យើងអ៊ិនគ្រីបយោងទៅតាម GOST៖ ការណែនាំក្នុងការដំឡើងការបញ្ជូនចរាចរថាមវន្ត

ប្រសិនបើក្រុមហ៊ុនរបស់អ្នកបញ្ជូន ឬទទួលទិន្នន័យផ្ទាល់ខ្លួន និងព័ត៌មានសម្ងាត់ផ្សេងទៀតនៅលើបណ្តាញដែលជាកម្មវត្ថុនៃការការពារស្របតាមច្បាប់ វាត្រូវបានទាមទារឱ្យប្រើការអ៊ិនគ្រីប GOST ។ ថ្ងៃនេះយើងនឹងប្រាប់អ្នកពីរបៀបដែលយើងអនុវត្តការអ៊ិនគ្រីបបែបនេះដោយផ្អែកលើ S-Terra crypto gateway (CS) នៅអតិថិជនម្នាក់។ រឿងនេះនឹងមានការចាប់អារម្មណ៍ចំពោះអ្នកឯកទេសសន្តិសុខព័ត៌មាន ក៏ដូចជាវិស្វករ អ្នករចនា និងស្ថាបត្យករ។ យើងនឹងមិនជ្រៀតជ្រែកជ្រៅទៅក្នុងភាពខុសប្លែកគ្នានៃការកំណត់រចនាសម្ព័ន្ធបច្ចេកទេសនៅក្នុងការប្រកាសនេះទេ យើងនឹងផ្តោតលើចំណុចសំខាន់ៗនៃការរៀបចំមូលដ្ឋាន។ បរិមាណដ៏ធំនៃឯកសារស្តីពីការបង្កើតដេមិន Linux OS ដែល S-Terra CS មានមូលដ្ឋាន គឺអាចរកបានដោយសេរីនៅលើអ៊ីនធឺណិត។ ឯកសារសម្រាប់ដំឡើងកម្មវិធី S-Terra ដែលមានកម្មសិទ្ធិក៏មានជាសាធារណៈនៅលើ វិបផតថល ក្រុមហ៊ុនផលិត។

ពាក្យពីរបីអំពីគម្រោង

បណ្តាញទំនាក់ទំនងរបស់អតិថិជនគឺស្តង់ដារ - សំណាញ់ពេញលេញរវាងមជ្ឈមណ្ឌល និងសាខា។ វាចាំបាច់ក្នុងការណែនាំការអ៊ិនគ្រីបនៃបណ្តាញផ្លាស់ប្តូរព័ត៌មានរវាងគេហទំព័រទាំងអស់ដែលក្នុងនោះមាន 8 ។

ជាធម្មតានៅក្នុងគម្រោងបែបនេះ អ្វីគ្រប់យ៉ាងគឺឋិតិវន្ត៖ ផ្លូវឋិតិវន្តទៅកាន់បណ្តាញមូលដ្ឋាននៃគេហទំព័រត្រូវបានកំណត់នៅលើ crypto gateways (CGs) បញ្ជីអាសយដ្ឋាន IP (ACL) សម្រាប់ការអ៊ិនគ្រីបត្រូវបានចុះឈ្មោះ។ ទោះយ៉ាងណាក៏ដោយ ក្នុងករណីនេះ គេហទំព័រមិនមានការគ្រប់គ្រងកណ្តាលទេ ហើយអ្វីៗអាចកើតឡើងនៅក្នុងបណ្តាញមូលដ្ឋានរបស់ពួកគេ៖ បណ្តាញអាចត្រូវបានបន្ថែម លុប និងកែប្រែតាមគ្រប់មធ្យោបាយដែលអាចធ្វើទៅបាន។ ដើម្បីជៀសវាងការកំណត់រចនាសម្ព័ន្ធផ្លូវ និង ACL ឡើងវិញនៅលើ KS នៅពេលផ្លាស់ប្តូរអាសយដ្ឋាននៃបណ្តាញមូលដ្ឋាននៅកន្លែងនោះ វាត្រូវបានសម្រេចចិត្តប្រើផ្លូវរូងក្រោមដី GRE និង OSPF ថាមវន្ត routing ដែលរួមបញ្ចូល KS និងរ៉ោតទ័រភាគច្រើននៅកម្រិតស្នូលបណ្តាញនៅលើគេហទំព័រ ( នៅកន្លែងខ្លះ អ្នកគ្រប់គ្រងហេដ្ឋារចនាសម្ព័ន្ធចូលចិត្តប្រើ SNAT ឆ្ពោះទៅរក KS នៅលើ kernel routers)។

ផ្លូវរូងក្រោមដី GRE បានអនុញ្ញាតឱ្យយើងដោះស្រាយបញ្ហាពីរ៖
1. ប្រើអាសយដ្ឋាន IP នៃចំណុចប្រទាក់ខាងក្រៅរបស់ CS សម្រាប់ការអ៊ិនគ្រីបនៅក្នុង ACL ដែលបិទបាំងរាល់ចរាចរណ៍ដែលបានផ្ញើទៅកាន់គេហទំព័រផ្សេងទៀត។
2. រៀបចំផ្លូវរូងក្រោមដី ptp រវាង CSs ដែលអនុញ្ញាតឱ្យអ្នកកំណត់រចនាសម្ព័ន្ធការនាំផ្លូវថាមវន្ត (ក្នុងករណីរបស់យើង MPLS L3VPN របស់អ្នកផ្តល់សេវាត្រូវបានរៀបចំរវាងគេហទំព័រ)។

អតិថិជនបានបញ្ជាឱ្យអនុវត្តការអ៊ិនគ្រីបជាសេវាកម្ម។ បើមិនដូច្នេះទេ គាត់នឹងមិនត្រឹមតែរក្សាច្រកចេញចូលគ្រីបតូ ឬផ្តល់ប្រភពពួកវាទៅឱ្យស្ថាប័នមួយចំនួនប៉ុណ្ណោះទេ ប៉ុន្តែថែមទាំងត្រួតពិនិត្យវដ្តជីវិតនៃវិញ្ញាបនបត្រការអ៊ិនគ្រីបដោយឯករាជ្យ បន្តពួកវាឱ្យទាន់ពេលវេលា និងដំឡើងថ្មី។

ហើយឥឡូវនេះអនុស្សរណៈពិតប្រាកដ - របៀបនិងអ្វីដែលយើងបានកំណត់រចនាសម្ព័ន្ធ

ចំណាំចំពោះប្រធានបទ CII: ការដំឡើងច្រកផ្លូវសម្ងាត់

ការរៀបចំបណ្តាញមូលដ្ឋាន

ជាដំបូង យើងបើកដំណើរការ CS ថ្មី ហើយចូលទៅក្នុងកុងសូលរដ្ឋបាល។ អ្នកគួរតែចាប់ផ្តើមដោយការផ្លាស់ប្តូរពាក្យសម្ងាត់អ្នកគ្រប់គ្រងដែលភ្ជាប់មកជាមួយ - ពាក្យបញ្ជា ផ្លាស់ប្តូរអ្នកគ្រប់គ្រងពាក្យសម្ងាត់អ្នកប្រើប្រាស់. បន្ទាប់មកអ្នកត្រូវអនុវត្តនីតិវិធីចាប់ផ្តើម (ពាក្យបញ្ជា ចាប់ផ្ដើម) ក្នុងអំឡុងពេលដែលទិន្នន័យអាជ្ញាប័ណ្ណត្រូវបានបញ្ចូល ហើយឧបករណ៍ចាប់សញ្ញាលេខចៃដន្យ (RNS) ត្រូវបានចាប់ផ្តើម។

យកចិត្តទុកដាក់! នៅពេលដែល S-Terra CC ត្រូវបានចាប់ផ្តើម គោលការណ៍សុវត្ថិភាពត្រូវបានបង្កើតឡើង ដែលចំណុចប្រទាក់ច្រកទ្វារសុវត្ថិភាពមិនអនុញ្ញាតឱ្យកញ្ចប់ព័ត៌មានឆ្លងកាត់។ អ្នកត្រូវតែបង្កើតគោលការណ៍ផ្ទាល់ខ្លួនរបស់អ្នក ឬប្រើពាក្យបញ្ជា ដំណើរការ csconf_mgr ធ្វើឱ្យសកម្ម បើកដំណើរការគោលការណ៍អនុញ្ញាតដែលបានកំណត់ជាមុន។
បន្ទាប់មកអ្នកត្រូវកំណត់រចនាសម្ព័ន្ធអាសយដ្ឋាននៃចំណុចប្រទាក់ខាងក្រៅ និងខាងក្នុង ក៏ដូចជាផ្លូវលំនាំដើម។ វាជាការប្រសើរក្នុងការធ្វើការជាមួយការកំណត់រចនាសម្ព័ន្ធបណ្តាញ CS និងកំណត់រចនាសម្ព័ន្ធការអ៊ិនគ្រីបតាមរយៈកុងសូលដូច Cisco ។ កុងសូលនេះត្រូវបានរចនាឡើងដើម្បីបញ្ចូលពាក្យបញ្ជាស្រដៀងនឹងពាក្យបញ្ជា Cisco IOS ។ ការ​កំណត់​រចនាសម្ព័ន្ធ​ដែល​បាន​បង្កើត​ដោយ​ប្រើ​កុងសូល​ដូច Cisco គឺ​ត្រូវ​បាន​បំប្លែង​ទៅ​ជា​ឯកសារ​កំណត់​រចនាសម្ព័ន្ធ​ដែល​ត្រូវ​គ្នា​ដែល​ដេមិន OS ដំណើរការ។ អ្នកអាចចូលទៅកាន់កុងសូលដូច Cisco ពីកុងសូលរដ្ឋបាលដោយប្រើពាក្យបញ្ជា កំណត់រចនាសម្ព័ន្ធ.

ផ្លាស់ប្តូរពាក្យសម្ងាត់សម្រាប់ cscons អ្នកប្រើប្រាស់ដែលភ្ជាប់មកជាមួយ ហើយបើក៖

> បើក
ពាក្យសម្ងាត់៖ csp (ដំឡើងជាមុន)
# កំណត់រចនាសម្ព័ន្ធស្ថានីយ
#username cscons privilege 15 secret 0 #enable secret 0 រៀបចំការកំណត់បណ្តាញមូលដ្ឋាន៖

#ចំណុចប្រទាក់ GigabitEthernet0/0
#អាសយដ្ឋាន ip 10.111.21.3 255.255.255.0
# គ្មានការបិទ
#ចំណុចប្រទាក់ GigabitEthernet0/1
#អាសយដ្ឋាន ip 192.168.2.5 255.255.255.252
# គ្មានការបិទ
#ip ផ្លូវ 0.0.0.0 0.0.0.0 10.111.21.254

GRE

ចេញពីកុងសូលដូច Cisco ហើយចូលទៅកាន់សែល debian ដោយប្រើពាក្យបញ្ជា ប្រព័ន្ធ. កំណត់ពាក្យសម្ងាត់ផ្ទាល់ខ្លួនរបស់អ្នកសម្រាប់អ្នកប្រើប្រាស់ ជា root ក្រុម passwd.
នៅក្នុងបន្ទប់ត្រួតពិនិត្យនីមួយៗ ផ្លូវរូងក្រោមដីដាច់ដោយឡែកមួយត្រូវបានកំណត់រចនាសម្ព័ន្ធសម្រាប់គេហទំព័រនីមួយៗ។ ចំណុចប្រទាក់ផ្លូវរូងក្រោមដីត្រូវបានកំណត់រចនាសម្ព័ន្ធនៅក្នុងឯកសារ / etc / បណ្តាញ / ចំណុចប្រទាក់. ឧបករណ៍ប្រើប្រាស់ផ្លូវរូងក្រោមដី IP ដែលរួមបញ្ចូលនៅក្នុងសំណុំ iproute2 ដែលបានដំឡើងជាមុន ទទួលខុសត្រូវចំពោះការបង្កើតចំណុចប្រទាក់ដោយខ្លួនឯង។ ពាក្យបញ្ជាបង្កើតចំណុចប្រទាក់ត្រូវបានសរសេរទៅក្នុងជម្រើសជាមុន។

ការកំណត់រចនាសម្ព័ន្ធឧទាហរណ៍នៃចំណុចប្រទាក់ផ្លូវរូងក្រោមដីធម្មតា៖
គេហទំព័រស្វ័យប្រវត្តិ ១
iface site1 inet static
អាសយដ្ឋាន 192.168.1.4
netmask 255.255.255.254
pre-up ip tunnel បន្ថែម site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p

យកចិត្តទុកដាក់! វាគួរតែត្រូវបានកត់សម្គាល់ថាការកំណត់សម្រាប់ចំណុចប្រទាក់ផ្លូវរូងក្រោមដីត្រូវតែមានទីតាំងនៅខាងក្រៅផ្នែក

###netifcfg-ចាប់ផ្តើម###
*****
###netifcfg-end###

បើមិនដូច្នោះទេ ការកំណត់ទាំងនេះនឹងត្រូវបានសរសេរជាន់ពីលើ នៅពេលផ្លាស់ប្តូរការកំណត់បណ្តាញនៃចំណុចប្រទាក់ជាក់ស្តែងតាមរយៈកុងសូលដូច Cisco ។

ការកំណត់ផ្លូវថាមវន្ត

នៅក្នុង S-Terra ការនាំផ្លូវថាមវន្តត្រូវបានអនុវត្តដោយប្រើកញ្ចប់កម្មវិធី Quagga ។ ដើម្បីកំណត់រចនាសម្ព័ន្ធ OSPF យើងត្រូវបើក ​​និងកំណត់រចនាសម្ព័ន្ធដេមិន សេះបង្កង់ и ospfd. ដេមិន zebra ទទួលខុសត្រូវចំពោះការទំនាក់ទំនងរវាង routing daemons និង OS ។ ដេមិន ospfd ដូចដែលឈ្មោះបានបង្ហាញ ទទួលខុសត្រូវក្នុងការអនុវត្តពិធីការ OSPF ។
OSPF ត្រូវបានកំណត់រចនាសម្ព័ន្ធតាមរយៈកុងសូលដេមិន ឬដោយផ្ទាល់តាមរយៈឯកសារកំណត់រចនាសម្ព័ន្ធ /etc/quagga/ospfd.conf. ចំណុចប្រទាក់រូបវន្ត និងផ្លូវរូងក្រោមដីទាំងអស់ដែលចូលរួមក្នុងការបញ្ជូនផ្លូវថាមវន្តត្រូវបានបញ្ចូលទៅក្នុងឯកសារ ហើយបណ្តាញដែលនឹងត្រូវបានផ្សព្វផ្សាយ និងទទួលការប្រកាសក៏ត្រូវបានប្រកាសផងដែរ។

ឧទាហរណ៍នៃការកំណត់រចនាសម្ព័ន្ធដែលត្រូវការបន្ថែមទៅ ospfd.conf:
ចំណុចប្រទាក់ eth0
!
ចំណុចប្រទាក់ eth1
!
ចំណុចប្រទាក់គេហទំព័រ 1
!
ចំណុចប្រទាក់គេហទំព័រ 2
រ៉ោតទ័រ ospf
ospf router-id 192.168.2.21
បណ្តាញ 192.168.1.4/31 តំបន់ 0.0.0.0
បណ្តាញ 192.168.1.16/31 តំបន់ 0.0.0.0
បណ្តាញ 192.168.2.4/30 តំបន់ 0.0.0.0

ក្នុងករណីនេះ អាសយដ្ឋាន 192.168.1.x/31 ត្រូវបានបម្រុងទុកសម្រាប់បណ្តាញ ptp ផ្លូវរូងក្រោមដីរវាងគេហទំព័រ អាសយដ្ឋាន 192.168.2.x/30 ត្រូវបានបម្រុងទុកសម្រាប់បណ្តាញឆ្លងកាត់រវាង CS និង រ៉ោតទ័រ ខឺណែល។

យកចិត្តទុកដាក់! ដើម្បីកាត់បន្ថយតារាងនាំផ្លូវក្នុងការដំឡើងធំៗ អ្នកអាចត្រងការផ្សាយពាណិជ្ជកម្មនៃបណ្តាញឆ្លងកាត់ដោយខ្លួនឯងដោយប្រើសំណង់ គ្មានការចែកចាយឡើងវិញបានភ្ជាប់ទេ។ ឬ ចែកចាយឡើងវិញនូវផែនទីផ្លូវដែលបានតភ្ជាប់.

បន្ទាប់ពីកំណត់រចនាសម្ព័ន្ធដេមិន អ្នកត្រូវផ្លាស់ប្តូរស្ថានភាពចាប់ផ្តើមនៃដេមិននៅក្នុង /etc/quagga/daemons. នៅក្នុងជម្រើស សេះបង្កង់ и ospfd គ្មានការផ្លាស់ប្តូរទៅបាទ។ ចាប់ផ្តើមដេមិន quagga ហើយកំណត់វាឱ្យដំណើរការដោយស្វ័យប្រវត្តិ នៅពេលអ្នកចាប់ផ្តើមពាក្យបញ្ជា KS ធ្វើឱ្យទាន់សម័យ-rc.d quagga បើក.

ប្រសិនបើការកំណត់រចនាសម្ព័ន្ធផ្លូវរូងក្រោមដី GRE និង OSPF ត្រូវបានធ្វើបានត្រឹមត្រូវ នោះផ្លូវនៅក្នុងបណ្តាញនៃគេហទំព័រផ្សេងទៀតគួរតែលេចឡើងនៅលើរ៉ោតទ័រ KSh និងស្នូល ហើយដូច្នេះការតភ្ជាប់បណ្តាញរវាងបណ្តាញមូលដ្ឋានកើតឡើង។

យើងអ៊ិនគ្រីបចរាចរណ៍ដែលបានបញ្ជូន

ដូចដែលត្រូវបានសរសេររួចហើយ ជាធម្មតានៅពេលអ៊ិនគ្រីបរវាងគេហទំព័រ យើងបញ្ជាក់ជួរអាសយដ្ឋាន IP (ACLs) រវាងចរាចរណ៍ដែលត្រូវបានអ៊ិនគ្រីប៖ ប្រសិនបើអាសយដ្ឋានប្រភព និងទិសដៅធ្លាក់ក្នុងជួរទាំងនេះ នោះចរាចរណ៍រវាងពួកវាត្រូវបានអ៊ិនគ្រីប។ ទោះយ៉ាងណាក៏ដោយ នៅក្នុងគម្រោងនេះ រចនាសម្ព័ន្ធគឺថាមវន្ត ហើយអាសយដ្ឋានអាចផ្លាស់ប្តូរ។ ដោយសារយើងបានកំណត់រចនាសម្ព័ន្ធផ្លូវរូងក្រោមដី GRE រួចហើយ យើងអាចបញ្ជាក់អាសយដ្ឋាន KS ខាងក្រៅជាអាសយដ្ឋានប្រភព និងទិសដៅសម្រាប់ការអ៊ិនគ្រីបចរាចរណ៍ - បន្ទាប់ពីទាំងអស់ ចរាចរណ៍ដែលត្រូវបានរុំព័ទ្ធដោយពិធីការ GRE មកដល់សម្រាប់ការអ៊ិនគ្រីប។ ម្យ៉ាងវិញទៀត អ្វីគ្រប់យ៉ាងដែលចូលទៅក្នុង CS ពីបណ្តាញមូលដ្ឋាននៃគេហទំព័រមួយឆ្ពោះទៅរកបណ្តាញដែលត្រូវបានប្រកាសដោយគេហទំព័រផ្សេងទៀតត្រូវបានអ៊ិនគ្រីប។ ហើយនៅក្នុងគេហទំព័រនីមួយៗ ការបញ្ជូនបន្តអាចត្រូវបានអនុវត្ត។ ដូច្នេះប្រសិនបើមានការផ្លាស់ប្តូរណាមួយនៅក្នុងបណ្តាញក្នុងស្រុក អ្នកគ្រប់គ្រងគ្រាន់តែត្រូវកែប្រែការប្រកាសដែលចេញមកពីបណ្តាញរបស់គាត់ទៅកាន់បណ្តាញប៉ុណ្ណោះ ហើយវានឹងអាចប្រើបានសម្រាប់គេហទំព័រផ្សេងទៀត។

ការអ៊ិនគ្រីបនៅក្នុង S-Terra CS ត្រូវបានអនុវត្តដោយប្រើពិធីការ IPSec ។ យើងប្រើក្បួនដោះស្រាយ "Grasshopper" ដោយអនុលោមតាម GOST R 34.12-2015 ហើយសម្រាប់ភាពឆបគ្នាជាមួយកំណែចាស់អ្នកអាចប្រើ GOST 28147-89 ។ ការផ្ទៀងផ្ទាត់ភាពត្រឹមត្រូវអាចត្រូវបានអនុវត្តតាមបច្ចេកទេសទាំងលើសោដែលបានកំណត់ជាមុន (PSKs) និងវិញ្ញាបនបត្រ។ ទោះជាយ៉ាងណាក៏ដោយនៅក្នុងប្រតិបត្តិការឧស្សាហកម្មវាចាំបាច់ត្រូវប្រើវិញ្ញាបនបត្រដែលចេញដោយអនុលោមតាម GOST R 34.10-2012 ។

ធ្វើការជាមួយវិញ្ញាបនបត្រ កុងតឺន័រ និង CRLs ត្រូវបានធ្វើដោយប្រើឧបករណ៍ប្រើប្រាស់ cert_mgr. ជាដំបូងនៃការទាំងអស់ដោយប្រើពាក្យបញ្ជា cert_mgr បង្កើត វាចាំបាច់ដើម្បីបង្កើតកុងតឺន័រសោឯកជន និងសំណើវិញ្ញាបនបត្រ ដែលនឹងត្រូវបញ្ជូនទៅមជ្ឈមណ្ឌលគ្រប់គ្រងវិញ្ញាបនបត្រ។ បន្ទាប់ពីទទួលបានវិញ្ញាបនបត្រ វាត្រូវតែត្រូវបាននាំចូលរួមជាមួយវិញ្ញាបនបត្រ CA root និង CRL (ប្រសិនបើប្រើ) ជាមួយនឹងពាក្យបញ្ជា ការនាំចូល cert_mgr. អ្នកអាចប្រាកដថាវិញ្ញាបនបត្រ និង CRLs ទាំងអស់ត្រូវបានដំឡើងជាមួយនឹងពាក្យបញ្ជា cert_mgr បង្ហាញ.

បន្ទាប់ពីដំឡើងវិញ្ញាបនបត្រដោយជោគជ័យ សូមចូលទៅកាន់កុងសូលដូច Cisco ដើម្បីកំណត់រចនាសម្ព័ន្ធ IPSec។
យើងបង្កើតគោលការណ៍ IKE ដែលបញ្ជាក់អំពីក្បួនដោះស្រាយ និងប៉ារ៉ាម៉ែត្រដែលចង់បាននៃប៉ុស្តិ៍សុវត្ថិភាពដែលកំពុងត្រូវបានបង្កើត ដែលនឹងត្រូវបានផ្តល់ជូនដៃគូសម្រាប់ការយល់ព្រម។

គោលការណ៍ #crypto isakmp 1000
#encr gost341215k
#hash gost341112-512-tc26
# សញ្ញាបញ្ជាក់
#ក្រុម vko2
#ជីវិត ៣៦០០

គោលការណ៍នេះត្រូវបានអនុវត្តនៅពេលសាងសង់ដំណាក់កាលដំបូងនៃ IPSec ។ លទ្ធផល​នៃ​ការ​បញ្ចប់​ដំណាក់កាល​ទី​មួយ​ដោយ​ជោគជ័យ​គឺ​ការ​បង្កើត SA (សមាគម​សន្តិសុខ)។
បន្ទាប់មក យើងត្រូវកំណត់បញ្ជីអាសយដ្ឋាន IP ប្រភព និងទិសដៅ (ACL) សម្រាប់ការអ៊ិនគ្រីប បង្កើតសំណុំប្លែង បង្កើតផែនទីគ្រីបតូ (ផែនទីគ្រីបតូ) ហើយចងវាទៅចំណុចប្រទាក់ខាងក្រៅរបស់ CS ។

កំណត់ ACL៖
# ip access-list ពង្រីកគេហទំព័រ 1
#permit gre host 10.111.21.3 host 10.111.22.3

សំណុំនៃការផ្លាស់ប្តូរ (ដូចគ្នានឹងដំណាក់កាលទីមួយដែរ យើងប្រើក្បួនដោះស្រាយការអ៊ិនគ្រីប "Grasshopper" ដោយប្រើរបៀបបង្កើតការបញ្ចូលក្លែងធ្វើ)៖

#crypto ipsec transform-set GOST esp-gost341215k-mac

យើងបង្កើតផែនទីគ្រីបតូ បញ្ជាក់ ACL បំប្លែងសំណុំ និងអាសយដ្ឋានមិត្តភ័ក្តិ៖

# ផែនទីគ្រីបតូ MAIN 100 ipsec-isakmp
#គេហទំព័រផ្គូផ្គងអាសយដ្ឋាន ១
#កំណត់ការបំប្លែង-កំណត់ GOST
#set peer 10.111.22.3

យើងភ្ជាប់កាតគ្រីបតូទៅនឹងចំណុចប្រទាក់ខាងក្រៅនៃការចុះឈ្មោះសាច់ប្រាក់៖

#ចំណុចប្រទាក់ GigabitEthernet0/0
#អាសយដ្ឋាន ip 10.111.21.3 255.255.255.0
# ផែនទីគ្រីបតូ MAIN

ដើម្បីអ៊ិនគ្រីបបណ្តាញជាមួយគេហទំព័រផ្សេងទៀត អ្នកត្រូវតែធ្វើបែបបទម្តងទៀតសម្រាប់ការបង្កើតកាត ACL និងគ្រីបតូ ផ្លាស់ប្តូរឈ្មោះ ACL អាសយដ្ឋាន IP និងលេខកាតគ្រីបតូ។

យកចិត្តទុកដាក់! ប្រសិនបើការផ្ទៀងផ្ទាត់វិញ្ញាបនបត្រដោយ CRL មិនត្រូវបានប្រើ វាត្រូវតែបញ្ជាក់យ៉ាងច្បាស់៖

#crypto pki trustpoint s-terra_technological_trustpoint
# ការដកហូត - គ្មានការត្រួតពិនិត្យ

នៅចំណុចនេះ ការរៀបចំអាចចាត់ទុកថាបានបញ្ចប់។ នៅក្នុងលទ្ធផលពាក្យបញ្ជាកុងសូលដូច Cisco បង្ហាញ crypto isakmp sa и បង្ហាញ crypto ipsec sa ដំណាក់កាលទី XNUMX និងទី XNUMX នៃ IPSec ដែលត្រូវបានសាងសង់គួរតែត្រូវបានឆ្លុះបញ្ចាំង។ ព័ត៌មានដូចគ្នាអាចទទួលបានដោយប្រើពាក្យបញ្ជា sa_mgr បង្ហាញប្រតិបត្តិចេញពីសែលដេបៀន។ នៅក្នុងលទ្ធផលពាក្យបញ្ជា cert_mgr បង្ហាញ វិញ្ញាបនបត្រគេហទំព័រពីចម្ងាយគួរតែលេចឡើង។ ស្ថានភាពនៃវិញ្ញាបនបត្របែបនេះនឹងមាន ពីចម្ងាយ. ប្រសិនបើផ្លូវរូងក្រោមដីមិនត្រូវបានសាងសង់ទេ អ្នកត្រូវមើលកំណត់ហេតុសេវាកម្ម VPN ដែលត្រូវបានរក្សាទុកក្នុងឯកសារ /var/log/cspvpngate.log. បញ្ជីពេញលេញនៃឯកសារកំណត់ហេតុជាមួយនឹងការពិពណ៌នាអំពីមាតិការបស់ពួកគេមាននៅក្នុងឯកសារ។

ការត្រួតពិនិត្យ "សុខភាព" នៃប្រព័ន្ធ

S-Terra CC ប្រើដេមិន snmpd ស្តង់ដារសម្រាប់ការត្រួតពិនិត្យ។ បន្ថែមពីលើប៉ារ៉ាម៉ែត្រលីនុចធម្មតា ក្រៅប្រអប់ S-Terra គាំទ្រការចេញទិន្នន័យអំពីផ្លូវរូងក្រោមដី IPSec ដោយអនុលោមតាម CISCO-IPSEC-FLOW-MONITOR-MIB ដែលជាអ្វីដែលយើងប្រើនៅពេលត្រួតពិនិត្យស្ថានភាពផ្លូវរូងក្រោមដី IPSec ។ មុខងាររបស់ OIDs ផ្ទាល់ខ្លួនដែលចេញលទ្ធផលនៃការអនុវត្តស្គ្រីបជាតម្លៃក៏ត្រូវបានគាំទ្រផងដែរ។ មុខងារនេះអនុញ្ញាតឱ្យយើងតាមដានកាលបរិច្ឆេទផុតកំណត់នៃវិញ្ញាបនបត្រ។ ស្គ្រីបដែលបានសរសេរញែកលទ្ធផលពាក្យបញ្ជា cert_mgr បង្ហាញ ហើយជាលទ្ធផលផ្តល់ចំនួនថ្ងៃរហូតដល់វិញ្ញាបនបត្រមូលដ្ឋាន និងឫសគល់ផុតកំណត់។ បច្ចេកទេសនេះគឺមិនអាចខ្វះបាននៅពេលគ្រប់គ្រង CABGs មួយចំនួនធំ។

តើអ្វីទៅជាអត្ថប្រយោជន៍នៃការអ៊ិនគ្រីបបែបនេះ?

មុខងារទាំងអស់ដែលបានពិពណ៌នាខាងលើត្រូវបានគាំទ្រចេញពីប្រអប់ដោយ S-Terra KSh ។ នោះគឺមិនចាំបាច់ដំឡើងម៉ូឌុលបន្ថែមណាមួយដែលអាចប៉ះពាល់ដល់ការបញ្ជាក់នៃ crypto gateways និងការបញ្ជាក់នៃប្រព័ន្ធព័ត៌មានទាំងមូលនោះទេ។ អាចមានបណ្តាញណាមួយរវាងគេហទំព័រ សូម្បីតែតាមរយៈអ៊ីនធឺណិតក៏ដោយ។

ដោយសារតែការពិតដែលថានៅពេលដែលហេដ្ឋារចនាសម្ព័ន្ធខាងក្នុងផ្លាស់ប្តូរ មិនចាំបាច់កំណត់រចនាសម្ព័ន្ធច្រកចេញចូល crypto ឡើងវិញទេ ប្រព័ន្ធដំណើរការជាសេវាកម្មដែលងាយស្រួលសម្រាប់អតិថិជន៖ គាត់អាចដាក់សេវាកម្មរបស់គាត់ (ម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេ) នៅអាសយដ្ឋានណាមួយ ហើយការផ្លាស់ប្តូរទាំងអស់នឹងត្រូវបានផ្ទេរដោយថាមវន្តរវាងឧបករណ៍បំលែងកូដ។

ជាការពិតណាស់ការអ៊ិនគ្រីបដោយសារតែការចំណាយលើស (លើស) ប៉ះពាល់ដល់ល្បឿនផ្ទេរទិន្នន័យប៉ុន្តែបានតែបន្តិចប៉ុណ្ណោះ - ច្រកចូលអាចថយចុះអតិបរមា 5-10% ។ ក្នុងពេលជាមួយគ្នានេះ បច្ចេកវិទ្យាត្រូវបានសាកល្បង និងបង្ហាញលទ្ធផលល្អ សូម្បីតែនៅលើបណ្តាញផ្កាយរណប ដែលមិនស្ថិតស្ថេរ និងមានកម្រិតបញ្ជូនទាប។

Igor Vinokhodov វិស្វករនៃជួរទី 2 នៃការគ្រប់គ្រង Rostelecom-Solar

ប្រភព: www.habr.com