ჩვენ ვშიფრავთ GOST-ის მიხედვით: დინამიური ტრაფიკის მარშრუტის დაყენების გზამკვლევი

თუ თქვენი კომპანია გადასცემს ან იღებს პერსონალურ მონაცემებს და სხვა კონფიდენციალურ ინფორმაციას ქსელში, რომელიც ექვემდებარება დაცვას კანონის შესაბამისად, საჭიროა გამოიყენოს GOST დაშიფვრა. დღეს ჩვენ გეტყვით, როგორ განვახორციელეთ ასეთი დაშიფვრა S-Terra კრიპტო კარიბჭის (CS) საფუძველზე ერთ-ერთ მომხმარებელს. ეს ამბავი საინტერესო იქნება როგორც ინფორმაციული უსაფრთხოების სპეციალისტებისთვის, ასევე ინჟინრებისთვის, დიზაინერებისთვის და არქიტექტორებისთვის. ჩვენ არ ჩავუღრმავდებით ტექნიკური კონფიგურაციის ნიუანსებს ამ პოსტში; ჩვენ ყურადღებას გავამახვილებთ ძირითადი დაყენების ძირითად პუნქტებზე. დიდი მოცულობის დოკუმენტაცია Linux OS დემონების დაყენების შესახებ, რომელზედაც დაფუძნებულია S-Terra CS, თავისუფლად არის ხელმისაწვდომი ინტერნეტში. ასევე საჯაროდ ხელმისაწვდომია S-Terra პროგრამული უზრუნველყოფის დაყენების დოკუმენტაცია პორტალი მწარმოებელი.

რამდენიმე სიტყვა პროექტის შესახებ

მომხმარებლის ქსელის ტოპოლოგია იყო სტანდარტული - სრული ქსელი ცენტრსა და ფილიალებს შორის. საჭირო იყო ინფორმაციის გაცვლის არხების დაშიფვრა ყველა საიტს შორის, რომელთაგან 8 იყო.

ჩვეულებრივ, ასეთ პროექტებში ყველაფერი სტატიკურია: საიტის ლოკალურ ქსელში სტატიკური მარშრუტები დაყენებულია კრიპტო კარიბჭეებზე (CG), რეგისტრირებულია დაშიფვრისთვის IP მისამართების (ACL) სიები. თუმცა, ამ შემთხვევაში, საიტებს არ აქვთ ცენტრალიზებული კონტროლი და ყველაფერი შეიძლება მოხდეს მათ ლოკალურ ქსელებში: ქსელების დამატება, წაშლა და ყველა შესაძლო გზით შეცვლა შესაძლებელია. იმისათვის, რომ არ მოხდეს მარშრუტიზაციისა და ACL-ის ხელახალი კონფიგურაცია KS-ზე ლოკალური ქსელების მისამართის შეცვლისას საიტებზე, გადაწყდა გამოეყენებინათ GRE გვირაბი და OSPF დინამიური მარშრუტირება, რომელიც მოიცავს ყველა KS-ს და უმეტეს მარშრუტიზატორებს ქსელის ბირთვის დონეზე საიტებზე ( ზოგიერთ საიტზე ინფრასტრუქტურის ადმინისტრატორებს ამჯობინეს SNAT-ის გამოყენება KS-ის მიმართ ბირთვის მარშრუტიზატორებზე).

GRE გვირაბმა ორი პრობლემის გადაჭრის საშუალება მოგვცა:
1. გამოიყენეთ CS-ის გარე ინტერფეისის IP მისამართი ACL-ში დაშიფვრისთვის, რომელიც აერთიანებს სხვა საიტებზე გაგზავნილ მთელ ტრაფიკს.
2. მოაწყეთ ptp გვირაბები CS-ებს შორის, რაც საშუალებას გაძლევთ დააკონფიგურიროთ დინამიური მარშრუტი (ჩვენს შემთხვევაში, პროვაიდერის MPLS L3VPN ორგანიზებულია საიტებს შორის).

კლიენტმა უბრძანა დაშიფვრის, როგორც სერვისის განხორციელება. წინააღმდეგ შემთხვევაში, მას მოუწევდა არა მხოლოდ კრიპტო გეითვეიების შენარჩუნება ან მათი გადაცემა რომელიმე ორგანიზაციაში, არამედ დამოუკიდებლად მონიტორინგი დაშიფვრის სერთიფიკატების სასიცოცხლო ციკლზე, მათი დროულად განახლება და ახლის დაყენება.

ახლა კი ფაქტობრივი შენიშვნა - როგორ და რა დავაყენეთ

შენიშვნა CII სუბიექტისთვის: კრიპტო კარიბჭის დაყენება

ძირითადი ქსელის დაყენება

უპირველეს ყოვლისა, ჩვენ გავუშვით ახალი CS და შევდივართ ადმინისტრაციის კონსოლში. თქვენ უნდა დაიწყოთ ჩაშენებული ადმინისტრატორის პაროლის შეცვლით - ბრძანება მომხმარებლის პაროლის ადმინისტრატორის შეცვლა. შემდეგ თქვენ უნდა განახორციელოთ ინიციალიზაციის პროცედურა (ბრძანება ინიციალიზაცია) რომლის დროსაც ხდება ლიცენზიის მონაცემების შეყვანა და შემთხვევითი რიცხვების სენსორის (RNS) ინიციალიზაცია.

მიაქციეთ ყურადღება როდესაც S-Terra CC ინიციალიზდება, იქმნება უსაფრთხოების პოლიტიკა, რომელშიც უსაფრთხოების კარიბჭის ინტერფეისები არ აძლევენ პაკეტების გავლის საშუალებას. თქვენ უნდა შექმნათ თქვენი საკუთარი პოლიტიკა ან გამოიყენოთ ბრძანება გაუშვით csconf_mgr გააქტიურება გააქტიურეთ წინასწარ განსაზღვრული დაშვების პოლიტიკა.
შემდეგი, თქვენ უნდა დააკონფიგურიროთ გარე და შიდა ინტერფეისების მისამართი, ასევე ნაგულისხმევი მარშრუტი. სასურველია CS ქსელის კონფიგურაციასთან მუშაობა და დაშიფვრის კონფიგურაცია Cisco-ს მსგავსი კონსოლის საშუალებით. ეს კონსოლი შექმნილია Cisco IOS ბრძანებების მსგავსი ბრძანებების შესატანად. კონფიგურაცია, რომელიც გენერირებულია Cisco-ს მსგავსი კონსოლის გამოყენებით, თავის მხრივ, გარდაიქმნება შესაბამის კონფიგურაციის ფაილებად, რომლებთანაც მუშაობენ OS დემონები. თქვენ შეგიძლიათ გადახვიდეთ Cisco-ს მსგავს კონსოლზე ადმინისტრაციული კონსოლიდან ბრძანებით კონფიგურაციის.

შეცვალეთ პაროლები ჩაშენებული მომხმარებლის cscon-ებისთვის და ჩართეთ:

> ჩართვა
პაროლი: csp (წინასწარ დაინსტალირებული)
#კონფიგურაციის ტერმინალი
#username cscons პრივილეგია 15 საიდუმლო 0 #enable secret 0 ძირითადი ქსელის კონფიგურაციის დაყენება:

#interface GigabitEthernet0/0
#ip მისამართი 10.111.21.3 255.255.255.0
#არ გამორთვა
#interface GigabitEthernet0/1
#ip მისამართი 192.168.2.5 255.255.255.252
#არ გამორთვა
#ip მარშრუტი 0.0.0.0 0.0.0.0 10.111.21.254

GRE

გამოდით Cisco-ს მსგავსი კონსოლიდან და გადადით debian shell-ზე ბრძანებით სისტემა. დააყენეთ თქვენი საკუთარი პაროლი მომხმარებლისთვის root გუნდი passwd.
თითოეულ საკონტროლო ოთახში, ცალკე გვირაბი არის კონფიგურირებული თითოეული ადგილისთვის. გვირაბის ინტერფეისი კონფიგურირებულია ფაილში / etc / ქსელი / ინტერფეისი. IP გვირაბის პროგრამა, რომელიც შედის წინასწარ დაინსტალირებულ iproute2 კომპლექტში, პასუხისმგებელია თავად ინტერფეისის შექმნაზე. ინტერფეისის შექმნის ბრძანება ჩაწერილია წინასწარ ოფციაში.

ტიპიური გვირაბის ინტერფეისის კონფიგურაციის მაგალითი:
ავტო საიტი 1
iface site1 inet static
მისამართი 192.168.1.4
ქსელური ნიღაბი 255.255.255.254
წინასწარი ip გვირაბის დამატება საიტის1 რეჟიმი gre local 10.111.21.3 დისტანციური 10.111.22.3 გასაღები hfLYEg^vCh6p

მიაქციეთ ყურადღება უნდა აღინიშნოს, რომ გვირაბის ინტერფეისების პარამეტრები უნდა განთავსდეს განყოფილების გარეთ

###netifcfg-დაიწყება###
*****
###netifcfg-ბოლო###

წინააღმდეგ შემთხვევაში, ეს პარამეტრები გადაიწერება ფიზიკური ინტერფეისების ქსელის პარამეტრების შეცვლისას Cisco-ს მსგავსი კონსოლის საშუალებით.

დინამიური მარშრუტიზაცია

S-Terra-ში დინამიური მარშრუტიზაცია ხორციელდება Quagga პროგრამული პაკეტის გამოყენებით. OSPF-ის კონფიგურაციისთვის საჭიროა დემონების ჩართვა და კონფიგურაცია zebra и ospfd. ზებრა დემონი პასუხისმგებელია მარშრუტიზაციის დემონებსა და OS-ს შორის კომუნიკაციაზე. ospfd დემონი, როგორც სახელიდან ჩანს, პასუხისმგებელია OSPF პროტოკოლის განხორციელებაზე.
OSPF კონფიგურირებულია დემონის კონსოლის მეშვეობით ან პირდაპირ კონფიგურაციის ფაილის მეშვეობით /etc/quagga/ospfd.conf. ფაილს ემატება ყველა ფიზიკური და გვირაბის ინტერფეისი, რომელიც მონაწილეობს დინამიურ მარშრუტიზაციაში, ასევე დეკლარირებულია ქსელები, რომლებიც განთავსდება რეკლამით და მიიღებენ განცხადებებს.

კონფიგურაციის მაგალითი, რომელიც უნდა დაემატოს ospfd.conf:
ინტერფეისი eth0
!
ინტერფეისი eth1
!
ინტერფეისის საიტი 1
!
ინტერფეისის საიტი 2
როუტერი ospf
ospf როუტერის ID 192.168.2.21
ქსელი 192.168.1.4/31 ფართობი 0.0.0.0
ქსელი 192.168.1.16/31 ფართობი 0.0.0.0
ქსელი 192.168.2.4/30 ფართობი 0.0.0.0

ამ შემთხვევაში, მისამართები 192.168.1.x/31 დაცულია გვირაბის ptp ქსელებისთვის საიტებს შორის, მისამართები 192.168.2.x/30 გამოყოფილია სატრანზიტო ქსელებისთვის CS და ბირთვის მარშრუტიზატორებს შორის.

მიაქციეთ ყურადღება დიდ დანადგარებში მარშრუტიზაციის ცხრილის შესამცირებლად, თქვენ შეგიძლიათ გაფილტროთ თავად სატრანზიტო ქსელების განცხადება კონსტრუქციების გამოყენებით. არ არის დაკავშირებული გადანაწილება ან დაკავშირებული მარშრუტის რუკის გადანაწილება.

დემონების კონფიგურაციის შემდეგ, თქვენ უნდა შეცვალოთ დემონების გაშვების სტატუსი /etc/quagga/daemons. ოფციებში zebra и ospfd არ იცვლება დიახ. დაიწყეთ quagga daemon და დააყენეთ ის ავტორუნზე, როდესაც დაიწყებთ KS ბრძანებას update-rc.d quagga ჩართვა.

თუ GRE გვირაბებისა და OSPF-ის კონფიგურაცია გაკეთდა სწორად, მაშინ სხვა საიტების ქსელში მარშრუტები უნდა გამოჩნდეს KSh და ძირითადი მარშრუტიზატორებზე და, ამრიგად, წარმოიქმნება ქსელის კავშირი ადგილობრივ ქსელებს შორის.

ჩვენ ვშიფრავთ გადაცემულ ტრაფიკს

როგორც უკვე დაიწერა, ჩვეულებრივ, საიტებს შორის დაშიფვრისას, ჩვენ ვაზუსტებთ IP მისამართის დიაპაზონებს (ACL), რომელთა შორისაც დაშიფრულია ტრაფიკი: თუ წყარო და დანიშნულების მისამართები ამ დიაპაზონშია, მაშინ მათ შორის ტრაფიკი დაშიფრულია. თუმცა, ამ პროექტში სტრუქტურა დინამიურია და მისამართები შეიძლება შეიცვალოს. მას შემდეგ, რაც ჩვენ უკვე დავაკონფიგურირეთ GRE გვირაბი, ჩვენ შეგვიძლია განვსაზღვროთ გარე KS მისამართები, როგორც წყაროს და დანიშნულების მისამართები ტრაფიკის დაშიფვრისთვის - ბოლოს და ბოლოს, ტრაფიკი, რომელიც უკვე ჩასმულია GRE პროტოკოლით, მოდის დაშიფვრისთვის. სხვა სიტყვებით რომ ვთქვათ, ყველაფერი, რაც შედის CS-ში ერთი საიტის ლოკალური ქსელიდან სხვა საიტების მიერ გამოცხადებულ ქსელებში, დაშიფრულია. და თითოეულ საიტზე შეიძლება განხორციელდეს ნებისმიერი გადამისამართება. ამგვარად, თუ ლოკალურ ქსელებში რაიმე ცვლილება შეინიშნება, ადმინისტრატორს მხოლოდ უნდა შეცვალოს თავისი ქსელიდან ქსელის მიმართ შემოსული განცხადებები და ის ხელმისაწვდომი გახდება სხვა საიტებისთვის.

S-Terra CS-ში დაშიფვრა ხორციელდება IPSec პროტოკოლის გამოყენებით. ჩვენ ვიყენებთ "Grasshopper" ალგორითმს GOST R 34.12-2015 შესაბამისად, ხოლო ძველ ვერსიებთან თავსებადობისთვის შეგიძლიათ გამოიყენოთ GOST 28147-89. ავთენტიფიკაცია ტექნიკურად შეიძლება განხორციელდეს როგორც წინასწარ განსაზღვრულ გასაღებებზე (PSK) და სერთიფიკატებზე. თუმცა, სამრეწველო ექსპლუატაციაში აუცილებელია GOST R 34.10-2012 შესაბამისად გაცემული სერთიფიკატების გამოყენება.

სერთიფიკატებთან, კონტეინერებთან და CRL-ებთან მუშაობა ხდება უტილიტის გამოყენებით cert_mgr. პირველ რიგში, ბრძანების გამოყენებით cert_mgr შექმნა აუცილებელია პირადი გასაღების კონტეინერის გენერირება და სერტიფიკატის მოთხოვნა, რომელიც გაიგზავნება სერტიფიკატების მართვის ცენტრში. სერთიფიკატის მიღების შემდეგ ის უნდა იყოს იმპორტირებული root CA სერთიფიკატთან და CRL (თუ გამოიყენება) ბრძანებით cert_mgr იმპორტი. თქვენ შეგიძლიათ დარწმუნდეთ, რომ ყველა სერთიფიკატი და CRL დაინსტალირებულია ბრძანებით cert_mgr შოუ.

სერთიფიკატების წარმატებით ინსტალაციის შემდეგ, გადადით Cisco-ს მსგავს კონსოლზე IPSec-ის კონფიგურაციისთვის.
ჩვენ ვქმნით IKE პოლიტიკას, რომელიც განსაზღვრავს შექმნილი უსაფრთხო არხის სასურველ ალგორითმებსა და პარამეტრებს, რომლებიც შესთავაზებენ პარტნიორს დასამტკიცებლად.

#კრიპტო ისაკმპ პოლიტიკა 1000
#encr gost341215k
#hash gost341112-512-tc26
#ავთენტიფიკაციის ნიშანი
#ჯგუფი vko2
#სიცოცხლე 3600

ეს პოლიტიკა გამოიყენება IPSec-ის პირველი ფაზის აშენებისას. პირველი ეტაპის წარმატებით დასრულების შედეგია SA (უსაფრთხოების ასოციაცია) დაარსება.
შემდეგი, ჩვენ უნდა განვსაზღვროთ წყაროსა და დანიშნულების IP მისამართების სია (ACL) დაშიფვრისთვის, გამოვმუშაოთ ტრანსფორმაციის ნაკრები, შევქმნათ კრიპტოგრაფიული რუკა (კრიპტო რუკა) და დავაკავშიროთ იგი CS-ის გარე ინტერფეისთან.

დააყენეთ ACL:
#ip Access-list გაფართოებული საიტი1
#permit gre host 10.111.21.3 host 10.111.22.3

ტრანსფორმაციების ნაკრები (იგივე როგორც პირველ ფაზაში, ჩვენ ვიყენებთ "Grasshopper" დაშიფვრის ალგორითმს სიმულაციური ჩანართის გენერაციის რეჟიმის გამოყენებით):

#კრიპტო ipsec ტრანსფორმაციის ნაკრები GOST esp-gost341215k-mac

ჩვენ ვქმნით კრიპტო რუკას, ვაზუსტებთ ACL-ს, გარდაქმნით კომპლექტს და თანატოლ მისამართს:

#კრიპტო რუკა MAIN 100 ipsec-isakmp
#match მისამართი საიტი1
#set transform-set GOST
#set peer 10.111.22.3

კრიპტო ბარათს ვამაგრებთ სალარო აპარატის გარე ინტერფეისს:

#interface GigabitEthernet0/0
#ip მისამართი 10.111.21.3 255.255.255.0
#კრიპტო რუკა MAIN

სხვა საიტებთან არხების დაშიფვრისთვის, თქვენ უნდა გაიმეოროთ ACL და კრიპტო ბარათის შექმნის პროცედურა, შეცვალოთ ACL სახელი, IP მისამართები და კრიპტო ბარათის ნომერი.

მიაქციეთ ყურადღება თუ სერტიფიკატის დადასტურება CRL-ით არ არის გამოყენებული, ეს ცალსახად უნდა იყოს მითითებული:

#crypto pki trustpoint s-terra_technological_trustpoint
#გაუქმება-შეამოწმეთ არცერთი

ამ ეტაპზე, დაყენება შეიძლება ჩაითვალოს დასრულებულად. Cisco-ს მსგავსი კონსოლის ბრძანების გამომავალში ჩვენება კრიპტო ისაკმპ სა и აჩვენე კრიპტო ipsec sa IPSec-ის აგებული პირველი და მეორე ფაზა უნდა იყოს ასახული. იგივე ინფორმაციის მიღება შესაძლებელია ბრძანების გამოყენებით sa_mgr შოუ, შესრულებულია დებიიან ჭურვიდან. ბრძანების გამომავალში cert_mgr შოუ დისტანციური საიტის სერთიფიკატები უნდა გამოჩნდეს. ასეთი სერთიფიკატების სტატუსი იქნება დისტანციური. თუ გვირაბები არ შენდება, თქვენ უნდა ნახოთ VPN სერვისის ჟურნალი, რომელიც ინახება ფაილში /var/log/cspvpngate.log. ჟურნალის ფაილების სრული სია მათი შინაარსის აღწერით ხელმისაწვდომია დოკუმენტაციაში.

სისტემის „ჯანმრთელობის“ მონიტორინგი

S-Terra CC იყენებს სტანდარტულ snmpd დემონს მონიტორინგისთვის. Linux-ის ტიპიური პარამეტრების გარდა, S-Terra მხარს უჭერს მონაცემთა გაცემას IPSec გვირაბების შესახებ CISCO-IPSEC-FLOW-MONITOR-MIB-ის შესაბამისად, რასაც ვიყენებთ IPSec გვირაბების სტატუსის მონიტორინგისას. ასევე მხარდაჭერილია მორგებული OID-ების ფუნქციონირება, რომლებიც აწარმოებენ სკრიპტის შესრულების შედეგებს მნიშვნელობებად. ეს ფუნქცია საშუალებას გვაძლევს თვალყური ადევნოთ სერტიფიკატის ვადის გასვლის თარიღებს. დაწერილი სკრიპტი აანალიზებს ბრძანების გამომავალს cert_mgr შოუ და შედეგად იძლევა დღეების რაოდენობას ლოკალური და ძირეული სერთიფიკატების ვადის ამოწურვამდე. ეს ტექნიკა შეუცვლელია დიდი რაოდენობით CABG-ების ადმინისტრირებისას.

რა სარგებელი მოაქვს ასეთ დაშიფვრას?

ზემოთ აღწერილი ყველა ფუნქციონალობა მხარს უჭერს S-Terra KSh-ს. ანუ, არ იყო საჭირო რაიმე დამატებითი მოდულის დაყენება, რამაც შეიძლება გავლენა მოახდინოს კრიპტო გეითვეიების სერტიფიცირებაზე და მთელი საინფორმაციო სისტემის სერტიფიცირებაზე. საიტებს შორის შეიძლება იყოს ნებისმიერი არხი, თუნდაც ინტერნეტით.

იმის გამო, რომ როდესაც შიდა ინფრასტრუქტურა იცვლება, არ არის საჭირო კრიპტო კარიბჭის ხელახალი კონფიგურაცია, სისტემა მუშაობს როგორც სერვისი, რაც ძალიან მოსახერხებელია მომხმარებლისთვის: მას შეუძლია განათავსოს თავისი სერვისები (კლიენტი და სერვერი) ნებისმიერ მისამართზე და ყველა ცვლილება დინამიურად გადაიცემა დაშიფვრის მოწყობილობას შორის.

რა თქმა უნდა, ზედნადები ხარჯების გამო დაშიფვრა (ზედნადები) გავლენას ახდენს მონაცემთა გადაცემის სიჩქარეზე, მაგრამ მხოლოდ ოდნავ - არხის გამტარუნარიანობა შეიძლება შემცირდეს მაქსიმუმ 5-10%-ით. ამავდროულად, ტექნოლოგია გამოცდილია და კარგი შედეგი აჩვენა სატელიტურ არხებზეც კი, რომლებიც საკმაოდ არასტაბილურია და აქვთ დაბალი გამტარობა.

იგორ ვინოხოდოვი, როსტელეკომ-სოლარის ადმინისტრაციის მე-2 ხაზის ინჟინერი

წყარო: www.habr.com