אנו מצפינים לפי GOST: מדריך להגדרת ניתוב תעבורה דינמי

אם החברה שלך משדרת או מקבלת נתונים אישיים ומידע סודי אחר דרך הרשת הכפופה להגנה בהתאם לחוק, היא נדרשת להשתמש בהצפנת GOST. היום נספר לכם כיצד הטמענו הצפנה כזו על בסיס שער ההצפנה S-Terra (CS) אצל אחד הלקוחות. הסיפור הזה יעניין מומחי אבטחת מידע, כמו גם מהנדסים, מעצבים ואדריכלים. לא נצלול לעומק את הניואנסים של התצורה הטכנית בפוסט זה; נתמקד בנקודות המפתח של ההגדרה הבסיסית. כמויות עצומות של תיעוד על הגדרת דמוני מערכת הפעלה לינוקס, שעליהן מבוסס ה-S-Terra CS, זמינים בחינם באינטרנט. תיעוד להגדרת תוכנת S-Terra הקניינית זמין לציבור גם ב- הפורטל יצרן.

כמה מילים על הפרויקט

טופולוגיית הרשת של הלקוח הייתה סטנדרטית - רשת מלאה בין המרכז לסניפים. היה צורך להכניס הצפנה של ערוצי חילופי מידע בין כל האתרים, מתוכם היו 8.

בדרך כלל בפרויקטים כאלה הכל סטטי: מסלולים סטטיים לרשת המקומית של האתר נקבעים על שערי קריפטו (CG), רשומות רשימות של כתובות IP (ACL) להצפנה. עם זאת, במקרה זה, לאתרים אין שליטה מרכזית, והכל יכול לקרות בתוך הרשתות המקומיות שלהם: ניתן להוסיף, למחוק ולשנות רשתות בכל דרך אפשרית. על מנת להימנע מהגדרה מחדש של ניתוב ו-ACL ב-KS בעת שינוי הכתובת של רשתות מקומיות באתרים, הוחלט להשתמש ב-GRE tunneling ובניתוב דינמי OSPF, הכולל את כל ה-KS ואת רוב הנתבים ברמת ליבת הרשת באתרים ( בחלק מהאתרים, מנהלי תשתית העדיפו להשתמש ב-SNAT כלפי KS בנתבי ליבה).

מנהור GRE אפשר לנו לפתור שתי בעיות:
1. השתמש בכתובת ה-IP של הממשק החיצוני של ה-CS להצפנה ב-ACL, המקופלת את כל התעבורה הנשלחת לאתרים אחרים.
2. ארגן מנהרות ptp בין CSs, המאפשרות לך להגדיר ניתוב דינמי (במקרה שלנו, ה-MPLS L3VPN של הספק מאורגן בין האתרים).

הלקוח הורה על הטמעת הצפנה כשירות. אחרת, הוא יצטרך לא רק לתחזק שערי קריפטו או למיקור חוץ לארגון כלשהו, ​​אלא גם לפקח באופן עצמאי על מחזור החיים של תעודות הצפנה, לחדש אותם בזמן ולהתקין חדשים.

ועכשיו התזכיר בפועל - איך ומה הגדרנו

הערה לנושא CII: הגדרת שער קריפטו

הגדרת רשת בסיסית

קודם כל, אנחנו משיקים CS חדש ונכנסים למסוף הניהול. כדאי להתחיל בשינוי סיסמת המנהל המובנית - הפקודה לשנות את מנהל סיסמת המשתמש. לאחר מכן עליך לבצע את הליך האתחול (פקודה לאתחל) שבמהלכו מוזנים נתוני הרישיון ומאתחול חיישן המספרים האקראיים (RNS).

שימו לב! כאשר S-Terra CC מאותחל, נקבעת מדיניות אבטחה שבה ממשקי שער האבטחה אינם מאפשרים לעבור מנות. עליך ליצור מדיניות משלך או להשתמש בפקודה הפעל את csconf_mgr active להפעיל מדיניות הרשאה מוגדרת מראש.
לאחר מכן, עליך להגדיר את הכתובת של ממשקים חיצוניים ופנימיים, כמו גם את מסלול ברירת המחדל. עדיף לעבוד עם תצורת רשת CS ולהגדיר הצפנה דרך קונסולה דמויית סיסקו. קונסולה זו נועדה להזין פקודות דומות לפקודות Cisco IOS. התצורה שנוצרת באמצעות הקונסולה דמויית סיסקו מומרת, בתורה, לקבצי התצורה המתאימים איתם דמוני מערכת ההפעלה עובדים. אתה יכול ללכת למסוף דמוי סיסקו ממסוף הניהול עם הפקודה להגדיר.

שנה סיסמאות עבור ה-cscons המובנים של המשתמש והפעל:

> לאפשר
סיסמה: csp (מותקן מראש)
#configure מסוף
#username cscons הרשאה 15 סוד 0 #enable secret 0 הגדרת תצורת הרשת הבסיסית:

#interface GigabitEthernet0/0
#כתובת IP 10.111.21.3 255.255.255.0
#אין כיבוי
#interface GigabitEthernet0/1
#כתובת IP 192.168.2.5 255.255.255.252
#אין כיבוי
#ip route 0.0.0.0 0.0.0.0 10.111.21.254

GRE

צא מהמסוף דמוי סיסקו ועבור למעטפת debian עם הפקודה מערכת. הגדר סיסמה משלך עבור המשתמש שורש על ידי צוות פסח.
בכל חדר בקרה מוגדרת מנהרה נפרדת לכל אתר. ממשק המנהרה מוגדר בקובץ / etc / רשת / ממשקים. כלי השירות למנהרת IP, הכלולה בערכת iproute2 המותקנת מראש, אחראית ליצירת הממשק עצמו. פקודת יצירת הממשק כתובה באפשרות הקדם-אפ.

דוגמה לתצורה של ממשק מנהרה טיפוסי:
אתר אוטומטי 1
iface site1 inet סטטי
כתובת 192.168.1.4
מסיכת רשת 255.255.255.254
pre-up tunnel ip add site1 mode gre local 10.111.21.3 מרחוק 10.111.22.3 מפתח hfLYEg^vCh6p

שימו לב! יש לציין כי הגדרות ממשקי המנהרה חייבות להיות ממוקמות מחוץ למקטע

###netifcfg-begin###
*****
###netifcfg-end###

אחרת, הגדרות אלו יוחלפו בעת שינוי הגדרות הרשת של ממשקים פיזיים באמצעות קונסולה דמויית סיסקו.

ניתוב דינמי

ב-S-Terra, ניתוב דינמי מיושם באמצעות חבילת התוכנה Quagga. כדי להגדיר את OSPF עלינו להפעיל ולהגדיר דמונים זברה и ospfd. דמון הזברה אחראי לתקשורת בין דמוני הניתוב לבין מערכת ההפעלה. דמון ospfd, כפי שהשם מרמז, אחראי על הטמעת פרוטוקול OSPF.
OSPF מוגדר או דרך מסוף הדמון או ישירות דרך קובץ התצורה /etc/quagga/ospfd.conf. כל הממשקים הפיזיים והמנהרה המשתתפים בניתוב דינמי מתווספים לקובץ, וכן מוצהרות הרשתות שיפורסמו ויקבלו הודעות.

דוגמה לתצורה שצריך להוסיף אליה ospfd.conf:
ממשק eth0
!
ממשק eth1
!
אתר ממשק 1
!
אתר ממשק 2
נתב ospf
ospf נתב מזהה 192.168.2.21
רשת 192.168.1.4/31 אזור 0.0.0.0
רשת 192.168.1.16/31 אזור 0.0.0.0
רשת 192.168.2.4/30 אזור 0.0.0.0

במקרה זה, הכתובות 192.168.1.x/31 שמורות לרשתות ptp המנהרות בין אתרים, כתובות 192.168.2.x/30 מוקצות לרשתות מעבר בין נתבי CS ונתבי ליבה.

שימו לב! כדי לצמצם את טבלת הניתוב בהתקנות גדולות, ניתן לסנן את ההכרזה של רשתות התחבורה עצמן באמצעות הקונסטרוקציות אין חלוקה מחדש מחובר או להפיץ מחדש את מפת המסלולים המחוברים.

לאחר קביעת התצורה של הדמונים, עליך לשנות את סטטוס האתחול של הדמונים ב /etc/quagga/daemons. באפשרויות זברה и ospfd ללא שינוי ל-yes. הפעל את דמון הקוואגה והגדר אותו להפעלה אוטומטית כאשר אתה מפעיל את פקודת KS update-rc.d quagga enable.

אם התצורה של מנהרות GRE ו-OSPF נעשית כהלכה, מסלולים ברשת של אתרים אחרים צריכים להופיע ב-KSh ובנתבי הליבה, וכך נוצרת קישוריות רשת בין רשתות מקומיות.

אנו מצפינים תעבורה משודרת

כפי שכבר נכתב, בדרך כלל בהצפנה בין אתרים אנו מציינים טווחי כתובות IP (ACL) שביניהם מוצפנת התעבורה: אם כתובות המקור והיעד נכנסות לטווחים הללו, אז התעבורה ביניהם מוצפנת. עם זאת, בפרויקט זה המבנה דינמי וכתובות עשויות להשתנות. מכיוון שכבר הגדרנו מנהור GRE, נוכל לציין כתובות KS חיצוניות ככתובות המקור והיעד להצפנת התעבורה – הרי תעבורה שכבר מובלעת בפרוטוקול GRE מגיעה להצפנה. במילים אחרות, כל מה שנכנס ל-CS מהרשת המקומית של אתר אחד לרשתות שהוכרזו על ידי אתרים אחרים מוצפן. ובתוך כל אחד מהאתרים ניתן לבצע כל הפנייה מחדש. לפיכך, אם יש שינוי כלשהו ברשתות המקומיות, המנהל צריך רק לשנות את ההודעות המגיעות מהרשת שלו כלפי הרשת, והיא תהפוך לזמינה לאתרים אחרים.

ההצפנה ב-S-Terra CS מתבצעת באמצעות פרוטוקול IPSec. אנו משתמשים באלגוריתם "חרגול" בהתאם ל- GOST R 34.12-2015, ולצורך תאימות עם גרסאות ישנות יותר אתה יכול להשתמש ב- GOST 28147-89. מבחינה טכנית ניתן לבצע אימות הן במפתחות מוגדרים מראש (PSKs) והן בתעודות. עם זאת, בפעולה תעשייתית יש צורך להשתמש בתעודות שהונפקו בהתאם ל- GOST R 34.10-2012.

העבודה עם אישורים, קונטיינרים ו-CRL נעשית באמצעות כלי השירות cert_mgr. קודם כל, שימוש בפקודה cert_mgr ליצור יש צורך ליצור מיכל מפתח פרטי ובקשת אישור, אשר תישלח למרכז ניהול האישורים. לאחר קבלת האישור, יש לייבא אותו יחד עם אישור CA השורש ו-CRL (אם נעשה שימוש) עם הפקודה ייבוא ​​cert_mgr. אתה יכול לוודא שכל האישורים וה-CRL מותקנים עם הפקודה הצג cert_mgr.

לאחר התקנת האישורים בהצלחה, עבור אל המסוף דמוי Cisco כדי להגדיר את IPSec.
אנו יוצרים מדיניות IKE המציינת את האלגוריתמים והפרמטרים הרצויים של הערוץ המאובטח שנוצר, אשר יוצעו לשותף לאישור.

#crypto isakmp מדיניות 1000
#encr gost341215k
#hash gost341112-512-tc26
#סימן אימות
#group vko2
#lifetime 3600

מדיניות זו מיושמת בעת בניית השלב הראשון של IPSec. התוצאה של סיום מוצלח של השלב הראשון היא הקמת SA (אגודה לביטחון).
לאחר מכן, עלינו להגדיר רשימה של כתובות IP מקור ויעד (ACL) להצפנה, ליצור ערכת טרנספורמציה, ליצור מפה קריפטוגרפית (מפת קריפטו) ולאגד אותה לממשק החיצוני של ה-CS.

הגדר ACL:
#ip access-list אתר מורחב1
#permit gre מארח 10.111.21.3 מארח 10.111.22.3

קבוצה של טרנספורמציות (זהה לשלב הראשון, אנו משתמשים באלגוריתם ההצפנה "חרגול" באמצעות מצב יצירת הוספה של סימולציה):

#crypto ipsec transform-set GOST esp-gost341215k-mac

אנו יוצרים מפת קריפטו, מציינים את ה-ACL, ערכת הטרנספורמציה וכתובת עמיתים:

#מפת קריפטו MAIN 100 ipsec-isakmp
#match address site1
#set transform-set GOST
#set peer 10.111.22.3

אנו קושרים את כרטיס הקריפטו לממשק החיצוני של הקופה:

#interface GigabitEthernet0/0
#כתובת IP 10.111.21.3 255.255.255.0
#מפת קריפטו MAIN

כדי להצפין ערוצים עם אתרים אחרים, עליך לחזור על ההליך ליצירת כרטיס ACL וכרטיס קריפטו, שינוי שם ACL, כתובות IP ומספר כרטיס קריפטו.

שימו לב! אם לא נעשה שימוש באימות אישור באמצעות CRL, יש לציין זאת במפורש:

#crypto pki trustpoint s-terra_technological_trustpoint
#revocation-check none

בשלב זה, ההגדרה יכולה להיחשב כשלמה. בפלט פקודות קונסולת דמוי סיסקו הצג crypto isakmp sa и הצג crypto ipsec sa יש לשקף את השלב הראשון והשני שנבנו של IPSec. את אותו מידע ניתן לקבל באמצעות הפקודה sa_mgr מופע, מבוצע מ-debian shell. בפלט הפקודה הצג cert_mgr אישורי האתר המרוחק אמורים להופיע. הסטטוס של תעודות כאלה יהיה מרחוק. אם לא בונים מנהרות, עליך להסתכל ביומן שירות ה-VPN, המאוחסן בקובץ /var/log/cspvpngate.log. רשימה מלאה של קובצי יומן עם תיאור של תוכנם זמינה בתיעוד.

ניטור "בריאות" המערכת

ה-S-Terra CC משתמש בדמון הסטנדרטי snmpd לניטור. בנוסף לפרמטרים טיפוסיים של לינוקס, מחוץ לקופסה S-Terra תומכת בהנפקת נתונים לגבי מנהרות IPSec בהתאם ל-CISCO-IPSEC-FLOW-MONITOR-MIB, שבו אנו משתמשים בעת ניטור המצב של מנהרות IPSec. הפונקציונליות של OIDs מותאמים אישית המפלטים את תוצאות ביצוע הסקריפט כערכים נתמכת גם היא. תכונה זו מאפשרת לנו לעקוב אחר תאריכי תפוגה של אישורים. הסקריפט הכתוב מנתח את פלט הפקודה הצג cert_mgr וכתוצאה מכך נותן את מספר הימים עד שתוקף האישור המקומי והשורש יפוג. טכניקה זו הכרחית בעת ניהול מספר רב של CABGs.

מה היתרון בהצפנה כזו?

כל הפונקציונליות שתוארה לעיל נתמכת מהקופסה על ידי ה-S-Terra KSh. כלומר, לא היה צורך להתקין מודולים נוספים שעלולים להשפיע על הסמכת שערי קריפטו ועל הסמכה של מערכת המידע כולה. יכולים להיות כל ערוצים בין אתרים, אפילו דרך האינטרנט.

בשל העובדה שכאשר התשתית הפנימית משתנה, אין צורך להגדיר מחדש שערי קריפטו, המערכת פועלת כשירות, דבר שנוח מאוד ללקוח: הוא יכול למקם את שירותיו (לקוח ושרת) בכל כתובת, וכל השינויים יועברו באופן דינמי בין ציוד ההצפנה.

כמובן שהצפנה עקב עלויות תקורה (תקורה) משפיעה על מהירות העברת הנתונים, אבל רק במעט - תפוקת הערוץ יכולה לרדת ב-5-10% לכל היותר. יחד עם זאת, הטכנולוגיה נבדקה והראתה תוצאות טובות גם בערוצי לוויין, שהם די לא יציבים ובעלי רוחב פס נמוך.

איגור וינוחודוב, מהנדס קו המינהל השני של Rostelecom-Solar

מקור: www.habr.com