{"id":39000,"date":"2019-10-31T22:27:16","date_gmt":"2019-10-31T19:27:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika\/"},"modified":"2019-10-31T22:27:16","modified_gmt":"2019-10-31T19:27:16","slug":"shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","title":{"rendered":"Crittografia secondo GOST: guida per la configurazione della routing dinamico del traffico","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Crittografia
\nSe la tua azienda trasmette o riceve dati personali e altre informazioni riservate che devono essere protette secondo la legislazione, \u00e8 necessario applicare la crittografia secondo GOST. Oggi ti racconteremo come abbiamo implementato questa crittografia utilizzando il gateway criptografico (KSh) S-Terra per uno dei nostri clienti. Questa storia sar\u00e0 interessante per gli specialisti di sicurezza informatica, oltre che per ingegneri, progettisti e architetti. Non ci soffermeremo sulle complessit\u00e0 della configurazione tecnica in questo post \u2014 ci concentreremo sui punti chiave della configurazione di base. Ci sono enormi volumi di documentazione per la configurazione dei demoni del sistema operativo Linux, su cui si basa il KSh S-Terra, disponibili liberamente su Internet. Anche la documentazione per la configurazione del software proprietario S-Terra \u00e8 accessibile pubblicamente su portale<\/a><\/noindex> del produttore.
\n<\/a><\/noindex><\/p>\n

Qualche parola sul progetto <\/h2>\n

\nLa topologia della rete del cliente era standard: full mesh tra il centro e le filiali. Era necessario implementare la crittografia dei canali di scambio delle informazioni tra tutti i siti, che erano 8. <\/p>\n

Nei progetti simili, tutto \u00e8 solitamente statico: nei gateway crittografici (CG) vengono definiti percorsi statici verso la rete locale, e si specificano le liste di indirizzi IP (ACL) per la crittografia. Tuttavia, in questo caso, le piattaforme non hanno una gestione centralizzata, quindi all'interno delle loro reti locali pu\u00f2 accadere di tutto: le reti possono essere aggiunte, rimosse e modificate in vari modi. Per evitare la riconfigurazione della routing e delle ACL sui CG quando cambiano gli indirizzi delle reti locali, \u00e8 stata presa la decisione di utilizzare il tunneling GRE e la routing dinamica OSPF, che includono tutti i CG e la maggior parte dei router di livello core delle reti sulle piattaforme (in alcune piattaforme, gli amministratori dell'infrastruttura hanno preferito utilizzare SNAT verso i CG sui router core). <\/p>\n

Il tunneling GRE ha permesso di risolvere due problemi:
\n1.<\/b> Utilizzare negli ACL per la crittografia l'indirizzo IP dell'interfaccia esterna del CG, nella quale viene incapsulato tutto il traffico diretto verso altre piattaforme.
\n2.<\/b> Organizzare tunnel p-t-p tra le CSH che consentono di configurare il routing dinamico (nel nostro caso, tra i siti \u00e8 stato organizzato un MPLS L3VPN del fornitore).<\/p>\n

Il cliente ha richiesto l'implementazione della crittografia come servizio. Altrimenti, avrebbe dovuto non solo mantenere i gateways crittografici o esternalizzarli a un'organizzazione, ma anche monitorare autonomamente il ciclo di vita dei certificati di crittografia, rinnovandoli in tempo e installando nuovi.
\n\"Crittografia
\nOra, ecco un promemoria \u2013 come e cosa abbiamo configurato.<\/p>\n

Nota per il soggetto KII: configura il gateway crittografico. <\/h2>\n

<\/p>\n

Configura di base la rete.<\/h3>\n

\nInnanzitutto, avviamo il nuovo CSH e accediamo alla console di amministrazione. \u00c8 opportuno iniziare modificando la password dell'amministratore integrato \u2014 comando change user password administrator<\/b>. Successivamente, \u00e8 necessario eseguire la procedura di inizializzazione (comando initialize<\/b>) durante la quale vengono inseriti i dati della licenza e viene inizializzato il generatore di numeri casuali (GNC).<\/p>\n

Attenzione!<\/u><\/b> Durante l'inizializzazione del KSH S-Terra viene impostata una politica di sicurezza che blocca i pacchetti negli interfacciamenti del gateway di sicurezza. \u00c8 necessario creare una propria politica oppure utilizzare il comando run csconf_mgr activate<\/b> per attivare la politica di autorizzazione preconfigurata.
\nSuccessivamente \u00e8 necessario configurare gli indirizzi delle interfacce esterne e interne, oltre al percorso predefinito. \u00c8 preferibile eseguire la configurazione di rete del KSH e l'impostazione della crittografia tramite una console simile a Cisco. Questa console \u00e8 progettata per l'inserimento di comandi simili a quelli di Cisco IOS. La configurazione generata tramite la console simile a Cisco viene a sua volta convertita nei file di configurazione appropriati, con cui lavorano i demoni del sistema operativo. Puoi accedere alla console simile a Cisco dalla console di amministrazione utilizzando il comando configure<\/b>.<\/p>\n

Modifichiamo le password per l'utente integrato cscons e per l'abilitazione: <\/p>\n

>enable
\nPassword: csp (predefinita)
\n#configure terminal
\n#username cscons privilege 15 secret 0 #enable secret 0 \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0431\u0430\u0437\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#no shutdown
\n#interface GigabitEthernet0\/1
\n#ip address 192.168.2.5 255.255.255.252
\n#no shutdown
\n#ip route 0.0.0.0 0.0.0.0 10.111.21.254<\/p>\n

GRE<\/h3>\n

\nUsciamo dalla console simile a Cisco e accediamo alla shell di debian con il comando sistema<\/b>Impostiamo una password personalizzata per l'utente root<\/b> comando passwd<\/b>.
\nPer ogni KSH viene configurato un tunnel separato per ogni piattaforma. La configurazione dell'interfaccia tunnel avviene nel file \/etc\/network\/interfaces<\/b>. La creazione dell'interfaccia stessa \u00e8 gestita dall'utilit\u00e0 IP tunnel, inclusa nel pacchetto preinstallato iproute2. Il comando per la creazione dell'interfaccia \u00e8 scritto nell'opzione pre-up.<\/p>\n

Esempio di configurazione di un'interfaccia tunnel standard:
\nauto site1
\niface site1 inet static
\naddress 192.168.1.4
\nnetmask 255.255.255.254
\npre-up ip tunnel add site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p<\/p>\n

Attenzione!<\/u><\/b> Va notato che le configurazioni delle interfacce tunnel devono essere posizionate al di fuori della sezione <\/p>\n

###netifcfg-begin###
\n*****
\n###netifcfg-end###<\/p>\n

In caso contrario, queste configurazioni verranno sovrascritte quando si modificano le impostazioni di rete delle interfacce fisiche tramite la console in stile Cisco.<\/p>\n

Routing dinamico<\/h3>\n

\nIn S-Terra, il routing dinamico \u00e8 implementato tramite il pacchetto di programmi Quagga. Per configurare OSPF avremo bisogno di attivare e configurare i demoni zebra<\/b> e ospfd<\/b>. Il demone zebra si occupa delle interazioni tra i demoni di routing e il sistema operativo. Il demone ospfd, come suggerisce il nome, \u00e8 responsabile dell'implementazione del protocollo OSPF.
\nLa configurazione di OSPF pu\u00f2 essere effettuata sia tramite la console del demone, sia direttamente tramite il file di configurazione. \/etc\/quagga\/ospfd.conf<\/b>. Nel file vengono aggiunti tutti gli interfacce fisiche e tunnel coinvolti nella routing dinamica, e vengono dichiarate le reti che saranno pubblicizzate e accetteranno pubblicit\u00e0.<\/p>\n

Esempio di configurazione da aggiungere in ospfd.conf<\/b>:
\ninterfaccia eth0
\n!
\ninterfaccia eth1
\n!
\ninterfaccia site1
\n!
\ninterfaccia site2
\nrouter ospf
\n ospf router-id 192.168.2.21
\n network 192.168.1.4\/31 area 0.0.0.0
\n network 192.168.1.16\/31 area 0.0.0.0
\n network 192.168.2.4\/30 area 0.0.0.0<\/p>\n

In questo caso, gli indirizzi 192.168.1.x\/31 sono riservati per le reti ptp tunnel tra i siti, mentre gli indirizzi 192.168.2.x\/30 sono per le reti di transito tra il switch di livello 3 e i router core. <\/p>\n

Attenzione!<\/b><\/u> Per ridurre la tabella di routing in grandi installazioni, \u00e8 possibile filtrare la pubblicit\u00e0 delle stesse reti di transito utilizzando le configurazioni no redistribute connected<\/b> o redistribute connected route-map<\/b>.<\/p>\n

Dopo aver configurato i demoni, \u00e8 necessario modificare lo stato di avvio dei demoni in \/etc\/quagga\/daemons<\/b>. Nelle opzioni, cambiare zebra<\/b> e ospfd<\/b> no in yes. Avviare il demone quagga e impostare il suo avvio automatico all'avvio del switch di livello 3 con il comando update-rc.d quagga enable<\/b>.<\/p>\n

Se la configurazione dei tunnel GRE e OSPF \u00e8 corretta, le rotte nella rete degli altri siti dovrebbero apparire sul switch di livello 3 e sui router core, creando cos\u00ec connettivit\u00e0 tra le reti locali.<\/p>\n

Criptiamo il traffico trasmesso <\/h3>\n

\nCome gi\u00e0 menzionato, di solito durante la crittografia tra le piattaforme specifichiamo i range degli indirizzi IP (ACL) all'interno dei quali il traffico viene cifrato: se gli indirizzi di origine e di destinazione rientrano in questi intervalli, il traffico tra di essi viene criptato. Tuttavia, in questo progetto la struttura \u00e8 dinamica e gli indirizzi possono cambiare. Poich\u00e9 abbiamo gi\u00e0 configurato il tunneling GRE, come indirizzi di origine e di destinazione per la crittografia del traffico possiamo specificare gli indirizzi esterni del KSH \u2013 infatti, il traffico che viene crittografato \u00e8 gi\u00e0 incapsulato dal protocollo GRE. In altre parole, viene criptato tutto ci\u00f2 che entra nel KSH dalla rete locale di una piattaforma verso le reti pubblicizzate da altre piattaforme. E all'interno di ciascuna piattaforma pu\u00f2 avvenire qualsiasi tipo di inoltro. Pertanto, in caso di modifiche alle reti locali, l'amministratore deve semplicemente modificare gli annunci provenienti dalla sua rete verso il KSH, rendendolo accessibile ad altre piattaforme.<\/p>\n

La crittografia in S-Terra viene eseguita tramite il protocollo IPSec. Utilizziamo l'algoritmo \u00abGrasshopper\u00bb in conformit\u00e0 con GOST R 34.12-2015, mentre per la compatibilit\u00e0 con le versioni precedenti possono essere utilizzati GOST 28147-89. L'autenticazione pu\u00f2 essere eseguita tecnicamente sia su chiavi predefinite (PSK) sia su certificati. Tuttavia, nell'uso industriale \u00e8 necessario utilizzare certificati emessi secondo GOST R 34.10-2012.<\/p>\n

La gestione dei certificati, dei contenitori e del CRL avviene tramite l'utility cert_mgr<\/b>. Per prima cosa, utilizzando il comando cert_mgr create<\/b> , \u00e8 necessario creare un contenitore per la chiave privata e una richiesta di certificato, che verr\u00e0 inviata al Centro di gestione dei certificati. Dopo aver ricevuto il certificato, \u00e8 necessario importarlo insieme al certificato radice dell'AC e al CRL (se utilizzato) utilizzando il comando cert_mgr import<\/b>. Per assicurarsi che tutti i certificati e il CRL siano stati installati correttamente, si pu\u00f2 usare il comando cert_mgr show<\/b>.<\/p>\n

. Dopo un'installazione riuscita dei certificati, accediamo alla console in stile Cisco per configurare IPSec.
\nCreiamo una politica IKE che specifica gli algoritmi e i parametri desiderati per il canale protetto, che saranno proposti al partner per approvazione. <\/p>\n

#crypto isakmp policy 1000
\n#encr gost341215k
\n#hash gost341112-512-tc26
\n#authentication sign
\n#group vko2
\n#lifetime 3600<\/p>\n

Questa politica viene applicata nella creazione della prima fase di IPSec. Il risultato di una prima fase completata con successo \u00e8 l'instaurazione di una SA (Security Association).
\nDobbiamo poi definire un elenco di indirizzi IP di origine e destinatario (ACL) per la crittografia, formare un insieme di trasformazioni (transform set), creare una mappa crittografica (crypto map) e associarla all'interfaccia esterna del KSH. <\/p>\n

Definiamo l'ACL:
\n#ip access-list extended site1
\n#permit gre host 10.111.21.3 host 10.111.22.3<\/p>\n

Set di trasformazioni (come per la prima fase, utilizziamo l'algoritmo di crittografia 'Caterpillar' in modalit\u00e0 di generazione di macchinette di hashing):<\/p>\n

#crypto ipsec transform-set GOST esp-gost341215k-mac<\/p>\n

Creiamo la mappa crittografica, specificando l'ACL, il transform set e l'indirizzo del peer:<\/p>\n

#crypto map MAIN 100 ipsec-isakmp
\n#match address site1
\n#set transform-set GOST
\n#set peer 10.111.22.3<\/p>\n

Colleghiamo la mappa crittografica all'interfaccia esterna del KSH:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#crypto map MAIN<\/p>\n

Per la crittografia dei canali con altre piattaforme, \u00e8 necessario ripetere la procedura di creazione dell'ACL e della mappa crittografica, cambiando il nome dell'ACL, gli indirizzi IP e il numero della mappa crittografica.<\/p>\n

Attenzione! <\/u><\/b>Nel caso in cui non venga utilizzata la verifica dei certificati tramite CRL, \u00e8 necessario indicarlo esplicitamente:<\/p>\n

#crypto pki trustpoint s-terra_technological_trustpoint
\n#revocation-check none<\/p>\n

Monitoriamo la \"salute\" del sistema<\/h2>\n

\nNel sistema S-Terra, si utilizza il demone standard snmpd per il monitoraggio. Oltre ai parametri tipici di Linux, S-Terra supporta \"out of the box\" l'emissione di dati sui tunnel IPSec secondo il CISCO-IPSEC-FLOW-MONITOR-MIB, che utilizziamo per monitorare lo stato dei tunnel IPSec. \u00c8 anche supportata la funzionalit\u00e0 di OID personalizzati che restituiscono come valori i risultati dell'esecuzione di uno script. Questa possibilit\u00e0 ci consente di monitorare le scadenze dei certificati. Lo script scritto analizza l'output del comando. cert_mgr show<\/b> e restituisce il numero di giorni fino alla scadenza dei certificati locali e root. Questa funzionalit\u00e0 \u00e8 indispensabile nella gestione di un gran numero di KSH.
\n\"Crittografia
\n<\/p>\n

Qual \u00e8 il succo di questa crittografia?<\/h2>\n

\nTutta la funzionalit\u00e0 descritta sopra \u00e8 supportata \"out of the box\" dai KSH S-Terra. Quindi non \u00e8 stato necessario installare moduli aggiuntivi che potrebbero influenzare la certificazione dei gateway crittografici e l'accreditamento dell'intero sistema informativo. I canali tra i siti possono essere di qualsiasi tipo, anche attraverso Internet. <\/p>\n

Grazie al fatto che non \u00e8 necessario riconfigurare i gateway crittografici in caso di cambiamenti nell'infrastruttura interna, il sistema funziona come un servizio<\/b>, il che \u00e8 molto comodo per il cliente: pu\u00f2 posizionare i propri servizi (clienti e server) su qualsiasi indirizzo, e tutte le modifiche verranno trasmesse dinamicamente tra l'attrezzatura di crittografia. <\/p>\n

Senza dubbio, la crittografia comporta un sovraccarico che influisce sulla velocit\u00e0 di trasmissione dei dati, ma in modo marginale: la capacit\u00e0 del canale pu\u00f2 diminuire al massimo del 5-10%. Tuttavia, questa tecnologia \u00e8 stata testata e ha dimostrato buoni risultati anche su canali satellitari, che sono piuttosto instabili e hanno una bassa capacit\u00e0. <\/p>\n

Igor Vinokhodov, ingegnere di seconda linea per l'amministrazione di \u00abRostelecom-Solar\u00bb<\/i>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":29260,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-39000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Crittografia secondo GOST: promemoria per la configurazione della routing dinamica del traffico | ProHoster","description":"Se la tua azienda trasferisce o riceve dati personali e altre informazioni riservate protette dalla legge, \u00e8 necessario applicare la crittografia secondo gli standard GOST. Oggi parleremo di come abbiamo implementato tale crittografia utilizzando il gateway crittografico (\u041a\u0428) S-Terra per uno dei nostri clienti. Questa storia interesser\u00e0 i professionisti della sicurezza informatica, cos\u00ec come ingegneri, progettisti e architetti. Approfondiremo le sfumature.","canonical_url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"it_IT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0428\u0438\u0444\u0440\u0443\u0435\u043c\u0441\u044f \u043f\u043e \u0413\u041e\u0421\u0422\u0443: \u043f\u0430\u043c\u044f\u0442\u043a\u0430 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b","og:url":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:27:16+00:00","article:modified_time":"2019-10-31T19:27:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"39000","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:58:40","updated":"2026-02-04 15:17:19"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/39000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/comments?post=39000"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/39000\/revisions"}],"predecessor-version":[{"id":156680,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/posts\/39000\/revisions\/156680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media\/29260"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/media?parent=39000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/categories?post=39000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/it\/wp-json\/wp\/v2\/tags?post=39000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Questa configurazione pu\u00f2 considerarsi completata. Nella console simile a Cisco, si dovrebbero vedere show crypto isakmp sa<\/b> e show crypto ipsec sa<\/b> le prime e seconde fasi di IPSec. Queste informazioni possono essere ottenute anche tramite il comando sa_mgr show<\/b>, eseguito dalla shell di Debian. Nella output del comando cert_mgr show<\/b> si dovrebbero visualizzare i certificati delle sedi remote. Lo stato di tali certificati sar\u00e0 remoto<\/b>. Nel caso in cui i tunnel non vengano stabiliti, \u00e8 necessario controllare il log VPN<\/a>-del servizio, che si trova nel file \/var\/log\/cspvpngate.log<\/b>. Un elenco completo dei file di log con la descrizione del loro contenuto \u00e8 disponibile nella documentazione.<\/p>\n