แกแแขแฃแแชแแ
แกแแแ แแแแก แแแแแแแแแแแจแ แแแแแฆแ C-Terra VPN แแ แแแฃแฅแขแแแแก แแแ แกแแแก 4.3 แแแแ แแแ แกแแ. แแแแแ แแแแแ แแแแ, แแแแแ แขแแแแแแ แแฃ แแ แ แฉแแแ แกแแแแแแแ แ แชแฎแแแ แแแ แแฎแแ แแแ แกแแแแ แแแแแกแแแแก แจแแแแแ.
แแฆแแก แแ แแ แแก แ แแฃแแ, แแ แแ แขแแแแ แ แฎแกแแแแ แงแแแ 3-แจแ แกแแแแแ แแกแ แฃแแแ แแงแแก. แแ แแแขแงแแแ แ แแแแ แแแแฆแแ แแแแ. แแแชแแแแ แแแแจแแแ GRE-over-IPsec แแ IPsec-over-GRE แกแฅแแแแแ.
แ แแแแ แแแแแฆแแ แแแแ แแแ แกแแ
แแแฎแแขแแแแ แแ แแแแแ, แ แแ แแแแ แแแ แกแแแก แแแกแแฆแแแแ แกแแญแแ แแ:
- แแแฌแแ แ แฌแแ แแแ [แแ.แคแแกแขแแ แแแชแฃแแแ] แแแ แแแ แแขแแฃแแ แแแกแแแแ แแแแแ;
- แฌแแ แแแจแ แแแฃแแแแแ แแฅแแแแ แแ แแแแแแแชแแแก TIN;
- แฉแแแแแแแแแ แแ แแแฃแฅแขแแแ แแ แแแแ แ แแแแแแแแ.
แแแแแแแ แแแฅแแแแแแก แกแแแ แแแแก แแแแแแแแแแแจแ. แแแแงแแแแแแ แแ แแฆแฃแแแแก แแแ แคแฃแแฅแชแแแแแ แแแแก.
แแแแแกแแฎแฃแแแแแก แแแคแแ แแแแแ
Security Gateway-แแก แแแแ แแแ แกแแ แแ แแก แแแ แขแฃแแแฃแ แ แแแแฅแแแแก แกแฃแ แแแ. แแ แแแงแแแแ VMWare Workstation-แก. แแฎแแ แแแญแแ แแแ แฐแแแแ แแแแแ แแแแกแ แแ แแแ แขแฃแแแแแแชแแแก แแแ แแแแก แกแ แฃแแ แกแแ แฎแแแแแกแแฌแแแแแแ แแแแงแแแแแแแก แแแแกแแแขแแ.
แกแแแแ แแแแฌแงแแแ, แแแฎแแแ แแแแแแแแแกแฌแแแแ, แ แแ แแแแฃแแแกแฎแแแแ แแแ แขแฃแแแฃแ แ แแแแฅแแแแก แกแฃแ แแแจแ แแ แแ แแก แฅแกแแแฃแ แ แแแขแแ แคแแแกแแแ:
แแแแแแ แแแกแแแแแแ, แแแแฎแแแ แแแแแแ แฃแแแ แแแแแแขแแก แแแแแแ แแแขแแ แคแแแกแ, แ แแแแแแแช แแแก แกแญแแ แแแแ. แแ แแแแจแแ แแแฎแก แแแแแแแขแแ:
แแฎแแ แแแ แขแฃแแแฃแ แแแแฅแแแแก แแแฌแงแแ. แแแจแแแแแกแแแแแแ, แแแ แแแญแ แแแแแฎแแแก แแแแฎแแแ แแแแแก แกแแฎแแแก แแ แแแ แแแก.
S-Terra Gateway-แจแ แแ แแก แ แแแแแแแแ แแแแกแแแ แกแฎแแแแแกแฎแแ แแแแแ แแจแแแแ. แแแ แ แแแแแแแแแก แชแแแแ แกแขแแขแแแจแ แแแแแแแ. แฒแฎแแ:
Login as: administrator
Password: s-terra
แแ แแแแแแแ แแแ แแแญแแก แแแแชแแแแแแแชแแแก. แแแแชแแแแแแแชแแ แแ แแก แแแฅแแแแแแแแแก แแแแแแแแแแ แแแ: แแแชแแแแแแก แจแแงแแแแ, แแแแแแแแฃแ แ แจแแแแฎแแแแแแ แ แแชแฎแแแแแก แแแแแ แแขแแ แแก แแแงแแแแแ (แแแแแแแขแฃแ แแก แกแแแฃแแแขแแ แ - แฉแแแ แฉแแแแฌแแ แ แแ แแก 27 แฌแแแ) แแ แฅแกแแแแก แแแขแแ แคแแแกแแก แ แฃแแแก แจแแฅแแแ.
แฅแกแแแแก แแแขแแ แคแแแกแแแแก แ แฃแแ. แฃแคแ แ แแแแแแ แแแฎแแ
แแแ แกแแ 4.2 แแแแกแแแแ แแฅแขแแฃแ แแแแฎแแแ แแแแแก แจแแขแงแแแแแแแแแแ:
Starting IPsec daemonโฆ.. failed
ERROR: Could not establish connection with daemon
แแฅแขแแฃแ แ แแแแฎแแแ แแแแแ (แแแแแแแฃแ แ แแแแแแ แแก แแแฎแแแแแ) แแ แแก แแแแฎแแแ แแแแแ, แ แแแแแกแแช แจแแฃแซแแแ แแแแงแแแแก แงแแแแแคแแ แ แกแฌแ แแคแแ แแ แแแแฃแแแแขแแชแแแก แแแ แแจแ.
แ แแฆแแช แแ แแกแฌแแ แแ แแแแแแแแ แแแแแ แแแขแแ แคแแแกแแ IP แแแกแแแแ แแแก แแแงแแแแแแก แแชแแแแแแแแแ. แแก แงแแแแแคแแ แ แฅแกแแแแก แแแขแแ แคแแแกแแก แ แฃแแแแแ. แกแแญแแ แ แแงแ แแแแก แแแแแแแแ:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
service networking restart
แจแแแแแแ, แแฅแแแแแ แฅแกแแแแก แแแขแแ แคแแแกแแก แ แฃแแ, แ แแแแแแช แจแแแชแแแก แคแแแแแฃแ แ แแแขแแ แคแแแกแแก แกแแฎแแแแแแก (0000:02:03.0) แแ แแแ แแแแแแฃแ แแฆแแแจแแแแแก แแแแ แแชแแฃแ แกแแกแขแแแแจแ (eth0) แแ Cisco-แก แแกแแแแก แแแแกแแแจแ (FastEthernet0/0):
#Unique ID iface type OS name Cisco-like name
0000:02:03.0 phye eth0 FastEthernet0/0
แแแขแแ แคแแแกแแแแก แแแแแแฃแ แแฆแแแจแแแแแก แแแขแกแแฎแแแแแก แฃแฌแแแแแแ. แแแขแกแแฎแแแแแ แแแแฎแแแ แคแแแแจแ /etc/ifaliases.cf.
4.3 แแแ แกแแแจแ, แ แแแแกแแช แแแ แขแฃแแแฃแ แ แแแแฅแแแ แแแ แแแแแ แแฎแกแแแแ, แแแขแแแแขแฃแ แแ แแฅแแแแแ แแแขแแ แคแแแกแแก แ แฃแแ. แแฃ แจแแชแแแแ แฅแกแแแแก แแแขแแ แคแแแกแแแแก แ แแแแแแแแแก แแแ แขแฃแแแฃแ แแแแฅแแแแจแ, แแแฎแแแ, แฎแแแแฎแแ แจแแฅแแแแ แแแขแแ แคแแแกแแก แ แฃแแ:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
systemctl restart networking
แกแฅแแแ 1: GRE-over-IPsec
แแ แแแงแแแแ แแ แแแ แขแฃแแแฃแ แแแ แแแญแแก, แแชแแแ, แ แแแแ แช แแแฉแแแแแแแ แคแแแฃแ แแจแ:
แแแแแฏแ 1. แแแแงแแแแ IP แแแกแแแแ แแแแ แแ แแแ แจแ แฃแขแแแ
VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254
VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253
IP แแแแจแแ แแก แจแแแแฌแแแแ:
root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms
--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms
แแแแแฏแ 2: แแแแงแแแแ GRE
แแ แแแฆแแ GRE-แแก แแแงแแแแแแก แแแแแแแแก แแคแแชแแแแฃแ แ แกแแ แแแขแแแแแแ. แแ แแฅแแแ gre1 แคแแแแก /etc/network/interfaces.d แแแ แแฅแขแแ แแแจแ แจแแแแแแกแแ.
VG1-แกแแแแก:
auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
VG2-แกแแแแก:
auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
แแ แแแงแแแแ แแแขแแ แคแแแกแก แกแแกแขแแแแจแ:
root@VG1:~# ifup gre1
root@VG2:~# ifup gre1
แจแแแแฌแแแแ:
root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
link/gre 172.16.1.253 peer 172.16.1.254
inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
valid_lft forever preferred_lft forever
root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1
C-Terra Gateway-แก แแฅแแก แฉแแจแแแแแฃแแ แแแแแขแแก แกแแแคแแ แ - tcpdump. แแ แแแแฌแแ แขแ แแคแแแก pcap แคแแแแจแ:
root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap
แแแฌแงแแ แแแแแก GRE แแแขแแ แคแแแกแแแก แจแแ แแก:
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms
GRE แแแแ แแแ แแฃแจแแแแก แแ แแฃแจแแแแก:
แแแแแฏแ 3. แแแจแแคแแ แ GOST GRE-แแ
แแแแแงแแแ แแแแแขแแคแแแแชแแแก แขแแแ - แแแกแแแแ แแแ. แแแแแแขแแคแแแแชแแ แฌแแแแกแฌแแ แแแแกแแแฆแแ แฃแแ แแแกแแฆแแแแ (แแแแแงแแแแแแก แแแ แแแแแแก แแแฎแแแแแ, แชแแคแ แฃแแ แกแแ แแแคแแแแขแแแ แฃแแแ แแฅแแแก แแแแแงแแแแแฃแแ):
VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254
แแ แแแแแงแแแ IPsec แคแแแแก I แแแ แแแแขแ แแแ:
VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2
แแ แแแแแงแแแ IPsec แคแแแแก II แแแ แแแแขแ แแแ:
VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel
แแ แแฅแแแ แฌแแแแแแก แกแแแก แแแจแแคแแ แแกแแแแก. แแแแแแแ แแแ แขแ แแคแแแ - GRE:
VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254
แแ แแฅแแแ แแ แแแขแ แ แฃแแแก แแ แแแแแแจแแ แแ แแแก WAN แแแขแแ แคแแแกแแแ:
VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
crypto map CMAP
VG2-แกแแแแก, แแแแคแแแฃแ แแชแแ แแกแแฎแฃแแแ, แแแแกแฎแแแแแแแแแ:
VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254
แจแแแแฌแแแแ:
root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2
ISAKMP/IPsec แกแขแแขแแกแขแแแ:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480
GRE แขแ แแคแแแแก แแแแแแกแแงแ แแแจแ แแ แแ แแก แแแแแขแแแ:
แแแกแแแแ: GRE-over-IPsec แกแฅแแแ แแฃแจแแแแก แกแฌแแ แแ.
แกแฃแ แแแ 1.5: IPsec-over-GRE
แแ แแ แแแแแ แแ IPsec-over-GRE-แแก แแแแแงแแแแแแก แฅแกแแแจแ. แแแแ แแแแ แแแแขแแ, แ แแ แแแแแ.
GRE-over-IPsec แกแฅแแแแก แกแแแแ แแกแแแ แ แแแแกแแแแแกแแแแแ:
- แแแจแแคแแ แแก แฌแแแแแแก แกแแแก แแแคแแฅแกแแ แแแ - แแแแแแแ แแแ แขแ แแคแแแ LAN1-แแแ LAN2-แแแ แแ แแแ แแฅแแ;
- แแแ แจแ แฃแขแแแแชแแแก แแแแคแแแฃแ แแชแแ GRE-แแก แกแแจแฃแแแแแแ;
- แฉแแแแแแแแ แแ แแแขแ แ แฃแแ GRE แแแขแแ แคแแแกแแ.
แแแแฃแแแกแฎแแแแแ, แแ แแ แแก GRE แแแขแแ แคแแแกแ Cisco-แก แแกแแแแกแ แแแ แแแญแแก แแแแกแแแจแ. แแก แแฎแแแแ แแแแ แแชแแฃแ แกแแกแขแแแแจแ แแ แกแแแแแก.
แแ แแแแแขแแ GRE แแแขแแ แคแแแกแก Cisco-แก แแกแแแแก แแแแกแแแก. แแแแกแแแแแก แแ แแแกแฌแแ แแ แคแแแแก /etc/ifaliases.cf:
interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")
แกแแแแช gre1 แแ แแก แแแขแแ แคแแแกแแก แแฆแแแจแแแ แแแแ แแชแแฃแ แกแแกแขแแแแจแ, Tunnel0 แแ แแก แแแขแแ แคแแแกแแก แแฆแแแจแแแ Cisco-แก แแกแแแแก แแแแกแแแจแ.
แแ แฎแแแแฎแแ แแแแแแแ แแจแแ แคแแแแแก แฐแแจแก:
root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf
SUCCESS: Operation was successful.
แแฎแแ Tunnel0 แแแขแแ แคแแแกแ แแแแแฉแแแ Cisco-แก แแกแแแแก แแแแกแแแจแ:
VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400
แฌแแแแแแก แกแแแก แแแ แแฅแขแแ แแแ แแแจแแคแแ แแกแแแแก:
VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
แแ แแแแแแคแแแฃแ แแ แแ แแแ แจแ แฃแขแแแแชแแแก GRE-แแก แกแแจแฃแแแแแแ:
VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2
แแ แแฎแกแแ แแ แแแขแแแแแก Fa0 / 0-แแแ แแ แแแแแแจแแ แแ แแแก GRE แแแขแแ แคแแแกแแแ:
VG1(config)#
interface Tunnel0
crypto map CMAP
VG2-แกแแแแกแแช แแแแแแ.
แจแแแแฌแแแแ:
root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap
root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms
--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms
ISAKMP/IPsec แกแขแแขแแกแขแแแ:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352
ESP แขแ แแคแแแแก แแแแแแกแแงแ แแแจแ, GRE-แจแ แฉแแกแแฃแแ แแแแแขแแแ:
แแแกแแแแ: IPsec-over-GRE แแฃแจแแแแก แกแฌแแ แแ.
แจแแแแแแแ
แแ แแ แคแแแฏแแแ แงแแแ แกแแแแแ แแกแ แแงแ. แแ แแแแฎแแขแ แแแกแขแ แฃแฅแชแแแแ แแแแ แแแ แกแแแก แแแกแแฆแแแแ. แแแแคแแแฃแ แแ แแแฃแแแ GRE-over-IPsec แแ แแแแแแแแแฃแแแ แแแ แแฅแแ.
แฅแกแแแแก แแแขแแ แคแแแกแแแแก แ แฃแแ 4.3 แแแ แกแแแจแ แแแขแแแแขแฃแ แแ! แแ แแแแแแแ แจแแแแแแ แขแแกแขแแ แแแแก.
แแแแแแแฃแ แ แแแแแแแ แ
t.me/anonymous_engineer
แฌแงแแ แ: www.habr.com