{"id":39000,"date":"2019-10-31T22:27:16","date_gmt":"2019-10-31T19:27:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika\/"},"modified":"2019-10-31T22:27:16","modified_gmt":"2019-10-31T19:27:16","slug":"shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","title":{"rendered":"Kryptering i henhold til GOST: en huskeliste til ops\u00e6tning af dynamisk trafikrouting","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Kryptering
\nHvis din virksomhed overf\u00f8rer eller modtager personoplysninger og anden fortrolig information, som skal beskyttes i henhold til lovgivningen, er det n\u00f8dvendigt at anvende kryptering i henhold til GOST. I dag vil vi fort\u00e6lle, hvordan vi implementerede en s\u00e5dan kryptering baseret p\u00e5 en kryptogate (KG) S-Terra hos en af vores kunder. Denne historie vil v\u00e6re interessant for informationssikkerhedsspecialister, samt ingeni\u00f8rer, designere og arkitekter. Vi vil ikke dykke dybt ned i nuancerne i den tekniske konfiguration i dette indl\u00e6g - vi vil fokusere p\u00e5 n\u00f8glepunkterne i den grundl\u00e6ggende ops\u00e6tning. Der er store m\u00e6ngder dokumentation tilg\u00e6ngelig online om ops\u00e6tning af d\u00e6moner i Linux, som KG S-Terra er baseret p\u00e5. Dokumentation til ops\u00e6tning af den propriet\u00e6re software S-Terra findes ogs\u00e5 frit tilg\u00e6ngelig. portal<\/a><\/noindex> producentens side.
\n<\/a><\/noindex><\/p>\n

Et par ord om projektet <\/h2>\n

\nNetv\u00e6rkstopologien hos kunden var typisk - full mesh mellem hovedkontoret og filialerne. Det var n\u00f8dvendigt at implementere kryptering af informationsudvekslingskanaler mellem alle lokationer, som var 8 i alt. <\/p>\n

Normalt er alt statisk i s\u00e5danne projekter: der angives statiske ruter i kryptogate (KG) til det lokale netv\u00e6rk p\u00e5 lokationen, og der oprettes IP-adresse lister (ACL) til krypteringen. Men i dette tilf\u00e6lde har lokationerne ikke centraliseret styring, og der kan ske alt muligt inden for deres lokale netv\u00e6rk: netv\u00e6rk kan tilf\u00f8jes, fjernes og \u00e6ndres p\u00e5 forskellige m\u00e5der. For at undg\u00e5 omkonfiguration af routing og ACL p\u00e5 KG ved \u00e6ndringer i adresseringen af de lokale netv\u00e6rk p\u00e5 lokationerne, blev det besluttet at anvende GRE-tunneling og dynamisk routing via OSPF, som inkluderer alle KG'er og de fleste kerneroutere i netv\u00e6rket p\u00e5 lokationerne (p\u00e5 nogle lokaliteter foretrak infrastrukturadministratorerne at bruge SNAT hen mod KG p\u00e5 kernerouterne). <\/p>\n

GRE-tunneling l\u00f8ste to opgaver:
\n1.<\/b> Brug IP-adressen p\u00e5 KG's eksterne interface i ACL til kryptering, hvori al trafik, der er rettet mod andre lokationer, er indkapslet.
\n2.<\/b> Organisere p-t-p tunneler mellem KG'er, som g\u00f8r det muligt at indstille dynamisk routing (i vores tilf\u00e6lde er der oprettet en leverand\u00f8r MPLS L3VPN mellem lokationerne).<\/p>\n

Kunden har bestilt implementeringen af kryptering som en tjeneste. Ellers ville han skulle vedligeholde kryptogateways eller outsource til et firma, samt selv overv\u00e5ge livscyklussen for krypteringscertifikater, forny dem til tiden og installere nye.
\n\"Kryptering
\nOg nu selve huskereglen \u2013 hvordan og hvad vi har konfigureret<\/p>\n

Hvordan man konfigurerer kryptogatewayen for KII-subjektet <\/h2>\n

<\/p>\n

Grundl\u00e6ggende netv\u00e6rkskonfiguration<\/h3>\n

\nF\u00f8rst starter vi den nye KG og kommer ind i administrationskonsollen. Vi skal starte med at \u00e6ndre adgangskoden for den indbyggede administrator \u2013 kommandoen change user password administrator<\/b>. Derefter skal vi udf\u00f8re initialiseringsproceduren (kommandoen initialize<\/b>) hvori licensoplysningerne indtastes og den tilf\u00e6ldige talgenerator (RNG) initialiseres.<\/p>\n

V\u00e6r opm\u00e6rksom p\u00e5!<\/u><\/b> Ved initialisering af KG S-Terra bliver sikkerhedspolitikken fastlagt, hvor interfaces for sikkerhedsgatewayen ikke tillader pakker at passere. Det er n\u00f8dvendigt enten at oprette sin egen politik eller aktivere den forudindstillede tilladelsespolitik ved hj\u00e6lp af kommandoen run csconf_mgr activate<\/b> .
\nDerefter skal vi konfigurere adresseringen af de eksterne og interne interfaces samt standardruten. Arbejdet med netv\u00e6rkskonfigurationen af KG og krypteringsindstillingen anbefales at blive udf\u00f8rt gennem en Cisco-lignende konsol. Denne konsol er designet til at indtaste kommandoer, der minder om Cisco IOS-kommandoer. Konfigurationen, der er dannet ved hj\u00e6lp af Cisco-lignende konsol, bliver konverteret til de tilsvarende konfigurationsfiler, som operativsystemets d\u00e6moner arbejder med. Man kan skifte til Cisco-lignende konsol fra administrationskonsollen med kommandoen configure<\/b>.<\/p>\n

\u00c6ndrer adgangskoderne for den indbyggede bruger cscons og enable: <\/p>\n

>enable
\nAdgangskode: csp (forudindstillet)
\n#configure terminal
\n#username cscons privilege 15 secret 0 #enable secret 0 \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0431\u0430\u0437\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#no shutdown
\n#interface GigabitEthernet0\/1
\n#ip address 192.168.2.5 255.255.255.252
\n#no shutdown
\n#ip route 0.0.0.0 0.0.0.0 10.111.21.254<\/p>\n

GRE<\/h3>\n

\nVi forlader den Cisco-lignende konsol og g\u00e5r over til debian shell med kommandoen system<\/b>. Vi opretter en ny adgangskode for brugeren root<\/b> med kommandoen passwd<\/b>.
\nDer oprettes en separat tunnel for hver placering p\u00e5 hver KG. Konfigurationen af tunnelinterface sker i filen \/etc\/network\/interfaces<\/b>. Oprettelsen af selve interfacet h\u00e5ndteres af v\u00e6rkt\u00f8jet IP tunnel, der er en del af det forudindstillede iproute2-s\u00e6t. Kommandoen til at oprette interfacet skrives ind i pre-up-optionen.<\/p>\n

Eksempel p\u00e5 konfiguration af et typisk tunnelinterface:
\nauto site1
\niface site1 inet static
\naddress 192.168.1.4
\nnetmask 255.255.255.254
\npre-up ip tunnel add site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p<\/p>\n

V\u00e6r opm\u00e6rksom p\u00e5!<\/u><\/b> Det er vigtigt at bem\u00e6rke, at indstillingerne for tunnelgr\u00e6nseflader skal placeres uden for sektionen <\/p>\n

###netifcfg-begin###
\n*****
\n###netifcfg-end###<\/p>\n

Ellers vil disse indstillinger blive overskrevet ved \u00e6ndringer af netv\u00e6rksindstillinger for de fysiske gr\u00e6nseflader via en Cisco-lignende konsol.<\/p>\n

Dynamisk routing<\/h3>\n

\nI S-Terra implementeres dynamisk routing ved hj\u00e6lp af softwarepakken Quagga. For at konfigurere OSPF kr\u00e6ver vi aktivering og ops\u00e6tning af d\u00e6monerne zebra<\/b> og ospfd<\/b>. D\u00e6monen zebra h\u00e5ndterer kommunikationen mellem routingd\u00e6monerne og operativsystemet. D\u00e6monen ospfd, som navnet antyder, er ansvarlig for implementeringen af OSPF-protokollen.
\nKonfigurationen af OSPF udf\u00f8res enten gennem d\u00e6monens konsol eller direkte via konfigurationsfilen \/etc\/quagga\/ospfd.conf<\/b>. Filen tilf\u00f8jer alle fysiske og tunnelgr\u00e6nseflader, der deltager i den dynamiske routing, samt netv\u00e6rk, der vil blive annonceret og modtage annonceringer.<\/p>\n

Eksempel p\u00e5 konfiguration, der skal tilf\u00f8jes til ospfd.conf<\/b>:
\ninterface eth0
\n!
\ninterface eth1
\n!
\ninterface site1
\n!
\ninterface site2
\nrouter ospf
\n ospf router-id 192.168.2.21
\n network 192.168.1.4\/31 area 0.0.0.0
\n network 192.168.1.16\/31 area 0.0.0.0
\n network 192.168.2.4\/30 area 0.0.0.0<\/p>\n

I dette tilf\u00e6lde er adresserne 192.168.1.x\/31 tildelt til punkt-til-punkt tunnel netv\u00e6rk mellem lokationerne, mens adresserne 192.168.2.x\/30 er til transitnetv\u00e6rk mellem switchene og kernerouterne. <\/p>\n

V\u00e6r opm\u00e6rksom p\u00e5!<\/b><\/u> For at reducere routingtabellen i st\u00f8rre installationer kan annoncering af selve transitnetv\u00e6rkene filtreres med konstruktionerne no redistribute connected<\/b> eller redistribute connected route-map<\/b>.<\/p>\n

Efter ops\u00e6tning af d\u00e6monerne skal status for opstart af d\u00e6monerne \u00e6ndres i \/etc\/quagga\/daemons<\/b>. Under indstillingerne zebra<\/b> og ospfd<\/b> skal no \u00e6ndres til yes. Start d\u00e6monen quagga og indstil dens automatisk opstart ved systemstart med kommandoen update-rc.d quagga enable<\/b>.<\/p>\n

Hvis ops\u00e6tningen af GRE-tunneler og OSPF er korrekt udf\u00f8rt, skal der vises ruter p\u00e5 switchen og kernerouterne til de \u00f8vrige lokationers netv\u00e6rk, hvilket dermed skaber netv\u00e6rksforbindelse mellem de lokale netv\u00e6rk.<\/p>\n

Vi krypterer den overf\u00f8rte trafik <\/h3>\n

\nSom allerede n\u00e6vnt, angiver vi normalt IP-adresseomr\u00e5der (ACL) til kryptering mellem platforme, hvor trafikken krypteres: hvis kilde- og destinationsadresser falder inden for disse omr\u00e5der, krypteres trafikken mellem dem. Dog er strukturen i dette projekt dynamisk, og adresserne kan \u00e6ndre sig. Da vi allerede har opsat GRE-tunneling, kan vi bruge de eksterne adresser fra KSH som kilde- og destinationsadresser til kryptering af trafikken \u2014 da trafikken, der krypteres, allerede er indkapslet i GRE-protokollen. Med andre ord, krypteres alt, der kommer ind i KSH fra det lokale netv\u00e6rk af en platform mod netv\u00e6rk, der er annonceret af andre platforme. Inden for hver af platformene kan enhver omdirigering derimod finde sted. Dermed, ved \u00e6ndringer af lokale netv\u00e6rk, er det tilstr\u00e6kkeligt for administratoren at \u00e6ndre annoncerne fra hans netv\u00e6rk mod KSH, og den vil v\u00e6re tilg\u00e6ngelig for andre platforme.<\/p>\n

Krypteringen i KSH S-Terra udf\u00f8res ved hj\u00e6lp af IPSec-protokollen. Vi bruger algoritmen 'Gr\u00e6shoppe' i overensstemmelse med GOST R 34.12-2015, og for at sikre kompatibilitet med \u00e6ldre versioner kan GOST 28147-89 anvendes. Autentificering kan teknisk set udf\u00f8res b\u00e5de p\u00e5 foruddefinerede n\u00f8gler (PSK) og p\u00e5 certifikater. Det er dog n\u00f8dvendigt i industriel drift at anvende certifikater, der er udstedt i henhold til GOST R 34.10-2012.<\/p>\n

Arbejdet med certifikater, containere og CRL udf\u00f8res ved hj\u00e6lp af v\u00e6rkt\u00f8jet cert_mgr<\/b>. F\u00f8rst skal vi bruge kommandoen cert_mgr create<\/b> til at oprette en container for den private n\u00f8gle og en certifikatforesp\u00f8rgsel, der vil blive sendt til Certifikatstyringscentret. Efter modtagelsen af certifikatet skal det importeres sammen med rodcertifikatet fra CA og CRL (hvis det anvendes) ved hj\u00e6lp af kommandoen cert_mgr import<\/b>. For at bekr\u00e6fte, at alle certifikater og CRL er installeret, kan man bruge kommandoen cert_mgr show<\/b>.<\/p>\n

. Efter en vellykket installation af certifikaterne g\u00e5r vi videre til Cisco-lignende konsolen for at konfigurere IPSec.
\nVi opretter en IKE-politik, hvor de \u00f8nskede algoritmer og parametre for den oprettede sikre kanal angives, som vil blive foresl\u00e5et til partneren for godkendelse. <\/p>\n

#crypto isakmp policy 1000
\n#encr gost341215k
\n#hash gost341112-512-tc26
\n#authentication sign
\n#group vko2
\n#lifetime 3600<\/p>\n

Denne politik anvendes ved opbygningen af den f\u00f8rste fase af IPSec. Resultatet af en vellykket gennemf\u00f8relse af f\u00f8rste fase er etableringen af SA (Sikkerhedsforening).
\nDerefter skal vi definere listen over IP-adresser for kilde og modtager (ACL) til kryptering, danne et s\u00e6t af transformationer (transform set), skabe et kryptografisk kort (crypto map) og knytte det til den eksterne interface af KSH. <\/p>\n

Vi definerer ACL:
\n#ip access-list extended site1
\n#permit gre host 10.111.21.3 host 10.111.22.3<\/p>\n

S\u00e6t af transformationer (ligesom for den f\u00f8rste fase, bruger vi krypteringsalgoritmen \"Gr\u00e6shoppe\" i imiteringsindf\u00f8relsestilstand):<\/p>\n

#crypto ipsec transform-set GOST esp-gost341215k-mac<\/p>\n

Vi opretter et kryptografisk kort, angiver ACL, transform set og peer-adresse:<\/p>\n

#crypto map MAIN 100 ipsec-isakmp
\n#match address site1
\n#set transform-set GOST
\n#set peer 10.111.22.3<\/p>\n

Vi knytter det kryptografiske kort til den eksterne interface af KSH:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#crypto map MAIN<\/p>\n

For at kryptere kanaler med andre steder skal proceduren til oprettelse af ACL og det kryptografiske kort gentages, \u00e6ndre navnet p\u00e5 ACL, IP-adresserne og nummeret p\u00e5 det kryptografiske kort.<\/p>\n

V\u00e6r opm\u00e6rksom p\u00e5! <\/u><\/b>I tilf\u00e6lde af, at der ikke anvendes certifikatkontrol via CRL, skal dette angives eksplicit:<\/p>\n

#crypto pki trustpoint s-terra_technological_trustpoint
\n#revocation-check none<\/p>\n

Vi overv\u00e5ger systemets \"sundhed\"<\/h2>\n

\nI KSH S-Terra bruges den standard daemon snmpd til overv\u00e5gning. Udover typiske Linux-parametre underst\u00f8tter S-Terra \"out of the box\" at udlevere data om IPSec-tunneler i henhold til CISCO-IPSEC-FLOW-MONITOR-MIB, hvilket vi bruger til at overv\u00e5ge tilstanden af IPSec-tunneler. Der underst\u00f8ttes ogs\u00e5 funktionalitet til brugerdefinerede OID'er, der returnerer resultatet af scriptudf\u00f8relse som v\u00e6rdier. Denne funktion giver os mulighed for at overv\u00e5ge udl\u00f8bsdatoerne for certifikater. Det skrevne script parser output fra kommandoen cert_mgr show<\/b> og giver os antallet af dage til udl\u00f8bet af de lokale og rodcertifikater. Denne tilgang er uundg\u00e5elig ved administration af et stort antal KSH.
\n\"Kryptering
\n<\/p>\n

Hvad er essensen af denne kryptering<\/h2>\n

\nAl den beskrevne funktionalitet underst\u00f8ttes \"out of the box\" i S-Terra CSG. Det vil sige, der var ikke behov for at installere nogen ekstra moduler, der kunne have p\u00e5virket certificeringen af kryptogateways og hele informationssystemets attestation. Kanalerne mellem platformene kan v\u00e6re alle slags, selv gennem internettet. <\/p>\n

Takket v\u00e6re, at der ikke er behov for at omkonfigurere kryptogateways ved \u00e6ndringer i den interne infrastruktur, arbejder systemet som en service<\/b>, hvilket er meget praktisk for kunden: han kan placere sine tjenester (kliente og servere) p\u00e5 enhver adresse, og alle \u00e6ndringer vil blive overf\u00f8rt dynamisk mellem krypteringsudstyret. <\/p>\n

Uden tvivl p\u00e5virker kryptering p\u00e5 grund af overhead hastigheden for dataoverf\u00f8rsel, men ikke n\u00e6vnev\u00e6rdigt \u2014 b\u00e5ndbredden kan maksimalt falde med 5\u201310 %. Desuden er teknologien blevet testet og har vist gode resultater, selv p\u00e5 satellitkanaler, som er ret ustabile og har lav b\u00e5ndbredde. <\/p>\n

Igor Vinokhodov, 2. linje administrator i \"Rostelecom-Solar\"<\/i>
\n
Kilde: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":29260,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-39000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Kryptering efter GOST: huskeseddel til ops\u00e6tning af dynamisk trafikrouting | ProHoster","description":"Hvis dit firma.","canonical_url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"da_DK","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0428\u0438\u0444\u0440\u0443\u0435\u043c\u0441\u044f \u043f\u043e \u0413\u041e\u0421\u0422\u0443: \u043f\u0430\u043c\u044f\u0442\u043a\u0430 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:27:16+00:00","article:modified_time":"2019-10-31T19:27:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"39000","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:58:40","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/39000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/comments?post=39000"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/39000\/revisions"}],"predecessor-version":[{"id":156680,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/posts\/39000\/revisions\/156680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media\/29260"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/media?parent=39000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/categories?post=39000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/da\/wp-json\/wp\/v2\/tags?post=39000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Nu kan konfigurationen betragtes som afsluttet. I output fra Cisco-lignende konsol show crypto isakmp sa<\/b> og show crypto ipsec sa<\/b> b\u00f8r de opbyggede f\u00f8rste og anden faser af IPSec afspejles. Disse oplysninger kan ogs\u00e5 opn\u00e5s ved hj\u00e6lp af kommandoen sa_mgr show<\/b>, udf\u00f8rt fra debian shell. I outputtet fra kommandoen cert_mgr show<\/b> b\u00f8r certifikaterne for de fjerne placeringer fremg\u00e5. Status for s\u00e5danne certifikater vil v\u00e6re fjern<\/b>. I tilf\u00e6lde af at tunneler ikke opbygges, er det n\u00f8dvendigt at tjekke loggen VPN<\/a>-tjenesten, der opbevares i filen \/var\/log\/cspvpngate.log<\/b>. En komplet liste over logfiler med beskrivelse af deres indhold findes i dokumentationen.<\/p>\n