IPSec દ્વારા IPVPN Beeline કેવી રીતે મેળવવું. ભાગ 1

નમસ્તે! IN અગાઉની પોસ્ટ મેં અમારી મલ્ટિસિમ સેવાના કામનું આંશિક વર્ણન કર્યું આરક્ષણ и સંતુલન ચેનલો ઉલ્લેખ કર્યો છે તેમ, અમે ગ્રાહકોને VPN દ્વારા નેટવર્ક સાથે જોડીએ છીએ, અને આજે હું તમને VPN અને આ ભાગમાં અમારી ક્ષમતાઓ વિશે થોડું વધુ જણાવીશ.

તે હકીકતથી શરૂ કરવા યોગ્ય છે કે ટેલિકોમ ઓપરેટર તરીકે અમારી પાસે અમારું પોતાનું વિશાળ MPLS નેટવર્ક છે, જે ફિક્સ્ડ-લાઇન ગ્રાહકો માટે બે મુખ્ય સેગમેન્ટમાં વહેંચાયેલું છે - એક જેનો ઉપયોગ સીધો ઈન્ટરનેટ એક્સેસ કરવા માટે થાય છે, અને એક જે આઇસોલેટેડ નેટવર્ક્સ બનાવવા માટે વપરાય છે — અને આ MPLS સેગમેન્ટ દ્વારા અમારા કોર્પોરેટ ક્લાયન્ટ્સ માટે IPVPN (L3 OSI) અને VPLAN (L2 OSI) ટ્રાફિક વહે છે.

સામાન્ય રીતે, ક્લાયંટ કનેક્શન નીચે મુજબ થાય છે.

નેટવર્કના નજીકના પોઈન્ટ ઓફ પ્રેઝન્સ (નોડ મેન, આરઆરએલ, બીએસએસએસ, એફટીટીબી, વગેરે) થી ક્લાયંટની ઓફિસમાં એક્સેસ લાઇન નાખવામાં આવે છે અને આગળ, ચેનલ ટ્રાન્સપોર્ટ નેટવર્ક દ્વારા સંબંધિત PE-MPLS પર રજીસ્ટર કરવામાં આવે છે. રાઉટર, જેના પર અમે તેને આઉટપુટ કરીએ છીએ VRF ક્લાયંટ માટે ખાસ બનાવેલ ટ્રાફિક પ્રોફાઇલને ધ્યાનમાં રાખીને, જે ક્લાયંટને જરૂરી હોય છે (પ્રોફાઇલ લેબલ્સ દરેક એક્સેસ પોર્ટ માટે પસંદ કરવામાં આવે છે, ip અગ્રતા મૂલ્યો 0,1,3,5 ના આધારે, XNUMX).

જો કોઈ કારણોસર અમે ક્લાયન્ટ માટે છેલ્લી માઈલને સંપૂર્ણપણે ગોઠવી શકતા નથી, ઉદાહરણ તરીકે, ક્લાયન્ટની ઑફિસ બિઝનેસ સેન્ટરમાં સ્થિત છે, જ્યાં અન્ય પ્રદાતા પ્રાથમિકતા ધરાવે છે, અથવા અમારી પાસે ફક્ત અમારી હાજરીનો મુદ્દો નજીકમાં નથી, તો અગાઉ ક્લાયન્ટ્સ અલગ-અલગ પ્રદાતાઓ (સૌથી વધુ ખર્ચ-અસરકારક આર્કિટેક્ચર નહીં) પર ઘણા IPVPN નેટવર્ક્સ બનાવવા હતા અથવા ઇન્ટરનેટ પર તમારા VRFની ઍક્સેસને ગોઠવવા સાથે સમસ્યાઓનું સ્વતંત્ર રીતે નિરાકરણ કરવું પડ્યું હતું.

ઘણા લોકોએ IPVPN ઈન્ટરનેટ ગેટવે ઇન્સ્ટોલ કરીને આ કર્યું - તેઓએ બોર્ડર રાઉટર (હાર્ડવેર અથવા કેટલાક Linux-આધારિત સોલ્યુશન) ઇન્સ્ટોલ કર્યા, એક IPVPN ચેનલને તેની સાથે એક પોર્ટ સાથે અને બીજા સાથે ઈન્ટરનેટ ચેનલને કનેક્ટ કરી, તેના પર તેમનું VPN સર્વર લોન્ચ કર્યું અને કનેક્ટ કર્યું. વપરાશકર્તાઓ તેમના પોતાના VPN ગેટવે દ્વારા. સ્વાભાવિક રીતે, આવી યોજના બોજો પણ બનાવે છે: આવા ઇન્ફ્રાસ્ટ્રક્ચરનું નિર્માણ થવું જોઈએ અને, સૌથી અસુવિધાજનક રીતે, સંચાલિત અને વિકસિત થવું જોઈએ.

અમારા ગ્રાહકો માટે જીવન સરળ બનાવવા માટે, અમે કેન્દ્રિય VPN હબ ઇન્સ્ટોલ કર્યું છે અને IPSec નો ઉપયોગ કરીને ઇન્ટરનેટ પર કનેક્શન્સ માટે સંગઠિત સમર્થન કર્યું છે, એટલે કે, હવે ક્લાયન્ટને કોઈપણ જાહેર ઇન્ટરનેટ પર IPSec ટનલ દ્વારા અમારા VPN હબ સાથે કામ કરવા માટે તેમના રાઉટરને ગોઠવવાની જરૂર છે. , અને ચાલો આ ક્લાયન્ટના ટ્રાફિકને તેના VRF પર છોડી દઈએ.

કોને ઉપયોગી થશે?

• જેમની પાસે પહેલાથી જ મોટું IPVPN નેટવર્ક છે અને ટૂંકા સમયમાં નવા કનેક્શનની જરૂર છે તેમના માટે.
• કોઈપણ જે, કોઈ કારણસર, ટ્રાફિકનો હિસ્સો જાહેર ઈન્ટરનેટમાંથી IPVPN પર સ્થાનાંતરિત કરવા માંગે છે, પરંતુ તેણે અગાઉ અનેક સેવા પ્રદાતાઓ સાથે સંકળાયેલ તકનીકી મર્યાદાઓનો સામનો કરવો પડ્યો છે.
• જેઓ હાલમાં વિવિધ ટેલિકોમ ઓપરેટરોમાં ઘણા વિષમ VPN નેટવર્ક ધરાવે છે. એવા ક્લાયન્ટ્સ છે જેમણે Beeline, Megafon, Rostelecom, વગેરેમાંથી IPVPNનું સફળતાપૂર્વક આયોજન કર્યું છે. તેને સરળ બનાવવા માટે, તમે ફક્ત અમારા સિંગલ VPN પર રહી શકો છો, અન્ય ઓપરેટરોની અન્ય તમામ ચેનલોને ઈન્ટરનેટ પર સ્વિચ કરી શકો છો અને પછી આ ઓપરેટરો પાસેથી IPSec અને ઈન્ટરનેટ દ્વારા Beeline IPVPN સાથે કનેક્ટ થઈ શકો છો.
• જેઓ પહેલાથી જ ઇન્ટરનેટ પર IPVPN નેટવર્ક ધરાવે છે તેમના માટે.

જો તમે અમારી સાથે બધું ગોઠવો છો, તો પછી ગ્રાહકોને સંપૂર્ણ સુવિધાયુક્ત VPN સપોર્ટ, ગંભીર ઇન્ફ્રાસ્ટ્રક્ચર રિડન્ડન્સી અને માનક સેટિંગ્સ પ્રાપ્ત થાય છે જે તેઓ ઉપયોગમાં લેવાતા કોઈપણ રાઉટર પર કામ કરશે (તે સિસ્કો હોય, મિક્રોટિક પણ હોય, મુખ્ય વસ્તુ એ છે કે તે યોગ્ય રીતે સપોર્ટ કરી શકે છે. પ્રમાણિત પ્રમાણીકરણ પદ્ધતિઓ સાથે IPSec/IKEv2). માર્ગ દ્વારા, IPSec વિશે - અત્યારે અમે ફક્ત તેને જ સમર્થન આપીએ છીએ, પરંતુ અમે OpenVPN અને Wireguard બંનેનું સંપૂર્ણ ઓપરેશન શરૂ કરવાની યોજના બનાવીએ છીએ, જેથી ક્લાયન્ટ પ્રોટોકોલ પર નિર્ભર ન રહી શકે અને અમને બધું જ લેવું અને ટ્રાન્સફર કરવું વધુ સરળ છે, અને અમે કોમ્પ્યુટર અને મોબાઈલ ઉપકરણો (OS, Cisco AnyConnect અને strongSwan અને તેના જેવામાં બનેલા સોલ્યુશન્સ)થી ક્લાયંટને કનેક્ટ કરવાનું પણ શરૂ કરવા માંગીએ છીએ. આ અભિગમ સાથે, ઈન્ફ્રાસ્ટ્રક્ચરનું ડી ફેક્ટો બાંધકામ ઓપરેટરને સુરક્ષિત રીતે સોંપી શકાય છે, ફક્ત CPE અથવા હોસ્ટના રૂપરેખાંકનને છોડીને.

IPSec મોડ માટે કનેક્શન પ્રક્રિયા કેવી રીતે કાર્ય કરે છે:

1. ક્લાયંટ તેના મેનેજરને વિનંતી કરે છે જેમાં તે ટનલ માટે જરૂરી કનેક્શન સ્પીડ, ટ્રાફિક પ્રોફાઇલ અને IP એડ્રેસિંગ પેરામીટર્સ (ડિફૉલ્ટ રૂપે, /30 માસ્ક સાથે સબનેટ) અને રૂટીંગનો પ્રકાર (સ્ટેટિક અથવા BGP) સૂચવે છે. કનેક્ટેડ ઑફિસમાં ક્લાયંટના સ્થાનિક નેટવર્કમાં રૂટ્સને સ્થાનાંતરિત કરવા માટે, IPSec પ્રોટોકોલ તબક્કાના IKEv2 મિકેનિઝમ્સનો ઉપયોગ ક્લાયંટ રાઉટર પર યોગ્ય સેટિંગ્સનો ઉપયોગ કરીને કરવામાં આવે છે, અથવા ક્લાયંટની એપ્લિકેશનમાં ઉલ્લેખિત ખાનગી BGP AS માંથી MPLS માં BGP દ્વારા તેની જાહેરાત કરવામાં આવે છે. . આમ, ક્લાયંટ નેટવર્કના રૂટ્સ વિશેની માહિતી ક્લાયંટ દ્વારા સંપૂર્ણપણે ક્લાયંટ રાઉટરની સેટિંગ્સ દ્વારા નિયંત્રિત થાય છે.
2. તેના મેનેજરના જવાબમાં, ક્લાયંટ તેના ફોર્મના VRF માં સમાવેશ કરવા માટે એકાઉન્ટિંગ ડેટા મેળવે છે:
   • VPN-HUB IP સરનામું
   • વપરાશકર્તા નામ
   • પ્રમાણીકરણ પાસવર્ડ
3. CPE ને ગોઠવે છે, નીચે, ઉદાહરણ તરીકે, બે મૂળભૂત રૂપરેખાંકન વિકલ્પો:

   સિસ્કો માટે વિકલ્પ:
   ક્રિપ્ટો ikev2 કીરીંગ BeelineIPsec_keyring
   પીઅર Beeline_VPNHub
   સરનામું 62.141.99.183 -VPN હબ Beeline
   pre-shared-key <ઓથેન્ટિકેશન પાસવર્ડ>
   !
   સ્ટેટિક રૂટીંગ વિકલ્પ માટે, Vpn-હબ દ્વારા સુલભ નેટવર્કના રૂટ IKEv2 રૂપરેખાંકનમાં નિર્દિષ્ટ કરી શકાય છે અને તે CE રૂટીંગ ટેબલમાં આપમેળે સ્થિર રૂટ તરીકે દેખાશે. આ સેટિંગ્સ સ્ટેટિક રૂટ્સ સેટ કરવાની માનક પદ્ધતિનો ઉપયોગ કરીને પણ બનાવી શકાય છે (નીચે જુઓ).

   ક્રિપ્ટો ikev2 અધિકૃતતા નીતિ FlexClient-author

   CE રાઉટરની પાછળના નેટવર્ક્સ માટે રૂટ – CE અને PE વચ્ચે સ્ટેટિક રૂટીંગ માટે ફરજિયાત સેટિંગ. જ્યારે IKEv2 ક્રિયાપ્રતિક્રિયા દ્વારા ટનલ ઉભી કરવામાં આવે છે ત્યારે PE માં રૂટ ડેટાનું ટ્રાન્સફર આપમેળે હાથ ધરવામાં આવે છે.

   રૂટ સેટ રિમોટ ipv4 10.1.1.0 255.255.255.0 -ઓફિસ લોકલ નેટવર્ક
   !
   ક્રિપ્ટો ikev2 પ્રોફાઇલ BeelineIPSec_profile
   ઓળખ સ્થાનિક <login>
   પ્રમાણીકરણ સ્થાનિક પૂર્વ-શેર
   પ્રમાણીકરણ રીમોટ પ્રી-શેર
   કીરીંગ સ્થાનિક BeelineIPsec_keyring
   aaa અધિકૃતતા જૂથ psk યાદી જૂથ-લેખક-સૂચિ FlexClient-લેખક
   !
   ક્રિપ્ટો ikev2 ક્લાયંટ flexvpn BeelineIPsec_flex
   પીઅર 1 Beeline_VPNHub
   ક્લાયંટ કનેક્ટ ટનલ1
   !
   ક્રિપ્ટો ipsec ટ્રાન્સફોર્મ-સેટ TRANSFORM1 esp-aes 256 esp-sha256-hmac
   મોડ ટનલ
   !
   ક્રિપ્ટો ipsec પ્રોફાઇલ ડિફોલ્ટ
   ટ્રાન્સફોર્મ-સેટ TRANSFORM1 સેટ કરો
   ikev2-profile BeelineIPSec_profile સેટ કરો
   !
   ઈન્ટરફેસ ટનલ1
   IP સરનામું 10.20.1.2 255.255.255.252 - ટનલ સરનામું
   ટનલ સ્ત્રોત GigabitEthernet0/2 - ઈન્ટરનેટ એક્સેસ ઈન્ટરફેસ
   ટનલ મોડ ipsec ipv4
   ટનલ ગંતવ્ય ગતિશીલ
   ટનલ પ્રોટેક્શન ipsec પ્રોફાઇલ ડિફોલ્ટ
   !
   Beeline VPN કોન્સેન્ટ્રેટર દ્વારા ઍક્સેસ કરી શકાય તેવા ક્લાયન્ટના ખાનગી નેટવર્ક્સ માટેના રૂટ્સ સ્થિર રીતે સેટ કરી શકાય છે.

   આઈપી રૂટ 172.16.0.0 255.255.0.0 ટનલ1
   આઈપી રૂટ 192.168.0.0 255.255.255.0 ટનલ1

   Huawei માટે વિકલ્પ (ar160/120):
   ike local-name <login>
   #
   acl નામ ipsec 3999
   નિયમ 1 પરવાનગી ip સ્ત્રોત 10.1.1.0 0.0.0.255 -ઓફિસ લોકલ નેટવર્ક
   #
   એએએ
   સેવા યોજના IPSEC
   રૂટ સેટ acl 3999
   #
   ipsec પ્રસ્તાવ ipsec
   esp પ્રમાણીકરણ-એલ્ગોરિધમ sha2-256
   esp એન્ક્રિપ્શન-એલ્ગોરિધમ aes-256
   #
   ike દરખાસ્ત ડિફોલ્ટ
   એન્ક્રિપ્શન-એલ્ગોરિધમ aes-256
   dh જૂથ2
   પ્રમાણીકરણ-એલ્ગોરિધમ sha2-256
   પ્રમાણીકરણ-પદ્ધતિ પ્રી-શેર
   અખંડિતતા-એલ્ગોરિધમ hmac-sha2-256
   prf hmac-sha2-256
   #
   ike પીઅર ipsec
   પ્રી-શેર્ડ-કી સરળ <ઓથેન્ટિકેશન પાસવર્ડ>
   સ્થાનિક-આઇડી-પ્રકાર fqdn
   રિમોટ-આઈડી-ટાઈપ આઈપી
   રિમોટ-સરનામું 62.141.99.183 -VPN હબ Beeline
   સેવા યોજના IPSEC
   રૂપરેખા-વિનિમય વિનંતી
   રૂપરેખા-વિનિમય સમૂહ સ્વીકારે છે
   રૂપરેખા-વિનિમય સેટ મોકલો
   #
   ipsec પ્રોફાઇલ ipsecprof
   ike-peer ipsec
   દરખાસ્ત ipsec
   #
   ઇન્ટરફેસ ટનલ0/0/0
   IP સરનામું 10.20.1.2 255.255.255.252 - ટનલ સરનામું
   ટનલ-પ્રોટોકોલ ipsec
   સ્ત્રોત GigabitEthernet0/0/1 - ઈન્ટરનેટ એક્સેસ ઈન્ટરફેસ
   ipsec પ્રોફાઇલ ipsecprof
   #
   Beeline VPN કોન્સેન્ટ્રેટર દ્વારા ઍક્સેસિબલ ક્લાયંટના ખાનગી નેટવર્ક્સ માટેના રૂટ્સ સ્થિર રીતે સેટ કરી શકાય છે

   ip રૂટ-સ્ટેટિક 192.168.0.0 255.255.255.0 ટનલ0/0/0
   ip રૂટ-સ્ટેટિક 172.16.0.0 255.255.0.0 ટનલ0/0/0

પરિણામી સંચાર ડાયાગ્રામ કંઈક આના જેવો દેખાય છે:

જો ક્લાયન્ટ પાસે મૂળભૂત રૂપરેખાંકનના કેટલાક ઉદાહરણો ન હોય, તો અમે સામાન્ય રીતે તેમની રચનામાં મદદ કરીએ છીએ અને તે દરેકને ઉપલબ્ધ કરાવીએ છીએ.

જે બાકી છે તે CPE ને ઈન્ટરનેટ સાથે જોડવાનું છે, VPN ટનલના પ્રતિભાવ ભાગ અને VPN ની અંદરના કોઈપણ હોસ્ટને પિંગ કરવાનું છે, અને બસ, અમે માની શકીએ કે કનેક્શન થઈ ગયું છે.

હવે પછીના લેખમાં અમે તમને જણાવીશું કે અમે કેવી રીતે આ સ્કીમને Huawei CPE નો ઉપયોગ કરીને IPSec અને MultiSIM રીડન્ડન્સી સાથે જોડ્યું: અમે ક્લાયન્ટ્સ માટે અમારા Huawei CPE ઇન્સ્ટોલ કરીએ છીએ, જે માત્ર વાયર્ડ ઈન્ટરનેટ ચેનલ જ નહીં, પણ 2 અલગ-અલગ સિમ કાર્ડ્સ અને CPE નો ઉપયોગ કરી શકે છે. વાયર્ડ WAN દ્વારા અથવા રેડિયો (LTE#1/LTE#2) દ્વારા IPSec- ટનલનું આપમેળે પુનઃનિર્માણ કરે છે, પરિણામી સેવાની ઉચ્ચ ખામી સહિષ્ણુતાનો અહેસાસ થાય છે.

આ લેખ તૈયાર કરવા માટે અમારા RnD સાથીદારોનો વિશેષ આભાર (અને હકીકતમાં, આ તકનીકી ઉકેલોના લેખકોને)!

સોર્સ: www.habr.com