અમે GOST અનુસાર એન્ક્રિપ્ટ કરીએ છીએ: ગતિશીલ ટ્રાફિક રૂટીંગ સેટ કરવા માટેની માર્ગદર્શિકા

જો તમારી કંપની નેટવર્ક પર વ્યક્તિગત ડેટા અને અન્ય ગોપનીય માહિતી પ્રસારિત કરે છે અથવા પ્રાપ્ત કરે છે જે કાયદા અનુસાર સુરક્ષાને આધીન છે, તો તેને GOST એન્ક્રિપ્શનનો ઉપયોગ કરવો જરૂરી છે. આજે અમે તમને જણાવીશું કે અમે S-Terra ક્રિપ્ટો ગેટવે (CS) પર આધારિત આવા એન્ક્રિપ્શનને ગ્રાહકોમાંથી એક પર કેવી રીતે લાગુ કર્યું. આ વાર્તા માહિતી સુરક્ષા નિષ્ણાતો, તેમજ ઇજનેરો, ડિઝાઇનર્સ અને આર્કિટેક્ટ માટે રસપ્રદ રહેશે. અમે આ પોસ્ટમાં તકનીકી રૂપરેખાંકનની ઘોંઘાટમાં ઊંડાણપૂર્વક ડાઇવ કરીશું નહીં; અમે મૂળભૂત સેટઅપના મુખ્ય મુદ્દાઓ પર ધ્યાન કેન્દ્રિત કરીશું. Linux OS ડિમોન્સને સેટ કરવા માટેના દસ્તાવેજોની વિશાળ માત્રા, જેના પર S-Terra CS આધારિત છે, ઇન્ટરનેટ પર મુક્તપણે ઉપલબ્ધ છે. માલિકીનું S-Terra સોફ્ટવેર સેટ કરવા માટેના દસ્તાવેજીકરણ પણ સાર્વજનિક રૂપે ઉપલબ્ધ છે પોર્ટલ ઉત્પાદક

પ્રોજેક્ટ વિશે થોડાક શબ્દો

ગ્રાહકનું નેટવર્ક ટોપોલોજી પ્રમાણભૂત હતું - કેન્દ્ર અને શાખાઓ વચ્ચે સંપૂર્ણ જાળીદાર. બધી સાઇટ્સ વચ્ચે માહિતી વિનિમય ચેનલોનું એન્ક્રિપ્શન રજૂ કરવું જરૂરી હતું, જેમાંથી 8 હતી.

સામાન્ય રીતે આવા પ્રોજેક્ટ્સમાં બધું જ સ્થિર હોય છે: સાઇટના સ્થાનિક નેટવર્કના સ્ટેટિક રૂટ્સ ક્રિપ્ટો ગેટવેઝ (CGs) પર સેટ કરવામાં આવે છે, એન્ક્રિપ્શન માટે IP એડ્રેસ (ACL) ની યાદી રજીસ્ટર કરવામાં આવે છે. જો કે, આ કિસ્સામાં, સાઇટ્સ પાસે કેન્દ્રિય નિયંત્રણ નથી, અને તેમના સ્થાનિક નેટવર્ક્સની અંદર કંઈપણ થઈ શકે છે: નેટવર્ક દરેક સંભવિત રીતે ઉમેરી, કાઢી નાખવા અને સુધારી શકાય છે. સાઇટ્સ પર સ્થાનિક નેટવર્કનું સરનામું બદલતી વખતે KS પર રૂટીંગ અને ACLને પુનઃરૂપરેખાંકિત કરવાનું ટાળવા માટે, GRE ટનલીંગ અને OSPF ડાયનેમિક રૂટીંગનો ઉપયોગ કરવાનું નક્કી કરવામાં આવ્યું હતું, જેમાં તમામ KS અને મોટાભાગના રાઉટર્સનો સમાવેશ થાય છે સાઇટ્સ પર નેટવર્ક કોર સ્તરે ( કેટલીક સાઇટ્સ પર, ઇન્ફ્રાસ્ટ્રક્ચર એડમિનિસ્ટ્રેટર્સ કર્નલ રાઉટર્સ પર KS તરફ SNAT નો ઉપયોગ કરવાનું પસંદ કરે છે).

GRE ટનલીંગ અમને બે સમસ્યાઓ હલ કરવાની મંજૂરી આપે છે:
1. ACL માં એન્ક્રિપ્શન માટે CS ના બાહ્ય ઇન્ટરફેસના IP સરનામાંનો ઉપયોગ કરો, જે અન્ય સાઇટ્સ પર મોકલવામાં આવેલ તમામ ટ્રાફિકને સમાવે છે.
2. CSs વચ્ચે ptp ટનલ ગોઠવો, જે તમને ગતિશીલ રૂટીંગને ગોઠવવાની મંજૂરી આપે છે (અમારા કિસ્સામાં, પ્રદાતાનું MPLS L3VPN સાઇટ્સ વચ્ચે ગોઠવાયેલ છે).

ક્લાયન્ટે સેવા તરીકે એન્ક્રિપ્શનના અમલીકરણનો આદેશ આપ્યો. નહિંતર, તેણે માત્ર ક્રિપ્ટો ગેટવેની જાળવણી કરવી પડશે અથવા તેને અમુક સંસ્થાને આઉટસોર્સ કરવી પડશે, પરંતુ સ્વતંત્ર રીતે એનક્રિપ્શન પ્રમાણપત્રોના જીવન ચક્રનું નિરીક્ષણ કરવું પડશે, તેને સમયસર રિન્યૂ કરવું પડશે અને નવા ઇન્સ્ટોલ કરવા પડશે.

અને હવે વાસ્તવિક મેમો - અમે કેવી રીતે અને શું ગોઠવ્યું છે

CII વિષય પર નોંધ: ક્રિપ્ટો ગેટવે સેટઅપ

મૂળભૂત નેટવર્ક સેટઅપ

સૌ પ્રથમ, અમે એક નવું CS લોન્ચ કરીએ છીએ અને એડમિનિસ્ટ્રેશન કન્સોલમાં પ્રવેશ કરીએ છીએ. તમારે બિલ્ટ-ઇન એડમિનિસ્ટ્રેટર પાસવર્ડ - આદેશ બદલીને પ્રારંભ કરવું જોઈએ વપરાશકર્તા પાસવર્ડ એડમિનિસ્ટ્રેટર બદલો. પછી તમારે પ્રારંભિક પ્રક્રિયા હાથ ધરવાની જરૂર છે (આદેશ પ્રારંભ કરો) જે દરમિયાન લાયસન્સ ડેટા દાખલ કરવામાં આવે છે અને રેન્ડમ નંબર સેન્સર (RNS) પ્રારંભ થાય છે.

ધ્યાન આપો! જ્યારે S-Terra CC શરૂ કરવામાં આવે છે, ત્યારે સુરક્ષા નીતિ સ્થાપિત કરવામાં આવે છે જેમાં સુરક્ષા ગેટવે ઇન્ટરફેસ પેકેટોને પસાર થવા દેતા નથી. તમારે કાં તો તમારી પોતાની નીતિ બનાવવી પડશે અથવા આદેશનો ઉપયોગ કરવો પડશે csconf_mgr એક્ટિવેટ ચલાવો પૂર્વવ્યાખ્યાયિત પરવાનગી આપતી નીતિને સક્રિય કરો.
આગળ, તમારે બાહ્ય અને આંતરિક ઇન્ટરફેસનું સરનામું, તેમજ ડિફોલ્ટ રૂટને ગોઠવવાની જરૂર છે. CS નેટવર્ક રૂપરેખાંકન સાથે કામ કરવું અને સિસ્કો-જેવા કન્સોલ દ્વારા એન્ક્રિપ્શનને ગોઠવવું વધુ સારું છે. આ કન્સોલ Cisco IOS આદેશો જેવા આદેશો દાખલ કરવા માટે રચાયેલ છે. સિસ્કો-જેવા કન્સોલનો ઉપયોગ કરીને બનાવેલ રૂપરેખાંકન, બદલામાં, અનુરૂપ રૂપરેખાંકન ફાઇલોમાં રૂપાંતરિત થાય છે જેની સાથે OS ડિમન કામ કરે છે. તમે આદેશ સાથે એડમિનિસ્ટ્રેશન કન્સોલમાંથી સિસ્કો જેવા કન્સોલ પર જઈ શકો છો રૂપરેખાંકિત કરો.

બિલ્ટ-ઇન વપરાશકર્તા cscons માટે પાસવર્ડ્સ બદલો અને સક્ષમ કરો:

> સક્ષમ કરો
પાસવર્ડ: csp (પહેલાથી ઇન્સ્ટોલ કરેલું)
# કન્ફિગર ટર્મિનલ
#username cscons privilege 15 secret 0 #enable secret 0 મૂળભૂત નેટવર્ક રૂપરેખાંકન સુયોજિત કરી રહ્યું છે:

#ઇન્ટરફેસ GigabitEthernet0/0
#ip સરનામું 10.111.21.3 255.255.255.0
#શટડાઉન નથી
#ઇન્ટરફેસ GigabitEthernet0/1
#ip સરનામું 192.168.2.5 255.255.255.252
#શટડાઉન નથી
#ip માર્ગ 0.0.0.0 0.0.0.0 10.111.21.254

જીઆરએ

સિસ્કો જેવા કન્સોલમાંથી બહાર નીકળો અને આદેશ સાથે ડેબિયન શેલ પર જાઓ સિસ્ટમ. વપરાશકર્તા માટે તમારો પોતાનો પાસવર્ડ સેટ કરો રુટ ટીમ પાસવડ.
દરેક કંટ્રોલ રૂમમાં, દરેક સાઇટ માટે એક અલગ ટનલ ગોઠવવામાં આવી છે. ટનલ ઇન્ટરફેસ ફાઇલમાં ગોઠવેલ છે / Etc / નેટવર્ક / ઇન્ટરફેસો. IP ટનલ યુટિલિટી, જે પહેલાથી ઇન્સ્ટોલ કરેલ iproute2 સેટમાં સમાવિષ્ટ છે, તે ઈન્ટરફેસ બનાવવા માટે જવાબદાર છે. ઇન્ટરફેસ બનાવવાનો આદેશ પ્રી-અપ વિકલ્પમાં લખાયેલ છે.

લાક્ષણિક ટનલ ઇન્ટરફેસનું ઉદાહરણ રૂપરેખાંકન:
ઓટો સાઇટ1
iface site1 inet સ્ટેટિક
સરનામું 192.168.1.4
નેટમાસ્ક 255.255.255.254
પ્રી-અપ ip ટનલ એડ site1 મોડ gre લોકલ 10.111.21.3 રિમોટ 10.111.22.3 કી hfLYEg^vCh6p

ધ્યાન આપો! એ નોંધવું જોઇએ કે ટનલ ઇન્ટરફેસ માટેની સેટિંગ્સ વિભાગની બહાર સ્થિત હોવી આવશ્યક છે

###netifcfg-begin###
*****
###netifcfg-end###

નહિંતર, સિસ્કો-જેવા કન્સોલ દ્વારા ભૌતિક ઈન્ટરફેસની નેટવર્ક સેટિંગ્સ બદલતી વખતે આ સેટિંગ્સ ઓવરરાઈટ થઈ જશે.

ગતિશીલ રૂટીંગ

S-Terra માં, ક્વાગ્ગા સોફ્ટવેર પેકેજનો ઉપયોગ કરીને ડાયનેમિક રૂટીંગ લાગુ કરવામાં આવે છે. OSPF ને રૂપરેખાંકિત કરવા માટે આપણે ડિમનને સક્ષમ અને રૂપરેખાંકિત કરવાની જરૂર છે ઝેબ્રા и ઓએસપીએફડી. ઝેબ્રા ડિમન રૂટીંગ ડિમન અને OS વચ્ચેના સંચાર માટે જવાબદાર છે. ospfd ડિમન, નામ સૂચવે છે તેમ, OSPF પ્રોટોકોલના અમલીકરણ માટે જવાબદાર છે.
OSPF એ કાં તો ડિમન કન્સોલ દ્વારા અથવા સીધા રૂપરેખાંકન ફાઇલ દ્વારા ગોઠવેલ છે /etc/quagga/ospfd.conf. ગતિશીલ રૂટીંગમાં ભાગ લેતા તમામ ભૌતિક અને ટનલ ઇન્ટરફેસ ફાઇલમાં ઉમેરવામાં આવે છે, અને જે નેટવર્કની જાહેરાત કરવામાં આવશે અને ઘોષણાઓ પ્રાપ્ત થશે તે પણ જાહેર કરવામાં આવે છે.

રૂપરેખાંકનનું ઉદાહરણ કે જેમાં ઉમેરવાની જરૂર છે ospfd.conf:
ઇન્ટરફેસ eth0
!
ઇન્ટરફેસ eth1
!
ઇન્ટરફેસ સાઇટ1
!
ઇન્ટરફેસ સાઇટ2
રાઉટર ઓએસપીએફ
ઓએસપીએફ રાઉટર-આઈડી 192.168.2.21
નેટવર્ક 192.168.1.4/31 વિસ્તાર 0.0.0.0
નેટવર્ક 192.168.1.16/31 વિસ્તાર 0.0.0.0
નેટવર્ક 192.168.2.4/30 વિસ્તાર 0.0.0.0

આ કિસ્સામાં, સરનામાં 192.168.1.x/31 સાઇટ્સ વચ્ચે ટનલ ptp નેટવર્ક્સ માટે આરક્ષિત છે, સરનામાં 192.168.2.x/30 CS અને કર્નલ રાઉટર્સ વચ્ચેના ટ્રાન્ઝિટ નેટવર્ક્સ માટે ફાળવવામાં આવ્યા છે.

ધ્યાન આપો! મોટા ઇન્સ્ટોલેશનમાં રૂટીંગ ટેબલ ઘટાડવા માટે, તમે કન્સ્ટ્રક્ટ્સનો ઉપયોગ કરીને ટ્રાન્ઝિટ નેટવર્ક્સની જાહેરાતને ફિલ્ટર કરી શકો છો. કોઈ પુનઃવિતરિત જોડાયેલ નથી અથવા કનેક્ટેડ રૂટ-મેપનું પુનઃવિતરિત કરો.

ડિમનને રૂપરેખાંકિત કર્યા પછી, તમારે માં ડિમનની સ્ટાર્ટઅપ સ્થિતિ બદલવાની જરૂર છે /etc/quagga/deemons. વિકલ્પોમાં ઝેબ્રા и ઓએસપીએફડી હા માં કોઈ ફેરફાર નથી. ક્વાગ્ગા ડિમન શરૂ કરો અને જ્યારે તમે KS આદેશ શરૂ કરો ત્યારે તેને ઑટોરન પર સેટ કરો update-rc.d quagga enable.

જો GRE ટનલ અને OSPF નું રૂપરેખાંકન યોગ્ય રીતે કરવામાં આવ્યું હોય, તો અન્ય સાઇટ્સના નેટવર્કમાંના રૂટ KSh અને કોર રાઉટર્સ પર દેખાવા જોઈએ અને આમ, સ્થાનિક નેટવર્ક વચ્ચે નેટવર્ક કનેક્ટિવિટી ઊભી થાય છે.

અમે ટ્રાન્સમિટેડ ટ્રાફિકને એન્ક્રિપ્ટ કરીએ છીએ

પહેલેથી જ લખવામાં આવ્યું છે તેમ, સામાન્ય રીતે સાઇટ્સ વચ્ચે એન્ક્રિપ્ટ કરતી વખતે, અમે IP એડ્રેસ રેન્જ (ACLs) નો ઉલ્લેખ કરીએ છીએ જેની વચ્ચે ટ્રાફિક એનક્રિપ્ટ થયેલ છે: જો સ્ત્રોત અને ગંતવ્ય સરનામાં આ રેન્જમાં આવે છે, તો તેમની વચ્ચેનો ટ્રાફિક એનક્રિપ્ટ થયેલ છે. જો કે, આ પ્રોજેક્ટમાં માળખું ગતિશીલ છે અને સરનામાં બદલાઈ શકે છે. અમે પહેલાથી જ GRE ટનલિંગને ગોઠવેલું હોવાથી, અમે ટ્રાફિકને એન્ક્રિપ્ટ કરવા માટે સ્ત્રોત અને ગંતવ્ય સરનામાં તરીકે બાહ્ય KS સરનામાંનો ઉલ્લેખ કરી શકીએ છીએ - છેવટે, ટ્રાફિક કે જે GRE પ્રોટોકોલ દ્વારા પહેલેથી જ સમાવિષ્ટ છે તે એન્ક્રિપ્શન માટે આવે છે. બીજા શબ્દોમાં કહીએ તો, એક સાઇટના સ્થાનિક નેટવર્કમાંથી CS માં જે નેટવર્ક્સ અન્ય સાઇટ્સ દ્વારા જાહેર કરવામાં આવ્યા છે તે દરેક વસ્તુ એનક્રિપ્ટેડ છે. અને દરેક સાઇટની અંદર કોઈપણ રીડાયરેક્શન કરી શકાય છે. આમ, જો સ્થાનિક નેટવર્ક્સમાં કોઈ ફેરફાર થાય, તો એડમિનિસ્ટ્રેટરે ફક્ત તેના નેટવર્કમાંથી નેટવર્ક તરફ આવતી ઘોષણાઓમાં ફેરફાર કરવાની જરૂર છે, અને તે અન્ય સાઇટ્સ માટે ઉપલબ્ધ થશે.

S-Terra CS માં એન્ક્રિપ્શન IPSec પ્રોટોકોલનો ઉપયોગ કરીને કરવામાં આવે છે. અમે GOST R 34.12-2015 અનુસાર "ગ્રાસશોપર" અલ્ગોરિધમનો ઉપયોગ કરીએ છીએ, અને જૂના સંસ્કરણો સાથે સુસંગતતા માટે તમે GOST 28147-89 નો ઉપયોગ કરી શકો છો. પ્રમાણીકરણ તકનીકી રીતે પૂર્વવ્યાખ્યાયિત કી (PSK) અને પ્રમાણપત્રો બંને પર કરી શકાય છે. જો કે, ઔદ્યોગિક કામગીરીમાં GOST R 34.10-2012 અનુસાર જારી કરાયેલ પ્રમાણપત્રોનો ઉપયોગ કરવો જરૂરી છે.

પ્રમાણપત્રો, કન્ટેનર અને સીઆરએલ સાથે કામ યુટિલિટીનો ઉપયોગ કરીને કરવામાં આવે છે cert_mgr. સૌ પ્રથમ, આદેશનો ઉપયોગ કરીને cert_mgr બનાવો ખાનગી કી કન્ટેનર અને પ્રમાણપત્ર વિનંતી જનરેટ કરવી જરૂરી છે, જે પ્રમાણપત્ર વ્યવસ્થાપન કેન્દ્રને મોકલવામાં આવશે. પ્રમાણપત્ર પ્રાપ્ત કર્યા પછી, તે આદેશ સાથે રૂટ CA પ્રમાણપત્ર અને CRL (જો વપરાયેલ હોય તો) સાથે આયાત કરવું આવશ્યક છે. cert_mgr આયાત. તમે ખાતરી કરી શકો છો કે આદેશ સાથે બધા પ્રમાણપત્રો અને સીઆરએલ ઇન્સ્ટોલ કરેલ છે cert_mgr શો.

પ્રમાણપત્રો સફળતાપૂર્વક ઇન્સ્ટોલ કર્યા પછી, IPSec રૂપરેખાંકિત કરવા માટે સિસ્કો-જેવા કન્સોલ પર જાઓ.
અમે એક IKE નીતિ બનાવીએ છીએ જે બનાવવામાં આવી રહેલી સુરક્ષિત ચેનલના ઇચ્છિત અલ્ગોરિધમ્સ અને પરિમાણોનો ઉલ્લેખ કરે છે, જે ભાગીદારને મંજૂરી માટે ઓફર કરવામાં આવશે.

#crypto isakmp નીતિ 1000
#encr gost341215k
#hash gost341112-512-tc26
# પ્રમાણીકરણ ચિહ્ન
#જૂથ vko2
#જીવનકાળ 3600

IPSec ના પ્રથમ તબક્કાનું નિર્માણ કરતી વખતે આ નીતિ લાગુ કરવામાં આવે છે. પ્રથમ તબક્કાની સફળતાપૂર્વક પૂર્ણતાનું પરિણામ SA (સિક્યોરિટી એસોસિએશન) ની સ્થાપના છે.
આગળ, આપણે એન્ક્રિપ્શન માટે સ્ત્રોત અને ગંતવ્ય IP સરનામાં (ACL) ની સૂચિ વ્યાખ્યાયિત કરવાની જરૂર છે, એક ટ્રાન્સફોર્મ સેટ જનરેટ કરવો, ક્રિપ્ટોગ્રાફિક નકશો (ક્રિપ્ટો મેપ) બનાવવો અને તેને CS ના બાહ્ય ઇન્ટરફેસ સાથે જોડવો.

ACL સેટ કરો:
#ip એક્સેસ-લિસ્ટ વિસ્તૃત સાઇટ1
#પરમિટ ગ્રે હોસ્ટ 10.111.21.3 હોસ્ટ 10.111.22.3

પરિવર્તનનો સમૂહ (પ્રથમ તબક્કાની જેમ જ, અમે સિમ્યુલેશન ઇન્સર્ટ જનરેશન મોડનો ઉપયોગ કરીને "ગ્રાસશોપર" એન્ક્રિપ્શન અલ્ગોરિધમનો ઉપયોગ કરીએ છીએ):

#crypto ipsec ટ્રાન્સફોર્મ-સેટ GOST esp-gost341215k-mac

અમે એક ક્રિપ્ટો નકશો બનાવીએ છીએ, ACL નો ઉલ્લેખ કરીએ છીએ, સેટ અને પીઅર એડ્રેસને ટ્રાન્સફોર્મ કરીએ છીએ:

#crypto નકશો MAIN 100 ipsec-isakmp
#મેચ સરનામું સાઇટ1
#સેટ ટ્રાન્સફોર્મ-સેટ GOST
#સેટ પીઅર 10.111.22.3

અમે ક્રિપ્ટો કાર્ડને રોકડ રજિસ્ટરના બાહ્ય ઇન્ટરફેસ સાથે બાંધીએ છીએ:

#ઇન્ટરફેસ GigabitEthernet0/0
#ip સરનામું 10.111.21.3 255.255.255.0
#ક્રિપ્ટો નકશો MAIN

અન્ય સાઇટ્સ સાથે ચેનલોને એન્ક્રિપ્ટ કરવા માટે, તમારે ACL અને ક્રિપ્ટો કાર્ડ બનાવવા, ACL નામ, IP સરનામાં અને ક્રિપ્ટો કાર્ડ નંબર બદલવાની પ્રક્રિયાને પુનરાવર્તિત કરવી આવશ્યક છે.

ધ્યાન આપો! જો CRL દ્વારા પ્રમાણપત્રની ચકાસણીનો ઉપયોગ થતો નથી, તો આ સ્પષ્ટપણે ઉલ્લેખિત હોવું આવશ્યક છે:

#crypto pki trustpoint s-terra_technological_trustpoint
#રિવોકેશન-ચેક કોઈ નહીં

આ બિંદુએ, સેટઅપ પૂર્ણ ગણી શકાય. સિસ્કો જેવા કન્સોલ કમાન્ડ આઉટપુટમાં ક્રિપ્ટો isakmp sa બતાવો и ક્રિપ્ટો ipsec સા બતાવો IPSec ના નિર્મિત પ્રથમ અને બીજા તબક્કાઓ પ્રતિબિંબિત થવું જોઈએ. આદેશની મદદથી સમાન માહિતી મેળવી શકાય છે sa_mgr શો, ડેબિયન શેલમાંથી ચલાવવામાં આવે છે. આદેશ આઉટપુટમાં cert_mgr શો રીમોટ સાઇટ પ્રમાણપત્રો દેખાવા જોઈએ. આવા પ્રમાણપત્રોની સ્થિતિ હશે દૂરસ્થ. જો ટનલ બનાવવામાં આવી રહી નથી, તો તમારે VPN સેવા લોગ જોવાની જરૂર છે, જે ફાઇલમાં સંગ્રહિત છે. /var/log/cspvpngate.log. લોગ ફાઇલોની સંપૂર્ણ સૂચિ તેમના સમાવિષ્ટોના વર્ણન સાથે દસ્તાવેજીકરણમાં ઉપલબ્ધ છે.

સિસ્ટમના "સ્વાસ્થ્ય" પર દેખરેખ રાખવી

S-Terra CC મોનિટરિંગ માટે પ્રમાણભૂત snmpd ડિમનનો ઉપયોગ કરે છે. લાક્ષણિક Linux પરિમાણો ઉપરાંત, S-Terra એ CISCO-IPSEC-FLOW-MONITOR-MIB અનુસાર IPSec ટનલ વિશે ડેટા જારી કરવાનું સમર્થન કરે છે, જેનો ઉપયોગ અમે IPSec ટનલની સ્થિતિનું નિરીક્ષણ કરતી વખતે કરીએ છીએ. કસ્ટમ OID ની કાર્યક્ષમતા કે જે સ્ક્રિપ્ટ એક્ઝેક્યુશનના પરિણામોને મૂલ્યો તરીકે આઉટપુટ કરે છે તે પણ સપોર્ટેડ છે. આ સુવિધા અમને પ્રમાણપત્રની સમાપ્તિ તારીખોને ટ્રૅક કરવાની મંજૂરી આપે છે. લેખિત સ્ક્રિપ્ટ આદેશ આઉટપુટને પાર્સ કરે છે cert_mgr શો અને પરિણામે સ્થાનિક અને રૂટ પ્રમાણપત્રો સમાપ્ત થાય ત્યાં સુધી દિવસોની સંખ્યા આપે છે. મોટી સંખ્યામાં CABG નું સંચાલન કરતી વખતે આ તકનીક અનિવાર્ય છે.

આવા એન્ક્રિપ્શનનો ફાયદો શું છે?

ઉપર વર્ણવેલ તમામ કાર્યક્ષમતા S-Terra KSh દ્વારા બોક્સની બહાર સપોર્ટેડ છે. એટલે કે, ક્રિપ્ટો ગેટવેના સર્ટિફિકેશન અને સમગ્ર ઇન્ફર્મેશન સિસ્ટમના સર્ટિફિકેશનને અસર કરી શકે તેવા કોઈપણ વધારાના મોડ્યુલને ઇન્સ્ટોલ કરવાની જરૂર નહોતી. સાઇટ્સ વચ્ચે કોઈપણ ચેનલો હોઈ શકે છે, ઇન્ટરનેટ દ્વારા પણ.

હકીકત એ છે કે જ્યારે આંતરિક ઇન્ફ્રાસ્ટ્રક્ચર બદલાય છે, ત્યારે ક્રિપ્ટો ગેટવેને ફરીથી ગોઠવવાની જરૂર નથી, સિસ્ટમ સેવા તરીકે કામ કરે છે, જે ગ્રાહક માટે ખૂબ અનુકૂળ છે: તે કોઈપણ સરનામાં પર તેની સેવાઓ (ક્લાયન્ટ અને સર્વર) મૂકી શકે છે, અને તમામ ફેરફારો ગતિશીલ રીતે એન્ક્રિપ્શન સાધનો વચ્ચે સ્થાનાંતરિત કરવામાં આવશે.

અલબત્ત, ઓવરહેડ ખર્ચ (ઓવરહેડ) ને કારણે એન્ક્રિપ્શન ડેટા ટ્રાન્સફર ઝડપને અસર કરે છે, પરંતુ માત્ર સહેજ - ચેનલ થ્રુપુટ મહત્તમ 5-10% સુધી ઘટી શકે છે. તે જ સમયે, ટેક્નોલોજીનું પરીક્ષણ કરવામાં આવ્યું છે અને સેટેલાઇટ ચેનલો પર પણ સારા પરિણામો દર્શાવવામાં આવ્યા છે, જે તદ્દન અસ્થિર છે અને તેની બેન્ડવિડ્થ ઓછી છે.

ઇગોર વિનોખોડોવ, રોસ્ટેલિકોમ-સોલરના વહીવટની 2જી લાઇનના એન્જિનિયર

સોર્સ: www.habr.com