{"id":39000,"date":"2019-10-31T22:27:16","date_gmt":"2019-10-31T19:27:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika\/"},"modified":"2019-10-31T22:27:16","modified_gmt":"2019-10-31T19:27:16","slug":"shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","title":{"rendered":"Titkos\u00edt\u00e1s a GOST szerint: \u00fatmutat\u00f3 a dinamikus forgalomir\u00e1ny\u00edt\u00e1s be\u00e1ll\u00edt\u00e1s\u00e1hoz","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Titkos\u00edt\u00e1s
\nHa a v\u00e1llalata h\u00e1l\u00f3zaton szem\u00e9lyes adatokat vagy m\u00e1s v\u00e9dend\u0151 bizalmas inform\u00e1ci\u00f3kat tov\u00e1bb\u00edt vagy fogad, amelyeket a jogszab\u00e1lyok v\u00e9delm\u00e9t ig\u00e9nylik, akkor k\u00f6telez\u0151 a GOST szerinti titkos\u00edt\u00e1s alkalmaz\u00e1sa. Ma arr\u00f3l fogunk besz\u00e9lni, hogy mik\u00e9nt val\u00f3s\u00edtottuk meg ezt a titkos\u00edt\u00e1st az S-Terra kripto\u00e1tj\u00e1r\u00f3n\u00e1l (\u041a\u0428) egy megrendel\u0151n\u00e9l. Ez a t\u00f6rt\u00e9net \u00e9rdekes lesz a biztons\u00e1gi szakemberek, m\u00e9rn\u00f6k\u00f6k, tervez\u0151k \u00e9s architektek sz\u00e1m\u00e1ra. A technikai konfigur\u00e1ci\u00f3 r\u00e9szleteibe nem fogunk m\u00e9lyen belemenni \u2014 a f\u0151bb alapbe\u00e1ll\u00edt\u00e1si pontokra fogunk koncentr\u00e1lni. \u00d3ri\u00e1si mennyis\u00e9g\u0171 dokument\u00e1ci\u00f3 \u00e1ll rendelkez\u00e9sre az S-Terra K\u0428 \u00e1ltal haszn\u00e1lt Linux oper\u00e1ci\u00f3s rendszer d\u00e9monjainak be\u00e1ll\u00edt\u00e1s\u00e1r\u00f3l, amely szabadon hozz\u00e1f\u00e9rhet\u0151 az interneten. Az S-Terra tulajdonosi szoftver\u00e9nek be\u00e1ll\u00edt\u00e1si dokument\u00e1ci\u00f3ja szint\u00e9n nyilv\u00e1nosan el\u00e9rhet\u0151. port\u00e1lon<\/a><\/noindex> a gy\u00e1rt\u00f3.
\n<\/a><\/noindex><\/p>\n

N\u00e9h\u00e1ny sz\u00f3 a projektr\u0151l <\/h2>\n

\nA megrendel\u0151 h\u00e1l\u00f3zati topol\u00f3gi\u00e1ja tipikus volt \u2014 teljes mesh a k\u00f6zpont \u00e9s a fi\u00f3kok k\u00f6z\u00f6tt. Sz\u00fcks\u00e9ges volt a kommunik\u00e1ci\u00f3s csatorn\u00e1k titkos\u00edt\u00e1s\u00e1nak bevezet\u00e9se az \u00f6sszes helysz\u00edn k\u00f6z\u00f6tt, amelyek sz\u00e1ma 8 volt. <\/p>\n

Hasonl\u00f3 projektekben \u00e1ltal\u00e1ban minden statikus: a kripto\u00e1tj\u00e1r\u00f3kon (\u041a\u0428) statikus \u00fatvonalakat \u00e1ll\u00edtanak be a helyi h\u00e1l\u00f3zatra, IP-c\u00edmlist\u00e1kat (ACL) \u00edrnak el\u0151 a titkos\u00edt\u00e1shoz. Azonban ebben az esetben a helysz\u00edneknek nincs k\u00f6zpontos\u00edtott ir\u00e1ny\u00edt\u00e1sa, \u00e9s a helyi h\u00e1l\u00f3zatokon bel\u00fcl b\u00e1rmi megt\u00f6rt\u00e9nhet: h\u00e1l\u00f3zatok adhat\u00f3k hozz\u00e1, t\u00e1vol\u00edthat\u00f3k el \u00e9s mindenf\u00e9lek\u00e9ppen m\u00f3dos\u00edthat\u00f3k. Annak \u00e9rdek\u00e9ben, hogy elker\u00fclj\u00fck az \u00fatvonalbe\u00e1ll\u00edt\u00e1s \u00e9s az ACL \u00fajrakonfigur\u00e1l\u00e1s\u00e1t a helyi h\u00e1l\u00f3zatokr\u00f3l \u00e9rkez\u0151 c\u00edmek megv\u00e1ltoz\u00e1sa eset\u00e9n, a GRE-alag\u00fat alkalmaz\u00e1sa \u00e9s az OSPF dinamikus \u00fatvonalv\u00e1laszt\u00e1s bevezet\u00e9se mellett d\u00f6nt\u00f6ttek, amelybe minden \u041a\u0428 \u00e9s a helysz\u00ednek t\u00f6bbs\u00e9g\u00e9nek gerinc routerei beletartoznak (n\u00e9h\u00e1ny helysz\u00ednen az infrastrukt\u00fara rendszergazd\u00e1i a K\u0428 fel\u00e9 ir\u00e1nyul\u00f3 SNAT haszn\u00e1lat\u00e1t r\u00e9szes\u00edtett\u00e9k el\u0151nyben a gerinc routereken). <\/p>\n

A GRE-alag\u00fat lehet\u0151v\u00e9 tette k\u00e9t feladat megold\u00e1s\u00e1t:
\n1.<\/b> Az ACL-ben a titkos\u00edt\u00e1shoz haszn\u00e1lt IP-c\u00edm az \u041a\u0428 k\u00fcls\u0151 interf\u00e9sze, amelyben minden olyan forgalom kapszul\u00e1z\u00f3dik, amely m\u00e1s helyekre ir\u00e1nyul.
\n2.<\/b> P-t-p alagutak l\u00e9trehoz\u00e1sa a \u041a\u0428-k k\u00f6z\u00f6tt, amelyek lehet\u0151v\u00e9 teszik a dinamikus \u00fatvonalv\u00e1laszt\u00e1s be\u00e1ll\u00edt\u00e1s\u00e1t (a mi eset\u00fcnkben a helysz\u00ednek k\u00f6z\u00f6tt szolg\u00e1ltat\u00f3i MPLS L3VPN-t szerveztek meg).<\/p>\n

Az \u00fcgyf\u00e9l titkos\u00edt\u00e1si megold\u00e1s beszerz\u00e9s\u00e9t k\u00e9rte. K\u00fcl\u00f6nben nemcsak a kriptogr\u00e1fiai \u00e1tj\u00e1r\u00f3k fenntart\u00e1s\u00e1val, vagy valamilyen szervezetre val\u00f3 kiszervez\u00e9ssel kellett volna foglalkoznia, hanem saj\u00e1t maga kellett volna nyomon k\u00f6vetnie a titkos\u00edt\u00e1si tan\u00fas\u00edtv\u00e1nyok \u00e9letciklus\u00e1t, id\u0151ben meg\u00faj\u00edtani \u0151ket \u00e9s \u00fajakat telep\u00edteni.
\n\"Titkos\u00edt\u00e1s
\nMost pedig itt az eml\u00e9keztet\u0151 \u2013 hogyan \u00e9s mit \u00e1ll\u00edtottunk be<\/p>\n

KII szempontj\u00e1b\u00f3l: kriptogr\u00e1fiai \u00e1tj\u00e1r\u00f3 be\u00e1ll\u00edt\u00e1sa <\/h2>\n

<\/p>\n

Alap h\u00e1l\u00f3zati be\u00e1ll\u00edt\u00e1s<\/h3>\n

\nMindenekel\u0151tt elind\u00edtjuk az \u00faj K\u00c1-t, \u00e9s bel\u00e9p\u00fcnk az adminisztr\u00e1ci\u00f3s konzolra. A jelsz\u00f3 megv\u00e1ltoztat\u00e1s\u00e1val \u00e9rdemes kezdeni, az integr\u00e1lt adminisztr\u00e1tor\u00e9ra \u2014 parancs: change user password administrator<\/b>. Ezt k\u00f6vet\u0151en el kell v\u00e9gezni az inicializ\u00e1l\u00e1si elj\u00e1r\u00e1st (parancs: initialize<\/b>), amely sor\u00e1n be\u00edr\u00e1sra ker\u00fclnek a licencek adatai, valamint inicializ\u00e1l\u00f3dik a v\u00e9letlensz\u00e1m-gener\u00e1tor (VRG).<\/p>\n

Felh\u00edvjuk a figyelmet!<\/u><\/b> A K\u00c1 inicializ\u00e1l\u00e1sakor S-Terra biztons\u00e1gi ir\u00e1nyelvek ker\u00fclnek be\u00e1ll\u00edt\u00e1sra, amely alapj\u00e1n a biztons\u00e1gi \u00e1tj\u00e1r\u00f3 interf\u00e9szei nem engednek \u00e1t csomagokat. Sz\u00fcks\u00e9ges saj\u00e1t ir\u00e1nyelvet l\u00e9trehozni, vagy a k\u00f6vetkez\u0151 parancs seg\u00edts\u00e9g\u00e9vel: run csconf_mgr activate<\/b> elv\u00e9gezni az el\u0151re meghat\u00e1rozott enged\u00e9lyez\u00e9si ir\u00e1nyelv aktiv\u00e1l\u00e1s\u00e1t.
\nEzut\u00e1n be kell \u00e1ll\u00edtani a k\u00fcls\u0151 \u00e9s bels\u0151 interf\u00e9szek c\u00edmz\u00e9s\u00e9t, valamint az alap\u00e9rtelmezett \u00fatvonalat. A K\u00c1 h\u00e1l\u00f3zati konfigur\u00e1ci\u00f3j\u00e1val \u00e9s titkos\u00edt\u00e1si be\u00e1ll\u00edt\u00e1saival a Cisco-szer\u0171 konzolon kereszt\u00fcl \u00e9rdemes foglalkozni. Ez a konzol a Cisco IOS parancsaihoz hasonl\u00f3 parancsok bevitel\u00e9re szolg\u00e1l. A Cisco-szer\u0171 konzolon kereszt\u00fcl l\u00e9trehozott konfigur\u00e1ci\u00f3 megfelel\u0151 konfigur\u00e1ci\u00f3s f\u00e1jlokk\u00e1 alakul, amelyeket az oper\u00e1ci\u00f3s rendszer d\u00e9monjai haszn\u00e1lnak. A Cisco-szer\u0171 konzolra az adminisztr\u00e1ci\u00f3s konzolb\u00f3l a k\u00f6vetkez\u0151 parancs seg\u00edts\u00e9g\u00e9vel lehet \u00e1tv\u00e1ltani: configure<\/b>.<\/p>\n

Megv\u00e1ltoztatjuk a be\u00e9p\u00edtett cscons \u00e9s enable felhaszn\u00e1l\u00f3k jelszav\u00e1t: <\/p>\n

>enable
\nJelsz\u00f3: csp(gy\u00e1ri)
\n#configure terminal
\n#username cscons privilege 15 secret 0 #enable secret 0 \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0431\u0430\u0437\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#no shutdown
\n#interface GigabitEthernet0\/1
\n#ip address 192.168.2.5 255.255.255.252
\n#no shutdown
\n#ip route 0.0.0.0 0.0.0.0 10.111.21.254<\/p>\n

GRE<\/h3>\n

\nKil\u00e9p\u00fcnk a Cisco-szer\u0171 konzolb\u00f3l, \u00e9s a debian shellbe l\u00e9p\u00fcnk a k\u00f6vetkez\u0151 parancs seg\u00edts\u00e9g\u00e9vel: system<\/b>. Be\u00e1ll\u00edtjuk a saj\u00e1t jelszavunkat a felhaszn\u00e1l\u00f3hoz , felhaszn\u00e1l\u00f3 nev\u00e9ben fut, mivel alapvet\u0151 rendszerbe\u00e1ll\u00edt\u00e1sokat m\u00f3dos\u00edtanak, de a WordPress k\u00f6zvetlen\u00fcl egy norm\u00e1l felhaszn\u00e1l\u00f3k\u00e9nt m\u0171k\u00f6dik.<\/b> parancsot passwd<\/b>.
\nMinden K\u00c1-n k\u00fcl\u00f6n alagutat kell be\u00e1ll\u00edtani minden helysz\u00ednhez. Az alag\u00fatfel\u00fclet be\u00e1ll\u00edt\u00e1sa a f\u00e1jlban t\u00f6rt\u00e9nik \/etc\/network\/interfaces<\/b>. Az alag\u00fat interface l\u00e9trehoz\u00e1s\u00e1\u00e9rt az iproute2 el\u0151re telep\u00edtett csomagj\u00e1ban tal\u00e1lhat\u00f3 IP tunnel seg\u00e9dprogram felel. Az interf\u00e9sz l\u00e9trehoz\u00f3 parancs a pre-up opci\u00f3ban ker\u00fcl megad\u00e1sra.<\/p>\n

Tipikus alag\u00fatfel\u00fclet konfigur\u00e1ci\u00f3 p\u00e9lda:
\nauto site1
\niface site1 inet static
\naddress 192.168.1.4
\nnetmask 255.255.255.254
\npre-up ip tunnel add site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p<\/p>\n

Felh\u00edvjuk a figyelmet!<\/u><\/b> Meg kell jegyezni, hogy a tunnel interf\u00e9szek be\u00e1ll\u00edt\u00e1sait a szekci\u00f3n k\u00edv\u00fcl kell elhelyezni <\/p>\n

###netifcfg-begin###
\n*****
\n###netifcfg-end###<\/p>\n

Ellenkez\u0151 esetben ezek a be\u00e1ll\u00edt\u00e1sok fel\u00fcl\u00edr\u00f3dnak a fizikai interf\u00e9szek h\u00e1l\u00f3zati be\u00e1ll\u00edt\u00e1sainak m\u00f3dos\u00edt\u00e1sakor a Cisco-szer\u0171 konzolon.<\/p>\n

Dinamikus \u00fatv\u00e1laszt\u00e1s<\/h3>\n

\nAz S-Terra-ban a dinamikus \u00fatv\u00e1laszt\u00e1s a Quagga programcsomag seg\u00edts\u00e9g\u00e9vel val\u00f3sul meg. Az OSPF be\u00e1ll\u00edt\u00e1s\u00e1hoz sz\u00fcks\u00e9g\u00fcnk lesz a d\u00e9monok enged\u00e9lyez\u00e9s\u00e9re \u00e9s konfigur\u00e1l\u00e1s\u00e1ra zebra<\/b> \u00e9s ospfd<\/b>. A zebra d\u00e9mon felel\u0151s a routing d\u00e9monok \u00e9s az oper\u00e1ci\u00f3s rendszer k\u00f6z\u00f6tti interakci\u00f3\u00e9rt. Az ospfd d\u00e9mon, amint azt a neve is sugallja, az OSPF protokoll megval\u00f3s\u00edt\u00e1s\u00e1\u00e9rt felel.
\nAz OSPF be\u00e1ll\u00edt\u00e1sa t\u00f6rt\u00e9nhet a d\u00e9mon konzolon kereszt\u00fcl, vagy k\u00f6zvetlen\u00fcl a konfigur\u00e1ci\u00f3s f\u00e1jlban \/etc\/quagga\/ospfd.conf<\/b>. A f\u00e1jlba minden r\u00e9sztvev\u0151 fizikai \u00e9s tunnel interf\u00e9szt be kell \u00edrni, valamint meg kell hirdetni azokat a h\u00e1l\u00f3zatokat, amelyek bejelent\u00e9sre ker\u00fclnek \u00e9s fogadj\u00e1k a bejelent\u00e9seket.<\/p>\n

Konfigur\u00e1ci\u00f3s p\u00e9lda, amelyet hozz\u00e1 kell adni a ospfd.conf<\/b>:
\ninterface eth0
\n!
\ninterface eth1
\n!
\ninterface site1
\n!
\ninterface site2
\nrouter ospf
\n ospf router-id 192.168.2.21
\n network 192.168.1.4\/31 area 0.0.0.0
\n network 192.168.1.16\/31 area 0.0.0.0
\n network 192.168.2.4\/30 area 0.0.0.0<\/p>\n

Ebben az esetben a 192.168.1.x\/31 c\u00edmek a telephelyek k\u00f6z\u00f6tti ptp tunnelekhez vannak allok\u00e1lva, m\u00edg a 192.168.2.x\/30 c\u00edmek a tranzit h\u00e1l\u00f3zatokhoz a core routerek \u00e9s a KSH k\u00f6z\u00f6tt. <\/p>\n

Felh\u00edvjuk a figyelmet!<\/b><\/u> A routing t\u00e1bl\u00e1zat cs\u00f6kkent\u00e9s\u00e9hez nagym\u00e9ret\u0171 telep\u00edt\u00e9sekben a tranzit h\u00e1l\u00f3zatok hirdet\u00e9se kisz\u0171rhet\u0151 a k\u00f6vetkez\u0151 konstrukci\u00f3kkal no redistribute connected<\/b> vagy redistribute connected route-map<\/b>.<\/p>\n

A d\u00e9monok be\u00e1ll\u00edt\u00e1sa ut\u00e1n meg kell v\u00e1ltoztatni a d\u00e9monok ind\u00edt\u00e1si st\u00e1tusz\u00e1t a \/etc\/quagga\/daemons<\/b>. A lehet\u0151s\u00e9gekben zebra<\/b> \u00e9s ospfd<\/b> a no-t yes-re kell jav\u00edtani. Ind\u00edtsuk el a quagga d\u00e9mon-t \u00e9s \u00e1ll\u00edtsuk be automatikus ind\u00edt\u00e1st a KSH ind\u00edt\u00e1sakor a k\u00f6vetkez\u0151 paranccsal update-rc.d quagga enable<\/b>.<\/p>\n

Ha a GRE tunnel \u00e9s az OSPF be\u00e1ll\u00edt\u00e1sa helyesen t\u00f6rt\u00e9nt, akkor a KSH-n \u00e9s a core routereken megjelennek a t\u00f6bbi telephely h\u00e1l\u00f3zat\u00e1nak \u00fatvonalai, ezzel h\u00e1l\u00f3zati kapcsolat l\u00e9tes\u00fcl a helyi h\u00e1l\u00f3zatok k\u00f6z\u00f6tt.<\/p>\n

Titkos\u00edtjuk az \u00e1tvitt forgalmat <\/h3>\n

\nAhogy m\u00e1r eml\u00edtett\u00fck, \u00e1ltal\u00e1ban a helyek k\u00f6z\u00f6tti titkos\u00edt\u00e1s sor\u00e1n megadjuk az IP-c\u00edmek tartom\u00e1nyait (ACL), amelyek k\u00f6z\u00f6tt titkos\u00edtva van a forgalom: ha a forr\u00e1s- \u00e9s fogad\u00f3 c\u00edmek ezekbe a tartom\u00e1nyokba esnek, akkor a k\u00f6z\u00f6tt\u00fck l\u00e9v\u0151 forgalom titkos\u00edtva van. Azonban ebben a projektben a strukt\u00fara dinamikus, \u00e9s a c\u00edmek v\u00e1ltozhatnak. Mivel m\u00e1r be\u00e1ll\u00edtottuk a GRE-alag\u00fat-titkos\u00edt\u00e1st, a forgalom titkos\u00edt\u00e1s\u00e1hoz haszn\u00e1lhatjuk a k\u00fcls\u0151 KSH c\u00edmeket \u2013 hiszen a titkos\u00edt\u00e1sra \u00e9rkez\u0151 forgalom m\u00e1r GRE protokollal van kapszul\u00e1zva. M\u00e1s szavakkal, minden titkos\u00edtva van, ami eljut a KSH-hoz az egyik hely lok\u00e1lis h\u00e1l\u00f3zat\u00e1b\u00f3l a m\u00e1sik helyek \u00e1ltal bejelentett h\u00e1l\u00f3zatok fel\u00e9. \u00c9s m\u00e1r minden helyen tetsz\u0151leges tov\u00e1bbir\u00e1ny\u00edt\u00e1s v\u00e9gezhet\u0151. \u00cdgy ha a helyi h\u00e1l\u00f3zatok valamilyen m\u00f3don v\u00e1ltoznak, az adminisztr\u00e1tor sz\u00e1m\u00e1ra elegend\u0151, ha m\u00f3dos\u00edtja a KSH ir\u00e1ny\u00e1ba k\u00fcld\u00f6tt bejelent\u00e9seket, \u00e9s az el\u00e9rhet\u0151v\u00e9 v\u00e1lik m\u00e1s helyek sz\u00e1m\u00e1ra.<\/p>\n

A KSH-ban az S-Terra titkos\u00edt\u00e1sa az IPSec protokoll seg\u00edts\u00e9g\u00e9vel t\u00f6rt\u00e9nik. A \"Kuznyec\" algoritmust haszn\u00e1ljuk a GOST R 34.12-2015 norma szerint, a r\u00e9gebbi verzi\u00f3kkal val\u00f3 kompatibilit\u00e1s \u00e9rdek\u00e9ben pedig a GOST 28147-89 alkalmazhat\u00f3. Az autentik\u00e1ci\u00f3 technikailag megval\u00f3s\u00edthat\u00f3 el\u0151re meghat\u00e1rozott kulcsokkal (PSK) vagy tan\u00fas\u00edtv\u00e1nyokkal. Mindazon\u00e1ltal ipari k\u00f6rnyezetben mindenk\u00e9ppen tan\u00fas\u00edtv\u00e1nyokat kell haszn\u00e1lni, amelyeket a GOST R 34.10-2012 szerint adtak ki.<\/p>\n

A tan\u00fas\u00edtv\u00e1nyokkal, tart\u00e1lyokkal \u00e9s CRL-el val\u00f3 munka a k\u00f6vetkez\u0151 seg\u00e9dprogram seg\u00edts\u00e9g\u00e9vel t\u00f6rt\u00e9nik cert_mgr<\/b>. El\u0151sz\u00f6r a parancs seg\u00edts\u00e9g\u00e9vel cert_mgr create<\/b> l\u00e9tre kell hozni a priv\u00e1t kulcs tart\u00e1lyt \u00e9s a tan\u00fas\u00edtv\u00e1nyra vonatkoz\u00f3 k\u00e9r\u00e9st, amelyet a Tan\u00fas\u00edtv\u00e1nykezel\u0151 K\u00f6zpontba kell beny\u00fajtani. A tan\u00fas\u00edtv\u00e1ny megkap\u00e1sakor azt egy\u00fctt a gy\u00f6k\u00e9rtan\u00fas\u00edtv\u00e1nnyal \u00e9s CRL-lel (ha haszn\u00e1lj\u00e1k) be kell import\u00e1lni a k\u00f6vetkez\u0151 parancs seg\u00edts\u00e9g\u00e9vel cert_mgr import<\/b>. Annak biztos\u00edt\u00e1sa \u00e9rdek\u00e9ben, hogy minden tan\u00fas\u00edtv\u00e1ny \u00e9s CRL telep\u00edtve legyen, a k\u00f6vetkez\u0151 parancsot haszn\u00e1lhatjuk cert_mgr show<\/b>.<\/p>\n

. A tan\u00fas\u00edtv\u00e1nyok sikeres telep\u00edt\u00e9se ut\u00e1n \u00e1t kell t\u00e9rni a Cisco-szer\u0171 konzolra az IPSec be\u00e1ll\u00edt\u00e1s\u00e1hoz.
\nIKE-politik\u00e1t hozunk l\u00e9tre, amelyben megadjuk a k\u00edv\u00e1nt algoritmusokat \u00e9s a l\u00e9trehozott v\u00e9dett csatorna param\u00e9tereit, amelyeket a partnernek javaslunk a meg\u00e1llapod\u00e1s \u00e9rdek\u00e9ben. <\/p>\n

#crypto isakmp policy 1000
\n#encr gost341215k
\n#hash gost341112-512-tc26
\n#authentication sign
\n#group vko2
\n#lifetime 3600<\/p>\n

Ez a politika az IPSec els\u0151 f\u00e1zis\u00e1nak fel\u00e9p\u00edt\u00e9sekor alkalmazand\u00f3. Az els\u0151 f\u00e1zis sikeres teljes\u00edt\u00e9s\u00e9nek eredm\u00e9nye egy SA (Security Association) l\u00e9trehoz\u00e1sa.
\nEzut\u00e1n meg kell hat\u00e1roznunk a forr\u00e1s- \u00e9s c\u00e9l IP-c\u00edmek (ACL) list\u00e1j\u00e1t a titkos\u00edt\u00e1shoz, l\u00e9tre kell hozni egy \u00e1talak\u00edt\u00e1si halmazt (transform set), egy kriptogr\u00e1fiai t\u00e9rk\u00e9pet (crypto map), \u00e9s azt a k\u00fcls\u0151 KSH interf\u00e9szhez kell rendelni. <\/p>\n

Be\u00e1ll\u00edtjuk az ACL-t:
\n#ip access-list extended site1
\n#permit gre host 10.111.21.3 host 10.111.22.3<\/p>\n

\u00c1talak\u00edt\u00e1si halmaz (ugyan\u00fagy, mint az els\u0151 f\u00e1zisban, a 'Kuznyec' titkos\u00edt\u00e1si algoritmus haszn\u00e1lat\u00e1val, imit\u00e1ci\u00f3s beinjekt\u00e1l\u00e1si m\u00f3dban):<\/p>\n

#crypto ipsec transform-set GOST esp-gost341215k-mac<\/p>\n

L\u00e9trehozzuk a kriptot\u00e9rk\u00e9pet, megadva az ACL-t, az \u00e1talak\u00edt\u00e1si halmazt \u00e9s a peer c\u00edm\u00e9t:<\/p>\n

#crypto map MAIN 100 ipsec-isakmp
\n#match address site1
\n#set transform-set GOST
\n#set peer 10.111.22.3<\/p>\n

Rendelj\u00fck a kriptot\u00e9rk\u00e9pet a k\u00fcls\u0151 KSH interf\u00e9szhez:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#crypto map MAIN<\/p>\n

M\u00e1s platformokkal val\u00f3 csatorn\u00e1k titkos\u00edt\u00e1s\u00e1hoz meg kell ism\u00e9telni az ACL \u00e9s a kriptot\u00e9rk\u00e9p l\u00e9trehoz\u00e1si elj\u00e1r\u00e1s\u00e1t, m\u00f3dos\u00edtva az ACL nev\u00e9t, az IP-c\u00edmeket \u00e9s a kriptot\u00e9rk\u00e9p sz\u00e1m\u00e1t.<\/p>\n

Felh\u00edvjuk a figyelmet! <\/u><\/b>Amennyiben nem haszn\u00e1lj\u00e1k a tan\u00fas\u00edtv\u00e1nyok CRL \u00e1ltali ellen\u0151rz\u00e9s\u00e9t, ezt kifejezetten jelezni kell:<\/p>\n

#crypto pki trustpoint s-terra_technological_trustpoint
\n#revocation-check none<\/p>\n

Monitorozzuk a rendszer 'eg\u00e9szs\u00e9g\u00e9t'<\/h2>\n

\nA KSH S-Terra rendszer\u00e9ben standard snmpd d\u00e9mon haszn\u00e1lhat\u00f3 a monitoroz\u00e1sra. A Linuxra jellemz\u0151 param\u00e9terek mellett az S-Terra 'dobozb\u00f3l' t\u00e1mogatja az IPSec-alagutak adatainak kiad\u00e1s\u00e1t a CISCO-IPSEC-FLOW-MONITOR-MIB szerint, amit haszn\u00e1lunk az IPSec-alagutak \u00e1llapot\u00e1nak nyomon k\u00f6vet\u00e9s\u00e9re. Tov\u00e1bb\u00e1 t\u00e1mogatott a testreszabott OID-ok funkci\u00f3ja, amelyek a szkriptek v\u00e9grehajt\u00e1s\u00e1nak eredm\u00e9ny\u00e9t adj\u00e1k vissza \u00e9rt\u00e9kk\u00e9nt. Ez a lehet\u0151s\u00e9g lehet\u0151v\u00e9 teszi sz\u00e1munkra a tan\u00fas\u00edtv\u00e1nyok lej\u00e1rati idej\u00e9nek nyomon k\u00f6vet\u00e9s\u00e9t. Az \u00edr\u00f3skripttel elemezz\u00fck a parancs kimenet\u00e9t cert_mgr show<\/b> \u00e9s ennek eredm\u00e9nyek\u00e9nt megadja, h\u00e1ny nap van a helyi \u00e9s a gy\u00f6k\u00e9r tan\u00fas\u00edtv\u00e1nyok lej\u00e1rat\u00e1ig. Ez a m\u00f3dszer n\u00e9lk\u00fcl\u00f6zhetetlen nagy sz\u00e1m\u00fa KSH adminisztr\u00e1l\u00e1sakor.
\n\"Titkos\u00edt\u00e1s
\n<\/p>\n

Miben rejlik ennek a titkos\u00edt\u00e1snak az \u00e9rtelme?<\/h2>\n

\nA fent eml\u00edtett \u00f6sszes funkci\u00f3 alap\u00e9rtelmez\u00e9s szerint t\u00e1mogatott az S-Terra KSH eset\u00e9ben. Ez\u00e9rt nem sz\u00fcks\u00e9ges k\u00fcl\u00f6nb\u00f6z\u0151 modulokat telep\u00edteni, amelyek befoly\u00e1solhatj\u00e1k a kriptogr\u00e1fiai \u00e1tj\u00e1r\u00f3k \u00e9s az eg\u00e9sz inform\u00e1ci\u00f3s rendszer tan\u00fas\u00edt\u00e1s\u00e1t. A csatorn\u00e1k a helysz\u00ednek k\u00f6z\u00f6tt lehetnek b\u00e1rmilyenek, ak\u00e1r az interneten kereszt\u00fcl is. <\/p>\n

Mivel a bels\u0151 infrastrukt\u00fara v\u00e1ltoztat\u00e1sakor nem sz\u00fcks\u00e9ges \u00fajra konfigur\u00e1lni a kriptogr\u00e1fiai \u00e1tj\u00e1r\u00f3kat, a rendszer szolg\u00e1ltat\u00e1sk\u00e9nt m\u0171k\u00f6dik<\/b>, ami nagyon k\u00e9nyelmes a megrendel\u0151 sz\u00e1m\u00e1ra: a saj\u00e1t szolg\u00e1ltat\u00e1sait (\u00fcgyf\u00e9l- \u00e9s szerveroldali) b\u00e1rmilyen c\u00edmre elhelyezheti, \u00e9s minden v\u00e1ltoz\u00e1st dinamikusan \u00e1tadnak a titkos\u00edt\u00f3 berendez\u00e9sek k\u00f6z\u00f6tt. <\/p>\n

K\u00e9ts\u00e9gtelen, hogy a titkos\u00edt\u00e1s a t\u00f6bbletterhel\u00e9s (overhead) miatt befoly\u00e1solja az adat\u00e1tviteli sebess\u00e9get, de ez elhanyagolhat\u00f3 \u2014 a csatorna \u00e1tereszt\u0151k\u00e9pess\u00e9ge legfeljebb 5-10%-kal cs\u00f6kkenhet. Emellett a technol\u00f3gi\u00e1t tesztelt\u00e9k, \u00e9s j\u00f3 eredm\u00e9nyeket mutatott, m\u00e9g az el\u00e9g instabil \u00e9s alacsony \u00e1tereszt\u0151k\u00e9pess\u00e9g\u0171 m\u0171holdas csatorn\u00e1kon is. <\/p>\n

Igor Vinokhodov, a 2. szint\u0171 adminisztr\u00e1tor \u201eRosztelkom-Szolar\u201d<\/i>
\n
Forr\u00e1s: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":29260,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-39000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Titkos\u00edtunk a GOST szerint: \u00fatmutat\u00f3 a dinamikus forgalomir\u00e1ny\u00edt\u00e1s be\u00e1ll\u00edt\u00e1s\u00e1hoz | ProHoster","description":"Ha a v\u00e1llalata.","canonical_url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"hu_HU","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0428\u0438\u0444\u0440\u0443\u0435\u043c\u0441\u044f \u043f\u043e \u0413\u041e\u0421\u0422\u0443: \u043f\u0430\u043c\u044f\u0442\u043a\u0430 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:27:16+00:00","article:modified_time":"2019-10-31T19:27:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"39000","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:58:40","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/39000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/comments?post=39000"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/39000\/revisions"}],"predecessor-version":[{"id":156680,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/posts\/39000\/revisions\/156680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media\/29260"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/media?parent=39000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/categories?post=39000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/hu\/wp-json\/wp\/v2\/tags?post=39000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Ezzel a be\u00e1ll\u00edt\u00e1s befejezettnek tekinthet\u0151. A Cisco-szer\u0171 parancssori kimenetben show crypto isakmp sa<\/b> \u00e9s show crypto ipsec sa<\/b> meg kell jelenni\u00fck az IPSec els\u0151 \u00e9s m\u00e1sodik f\u00e1zis\u00e1nak l\u00e9trehozott inform\u00e1ci\u00f3inak. Ugyanezt az inform\u00e1ci\u00f3t megkaphatjuk a sa_mgr show<\/b>parancs v\u00e9grehajt\u00e1s\u00e1val a debian shellb\u0151l. A parancs kimenet\u00e9n cert_mgr show<\/b> meg kell jelenni\u00fck a t\u00e1voli platformok tan\u00fas\u00edtv\u00e1nyainak. Az ilyen tan\u00fas\u00edtv\u00e1nyok \u00e1llapota remote<\/b>. Ha a tunnellek nem \u00e9p\u00fclnek fel, \u00e9rdemes megn\u00e9zni a napl\u00f3kat VPN<\/a>-szolg\u00e1ltat\u00e1s, amely a \/var\/log\/cspvpngate.log<\/b>f\u00e1jlban tal\u00e1lhat\u00f3. A napl\u00f3f\u00e1jlok teljes list\u00e1j\u00e1t a tartalmuk le\u00edr\u00e1s\u00e1val a dokument\u00e1ci\u00f3 tartalmazza.<\/p>\n