কিভাবে IPSec এর মাধ্যমে IPVPN Beeline এ যাবেন। অংশ 1

হ্যালো! ভিতরে পূর্ববর্তী পোস্ট আমি আংশিকভাবে আমাদের মাল্টিসিম পরিষেবার কাজ বর্ণনা করেছি সংরক্ষণ и ভারসাম্য চ্যানেল যেমন উল্লেখ করা হয়েছে, আমরা ভিপিএন এর মাধ্যমে ক্লায়েন্টদের নেটওয়ার্কের সাথে সংযুক্ত করি, এবং আজ আমি আপনাকে এই অংশে VPN এবং আমাদের ক্ষমতা সম্পর্কে আরও কিছু বলব।

এটা দিয়ে শুরু করা মূল্যবান যে, টেলিকম অপারেটর হিসেবে আমাদের নিজস্ব বিশাল MPLS নেটওয়ার্ক আছে, যা ফিক্সড-লাইন গ্রাহকদের জন্য দুটি প্রধান সেগমেন্টে বিভক্ত - একটি যা সরাসরি ইন্টারনেট অ্যাক্সেস করতে ব্যবহৃত হয়, এবং অন্যটি বিচ্ছিন্ন নেটওয়ার্ক তৈরি করতে ব্যবহৃত হয় — এবং এই MPLS সেগমেন্টের মাধ্যমেই আমাদের কর্পোরেট ক্লায়েন্টদের জন্য IPVPN (L3 OSI) এবং VPLAN (L2 OSI) ট্রাফিক প্রবাহিত হয়।

সাধারণত, একটি ক্লায়েন্ট সংযোগ নিম্নলিখিত হিসাবে ঘটে।

নেটওয়ার্কের নিকটতম অবস্থান থেকে ক্লায়েন্টের অফিসে একটি অ্যাক্সেস লাইন স্থাপন করা হয় (নোড MEN, RRL, BSSS, FTTB, ইত্যাদি) এবং আরও, চ্যানেলটি ট্রান্সপোর্ট নেটওয়ার্কের মাধ্যমে সংশ্লিষ্ট PE-MPLS-এ নিবন্ধিত হয়। রাউটার, যার উপর আমরা এটিকে ভিআরএফ ক্লায়েন্টের জন্য বিশেষভাবে তৈরি করা ট্রাফিক প্রোফাইলে আউটপুট করি, ক্লায়েন্টের প্রয়োজনীয় ট্রাফিক প্রোফাইলকে বিবেচনা করে (প্রোফাইল লেবেল প্রতিটি অ্যাক্সেস পোর্টের জন্য নির্বাচিত হয়, আইপি অগ্রাধিকার মান 0,1,3,5, এর উপর ভিত্তি করে, XNUMX)।

যদি কোনো কারণে আমরা ক্লায়েন্টের জন্য শেষ মাইলটি সম্পূর্ণরূপে সংগঠিত করতে না পারি, উদাহরণস্বরূপ, ক্লায়েন্টের অফিসটি একটি ব্যবসা কেন্দ্রে অবস্থিত, যেখানে অন্য প্রদানকারী একটি অগ্রাধিকার, অথবা আমাদের কাছে আমাদের উপস্থিতির অবস্থান নেই, তাহলে পূর্বে ক্লায়েন্টরা বিভিন্ন প্রদানকারীর (সবচেয়ে সাশ্রয়ী আর্কিটেকচার নয়) বেশ কয়েকটি IPVPN নেটওয়ার্ক তৈরি করতে হয়েছিল বা ইন্টারনেটের মাধ্যমে আপনার VRF-এ অ্যাক্সেস সংগঠিত করার সমস্যাগুলি স্বাধীনভাবে সমাধান করতে হয়েছিল।

অনেকে একটি আইপিভিপিএন ইন্টারনেট গেটওয়ে ইনস্টল করে এটি করেছে - তারা একটি বর্ডার রাউটার (হার্ডওয়্যার বা কিছু লিনাক্স-ভিত্তিক সমাধান) ইনস্টল করেছে, একটি আইপিভিপিএন চ্যানেলকে একটি পোর্টের সাথে সংযুক্ত করেছে এবং অন্যটির সাথে একটি ইন্টারনেট চ্যানেল, এটিতে তাদের ভিপিএন সার্ভার চালু করেছে এবং সংযুক্ত করেছে। ব্যবহারকারীরা তাদের নিজস্ব ভিপিএন গেটওয়ের মাধ্যমে। স্বাভাবিকভাবেই, এই ধরনের একটি স্কিম বোঝা তৈরি করে: এই ধরনের অবকাঠামো অবশ্যই তৈরি করা উচিত এবং, সবচেয়ে অসুবিধাজনকভাবে, পরিচালিত এবং বিকাশ করা উচিত।

আমাদের ক্লায়েন্টদের জীবন সহজ করতে, আমরা একটি কেন্দ্রীভূত VPN হাব ইনস্টল করেছি এবং IPSec ব্যবহার করে ইন্টারনেটে সংযোগের জন্য সংগঠিত সমর্থন করেছি, অর্থাৎ, এখন ক্লায়েন্টদের শুধুমাত্র তাদের রাউটার কনফিগার করতে হবে আমাদের VPN হাবের সাথে যেকোনো পাবলিক ইন্টারনেটের মাধ্যমে IPSec টানেলের মাধ্যমে কাজ করার জন্য। , এবং আমরা এই ক্লায়েন্টের ট্রাফিককে এর VRF-এ ছেড়ে দিই।

কাদের লাগবে

• যাদের ইতিমধ্যে একটি বড় IPVPN নেটওয়ার্ক রয়েছে এবং অল্প সময়ের মধ্যে নতুন সংযোগ প্রয়োজন তাদের জন্য।
• যে কেউ, কোনো কারণে, পাবলিক ইন্টারনেট থেকে IPVPN-এ ট্রাফিকের কিছু অংশ স্থানান্তর করতে চায়, কিন্তু এর আগে বেশ কিছু পরিষেবা প্রদানকারীর সাথে যুক্ত প্রযুক্তিগত সীমাবদ্ধতার সম্মুখীন হয়েছে।
• যাদের বর্তমানে বিভিন্ন টেলিকম অপারেটর জুড়ে বেশ কয়েকটি ভিন্ন ভিন্ন ভিপিএন নেটওয়ার্ক রয়েছে তাদের জন্য। এমন ক্লায়েন্ট আছেন যারা সফলভাবে Beeline, Megafon, Rostelecom, ইত্যাদি থেকে IPVPN সংগঠিত করেছেন। এটি সহজ করার জন্য, আপনি শুধুমাত্র আমাদের একক VPN-এ থাকতে পারেন, অন্যান্য অপারেটরগুলির অন্যান্য সমস্ত চ্যানেলকে ইন্টারনেটে স্যুইচ করতে পারেন, এবং তারপর এই অপারেটরদের থেকে IPSec এবং ইন্টারনেটের মাধ্যমে Beeline IPVPN-এর সাথে সংযোগ করতে পারেন৷
• যাদের ইতিমধ্যেই ইন্টারনেটে একটি IPVPN নেটওয়ার্ক রয়েছে তাদের জন্য।

আপনি যদি আমাদের সাথে সবকিছু স্থাপন করেন, তাহলে ক্লায়েন্টরা সম্পূর্ণ VPN সমর্থন, গুরুতর অবকাঠামোর অপ্রয়োজনীয়তা এবং স্ট্যান্ডার্ড সেটিংস পাবেন যা তারা অভ্যস্ত যেকোন রাউটারে কাজ করবে (সেটি সিসকো, এমনকি মিক্রোটিকই হোক, প্রধান জিনিসটি হল এটি সঠিকভাবে সমর্থন করতে পারে। IPSec/IKEv2 প্রমিত প্রমাণীকরণ পদ্ধতি সহ)। যাইহোক, IPSec সম্পর্কে - এই মুহূর্তে আমরা শুধুমাত্র এটিকে সমর্থন করি, তবে আমরা OpenVPN এবং Wireguard উভয়েরই পূর্ণাঙ্গ অপারেশন চালু করার পরিকল্পনা করছি, যাতে ক্লায়েন্টরা প্রোটোকলের উপর নির্ভর করতে না পারে এবং আমাদের কাছে সবকিছু নেওয়া এবং স্থানান্তর করা আরও সহজ হয়, এবং আমরা কম্পিউটার এবং মোবাইল ডিভাইস থেকে ক্লায়েন্টদের সংযোগ করা শুরু করতে চাই (ওএস, সিসকো অ্যানিকানেক্ট এবং শক্তিশালী সোয়ান এবং এর মতো সমাধানগুলি)। এই পদ্ধতির সাহায্যে, শুধুমাত্র CPE বা হোস্টের কনফিগারেশন রেখে পরিকাঠামোর ডি ফ্যাক্টো নির্মাণ নিরাপদে অপারেটরের কাছে হস্তান্তর করা যেতে পারে।

IPSec মোডের জন্য সংযোগ প্রক্রিয়া কীভাবে কাজ করে:

1. ক্লায়েন্ট তার ম্যানেজারের কাছে একটি অনুরোধ রেখে যান যাতে তিনি টানেলের জন্য প্রয়োজনীয় সংযোগের গতি, ট্র্যাফিক প্রোফাইল এবং আইপি অ্যাড্রেসিং প্যারামিটার (ডিফল্টরূপে, একটি /30 মাস্ক সহ একটি সাবনেট) এবং রাউটিং (স্ট্যাটিক বা BGP) এর ধরন নির্দেশ করে। সংযুক্ত অফিসে ক্লায়েন্টের স্থানীয় নেটওয়ার্কগুলিতে রুট স্থানান্তর করতে, IPSec প্রোটোকল পর্বের IKEv2 প্রক্রিয়াগুলি ক্লায়েন্ট রাউটারে উপযুক্ত সেটিংস ব্যবহার করে ব্যবহার করা হয়, অথবা সেগুলি ক্লায়েন্টের অ্যাপ্লিকেশনে নির্দিষ্ট করা ব্যক্তিগত BGP AS থেকে MPLS-এ BGP-এর মাধ্যমে বিজ্ঞাপন দেওয়া হয়। . সুতরাং, ক্লায়েন্ট নেটওয়ার্কগুলির রুট সম্পর্কে তথ্য ক্লায়েন্ট রাউটারের সেটিংসের মাধ্যমে ক্লায়েন্ট দ্বারা সম্পূর্ণরূপে নিয়ন্ত্রিত হয়।
2. তার ম্যানেজারের কাছ থেকে প্রতিক্রিয়া হিসাবে, ক্লায়েন্ট তার ফর্মের ভিআরএফ-এ অন্তর্ভুক্তির জন্য অ্যাকাউন্টিং ডেটা পায়:
   • VPN-HUB আইপি ঠিকানা
   • লগইন
   • প্রমাণীকরণ পাসওয়ার্ড
3. CPE কনফিগার করে, নীচে, উদাহরণস্বরূপ, দুটি মৌলিক কনফিগারেশন বিকল্প:

   সিস্কোর জন্য বিকল্প:
   ক্রিপ্টো ikev2 কীরিং BeelineIPsec_keyring
   পিয়ার Beeline_VPNHub
   ঠিকানা 62.141.99.183 -ভিপিএন হাব বেলাইন
   pre-shared-key <প্রমাণকরণ পাসওয়ার্ড>
   !
   স্ট্যাটিক রাউটিং বিকল্পের জন্য, Vpn-হাবের মাধ্যমে অ্যাক্সেসযোগ্য নেটওয়ার্কগুলির রুটগুলি IKEv2 কনফিগারেশনে নির্দিষ্ট করা যেতে পারে এবং সেগুলি স্বয়ংক্রিয়ভাবে CE রাউটিং টেবিলে স্ট্যাটিক রুট হিসাবে উপস্থিত হবে। স্ট্যাটিক রুট সেট করার স্ট্যান্ডার্ড পদ্ধতি ব্যবহার করেও এই সেটিংস করা যেতে পারে (নীচে দেখুন)।

   ক্রিপ্টো ikev2 অনুমোদন নীতি ফ্লেক্সক্লায়েন্ট-লেখক

   CE রাউটারের পিছনে নেটওয়ার্কের রুট - CE এবং PE এর মধ্যে স্ট্যাটিক রাউটিং এর জন্য একটি বাধ্যতামূলক সেটিং। IKEv2 ইন্টারঅ্যাকশনের মাধ্যমে টানেল উত্থাপিত হলে PE-তে রুট ডেটা স্থানান্তর স্বয়ংক্রিয়ভাবে সম্পন্ন হয়।

   রুট সেট রিমোট ipv4 10.1.1.0 255.255.255.0 -অফিস স্থানীয় নেটওয়ার্ক
   !
   ক্রিপ্টো ikev2 প্রোফাইল BeelineIPSec_profile
   পরিচয় স্থানীয় <লগইন>
   প্রমাণীকরণ স্থানীয় প্রাক ভাগ
   প্রমাণীকরণ দূরবর্তী প্রাক ভাগ
   keyring স্থানীয় BeelineIPsec_keyring
   aaa অনুমোদন গ্রুপ psk তালিকা গ্রুপ-লেখক-তালিকা ফ্লেক্সক্লায়েন্ট-লেখক
   !
   ক্রিপ্টো ikev2 ক্লায়েন্ট flexvpn BeelineIPsec_flex
   পিয়ার 1 Beeline_VPNHub
   ক্লায়েন্ট সংযোগ টানেল1
   !
   ক্রিপ্টো ipsec ট্রান্সফর্ম-সেট TRANSFORM1 esp-aes 256 esp-sha256-hmac
   মোড টানেল
   !
   ক্রিপ্টো ipsec প্রোফাইল ডিফল্ট
   ট্রান্সফর্ম-সেট TRANSFORM1
   ikev2-প্রোফাইল BeelineIPSec_profile সেট করুন
   !
   ইন্টারফেস টানেল1
   আইপি ঠিকানা 10.20.1.2 255.255.255.252 - টানেলের ঠিকানা
   টানেলের উৎস গিগাবাইট ইথারনেট0/2 - ইন্টারনেট অ্যাক্সেস ইন্টারফেস
   টানেল মোড ipsec ipv4
   টানেল গন্তব্য গতিশীল
   টানেল সুরক্ষা ipsec প্রোফাইল ডিফল্ট
   !
   Beeline VPN কনসেনট্রেটরের মাধ্যমে অ্যাক্সেসযোগ্য ক্লায়েন্টের ব্যক্তিগত নেটওয়ার্কের রুটগুলি স্থিরভাবে সেট করা যেতে পারে।

   আইপি রুট 172.16.0.0 255.255.0.0 টানেল1
   আইপি রুট 192.168.0.0 255.255.255.0 টানেল1

   Huawei এর জন্য বিকল্প (ar160/120):
   ike local-name <login>
   #
   acl নাম ipsec 3999
   নিয়ম 1 পারমিট আইপি সোর্স 10.1.1.0 0.0.0.255 -অফিস স্থানীয় নেটওয়ার্ক
   #
   AAA
   পরিষেবা-স্কিম IPSEC
   রুট সেট acl 3999
   #
   ipsec প্রস্তাব ipsec
   esp প্রমাণীকরণ-অ্যালগরিদম sha2-256
   esp এনক্রিপশন-অ্যালগরিদম aes-256
   #
   ike প্রস্তাব ডিফল্ট
   এনক্রিপশন-অ্যালগরিদম aes-256
   dh গ্রুপ2
   প্রমাণীকরণ-অ্যালগরিদম sha2-256
   প্রমাণীকরণ পদ্ধতি প্রি-শেয়ার
   অখণ্ডতা-অ্যালগরিদম hmac-sha2-256
   prf hmac-sha2-256
   #
   ike পিয়ার ipsec
   pre-shared-key সহজ <প্রমাণকরণ পাসওয়ার্ড>
   স্থানীয়-আইডি-টাইপ fqdn
   রিমোট-আইডি-টাইপ আইপি
   দূরবর্তী ঠিকানা 62.141.99.183 -ভিপিএন হাব বেলাইন
   পরিষেবা-স্কিম IPSEC
   কনফিগার-এক্সচেঞ্জ অনুরোধ
   কনফিগার-এক্সচেঞ্জ সেট গ্রহণ করুন
   কনফিগার-এক্সচেঞ্জ সেট পাঠান
   #
   ipsec প্রোফাইল ipsecprof
   ike-peer ipsec
   প্রস্তাব ipsec
   #
   ইন্টারফেস টানেল0/0/0
   আইপি ঠিকানা 10.20.1.2 255.255.255.252 - টানেলের ঠিকানা
   টানেল-প্রটোকল ipsec
   উৎস GigabitEthernet0/0/1 - ইন্টারনেট অ্যাক্সেস ইন্টারফেস
   ipsec প্রোফাইল ipsecprof
   #
   Beeline VPN কনসেনট্রেটরের মাধ্যমে অ্যাক্সেসযোগ্য ক্লায়েন্টের ব্যক্তিগত নেটওয়ার্কগুলির রুটগুলি স্ট্যাটিকভাবে সেট করা যেতে পারে

   আইপি রুট-স্ট্যাটিক 192.168.0.0 255.255.255.0 টানেল0/0/0
   আইপি রুট-স্ট্যাটিক 172.16.0.0 255.255.0.0 টানেল0/0/0

ফলে যোগাযোগের চিত্রটি এরকম কিছু দেখায়:

যদি ক্লায়েন্টের কাছে মৌলিক কনফিগারেশনের কিছু উদাহরণ না থাকে, তাহলে আমরা সাধারণত তাদের গঠনে সাহায্য করি এবং সেগুলি অন্য সবার জন্য উপলব্ধ করি।

যা বাকি থাকে তা হল CPE কে ইন্টারনেটের সাথে সংযুক্ত করা, VPN টানেলের প্রতিক্রিয়া অংশে পিং করা এবং VPN-এর ভিতরের যেকোন হোস্ট, এবং এটিই, আমরা ধরে নিতে পারি যে সংযোগটি তৈরি হয়েছে।

পরের প্রবন্ধে আমরা আপনাকে বলবো কিভাবে আমরা এই স্কিমটিকে Huawei CPE ব্যবহার করে IPSec এবং MultiSIM রিডানডেন্সির সাথে একত্রিত করেছি: আমরা ক্লায়েন্টদের জন্য আমাদের Huawei CPE ইনস্টল করি, যা শুধুমাত্র একটি তারযুক্ত ইন্টারনেট চ্যানেলই নয়, 2টি ভিন্ন সিম কার্ড এবং CPE ব্যবহার করতে পারে। স্বয়ংক্রিয়ভাবে একটি তারযুক্ত WAN এর মাধ্যমে বা রেডিওর (LTE#1/LTE#2) মাধ্যমে IPSec- টানেলটি স্বয়ংক্রিয়ভাবে পুনর্নির্মাণ করে, ফলে পরিষেবার উচ্চ ত্রুটি সহনশীলতা উপলব্ধি করে।

এই নিবন্ধটি প্রস্তুত করার জন্য আমাদের RnD সহকর্মীদের বিশেষ ধন্যবাদ (এবং প্রকৃতপক্ষে, এই প্রযুক্তিগত সমাধানগুলির লেখকদের)!

উত্স: www.habr.com