΡΡΡ ΡΡΠΎΠ±ΡΠ΅Π½ΠΈΡ:
Starting IPsec daemonβ¦.. failed
ERROR: Could not establish connection with daemon
ΠΠΊΡΠΈΠ²Π΅Π½ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π» (ΡΠΏΠΎΡΠ΅Π΄ Π°Π½ΠΎΠ½ΠΈΠΌΠ΅Π½ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ) Π΅ ΠΏΠΎΡΡΠ΅Π±ΠΈΡΠ΅Π», ΠΊΠΎΠΉΡΠΎ ΠΌΠΎΠΆΠ΅ Π΄Π° Π½Π°ΡΡΡΠΎΠΈ Π²ΡΠΈΡΠΊΠΎ Π±ΡΡΠ·ΠΎ ΠΈ Π±Π΅Π· Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠ°ΡΠΈΡ.
ΠΠ΅ΡΠΎ ΡΠ΅ ΠΎΠ±ΡΡΠΊΠ°, ΠΏΡΠ΅Π΄ΠΈ Π΄Π° ΡΠ΅ ΠΎΠΏΠΈΡΠ°ΡΠ΅ Π΄Π° Π½Π°ΡΡΡΠΎΠΈΡΠ΅ IP Π°Π΄ΡΠ΅Ρ Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°. ΠΡΠΈΡΠΊΠΎ Π΅ ΡΠ²ΡΡΠ·Π°Π½ΠΎ Ρ ΠΊΠ°ΡΡΠ°ΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ. ΠΠ΅ΡΠ΅ Π½Π΅ΠΎΠ±Ρ ΠΎΠ΄ΠΈΠΌΠΎ Π΄Π° ΡΠ΅ Π½Π°ΠΏΡΠ°Π²ΠΈ:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
service networking restart
Π ΡΠ΅Π·ΡΠ»ΡΠ°Ρ Π½Π° ΡΠΎΠ²Π° ΡΠ΅ ΡΡΠ·Π΄Π°Π²Π° ΠΊΠ°ΡΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ, ΠΊΠΎΡΡΠΎ ΡΡΠ΄ΡΡΠΆΠ° ΠΊΠ°ΡΡΠΎΠ³ΡΠ°ΡΠΈΡΠ°Π½Π΅ Π½Π° ΠΈΠΌΠ΅Π½Π° Π½Π° ΡΠΈΠ·ΠΈΡΠ΅ΡΠΊΠΈ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ (0000:02:03.0) ΠΈ ΡΠ΅Ρ Π½ΠΈΡΠ΅ Π»ΠΎΠ³ΠΈΡΠ΅ΡΠΊΠΈ ΠΎΠ±ΠΎΠ·Π½Π°ΡΠ΅Π½ΠΈΡ Π² ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠΎΠ½Π½Π°ΡΠ° ΡΠΈΡΡΠ΅ΠΌΠ° (eth0) ΠΈ ΠΏΠΎΠ΄ΠΎΠ±Π½Π° Π½Π° Cisco ΠΊΠΎΠ½Π·ΠΎΠ»Π° (FastEthernet0/0):
#Unique ID iface type OS name Cisco-like name
0000:02:03.0 phye eth0 FastEthernet0/0
ΠΠΎΠ³ΠΈΡΠ΅ΡΠΊΠΈΡΠ΅ ΠΎΠ±ΠΎΠ·Π½Π°ΡΠ΅Π½ΠΈΡ Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈΡΠ΅ ΡΠ΅ Π½Π°ΡΠΈΡΠ°Ρ ββΠΏΡΠ΅Π²Π΄ΠΎΠ½ΠΈΠΌΠΈ. ΠΡΠ΅Π²Π΄ΠΎΠ½ΠΈΠΌΠΈΡΠ΅ ΡΠ΅ ΡΡΡ
ΡΠ°Π½ΡΠ²Π°Ρ Π²ΡΠ² ΡΠ°ΠΉΠ»Π° /etc/ifaliases.cf.
ΠΡΠ² Π²Π΅ΡΡΠΈΡ 4.3, ΠΊΠΎΠ³Π°ΡΠΎ Π²ΠΈΡΡΡΠ°Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π° ΡΠ΅ ΡΡΠ°ΡΡΠΈΡΠ° Π·Π° ΠΏΡΡΠ²ΠΈ ΠΏΡΡ, ΠΊΠ°ΡΡΠ°ΡΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° ΡΠ΅ ΡΡΠ·Π΄Π°Π²Π° Π°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½ΠΎ. ΠΠΊΠΎ ΠΏΡΠΎΠΌΠ΅Π½ΠΈΡΠ΅ Π±ΡΠΎΡ Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡΠ΅ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ Π²ΡΠ² Π²ΠΈΡΡΡΠ°Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°, ΠΌΠΎΠ»Ρ, ΡΡΠ·Π΄Π°ΠΉΡΠ΅ ΠΎΡΠ½ΠΎΠ²ΠΎ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ½Π°ΡΠ° ΠΊΠ°ΡΡΠ°:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
systemctl restart networking
Π‘Ρ Π΅ΠΌΠ° 1: GRE-over-IPsec
Π Π°Π·ΠΏΠΎΠ»Π°Π³Π°ΠΌ Π΄Π²Π° Π²ΠΈΡΡΡΠ°Π»Π½ΠΈ ΡΠ»ΡΠ·Π°, ΠΏΡΠ΅Π²ΠΊΠ»ΡΡΠ²Π°ΠΌ, ΠΊΠ°ΠΊΡΠΎ Π΅ ΠΏΠΎΠΊΠ°Π·Π°Π½ΠΎ Π½Π° ΡΠΈΠ³ΡΡΠ°ΡΠ°:
Π‘ΡΡΠΏΠΊΠ° 1. ΠΠ°ΡΡΡΠΎΠΉΡΠ΅ IP Π°Π΄ΡΠ΅ΡΠΈ ΠΈ ΠΌΠ°ΡΡΡΡΡΠΈ
VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254
VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253
ΠΡΠΎΠ²Π΅ΡΠΊΠ° Π½Π° IP ΡΠ²ΡΡΠ·Π°Π½ΠΎΡΡΡΠ°:
root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms
--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms
Π‘ΡΡΠΏΠΊΠ° 2: ΠΠ°ΡΡΡΠΎΠΉΡΠ΅ GRE
ΠΠ·Π΅ΠΌΠ°ΠΌ ΠΏΡΠΈΠΌΠ΅Ρ Π·Π° Π½Π°ΡΡΡΠΎΠΉΠΊΠ° Π½Π° GRE ΠΎΡ ΠΎΡΠΈΡΠΈΠ°Π»Π½ΠΈ ΡΠΊΡΠΈΠΏΡΠΎΠ²Π΅. Π‘ΡΠ·Π΄Π°Π²Π°ΠΌ ΡΠ°ΠΉΠ» gre1 Π² Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΡΡΠ° /etc/network/interfaces.d ΡΡΡ ΡΡΠ΄ΡΡΠΆΠ°Π½ΠΈΠ΅ΡΠΎ.
ΠΠ° VG1:
auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
ΠΠ° VG2:
auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
ΠΠΎΠ²Π΄ΠΈΠ³Π°ΠΌ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° Π² ΡΠΈΡΡΠ΅ΠΌΠ°ΡΠ°:
root@VG1:~# ifup gre1
root@VG2:~# ifup gre1
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
link/gre 172.16.1.253 peer 172.16.1.254
inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
valid_lft forever preferred_lft forever
root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1
C-Terra Gateway ΠΈΠΌΠ° Π²Π³ΡΠ°Π΄Π΅Π½ ΡΠ½ΠΈΡΡΡ Π·Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ - tcpdump. Π©Π΅ Π½Π°ΠΏΠΈΡΠ° Π΄ΡΠΌΠΏ Π½Π° ΡΡΠ°ΡΠΈΠΊΠ° Π² pcap ΡΠ°ΠΉΠ»:
root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap
Π‘ΡΠ°ΡΡΠΈΡΠ°ΠΌ ping ΠΌΠ΅ΠΆΠ΄Ρ GRE ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ:
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms
GRE ΡΡΠ½Π΅Π»ΡΡ Π΅ Π³ΠΎΡΠΎΠ² ΠΈ ΡΠ°Π±ΠΎΡΠΈ:
Π‘ΡΡΠΏΠΊΠ° 3. Π¨ΠΈΡΡΠΎΠ²Π°Π½Π΅ Ρ GOST GRE
ΠΠ°Π΄Π°Π²Π°ΠΌ Π²ΠΈΠ΄Π° ΠΈΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΠ°ΡΠΈΡ - ΠΏΠΎ Π°Π΄ΡΠ΅Ρ. Π£Π΄ΠΎΡΡΠΎΠ²Π΅ΡΡΠ²Π°Π½Π΅ Ρ ΠΏΡΠ΅Π΄Π²Π°ΡΠΈΡΠ΅Π»Π½ΠΎ Π΄Π΅ΡΠΈΠ½ΠΈΡΠ°Π½ ΠΊΠ»ΡΡ (ΡΡΠ³Π»Π°ΡΠ½ΠΎ Π£ΡΠ»ΠΎΠ²ΠΈΡΡΠ° Π·Π° ΠΏΠΎΠ»Π·Π²Π°Π½Π΅ ΡΡΡΠ±Π²Π° Π΄Π° ΡΠ΅ ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°Ρ ΡΠΈΡΡΠΎΠ²ΠΈ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°ΡΠΈ):
VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254
ΠΠ°Π΄Π°Π΄ΠΎΡ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ Π½Π° IPsec Phase I:
VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2
ΠΠ°Π΄Π°Π΄ΠΎΡ ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ Π½Π° IPsec Phase II:
VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel
Π‘ΡΠ·Π΄Π°Π²Π°ΠΌ ΡΠΏΠΈΡΡΠΊ Π·Π° Π΄ΠΎΡΡΡΠΏ Π·Π° ΠΊΡΠΈΠΏΡΠΈΡΠ°Π½Π΅. Π¦Π΅Π»Π΅Π²ΠΈ ΡΡΠ°ΡΠΈΠΊ - GRE:
VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254
Π‘ΡΠ·Π΄Π°Π²Π°ΠΌ ΠΊΡΠΈΠΏΡΠΎ ΠΊΠ°ΡΡΠ° ΠΈ Ρ ΡΠ²ΡΡΠ·Π²Π°ΠΌ Ρ WAN ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°:
VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
crypto map CMAP
ΠΠ° VG2 ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΡΡΠ° Π΅ ΠΎΠ³Π»Π΅Π΄Π°Π»Π½Π°, ΡΠ°Π·Π»ΠΈΠΊΠΈΡΠ΅ ΡΠ°:
VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2
ISAKMP/IPsec ΡΡΠ°ΡΠΈΡΡΠΈΠΊΠ°:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480
ΠΡΠΌΠ° ΠΏΠ°ΠΊΠ΅ΡΠΈ Π² ΠΈΠ·Ρ Π²ΡΡΠ»ΡΠ½Π΅ΡΠΎ Π½Π° GRE ΡΡΠ°ΡΠΈΠΊ:
ΠΠ°ΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅: ΡΡ
Π΅ΠΌΠ°ΡΠ° GRE-over-IPsec ΡΠ°Π±ΠΎΡΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ.
Π€ΠΈΠ³ΡΡΠ° 1.5: IPsec-over-GRE
ΠΠ΅ ΠΏΠ»Π°Π½ΠΈΡΠ°ΠΌ Π΄Π° ΠΈΠ·ΠΏΠΎΠ»Π·Π²Π°ΠΌ IPsec-over-GRE Π² ΠΌΡΠ΅ΠΆΠ°ΡΠ°. Π‘ΡΠ±ΠΈΡΠ°ΠΌ, Π·Π°ΡΠΎΡΠΎ ΠΈΡΠΊΠ°ΠΌ.
ΠΠ° Π΄Π° Π²Π½Π΅Π΄ΡΠΈΡΠ΅ ΡΡ
Π΅ΠΌΠ°ΡΠ° GRE-over-IPsec ΠΎΠ±ΡΠ°ΡΠ½ΠΎΡΠΎ:
- Fix ΠΊΡΠΈΠΏΡΠΈΡΠ°Π½Π΅ Π½Π° ΡΠΏΠΈΡΡΠΊ Π·Π° Π΄ΠΎΡΡΡΠΏ - ΡΠ΅Π»Π΅Π²ΠΈ ΡΡΠ°ΡΠΈΠΊ ΠΎΡ LAN1 ΠΊΡΠΌ LAN2 ΠΈ ΠΎΠ±ΡΠ°ΡΠ½ΠΎ;
- ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°Π½Π΅ Π½Π° ΠΌΠ°ΡΡΡΡΡΠΈΠ·ΠΈΡΠ°Π½Π΅ ΠΏΡΠ΅Π· GRE;
- ΠΠ°ΠΊΠ°ΡΠ΅ΡΠ΅ ΠΊΡΠΈΠΏΡΠΎΠΊΠ°ΡΡΠ° Π½Π° GRE ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°.
ΠΠΎ ΠΏΠΎΠ΄ΡΠ°Π·Π±ΠΈΡΠ°Π½Π΅ Π½ΡΠΌΠ° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡ GRE Π² ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° Π·Π° ΡΠ»ΡΠ·, ΠΏΠΎΠ΄ΠΎΠ±Π½Π° Π½Π° Cisco. Π‘ΡΡΠ΅ΡΡΠ²ΡΠ²Π° ΡΠ°ΠΌΠΎ Π² ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠΎΠ½Π½Π°ΡΠ° ΡΠΈΡΡΠ΅ΠΌΠ°.
ΠΠΎΠ±Π°Π²ΡΠΌ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° GRE ΠΊΡΠΌ ΠΏΠΎΠ΄ΠΎΠ±Π½Π°ΡΠ° Π½Π° Cisco ΠΊΠΎΠ½Π·ΠΎΠ»Π°. ΠΠ° Π΄Π° Π½Π°ΠΏΡΠ°Π²Ρ ΡΠΎΠ²Π°, ΡΠ΅Π΄Π°ΠΊΡΠΈΡΠ°ΠΌ ΡΠ°ΠΉΠ»Π° /etc/ifaliases.cf:
interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")
ΠΊΡΠ΄Π΅ΡΠΎ gre1 Π΅ ΠΎΠ±ΠΎΠ·Π½Π°ΡΠ΅Π½ΠΈΠ΅ΡΠΎ Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° Π² ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠΎΠ½Π½Π°ΡΠ° ΡΠΈΡΡΠ΅ΠΌΠ°, Tunnel0 Π΅ ΠΎΠ±ΠΎΠ·Π½Π°ΡΠ΅Π½ΠΈΠ΅ΡΠΎ Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ° Π² ΠΏΠΎΠ΄ΠΎΠ±Π½Π°ΡΠ° Π½Π° Cisco ΠΊΠΎΠ½Π·ΠΎΠ»Π°.
ΠΡΠ΅ΠΈΠ·ΡΠΈΡΠ»ΡΠ²Π°ΠΌ Ρ Π΅ΡΠ° Π½Π° ΡΠ°ΠΉΠ»Π°:
root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf
SUCCESS: Operation was successful.
Π‘Π΅Π³Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΡΡ Tunnel0 ΡΠ΅ ΠΏΠΎΡΠ²ΠΈ Π² ΠΏΠΎΠ΄ΠΎΠ±Π½Π° Π½Π° Cisco ΠΊΠΎΠ½Π·ΠΎΠ»Π°:
VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400
ΠΠΎΡΠΈΠ³ΠΈΡΠ°Π½Π΅ Π½Π° ΡΠΏΠΈΡΡΠΊΠ° Π·Π° Π΄ΠΎΡΡΡΠΏ Π·Π° ΠΊΡΠΈΠΏΡΠΈΡΠ°Π½Π΅:
VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°ΠΌ ΠΌΠ°ΡΡΡΡΡΠΈΠ·ΠΈΡΠ°Π½Π΅ ΠΏΡΠ΅Π· GRE:
VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2
ΠΡΠ΅ΠΌΠ°Ρ Π²Π°ΠΌ ΠΊΡΠΈΠΏΡΠΎΠΊΠ°ΡΡΠ°ΡΠ° ΠΎΡ Fa0 / 0 ΠΈ Ρ ΡΠ²ΡΡΠ·Π²Π°ΠΌ Ρ GRE ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠ°:
VG1(config)#
interface Tunnel0
crypto map CMAP
ΠΠ° VG2 Π΅ ΠΏΠΎΠ΄ΠΎΠ±Π½ΠΎ.
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap
root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms
--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms
ISAKMP/IPsec ΡΡΠ°ΡΠΈΡΡΠΈΠΊΠ°:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352
Π Π΄ΡΠΌΠΏΠ° Π½Π° ΡΡΠ°ΡΠΈΠΊΠ° Π½Π° ESP, ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅, ΠΊΠ°ΠΏΡΡΠ»ΠΈΡΠ°Π½ΠΈ Π² GRE:
ΠΠ°ΠΊΠ»ΡΡΠ΅Π½ΠΈΠ΅: IPsec-over-GRE ΡΠ°Π±ΠΎΡΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ.
Π Π΅Π·ΡΠ»ΡΠ°ΡΠΈ ΠΎΡ
ΠΠ΄Π½Π° ΡΠ°ΡΠ° ΠΊΠ°ΡΠ΅ Π±Π΅ΡΠ΅ Π΄ΠΎΡΡΠ°ΡΡΡΠ½Π°. Π‘ΠΊΠΈΡΠΈΡΠ°Ρ ΠΈΠ½ΡΡΡΡΠΊΡΠΈΠΈ Π·Π° ΠΏΠΎΠ»ΡΡΠ°Π²Π°Π½Π΅ Π½Π° Π΄Π΅ΠΌΠΎ Π²Π΅ΡΡΠΈΡ. ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°Π½ GRE-over-IPsec ΠΈ ΡΠ°Π·Π³ΡΡΠ½Π°Ρ ΠΎΠ±ΡΠ°ΡΠ½ΠΎ.
ΠΠ°ΡΡΠ°ΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠΎΠ²ΠΈΡΠ΅ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΠΉΡΠΈ Π²ΡΠ² Π²Π΅ΡΡΠΈΡ 4.3 Π΅ ββΠ°Π²ΡΠΎΠΌΠ°ΡΠΈΡΠ½Π°! Π’Π΅ΡΡΠ²Π°ΠΌ ΠΎΡΠ΅.
ΠΠ½ΠΎΠ½ΠΈΠΌΠ΅Π½ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ
t.me/Π°Π½ΠΎΠ½ΠΈΠΌΠ΅Π½_ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ
ΠΠ·ΡΠΎΡΠ½ΠΈΠΊ: www.habr.com