GOST: 동적 트래픽 라우팅 설정 가이드에 따라 암호화합니다.

귀하의 회사가 법률에 따라 보호되는 네트워크를 통해 개인 데이터 및 기타 기밀 정보를 전송하거나 수신하는 경우 GOST 암호화를 사용해야 합니다. 오늘은 고객 중 한 곳에서 S-Terra CS(암호 게이트웨이)를 기반으로 이러한 암호화를 구현한 방법을 알려 드리겠습니다. 이 이야기는 정보 보안 전문가는 물론 엔지니어, 디자이너, 건축가에게도 흥미로울 것입니다. 이 게시물에서는 기술적 구성의 미묘한 차이에 대해 자세히 다루지 않고 기본 설정의 핵심 사항에 중점을 둘 것입니다. S-Terra CS의 기반이 되는 Linux OS 데몬 설정에 관한 방대한 양의 문서가 인터넷에서 무료로 제공됩니다. 독점 S-Terra 소프트웨어 설정에 대한 문서는 다음 사이트에서도 공개적으로 제공됩니다. 문 제조업체.

프로젝트에 대한 몇 마디

고객의 네트워크 토폴로지는 표준이었습니다. 즉, 센터와 지점 간의 풀 메시였습니다. 모든 사이트(8개) 사이의 정보 교환 채널 암호화를 도입해야 했습니다.

일반적으로 이러한 프로젝트에서는 모든 것이 정적입니다. 사이트의 로컬 네트워크에 대한 정적 경로가 암호화 게이트웨이(CG)에 설정되고 암호화를 위한 IP 주소(ACL) 목록이 등록됩니다. 그러나 이 경우 사이트에는 중앙 집중식 제어가 없으며 로컬 네트워크 내부에서 모든 일이 발생할 수 있습니다. 네트워크는 가능한 모든 방법으로 추가, 삭제 및 수정될 수 있습니다. 사이트에서 로컬 네트워크의 주소 지정을 변경할 때 KS에서 라우팅 및 ACL을 재구성하지 않기 위해 사이트의 네트워크 코어 수준에서 모든 KS와 대부분의 라우터를 포함하는 GRE 터널링 및 OSPF 동적 라우팅을 사용하기로 결정했습니다( 일부 사이트에서는 인프라 관리자가 커널 라우터의 KS에 SNAT를 사용하는 것을 선호했습니다.

GRE 터널링을 통해 우리는 두 가지 문제를 해결할 수 있었습니다.
1. 다른 사이트로 전송되는 모든 트래픽을 캡슐화하는 ACL의 암호화를 위해 CS 외부 인터페이스의 IP 주소를 사용합니다.
2. CS 간에 ptp 터널을 구성하면 동적 라우팅을 구성할 수 있습니다(이 경우 공급자의 MPLS L3VPN이 사이트 간에 구성됩니다).

클라이언트는 암호화를 서비스로 구현하도록 주문했습니다. 그렇지 않으면 그는 암호화 게이트웨이를 유지 관리하거나 일부 조직에 아웃소싱해야 할 뿐만 아니라 암호화 인증서의 수명 주기를 독립적으로 모니터링하고 적시에 갱신하고 새 인증서를 설치해야 합니다.

이제 실제 메모 - 우리가 구성한 방법과 내용

CII 주제 참고 사항: 암호화 게이트웨이 설정

기본 네트워크 설정

먼저 새 CS를 시작하고 관리 콘솔로 들어갑니다. 내장된 관리자 비밀번호를 변경하여 시작해야 합니다 - 명령 사용자 비밀번호 관리자 변경. 그런 다음 초기화 절차(명령어)를 수행해야 합니다. 초기화) 동안 라이센스 데이터를 입력하고 난수 센서(RNS)를 초기화합니다.

주의! 에스테라CC가 초기화되면 보안 게이트웨이 인터페이스에서 패킷 통과를 허용하지 않는 보안 정책이 수립됩니다. 자체 정책을 생성하거나 다음 명령을 사용해야 합니다. csconf_mgr 활성화 실행 사전 정의된 허용 정책을 활성화합니다.
다음으로 외부 및 내부 인터페이스의 주소 지정과 기본 경로를 구성해야 합니다. CS 네트워크 구성으로 작업하고 Cisco와 유사한 콘솔을 통해 암호화를 구성하는 것이 좋습니다. 이 콘솔은 Cisco IOS 명령과 유사한 명령을 입력하도록 설계되었습니다. Cisco와 유사한 콘솔을 사용하여 생성된 구성은 OS 데몬이 작동하는 해당 구성 파일로 변환됩니다. 다음 명령을 사용하여 관리 콘솔에서 Cisco와 유사한 콘솔로 이동할 수 있습니다. 구성.

내장 사용자 cscons의 비밀번호를 변경하고 다음을 활성화합니다.

>활성화
비밀번호: csp(사전 설치됨)
#터미널 구성
#username csconsprivilege 15 secret 0 #enable secret 0 기본 네트워크 구성 설정:

#인터페이스 GigabitEthernet0/0
#ip 주소 10.111.21.3 255.255.255.0
#종료 없음
#인터페이스 GigabitEthernet0/1
#ip 주소 192.168.2.5 255.255.255.252
#종료 없음
#ip 경로 0.0.0.0 0.0.0.0 10.111.21.254

GRE

Cisco와 유사한 콘솔을 종료하고 다음 명령을 사용하여 데비안 셸로 이동합니다. 체계. 사용자의 비밀번호를 직접 설정하세요. 뿌리 팀 passwd.
각 제어실에서는 각 사이트에 대해 별도의 터널이 구성됩니다. 터널 인터페이스는 파일에 구성됩니다. / etc / network / interfaces. 사전 설치된 iproute2 세트에 포함된 IP 터널 유틸리티는 인터페이스 자체 생성을 담당합니다. 인터페이스 생성 명령은 pre-up 옵션에 기록됩니다.

일반적인 터널 인터페이스의 구성 예:
자동 사이트1
iface site1 inet 정적
192.168.1.4 주소
넷 마스크 255.255.255.254
사전 IP 터널 추가 site1 모드 gre 로컬 10.111.21.3 원격 10.111.22.3 키 hfLYEg^vCh6p

주의! 터널 인터페이스 설정은 해당 섹션 외부에 위치해야 합니다.

###netifcfg-시작###
*****
###netifcfg-end###

그렇지 않으면 Cisco와 유사한 콘솔을 통해 물리적 인터페이스의 네트워크 설정을 변경할 때 이러한 설정을 덮어쓰게 됩니다.

동적 라우팅

S-Terra에서는 Quagga 소프트웨어 패키지를 사용하여 동적 라우팅이 구현됩니다. OSPF를 구성하려면 데몬을 활성화하고 구성해야 합니다. 얼룩말 и ospfd. zebra 데몬은 라우팅 데몬과 OS 간의 통신을 담당합니다. 이름에서 알 수 있듯이 ospfd 데몬은 OSPF 프로토콜 구현을 담당합니다.
OSPF는 데몬 콘솔을 통해 또는 구성 파일을 통해 직접 구성됩니다. /etc/quagga/ospfd.conf. 동적 라우팅에 참여하는 모든 물리적 인터페이스와 터널 인터페이스가 파일에 추가되고, 광고되고 알림을 받을 네트워크도 선언됩니다.

추가해야 할 구성의 예 ospfd.conf:
인터페이스 eth0
!
인터페이스 eth1
!
인터페이스 사이트1
!
인터페이스 사이트2
라우터
ospf 라우터 ID 192.168.2.21
네트워크 192.168.1.4/31 영역 0.0.0.0
네트워크 192.168.1.16/31 영역 0.0.0.0
네트워크 192.168.2.4/30 영역 0.0.0.0

이 경우 주소 192.168.1.x/31은 사이트 간의 터널 ptp 네트워크용으로 예약되어 있고 주소 192.168.2.x/30은 CS와 커널 라우터 간의 전송 네트워크용으로 할당됩니다.

주의! 대규모 설치에서 라우팅 테이블을 줄이려면 다음 구문을 사용하여 전송 네트워크 자체의 광고를 필터링할 수 있습니다. 연결된 재배포 없음 또는 연결된 경로 맵을 재배포.

데몬을 구성한 후에는 데몬의 시작 상태를 변경해야 합니다. /etc/quagga/데몬. 옵션에서 얼룩말 и ospfd 아니요로 변경됩니다. quagga 데몬을 시작하고 KS 명령을 시작할 때 자동 실행되도록 설정합니다. update-rc.d quagga 활성화.

GRE 터널 및 OSPF 구성이 올바르게 완료되면 다른 사이트 네트워크의 경로가 KSh 및 코어 라우터에 나타나야 하며 따라서 로컬 네트워크 간의 네트워크 연결이 발생합니다.

전송된 트래픽을 암호화합니다.

이미 설명한 대로 일반적으로 사이트 간 암호화 시 트래픽이 암호화되는 IP 주소 범위(ACL)를 지정합니다. 소스 주소와 대상 주소가 이 범위에 속하면 둘 사이의 트래픽이 암호화됩니다. 그러나 이 프로젝트에서는 구조가 동적이므로 주소가 변경될 수 있습니다. 이미 GRE 터널링을 구성했으므로 외부 KS 주소를 트래픽 암호화를 위한 소스 및 대상 주소로 지정할 수 있습니다. 결국 GRE 프로토콜에 의해 이미 캡슐화된 트래픽은 암호화를 위해 도착합니다. 즉, 한 사이트의 로컬 네트워크에서 다른 사이트에서 공지한 네트워크로 CS로 들어가는 모든 내용이 암호화됩니다. 그리고 각 사이트 내에서 모든 리디렉션이 수행될 수 있습니다. 따라서 로컬 네트워크에 변경 사항이 있는 경우 관리자는 자신의 네트워크에서 네트워크로 전달되는 알림만 수정하면 되며 해당 알림은 다른 사이트에서도 사용할 수 있게 됩니다.

S-Terra CS의 암호화는 IPSec 프로토콜을 사용하여 수행됩니다. 우리는 GOST R 34.12-2015에 따라 "Grasshopper" 알고리즘을 사용하며 이전 버전과의 호환성을 위해 GOST 28147-89를 사용할 수 있습니다. 사전 정의된 키(PSK)와 인증서 모두에 대해 기술적으로 인증을 수행할 수 있습니다. 그러나 산업 운영에서는 GOST R 34.10-2012에 따라 발급된 인증서를 사용해야 합니다.

인증서, 컨테이너 및 CRL 작업은 유틸리티를 사용하여 수행됩니다. cert_mgr. 우선 명령어를 이용해서 cert_mgr 생성 인증서 관리 센터로 전송될 개인 키 컨테이너와 인증서 요청을 생성해야 합니다. 인증서를 받은 후에는 다음 명령을 사용하여 루트 CA 인증서 및 CRL(사용된 경우)과 함께 가져와야 합니다. cert_mgr 가져오기. 다음 명령을 사용하여 모든 인증서와 CRL이 설치되었는지 확인할 수 있습니다. cert_mgr 쇼.

인증서를 성공적으로 설치한 후 Cisco와 유사한 콘솔로 이동하여 IPSec를 구성합니다.
생성되는 보안 채널의 원하는 알고리즘과 매개변수를 지정하는 IKE 정책을 생성합니다. 이 정책은 승인을 위해 파트너에게 제공됩니다.

#crypto isakmp 정책 1000
#encr gost341215k
#해시 gost341112-512-tc26
#인증서
#그룹 vko2
#평생 3600

이 정책은 IPSec의 첫 번째 단계를 구축할 때 적용됩니다. XNUMX단계를 성공적으로 완료한 결과 SA(Security Association)가 설립됐다.
다음으로 암호화를 위한 소스 및 대상 IP 주소(ACL) 목록을 정의하고, 변환 세트를 생성하고, 암호화 맵(암호화 맵)을 생성하고 이를 CS의 외부 인터페이스에 바인딩해야 합니다.

ACL 설정:
#ip 액세스 목록 확장 사이트1
#permit gre 호스트 10.111.21.3 호스트 10.111.22.3

일련의 변환(첫 번째 단계와 동일, 시뮬레이션 삽입 생성 모드를 사용하는 "Grasshopper" 암호화 알고리즘 사용):

#crypto ipsec 변환 세트 GOST esp-gost341215k-mac

암호화 맵을 생성하고 ACL, 변환 세트 및 피어 주소를 지정합니다.

#암호화 맵 MAIN 100 ipsec-isakmp
#일치 주소 사이트1
#set 변환 집합 GOST
#세트 피어 10.111.22.3

암호화폐 카드를 금전 등록기의 외부 인터페이스에 연결합니다.

#인터페이스 GigabitEthernet0/0
#ip 주소 10.111.21.3 255.255.255.0
#암호화폐 지도 MAIN

다른 사이트에서 채널을 암호화하려면 ACL 및 암호화 카드 생성 절차를 반복하고 ACL 이름, IP 주소 및 암호화 카드 번호를 변경해야 합니다.

주의! CRL에 의한 인증서 확인이 사용되지 않는 경우 이를 명시적으로 지정해야 합니다.

#crypto pki 신뢰 지점 s-terra_technological_trustpoint
#해지-확인 없음

이 시점에서 설정이 완료된 것으로 간주될 수 있습니다. Cisco와 유사한 콘솔 명령 출력에서 암호화 isakmp sa 표시 и 암호화 IPsec SA 표시 구성된 IPSec의 첫 번째 및 두 번째 단계가 반영되어야 합니다. 다음 명령을 사용하여 동일한 정보를 얻을 수 있습니다. sa_mgr 쇼, 데비안 쉘에서 실행됩니다. 명령 출력에서 cert_mgr 쇼 원격 사이트 인증서가 나타나야 합니다. 그러한 인증서의 상태는 다음과 같습니다. 먼. 터널이 구축되지 않은 경우 파일에 저장되어 있는 VPN 서비스 로그를 확인해야 합니다. /var/log/cspvpngate.log. 내용에 대한 설명과 함께 로그 파일의 전체 목록은 설명서에서 확인할 수 있습니다.

시스템의 "상태" 모니터링

S-Terra CC는 모니터링을 위해 표준 snmpd 데몬을 사용합니다. 일반적인 Linux 매개변수 외에도 기본적으로 S-Terra는 IPSec 터널 상태를 모니터링할 때 사용하는 CISCO-IPSEC-FLOW-MONITOR-MIB에 따라 IPSec 터널에 대한 데이터 발행을 지원합니다. 스크립트 실행 결과를 값으로 출력하는 Custom OID 기능도 지원됩니다. 이 기능을 사용하면 인증서 만료 날짜를 추적할 수 있습니다. 작성된 스크립트는 명령 출력을 구문 분석합니다. cert_mgr 쇼 결과적으로 로컬 및 루트 인증서가 만료될 때까지의 일수가 제공됩니다. 이 기술은 다수의 CABG를 관리할 때 필수적입니다.

이러한 암호화의 이점은 무엇입니까?

위에 설명된 모든 기능은 S-Terra KSh에서 즉시 지원됩니다. 즉, 암호화 게이트웨이 인증 및 전체 정보시스템 인증에 영향을 미칠 수 있는 추가 모듈을 설치할 필요가 없었다. 사이트 간에는 인터넷을 통해서도 어떤 채널이 있을 수 있습니다.

내부 인프라가 변경되면 암호화폐 게이트웨이를 재구성할 필요가 없기 때문에, 시스템은 서비스로 작동한다이는 고객에게 매우 편리합니다. 서비스(클라이언트 및 서버)를 어느 주소에나 배치할 수 있으며 모든 변경 사항은 암호화 장비 간에 동적으로 전송됩니다.

물론 오버헤드 비용(오버헤드)으로 인한 암호화는 데이터 전송 속도에 영향을 주지만 약간만 영향을 미치며 채널 처리량은 최대 5-10%까지 감소할 수 있습니다. 동시에, 이 기술은 매우 불안정하고 대역폭이 낮은 위성 채널에서도 테스트되었으며 좋은 결과를 보여주었습니다.

Rostelecom-Solar의 2차 관리 라인 엔지니어 Igor Vinokhodov

출처 : habr.com