Как да стигнете до IPVPN Beeline чрез IPSec. Част 1

Здравейте! IN предишен пост Описах частично работата на нашата услуга MultiSIM резервации и балансиране канали. Както споменахме, ние свързваме клиенти към мрежата чрез VPN и днес ще ви разкажа малко повече за VPN и нашите възможности в тази част.

Струва си да започнем с факта, че ние, като телекомуникационен оператор, разполагаме със собствена огромна MPLS мрежа, която за клиентите на фиксирана линия е разделена на два основни сегмента - този, който се използва директно за достъп до Интернет, и този, който е използвани за създаване на изолирани мрежи — и през този MPLS сегмент протича IPVPN (L3 OSI) и VPLAN (L2 OSI) трафик за нашите корпоративни клиенти.

Обикновено клиентската връзка се осъществява по следния начин.

Линия за достъп се полага до офиса на клиента от най-близката точка на присъствие на мрежата (възел MEN, RRL, BSSS, FTTB и т.н.) и по-нататък каналът се регистрира през транспортната мрежа към съответния PE-MPLS рутер, на който го извеждаме към специално създаден за клиента VRF, като вземаме предвид профила на трафика, от който се нуждае клиентът (етикетите на профила се избират за всеки порт за достъп, въз основа на стойностите на приоритет на ip 0,1,3,5, XNUMX).

Ако по някаква причина не можем напълно да организираме последната миля за клиента, например офисът на клиента се намира в бизнес център, където друг доставчик е приоритет, или просто нямаме точка на присъствие наблизо, тогава предишните клиенти трябваше да създаде няколко IPVPN мрежи при различни доставчици (не е най-рентабилната архитектура) или самостоятелно да разреши проблеми с организирането на достъпа до вашия VRF през интернет.

Мнозина направиха това, като инсталираха IPVPN интернет шлюз - инсталираха граничен рутер (хардуер или някакво Linux-базирано решение), свързаха IPVPN канал към него с единия порт и интернет канал с другия, стартираха своя VPN сървър на него и се свързаха потребители през техния собствен VPN шлюз. Естествено, такава схема създава и тежести: такава инфраструктура трябва да се изгради и, което е най-неудобното, да се управлява и развива.

За да улесним живота на нашите клиенти, ние инсталирахме централизиран VPN хъб и организирахме поддръжка за връзки през Интернет с помощта на IPSec, т.е. сега клиентите трябва само да конфигурират своя рутер да работи с нашия VPN хъб през IPSec тунел през всеки обществен интернет и ние Нека освободим трафика на този клиент към неговия VRF.

Кой ще има нужда

• За тези, които вече имат голяма IPVPN мрежа и се нуждаят от нови връзки за кратко време.
• Всеки, който по някаква причина иска да прехвърли част от трафика от публичния интернет към IPVPN, но преди това е срещал технически ограничения, свързани с няколко доставчици на услуги.
• За тези, които в момента имат няколко различни VPN мрежи между различни телекомуникационни оператори. Има клиенти, които успешно са организирали IPVPN от Beeline, Megafon, Rostelecom и др. За да улесните, можете да останете само на нашата единствена VPN, да превключите всички други канали на други оператори към интернет и след това да се свържете с Beeline IPVPN чрез IPSec и интернет от тези оператори.
• За тези, които вече имат IPVPN мрежа, насложена в Интернет.

Ако внедрите всичко при нас, тогава клиентите получават пълноценна поддръжка на VPN, сериозна инфраструктурна резервираност и стандартни настройки, които ще работят на всеки рутер, с който са свикнали (било то Cisco, дори Mikrotik, основното е, че може да поддържа правилно IPSec/IKEv2 със стандартизирани методи за удостоверяване). Между другото, относно IPSec - в момента поддържаме само него, но планираме да стартираме пълноценна работа както на OpenVPN, така и на Wireguard, така че клиентите да не зависят от протокола и да е още по-лесно да вземат и прехвърлят всичко към нас, и също така искаме да започнем да свързваме клиенти от компютри и мобилни устройства (решения, вградени в операционната система, Cisco AnyConnect и strongSwan и други подобни). С този подход де факто изграждането на инфраструктурата може безопасно да бъде предадено на оператора, оставяйки само конфигурацията на CPE или хоста.

Как работи процесът на свързване за режим IPSec:

1. Клиентът оставя заявка до своя мениджър, в която посочва необходимата скорост на връзката, профил на трафик и параметри за IP адресиране за тунела (по подразбиране подмрежа с маска /30) и вида на маршрутизирането (статично или BGP). За прехвърляне на маршрути към локалните мрежи на клиента в свързания офис се използват механизмите IKEv2 на фазата на протокола IPSec, като се използват съответните настройки на клиентския рутер, или се рекламират чрез BGP в MPLS от частния BGP AS, посочен в приложението на клиента . Така информацията за маршрутите на клиентските мрежи се контролира изцяло от клиента чрез настройките на клиентския рутер.
2. В отговор от своя мениджър клиентът получава счетоводни данни за включване в своя VRF от формата:
   • IP адрес на VPN-HUB
   • Потребителско име
   • Парола за удостоверяване
3. Конфигурира CPE, по-долу, например две основни опции за конфигурация:

   Опция за Cisco:
   крипто ikev2 ключодържател BeelineIPsec_keyring
   партньор Beeline_VPNHub
   адрес 62.141.99.183 –VPN център Beeline
   pre-shared-key <парола за удостоверяване>
   !
   За опцията за статично маршрутизиране маршрутите към мрежи, достъпни през Vpn-хъба, могат да бъдат посочени в конфигурацията IKEv2 и те автоматично ще се показват като статични маршрути в таблицата за маршрутизиране CE. Тези настройки могат да бъдат направени и чрез стандартния метод за задаване на статични маршрути (вижте по-долу).

   crypto ikev2 политика за оторизация FlexClient-автор

   Маршрут към мрежи зад CE рутера – задължителна настройка за статично маршрутизиране между CE и PE. Прехвърлянето на данни за маршрута към PE се извършва автоматично, когато тунелът се повдигне чрез взаимодействие IKEv2.

   route set remote ipv4 10.1.1.0 255.255.255.0 – Офис локална мрежа
   !
   крипто ikev2 профил BeelineIPSec_profile
   самоличност локално <вход>
   локално предварително споделяне за удостоверяване
   отдалечено предварително споделяне на удостоверяване
   локален ключодържател BeelineIPsec_keyring
   aaa група за оторизация psk списък group-author-list FlexClient-author
   !
   крипто ikev2 клиент flexvpn BeelineIPsec_flex
   партньор 1 Beeline_VPNHub
   тунел за свързване на клиент1
   !
   crypto ipsec transform-set TRANSFORM1 esp-aes 256 esp-sha256-hmac
   режим тунел
   !
   крипто ipsec профил по подразбиране
   set transform-set TRANSFORM1
   задайте ikev2-профил BeelineIPSec_profile
   !
   интерфейс Tunnel1
   IP адрес 10.20.1.2 255.255.255.252 – Адрес на тунела
   източник на тунел GigabitEthernet0/2 –Интерфейс за достъп до интернет
   тунелен режим ipsec ipv4
   динамика на дестинацията на тунела
   тунелна защита ipsec профил по подразбиране
   !
   Маршрутите до частните мрежи на клиента, достъпни чрез VPN концентратора на Beeline, могат да бъдат зададени статично.

   IP маршрут 172.16.0.0 255.255.0.0 Тунел1
   IP маршрут 192.168.0.0 255.255.255.0 Тунел1

   Опция за Huawei (ar160/120):
   ike local-name <login>
   #
   acl име ipsec 3999
   правило 1 разреши IP източник 10.1.1.0 0.0.0.255 – Офис локална мрежа
   #
   ааа
   услуга-схема IPSEC
   набор от маршрути acl 3999
   #
   ipsec предложение ipsec
   esp алгоритъм за удостоверяване sha2-256
   esp алгоритъм за криптиране aes-256
   #
   ike предложение по подразбиране
   алгоритъм за криптиране aes-256
   dh група2
   алгоритъм за удостоверяване sha2-256
   предварително споделяне на метод за удостоверяване
   алгоритъм за цялост hmac-sha2-256
   prf hmac-sha2-256
   #
   ike peer ipsec
   прост предварително споделен ключ <парола за удостоверяване>
   local-id-type fqdn
   отдалечен тип ip
   отдалечен адрес 62.141.99.183 –VPN център Beeline
   услуга-схема IPSEC
   заявка за обмен на конфигурация
   config-exchange set приеме
   config-exchange set изпрати
   #
   ipsec профил ipsecprof
   ike-peer ipsec
   предложение ipsec
   #
   интерфейс Tunnel0/0/0
   IP адрес 10.20.1.2 255.255.255.252 – Адрес на тунела
   тунелен протокол ipsec
   източник GigabitEthernet0/0/1 –Интерфейс за достъп до интернет
   ipsec профил ipsecprof
   #
   Маршрутите до частните мрежи на клиента, достъпни чрез VPN концентратора на Beeline, могат да бъдат зададени статично

   ip route-static 192.168.0.0 255.255.255.0 Tunnel0/0/0
   ip route-static 172.16.0.0 255.255.0.0 Tunnel0/0/0

Получената комуникационна диаграма изглежда по следния начин:

Ако клиентът не разполага с някои примери от основната конфигурация, тогава ние обикновено помагаме при тяхното формиране и ги предоставяме на всички останали.

Всичко, което остава, е да свържете CPE към интернет, да изпратите ping до отговорната част на VPN тунела и всеки хост вътре във VPN и това е всичко, можем да приемем, че връзката е осъществена.

В следващата статия ще ви разкажем как комбинирахме тази схема с IPSec и MultiSIM Redundancy с помощта на Huawei CPE: ние инсталираме нашия Huawei CPE за клиенти, които могат да използват не само кабелен интернет канал, но и 2 различни SIM карти и CPE автоматично възстановява IPSec-тунел чрез кабелна WAN или чрез радио (LTE#1/LTE#2), реализирайки висока толерантност към грешки на получената услуга.

Специални благодарности на нашите колеги от RnD за подготовката на тази статия (и всъщност на авторите на тези технически решения)!

Източник: www.habr.com