Palo Alto Networks ഉപകരണങ്ങളിൽ IPSec സൈറ്റ്-ടു-സൈറ്റ് VPN സജ്ജീകരിക്കുന്നു

ഈ ലേഖനം അതിന്റെ തുടർച്ചയാണ് മുമ്പത്തെ മെറ്റീരിയൽഉപകരണങ്ങൾ സജ്ജീകരിക്കുന്നതിന്റെ പ്രത്യേകതകൾക്കായി സമർപ്പിച്ചിരിക്കുന്നു പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ . ഇവിടെ നമ്മൾ സജ്ജീകരണത്തെക്കുറിച്ച് സംസാരിക്കാൻ ആഗ്രഹിക്കുന്നു IPSec സൈറ്റ്-ടു-സൈറ്റ് VPN ഉപകരണങ്ങളിൽ പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ കൂടാതെ നിരവധി ഇന്റർനെറ്റ് ദാതാക്കളെ ബന്ധിപ്പിക്കുന്നതിനുള്ള സാധ്യമായ കോൺഫിഗറേഷൻ ഓപ്ഷനെക്കുറിച്ചും.

പ്രകടനത്തിനായി, ഹെഡ് ഓഫീസ് ബ്രാഞ്ചുമായി ബന്ധിപ്പിക്കുന്നതിനുള്ള ഒരു സ്റ്റാൻഡേർഡ് സ്കീം ഉപയോഗിക്കും. ഒരു തെറ്റ്-സഹിഷ്ണുതയുള്ള ഇന്റർനെറ്റ് കണക്ഷൻ നൽകുന്നതിന്, ഹെഡ് ഓഫീസ് രണ്ട് ദാതാക്കളുടെ ഒരേസമയം കണക്ഷൻ ഉപയോഗിക്കുന്നു: ISP-1, ISP-2. ISP-3 എന്ന ഒരു ദാതാവുമായി മാത്രമേ ബ്രാഞ്ചിന് കണക്ഷനുള്ളൂ. PA-1, PA-2 എന്നീ ഫയർവാളുകൾക്കിടയിൽ രണ്ട് തുരങ്കങ്ങൾ നിർമ്മിച്ചിരിക്കുന്നു. മോഡിലാണ് ടണലുകൾ പ്രവർത്തിക്കുന്നത് സജീവ-സ്റ്റാൻഡ്ബൈ,ടണൽ-1 സജീവമാണ്, ടണൽ-2 പരാജയപ്പെടുമ്പോൾ ടണൽ-1 ട്രാഫിക്കുകൾ കൈമാറാൻ തുടങ്ങും. ടണൽ-1 ISP-1-ലേക്കുള്ള ഒരു കണക്ഷൻ ഉപയോഗിക്കുന്നു, ടണൽ-2 ISP-2-ലേക്കുള്ള ഒരു കണക്ഷൻ ഉപയോഗിക്കുന്നു. എല്ലാ IP വിലാസങ്ങളും പ്രകടന ആവശ്യങ്ങൾക്കായി ക്രമരഹിതമായി ജനറേറ്റുചെയ്‌തതാണ്, മാത്രമല്ല യാഥാർത്ഥ്യവുമായി യാതൊരു ബന്ധവുമില്ല.

ഒരു സൈറ്റ്-ടു-സൈറ്റ് നിർമ്മിക്കാൻ VPN ഉപയോഗിക്കും IPsec - IP വഴി കൈമാറ്റം ചെയ്യപ്പെടുന്ന ഡാറ്റയുടെ സംരക്ഷണം ഉറപ്പാക്കുന്നതിനുള്ള ഒരു കൂട്ടം പ്രോട്ടോക്കോളുകൾ. IPsec ഒരു സുരക്ഷാ പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് പ്രവർത്തിക്കും ഇഎസ്പി (എൻക്യാപ്സുലേറ്റിംഗ് സെക്യൂരിറ്റി പേലോഡ്), ഇത് ട്രാൻസ്മിറ്റ് ചെയ്ത ഡാറ്റയുടെ എൻക്രിപ്ഷൻ ഉറപ്പാക്കും.

В IPsec ഉൾപ്പെടുത്തിയിട്ടുണ്ട് IKE (ഇന്റർനെറ്റ് കീ എക്‌സ്‌ചേഞ്ച്) SA (സെക്യൂരിറ്റി അസോസിയേഷനുകൾ), സംപ്രേഷണം ചെയ്ത ഡാറ്റ പരിരക്ഷിക്കുന്നതിന് ഉപയോഗിക്കുന്ന സുരക്ഷാ പാരാമീറ്ററുകൾ എന്നിവ ചർച്ച ചെയ്യുന്നതിനുള്ള ഒരു പ്രോട്ടോക്കോൾ ആണ്. പാൻ ഫയർവാളുകൾ പിന്തുണ IKEV1 и IKEV2.

В IKEV1 ഒരു VPN കണക്ഷൻ രണ്ട് ഘട്ടങ്ങളിലായാണ് നിർമ്മിച്ചിരിക്കുന്നത്: IKEv1 ഘട്ടം 1 (IKE ടണൽ) കൂടാതെ IKEv1 ഘട്ടം 2 (IPSec ടണൽ), അങ്ങനെ, രണ്ട് തുരങ്കങ്ങൾ സൃഷ്ടിക്കപ്പെടുന്നു, അവയിലൊന്ന് ഫയർവാളുകൾക്കിടയിൽ സേവന വിവരങ്ങളുടെ കൈമാറ്റത്തിനായി ഉപയോഗിക്കുന്നു, രണ്ടാമത്തേത് ട്രാഫിക് ട്രാൻസ്മിഷനാണ്. IN IKEv1 ഘട്ടം 1 രണ്ട് ഓപ്പറേറ്റിംഗ് മോഡുകൾ ഉണ്ട് - പ്രധാന മോഡ്, ആക്രമണാത്മക മോഡ്. അഗ്രസീവ് മോഡ് കുറച്ച് സന്ദേശങ്ങൾ ഉപയോഗിക്കുന്നതും വേഗതയുള്ളതുമാണ്, എന്നാൽ പിയർ ഐഡന്റിറ്റി പരിരക്ഷയെ പിന്തുണയ്ക്കുന്നില്ല.

IKEV2 പകരം വന്നു IKEV1, എന്നിവയുമായി താരതമ്യം ചെയ്യുന്നു IKEV1 കുറഞ്ഞ ബാൻഡ്‌വിഡ്ത്ത് ആവശ്യകതകളും വേഗതയേറിയ എസ്എ ചർച്ചയുമാണ് ഇതിന്റെ പ്രധാന നേട്ടം. IN IKEV2 കുറച്ച് സേവന സന്ദേശങ്ങൾ മാത്രമേ ഉപയോഗിക്കുന്നുള്ളൂ (ആകെ 4), EAP, MOBIKE പ്രോട്ടോക്കോളുകൾ പിന്തുണയ്ക്കുന്നു, കൂടാതെ തുരങ്കം സൃഷ്ടിച്ച പിയറിന്റെ ലഭ്യത പരിശോധിക്കുന്നതിനുള്ള ഒരു സംവിധാനം ചേർത്തു - തത്സമയ പരിശോധന, IKEv1-ലെ ഡെഡ് പിയർ ഡിറ്റക്ഷൻ മാറ്റിസ്ഥാപിക്കുന്നു. ചെക്ക് പരാജയപ്പെട്ടാൽ, പിന്നെ IKEV2 തുരങ്കം പുനഃസജ്ജമാക്കാനും ആദ്യ അവസരത്തിൽ തന്നെ അത് യാന്ത്രികമായി പുനഃസ്ഥാപിക്കാനും കഴിയും. നിങ്ങൾക്ക് വ്യത്യാസങ്ങളെക്കുറിച്ച് കൂടുതലറിയാൻ കഴിയും ഇവിടെ വായിക്കുക.

വ്യത്യസ്‌ത നിർമ്മാതാക്കളിൽ നിന്നുള്ള ഫയർവാളുകൾക്കിടയിൽ ഒരു തുരങ്കം നിർമ്മിച്ചിട്ടുണ്ടെങ്കിൽ, നടപ്പിലാക്കുന്നതിൽ ബഗുകൾ ഉണ്ടാകാം IKEV2, അത്തരം ഉപകരണങ്ങളുമായി പൊരുത്തപ്പെടുന്നതിന് അത് ഉപയോഗിക്കാൻ കഴിയും IKEV1. മറ്റ് സന്ദർഭങ്ങളിൽ ഇത് ഉപയോഗിക്കുന്നതാണ് നല്ലത് IKEV2.

സജ്ജീകരണ ഘട്ടങ്ങൾ:

• ActiveStandby മോഡിൽ രണ്ട് ഇന്റർനെറ്റ് ദാതാക്കളെ കോൺഫിഗർ ചെയ്യുന്നു

ഈ ഫംഗ്ഷൻ നടപ്പിലാക്കാൻ നിരവധി മാർഗങ്ങളുണ്ട്. അവയിലൊന്ന് മെക്കാനിസം ഉപയോഗിക്കുക എന്നതാണ് പാത്ത് മോണിറ്ററിംഗ്, പതിപ്പ് മുതൽ ലഭ്യമായി PAN-OS 8.0.0. ഈ ഉദാഹരണം പതിപ്പ് 8.0.16 ഉപയോഗിക്കുന്നു. ഈ സവിശേഷത സിസ്കോ റൂട്ടറുകളിലെ ഐപി എസ്എൽഎയ്ക്ക് സമാനമാണ്. സ്റ്റാറ്റിക് ഡിഫോൾട്ട് റൂട്ട് പാരാമീറ്റർ ഒരു നിർദ്ദിഷ്ട ഉറവിട വിലാസത്തിൽ നിന്ന് ഒരു നിർദ്ദിഷ്ട IP വിലാസത്തിലേക്ക് പിംഗ് പാക്കറ്റുകൾ അയയ്ക്കുന്നത് കോൺഫിഗർ ചെയ്യുന്നു. ഈ സാഹചര്യത്തിൽ, ഇഥർനെറ്റ്1/1 ഇന്റർഫേസ് സ്ഥിരസ്ഥിതി ഗേറ്റ്‌വേ സെക്കൻഡിൽ ഒരിക്കൽ പിംഗ് ചെയ്യുന്നു. തുടർച്ചയായി മൂന്ന് പിംഗുകൾക്ക് പ്രതികരണമില്ലെങ്കിൽ, റൂട്ട് തകർന്നതായി കണക്കാക്കുകയും റൂട്ടിംഗ് ടേബിളിൽ നിന്ന് നീക്കം ചെയ്യുകയും ചെയ്യും. അതേ റൂട്ട് രണ്ടാമത്തെ ഇന്റർനെറ്റ് ദാതാവിലേക്ക് കോൺഫിഗർ ചെയ്‌തിരിക്കുന്നു, എന്നാൽ ഉയർന്ന മെട്രിക് ഉപയോഗിച്ച് (ഇത് ഒരു ബാക്കപ്പ് ആണ്). പട്ടികയിൽ നിന്ന് ആദ്യ റൂട്ട് നീക്കം ചെയ്‌തുകഴിഞ്ഞാൽ, രണ്ടാമത്തെ റൂട്ടിലൂടെ ഫയർവാൾ ട്രാഫിക് അയയ്‌ക്കാൻ തുടങ്ങും - പരാജയം-ഓവർ. ആദ്യത്തെ ദാതാവ് പിംഗുകളോട് പ്രതികരിക്കാൻ തുടങ്ങുമ്പോൾ, മികച്ച മെട്രിക് കാരണം അതിന്റെ റൂട്ട് ടേബിളിലേക്ക് മടങ്ങുകയും രണ്ടാമത്തേത് മാറ്റിസ്ഥാപിക്കുകയും ചെയ്യും - പരാജയം-ബാക്ക്. പ്രോസെസ് പരാജയം-ഓവർ കോൺഫിഗർ ചെയ്‌ത ഇടവേളകളെ ആശ്രയിച്ച് കുറച്ച് നിമിഷങ്ങൾ എടുക്കും, പക്ഷേ, ഏത് സാഹചര്യത്തിലും, പ്രക്രിയ തൽക്ഷണം അല്ല, ഈ സമയത്ത് ട്രാഫിക് നഷ്ടപ്പെടും. പരാജയം-ബാക്ക് ഗതാഗതം നഷ്ടപ്പെടാതെ കടന്നുപോകുന്നു. ചെയ്യാൻ അവസരമുണ്ട് പരാജയം-ഓവർ വേഗത്തിൽ, കൂടെ ബി.എഫ്.ഡി., ഇന്റർനെറ്റ് ദാതാവ് അത്തരമൊരു അവസരം നൽകുകയാണെങ്കിൽ. ബി.എഫ്.ഡി. മോഡൽ മുതൽ പിന്തുണയ്ക്കുന്നു PA-3000 സീരീസ് и വി.എം -100. പിംഗ് വിലാസമായി ദാതാവിന്റെ ഗേറ്റ്‌വേയല്ല, പൊതുവായതും എപ്പോഴും ആക്‌സസ് ചെയ്യാവുന്നതുമായ ഇന്റർനെറ്റ് വിലാസം വ്യക്തമാക്കുന്നതാണ് നല്ലത്.

• ഒരു ടണൽ ഇന്റർഫേസ് സൃഷ്ടിക്കുന്നു

തുരങ്കത്തിനുള്ളിലെ ഗതാഗതം പ്രത്യേക വെർച്വൽ ഇന്റർഫേസുകളിലൂടെയാണ് കൈമാറുന്നത്. അവ ഓരോന്നും ട്രാൻസിറ്റ് നെറ്റ്‌വർക്കിൽ നിന്നുള്ള ഒരു IP വിലാസം ഉപയോഗിച്ച് കോൺഫിഗർ ചെയ്തിരിക്കണം. ഈ ഉദാഹരണത്തിൽ, സബ്‌സ്റ്റേഷൻ 1/172.16.1.0 ടണൽ-30 നും സബ്‌സ്റ്റേഷൻ 2/172.16.2.0 ടണൽ-30 നും ഉപയോഗിക്കും.
വിഭാഗത്തിലാണ് ടണൽ ഇന്റർഫേസ് സൃഷ്ടിച്ചിരിക്കുന്നത് നെറ്റ്‌വർക്ക് -> ഇന്റർഫേസുകൾ -> ടണൽ. നിങ്ങൾ ഒരു വെർച്വൽ റൂട്ടറും സെക്യൂരിറ്റി സോണും കൂടാതെ അനുബന്ധ ട്രാൻസ്പോർട്ട് നെറ്റ്‌വർക്കിൽ നിന്നുള്ള ഒരു IP വിലാസവും വ്യക്തമാക്കണം. ഇന്റർഫേസ് നമ്പർ എന്തും ആകാം.

വിഭാഗം വിപുലമായ ഞാൻ വായിക്കുക മാനേജ്മെന്റ് പ്രൊഫൈൽനൽകിയിരിക്കുന്ന ഇന്റർഫേസിൽ ഇത് പിംഗ് അനുവദിക്കും, ഇത് പരിശോധനയ്ക്ക് ഉപയോഗപ്രദമാകും.

• IKE പ്രൊഫൈൽ സജ്ജീകരിക്കുന്നു

IKE പ്രൊഫൈൽ ഒരു VPN കണക്ഷൻ സൃഷ്ടിക്കുന്നതിന്റെ ആദ്യ ഘട്ടത്തിന് ഉത്തരവാദിയാണ്; ടണൽ പാരാമീറ്ററുകൾ ഇവിടെ വ്യക്തമാക്കിയിരിക്കുന്നു IKE ഘട്ടം 1. വിഭാഗത്തിലാണ് പ്രൊഫൈൽ സൃഷ്ടിച്ചിരിക്കുന്നത് നെറ്റ്‌വർക്ക് -> നെറ്റ്‌വർക്ക് പ്രൊഫൈലുകൾ -> IKE ക്രിപ്‌റ്റോ. എൻക്രിപ്ഷൻ അൽഗോരിതം, ഹാഷിംഗ് അൽഗോരിതം, ഡിഫി-ഹെൽമാൻ ഗ്രൂപ്പ്, കീ ലൈഫ് ടൈം എന്നിവ വ്യക്തമാക്കേണ്ടത് ആവശ്യമാണ്. പൊതുവേ, കൂടുതൽ സങ്കീർണ്ണമായ അൽഗോരിതങ്ങൾ, പ്രകടനം മോശമാകും; നിർദ്ദിഷ്ട സുരക്ഷാ ആവശ്യകതകളെ അടിസ്ഥാനമാക്കി അവ തിരഞ്ഞെടുക്കണം. എന്നിരുന്നാലും, തന്ത്രപ്രധാനമായ വിവരങ്ങൾ പരിരക്ഷിക്കുന്നതിന് 14-ൽ താഴെയുള്ള ഡിഫി-ഹെൽമാൻ ഗ്രൂപ്പ് ഉപയോഗിക്കുന്നത് കർശനമായി ശുപാർശ ചെയ്യുന്നില്ല. 2048 ബിറ്റുകളോ അതിൽ കൂടുതലോ ഉള്ള മൊഡ്യൂൾ സൈസുകൾ അല്ലെങ്കിൽ 19, 20, 21, 24 ഗ്രൂപ്പുകളിൽ ഉപയോഗിക്കുന്ന എലിപ്റ്റിക് ക്രിപ്‌റ്റോഗ്രാഫി അൽഗോരിതങ്ങൾ ഉപയോഗിച്ച് മാത്രമേ ഇത് ലഘൂകരിക്കാനാകുന്ന പ്രോട്ടോക്കോളിന്റെ കേടുപാടുകൾ മൂലമാണ് ഇത് സംഭവിക്കുന്നത്. പരമ്പരാഗത ക്രിപ്റ്റോഗ്രഫി. കൂടുതൽ ഇവിടെ വായിക്കുക. പിന്നെ ഇവിടെ.

• IPSec പ്രൊഫൈൽ സജ്ജീകരിക്കുന്നു

ഒരു VPN കണക്ഷൻ സൃഷ്ടിക്കുന്നതിന്റെ രണ്ടാം ഘട്ടം ഒരു IPSec ടണലാണ്. അതിനുള്ള SA പരാമീറ്ററുകൾ കോൺഫിഗർ ചെയ്തിരിക്കുന്നു നെറ്റ്‌വർക്ക് -> നെറ്റ്‌വർക്ക് പ്രൊഫൈലുകൾ -> IPSec ക്രിപ്‌റ്റോ പ്രൊഫൈൽ. ഇവിടെ നിങ്ങൾ IPSec പ്രോട്ടോക്കോൾ വ്യക്തമാക്കേണ്ടതുണ്ട് - AH അഥവാ ഇഎസ്പി, അതുപോലെ പരാമീറ്ററുകൾ SA - ഹാഷിംഗ് അൽഗോരിതങ്ങൾ, എൻക്രിപ്ഷൻ, ഡിഫി-ഹെൽമാൻ ഗ്രൂപ്പുകൾ, പ്രധാന ജീവിതകാലം. IKE ക്രിപ്‌റ്റോ പ്രൊഫൈലിലെയും IPSec ക്രിപ്‌റ്റോ പ്രൊഫൈലിലെയും SA പാരാമീറ്ററുകൾ ഒരുപോലെ ആയിരിക്കില്ല.

• IKE ഗേറ്റ്‌വേ കോൺഫിഗർ ചെയ്യുന്നു

IKE ഗേറ്റ്‌വേ - ഇത് ഒരു വിപിഎൻ ടണൽ നിർമ്മിച്ച ഒരു റൂട്ടർ അല്ലെങ്കിൽ ഫയർവാൾ നിയോഗിക്കുന്ന ഒരു വസ്തുവാണ്. ഓരോ തുരങ്കത്തിനും നിങ്ങൾ സ്വന്തമായി സൃഷ്ടിക്കേണ്ടതുണ്ട് IKE ഗേറ്റ്‌വേ. ഈ സാഹചര്യത്തിൽ, രണ്ട് തുരങ്കങ്ങൾ സൃഷ്ടിക്കപ്പെടുന്നു, ഓരോ ഇന്റർനെറ്റ് ദാതാവിലൂടെയും ഒന്ന്. അനുബന്ധ ഔട്ട്‌ഗോയിംഗ് ഇന്റർഫേസും അതിന്റെ ഐപി വിലാസവും പിയർ ഐപി വിലാസവും പങ്കിട്ട കീയും സൂചിപ്പിച്ചിരിക്കുന്നു. പങ്കിട്ട കീയ്ക്ക് പകരമായി സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കാം.

മുമ്പ് സൃഷ്ടിച്ചത് ഇവിടെ സൂചിപ്പിച്ചിരിക്കുന്നു IKE ക്രിപ്‌റ്റോ പ്രൊഫൈൽ. രണ്ടാമത്തെ വസ്തുവിന്റെ പാരാമീറ്ററുകൾ IKE ഗേറ്റ്‌വേ സമാനമായ, IP വിലാസങ്ങൾ ഒഴികെ. പാലോ ആൾട്ടോ നെറ്റ്‌വർക്ക് ഫയർവാൾ ഒരു NAT റൂട്ടറിന് പിന്നിലാണ് സ്ഥിതി ചെയ്യുന്നതെങ്കിൽ, നിങ്ങൾ മെക്കാനിസം പ്രവർത്തനക്ഷമമാക്കേണ്ടതുണ്ട് NAT ട്രാവേഴ്സൽ.

• IPSec ടണൽ സജ്ജീകരിക്കുന്നു

IPSec ടണൽ പേര് സൂചിപ്പിക്കുന്നത് പോലെ IPSec ടണൽ പാരാമീറ്ററുകൾ വ്യക്തമാക്കുന്ന ഒരു വസ്തുവാണ്. ഇവിടെ നിങ്ങൾ ടണൽ ഇന്റർഫേസും മുമ്പ് സൃഷ്ടിച്ച വസ്തുക്കളും വ്യക്തമാക്കേണ്ടതുണ്ട് IKE ഗേറ്റ്‌വേ, IPSec ക്രിപ്‌റ്റോ പ്രൊഫൈൽ. ബാക്കപ്പ് ടണലിലേക്ക് റൂട്ടിംഗ് യാന്ത്രികമായി മാറുന്നത് ഉറപ്പാക്കാൻ, നിങ്ങൾ പ്രവർത്തനക്ഷമമാക്കണം ടണൽ മോണിറ്റർ. ICMP ട്രാഫിക് ഉപയോഗിച്ച് ഒരു പിയർ ജീവിച്ചിരിപ്പുണ്ടോ എന്ന് പരിശോധിക്കുന്ന ഒരു സംവിധാനമാണിത്. ലക്ഷ്യസ്ഥാന വിലാസം എന്ന നിലയിൽ, തുരങ്കം നിർമ്മിക്കുന്ന പിയറിന്റെ ടണൽ ഇന്റർഫേസിന്റെ ഐപി വിലാസം നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട്. പ്രൊഫൈൽ ടൈമറുകൾ വ്യക്തമാക്കുന്നു, കണക്ഷൻ നഷ്ടപ്പെട്ടാൽ എന്തുചെയ്യണം. വീണ്ടെടുക്കാൻ കാത്തിരിക്കുക - കണക്ഷൻ പുനഃസ്ഥാപിക്കുന്നതുവരെ കാത്തിരിക്കുക, പരാജയപ്പെടുക — ലഭ്യമെങ്കിൽ മറ്റൊരു റൂട്ടിലൂടെ ട്രാഫിക് അയയ്‌ക്കുക. രണ്ടാമത്തെ ടണൽ സജ്ജീകരിക്കുന്നത് തികച്ചും സമാനമാണ്; രണ്ടാമത്തെ ടണൽ ഇന്റർഫേസും IKE ഗേറ്റ്‌വേയും വ്യക്തമാക്കിയിരിക്കുന്നു.

• റൂട്ടിംഗ് സജ്ജീകരിക്കുന്നു

ഈ ഉദാഹരണം സ്റ്റാറ്റിക് റൂട്ടിംഗ് ഉപയോഗിക്കുന്നു. PA-1 ഫയർവാളിൽ, രണ്ട് ഡിഫോൾട്ട് റൂട്ടുകൾക്ക് പുറമേ, ബ്രാഞ്ചിലെ 10.10.10.0/24 സബ്‌നെറ്റിലേക്കുള്ള രണ്ട് റൂട്ടുകൾ നിങ്ങൾ വ്യക്തമാക്കേണ്ടതുണ്ട്. ഒരു റൂട്ടിൽ ടണൽ-1, മറ്റൊന്ന് ടണൽ-2 ഉപയോഗിക്കുന്നു. ടണൽ-1 വഴിയുള്ള പാതയാണ് പ്രധാനം, കാരണം ഇതിന് താഴ്ന്ന മെട്രിക് ഉണ്ട്. മെക്കാനിസം പാത്ത് മോണിറ്ററിംഗ് ഈ റൂട്ടുകളിൽ ഉപയോഗിച്ചിട്ടില്ല. മാറുന്നതിനുള്ള ഉത്തരവാദിത്തം ടണൽ മോണിറ്റർ.

സബ്നെറ്റ് 192.168.30.0/24-നുള്ള അതേ റൂട്ടുകൾ PA-2-ൽ കോൺഫിഗർ ചെയ്യേണ്ടതുണ്ട്.

• നെറ്റ്‌വർക്ക് നിയമങ്ങൾ സജ്ജീകരിക്കുന്നു

തുരങ്കം പ്രവർത്തിക്കുന്നതിന്, മൂന്ന് നിയമങ്ങൾ ആവശ്യമാണ്:

1. ജോലിയ്ക്കായി പാത്ത് മോണിറ്റർ ബാഹ്യ ഇന്റർഫേസുകളിൽ ICMP അനുവദിക്കുക.
2. വേണ്ടി IPsec അപ്ലിക്കേഷനുകൾ അനുവദിക്കുക ഇകെ и ipsec ബാഹ്യ ഇന്റർഫേസുകളിൽ.
3. ആന്തരിക സബ്‌നെറ്റുകൾക്കും ടണൽ ഇന്റർഫേസുകൾക്കുമിടയിൽ ട്രാഫിക് അനുവദിക്കുക.

തീരുമാനം

ഈ ലേഖനം ഒരു തെറ്റ്-സഹിഷ്ണുതയുള്ള ഇന്റർനെറ്റ് കണക്ഷൻ സജ്ജീകരിക്കുന്നതിനുള്ള ഓപ്ഷനെക്കുറിച്ചും ചർച്ചചെയ്യുന്നു സൈറ്റ്-ടു-സൈറ്റ് VPN. വിവരങ്ങൾ ഉപയോഗപ്രദമായിരുന്നുവെന്നും ഉപയോഗിക്കുന്ന സാങ്കേതികവിദ്യകളെക്കുറിച്ച് വായനക്കാരന് ഒരു ആശയം ലഭിക്കുമെന്നും ഞങ്ങൾ പ്രതീക്ഷിക്കുന്നു പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ. ഭാവിയിലെ ലേഖനങ്ങൾക്കുള്ള വിഷയങ്ങളെക്കുറിച്ചുള്ള സജ്ജീകരണത്തെയും നിർദ്ദേശങ്ങളെയും കുറിച്ച് നിങ്ങൾക്ക് ചോദ്യങ്ങളുണ്ടെങ്കിൽ, അവ അഭിപ്രായങ്ങളിൽ എഴുതുക, ഉത്തരം നൽകുന്നതിൽ ഞങ്ങൾക്ക് സന്തോഷമുണ്ട്.

അവലംബം: www.habr.com