როგორ მივიდეთ Beeline IPVPN-მდე IPSec-ის საშუალებით. Ნაწილი 1

გამარჯობა! IN წინა პოსტი მე ნაწილობრივ აღვწერე ჩვენი MultiSIM სერვისის მუშაობა დათქმები и დაბალანსება არხები. როგორც აღვნიშნეთ, კლიენტებს ქსელში VPN-ის საშუალებით ვაკავშირებთ, დღეს კი ცოტა მეტს გეტყვით VPN-ზე და ამ ნაწილში ჩვენს შესაძლებლობებზე.

ღირს იმით დავიწყოთ, რომ ჩვენ, როგორც სატელეკომუნიკაციო ოპერატორს, გვაქვს ჩვენი უზარმაზარი MPLS ქსელი, რომელიც ფიქსირებული ხაზის მომხმარებლებისთვის იყოფა ორ მთავარ სეგმენტად - ის, რომელიც გამოიყენება პირდაპირ ინტერნეტში შესასვლელად და ის, რაც გამოიყენება იზოლირებული ქსელების შესაქმნელად — და სწორედ MPLS სეგმენტის მეშვეობით მიედინება IPVPN (L3 OSI) და VPLAN (L2 OSI) ტრაფიკი ჩვენი კორპორატიული კლიენტებისთვის.

როგორც წესი, კლიენტის კავშირი ხდება შემდეგნაირად.

კლიენტის ოფისში წვდომის ხაზი იდება ქსელის ყოფნის უახლოესი წერტილიდან (კვანძი MEN, RRL, BSSS, FTTB და ა.შ.) და შემდგომში, არხი რეგისტრირდება სატრანსპორტო ქსელის მეშვეობით შესაბამის PE-MPLS-მდე როუტერს, რომელზედაც ჩვენ გამოვიტანთ მას სპეციალურად შექმნილ VRF კლიენტისთვის, კლიენტისთვის საჭირო ტრაფიკის პროფილის გათვალისწინებით (პროფილის ეტიკეტები შეირჩევა თითოეული წვდომის პორტისთვის, IP უპირატესობის მნიშვნელობების საფუძველზე 0,1,3,5, XNUMX).

თუ რაიმე მიზეზით ვერ მოვახერხეთ კლიენტისთვის ბოლო მილის სრულად ორგანიზება, მაგალითად, კლიენტის ოფისი მდებარეობს ბიზნეს ცენტრში, სადაც სხვა პროვაიდერი პრიორიტეტულია, ან უბრალოდ არ გვყავს ჩვენი ადგილი ახლოს, მაშინ ადრე კლიენტები უნდა შეგვექმნა რამდენიმე IPVPN ქსელი სხვადასხვა პროვაიდერთან (არა ყველაზე ეკონომიური არქიტექტურა) ან დამოუკიდებლად გადაჭრა პრობლემები თქვენს VRF-ზე წვდომის ორგანიზებასთან ინტერნეტით.

ბევრმა ეს გააკეთა IPVPN ინტერნეტ კარიბჭის დაყენებით - მათ დააინსტალირეს სასაზღვრო როუტერი (აპარატურა ან Linux-ზე დაფუძნებული გადაწყვეტა), დაუკავშირეს მას IPVPN არხი ერთი პორტით და ინტერნეტ არხი მეორესთან, ჩაუშვეს თავისი VPN სერვერი მასზე და დააკავშირეს. მომხმარებლები საკუთარი VPN კარიბჭის საშუალებით. ბუნებრივია, ასეთი სქემა ტვირთსაც ქმნის: ასეთი ინფრასტრუქტურა უნდა აშენდეს და რაც ყველაზე არასასიამოვნოა, ოპერირება და განვითარება.

ჩვენი კლიენტებისთვის ცხოვრების გასაადვილებლად, ჩვენ დავაინსტალირეთ ცენტრალიზებული VPN ჰაბი და მოვაწყვეთ მხარდაჭერა ინტერნეტით კავშირებისთვის IPSec-ის გამოყენებით, ანუ, ახლა კლიენტებს მხოლოდ როუტერის კონფიგურაცია სჭირდებათ ჩვენს VPN ჰაბთან მუშაობისთვის IPSec გვირაბის მეშვეობით ნებისმიერ საჯარო ინტერნეტზე. და ჩვენ გავათავისუფლებთ ამ კლიენტის ტრაფიკს მის VRF-ზე.

ვისაც დასჭირდება

• მათთვის, ვისაც უკვე აქვს დიდი IPVPN ქსელი და სჭირდება ახალი კავშირები მოკლე დროში.
• ყველას, ვისაც რაიმე მიზეზით სურს ტრაფიკის ნაწილი გადაიტანოს საჯარო ინტერნეტიდან IPVPN-ზე, მაგრამ მანამდე შეექმნა ტექნიკური შეზღუდვები, რომლებიც დაკავშირებულია რამდენიმე სერვისის პროვაიდერთან.
• მათთვის, ვისაც ამჟამად აქვს რამდენიმე განსხვავებული VPN ქსელი სხვადასხვა ტელეკომის ოპერატორებში. არიან კლიენტები, რომლებმაც წარმატებით მოაწყვეს IPVPN ბილაინის, მეგაფონის, როსტელეკომის და ა.შ. გაადვილების მიზნით, შეგიძლიათ დარჩეთ მხოლოდ ჩვენს ერთ VPN-ზე, გადართოთ სხვა ოპერატორების ყველა სხვა არხი ინტერნეტზე და შემდეგ დაუკავშირდეთ Beeline IPVPN-ს IPSec-ით და ინტერნეტით ამ ოპერატორებიდან.
• მათთვის, ვისაც უკვე აქვს IPVPN ქსელი ინტერნეტში.

თუ თქვენ განათავსებთ ყველაფერს ჩვენთან, მაშინ კლიენტები მიიღებენ სრულფასოვან VPN მხარდაჭერას, სერიოზულ ინფრასტრუქტურის ზედმეტობას და სტანდარტულ პარამეტრებს, რომლებიც იმუშავებს ნებისმიერ როუტერზე, რომელსაც ისინი შეჩვეულნი არიან (იქნება ეს Cisco, თუნდაც Mikrotik, მთავარია, რომ მას შეუძლია სათანადო მხარდაჭერა IPSec/IKEv2 სტანდარტიზებული ავთენტიფიკაციის მეთოდებით). სხვათა შორის, IPSec-ის შესახებ - ახლა ჩვენ მხოლოდ მას ვუჭერთ მხარს, მაგრამ ვგეგმავთ სრულფასოვანი ფუნქციონირების დაწყებას როგორც OpenVPN-ის, ასევე Wireguard-ის, რათა კლიენტებმა ვერ დამოკიდებულნი იყვნენ პროტოკოლზე და კიდევ უფრო ადვილი იყოს ყველაფრის ჩვენთვის აღება და გადაცემა. და ჩვენ ასევე გვინდა დავიწყოთ კლიენტების დაკავშირება კომპიუტერებიდან და მობილური მოწყობილობებიდან (გადაწყვეტილებები ჩაშენებული OS-ში, Cisco AnyConnect და strongSwan და მსგავსი). ამ მიდგომით, ინფრასტრუქტურის დე ფაქტო მშენებლობა შეიძლება უსაფრთხოდ გადაეცეს ოპერატორს და დარჩეს მხოლოდ CPE-ის ან მასპინძლის კონფიგურაცია.

როგორ მუშაობს კავშირის პროცესი IPSec რეჟიმში:

1. კლიენტი უტოვებს მოთხოვნას თავის მენეჯერს, რომელშიც მიუთითებს კავშირის საჭირო სიჩქარე, ტრაფიკის პროფილი და IP მისამართის პარამეტრები გვირაბისთვის (ნაგულისხმევად, ქვექსელი /30 ნიღბით) და მარშრუტიზაციის ტიპი (სტატიკური ან BGP). დაკავშირებულ ოფისში კლიენტის ლოკალურ ქსელებში მარშრუტების გადასატანად, გამოიყენება IPSec პროტოკოლის ფაზის IKEv2 მექანიზმები კლიენტის როუტერზე შესაბამისი პარამეტრების გამოყენებით, ან ისინი რეკლამირებულია BGP-ით MPLS-ში კლიენტის აპლიკაციაში მითითებული კერძო BGP AS-დან. . ამრიგად, კლიენტის ქსელების მარშრუტების შესახებ ინფორმაცია მთლიანად კონტროლდება კლიენტის მიერ კლიენტის როუტერის პარამეტრების საშუალებით.
2. მისი მენეჯერის საპასუხოდ, კლიენტი იღებს სააღრიცხვო მონაცემებს მის VRF ფორმაში შესატანად:
   • VPN-HUB IP მისამართი
   • შესვლა
   • ავტორიზაციის პაროლი
3. აკონფიგურირებს CPE, ქვემოთ, მაგალითად, ორი ძირითადი კონფიგურაციის ვარიანტი:

   ვარიანტი Cisco-სთვის:
   კრიპტო ikev2 გასაღებები BeelineIPsec_keyring
   peer Beeline_VPNHub
   მისამართი 62.141.99.183 – VPN კერა ბილაინი
   წინასწარ გაზიარებული გასაღები <Authentication password>
   !
   სტატიკური მარშრუტიზაციის ვარიანტისთვის, მარშრუტები ქსელებში, რომლებიც ხელმისაწვდომია Vpn-ჰაბის საშუალებით, შეიძლება განისაზღვროს IKEv2 კონფიგურაციაში და ისინი ავტომატურად გამოჩნდებიან სტატიკური მარშრუტების სახით CE მარშრუტიზაციის ცხრილში. ეს პარამეტრები ასევე შეიძლება განხორციელდეს სტატიკური მარშრუტების დაყენების სტანდარტული მეთოდის გამოყენებით (იხ. ქვემოთ).

   კრიპტო ikev2 ავტორიზაციის პოლიტიკა FlexClient-author

   მარშრუტი CE როუტერის უკან ქსელებში - სავალდებულო პარამეტრი CE და PE შორის სტატიკური მარშრუტიზაციისთვის. მარშრუტის მონაცემების გადაცემა PE-ზე ხდება ავტომატურად, როდესაც გვირაბი ამაღლებულია IKEv2 ურთიერთქმედებით.

   მარშრუტის კომპლექტი დისტანციური IPv4 10.1.1.0 255.255.255.0 - ოფისის ლოკალური ქსელი
   !
   კრიპტო ikev2 პროფილი BeelineIPSec_profile
   ლოკალური იდენტიფიკაცია <login>
   ავთენტიფიკაცია ადგილობრივი წინასწარ გაზიარება
   ავტორიზაციის დისტანციური წინასწარ გაზიარება
   გასაღებები ადგილობრივი BeelineIPsec_keyring
   aaa ავტორიზაციის ჯგუფი psk list group-author-list FlexClient-author
   !
   კრიპტო ikev2 კლიენტი flexvpn BeelineIPsec_flex
   peer 1 Beeline_VPNHub
   კლიენტის დაკავშირება Tunnel1
   !
   კრიპტო ipsec ტრანსფორმაციის ნაკრები TRANSFORM1 esp-aes 256 esp-sha256-hmac
   რეჟიმის გვირაბი
   !
   კრიპტო ipsec პროფილის ნაგულისხმევი
   set transform-set TRANSFORM1
   დააყენეთ ikev2-პროფილი BeelineIPSec_profile
   !
   ინტერფეისი გვირაბი 1
   IP მისამართი 10.20.1.2 255.255.255.252 -გვირაბის მისამართი
   გვირაბის წყარო GigabitEthernet0/2 -ინტერნეტ წვდომის ინტერფეისი
   გვირაბის რეჟიმი ipsec ipv4
   გვირაბის დანიშნულების დინამიკა
   გვირაბის დაცვა ipsec პროფილის ნაგულისხმევი
   !
   მარშრუტები კლიენტის პირად ქსელებში, რომლებიც ხელმისაწვდომია Beeline VPN კონცენტრატორის საშუალებით, შეიძლება დაყენდეს სტატიკურად.

   IP მარშრუტი 172.16.0.0 255.255.0.0 გვირაბი1
   IP მარშრუტი 192.168.0.0 255.255.255.0 გვირაბი1

   ვარიანტი Huawei-სთვის (ar160/120):
   ლოკალური სახელი <login>
   #
   acl სახელი ipsec 3999
   წესი 1 ნებართვის IP წყარო 10.1.1.0 0.0.0.255 - ოფისის ლოკალური ქსელი
   #
   aaa
   სერვის-სქემა IPSEC
   მარშრუტის ნაკრები acl 3999
   #
   ipsec წინადადება ipsec
   esp ავთენტიფიკაციის ალგორითმი sha2-256
   esp დაშიფვრის ალგორითმი aes-256
   #
   ike წინადადების ნაგულისხმევი
   დაშიფვრა-ალგორითმი aes-256
   dh ჯგუფი2
   ავთენტიფიკაცია-ალგორითმი sha2-256
   ავთენტიფიკაციის მეთოდი წინასწარ გაზიარება
   მთლიანობა-ალგორითმი hmac-sha2-256
   prf hmac-sha2-256
   #
   ike peer ipsec
   წინასწარ გაზიარებული გასაღები მარტივი <Authentication password>
   local-id ტიპის fqdn
   დისტანციური ID-ტიპის IP
   დისტანციური მისამართი 62.141.99.183 – VPN კერა ბილაინი
   სერვის-სქემა IPSEC
   კონფიგურაციის გაცვლის მოთხოვნა
   config-exchange set მიღება
   config-exchange set გაგზავნა
   #
   ipsec პროფილი ipsecprof
   ike-peer ipsec
   წინადადება ipsec
   #
   ინტერფეისი Tunnel0/0/0
   IP მისამართი 10.20.1.2 255.255.255.252 -გვირაბის მისამართი
   გვირაბი-პროტოკოლი ipsec
   წყარო GigabitEthernet0/0/1 -ინტერნეტ წვდომის ინტერფეისი
   ipsec პროფილი ipsecprof
   #
   მარშრუტები კლიენტის პირად ქსელებში, რომლებიც ხელმისაწვდომია Beeline VPN კონცენტრატორის საშუალებით, შეიძლება დაყენდეს სტატიკურად

   ip route-static 192.168.0.0 255.255.255.0 Tunnel0/0/0
   ip route-static 172.16.0.0 255.255.0.0 Tunnel0/0/0

შედეგად მიღებული კომუნიკაციის დიაგრამა ასე გამოიყურება:

თუ კლიენტს არ აქვს ძირითადი კონფიგურაციის რამდენიმე მაგალითი, მაშინ ჩვენ ჩვეულებრივ ვეხმარებით მათ ჩამოყალიბებაში და ყველასთვის ხელმისაწვდომს ვაქცევთ.

რჩება მხოლოდ CPE-ის ინტერნეტთან დაკავშირება, პინგი VPN გვირაბის საპასუხო ნაწილზე და VPN-ის შიგნით ნებისმიერ ჰოსტზე და ეს არის ის, შეგვიძლია ვივარაუდოთ, რომ კავშირი განხორციელდა.

შემდეგ სტატიაში ჩვენ გეტყვით, თუ როგორ გავაერთიანეთ ეს სქემა IPSec და MultiSIM Redundancy-თან Huawei CPE-ის გამოყენებით: ჩვენ ვაყენებთ ჩვენს Huawei CPE-ს კლიენტებისთვის, რომლებსაც შეუძლიათ გამოიყენონ არა მხოლოდ სადენიანი ინტერნეტ არხი, არამედ 2 სხვადასხვა SIM ბარათი და CPE. ავტომატურად აღადგენს IPSec- გვირაბს სადენიანი WAN-ის ან რადიოს მეშვეობით (LTE#1/LTE#2), აცნობიერებს შედეგად მიღებული სერვისის მაღალი დეფექტების ტოლერანტობას.

განსაკუთრებული მადლობა ჩვენს RnD კოლეგებს ამ სტატიის მომზადებისთვის (და, ფაქტობრივად, ამ ტექნიკური გადაწყვეტილებების ავტორებს)!

წყარო: www.habr.com