हम GOST के अनुसार एन्क्रिप्ट करते हैं: गतिशील ट्रैफ़िक रूटिंग स्थापित करने के लिए एक मार्गदर्शिका

यदि आपकी कंपनी नेटवर्क पर व्यक्तिगत डेटा और अन्य गोपनीय जानकारी प्रसारित या प्राप्त करती है जो कानून के अनुसार सुरक्षा के अधीन है, तो उसे GOST एन्क्रिप्शन का उपयोग करना आवश्यक है। आज हम आपको बताएंगे कि हमने एक ग्राहक पर एस-टेरा क्रिप्टो गेटवे (सीएस) पर आधारित इस तरह के एन्क्रिप्शन को कैसे लागू किया। यह कहानी सूचना सुरक्षा विशेषज्ञों के साथ-साथ इंजीनियरों, डिजाइनरों और वास्तुकारों के लिए भी रुचिकर होगी। हम इस पोस्ट में तकनीकी कॉन्फ़िगरेशन की बारीकियों में गहराई से नहीं उतरेंगे; हम मूल सेटअप के प्रमुख बिंदुओं पर ध्यान केंद्रित करेंगे। लिनक्स ओएस डेमॉन की स्थापना पर भारी मात्रा में दस्तावेज़ीकरण, जिस पर एस-टेरा सीएस आधारित है, इंटरनेट पर स्वतंत्र रूप से उपलब्ध है। मालिकाना एस-टेरा सॉफ़्टवेयर स्थापित करने के लिए दस्तावेज़ीकरण भी सार्वजनिक रूप से उपलब्ध है पोर्टल निर्माता।

परियोजना के बारे में कुछ शब्द

ग्राहक की नेटवर्क टोपोलॉजी मानक थी - केंद्र और शाखाओं के बीच पूर्ण जाल। सभी साइटों के बीच सूचना विनिमय चैनलों का एन्क्रिप्शन शुरू करना आवश्यक था, जिनमें से 8 थे।

आमतौर पर ऐसी परियोजनाओं में सब कुछ स्थिर होता है: साइट के स्थानीय नेटवर्क के लिए स्थिर मार्ग क्रिप्टो गेटवे (सीजी) पर सेट होते हैं, एन्क्रिप्शन के लिए आईपी पते (एसीएल) की सूचियां पंजीकृत होती हैं। हालाँकि, इस मामले में, साइटों पर केंद्रीकृत नियंत्रण नहीं होता है, और उनके स्थानीय नेटवर्क के अंदर कुछ भी हो सकता है: नेटवर्क को हर संभव तरीके से जोड़ा, हटाया और संशोधित किया जा सकता है। साइटों पर स्थानीय नेटवर्क का पता बदलते समय केएस पर रूटिंग और एसीएल को पुन: कॉन्फ़िगर करने से बचने के लिए, जीआरई टनलिंग और ओएसपीएफ डायनेमिक रूटिंग का उपयोग करने का निर्णय लिया गया, जिसमें साइटों पर नेटवर्क कोर स्तर पर सभी केएस और अधिकांश राउटर शामिल हैं ( कुछ साइटों पर, इंफ्रास्ट्रक्चर प्रशासक कर्नेल राउटर्स पर केएस की ओर एसएनएटी का उपयोग करना पसंद करते हैं)।

जीआरई टनलिंग ने हमें दो समस्याओं को हल करने की अनुमति दी:
1. एसीएल में एन्क्रिप्शन के लिए सीएस के बाहरी इंटरफ़ेस के आईपी पते का उपयोग करें, जो अन्य साइटों पर भेजे गए सभी ट्रैफ़िक को समाहित करता है।
2. सीएस के बीच पीटीपी सुरंगों को व्यवस्थित करें, जो आपको डायनामिक रूटिंग को कॉन्फ़िगर करने की अनुमति देता है (हमारे मामले में, प्रदाता का एमपीएलएस एल3वीपीएन साइटों के बीच व्यवस्थित होता है)।

क्लाइंट ने एन्क्रिप्शन को एक सेवा के रूप में लागू करने का आदेश दिया। अन्यथा, उसे न केवल क्रिप्टो गेटवे बनाए रखना होगा या उन्हें किसी संगठन को आउटसोर्स करना होगा, बल्कि एन्क्रिप्शन प्रमाणपत्रों के जीवन चक्र की स्वतंत्र रूप से निगरानी करनी होगी, उन्हें समय पर नवीनीकृत करना होगा और नए इंस्टॉल करना होगा।

और अब वास्तविक मेमो - हमने कैसे और क्या कॉन्फ़िगर किया

सीआईआई विषय पर ध्यान दें: एक क्रिप्टो गेटवे स्थापित करना

बुनियादी नेटवर्क सेटअप

सबसे पहले, हम एक नया सीएस लॉन्च करते हैं और प्रशासन कंसोल में आते हैं। आपको अंतर्निहित व्यवस्थापक पासवर्ड - कमांड को बदलकर शुरुआत करनी चाहिए उपयोगकर्ता पासवर्ड व्यवस्थापक बदलें. फिर आपको आरंभीकरण प्रक्रिया (कमांड) को पूरा करने की आवश्यकता है हस्ताक्षर करना) जिसके दौरान लाइसेंस डेटा दर्ज किया जाता है और यादृच्छिक संख्या सेंसर (आरएनएस) प्रारंभ किया जाता है।

ध्यान! जब एस-टेरा सीसी आरंभ किया जाता है, तो एक सुरक्षा नीति स्थापित की जाती है जिसमें सुरक्षा गेटवे इंटरफेस पैकेट को गुजरने की अनुमति नहीं देते हैं। आपको या तो अपनी स्वयं की नीति बनानी होगी या कमांड का उपयोग करना होगा csconf_mgr सक्रिय चलाएँ एक पूर्वनिर्धारित अनुमति नीति सक्रिय करें।
इसके बाद, आपको बाहरी और आंतरिक इंटरफेस के साथ-साथ डिफ़ॉल्ट रूट के पते को कॉन्फ़िगर करने की आवश्यकता है। सीएस नेटवर्क कॉन्फ़िगरेशन के साथ काम करना और सिस्को-जैसे कंसोल के माध्यम से एन्क्रिप्शन को कॉन्फ़िगर करना बेहतर है। यह कंसोल सिस्को आईओएस कमांड के समान कमांड दर्ज करने के लिए डिज़ाइन किया गया है। सिस्को-जैसे कंसोल का उपयोग करके उत्पन्न कॉन्फ़िगरेशन, बदले में, संबंधित कॉन्फ़िगरेशन फ़ाइलों में परिवर्तित हो जाता है जिसके साथ ओएस डेमॉन काम करते हैं। आप कमांड के साथ प्रशासन कंसोल से सिस्को-जैसे कंसोल पर जा सकते हैं कॉन्फ़िगर.

अंतर्निहित उपयोगकर्ता cscons के लिए पासवर्ड बदलें और सक्षम करें:

>सक्षम करें
पासवर्ड: सीएसपी (पूर्वस्थापित)
#टर्मिनल कॉन्फ़िगर करें
#उपयोगकर्ता नाम cscons विशेषाधिकार 15 रहस्य 0 #गुप्त सक्षम करें 0 बुनियादी नेटवर्क कॉन्फ़िगरेशन सेट करना:

#इंटरफ़ेस GigabitEthernet0/0
#आईपी पता 10.111.21.3 255.255.255.0
#शटडाउन नहीं
#इंटरफ़ेस GigabitEthernet0/1
#आईपी पता 192.168.2.5 255.255.255.252
#शटडाउन नहीं
#आईपी रूट 0.0.0.0 0.0.0.0 10.111.21.254

जीआरई

सिस्को-जैसे कंसोल से बाहर निकलें और कमांड के साथ डेबियन शेल पर जाएं प्रणाली. उपयोगकर्ता के लिए अपना स्वयं का पासवर्ड सेट करें जड़ टीम पासवर्ड.
प्रत्येक नियंत्रण कक्ष में, प्रत्येक साइट के लिए एक अलग सुरंग कॉन्फ़िगर की गई है। टनल इंटरफ़ेस फ़ाइल में कॉन्फ़िगर किया गया है / Etc / नेटवर्क / इंटरफेस. पूर्वस्थापित iproute2 सेट में शामिल IP टनल उपयोगिता, इंटरफ़ेस बनाने के लिए ही ज़िम्मेदार है। इंटरफ़ेस निर्माण कमांड प्री-अप विकल्प में लिखा गया है।

एक विशिष्ट सुरंग इंटरफ़ेस का उदाहरण विन्यास:
ऑटो साइट1
आईफ़ेस साइट1 इनेट स्टेटिक
पता 192.168.1.4
नेटमास्क 255.255.255.254
प्री-अप आईपी टनल साइट1 मोड ग्रे लोकल 10.111.21.3 रिमोट 10.111.22.3 कुंजी hfLYEg^vCh6p जोड़ें

ध्यान! यह ध्यान दिया जाना चाहिए कि सुरंग इंटरफेस के लिए सेटिंग्स अनुभाग के बाहर स्थित होनी चाहिए

###netifcfg-शुरू###
*****
###netifcfg-end###

अन्यथा, सिस्को-जैसे कंसोल के माध्यम से भौतिक इंटरफेस की नेटवर्क सेटिंग्स बदलते समय ये सेटिंग्स ओवरराइट हो जाएंगी।

गतिशील रूटिंग

एस-टेरा में, डायनामिक रूटिंग को क्वागा सॉफ्टवेयर पैकेज का उपयोग करके कार्यान्वित किया जाता है। ओएसपीएफ को कॉन्फ़िगर करने के लिए हमें डेमॉन को सक्षम और कॉन्फ़िगर करने की आवश्यकता है ज़ेबरा и ओएसपीएफडी. ज़ेबरा डेमॉन रूटिंग डेमॉन और ओएस के बीच संचार के लिए जिम्मेदार है। जैसा कि नाम से पता चलता है, ओएसपीएफडी डेमॉन ओएसपीएफ प्रोटोकॉल को लागू करने के लिए जिम्मेदार है।
ओएसपीएफ को या तो डेमॉन कंसोल के माध्यम से या सीधे कॉन्फ़िगरेशन फ़ाइल के माध्यम से कॉन्फ़िगर किया गया है /etc/quagga/ospfd.conf. डायनेमिक रूटिंग में भाग लेने वाले सभी भौतिक और सुरंग इंटरफेस को फ़ाइल में जोड़ा जाता है, और जिन नेटवर्कों का विज्ञापन किया जाएगा और घोषणाएं प्राप्त की जाएंगी, उन्हें भी घोषित किया जाएगा।

उस कॉन्फ़िगरेशन का एक उदाहरण जिसे जोड़ने की आवश्यकता है ospfd.conf:
इंटरफ़ेस eth0
!
इंटरफ़ेस eth1
!
इंटरफ़ेस साइट1
!
इंटरफ़ेस साइट2
राउटर ओएसपीएफ
ओएसपीएफ राउटर-आईडी 192.168.2.21
नेटवर्क 192.168.1.4/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.1.16/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.2.4/30 क्षेत्र 0.0.0.0

इस मामले में, पते 192.168.1.x/31 साइटों के बीच सुरंग पीटीपी नेटवर्क के लिए आरक्षित हैं, पते 192.168.2.x/30 सीएस और कर्नेल राउटर के बीच पारगमन नेटवर्क के लिए आवंटित किए गए हैं।

ध्यान! बड़े इंस्टॉलेशन में राउटिंग टेबल को कम करने के लिए, आप कंस्ट्रक्शंस का उपयोग करके ट्रांज़िट नेटवर्क की घोषणा को स्वयं फ़िल्टर कर सकते हैं कोई पुनर्वितरण जुड़ा नहीं है या कनेक्टेड रूट-मैप को पुनः वितरित करें.

डेमॉन को कॉन्फ़िगर करने के बाद, आपको डेमॉन की स्टार्टअप स्थिति को बदलने की आवश्यकता है /आदि/क्वाग्गा/डेमन्स. विकल्पों में ज़ेबरा и ओएसपीएफडी हाँ में कोई परिवर्तन नहीं. जब आप केएस कमांड शुरू करते हैं तो क्वाग्गा डेमॉन शुरू करें और इसे ऑटोरन पर सेट करें अद्यतन-rc.d सक्षम करें.

यदि जीआरई सुरंगों और ओएसपीएफ का कॉन्फ़िगरेशन सही ढंग से किया जाता है, तो अन्य साइटों के नेटवर्क में रूट केएसएच और कोर राउटर पर दिखाई देने चाहिए और इस प्रकार, स्थानीय नेटवर्क के बीच नेटवर्क कनेक्टिविटी उत्पन्न होती है।

हम संचरित ट्रैफ़िक को एन्क्रिप्ट करते हैं

जैसा कि पहले ही लिखा जा चुका है, आमतौर पर साइटों के बीच एन्क्रिप्ट करते समय, हम आईपी एड्रेस रेंज (एसीएल) निर्दिष्ट करते हैं जिसके बीच ट्रैफ़िक एन्क्रिप्ट किया जाता है: यदि स्रोत और गंतव्य पते इन श्रेणियों के भीतर आते हैं, तो उनके बीच का ट्रैफ़िक एन्क्रिप्ट किया जाता है। हालाँकि, इस प्रोजेक्ट में संरचना गतिशील है और पते बदल सकते हैं। चूंकि हमने पहले ही जीआरई टनलिंग को कॉन्फ़िगर कर लिया है, हम ट्रैफ़िक को एन्क्रिप्ट करने के लिए स्रोत और गंतव्य पते के रूप में बाहरी केएस पते निर्दिष्ट कर सकते हैं - आखिरकार, जीआरई प्रोटोकॉल द्वारा पहले से ही एनकैप्सुलेट किया गया ट्रैफ़िक एन्क्रिप्शन के लिए आता है। दूसरे शब्दों में, एक साइट के स्थानीय नेटवर्क से अन्य साइटों द्वारा घोषित नेटवर्क की ओर सीएस में आने वाली हर चीज एन्क्रिप्टेड है। और प्रत्येक साइट के भीतर कोई भी पुनर्निर्देशन किया जा सकता है। इस प्रकार, यदि स्थानीय नेटवर्क में कोई बदलाव होता है, तो व्यवस्थापक को केवल अपने नेटवर्क से नेटवर्क की ओर आने वाली घोषणाओं को संशोधित करने की आवश्यकता होती है, और यह अन्य साइटों के लिए उपलब्ध हो जाएगी।

एस-टेरा सीएस में एन्क्रिप्शन आईपीएसईसी प्रोटोकॉल का उपयोग करके किया जाता है। हम GOST R 34.12-2015 के अनुसार "ग्रासहॉपर" एल्गोरिदम का उपयोग करते हैं, और पुराने संस्करणों के साथ संगतता के लिए आप GOST 28147-89 का उपयोग कर सकते हैं। प्रमाणीकरण तकनीकी रूप से पूर्वनिर्धारित कुंजी (पीएसके) और प्रमाणपत्र दोनों पर किया जा सकता है। हालाँकि, औद्योगिक संचालन में GOST R 34.10-2012 के अनुसार जारी प्रमाणपत्रों का उपयोग करना आवश्यक है।

उपयोगिता का उपयोग करके प्रमाणपत्रों, कंटेनरों और सीआरएल के साथ कार्य किया जाता है cert_mgr. सबसे पहले, कमांड का उपयोग करना cert_mgr बनाएँ एक निजी कुंजी कंटेनर और एक प्रमाणपत्र अनुरोध उत्पन्न करना आवश्यक है, जिसे प्रमाणपत्र प्रबंधन केंद्र को भेजा जाएगा। प्रमाणपत्र प्राप्त करने के बाद, इसे कमांड के साथ रूट सीए प्रमाणपत्र और सीआरएल (यदि उपयोग किया जाता है) के साथ आयात किया जाना चाहिए cert_mgr आयात. आप यह सुनिश्चित कर सकते हैं कि सभी प्रमाणपत्र और सीआरएल कमांड के साथ स्थापित हैं cert_mgr शो.

प्रमाणपत्रों को सफलतापूर्वक स्थापित करने के बाद, IPSec को कॉन्फ़िगर करने के लिए सिस्को-जैसे कंसोल पर जाएं।
हम एक IKE नीति बनाते हैं जो बनाए गए सुरक्षित चैनल के वांछित एल्गोरिदम और मापदंडों को निर्दिष्ट करती है, जिसे अनुमोदन के लिए भागीदार को पेश किया जाएगा।

#क्रिप्टो आईएसएकेएमपी पॉलिसी 1000
#encr gost341215k
#हैश गोस्ट341112-512-टीसी26
#प्रमाणीकरण चिह्न
#समूह vko2
#जीवनकाल 3600

यह नीति आईपीएसईसी के पहले चरण का निर्माण करते समय लागू की जाती है। पहले चरण के सफल समापन का परिणाम एसए (सुरक्षा संघ) की स्थापना है।
इसके बाद, हमें एन्क्रिप्शन के लिए स्रोत और गंतव्य आईपी पते (एसीएल) की एक सूची को परिभाषित करने, एक ट्रांसफॉर्म सेट तैयार करने, एक क्रिप्टोग्राफ़िक मैप (क्रिप्टो मैप) बनाने और इसे सीएस के बाहरी इंटरफ़ेस से बांधने की आवश्यकता है।

एसीएल सेट करें:
#आईपी एक्सेस-सूची विस्तारित साइट1
#परमिट जीआरई होस्ट 10.111.21.3 होस्ट 10.111.22.3

परिवर्तनों का एक सेट (पहले चरण के समान, हम सिमुलेशन इंसर्ट जेनरेशन मोड का उपयोग करके "ग्रासहॉपर" एन्क्रिप्शन एल्गोरिथ्म का उपयोग करते हैं):

#क्रिप्टो आईपीएसईसी ट्रांसफॉर्म-सेट GOST esp-gost341215k-mac

हम एक क्रिप्टो मानचित्र बनाते हैं, एसीएल, ट्रांसफॉर्म सेट और पीयर एड्रेस निर्दिष्ट करते हैं:

#क्रिप्टो मैप MAIN 100 ipsec-isakmp
#मैच पता साइट1
#सेट ट्रांसफॉर्म-सेट GOST
#सेट पीयर 10.111.22.3

हम क्रिप्टो कार्ड को कैश रजिस्टर के बाहरी इंटरफ़ेस से जोड़ते हैं:

#इंटरफ़ेस GigabitEthernet0/0
#आईपी पता 10.111.21.3 255.255.255.0
#क्रिप्टो मानचित्र मुख्य

अन्य साइटों के साथ चैनलों को एन्क्रिप्ट करने के लिए, आपको एसीएल और क्रिप्टो कार्ड बनाने, एसीएल नाम, आईपी पते और क्रिप्टो कार्ड नंबर बदलने की प्रक्रिया को दोहराना होगा।

ध्यान! यदि सीआरएल द्वारा प्रमाणपत्र सत्यापन का उपयोग नहीं किया जाता है, तो इसे स्पष्ट रूप से निर्दिष्ट किया जाना चाहिए:

#क्रिप्टो पीकेआई ट्रस्टपॉइंट एस-टेरा_टेक्नोलॉजिकल_ट्रस्टपॉइंट
#निरस्तीकरण-कोई नहीं जांचें

इस बिंदु पर, सेटअप को पूर्ण माना जा सकता है। सिस्को-जैसे कंसोल कमांड आउटपुट में क्रिप्टो isakmp sa दिखाएँ и क्रिप्टो आईपीएसईसी एसए दिखाएं आईपीएसईसी के निर्मित पहले और दूसरे चरण को प्रतिबिंबित किया जाना चाहिए। वही जानकारी कमांड का उपयोग करके प्राप्त की जा सकती है sa_mgr शो, डेबियन शेल से निष्पादित। कमांड आउटपुट में cert_mgr शो दूरस्थ साइट प्रमाणपत्र दिखना चाहिए. ऐसे प्रमाणपत्रों की स्थिति होगी दूरस्थ. यदि सुरंगें नहीं बनाई जा रही हैं, तो आपको वीपीएन सेवा लॉग को देखना होगा, जो फ़ाइल में संग्रहीत है /var/log/cspvpngate.log. उनकी सामग्री के विवरण के साथ लॉग फ़ाइलों की एक पूरी सूची दस्तावेज़ में उपलब्ध है।

सिस्टम के "स्वास्थ्य" की निगरानी करना

एस-टेरा सीसी निगरानी के लिए मानक एसएनएमपीडी डेमॉन का उपयोग करता है। विशिष्ट लिनक्स मापदंडों के अलावा, आउट ऑफ द बॉक्स एस-टेरा CISCO-IPSEC-FLOW-MONITOR-MIB के अनुसार IPSec सुरंगों के बारे में डेटा जारी करने का समर्थन करता है, जिसका उपयोग हम IPSec सुरंगों की स्थिति की निगरानी करते समय करते हैं। कस्टम OID की कार्यक्षमता जो स्क्रिप्ट निष्पादन के परिणामों को मानों के रूप में आउटपुट करती है, भी समर्थित है। यह सुविधा हमें प्रमाणपत्र की समाप्ति तिथियों को ट्रैक करने की अनुमति देती है। लिखित स्क्रिप्ट कमांड आउटपुट को पार्स करती है cert_mgr शो और परिणामस्वरूप स्थानीय और रूट प्रमाणपत्र समाप्त होने तक दिनों की संख्या मिलती है। बड़ी संख्या में सीएबीजी का प्रबंधन करते समय यह तकनीक अपरिहार्य है।

ऐसे एन्क्रिप्शन का क्या फायदा है?

ऊपर वर्णित सभी कार्यक्षमता एस-टेरा केएसएच द्वारा बॉक्स से बाहर समर्थित है। अर्थात्, किसी भी अतिरिक्त मॉड्यूल को स्थापित करने की आवश्यकता नहीं थी जो क्रिप्टो गेटवे के प्रमाणीकरण और संपूर्ण सूचना प्रणाली के प्रमाणीकरण को प्रभावित कर सके। साइटों के बीच कोई भी चैनल हो सकता है, यहां तक ​​कि इंटरनेट के माध्यम से भी।

इस तथ्य के कारण कि जब आंतरिक बुनियादी ढाँचा बदलता है, तो क्रिप्टो गेटवे को पुन: कॉन्फ़िगर करने की कोई आवश्यकता नहीं होती है, सिस्टम एक सेवा के रूप में कार्य करता है, जो ग्राहक के लिए बहुत सुविधाजनक है: वह अपनी सेवाओं (क्लाइंट और सर्वर) को किसी भी पते पर रख सकता है, और सभी परिवर्तन एन्क्रिप्शन उपकरण के बीच गतिशील रूप से स्थानांतरित किए जाएंगे।

बेशक, ओवरहेड लागत (ओवरहेड) के कारण एन्क्रिप्शन डेटा ट्रांसफर गति को प्रभावित करता है, लेकिन केवल थोड़ा सा - चैनल थ्रूपुट अधिकतम 5-10% तक कम हो सकता है। साथ ही, प्रौद्योगिकी का परीक्षण किया गया है और उपग्रह चैनलों पर भी अच्छे परिणाम दिखाए गए हैं, जो काफी अस्थिर हैं और कम बैंडविड्थ वाले हैं।

इगोर विनोखोदोव, रोस्टेलकॉम-सोलर के प्रशासन की दूसरी पंक्ति के इंजीनियर

स्रोत: www.habr.com