পালো অল্টো নেটওয়ার্ক সরঞ্জামগুলিতে আইপিসেক সাইট-টু-সাইট ভিপিএন কনফিগার করা হচ্ছে

এই নিবন্ধটি একটি ধারাবাহিকতা পূর্ববর্তী উপাদানসরঞ্জাম সেট আপ বৈশিষ্ট্য নিবেদিত পালো আল্টো নেটওয়ার্ক . এখানে আমরা সেটিং সম্পর্কে কথা বলতে চাই IPSec সাইট-টু-সাইট ভিপিএন সরঞ্জাম উপর পালো আল্টো নেটওয়ার্ক এবং বেশ কয়েকটি ইন্টারনেট প্রদানকারীকে সংযুক্ত করার জন্য একটি সম্ভাব্য কনফিগারেশন বিকল্প সম্পর্কে।

প্রদর্শনের জন্য, প্রধান কার্যালয়কে শাখার সাথে সংযুক্ত করার জন্য একটি আদর্শ স্কিম ব্যবহার করা হবে। একটি ত্রুটি-সহনশীল ইন্টারনেট সংযোগ প্রদানের জন্য, প্রধান কার্যালয় দুটি প্রদানকারীর একযোগে সংযোগ ব্যবহার করে: ISP-1 এবং ISP-2। শাখাটির শুধুমাত্র একটি প্রদানকারীর সাথে সংযোগ রয়েছে, ISP-3। ফায়ারওয়াল PA-1 এবং PA-2 এর মধ্যে দুটি টানেল তৈরি করা হয়েছে। টানেলগুলো চালু আছে। সক্রিয়-স্ট্যান্ডবাই, টানেল-1 উঠে গেছে, টানেল-2 ব্যর্থ হলে টানেল-1 ট্র্যাফিক ফরওয়ার্ড করা শুরু করবে। টানেল-1 ISP-1 এর সাথে একটি সংযোগ ব্যবহার করে, Tunnel-2 ISP-2 এর সাথে একটি সংযোগ ব্যবহার করে। সমস্ত আইপি ঠিকানা এলোমেলোভাবে প্রদর্শনের উদ্দেশ্যে তৈরি করা হয় এবং বাস্তবতার সাথে সম্পর্কিত নয়।

সাইট-টু-সাইট নির্মাণের জন্য ভিপিএন ব্যবহার করা হবে আইপিসেক - আইপি প্রোটোকলের মাধ্যমে প্রেরিত ডেটার সুরক্ষা নিশ্চিত করার জন্য প্রোটোকলের একটি সেট। আইপিসেক নিরাপত্তা প্রোটোকল ব্যবহার করে কাজ করবে ESP (এনক্যাপসুলেটিং সিকিউরিটি পেলোড), যা প্রেরিত ডেটার এনক্রিপশন নিশ্চিত করবে।

В আইপিসেক অন্তর্ভুক্ত Ike (ইন্টারনেট কী এক্সচেঞ্জ) হল একটি প্রোটোকল যা SA (নিরাপত্তা সংস্থা) আলোচনার জন্য দায়ী, নিরাপত্তা পরামিতি যা প্রেরিত ডেটা রক্ষা করতে ব্যবহৃত হয়। প্যান ফায়ারওয়াল সমর্থন IKEv1 и IKEv2.

В IKEv1 ভিপিএন সংযোগ দুটি পর্যায়ে নির্মিত হয়: IKEv1 ফেজ 1 (IKE টানেল) এবং IKEv1 ফেজ 2 (IPSec টানেল), এইভাবে, দুটি টানেল তৈরি করা হয়, যার মধ্যে একটি ফায়ারওয়ালের মধ্যে পরিষেবার তথ্য বিনিময় করে, দ্বিতীয়টি - ট্র্যাফিক স্থানান্তর করতে। ভিতরে IKEv1 ফেজ 1 অপারেশনের দুটি মোড রয়েছে - প্রধান মোড এবং আক্রমণাত্মক মোড। আক্রমনাত্মক মোড কম বার্তা ব্যবহার করে এবং দ্রুততর, কিন্তু পিয়ার আইডেন্টিটি সুরক্ষা সমর্থন করে না।

IKEv2 প্রতিস্থাপিত IKEv1, এবং তুলনায় IKEv1 এর প্রধান সুবিধা হল নিম্ন ব্যান্ডউইথের প্রয়োজনীয়তা এবং দ্রুত SA আলোচনা। ভিতরে IKEv2 কম ওভারহেড বার্তা ব্যবহার করা হয় (মোট 4), EAP, MOBIKE প্রোটোকল সমর্থিত, এবং যে পিয়ারের সাথে টানেল তৈরি করা হয়েছে তার প্রাপ্যতা পরীক্ষা করার জন্য একটি প্রক্রিয়া যোগ করা হয়েছে - সজীবতা পরীক্ষা, যা IKEv1-এ ডেড পিয়ার ডিটেকশন প্রতিস্থাপন করে। চেক ব্যর্থ হলে, তারপর IKEv2 টানেল রিসেট করতে পারে এবং তারপর প্রথম সুযোগে স্বয়ংক্রিয়ভাবে পুনরুদ্ধার করতে পারে। আপনি পার্থক্য সম্পর্কে আরো জানতে পারেন এখানে পড়ুন.

যদি টানেলটি বিভিন্ন নির্মাতাদের ফায়ারওয়ালের মধ্যে তৈরি করা হয়, তাহলে বাস্তবায়নে বাগ থাকতে পারে IKEv2, এবং এই ধরনের সরঞ্জামের সাথে সামঞ্জস্যের জন্য এটি ব্যবহার করা সম্ভব IKEv1. অন্যান্য ক্ষেত্রে এটি ব্যবহার করা ভাল IKEv2.

সেটআপ স্টেপস:

• ActiveStandby মোডে দুটি ISP সেট আপ করা

এই বৈশিষ্ট্যটি বাস্তবায়নের বিভিন্ন উপায় রয়েছে। তার মধ্যে একটি হল মেকানিজম ব্যবহার করা পথ পর্যবেক্ষণ, যা সংস্করণ থেকে শুরু করে উপলব্ধ হয়েছে৷ PAN-OS 8.0.0. এই উদাহরণ 8.0.16 সংস্করণ ব্যবহার করে। এই বৈশিষ্ট্যটি সিসকো রাউটারগুলিতে আইপি এসএলএর মতো। স্ট্যাটিক ডিফল্ট রুট প্যারামিটার একটি নির্দিষ্ট উৎস ঠিকানা থেকে একটি নির্দিষ্ট আইপি ঠিকানায় পিং প্যাকেট পাঠাতে কনফিগার করা হয়। এই ক্ষেত্রে, ইথারনেট1/1 ইন্টারফেস প্রতি সেকেন্ডে একবার ডিফল্ট গেটওয়েকে পিং করে। যদি পরপর তিনটি পিংয়ের জন্য কোন প্রতিক্রিয়া না থাকে, তাহলে রুটটিকে মৃত বলে গণ্য করা হয় এবং রাউটিং টেবিল থেকে সরিয়ে দেওয়া হয়। একই রুটটি দ্বিতীয় ইন্টারনেট প্রদানকারীর দিকে কনফিগার করা হয়েছে, কিন্তু একটি বড় মেট্রিক সহ (এটি একটি ব্যাকআপ)। একবার টেবিল থেকে প্রথম রুটটি সরানো হলে, ফায়ারওয়াল দ্বিতীয় রুট − বরাবর ট্রাফিক পাঠাতে শুরু করবে ফেইল ওভার. যখন প্রথম প্রদানকারী পিংগুলিতে প্রতিক্রিয়া জানাতে শুরু করে, তখন তার রুটটি টেবিলে ফিরে আসবে এবং একটি ভাল মেট্রিকের কারণে দ্বিতীয়টি প্রতিস্থাপন করবে - ফেইল ব্যাক. প্রক্রিয়া ফেইল ওভার কনফিগার করা ব্যবধানের উপর নির্ভর করে কয়েক সেকেন্ড সময় নেয়, কিন্তু যে কোনো ক্ষেত্রেই, প্রক্রিয়াটি তাৎক্ষণিক নয়, এবং এই সময়ে ট্রাফিক হারিয়ে যায়। ফেইল ব্যাক ট্রাফিক ক্ষতি ছাড়া পাস. করার সুযোগ আছে ফেইল ওভার সঙ্গে দ্রুত BFDযদি আপনার আইএসপি আপনাকে তা করতে দেয়। BFD মডেল থেকে সমর্থিত PA-3000 সিরিজ и VM- র-100. পিংয়ের ঠিকানা হিসাবে, প্রদানকারীর গেটওয়ে নয়, একটি সর্বজনীন, সর্বদা উপলব্ধ ইন্টারনেট ঠিকানা উল্লেখ করা ভাল।

• একটি টানেল ইন্টারফেস তৈরি করা

টানেলের ভিতরে ট্র্যাফিক বিশেষ ভার্চুয়াল ইন্টারফেসের মাধ্যমে প্রেরণ করা হয়। তাদের প্রত্যেককে ট্রানজিট নেটওয়ার্ক থেকে একটি IP ঠিকানা দিয়ে কনফিগার করা আবশ্যক৷ এই উদাহরণে, টানেল-1 সাবনেট 172.16.1.0/30 ব্যবহার করবে এবং টানেল-2 সাবনেট 172.16.2.0/30 ব্যবহার করবে।
টানেল ইন্টারফেসটি বিভাগে তৈরি করা হয়েছে নেটওয়ার্ক -> ইন্টারফেস -> টানেল. আপনাকে অবশ্যই ভার্চুয়াল রাউটার এবং নিরাপত্তা অঞ্চল, সেইসাথে সংশ্লিষ্ট পরিবহন নেটওয়ার্ক থেকে একটি IP ঠিকানা উল্লেখ করতে হবে। ইন্টারফেস নম্বর যেকোনো কিছু হতে পারে।

অধ্যায় অগ্রসর আপনি নির্দিষ্ট করতে পারেন ম্যানেজমেন্ট প্রোফাইলযা প্রদত্ত ইন্টারফেসে পিং করার অনুমতি দেবে, এটি পরীক্ষার জন্য দরকারী হতে পারে।

• IKE প্রোফাইল কনফিগার করা

IKE প্রোফাইল একটি VPN সংযোগ তৈরির প্রথম পর্যায়ের জন্য দায়ী, টানেল পরামিতি এখানে নির্দিষ্ট করা হয়েছে IKE ফেজ 1. প্রোফাইলটি বিভাগে তৈরি করা হয়েছে নেটওয়ার্ক -> নেটওয়ার্ক প্রোফাইল -> আইকেই ক্রিপ্টো. আপনাকে অবশ্যই এনক্রিপশন অ্যালগরিদম, হ্যাশিং, ডিফি-হেলম্যান গ্রুপ এবং কী লাইফটাইম নির্দিষ্ট করতে হবে। সাধারণভাবে, অ্যালগরিদমগুলি যত জটিল, কার্যক্ষমতা তত খারাপ, সেগুলি নির্দিষ্ট নিরাপত্তা প্রয়োজনীয়তার উপর ভিত্তি করে বেছে নেওয়া উচিত। যাইহোক, সংবেদনশীল তথ্য রক্ষা করার জন্য 14 বছরের নিচে একটি Diffie-Hellman গ্রুপ ব্যবহার করা দৃঢ়ভাবে নিরুৎসাহিত করা হয়। এটি একটি প্রোটোকল দুর্বলতার কারণে, যা শুধুমাত্র 2048 বিট বা উচ্চতর একটি মডুলাস সাইজ বা উপবৃত্তাকার ক্রিপ্টোগ্রাফি অ্যালগরিদম ব্যবহার করে সমতল করা যেতে পারে যা 19, 20, 21, 24 গ্রুপে ব্যবহৃত হয়৷ এই অ্যালগরিদমগুলির পারফরম্যান্স প্রথাগত ক্রিপ্টোগ্রাফির তুলনায় ভাল . এখানে আরো পড়ুন।। এবং এখানে.

• IPSec প্রোফাইল সেটিং

একটি VPN সংযোগ তৈরির দ্বিতীয় ধাপ হল একটি IPSec টানেল। এটির জন্য SA প্যারামিটারগুলি কনফিগার করা হয়েছে৷ নেটওয়ার্ক -> নেটওয়ার্ক প্রোফাইল -> IPSec ক্রিপ্টো প্রোফাইল. এখানে আপনাকে IPSec প্রোটোকল উল্লেখ করতে হবে - AH অথবা ESP, সেইসাথে পরামিতি SA - হ্যাশিং অ্যালগরিদম, এনক্রিপশন, ডিফি-হেলম্যান গ্রুপ এবং মূল জীবনকাল। IKE ক্রিপ্টো প্রোফাইল এবং IPSec ক্রিপ্টো প্রোফাইলের SA সেটিংস নাও মিলতে পারে।

• IKE গেটওয়ে কনফিগার করা

IKE গেটওয়ে রাউটার বা ফায়ারওয়ালকে নির্দেশ করে এমন একটি বস্তু যা দিয়ে VPN টানেল তৈরি করা হচ্ছে। প্রতিটি টানেলের জন্য, আপনাকে নিজের তৈরি করতে হবে IKE গেটওয়ে. এই ক্ষেত্রে, প্রতিটি আইএসপির মাধ্যমে একটি করে দুটি টানেল তৈরি করা হয়। সংশ্লিষ্ট আউটগোয়িং ইন্টারফেস এবং এর আইপি-ঠিকানা, পিয়ারের আইপি-ঠিকানা এবং শেয়ার্ড কী নির্দিষ্ট করা আছে। একটি পূর্ব-ভাগ করা কী এর বিকল্প হিসাবে, আপনি সার্টিফিকেট ব্যবহার করতে পারেন।

এখানেই আগে তৈরি হয়েছে IKE ক্রিপ্টো প্রোফাইল. দ্বিতীয় বস্তুর পরামিতি IKE গেটওয়ে আইপি ঠিকানা ছাড়া একই. যদি Palo Alto Networks ফায়ারওয়াল একটি NAT রাউটারের পিছনে অবস্থিত থাকে, তাহলে আপনাকে মেকানিজম সক্রিয় করতে হবে NAT ট্রাভার্সাল.

• IPSec টানেল সেট আপ করা হচ্ছে

IPSec টানেল - এটি একটি বস্তু যা IPSec টানেলের পরামিতি নির্দিষ্ট করে, যেমন নামটি বোঝায়। এখানে আপনাকে টানেল ইন্টারফেস এবং পূর্বে তৈরি করা বস্তু নির্দিষ্ট করতে হবে IKE গেটওয়ে, IPSec ক্রিপ্টো প্রোফাইল. ব্যাকআপ টানেলে রাউটিংয়ের স্বয়ংক্রিয় স্যুইচিং নিশ্চিত করতে, আপনাকে সক্ষম করতে হবে টানেল মনিটর. এটি এমন একটি প্রক্রিয়া যা ICMP ট্র্যাফিক ব্যবহার করে একজন সহকর্মী জীবিত কিনা তা পরীক্ষা করে। গন্তব্য ঠিকানা হিসাবে, আপনাকে পিয়ারের টানেল ইন্টারফেসের IP ঠিকানা উল্লেখ করতে হবে যার সাথে টানেলটি তৈরি করা হচ্ছে। প্রোফাইল টাইমার এবং সংযোগ হারানোর ক্রিয়া উল্লেখ করে। পুনরুদ্ধারের জন্য অপেক্ষা করুন - সংযোগ পুনরুদ্ধার না হওয়া পর্যন্ত অপেক্ষা করুন, ফেইল ওভার — একটি ভিন্ন রুট বরাবর ট্রাফিক পাঠান, যদি থাকে। দ্বিতীয় টানেল সেট আপ করা সম্পূর্ণ অনুরূপ, দ্বিতীয় টানেল ইন্টারফেস এবং IKE গেটওয়ে নির্দেশিত।

• রাউটিং সেটআপ

এই উদাহরণটি স্ট্যাটিক রাউটিং ব্যবহার করে। PA-1 ফায়ারওয়ালে, দুটি ডিফল্ট রুট ছাড়াও, আপনাকে শাখায় 10.10.10.0/24 সাবনেটে দুটি রুট নির্দিষ্ট করতে হবে। একটি রুট টানেল-1 ব্যবহার করে, অন্যটি টানেল-2 ব্যবহার করে। টানেল-1 এর মধ্য দিয়ে যাওয়ার রুটটি প্রধান কারণ এটির মেট্রিক কম। পদ্ধতি পথ পর্যবেক্ষণ এই রুট জন্য ব্যবহার করা হয় না. স্যুইচ করার জন্য দায়ী টানেল মনিটর.

192.168.30.0/24 সাবনেটের জন্য একই রুটগুলি PA-2-এ কনফিগার করা আবশ্যক।

• নেটওয়ার্ক নিয়ম সেট আপ করা

টানেলের কাজ করার জন্য তিনটি নিয়ম রয়েছে:

1. কাজের জন্য পাথ মনিটর বাহ্যিক ইন্টারফেসে ICMP অনুমতি দিন।
2. থেকে আইপিসেক অ্যাপগুলিকে অনুমতি দিন Ike и ipsec বাহ্যিক ইন্টারফেসে।
3. অভ্যন্তরীণ সাবনেট এবং টানেল ইন্টারফেসের মধ্যে ট্রাফিকের অনুমতি দিন।

উপসংহার

এই নিবন্ধটি একটি ত্রুটি-সহনশীল ইন্টারনেট সংযোগ সেট আপ করার বিকল্প আলোচনা করে এবং সাইট-টু-সাইট ভিপিএন. আমরা আশা করি যে তথ্যটি দরকারী ছিল, এবং পাঠক এতে ব্যবহৃত প্রযুক্তি সম্পর্কে ধারণা পেয়েছেন পালো আল্টো নেটওয়ার্ক. আপনার যদি সেট আপ সম্পর্কে প্রশ্ন থাকে এবং ভবিষ্যতের নিবন্ধগুলির বিষয়ে শুভেচ্ছা থাকে - মন্তব্যগুলিতে সেগুলি লিখুন, আমরা উত্তর দিতে পেরে খুশি হব।

উত্স: www.habr.com