पालो अल्टो नेटवर्क उपकरण पर आईपीएसईसी साइट-टू-साइट वीपीएन स्थापित करना

यह लेख एक निरंतरता है पिछली सामग्रीउपकरण स्थापित करने की विशिष्टताओं के लिए समर्पित पालो अल्टो नेटवर्क . यहां हम सेटअप के बारे में बात करना चाहते हैं आईपीएसईसी साइट-टू-साइट वीपीएन उपकरण पर पालो अल्टो नेटवर्क और कई इंटरनेट प्रदाताओं को जोड़ने के लिए संभावित कॉन्फ़िगरेशन विकल्प के बारे में।

प्रदर्शन के लिए, प्रधान कार्यालय को शाखा से जोड़ने की एक मानक योजना का उपयोग किया जाएगा। दोष-सहिष्णु इंटरनेट कनेक्शन प्रदान करने के लिए, प्रधान कार्यालय दो प्रदाताओं के एक साथ कनेक्शन का उपयोग करता है: ISP-1 और ISP-2। शाखा का केवल एक प्रदाता, ISP-3 से कनेक्शन है। फ़ायरवॉल PA-1 और PA-2 के बीच दो सुरंगें बनाई गई हैं। सुरंगें मोड में संचालित होती हैं एक्टिव-स्टैंडबाय,टनल-1 सक्रिय है, टनल-2 के विफल होने पर टनल-1 यातायात संचारित करना शुरू कर देगा। टनल-1 ISP-1 से कनेक्शन का उपयोग करता है, टनल-2 ISP-2 से कनेक्शन का उपयोग करता है। सभी आईपी पते प्रदर्शन उद्देश्यों के लिए बेतरतीब ढंग से तैयार किए गए हैं और इनका वास्तविकता से कोई संबंध नहीं है।

साइट-टू-साइट बनाने के लिए वीपीएन का उपयोग किया जाएगा आईपीएसईसी - आईपी के माध्यम से प्रसारित डेटा की सुरक्षा सुनिश्चित करने के लिए प्रोटोकॉल का एक सेट। आईपीएसईसी सुरक्षा प्रोटोकॉल का उपयोग करके काम करेगा ESP (एनकैप्सुलेटिंग सिक्योरिटी पेलोड), जो प्रसारित डेटा का एन्क्रिप्शन सुनिश्चित करेगा।

В आईपीएसईसी शामिल IKE (इंटरनेट कुंजी एक्सचेंज) एक प्रोटोकॉल है जो एसए (सुरक्षा संघों) पर बातचीत करने के लिए जिम्मेदार है, सुरक्षा पैरामीटर जिनका उपयोग प्रेषित डेटा की सुरक्षा के लिए किया जाता है। पैन फ़ायरवॉल समर्थन करते हैं IKEv1 и IKEv2.

В IKEv1 एक वीपीएन कनेक्शन दो चरणों में बनाया जाता है: IKEv1 चरण 1 (आईकेई सुरंग) और IKEv1 चरण 2 (IPSec सुरंग), इस प्रकार, दो सुरंगें बनाई जाती हैं, जिनमें से एक का उपयोग फ़ायरवॉल के बीच सेवा जानकारी के आदान-प्रदान के लिए किया जाता है, दूसरे का उपयोग ट्रैफ़िक ट्रांसमिशन के लिए किया जाता है। में IKEv1 चरण 1 दो ऑपरेटिंग मोड हैं - मुख्य मोड और आक्रामक मोड। आक्रामक मोड कम संदेशों का उपयोग करता है और तेज़ है, लेकिन सहकर्मी पहचान सुरक्षा का समर्थन नहीं करता है।

IKEv2 बदलने के लिए आया था IKEv1, और तुलना की गई IKEv1 इसका मुख्य लाभ कम बैंडविड्थ आवश्यकताएं और तेज़ एसए बातचीत है। में IKEv2 कम सेवा संदेशों का उपयोग किया जाता है (कुल 4), EAP और MOBIKE प्रोटोकॉल समर्थित हैं, और उस सहकर्मी की उपलब्धता की जांच करने के लिए एक तंत्र जोड़ा गया है जिसके साथ सुरंग बनाई गई है - जीवंतता की जांच, IKEv1 में डेड पीयर डिटेक्शन की जगह। यदि चेक विफल हो जाता है, तो IKEv2 सुरंग को रीसेट कर सकता है और फिर पहले अवसर पर इसे स्वचालित रूप से पुनर्स्थापित कर सकता है। आप अंतरों के बारे में अधिक जान सकते हैं यहां पढ़ें.

यदि विभिन्न निर्माताओं के फ़ायरवॉल के बीच एक सुरंग बनाई जाती है, तो कार्यान्वयन में बग हो सकते हैं IKEv2, और ऐसे उपकरणों के साथ अनुकूलता के लिए इसका उपयोग करना संभव है IKEv1. अन्य मामलों में इसका उपयोग करना बेहतर है IKEv2.

सेटअप चरण:

• एक्टिवस्टैंडबाय मोड में दो इंटरनेट प्रदाताओं को कॉन्फ़िगर करना

इस फ़ंक्शन को कार्यान्वित करने के कई तरीके हैं। उनमें से एक है तंत्र का उपयोग करना पथ निगरानी, जो संस्करण से शुरू होकर उपलब्ध हो गया पैन-ओएस 8.0.0. यह उदाहरण संस्करण 8.0.16 का उपयोग करता है। यह सुविधा सिस्को राउटर्स में आईपी एसएलए के समान है। स्थिर डिफ़ॉल्ट रूट पैरामीटर एक विशिष्ट स्रोत पते से एक विशिष्ट आईपी पते पर पिंग पैकेट भेजने को कॉन्फ़िगर करता है। इस मामले में, ईथरनेट1/1 इंटरफ़ेस डिफ़ॉल्ट गेटवे को प्रति सेकंड एक बार पिंग करता है। यदि लगातार तीन पिंग पर कोई प्रतिक्रिया नहीं होती है, तो रूट को टूटा हुआ माना जाता है और रूटिंग टेबल से हटा दिया जाता है। उसी मार्ग को दूसरे इंटरनेट प्रदाता की ओर कॉन्फ़िगर किया गया है, लेकिन उच्च मीट्रिक के साथ (यह एक बैकअप है)। एक बार जब पहला मार्ग तालिका से हटा दिया जाता है, तो फ़ायरवॉल दूसरे मार्ग से ट्रैफ़िक भेजना शुरू कर देगा - असफल ओवर. जब पहला प्रदाता पिंग का जवाब देना शुरू कर देता है, तो उसका मार्ग तालिका में वापस आ जाएगा और बेहतर मीट्रिक के कारण दूसरे को प्रतिस्थापित कर देगा - फेल-वापस. प्रक्रिया असफल ओवर कॉन्फ़िगर किए गए अंतराल के आधार पर कुछ सेकंड लगते हैं, लेकिन, किसी भी स्थिति में, प्रक्रिया तात्कालिक नहीं होती है, और इस दौरान ट्रैफ़िक खो जाता है। फेल-वापस यातायात की हानि के बिना गुजरता है। करने का अवसर है असफल ओवर तेज़, साथ BFD, यदि इंटरनेट प्रदाता ऐसा अवसर प्रदान करता है। BFD मॉडल से प्रारंभ करने का समर्थन किया गया पीए-3000 सीरीज и वी एम-100. पिंग पते के रूप में प्रदाता के गेटवे को नहीं, बल्कि एक सार्वजनिक, हमेशा सुलभ इंटरनेट पते को निर्दिष्ट करना बेहतर है।

• एक टनल इंटरफ़ेस बनाना

सुरंग के अंदर यातायात विशेष आभासी इंटरफेस के माध्यम से प्रसारित होता है। उनमें से प्रत्येक को ट्रांज़िट नेटवर्क से एक आईपी पते के साथ कॉन्फ़िगर किया जाना चाहिए। इस उदाहरण में, सबस्टेशन 1/172.16.1.0 का उपयोग टनल-30 के लिए किया जाएगा, और सबस्टेशन 2/172.16.2.0 का उपयोग टनल-30 के लिए किया जाएगा।
सेक्शन में टनल इंटरफ़ेस बनाया गया है नेटवर्क -> इंटरफ़ेस -> सुरंग. आपको एक वर्चुअल राउटर और सुरक्षा क्षेत्र, साथ ही संबंधित परिवहन नेटवर्क से एक आईपी पता निर्दिष्ट करना होगा। इंटरफ़ेस नंबर कुछ भी हो सकता है.

अनुभाग में उन्नत निर्दिष्ट किया जा सकता है प्रबंधन प्रोफाइलजो दिए गए इंटरफ़ेस पर पिंग की अनुमति देगा, यह परीक्षण के लिए उपयोगी हो सकता है।

• IKE प्रोफ़ाइल की स्थापना

आईकेई प्रोफाइल वीपीएन कनेक्शन बनाने के पहले चरण के लिए जिम्मेदार है; सुरंग पैरामीटर यहां निर्दिष्ट हैं आईकेई चरण 1. प्रोफ़ाइल अनुभाग में बनाई गई है नेटवर्क -> नेटवर्क प्रोफाइल -> आईकेई क्रिप्टो. एन्क्रिप्शन एल्गोरिदम, हैशिंग एल्गोरिदम, डिफी-हेलमैन समूह और कुंजी जीवनकाल निर्दिष्ट करना आवश्यक है। सामान्य तौर पर, एल्गोरिदम जितना अधिक जटिल होगा, प्रदर्शन उतना ही खराब होगा; उन्हें विशिष्ट सुरक्षा आवश्यकताओं के आधार पर चुना जाना चाहिए। हालाँकि, संवेदनशील जानकारी की सुरक्षा के लिए 14 से नीचे डिफी-हेलमैन समूह का उपयोग करने की सख्ती से अनुशंसा नहीं की जाती है। यह प्रोटोकॉल की भेद्यता के कारण है, जिसे केवल 2048 बिट्स और उच्चतर के मॉड्यूल आकार या अण्डाकार क्रिप्टोग्राफी एल्गोरिदम का उपयोग करके कम किया जा सकता है, जो समूह 19, 20, 21, 24 में उपयोग किए जाते हैं। इन एल्गोरिदम की तुलना में अधिक प्रदर्शन होता है पारंपरिक क्रिप्टोग्राफी. यहाँ और पढ़ें। और यहां.

• आईपीएसईसी प्रोफाइल की स्थापना

वीपीएन कनेक्शन बनाने का दूसरा चरण आईपीएसईसी सुरंग है। इसके लिए SA पैरामीटर कॉन्फ़िगर किए गए हैं नेटवर्क -> नेटवर्क प्रोफाइल -> आईपीएसईसी क्रिप्टो प्रोफाइल. यहां आपको IPSec प्रोटोकॉल निर्दिष्ट करना होगा - AH या ESP, साथ ही पैरामीटर भी SA - हैशिंग एल्गोरिदम, एन्क्रिप्शन, डिफी-हेलमैन समूह और कुंजी जीवनकाल। IKE क्रिप्टो प्रोफ़ाइल और IPSec क्रिप्टो प्रोफ़ाइल में SA पैरामीटर समान नहीं हो सकते हैं।

• IKE गेटवे को कॉन्फ़िगर करना

आईकेई गेटवे - यह एक ऑब्जेक्ट है जो एक राउटर या फ़ायरवॉल को निर्दिष्ट करता है जिसके साथ एक वीपीएन सुरंग बनाई जाती है। प्रत्येक सुरंग के लिए आपको अपना स्वयं का निर्माण करना होगा आईकेई गेटवे. इस मामले में, दो सुरंगें बनाई जाती हैं, प्रत्येक इंटरनेट प्रदाता के माध्यम से। संबंधित आउटगोइंग इंटरफ़ेस और उसका आईपी पता, सहकर्मी आईपी पता और साझा कुंजी इंगित की गई है। प्रमाणपत्रों का उपयोग साझा कुंजी के विकल्प के रूप में किया जा सकता है।

पहले बनाए गए को यहां दर्शाया गया है IKE क्रिप्टो प्रोफ़ाइल. दूसरी वस्तु के पैरामीटर आईकेई गेटवे आईपी ​​पते को छोड़कर, समान। यदि पालो अल्टो नेटवर्क फ़ायरवॉल NAT राउटर के पीछे स्थित है, तो आपको तंत्र को सक्षम करने की आवश्यकता है एनएटी ट्रैवर्सल.

• आईपीएसईसी टनल की स्थापना

आईपीएसईसी सुरंग एक ऑब्जेक्ट है जो IPSec सुरंग मापदंडों को निर्दिष्ट करता है, जैसा कि नाम से पता चलता है। यहां आपको टनल इंटरफ़ेस और पहले से बनाई गई वस्तुओं को निर्दिष्ट करने की आवश्यकता है आईकेई गेटवे, आईपीएसईसी क्रिप्टो प्रोफाइल. बैकअप टनल में रूटिंग की स्वचालित स्विचिंग सुनिश्चित करने के लिए, आपको सक्षम करना होगा सुरंग मॉनिटर. यह एक ऐसा तंत्र है जो ICMP ट्रैफ़िक का उपयोग करके जाँच करता है कि कोई सहकर्मी जीवित है या नहीं। गंतव्य पते के रूप में, आपको उस सहकर्मी के सुरंग इंटरफ़ेस का आईपी पता निर्दिष्ट करना होगा जिसके साथ सुरंग बनाई जा रही है। प्रोफ़ाइल टाइमर निर्दिष्ट करती है और कनेक्शन खो जाने पर क्या करना है। प्रतीक्षा करें पुनर्प्राप्त करें - कनेक्शन बहाल होने तक प्रतीक्षा करें, फेल ओवर - यदि उपलब्ध हो तो ट्रैफ़िक को किसी भिन्न मार्ग से भेजें। दूसरी सुरंग की स्थापना पूरी तरह से समान है; दूसरी सुरंग इंटरफ़ेस और आईकेई गेटवे निर्दिष्ट हैं।

• रूटिंग सेट करना

यह उदाहरण स्थैतिक रूटिंग का उपयोग करता है। पीए-1 फ़ायरवॉल पर, दो डिफ़ॉल्ट मार्गों के अलावा, आपको शाखा में 10.10.10.0/24 सबनेट के लिए दो मार्ग निर्दिष्ट करने की आवश्यकता है। एक मार्ग सुरंग-1 का उपयोग करता है, दूसरा सुरंग-2 का। टनल-1 से होकर जाने वाला मार्ग मुख्य है क्योंकि इसकी मीट्रिक कम है। तंत्र पथ निगरानी इन मार्गों के लिए उपयोग नहीं किया जाता. स्विचिंग के लिए जिम्मेदार सुरंग मॉनिटर.

सबनेट 192.168.30.0/24 के लिए समान मार्गों को पीए-2 पर कॉन्फ़िगर करने की आवश्यकता है।

• नेटवर्क नियम स्थापित करना

सुरंग के काम करने के लिए तीन नियमों की आवश्यकता है:

1. काम करने के लिए पथ मॉनिटर बाहरी इंटरफ़ेस पर ICMP की अनुमति दें।
2. के लिए आईपीएसईसी ऐप्स को अनुमति दें आइक и आईपीएसईसी बाहरी इंटरफ़ेस पर.
3. आंतरिक सबनेट और टनल इंटरफेस के बीच यातायात की अनुमति दें।

निष्कर्ष

यह आलेख दोष-सहिष्णु इंटरनेट कनेक्शन स्थापित करने के विकल्प पर चर्चा करता है साइट-टू-साइट वीपीएन. हमें उम्मीद है कि जानकारी उपयोगी होगी और पाठक को इसमें प्रयुक्त तकनीकों का अंदाजा हो गया होगा पालो अल्टो नेटवर्क. यदि आपके पास भविष्य के लेखों के लिए सेटअप और विषयों पर सुझावों के बारे में प्रश्न हैं, तो उन्हें टिप्पणियों में लिखें, हमें उत्तर देने में खुशी होगी।

स्रोत: www.habr.com