Π‘ΠΈΡΡΠ°ΡΠΈΡΠ°
ΠΠΎΠ±ΠΈΠ² Π΄Π΅ΠΌΠΎ Π²Π΅ΡΠ·ΠΈΡΠ° Π½Π° ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡΠ΅ C-Terra VPN Π²Π΅ΡΠ·ΠΈΡΠ° 4.3 Π·Π° ΡΡΠΈ ΠΌΠ΅ΡΠ΅ΡΠΈ. Π‘Π°ΠΊΠ°ΠΌ Π΄Π° Π΄ΠΎΠ·Π½Π°Π°ΠΌ Π΄Π°Π»ΠΈ ΠΌΠΎΡΠΎΡ ΠΈΠ½ΠΆΠ΅Π½Π΅ΡΡΠΊΠΈ ΠΆΠΈΠ²ΠΎΡ ΡΠ΅ ΡΡΠ°Π½Π΅ ΠΏΠΎΠ»Π΅ΡΠ΅Π½ ΠΎΡΠΊΠ°ΠΊΠΎ ΡΠ΅ ΡΠ΅ ΠΏΡΠ΅ΡΡΠ»Π°ΠΌ Π½Π° Π½ΠΎΠ²Π°ΡΠ° Π²Π΅ΡΠ·ΠΈΡΠ°.
ΠΠ΅Π½Π΅ΡΠΊΠ° Π½Π΅ Π΅ ΡΠ΅ΡΠΊΠΎ, Π΄ΠΎΠ²ΠΎΠ»Π½ΠΎ Π΅ Π΅Π΄Π½Π° ΠΊΠ΅ΡΠΈΡΠΊΠ° ΠΈΠ½ΡΡΠ°Π½Ρ ΠΊΠ°ΡΠ΅ 3 Π²ΠΎ 1. ΠΠ΅ Π²ΠΈ ΠΊΠ°ΠΆΠ°ΠΌ ΠΊΠ°ΠΊΠΎ Π΄Π° Π΄ΠΎΠ±ΠΈΠ΅ΡΠ΅ Π΄Π΅ΠΌΠΎ. ΠΠ΅ ΡΠ΅ ΠΎΠ±ΠΈΠ΄Π°ΠΌ Π΄Π° Π³ΠΈ ΠΈΠ·Π³ΡΠ°Π΄Π°ΠΌ ΡΠ΅ΠΌΠΈΡΠ΅ GRE-over-IPsec ΠΈ IPsec-over-GRE.
ΠΠ°ΠΊΠΎ Π΄Π° Π΄ΠΎΠ±ΠΈΠ΅ΡΠ΅ Π΄Π΅ΠΌΠΎ
ΠΠ΄ ΡΠ»ΠΈΠΊΠ°ΡΠ° ΠΏΡΠΎΠΈΠ·Π»Π΅Π³ΡΠ²Π° Π΄Π΅ΠΊΠ° Π·Π° Π΄Π° Π΄ΠΎΠ±ΠΈΠ΅ΡΠ΅ Π΄Π΅ΠΌΠΎ ΡΡΠ΅Π±Π°:
- ΠΠ°ΠΏΠΈΡΠ΅ΡΠ΅ ΠΏΠΈΡΠΌΠΎ Π΄ΠΎ [Π·Π°ΡΡΠΈΡΠ΅Π½Π° ΠΏΠΎ Π΅-ΠΏΠΎΡΡΠ°] ΠΎΠ΄ ΠΊΠΎΡΠΏΠΎΡΠ°ΡΠΈΠ²Π½Π° Π°Π΄ΡΠ΅ΡΠ°;
- ΠΠΎ ΠΏΠΈΡΠΌΠΎΡΠΎ, Π½Π°Π²Π΅Π΄Π΅ΡΠ΅ Π³ΠΎ TIN-ΠΎΡ Π½Π° Π²Π°ΡΠ°ΡΠ° ΠΎΡΠ³Π°Π½ΠΈΠ·Π°ΡΠΈΡΠ°;
- ΠΠ°Π²Π΅Π΄Π΅ΡΠ΅ Π³ΠΈ ΠΏΡΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡΠ΅ ΠΈ Π½ΠΈΠ²Π½Π°ΡΠ° ΠΊΠΎΠ»ΠΈΡΠΈΠ½Π°.
ΠΠ΅ΠΌΠΎΠ½ΡΡΡΠ°ΡΠΈΠΈΡΠ΅ Π²Π°ΠΆΠ°Ρ ΡΡΠΈ ΠΌΠ΅ΡΠ΅ΡΠΈ. ΠΡΠΎΠ΄Π°Π²Π°ΡΠΎΡ Π½Π΅ ΡΠ° ΠΎΠ³ΡΠ°Π½ΠΈΡΡΠ²Π° Π½ΠΈΠ²Π½Π°ΡΠ° ΡΡΠ½ΠΊΡΠΈΠΎΠ½Π°Π»Π½ΠΎΡΡ.
ΠΡΠΎΡΠΈΡΡΠ²Π°ΡΠ΅ Π½Π° ΡΠ»ΠΈΠΊΠ°ΡΠ°
ΠΠ΅ΠΌΠΎΡΠΎ Π½Π° Security Gateway Π΅ ΡΠ»ΠΈΠΊΠ° Π½Π° Π²ΠΈΡΡΡΠ΅Π»Π½Π° ΠΌΠ°ΡΠΈΠ½Π°. ΠΠ°Ρ ΠΊΠΎΡΠΈΡΡΠ°ΠΌ ΡΠ°Π±ΠΎΡΠ½Π° ΡΡΠ°Π½ΠΈΡΠ° VMWare. ΠΠΎΠΌΠΏΠ»Π΅ΡΠ½Π° Π»ΠΈΡΡΠ° Π½Π° ΠΏΠΎΠ΄Π΄ΡΠΆΠ°Π½ΠΈ Ρ ΠΈΠΏΠ΅ΡΠ²ΠΈΠ·ΠΎΡΠΈ ΠΈ ΡΡΠ΅Π΄ΠΈΠ½ΠΈ Π·Π° Π²ΠΈΡΡΡΠ΅Π»ΠΈΠ·Π°ΡΠΈΡΠ° Π΅ Π΄ΠΎΡΡΠ°ΠΏΠ½Π° Π½Π° Π²Π΅Π±-ΡΡΡΠ°Π½ΠΈΡΠ°ΡΠ° Π½Π° ΠΏΡΠΎΠ΄Π°Π²Π°ΡΠΎΡ.
ΠΡΠ΅Π΄ Π΄Π° Π·Π°ΠΏΠΎΡΠ½Π΅ΡΠ΅, ΠΈΠΌΠ°ΡΡΠ΅ ΠΏΡΠ΅Π΄Π²ΠΈΠ΄ Π΄Π΅ΠΊΠ° Π½Π΅ΠΌΠ° ΠΌΡΠ΅ΠΆΠ½ΠΈ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ Π²ΠΎ ΡΡΠ°Π½Π΄Π°ΡΠ΄Π½Π°ΡΠ° ΡΠ»ΠΈΠΊΠ° Π½Π° Π²ΠΈΡΡΡΠ΅Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°:
ΠΠΎΠ³ΠΈΠΊΠ°ΡΠ° Π΅ ΡΠ°ΡΠ½Π°, ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊΠΎΡ ΡΡΠ΅Π±Π° Π΄Π° Π΄ΠΎΠ΄Π°Π΄Π΅ ΠΎΠ½ΠΎΠ»ΠΊΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ ΠΊΠΎΠ»ΠΊΡ ΡΡΠΎ ΠΌΡ ΡΡΠ΅Π±Π°. ΠΠ΅ Π΄ΠΎΠ΄Π°Π΄Π°ΠΌ ΡΠ΅ΡΠΈΡΠΈ ΠΎΠ΄Π΅Π΄Π½Π°Ρ:
Π‘Π΅Π³Π° ΡΠ° ΡΡΠ°ΡΡΡΠ²Π°ΠΌ Π²ΠΈΡΡΡΠ΅Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°. ΠΠ΅Π΄Π½Π°Ρ ΠΏΠΎ ΡΡΠ°ΡΡΡΠ²Π°ΡΠ΅ΡΠΎ, ΠΏΠΎΡΡΠ°ΡΠ° Π±Π°ΡΠ° ΠΊΠΎΡΠΈΡΠ½ΠΈΡΠΊΠΎ ΠΈΠΌΠ΅ ΠΈ Π»ΠΎΠ·ΠΈΠ½ΠΊΠ°.
ΠΠΎΡΡΠΎΡΠ°Ρ Π½Π΅ΠΊΠΎΠ»ΠΊΡ ΠΊΠΎΠ½Π·ΠΎΠ»ΠΈ Π²ΠΎ S-Terra Gateway ΡΠΎ ΡΠ°Π·Π»ΠΈΡΠ½ΠΈ ΡΠΌΠ΅ΡΠΊΠΈ. ΠΠΈΠ²Π½ΠΈΠΎΡ Π±ΡΠΎΡ ΡΠ΅ Π³ΠΎ ΠΈΠ·Π±ΡΠΎΡΠ°ΠΌ Π²ΠΎ ΠΏΠΎΡΠ΅Π±Π½Π° ΡΡΠ°ΡΠΈΡΠ°. ΠΠ° ΡΠ΅Π³Π°:
Login as: administrator
Password: s-terra
ΠΠ° ΠΈΠ½ΠΈΡΠΈΡΠ°Π»ΠΈΠ·ΠΈΡΠ°ΠΌ ΠΏΠΎΡΡΠ°ΡΠ°. ΠΠ½ΠΈΡΠΈΡΠ°Π»ΠΈΠ·Π°ΡΠΈΡΠ°ΡΠ° Π΅ Π½ΠΈΠ·Π° Π΄Π΅ΡΡΡΠ²Π°: Π²Π½Π΅ΡΡΠ²Π°ΡΠ΅ Π»ΠΈΡΠ΅Π½ΡΠ°, ΠΏΠΎΡΡΠ°Π²ΡΠ²Π°ΡΠ΅ Π±ΠΈΠΎΠ»ΠΎΡΠΊΠΈ Π³Π΅Π½Π΅ΡΠ°ΡΠΎΡ Π½Π° ΡΠ»ΡΡΠ°Π΅Π½ Π±ΡΠΎΡ (ΡΠΈΠΌΡΠ»Π°ΡΠΎΡ Π½Π° ΡΠ°ΡΡΠ°ΡΡΡΠ° - ΠΌΠΎΡΠΎΡ ΡΠ΅ΠΊΠΎΡΠ΄ Π΅ 27 ΡΠ΅ΠΊΡΠ½Π΄ΠΈ) ΠΈ ΠΊΡΠ΅ΠΈΡΠ°ΡΠ΅ ΠΌΠ°ΠΏΠ° Π½Π° ΠΌΡΠ΅ΠΆΠ΅Π½ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡ.
ΠΠ°ΡΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠ½ΠΈ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ. Π‘ΡΠ°Π½Π° ΠΏΠΎΠ»Π΅ΡΠ½ΠΎ
ΠΠ΅ΡΠ·ΠΈΡΠ°ΡΠ° 4.2 Π³ΠΎ ΠΏΠΎΠ·Π΄ΡΠ°Π²ΠΈ Π°ΠΊΡΠΈΠ²Π½ΠΈΠΎΡ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ ΡΠΎ ΠΏΠΎΡΠ°ΠΊΠΈ:
Starting IPsec daemonβ¦.. failed
ERROR: Could not establish connection with daemon
ΠΠΊΡΠΈΠ²Π΅Π½ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ (ΡΠΏΠΎΡΠ΅Π΄ Π°Π½ΠΎΠ½ΠΈΠΌΠ΅Π½ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ) Π΅ ΠΊΠΎΡΠΈΡΠ½ΠΈΠΊ ΠΊΠΎΡ ΠΌΠΎΠΆΠ΅ Π΄Π° ΠΏΠΎΡΡΠ°Π²ΠΈ ΡΓ¨ Π±ΡΠ·ΠΎ ΠΈ Π±Π΅Π· Π΄ΠΎΠΊΡΠΌΠ΅Π½ΡΠ°ΡΠΈΡΠ°.
ΠΠ΅ΡΡΠΎ ΡΡΠ³Π½Π° Π½Π°ΠΎΠΏΠ°ΠΊΡ ΠΏΡΠ΅Π΄ Π΄Π° ΡΠ΅ ΠΎΠ±ΠΈΠ΄Π΅ Π΄Π° ΠΏΠΎΡΡΠ°Π²ΠΈΡΠ΅ IP Π°Π΄ΡΠ΅ΡΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ. Π‘Π΅ ΡΠ°Π±ΠΎΡΠΈ Π·Π° ΠΌΠ°ΠΏΠ°ΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠ½ΠΈΠΎΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡ. ΠΠ΅ΡΠ΅ Π½Π΅ΠΎΠΏΡ ΠΎΠ΄Π½ΠΎ Π΄Π° ΡΠ΅ Π½Π°ΠΏΡΠ°Π²ΠΈ:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
service networking restart
ΠΠ°ΠΊΠΎ ΡΠ΅Π·ΡΠ»ΡΠ°Ρ Π½Π° ΡΠΎΠ°, ΡΠ΅ ΠΊΡΠ΅ΠΈΡΠ° ΠΌΠ°ΠΏΠ° Π½Π° ΠΌΡΠ΅ΠΆΠ΅Π½ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡ ΡΡΠΎ ΡΠΎΠ΄ΡΠΆΠΈ ΠΌΠ°ΠΏΠΈΡΠ°ΡΠ΅ Π½Π° ΠΈΠΌΠΈΡΠ°ΡΠ° Π½Π° ΡΠΈΠ·ΠΈΡΠΊΠΈΡΠ΅ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ (0000:02:03.0) ΠΈ Π½ΠΈΠ²Π½ΠΈΡΠ΅ Π»ΠΎΠ³ΠΈΡΠΊΠΈ ΠΎΠ·Π½Π°ΠΊΠΈ Π²ΠΎ ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠ²Π½ΠΈΠΎΡ ΡΠΈΡΡΠ΅ΠΌ (eth0) ΠΈ ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° ΡΠ»ΠΈΡΠ½Π° Π½Π° Cisco (FastEthernet0/0):
#Unique ID iface type OS name Cisco-like name
0000:02:03.0 phye eth0 FastEthernet0/0
ΠΠΎΠ³ΠΈΡΠΊΠΈΡΠ΅ ΠΎΠ·Π½Π°ΠΊΠΈ Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈΡΠ΅ ΡΠ΅ Π½Π°ΡΠ΅ΠΊΡΠ²Π°Π°Ρ ΠΏΡΠ΅Π²Π΄ΠΎΠ½ΠΈΠΌΠΈ. ΠΠ»ΠΈΡΠ°ΡΠΈΡΠ΅ ΡΠ΅ Π·Π°ΡΡΠ²Π°Π½ΠΈ Π²ΠΎ Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ° /etc/ifaliases.cf.
ΠΠΎ Π²Π΅ΡΠ·ΠΈΡΠ°ΡΠ° 4.3, ΠΊΠΎΠ³Π° Π²ΠΈΡΡΡΠ΅Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π° Π·Π° ΠΏΡΠ² ΠΏΠ°Ρ ΡΠ΅ ΡΡΠ°ΡΡΡΠ²Π°, Π°Π²ΡΠΎΠΌΠ°ΡΡΠΊΠΈ ΡΠ΅ ΠΊΡΠ΅ΠΈΡΠ° ΠΌΠ°ΠΏΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡ. ΠΠΊΠΎ Π³ΠΎ ΠΏΡΠΎΠΌΠ΅Π½ΠΈΡΠ΅ Π±ΡΠΎΡΠΎΡ Π½Π° ΠΌΡΠ΅ΠΆΠ½ΠΈ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ Π²ΠΎ Π²ΠΈΡΡΡΠ΅Π»Π½Π°ΡΠ° ΠΌΠ°ΡΠΈΠ½Π°, ΡΠΎΠ³Π°Ρ ΠΏΠΎΠ²ΡΠΎΡΠ½ΠΎ ΠΊΡΠ΅ΠΈΡΠ°ΡΡΠ΅ ΡΠ° ΠΌΠ°ΠΏΠ°ΡΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ:
/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
systemctl restart networking
Π¨Π΅ΠΌΠ° 1: GRE-over-IPsec
Π Π°ΡΠΏΠΎΡΠ΅Π΄ΡΠ²Π°ΠΌ Π΄Π²Π΅ Π²ΠΈΡΡΡΠ΅Π»Π½ΠΈ ΠΏΠΎΡΡΠΈ, ΡΠ΅ ΠΏΡΠ΅ΡΡΠ»Π°ΠΌ ΠΊΠ°ΠΊΠΎ ΡΡΠΎ Π΅ ΠΏΡΠΈΠΊΠ°ΠΆΠ°Π½ΠΎ Π½Π° ΡΠ»ΠΈΠΊΠ°ΡΠ°:
Π§Π΅ΠΊΠΎΡ 1. ΠΠΎΡΡΠ°Π²Π΅ΡΠ΅ IP Π°Π΄ΡΠ΅ΡΠΈ ΠΈ ΡΡΡΠΈ
VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254
VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253
ΠΡΠΎΠ²Π΅ΡΠΊΠ° Π½Π° IP ΠΊΠΎΠ½Π΅ΠΊΡΠΈΡΠ°:
root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms
--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms
Π§Π΅ΠΊΠΎΡ 2: ΠΠΎΡΡΠ°Π²Π΅ΡΠ΅ GRE
ΠΠ΅ΠΌΠ°ΠΌ ΠΏΡΠΈΠΌΠ΅Ρ Π·Π° ΠΏΠΎΡΡΠ°Π²ΡΠ²Π°ΡΠ΅ GRE ΠΎΠ΄ ΠΎΡΠΈΡΠΈΡΠ°Π»Π½ΠΈ ΡΠΊΡΠΈΠΏΡΠΈ. ΠΠ°Ρ ΠΊΡΠ΅ΠΈΡΠ°ΠΌ Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° gre1 Π²ΠΎ Π΄ΠΈΡΠ΅ΠΊΡΠΎΡΠΈΡΠΌΠΎΡ /etc/network/interfaces.d ΡΠΎ ΡΠΎΠ΄ΡΠΆΠΈΠ½Π°ΡΠ°.
ΠΠ° VG1:
auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
ΠΠ° VG2:
auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1
ΠΠΎ ΠΏΠΎΠ΄ΠΈΠ³Π½ΡΠ²Π°ΠΌ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ Π²ΠΎ ΡΠΈΡΡΠ΅ΠΌΠΎΡ:
root@VG1:~# ifup gre1
root@VG2:~# ifup gre1
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
link/gre 172.16.1.253 peer 172.16.1.254
inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
valid_lft forever preferred_lft forever
root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1
C-Terra Gateway ΠΈΠΌΠ° Π²Π³ΡΠ°Π΄Π΅Π½ ΡΡΠ°Π³Π°Ρ Π½Π° ΠΏΠ°ΠΊΠ΅ΡΠΈ - tcpdump. ΠΠ΅ Π½Π°ΠΏΠΈΡΠ°ΠΌ ΡΠΎΠΎΠ±ΡΠ°ΡΠ°ΡΠ½Π° Π΄Π΅ΠΏΠΎΠ½ΠΈΡΠ° Π²ΠΎ Π΄Π°ΡΠΎΡΠ΅ΠΊΠ° pcap:
root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap
ΠΠΎΡΠ½ΡΠ²Π°ΠΌ Π΄Π° ΠΏΠΈΠ½Π³ΡΠ²Π°ΠΌ ΠΏΠΎΠΌΠ΅ΡΡ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈΡΠ΅ GRE:
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms
Π’ΡΠ½Π΅Π»ΠΎΡ GRE Π΅ ΠΎΡΠ²ΠΎΡΠ΅Π½ ΠΈ ΡΠ°Π±ΠΎΡΠΈ:
Π§Π΅ΠΊΠΎΡ 3. Π¨ΠΈΡΡΠΈΡΠ°ΡΡΠ΅ ΡΠΎ GOST GRE
ΠΠΎ ΠΏΠΎΡΡΠ°Π²ΠΈΠ² ΡΠΈΠΏΠΎΡ Π½Π° ΠΈΠ΄Π΅Π½ΡΠΈΡΠΈΠΊΠ°ΡΠΈΡΠ° - ΠΏΠΎ Π°Π΄ΡΠ΅ΡΠ°. ΠΠ²ΡΠ΅Π½ΡΠΈΠΊΠ°ΡΠΈΡΠ° ΡΠΎ ΠΏΡΠ΅ΡΡ ΠΎΠ΄Π½ΠΎ Π΄Π΅ΡΠΈΠ½ΠΈΡΠ°Π½ ΠΊΠ»ΡΡ (ΡΠΏΠΎΡΠ΅Π΄ Π£ΡΠ»ΠΎΠ²ΠΈΡΠ΅ Π·Π° ΠΊΠΎΡΠΈΡΡΠ΅ΡΠ΅, ΠΌΠΎΡΠ° Π΄Π° ΡΠ΅ ΠΊΠΎΡΠΈΡΡΠ°Ρ Π΄ΠΈΠ³ΠΈΡΠ°Π»Π½ΠΈ ΡΠ΅ΡΡΠΈΡΠΈΠΊΠ°ΡΠΈ):
VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254
ΠΠΈ ΠΏΠΎΡΡΠ°Π²ΠΈΠ² ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ Π½Π° IPsec ΡΠ°Π·Π° I:
VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2
ΠΠΈ ΠΏΠΎΡΡΠ°Π²ΠΈΠ² ΠΏΠ°ΡΠ°ΠΌΠ΅ΡΡΠΈΡΠ΅ Π½Π° IPsec Π€Π°Π·Π° II:
VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel
ΠΠ°Ρ ΠΊΡΠ΅ΠΈΡΠ°ΠΌ ΠΏΡΠΈΡΡΠ°ΠΏΠ½Π° Π»ΠΈΡΡΠ° Π·Π° ΡΠΈΡΡΠΈΡΠ°ΡΠ΅. Π¦Π΅Π»Π΅Π½ ΡΠΎΠΎΠ±ΡΠ°ΡΠ°Ρ - GRE:
VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254
ΠΠ°Ρ ΡΠΎΠ·Π΄Π°Π²Π°ΠΌ ΠΊΡΠΈΠΏΡΠΎ-ΠΌΠ°ΠΏΠ° ΠΈ ΡΠ° Π²ΡΠ·ΡΠ²Π°ΠΌ Π·Π° WAN ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ:
VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
crypto map CMAP
ΠΠ° VG2, ΠΊΠΎΠ½ΡΠΈΠ³ΡΡΠ°ΡΠΈΡΠ°ΡΠ° Π΅ ΠΏΡΠ΅ΡΠ»ΠΈΠΊΠ°Π½Π°, ΡΠ°Π·Π»ΠΈΠΊΠΈΡΠ΅ ΡΠ΅:
VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms
--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2
Π‘ΡΠ°ΡΠΈΡΡΠΈΠΊΠ° Π½Π° ISAKMP/IPsec:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480
ΠΠ΅ΠΌΠ° ΠΏΠ°ΠΊΠ΅ΡΠΈ Π²ΠΎ Π΄Π΅ΠΏΠΎΠ½ΠΈΡΠ°ΡΠ° Π·Π° ΡΠΎΠΎΠ±ΡΠ°ΡΠ°Ρ GRE:
ΠΠ°ΠΊΠ»ΡΡΠΎΠΊ: ΡΠ΅ΠΌΠ°ΡΠ° GRE-over-IPsec ΡΠ°Π±ΠΎΡΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ.
Π‘Π»ΠΈΠΊΠ° 1.5: IPsec-over-GRE
ΠΠ΅ ΠΏΠ»Π°Π½ΠΈΡΠ°ΠΌ Π΄Π° ΠΊΠΎΡΠΈΡΡΠ°ΠΌ IPsec-over-GRE Π½Π° ΠΌΡΠ΅ΠΆΠ°ΡΠ°. Π‘ΠΎΠ±ΠΈΡΠ°ΠΌ Π·Π°ΡΠΎΠ° ΡΡΠΎ ΡΠ°ΠΊΠ°ΠΌ.
ΠΠ° Π΄Π° ΡΠ° ΡΠ°ΡΠΏΠΎΡΠ΅Π΄ΠΈΡΠ΅ ΡΠ΅ΠΌΠ°ΡΠ° GRE-over-IPsec ΠΎΠ±ΡΠ°ΡΠ½ΠΎ:
- ΠΠΎΠΏΡΠ°Π²Π΅ΡΠ΅ ΡΠ° Π»ΠΈΡΡΠ°ΡΠ° Π·Π° ΠΏΡΠΈΡΡΠ°ΠΏ Π·Π° ΡΠΈΡΡΠΈΡΠ°ΡΠ΅ - Π½Π°ΡΠΎΡΠ΅Π½ ΡΠΎΠΎΠ±ΡΠ°ΡΠ°Ρ ΠΎΠ΄ LAN1 Π΄ΠΎ LAN2 ΠΈ ΠΎΠ±ΡΠ°ΡΠ½ΠΎ;
- ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°ΡΡΠ΅ ΡΡΡΠΈΡΠ°ΡΠ΅ ΠΏΡΠ΅ΠΊΡ GRE;
- ΠΠ°ΠΊΠ°ΡΠ΅ΡΠ΅ ΠΊΡΠΈΠΏΡΠΎΠΌΠ°ΠΏΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ GRE.
Π‘ΡΠ°Π½Π΄Π°ΡΠ΄Π½ΠΎ, Π½Π΅ΠΌΠ° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡ GRE Π²ΠΎ ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° Π·Π° ΠΏΠΎΡΡΠ°ΡΠ° ΡΠ»ΠΈΡΠ½Π° Π½Π° Cisco. ΠΠΎΡΡΠΎΠΈ ΡΠ°ΠΌΠΎ Π²ΠΎ ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠ²Π½ΠΈΠΎΡ ΡΠΈΡΡΠ΅ΠΌ.
ΠΠΎ Π΄ΠΎΠ΄Π°Π²Π°ΠΌ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ GRE Π½Π° ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° ΡΠ»ΠΈΡΠ½Π° Π½Π° Cisco. ΠΠ° Π΄Π° Π³ΠΎ Π½Π°ΠΏΡΠ°Π²ΠΈΡΠ΅ ΠΎΠ²Π°, ΡΠ° ΡΡΠ΅Π΄ΡΠ²Π°ΠΌ Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ° /etc/ifaliases.cf:
interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")
ΠΊΠ°Π΄Π΅ ΡΡΠΎ gre1 Π΅ ΠΎΠ·Π½Π°ΠΊΠ°ΡΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ Π²ΠΎ ΠΎΠΏΠ΅ΡΠ°ΡΠΈΠ²Π½ΠΈΠΎΡ ΡΠΈΡΡΠ΅ΠΌ, Tunnel0 Π΅ ΠΎΠ·Π½Π°ΠΊΠ°ΡΠ° Π½Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ Π²ΠΎ ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° ΡΠ»ΠΈΡΠ½Π° Π½Π° Cisco.
ΠΠΎΠ²ΡΠΎΡΠ½ΠΎ Π³ΠΎ ΠΏΡΠ΅ΡΠΌΠ΅ΡΡΠ²Π°ΠΌ Ρ Π°ΡΠΎΡ Π½Π° Π΄Π°ΡΠΎΡΠ΅ΠΊΠ°ΡΠ°:
root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf
SUCCESS: Operation was successful.
Π‘Π΅Π³Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ Tunnel0 ΡΠ΅ ΠΏΠΎΡΠ°Π²ΠΈ Π²ΠΎ ΠΊΠΎΠ½Π·ΠΎΠ»Π°ΡΠ° ΡΠ»ΠΈΡΠ½Π° Π½Π° Cisco:
VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400
ΠΠΎΠΏΡΠ°Π²ΠΊΠ° Π½Π° ΡΠΏΠΈΡΠΎΠΊΠΎΡ Π·Π° ΠΏΡΠΈΡΡΠ°ΠΏ Π·Π° ΡΠΈΡΡΠΈΡΠ°ΡΠ΅:
VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255
ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°ΠΌ ΡΡΡΠΈΡΠ°ΡΠ΅ ΠΏΡΠ΅ΠΊΡ GRE:
VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2
ΠΠ° ΠΎΡΡΡΡΠ°Π½ΡΠ²Π°ΠΌ ΠΊΡΠΈΠΏΡΠΎΠΌΠ°ΠΏΠ°ΡΠ° ΠΎΠ΄ Fa0 / 0 ΠΈ ΡΠ° Π²ΡΠ·ΡΠ²Π°ΠΌ Π·Π° ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΎΡ GRE:
VG1(config)#
interface Tunnel0
crypto map CMAP
ΠΠ° VG2 Π΅ ΡΠ»ΠΈΡΠ½ΠΎ.
ΠΡΠΎΠ²Π΅ΡΠΊΠ°:
root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap
root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms
--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms
Π‘ΡΠ°ΡΠΈΡΡΠΈΠΊΠ° Π½Π° ISAKMP/IPsec:
root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded
ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022
IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352
ΠΠΎ Π΄Π΅ΠΏΠΎΠ½ΠΈΡΠ°ΡΠ° Π·Π° ΡΠΎΠΎΠ±ΡΠ°ΡΠ°Ρ ESP, ΠΏΠ°ΠΊΠ΅ΡΠΈΡΠ΅ ΡΠ΅ ΠΈΠ½ΠΊΠ°ΠΏΡΡΠ»ΠΈΡΠ°Π½ΠΈ Π²ΠΎ GRE:
ΠΠ°ΠΊΠ»ΡΡΠΎΠΊ: IPsec-over-GRE ΡΠ°Π±ΠΎΡΠΈ ΠΏΡΠ°Π²ΠΈΠ»Π½ΠΎ.
Π Π΅Π·ΡΠ»ΡΠ°ΡΠΈΡΠ΅ ΠΎΠ΄
ΠΠΎΠ²ΠΎΠ»Π½Π° Π±Π΅ΡΠ΅ Π΅Π΄Π½Π° ΡΠΎΠ»ΡΠ° ΠΊΠ°ΡΠ΅. Π‘ΠΊΠΈΡΠΈΡΠ°Π² ΠΈΠ½ΡΡΡΡΠΊΡΠΈΠΈ Π·Π° Π΄ΠΎΠ±ΠΈΠ²Π°ΡΠ΅ Π΄Π΅ΠΌΠΎ Π²Π΅ΡΠ·ΠΈΡΠ°. ΠΠΎΠ½ΡΠΈΠ³ΡΡΠΈΡΠ°Π½ GRE-over-IPsec ΠΈ ΡΠ°ΡΠΏΠΎΡΠ΅Π΄Π΅Π½ ΠΎΠ±ΡΠ°ΡΠ½ΠΎ.
ΠΠ°ΡΡΠ°ΡΠ° Π½Π° ΠΌΡΠ΅ΠΆΠ½ΠΈΡΠ΅ ΠΈΠ½ΡΠ΅ΡΡΠ΅ΡΡΠΈ Π²ΠΎ Π²Π΅ΡΠ·ΠΈΡΠ°ΡΠ° 4.3 Π΅ ββΠ°Π²ΡΠΎΠΌΠ°ΡΡΠΊΠ°! Π’Π΅ΡΡΠΈΡΠ°ΠΌ ΠΏΠΎΠ½Π°ΡΠ°ΠΌΡ.
ΠΠ½ΠΎΠ½ΠΈΠΌΠ΅Π½ ΠΈΠ½ΠΆΠ΅Π½Π΅Ρ
t.me/anonymous_engineer
ΠΠ·Π²ΠΎΡ: www.habr.com