ProHoster > Blogs > Administrācija > IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Å is raksts ir turpinājums iepriekŔējais materiālsveltÄ«ta aprÄ«kojuma uzstādÄ«Å”anas specifikai Palo Alto Networks . Å eit mēs vēlamies runāt par iestatÄ«Å”anu IPSec vietņu VPN uz aprÄ«kojumu Palo Alto Networks un par iespējamo konfigurācijas opciju vairāku interneta pakalpojumu sniedzēju savienoÅ”anai.

Demonstrācijai tiks izmantota standarta shēma galvenā biroja savienoÅ”anai ar filiāli. Lai nodroÅ”inātu kļūmju izturÄ«gu interneta pieslēgumu, galvenais birojs izmanto vienlaicÄ«gu divu pakalpojumu sniedzēju savienojumu: ISP-1 un ISP-2. Filiālei ir savienojums tikai ar vienu pakalpojumu sniedzēju, ISP-3. Starp ugunsmÅ«riem PA-1 un PA-2 ir izbÅ«vēti divi tuneļi. Tuneļi darbojas režīmā AktÄ«vais gaidÄ«Å”anas režīms,Tunnel-1 ir aktÄ«vs, Tunnel-2 sāks pārraidÄ«t trafiku, kad Tunelis-1 neizdosies. Tunnel-1 izmanto savienojumu ar ISP-1, Tunnel-2 izmanto savienojumu ar ISP-2. Visas IP adreses tiek nejauÅ”i Ä£enerētas demonstrācijas nolÅ«kos, un tām nav nekādas saistÄ«bas ar realitāti.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Lai izveidotu vietni uz vietni, tiks izmantots VPN IPsec ā€” protokolu kopums, lai nodroÅ”inātu ar IP pārraidÄ«to datu aizsardzÄ«bu. IPsec darbosies, izmantojot droŔības protokolu ESP (Encapsulating Security Payload), kas nodroÅ”inās pārsÅ«tÄ«to datu Å”ifrÄ“Å”anu.

Š’ IPsec ienāk IKE (Internet Key Exchange) ir protokols, kas atbild par SA (droŔības asociāciju) sarunām, droŔības parametriem, kas tiek izmantoti pārsÅ«tÄ«to datu aizsardzÄ«bai. PAN ugunsmÅ«ru atbalsts IKEv1 Šø IKEv2.

Š’ IKEv1 VPN savienojums tiek izveidots divos posmos: IKEv1 1. fāze (IKE tunelis) un IKEv1 2. fāze (IPSec tunelis), lÄ«dz ar to tiek izveidoti divi tuneļi, no kuriem viens tiek izmantots dienesta informācijas apmaiņai starp ugunsmÅ«riem, otrs ā€“ satiksmes pārraidei. IN IKEv1 1. fāze Ir divi darbÄ«bas režīmi - galvenais režīms un agresÄ«vais režīms. AgresÄ«vais režīms izmanto mazāk ziņojumu un ir ātrāks, taču neatbalsta vienaudžu identitātes aizsardzÄ«bu.

IKEv2 aizstāts IKEv1, un salÄ«dzinot ar IKEv1 tā galvenā priekÅ”rocÄ«ba ir zemākas joslas platuma prasÄ«bas un ātrākas SA sarunas. IN IKEv2 Tiek izmantots mazāk pakalpojumu ziņojumu (kopā 4), tiek atbalstÄ«ti EAP un MOBIKE protokoli, kā arÄ« ir pievienots mehānisms, lai pārbaudÄ«tu, vai ir pieejams vienādrangs, ar kuru tiek izveidots tunelis - DzÄ«vÄ«bas pārbaude, aizstājot Dead Peer Detection IKEv1. Ja pārbaude neizdodas, tad IKEv2 var atiestatÄ«t tuneli un pēc tam automātiski atjaunot to pie pirmās iespējas. Varat uzzināt vairāk par atŔķirÄ«bām lasÄ«t Å”eit.

Ja starp dažādu ražotāju ugunsmÅ«riem ir izveidots tunelis, tad var bÅ«t kļūdas ievieÅ”anā IKEv2, un saderÄ«bai ar Ŕādu aprÄ«kojumu ir iespējams izmantot IKEv1. Citos gadÄ«jumos labāk izmantot IKEv2.

IestatīŔanas darbības:

ā€¢ Divu interneta pakalpojumu sniedzēju konfigurÄ“Å”ana ActiveStandby režīmā

Ir vairāki veidi, kā Ä«stenot Å”o funkciju. Viens no tiem ir mehānisma izmantoÅ”ana Ceļa uzraudzÄ«ba, kas kļuva pieejams sākot no versijas PAN-OS 8.0.0. Å ajā piemērā tiek izmantota versija 8.0.16. Å Ä« funkcija ir lÄ«dzÄ«ga IP SLA Cisco marÅ”rutētājos. Statiskais noklusējuma marÅ”ruta parametrs konfigurē ping pakeÅ”u sÅ«tÄ«Å”anu uz noteiktu IP adresi no noteiktas avota adreses. Å ajā gadÄ«jumā Ethernet1/1 interfeiss vienu reizi sekundē nosÅ«ta noklusējuma vārteju ping. Ja nav atbildes uz trim ping pēc kārtas, marÅ”ruts tiek uzskatÄ«ts par bojātu un noņemts no marÅ”rutÄ“Å”anas tabulas. Tas pats marÅ”ruts ir konfigurēts uz otru interneta pakalpojumu sniedzēju, taču ar augstāku metriku (tas ir rezerves marÅ”ruts). Kad pirmais marÅ”ruts ir noņemts no tabulas, ugunsmÅ«ris sāks sÅ«tÄ«t trafiku pa otro marÅ”rutu Fail-Over. Kad pirmais pakalpojumu sniedzējs sāk atbildēt uz ehotestiem, tā marÅ”ruts atgriezÄ«sies tabulā un aizstās otro, jo ir labāka metrika. Fail-Back. Process Fail-Over aizņem dažas sekundes atkarÄ«bā no konfigurētajiem intervāliem, taču jebkurā gadÄ«jumā process nenotiek acumirklÄ«, un Å”ajā laikā tiek zaudēta satiksme. Fail-Back iet cauri, nezaudējot satiksmi. Ir iespēja darÄ«t Fail-Over ātrāk, ar BFD, ja interneta pakalpojumu sniedzējs nodroÅ”ina Ŕādu iespēju. BFD atbalstÄ«ts sākot no modeļa PA-3000 sērija Šø VM-100. Labāk ir norādÄ«t nevis pakalpojumu sniedzēja vārteju kā ping adresi, bet gan publisku, vienmēr pieejamu interneta adresi.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ Tuneļa saskarnes izveide

Satiksme tuneļa iekÅ”pusē tiek pārraidÄ«ta, izmantojot Ä«paÅ”as virtuālās saskarnes. Katrs no tiem ir jākonfigurē ar IP adresi no tranzÄ«ta tÄ«kla. Å ajā piemērā apakÅ”stacija 1/172.16.1.0 tiks izmantota tunelim-30, un apakÅ”stacija 2/172.16.2.0 tiks izmantota tunelim-30.
Sadaļā tiek izveidots tuneļa interfeiss TÄ«kls -> Interfeisi -> Tunelis. Jānorāda virtuālais marÅ”rutētājs un droŔības zona, kā arÄ« IP adrese no atbilstoŔā transporta tÄ«kla. Interfeisa numurs var bÅ«t jebkas.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Iedaļā uzlabots var norādÄ«t PārvaldÄ«bas profilskas ļaus ping norādÄ«tajā interfeisā, tas var bÅ«t noderÄ«gi testÄ“Å”anai.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ IKE profila iestatÄ«Å”ana

IKE profils ir atbildÄ«gs par VPN savienojuma izveides pirmo posmu; Å”eit ir norādÄ«ti tuneļa parametri IKE 1. fāze. Profils tiek izveidots sadaļā TÄ«kls -> TÄ«kla profili -> IKE Crypto. Ir nepiecieÅ”ams norādÄ«t Å”ifrÄ“Å”anas algoritmu, jaukÅ”anas algoritmu, Difija-Helmana grupu un atslēgas kalpoÅ”anas laiku. Kopumā, jo sarežģītāki ir algoritmi, jo sliktāka ir veiktspēja; tie jāizvēlas, pamatojoties uz Ä«paŔām droŔības prasÄ«bām. Tomēr, lai aizsargātu sensitÄ«vu informāciju, stingri nav ieteicams izmantot Diffie-Hellman grupu, kas jaunāka par 14 gadiem. Tas ir saistÄ«ts ar protokola ievainojamÄ«bu, ko var mazināt, tikai izmantojot moduļu izmērus 2048 bitus un lielākus, vai eliptiskās kriptogrāfijas algoritmus, kas tiek izmantoti grupās 19, 20, 21, 24. Å iem algoritmiem ir lielāka veiktspēja, salÄ«dzinot ar tradicionālā kriptogrāfija. Vairāk lasiet Å”eit. Un Å”eit.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ IPSec profila iestatÄ«Å”ana

VPN savienojuma izveides otrais posms ir IPSec tunelis. SA parametri tam ir konfigurēti TÄ«kls -> TÄ«kla profili -> IPSec kriptoprofils. Å eit jums jānorāda IPSec protokols - AH vai ESP, kā arÄ« parametrus SA ā€” jaukÅ”anas algoritmi, Å”ifrÄ“Å”ana, Difija-Helmana grupas un atslēgas kalpoÅ”anas laiks. SA parametri IKE kriptoprofilā un IPSec kriptoprofilā var nebÅ«t vienādi.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ IKE vārtejas konfigurÄ“Å”ana

IKE vārteja - Å is ir objekts, kas apzÄ«mē marÅ”rutētāju vai ugunsmÅ«ri, ar kuru tiek izveidots VPN tunelis. Katram tunelim jums ir jāizveido savs IKE vārteja. Å ajā gadÄ«jumā tiek izveidoti divi tuneļi, pa vienam caur katru interneta pakalpojumu sniedzēju. Tiek norādÄ«ta atbilstoŔā izejoŔā saskarne un tās IP adrese, vienādranga IP adrese un koplietotā atslēga. Sertifikātus var izmantot kā alternatÄ«vu koplietotajai atslēgai.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Å eit ir norādÄ«ts iepriekÅ” izveidotais IKE kriptoprofils. Otrā objekta parametri IKE vārteja lÄ«dzÄ«gi, izņemot IP adreses. Ja Palo Alto Networks ugunsmÅ«ris atrodas aiz NAT marÅ”rutētāja, jums ir jāiespējo mehānisms NAT ŔķērsoÅ”ana.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ IPSec tuneļa iestatÄ«Å”ana

IPSec tunelis ir objekts, kas norāda IPSec tuneļa parametrus, kā norāda nosaukums. Å eit jānorāda tuneļa saskarne un iepriekÅ” izveidotie objekti IKE vārteja, IPSec kriptoprofils. Lai nodroÅ”inātu automātisku marÅ”rutÄ“Å”anas pārslēgÅ”anu uz rezerves tuneli, tas ir jāiespējo Tuneļa monitors. Å is ir mehānisms, kas pārbauda, ā€‹ā€‹vai lÄ«dzinieks ir dzÄ«vs, izmantojot ICMP trafiku. Kā galamērÄ·a adrese ir jānorāda tā vienādranga tuneļa saskarnes IP adrese, ar kuru tunelis tiek bÅ«vēts. Profils norāda taimeri un to, kā rÄ«koties, ja savienojums tiek zaudēts. Pagaidiet AtgÅ«t - pagaidiet, lÄ«dz savienojums tiek atjaunots, Fail Over ā€” nosÅ«tÄ«t satiksmi pa citu marÅ”rutu, ja iespējams. Otrā tuneļa iestatÄ«Å”ana ir pilnÄ«gi lÄ«dzÄ«ga; ir norādÄ«ts otrais tuneļa interfeiss un IKE vārteja.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ MarÅ”rutÄ“Å”anas iestatÄ«Å”ana

Å ajā piemērā tiek izmantota statiskā marÅ”rutÄ“Å”ana. PA-1 ugunsmÅ«rÄ« papildus diviem noklusējuma marÅ”rutiem filiālē ir jānorāda divi marÅ”ruti uz apakÅ”tÄ«klu 10.10.10.0/24. Viens marÅ”ruts izmanto tuneli-1, otru tuneli-2. MarÅ”ruts caur tuneli-1 ir galvenais, jo tam ir zemāka metrika. Mehānisms Ceļa uzraudzÄ«ba netiek izmantots Å”ajos marÅ”rutos. AtbildÄ«gs par maiņu Tuneļa monitors.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Tie paÅ”i marÅ”ruti apakÅ”tÄ«klam 192.168.30.0/24 ir jākonfigurē PA-2.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

ā€¢ TÄ«kla noteikumu iestatÄ«Å”ana

Lai tunelis darbotos, ir nepiecieŔami trīs noteikumi:

  1. Strādāt Ceļa monitors Atļaut ICMP ārējās saskarnēs.
  2. Par IPsec atļaut lietotnes IKE Šø ipsec ārējās saskarnēs.
  3. Atļaut trafiku starp iekŔējiem apakÅ”tÄ«kliem un tuneļa saskarnēm.

IPSec vietņu VPN iestatÄ«Å”ana Palo Alto Networks aprÄ«kojumā

Secinājums

Å ajā rakstā ir apskatÄ«ta iespēja izveidot kļūmēm izturÄ«gu interneta savienojumu un Vietne-vietne VPN. Mēs ceram, ka informācija bija noderÄ«ga un lasÄ«tājs guva priekÅ”statu par izmantotajām tehnoloÄ£ijām Palo Alto Networks. Ja jums ir jautājumi par iestatÄ«Å”anu un ieteikumi par turpmāko rakstu tēmām, rakstiet tos komentāros, mēs ar prieku atbildēsim.

Avots: www.habr.com

Pievieno komentāru