{"id":39000,"date":"2019-10-31T22:27:16","date_gmt":"2019-10-31T19:27:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika\/"},"modified":"2019-10-31T22:27:16","modified_gmt":"2019-10-31T19:27:16","slug":"shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","title":{"rendered":"Verschl\u00fcsselung nach \u0413\u041e\u0421\u0422: Leitfaden zur Einrichtung der dynamischen Verkehrslenkung","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Verschl\u00fcsselung
\nWenn Ihr Unternehmen personenbezogene Daten und andere vertrauliche Informationen \u00fcber das Netzwerk \u00fcbertr\u00e4gt oder empf\u00e4ngt, die gem\u00e4\u00df den gesetzlichen Bestimmungen gesch\u00fctzt werden m\u00fcssen, ist es erforderlich, die Verschl\u00fcsselung nach GOST anzuwenden. Heute erz\u00e4hlen wir, wie wir eine solche Verschl\u00fcsselung basierend auf dem Kryptoschreiber (KS) S-Terra bei einem unserer Kunden implementiert haben. Diese Geschichte wird f\u00fcr IT-Sicherheitsspezialisten, Ingenieure, Designer und Architekten von Interesse sein. Wir werden nicht tief in die technischen Konfigurationsdetails eintauchen \u2014 wir konzentrieren uns auf die Schl\u00fcsselmomente der Grundeinstellung. Es gibt eine riesige Menge an Dokumentation zur Einrichtung von Daemons unter Linux, auf dem der KS S-Terra basiert, die im Internet frei verf\u00fcgbar ist. Die Dokumentation zur Konfiguration der propriet\u00e4ren Software S-Terra ist ebenfalls \u00f6ffentlich zug\u00e4nglich auf dem Portal<\/a><\/noindex> des Herstellers.
\n<\/a><\/noindex><\/p>\n

Ein paar Worte zum Projekt <\/h2>\n

\nDie Netzwerktopologie beim Kunden war typisch \u2014 Full Mesh zwischen dem Zentrum und den Filialen. Es war erforderlich, die Verschl\u00fcsselung der Informationsaustauschkan\u00e4le zwischen allen 8 Standorten zu implementieren. <\/p>\n

In der Regel ist bei \u00e4hnlichen Projekten alles statisch: Auf den Kryptoschreibern (KS) werden statische Routen zum lokalen Netzwerk des Standorts konfiguriert, und IP-Adresslisten (ACL) f\u00fcr die Verschl\u00fcsselung werden festgelegt. In diesem Fall gibt es jedoch keine zentrale Verwaltung der Standorte, und innerhalb ihrer lokalen Netzwerke kann alles M\u00f6gliche geschehen: Netzwerke k\u00f6nnen hinzugef\u00fcgt, gel\u00f6scht und in jeglicher Hinsicht modifiziert werden. Um eine Neuanpassung der Routen und ACL auf den KS bei \u00c4nderungen der Adressierung der lokalen Netzwerke an den Standorten zu vermeiden, wurde beschlossen, GRE-Tunneling und die dynamische OSPF-Routenplanung zu verwenden, an der alle KS und die meisten Kernnetzwerk-Router an den Standorten beteiligt sind (an einigen Standorten bevorzugten die Infrastrukturadministratoren, SNAT in Richtung KS auf den Kern-Routern zu verwenden). <\/p>\n

GRE-Tunneling erlaubte es, zwei Aufgaben zu l\u00f6sen:
\n1.<\/b> Die Verwendung der IP-Adresse der externen Schnittstelle des KS in der ACL f\u00fcr die Verschl\u00fcsselung, in der der gesamte Verkehr eingekapselt wird, der an andere Standorte gerichtet ist.
\n2.<\/b> Die Organisation von Punkt-zu-Punkt-Tunneln zwischen den KS, die die dynamische Routenplanung erm\u00f6glichen (in unserem Fall wurde zwischen den Standorten ein Anbieter-MPLS L3VPN eingerichtet).<\/p>\n

Der Kunde hat die Implementierung von Verschl\u00fcsselung als Dienstleistung bestellt. Andernfalls m\u00fcsste er nicht nur Crypto-Gateways unterst\u00fctzen oder eine externe Organisation beauftragen, sondern auch selbst den Lebenszyklus der Verschl\u00fcsselungszertifikate \u00fcberwachen, sie rechtzeitig verl\u00e4ngern und neue installieren.
\n\"Verschl\u00fcsselung
\nUnd nun tats\u00e4chlich die Anleitung \u2013 wie und was wir konfiguriert haben<\/p>\n

Hinweis f\u00fcr die kritische Informationsinfrastruktur: Konfigurieren eines Crypto-Gateways <\/h2>\n

<\/p>\n

Grundkonfiguration des Netzwerks<\/h3>\n

\nZuerst starten wir das neue CG und gelangen in die Administrationskonsole. Es ist ratsam, das Passwort des integrierten Administrators zu \u00e4ndern \u2013 der Befehl change user password administrator<\/b>. Danach muss das Initialisierungsverfahren durchgef\u00fchrt werden (Befehl initialize<\/b>), bei dem die Lizenzdaten eingegeben und der Zufallszahlengenerator (Zufallszahlengenerator) initialisiert wird.<\/p>\n

Bitte beachten Sie!<\/u><\/b> Bei der Initialisierung des CG S-Terra wird eine Sicherheitsrichtlinie festgelegt, bei der die Schnittstellen des Sicherheitsgateways keine Pakete durchlassen. Es ist notwendig, entweder eine eigene Richtlinie zu erstellen oder mit dem Befehl run csconf_mgr activate<\/b> die Aktivierung der vorinstallierten Erlauben-Richtlinie durchzuf\u00fchren.
\nDann m\u00fcssen die Adressierung der externen und internen Schnittstellen sowie die Standardroute konfiguriert werden. Die Arbeit mit der Netzwerkkonfiguration des CG und der Einrichtung der Verschl\u00fcsselung sollte vorzugsweise \u00fcber die Cisco-\u00e4hnliche Konsole erfolgen. Diese Konsole ist f\u00fcr die Eingabe von Befehlen gedacht, die den Befehlen von Cisco IOS \u00e4hnlich sind. Die mit der Cisco-\u00e4hnlichen Konsole erstellte Konfiguration wird wiederum in die entsprechenden Konfigurationsdateien konvertiert, mit denen die Betriebssystem-D\u00e4monen arbeiten. Um zur Cisco-\u00e4hnlichen Konsole von der Administrationskonsole zu wechseln, kann der Befehl configure<\/b>.<\/p>\n

\u00c4ndern wir die Passw\u00f6rter f\u00fcr den integrierten Benutzer cscons und enable: <\/p>\n

>enable
\nPasswort: csp (vorinstalliert)
\n#configure terminal
\n#username cscons privilege 15 secret 0 #enable secret 0 \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0431\u0430\u0437\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#no shutdown
\n#interface GigabitEthernet0\/1
\n#ip address 192.168.2.5 255.255.255.252
\n#no shutdown
\n#ip route 0.0.0.0 0.0.0.0 10.111.21.254<\/p>\n

GRE<\/h3>\n

\nWir verlassen die Cisco-\u00e4hnliche Konsole und wechseln mit dem Befehl System<\/b>in die Debian-Shell. root<\/b> Wir setzen ein eigenes Passwort f\u00fcr den Benutzer passwd<\/b>.
\nAuf jedem CG wird ein separater Tunnel f\u00fcr jeden Standort konfiguriert. Die Konfiguration des Tunnel-Interfaces erfolgt in der Datei \/etc\/network\/interfaces<\/b>. F\u00fcr die Erstellung des Interfaces ist das IP-Tunnel-Utility zust\u00e4ndig, das im vorinstallierten Set von iproute2 enthalten ist. Der Befehl zur Erstellung des Interfaces wird in der Option pre-up festgelegt.<\/p>\n

Beispielkonfiguration eines typischen Tunnel-Interfaces:
\nauto site1
\niface site1 inet static
\naddress 192.168.1.4
\nnetmask 255.255.255.254
\npre-up ip tunnel add site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p<\/p>\n

Bitte beachten Sie!<\/u><\/b> Es ist zu beachten, dass die Einstellungen der Tunnel-Interfaces au\u00dferhalb des Abschnitts liegen m\u00fcssen. <\/p>\n

###netifcfg-begin###
\n*****
\n###netifcfg-end###<\/p>\n

Andernfalls werden diese Einstellungen beim \u00c4ndern der Netzwerkeinstellungen der physischen Interfaces \u00fcber die Cisco-\u00e4hnliche Konsole \u00fcberschrieben.<\/p>\n

Dynamisches Routing<\/h3>\n

\nIn S-Terra wird dynamisches Routing mit dem Quagga-Softwarepaket realisiert. Um OSPF zu konfigurieren, m\u00fcssen die Daemons eingeschaltet und eingestellt werden. zebra<\/b> und ospfd<\/b>. Der Daemon zebra ist f\u00fcr die Interaktion zwischen den Routing-Daemons und dem Betriebssystem verantwortlich. Der Daemon ospfd ist, wie aus dem Namen ersichtlich, f\u00fcr die Implementierung des OSPF-Protokolls zust\u00e4ndig.
\nDie OSPF-Konfiguration erfolgt entweder \u00fcber die Konsole des Daemons oder direkt \u00fcber die Konfigurationsdatei. \/etc\/quagga\/ospfd.conf<\/b>. In die Datei werden alle physischen und Tunnel-Interfaces eingef\u00fcgt, die am dynamischen Routing beteiligt sind, sowie die Netzwerke deklariert, die angek\u00fcndigt werden und Ank\u00fcndigungen empfangen werden.<\/p>\n

Beispielkonfiguration, die in ospfd.conf<\/b>:
\ninterface eth0
\n!
\ninterface eth1
\n!
\ninterface site1
\n!
\ninterface site2
\nrouter ospf
\n ospf router-id 192.168.2.21
\n network 192.168.1.4\/31 area 0.0.0.0
\n network 192.168.1.16\/31 area 0.0.0.0
\n network 192.168.2.4\/30 area 0.0.0.0<\/p>\n

In diesem Fall sind die Adressen 192.168.1.x\/31 f\u00fcr Punkt-zu-Punkt-Tunnelnetzwerke zwischen Standorten reserviert, die Adressen 192.168.2.x\/30 dienen Transitnetzwerken zwischen der Steuerungseinheit und den Kernroutern. <\/p>\n

Bitte beachten Sie!<\/b><\/u> Um die Routingtabelle in gro\u00dfen Installationen zu reduzieren, k\u00f6nnen die Ank\u00fcndigungen der Transitnetzwerke mit Hilfe von Konstruktionen gefiltert werden. no redistribute connected<\/b> oder redistribute connected route-map<\/b>.<\/p>\n

Nach der Konfiguration der Daemons muss der Startstatus der Daemons in \/etc\/quagga\/daemons<\/b>. In den Optionen muss zebra<\/b> und ospfd<\/b> no in yes ge\u00e4ndert werden. Starten Sie den Daemon quagga und stellen Sie sicher, dass er beim Start der Steuerungseinheit automatisch startet mit dem Befehl. update-rc.d quagga enable<\/b>.<\/p>\n

Wenn die Konfiguration von GRE-Tunneln und OSPF korrekt durchgef\u00fchrt wurde, sollten auf der Steuerungseinheit und den Kernroutern Routen im Netzwerk der anderen Standorte erscheinen und somit eine Netzwerkverbindung zwischen den lokalen Netzwerken hergestellt werden.<\/p>\n

Verschl\u00fcsseln Sie den \u00fcbertragenen Datenverkehr <\/h3>\n

\nWie bereits erw\u00e4hnt, geben wir beim Verschl\u00fcsseln zwischen den Standorten normalerweise die IP-Adressbereiche (ACL) an, innerhalb derer der Datenverkehr verschl\u00fcsselt wird: Wenn die Quell- und Zieladressen in diese Bereiche fallen, wird der Datenverkehr zwischen ihnen verschl\u00fcsselt. In diesem Projekt ist die Struktur jedoch dynamisch und die Adressen k\u00f6nnen sich \u00e4ndern. Da wir bereits GRE-Tunneling eingerichtet haben, k\u00f6nnen wir f\u00fcr die Verschl\u00fcsselung des Datenverkehrs externe Adressen von KSH angeben \u2014 denn der Datenverkehr, der verschl\u00fcsselt werden soll, kommt bereits kapsuliert im GRE-Protokoll. Mit anderen Worten, es wird alles verschl\u00fcsselt, was von einem lokalen Netzwerk eines Standorts in Richtung der von anderen Standorten angek\u00fcndigten Netzwerke in KSH gelangt. Innerhalb jedes Standorts kann dann jede Art der Weiterleitung erfolgen. Bei \u00c4nderungen der lokalen Netzwerke muss der Administrator lediglich die Ank\u00fcndigungen anpassen, die aus seinem Netzwerk in Richtung KSH gehen, und sie wird f\u00fcr andere Standorte verf\u00fcgbar sein.<\/p>\n

Die Verschl\u00fcsselung in KSH S-Terra erfolgt \u00fcber das IPSec-Protokoll. Wir verwenden den Algorithmus \u201eGrash\u00fcpfer\u201c gem\u00e4\u00df GOST R 34.12-2015, f\u00fcr die Kompatibilit\u00e4t mit \u00e4lteren Versionen kann GOST 28147-89 angewendet werden. Die Authentifizierung kann technisch sowohl mit vorab festgelegten Schl\u00fcsseln (PSK) als auch mit Zertifikaten durchgef\u00fchrt werden. In der industriellen Nutzung m\u00fcssen jedoch Zertifikate verwendet werden, die gem\u00e4\u00df GOST R 34.10-2012 ausgestellt wurden.<\/p>\n

Die Arbeit mit Zertifikaten, Containern und CRL erfolgt mit dem Dienstprogramm cert_mgr<\/b>. Zuerst muss mit dem Befehl cert_mgr create<\/b> ein Container f\u00fcr den privaten Schl\u00fcssel und eine Zertifikatsanfrage erstellt werden, die an die Zertifizierungsstelle gesendet wird. Nach Erhalt des Zertifikats m\u00fcssen dieses zusammen mit dem Stammzertifikat der CA und der CRL (falls verwendet) mit dem Befehl cert_mgr import<\/b>importiert werden. Um sicherzustellen, dass alle Zertifikate und die CRL installiert sind, kann der Befehl cert_mgr show<\/b>.<\/p>\n

verwendet werden. Nach erfolgreicher Installation der Zertifikate wechseln wir zu einer Cisco-\u00e4hnlichen Konsole zur Konfiguration von IPSec.
\nWir erstellen eine IKE-Policy, in der die gew\u00fcnschten Algorithmen und Parameter des zu erstellenden gesch\u00fctzten Kanals angegeben werden, die dem Partner zur Vereinbarung angeboten werden. <\/p>\n

#crypto isakmp policy 1000
\n#encr gost341215k
\n#hash gost341112-512-tc26
\n#authentication sign
\n#group vko2
\n#lifetime 3600<\/p>\n

Diese Richtlinie wird beim Aufbau der ersten Phase von IPSec angewendet. Das erfolgreiche Bestehen der ersten Phase f\u00fchrt zur Einrichtung einer SA (Security Association).
\nAls N\u00e4chstes m\u00fcssen wir die Liste der Quell- und Ziel-IP-Adressen (ACL) f\u00fcr die Verschl\u00fcsselung festlegen, eine Transformationssatz (transform set) erstellen, eine kryptografische Karte (crypto map) anlegen und sie an das externe Interface der KSH binden. <\/p>\n

Wir definieren die ACL:
\n#ip access-list extended site1
\n#permit gre host 10.111.21.3 host 10.111.22.3<\/p>\n

Transformationensatz (genau wie in der ersten Phase verwenden wir den Verschl\u00fcsselungsalgorithmus \"K\u00e4fer\" im Modus der Erzeugung von MAC-Einf\u00fcgungen):<\/p>\n

#crypto ipsec transform-set GOST esp-gost341215k-mac<\/p>\n

Wir erstellen die kryptografische Karte, geben die ACL, den Transformationssatz und die Peer-Adresse an:<\/p>\n

#crypto map MAIN 100 ipsec-isakmp
\n#match address site1
\n#set transform-set GOST
\n#set peer 10.111.22.3<\/p>\n

Wir binden die kryptografische Karte an das externe Interface der KSH:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#crypto map MAIN<\/p>\n

Um Kan\u00e4le mit anderen Sites zu verschl\u00fcsseln, muss das Verfahren zur Erstellung von ACL und kryptografischen Karten wiederholt werden, wobei die ACL-Bezeichnung, IP-Adressen und die Nummer der kryptografischen Karte ge\u00e4ndert werden m\u00fcssen.<\/p>\n

Bitte beachten Sie! <\/u><\/b>Falls kein Zertifikatspr\u00fcfungsdienst (CRL) genutzt wird, muss dies ausdr\u00fccklich angegeben werden:<\/p>\n

#crypto pki trustpoint s-terra_technological_trustpoint
\n#revocation-check none<\/p>\n

Wir \u00fcberwachen die \"Gesundheit\" des Systems<\/h2>\n

\nIn der KSH S-Terra wird der Standard-Daemon snmpd zur \u00dcberwachung verwendet. Neben typischen Linux-Parametern unterst\u00fctzt S-Terra \u201eout of the box\u201c die Bereitstellung von Daten zu IPSec-Tunneln gem\u00e4\u00df CISCO-IPSEC-FLOW-MONITOR-MIB, was wir nutzen, um den Status der IPSec-Tunnel zu verfolgen. Es wird auch die Funktionalit\u00e4t von benutzerdefinierten OIDs unterst\u00fctzt, die als Werte Ergebnisse der Ausf\u00fchrung eines Skripts ausgeben. Diese M\u00f6glichkeit erlaubt es uns, die Ablauffristen der Zertifikate zu \u00fcberwachen. Das geschriebene Skript analysiert die Ausgabe des Befehls cert_mgr show<\/b> und liefert als Ergebnis die Anzahl der Tage bis zum Ablauf der lokalen und der Stammzertifikate. Diese Methode ist unverzichtbar bei der Verwaltung einer gro\u00dfen Anzahl von KSH.
\n\"Verschl\u00fcsselung
\n<\/p>\n

Was ist der Sinn dieser Verschl\u00fcsselung?<\/h2>\n

\nDie oben beschriebene Funktionalit\u00e4t wird \u201eout of the box\u201c von der KSH S-Terra unterst\u00fctzt. Das bedeutet, dass keine zus\u00e4tzlichen Module installiert werden mussten, die die Zertifizierung der Kryptowallets und die Zulassung des gesamten Informationssystems beeintr\u00e4chtigen k\u00f6nnten. Die Kan\u00e4le zwischen den Plattformen k\u00f6nnen beliebig sein, auch \u00fcber das Internet. <\/p>\n

Dank der Tatsache, dass bei \u00c4nderungen der internen Infrastruktur keine erneute Konfiguration der Kryptowallets erforderlich ist, funktioniert das System als Dienstleistung<\/b>, was f\u00fcr den Auftraggeber sehr praktisch ist: Er kann seine Dienste (Client- und Serverdienste) an beliebigen Adressen platzieren, und alle \u00c4nderungen werden dynamisch zwischen den Verschl\u00fcsselungsger\u00e4ten \u00fcbertragen. <\/p>\n

Nat\u00fcrlich hat die Verschl\u00fcsselung aufgrund von Overhead Einfluss auf die Geschwindigkeit der Daten\u00fcbertragung, jedoch im geringen Ma\u00dfe \u2013 die Bandbreite des Kanals kann sich maximal um 5\u201310 % verringern. Diese Technologie wurde getestet und hat selbst auf Satellitenkan\u00e4len, die ziemlich instabil sind und eine niedrige Bandbreite aufweisen, gute Ergebnisse gezeigt. <\/p>\n

Igor Vinokhodov, Ingenieur der 2. Linie der Administration von \u201eRostelecom-Solar\u201c<\/i>
\n
Quelle: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":29260,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-39000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Verschl\u00fcsselung nach dem GOSt: Hinweise zur Einrichtung der dynamischen Verkehrsweiterleitung | ProHoster","description":"Wenn Ihr Unternehmen.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0428\u0438\u0444\u0440\u0443\u0435\u043c\u0441\u044f \u043f\u043e \u0413\u041e\u0421\u0422\u0443: \u043f\u0430\u043c\u044f\u0442\u043a\u0430 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:27:16+00:00","article:modified_time":"2019-10-31T19:27:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"39000","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:58:40","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/39000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=39000"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/39000\/revisions"}],"predecessor-version":[{"id":156680,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/39000\/revisions\/156680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/29260"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=39000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=39000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=39000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Damit kann die Konfiguration als abgeschlossen betrachtet werden. In der Ausgabe der Cisco-\u00e4hnlichen Konsole show crypto isakmp sa<\/b> und show crypto ipsec sa<\/b> sollten die erstellten ersten und zweiten IPSec-Phasen angezeigt werden. Diese Informationen k\u00f6nnen auch mit dem Befehl sa_mgr show<\/b>, ausgef\u00fchrt aus der Debian-Shell, abgerufen werden. In der Ausgabe des Befehls cert_mgr show<\/b> sollten die Zertifikate der entfernten Sites erscheinen. Der Status dieser Zertifikate wird remote<\/b>. Falls Tunnel nicht aufgebaut werden, sollte das Protokoll \u00fcberpr\u00fcft werden VPN<\/a>-des Dienstes, das in der Datei gespeichert ist \/var\/log\/cspvpngate.log<\/b>. Eine vollst\u00e4ndige Liste der Logdateien mit ihren Inhalten findet sich in der Dokumentation.<\/p>\n