ការដំឡើង IPSec Site-to-Site VPN នៅលើឧបករណ៍ Palo Alto Networks

អត្ថបទនេះគឺជាការបន្ត សម្ភារៈពីមុនឧទ្ទិសដល់ភាពជាក់លាក់នៃការដំឡើងឧបករណ៍ បណ្តាញ Palo Alto . នៅទីនេះយើងចង់និយាយអំពីការរៀបចំ IPSec VPN ពីគេហទំព័រទៅគេហទំព័រ នៅលើឧបករណ៍ បណ្តាញ Palo Alto និងអំពីជម្រើសនៃការកំណត់រចនាសម្ព័ន្ធដែលអាចមានសម្រាប់ភ្ជាប់អ្នកផ្តល់សេវាអ៊ីនធឺណិតមួយចំនួន។

សម្រាប់​ការ​ធ្វើ​បាតុកម្ម គម្រោង​ស្តង់ដារ​សម្រាប់​ភ្ជាប់​ការិយាល័យ​កណ្តាល​ទៅ​សាខា​នឹង​ត្រូវ​បាន​ប្រើ។ ដើម្បីផ្តល់នូវការតភ្ជាប់អ៊ីធឺណិតដែលមានកំហុស ការិយាល័យកណ្តាលប្រើប្រាស់ការតភ្ជាប់ដំណាលគ្នានៃអ្នកផ្តល់សេវាពីរគឺ ISP-1 និង ISP-2 ។ សាខាមានការតភ្ជាប់ទៅកាន់អ្នកផ្តល់សេវាតែមួយគឺ ISP-3។ ផ្លូវរូងក្រោមដីពីរត្រូវបានសាងសង់រវាងជញ្ជាំងភ្លើង PA-1 និង PA-2 ។ ផ្លូវរូងក្រោមដីដំណើរការនៅក្នុងរបៀប សកម្ម-រង់ចាំ, Tunnel-1 គឺសកម្ម, Tunnel-2 នឹងចាប់ផ្តើមបញ្ជូនចរាចរណ៍នៅពេលដែល Tunnel-1 បរាជ័យ។ Tunnel-1 ប្រើការតភ្ជាប់ទៅ ISP-1, Tunnel-2 ប្រើការតភ្ជាប់ទៅ ISP-2 ។ អាសយដ្ឋាន IP ទាំងអស់ត្រូវបានបង្កើតដោយចៃដន្យសម្រាប់គោលបំណងបង្ហាញ ហើយមិនមានទំនាក់ទំនងជាមួយការពិតទេ។

ដើម្បីបង្កើត VPN ពីគេហទំព័រមួយទៅគេហទំព័រមួយនឹងត្រូវបានប្រើ អាយភីស៊ី - សំណុំនៃពិធីការដើម្បីធានាការការពារទិន្នន័យដែលបានបញ្ជូនតាមរយៈ IP ។ អាយភីស៊ី នឹងដំណើរការដោយប្រើពិធីការសុវត្ថិភាព វិស័យអប់រំ (Encapsulating Security Payload) ដែលនឹងធានាបាននូវការអ៊ិនគ្រីបទិន្នន័យដែលបានបញ្ជូន។

В អាយភីស៊ី ចូល អាយ (Internet Key Exchange) គឺជាពិធីការដែលទទួលខុសត្រូវក្នុងការចរចា SA (សមាគមសន្តិសុខ) ប៉ារ៉ាម៉ែត្រសុវត្ថិភាពដែលត្រូវបានប្រើដើម្បីការពារទិន្នន័យដែលបានបញ្ជូន។ គាំទ្រជញ្ជាំងភ្លើង PAN IKEv1 и IKEv2.

В IKEv1 ការតភ្ជាប់ VPN ត្រូវបានបង្កើតឡើងជាពីរដំណាក់កាល៖ IKEv1 ដំណាក់កាលទី 1 (ផ្លូវរូងក្រោមដី IKE) និង IKEv1 ដំណាក់កាលទី 2 (ផ្លូវរូងក្រោមដី IPSec) ដូច្នេះ ផ្លូវរូងក្រោមដីពីរត្រូវបានបង្កើតឡើង ដែលមួយត្រូវបានប្រើសម្រាប់ការផ្លាស់ប្តូរព័ត៌មានសេវាកម្មរវាងជញ្ជាំងភ្លើង ទីពីរសម្រាប់ការបញ្ជូនចរាចរណ៍។ IN IKEv1 ដំណាក់កាលទី 1 មានរបៀបប្រតិបត្តិការពីរ - របៀបចម្បង និងរបៀបឈ្លានពាន។ មុខងារ​ឈ្លានពាន​ប្រើ​សារ​តិច​ជាង និង​លឿន​ជាង ប៉ុន្តែ​មិន​គាំទ្រ​ការ​ការពារ​អត្តសញ្ញាណ​មិត្តភ័ក្ដិ​ទេ។

IKEv2 ជំនួស IKEv1ហើយបើប្រៀបធៀបទៅនឹង IKEv1 អត្ថប្រយោជន៍ចម្បងរបស់វាគឺតម្រូវការកម្រិតបញ្ជូនទាប និងការចរចា SA លឿនជាងមុន។ IN IKEv2 សារសេវាកម្មតិចជាងមុនត្រូវបានប្រើប្រាស់ (សរុបចំនួន 4) ពិធីការ EAP និង MOBIKE ត្រូវបានគាំទ្រ ហើយយន្តការមួយត្រូវបានបន្ថែមដើម្បីពិនិត្យមើលភាពអាចរកបាននៃបណ្តាញទំនាក់ទំនងដែលផ្លូវរូងក្រោមដីត្រូវបានបង្កើត - ពិនិត្យភាពរស់រវើកជំនួស Dead Peer Detection នៅក្នុង IKEv1។ ប្រសិនបើការត្រួតពិនិត្យបរាជ័យ IKEv2 អាចកំណត់ផ្លូវរូងក្រោមដីឡើងវិញ ហើយបន្ទាប់មកស្ដារវាដោយស្វ័យប្រវត្តិនៅឱកាសដំបូង។ អ្នកអាចស្វែងយល់បន្ថែមអំពីភាពខុសគ្នា សូមអាននៅទីនេះ.

ប្រសិនបើផ្លូវរូងក្រោមដីត្រូវបានសាងសង់រវាងជញ្ជាំងភ្លើងពីក្រុមហ៊ុនផលិតផ្សេងៗគ្នា នោះប្រហែលជាមានកំហុសក្នុងការអនុវត្ត IKEv2ហើយសម្រាប់ភាពឆបគ្នាជាមួយឧបករណ៍បែបនេះ វាអាចប្រើប្រាស់បាន។ IKEv1. ក្នុងករណីផ្សេងទៀតវាល្អប្រសើរជាងក្នុងការប្រើ IKEv2.

ជំហានដំឡើង៖

• ការកំណត់រចនាសម្ព័ន្ធអ្នកផ្តល់សេវាអ៊ីនធឺណិតពីរនៅក្នុងរបៀប ActiveStandby

មានវិធីជាច្រើនដើម្បីអនុវត្តមុខងារនេះ។ មួយក្នុងចំណោមពួកគេគឺត្រូវប្រើយន្តការ ការត្រួតពិនិត្យផ្លូវដែលអាចប្រើបានដោយចាប់ផ្តើមពីកំណែ PAN-OS 8.0.0. ឧទាហរណ៍នេះប្រើកំណែ 8.0.16 ។ លក្ខណៈពិសេសនេះគឺស្រដៀងទៅនឹង IP SLA នៅក្នុងរ៉ោតទ័រ Cisco ។ ប៉ារ៉ាម៉ែត្រផ្លូវលំនាំដើមឋិតិវន្តកំណត់រចនាសម្ព័ន្ធការផ្ញើកញ្ចប់ព័ត៌មាន ping ទៅអាសយដ្ឋាន IP ជាក់លាក់ពីអាសយដ្ឋានប្រភពជាក់លាក់មួយ។ ក្នុងករណីនេះ ចំណុចប្រទាក់ ethernet1/1 ping gateway លំនាំដើមម្តងក្នុងមួយវិនាទី។ ប្រសិនបើមិនមានការឆ្លើយតបទៅនឹង pings បីក្នុងមួយជួរទេនោះ ផ្លូវត្រូវបានចាត់ទុកថាខូច ហើយដកចេញពីតារាងនាំផ្លូវ។ ផ្លូវដូចគ្នានេះត្រូវបានកំណត់រចនាសម្ព័ន្ធឆ្ពោះទៅរកអ្នកផ្តល់សេវាអ៊ីនធឺណិតទីពីរ ប៉ុន្តែជាមួយនឹងម៉ែត្រខ្ពស់ជាង (វាគឺជាការបម្រុងទុកមួយ) ។ នៅពេលដែលផ្លូវទីមួយត្រូវបានដកចេញពីតារាង ជញ្ជាំងភ្លើងនឹងចាប់ផ្តើមបញ្ជូនចរាចរណ៍តាមរយៈផ្លូវទីពីរ − បរាជ័យ-លើស. នៅពេលដែលអ្នកផ្តល់សេវាទីមួយចាប់ផ្តើមឆ្លើយតបទៅនឹង pings ផ្លូវរបស់វានឹងត្រលប់ទៅតារាងវិញ ហើយជំនួសអ្នកទីពីរដោយសារតែម៉ែត្រដែលប្រសើរជាង - បរាជ័យ-ថយក្រោយ. ដំណើរការ បរាជ័យ-លើស ចំណាយពេលពីរបីវិនាទីអាស្រ័យលើចន្លោះពេលដែលបានកំណត់រចនាសម្ព័ន្ធ ប៉ុន្តែក្នុងករណីណាក៏ដោយ ដំណើរការមិនភ្លាមៗទេ ហើយក្នុងអំឡុងពេលនេះចរាចរណ៍ត្រូវបានបាត់បង់។ បរាជ័យ-ថយក្រោយ ឆ្លងកាត់ដោយមិនបាត់បង់ចរាចរណ៍។ មានឱកាសធ្វើ បរាជ័យ-លើស លឿនជាងមុនជាមួយ ប៊ីអេហ្វឌីប្រសិនបើអ្នកផ្តល់អ៊ីនធឺណិតផ្តល់ឱកាសបែបនេះ។ ប៊ីអេហ្វឌី គាំទ្រដោយចាប់ផ្តើមពីគំរូ ស៊េរី PA-3000 и VM-២០៨៣. វាជាការប្រសើរជាងក្នុងការបញ្ជាក់មិនមែនច្រកផ្លូវរបស់អ្នកផ្តល់សេវាជាអាសយដ្ឋាន ping នោះទេ ប៉ុន្តែជាសាធារណៈ ដែលតែងតែអាចចូលប្រើអាសយដ្ឋានអ៊ីនធឺណិតបាន។

• ការបង្កើតចំណុចប្រទាក់ផ្លូវរូងក្រោមដី

ចរាចរណ៍នៅខាងក្នុងផ្លូវរូងក្រោមដីត្រូវបានបញ្ជូនតាមរយៈចំណុចប្រទាក់និម្មិតពិសេស។ ពួកគេម្នាក់ៗត្រូវតែកំណត់រចនាសម្ព័ន្ធជាមួយអាសយដ្ឋាន IP ពីបណ្តាញឆ្លងកាត់។ ក្នុងឧទាហរណ៍នេះ ស្ថានីយ៍រង 1/172.16.1.0 នឹងត្រូវបានប្រើសម្រាប់ Tunnel-30 ហើយស្ថានីយរង 2/172.16.2.0 នឹងត្រូវបានប្រើសម្រាប់ Tunnel-30 ។
ចំណុចប្រទាក់ផ្លូវរូងក្រោមដីត្រូវបានបង្កើតនៅក្នុងផ្នែក បណ្តាញ -> ចំណុចប្រទាក់ -> ផ្លូវរូងក្រោមដី. អ្នកត្រូវតែបញ្ជាក់រ៉ោតទ័រនិម្មិត និងតំបន់សុវត្ថិភាព ក៏ដូចជាអាសយដ្ឋាន IP ពីបណ្តាញដឹកជញ្ជូនដែលត្រូវគ្នា។ លេខចំណុចប្រទាក់អាចជាអ្វីក៏បាន។

ផ្នែក កម្រិតខ្ពស់ អាចត្រូវបានបញ្ជាក់ ប្រវត្តិរូបគ្រប់គ្រងដែលនឹងអនុញ្ញាតឱ្យ ping នៅលើចំណុចប្រទាក់ដែលបានផ្តល់ឱ្យ វាអាចមានប្រយោជន៍សម្រាប់ការធ្វើតេស្ត។

• ការដំឡើងទម្រង់ IKE

ប្រវត្តិរូប IKE ទទួលខុសត្រូវចំពោះដំណាក់កាលដំបូងនៃការបង្កើតការតភ្ជាប់ VPN ប៉ារ៉ាម៉ែត្រផ្លូវរូងក្រោមដីត្រូវបានបញ្ជាក់នៅទីនេះ IKE ដំណាក់កាលទី 1. ទម្រង់ត្រូវបានបង្កើតនៅក្នុងផ្នែក បណ្តាញ -> ទម្រង់បណ្តាញ -> IKE Crypto. វាចាំបាច់ដើម្បីបញ្ជាក់ក្បួនដោះស្រាយការអ៊ិនគ្រីប ក្បួនដោះស្រាយ hashing ក្រុម Diffie-Hellman និងអាយុកាលសោ។ ជាទូទៅ ក្បួនដោះស្រាយកាន់តែស្មុគស្មាញ ការអនុវត្តកាន់តែអាក្រក់ ពួកគេគួរតែត្រូវបានជ្រើសរើសដោយផ្អែកលើតម្រូវការសុវត្ថិភាពជាក់លាក់។ ទោះជាយ៉ាងណាក៏ដោយ វាមិនត្រូវបានណែនាំយ៉ាងតឹងរឹងឱ្យប្រើក្រុម Diffie-Hellman ក្រោមអាយុ 14 ឆ្នាំ ដើម្បីការពារព័ត៌មានរសើបនោះទេ។ នេះគឺដោយសារតែភាពងាយរងគ្រោះនៃពិធីការ ដែលអាចកាត់បន្ថយបានតែដោយប្រើទំហំម៉ូឌុលនៃ 2048 ប៊ីត និងខ្ពស់ជាងនេះ ឬក្បួនដោះស្រាយការគ្រីបរាងអេលីបទិក ដែលត្រូវបានប្រើក្នុងក្រុម 19, 20, 21, 24។ ក្បួនដោះស្រាយទាំងនេះមានប្រសិទ្ធភាពជាងបើប្រៀបធៀបទៅនឹង ការគ្រីបប្រពៃណី។ សូមអានបន្ថែមនៅទីនេះ។ និង នៅទីនេះ.

• ការដំឡើងទម្រង់ IPSec

ដំណាក់កាលទីពីរនៃការបង្កើតការតភ្ជាប់ VPN គឺផ្លូវរូងក្រោមដី IPSec ។ ប៉ារ៉ាម៉ែត្រ SA សម្រាប់វាត្រូវបានតំឡើងនៅក្នុង បណ្តាញ -> ទម្រង់បណ្តាញ -> ទម្រង់គ្រីបតូ IPSec. នៅទីនេះអ្នកត្រូវបញ្ជាក់ពិធីការ IPSec - AH ឬ វិស័យអប់រំក៏ដូចជាប៉ារ៉ាម៉ែត្រ SA - ក្បួនដោះស្រាយ hashing, encryption, Diffie-Hellman group និង key lifetime។ ប៉ារ៉ាម៉ែត្រ SA នៅក្នុង IKE Crypto Profile និង IPSec Crypto Profile ប្រហែលជាមិនដូចគ្នាទេ។

• ការកំណត់រចនាសម្ព័ន្ធ IKE Gateway

IKE Gateway - នេះគឺជាវត្ថុដែលកំណត់រ៉ោតទ័រ ឬជញ្ជាំងភ្លើង ដែលផ្លូវរូងក្រោមដី VPN ត្រូវបានបង្កើតឡើង។ សម្រាប់ផ្លូវរូងក្រោមដីនីមួយៗអ្នកត្រូវបង្កើតដោយខ្លួនឯង។ IKE Gateway. ក្នុងករណីនេះ ផ្លូវរូងក្រោមដីពីរត្រូវបានបង្កើតឡើង ដែលមួយតាមរយៈអ្នកផ្តល់អ៊ីនធឺណិតនីមួយៗ។ ចំណុចប្រទាក់ចេញដែលត្រូវគ្នា និងអាសយដ្ឋាន IP របស់វា អាសយដ្ឋាន IP ដូចគ្នា និងសោដែលបានចែករំលែកត្រូវបានចង្អុលបង្ហាញ។ វិញ្ញាបនបត្រអាចត្រូវបានប្រើជាជម្រើសជំនួសសោដែលបានចែករំលែក។

ឯកសារដែលបានបង្កើតពីមុនត្រូវបានចង្អុលបង្ហាញនៅទីនេះ ប្រវត្តិរូប IKE Crypto. ប៉ារ៉ាម៉ែត្រនៃវត្ថុទីពីរ IKE Gateway ស្រដៀងគ្នា លើកលែងតែអាសយដ្ឋាន IP ។ ប្រសិនបើជញ្ជាំងភ្លើង Palo Alto Networks មានទីតាំងនៅខាងក្រោយរ៉ោតទ័រ NAT នោះអ្នកត្រូវបើកយន្តការ NAT ឆ្លងកាត់.

• ការដំឡើង IPSec Tunnel

ផ្លូវរូងក្រោមដី IPSec គឺជាវត្ថុដែលបញ្ជាក់ប៉ារ៉ាម៉ែត្រផ្លូវរូងក្រោមដី IPSec ដូចដែលឈ្មោះបានបង្ហាញ។ នៅទីនេះអ្នកត្រូវបញ្ជាក់ចំណុចប្រទាក់ផ្លូវរូងក្រោមដី និងវត្ថុដែលបានបង្កើតពីមុន IKE Gateway, ប្រវត្តិរូបគ្រីបតូ IPSec. ដើម្បីធានាបាននូវការប្តូរដោយស្វ័យប្រវត្តិនៃផ្លូវទៅកាន់ផ្លូវរូងក្រោមដីបម្រុងទុក អ្នកត្រូវតែបើកដំណើរការ ម៉ូនីទ័រផ្លូវរូងក្រោមដី. នេះគឺជាយន្តការដែលពិនិត្យមើលថាតើមិត្តភក្ដិម្នាក់នៅរស់ដោយប្រើចរាចរណ៍ ICMP ដែរឬទេ។ ក្នុងនាមជាអាសយដ្ឋានគោលដៅ អ្នកត្រូវបញ្ជាក់អាសយដ្ឋាន IP នៃចំណុចប្រទាក់ផ្លូវរូងក្រោមដីរបស់មិត្តភ័ក្តិដែលផ្លូវរូងក្រោមដីកំពុងត្រូវបានសាងសង់។ កម្រងព័ត៌មានបញ្ជាក់កម្មវិធីកំណត់ម៉ោង និងសកម្មភាព នៅពេលការភ្ជាប់ត្រូវបានបាត់បង់។ រង់ចាំការងើបឡើងវិញ - រង់ចាំរហូតដល់ការតភ្ជាប់ត្រូវបានស្តារឡើងវិញ។ បរាជ័យលើស — ផ្ញើចរាចរណ៍តាមផ្លូវផ្សេង ប្រសិនបើមាន។ ការដំឡើងផ្លូវរូងក្រោមដីទីពីរគឺស្រដៀងគ្នាទាំងស្រុង ចំណុចប្រទាក់ផ្លូវរូងក្រោមដីទីពីរ និង IKE Gateway ត្រូវបានបញ្ជាក់។

• ការកំណត់ផ្លូវ

ឧទាហរណ៍នេះប្រើផ្លូវឋិតិវន្ត។ នៅលើជញ្ជាំងភ្លើង PA-1 បន្ថែមពីលើផ្លូវលំនាំដើមពីរ អ្នកត្រូវបញ្ជាក់ផ្លូវពីរទៅកាន់បណ្តាញរង 10.10.10.0/24 នៅក្នុងសាខា។ ផ្លូវមួយប្រើផ្លូវរូងក្រោមដី-1 និងផ្លូវរូងក្រោមដី-2 ផ្សេងទៀត។ ផ្លូវឆ្លងកាត់ Tunnel-1 គឺជាផ្លូវសំខាន់ព្រោះវាមានម៉ែត្រទាបជាង។ យន្តការ ការត្រួតពិនិត្យផ្លូវ មិនត្រូវបានប្រើសម្រាប់ផ្លូវទាំងនេះទេ។ ទទួលខុសត្រូវចំពោះការប្តូរ ម៉ូនីទ័រផ្លូវរូងក្រោមដី.

ផ្លូវដូចគ្នាសម្រាប់បណ្តាញរង 192.168.30.0/24 ចាំបាច់ត្រូវកំណត់រចនាសម្ព័ន្ធនៅលើ PA-2។

• ការបង្កើតច្បាប់បណ្តាញ

ដើម្បីឱ្យផ្លូវរូងក្រោមដីដំណើរការ ច្បាប់ចំនួនបីគឺចាំបាច់៖

1. ទៅធ្វើការ។ ម៉ូនីទ័រផ្លូវ អនុញ្ញាត ICMP នៅលើចំណុចប្រទាក់ខាងក្រៅ។
2. សម្រាប់ អាយភីស៊ី អនុញ្ញាតកម្មវិធី អាយ и ipsec នៅលើចំណុចប្រទាក់ខាងក្រៅ។
3. អនុញ្ញាតចរាចរណ៍រវាងបណ្តាញរងខាងក្នុង និងចំណុចប្រទាក់ផ្លូវរូងក្រោមដី។

សេចក្តីសន្និដ្ឋាន

អត្ថបទនេះពិភាក្សាអំពីជម្រើសនៃការដំឡើងការតភ្ជាប់អ៊ីធឺណិតដែលមានកំហុស និង VPN ពីគេហទំព័រមួយទៅគេហទំព័រ. យើងសង្ឃឹមថាព័ត៌មានមានប្រយោជន៍ ហើយអ្នកអានទទួលបានគំនិតអំពីបច្ចេកវិទ្យាដែលបានប្រើ បណ្តាញ Palo Alto. ប្រសិនបើអ្នកមានសំណួរអំពីការរៀបចំ និងការផ្ដល់យោបល់លើប្រធានបទសម្រាប់អត្ថបទនាពេលអនាគត សូមសរសេរវានៅក្នុងមតិយោបល់ យើងនឹងរីករាយក្នុងការឆ្លើយ។

ប្រភព: www.habr.com