GOST അനുസരിച്ച് ഞങ്ങൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നു: ഡൈനാമിക് ട്രാഫിക് റൂട്ടിംഗ് സജ്ജീകരിക്കുന്നതിനുള്ള ഒരു ഗൈഡ്

നിങ്ങളുടെ കമ്പനി സ്വകാര്യ ഡാറ്റയും മറ്റ് രഹസ്യാത്മക വിവരങ്ങളും നെറ്റ്‌വർക്കിലൂടെ കൈമാറുകയോ സ്വീകരിക്കുകയോ ചെയ്താൽ, അത് നിയമത്തിന് അനുസൃതമായി പരിരക്ഷയ്ക്ക് വിധേയമാണ്, അത് GOST എൻക്രിപ്ഷൻ ഉപയോഗിക്കേണ്ടതുണ്ട്. ഉപഭോക്താക്കളിൽ ഒരാളിൽ എസ്-ടെറ ക്രിപ്‌റ്റോ ഗേറ്റ്‌വേ (സിഎസ്) അടിസ്ഥാനമാക്കി അത്തരം എൻക്രിപ്‌ഷൻ ഞങ്ങൾ എങ്ങനെയാണ് നടപ്പിലാക്കിയതെന്ന് ഇന്ന് ഞങ്ങൾ നിങ്ങളോട് പറയും. ഈ സ്റ്റോറി ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സ്പെഷ്യലിസ്റ്റുകൾക്കും എഞ്ചിനീയർമാർക്കും ഡിസൈനർമാർക്കും ആർക്കിടെക്റ്റുകൾക്കും താൽപ്പര്യമുള്ളതായിരിക്കും. ഈ പോസ്റ്റിലെ സാങ്കേതിക കോൺഫിഗറേഷന്റെ സൂക്ഷ്മതകളിലേക്ക് ഞങ്ങൾ ആഴത്തിൽ ഇറങ്ങില്ല; അടിസ്ഥാന സജ്ജീകരണത്തിന്റെ പ്രധാന പോയിന്റുകളിൽ ഞങ്ങൾ ശ്രദ്ധ കേന്ദ്രീകരിക്കും. S-Terra CS അടിസ്ഥാനമാക്കിയുള്ള Linux OS ഡെമണുകൾ സജ്ജീകരിക്കുന്നതിനുള്ള ഡോക്യുമെന്റേഷന്റെ വലിയ അളവുകൾ ഇന്റർനെറ്റിൽ സൗജന്യമായി ലഭ്യമാണ്. പ്രൊപ്രൈറ്ററി എസ്-ടെറ സോഫ്റ്റ്‌വെയർ സജ്ജീകരിക്കുന്നതിനുള്ള ഡോക്യുമെന്റേഷനും പൊതുവായി ലഭ്യമാണ് പോർട്ടൽ നിർമ്മാതാവ്.

പദ്ധതിയെക്കുറിച്ച് കുറച്ച് വാക്കുകൾ

ഉപഭോക്താവിന്റെ നെറ്റ്‌വർക്ക് ടോപ്പോളജി സ്റ്റാൻഡേർഡ് ആയിരുന്നു - കേന്ദ്രത്തിനും ശാഖകൾക്കും ഇടയിലുള്ള പൂർണ്ണ മെഷ്. എല്ലാ സൈറ്റുകൾക്കുമിടയിൽ വിവര കൈമാറ്റ ചാനലുകളുടെ എൻക്രിപ്ഷൻ അവതരിപ്പിക്കേണ്ടത് ആവശ്യമാണ്, അതിൽ 8 എണ്ണം ഉണ്ടായിരുന്നു.

സാധാരണയായി അത്തരം പ്രോജക്റ്റുകളിൽ എല്ലാം സ്റ്റാറ്റിക് ആണ്: സൈറ്റിന്റെ പ്രാദേശിക നെറ്റ്‌വർക്കിലേക്കുള്ള സ്റ്റാറ്റിക് റൂട്ടുകൾ ക്രിപ്റ്റോ ഗേറ്റ്‌വേകളിൽ (സിജികൾ) സജ്ജീകരിച്ചിരിക്കുന്നു, എൻക്രിപ്ഷനുള്ള ഐപി വിലാസങ്ങളുടെ (എസിഎൽ) ലിസ്റ്റുകൾ രജിസ്റ്റർ ചെയ്തിട്ടുണ്ട്. എന്നിരുന്നാലും, ഈ സാഹചര്യത്തിൽ, സൈറ്റുകൾക്ക് കേന്ദ്രീകൃത നിയന്ത്രണം ഇല്ല, കൂടാതെ അവരുടെ പ്രാദേശിക നെറ്റ്‌വർക്കുകൾക്കുള്ളിൽ എന്തും സംഭവിക്കാം: സാധ്യമായ എല്ലാ വഴികളിലും നെറ്റ്‌വർക്കുകൾ ചേർക്കാനും ഇല്ലാതാക്കാനും പരിഷ്‌ക്കരിക്കാനും കഴിയും. സൈറ്റുകളിലെ ലോക്കൽ നെറ്റ്‌വർക്കുകളുടെ വിലാസം മാറ്റുമ്പോൾ കെഎസിൽ റൂട്ടിംഗും എസിഎല്ലും പുനഃക്രമീകരിക്കുന്നത് ഒഴിവാക്കാൻ, സൈറ്റുകളിലെ നെറ്റ്‌വർക്ക് കോർ ലെവലിലുള്ള എല്ലാ കെഎസും മിക്ക റൂട്ടറുകളും ഉൾപ്പെടുന്ന ജിആർഇ ടണലിംഗും ഒഎസ്‌പിഎഫ് ഡൈനാമിക് റൂട്ടിംഗും ഉപയോഗിക്കാൻ തീരുമാനിച്ചു ( ചില സൈറ്റുകളിൽ, ഇൻഫ്രാസ്ട്രക്ചർ അഡ്മിനിസ്ട്രേറ്റർമാർ കെർണൽ റൂട്ടറുകളിൽ KS-ന് നേരെ SNAT ഉപയോഗിക്കുന്നതിന് മുൻഗണന നൽകി).

GRE ടണലിംഗ് രണ്ട് പ്രശ്നങ്ങൾ പരിഹരിക്കാൻ ഞങ്ങളെ അനുവദിച്ചു:
1. ACL-ൽ എൻക്രിപ്ഷൻ ചെയ്യുന്നതിന് CS-ന്റെ ബാഹ്യ ഇന്റർഫേസിന്റെ IP വിലാസം ഉപയോഗിക്കുക, അത് മറ്റ് സൈറ്റുകളിലേക്ക് അയച്ച എല്ലാ ട്രാഫിക്കും ഉൾക്കൊള്ളുന്നു.
2. ഡൈനാമിക് റൂട്ടിംഗ് സജ്ജീകരിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്ന CS-കൾക്കിടയിൽ ptp ടണലുകൾ സംഘടിപ്പിക്കുക (ഞങ്ങളുടെ കാര്യത്തിൽ, ദാതാവിന്റെ MPLS L3VPN സൈറ്റുകൾക്കിടയിൽ ക്രമീകരിച്ചിരിക്കുന്നു).

ഒരു സേവനമായി എൻക്രിപ്ഷൻ നടപ്പിലാക്കാൻ ക്ലയന്റ് ഉത്തരവിട്ടു. അല്ലെങ്കിൽ, അയാൾക്ക് ക്രിപ്‌റ്റോ ഗേറ്റ്‌വേകൾ പരിപാലിക്കുകയോ ഏതെങ്കിലും സ്ഥാപനത്തിന് ഔട്ട്‌സോഴ്‌സ് ചെയ്യുകയോ മാത്രമല്ല, എൻക്രിപ്‌ഷൻ സർട്ടിഫിക്കറ്റുകളുടെ ജീവിത ചക്രം സ്വതന്ത്രമായി നിരീക്ഷിക്കുകയും കൃത്യസമയത്ത് അവ പുതുക്കുകയും പുതിയവ ഇൻസ്റ്റാൾ ചെയ്യുകയും വേണം.

ഇപ്പോൾ യഥാർത്ഥ മെമ്മോ - ഞങ്ങൾ എങ്ങനെ, എന്ത് കോൺഫിഗർ ചെയ്തു

CII വിഷയത്തിലേക്കുള്ള കുറിപ്പ്: ഒരു ക്രിപ്‌റ്റോ ഗേറ്റ്‌വേ സജ്ജീകരിക്കുന്നു

അടിസ്ഥാന നെറ്റ്‌വർക്ക് സജ്ജീകരണം

ഒന്നാമതായി, ഞങ്ങൾ ഒരു പുതിയ CS സമാരംഭിക്കുകയും അഡ്മിനിസ്ട്രേഷൻ കൺസോളിൽ പ്രവേശിക്കുകയും ചെയ്യുന്നു. ബിൽറ്റ്-ഇൻ അഡ്മിനിസ്ട്രേറ്റർ പാസ്‌വേഡ് - കമാൻഡ് മാറ്റിക്കൊണ്ട് നിങ്ങൾ ആരംഭിക്കണം ഉപയോക്തൃ പാസ്‌വേഡ് അഡ്മിനിസ്ട്രേറ്റർ മാറ്റുക. തുടർന്ന് നിങ്ങൾ പ്രാരംഭ നടപടിക്രമം നടത്തേണ്ടതുണ്ട് (കമാൻഡ് ആരംഭിക്കുക) ഈ സമയത്ത് ലൈസൻസ് ഡാറ്റ നൽകുകയും റാൻഡം നമ്പർ സെൻസർ (RNS) ആരംഭിക്കുകയും ചെയ്യുന്നു.

ശ്രദ്ധിക്കുക! S-Terra CC ആരംഭിക്കുമ്പോൾ, സുരക്ഷാ ഗേറ്റ്‌വേ ഇന്റർഫേസുകൾ പാക്കറ്റുകൾ കടന്നുപോകാൻ അനുവദിക്കാത്ത ഒരു സുരക്ഷാ നയം സ്ഥാപിക്കപ്പെടുന്നു. നിങ്ങൾ ഒന്നുകിൽ നിങ്ങളുടെ സ്വന്തം നയം സൃഷ്ടിക്കണം അല്ലെങ്കിൽ കമാൻഡ് ഉപയോഗിക്കണം csconf_mgr സജീവമാക്കുക മുൻകൂട്ടി നിശ്ചയിച്ച അനുവദനീയമായ നയം സജീവമാക്കുക.
അടുത്തതായി, നിങ്ങൾ ബാഹ്യവും ആന്തരികവുമായ ഇന്റർഫേസുകളുടെ വിലാസവും സ്ഥിരസ്ഥിതി റൂട്ടും ക്രമീകരിക്കേണ്ടതുണ്ട്. CS നെറ്റ്‌വർക്ക് കോൺഫിഗറേഷനുമായി പ്രവർത്തിക്കുകയും സിസ്‌കോ പോലുള്ള കൺസോൾ വഴി എൻക്രിപ്ഷൻ കോൺഫിഗർ ചെയ്യുകയും ചെയ്യുന്നതാണ് അഭികാമ്യം. Cisco IOS കമാൻഡുകൾക്ക് സമാനമായ കമാൻഡുകൾ നൽകാനാണ് ഈ കൺസോൾ രൂപകൽപ്പന ചെയ്തിരിക്കുന്നത്. സിസ്‌കോ പോലുള്ള കൺസോൾ ഉപയോഗിച്ച് സൃഷ്‌ടിച്ച കോൺഫിഗറേഷൻ, OS ഡെമണുകൾ പ്രവർത്തിക്കുന്ന അനുബന്ധ കോൺഫിഗറേഷൻ ഫയലുകളായി പരിവർത്തനം ചെയ്യപ്പെടുന്നു. കമാൻഡ് ഉപയോഗിച്ച് അഡ്മിനിസ്ട്രേഷൻ കൺസോളിൽ നിന്ന് നിങ്ങൾക്ക് സിസ്‌കോ പോലുള്ള കൺസോളിലേക്ക് പോകാം കോൺഫിഗർ.

അന്തർനിർമ്മിത ഉപയോക്തൃ cscons-നുള്ള പാസ്‌വേഡുകൾ മാറ്റി പ്രവർത്തനക്ഷമമാക്കുക:

> പ്രാപ്തമാക്കുക
പാസ്‌വേഡ്: csp (പ്രീഇൻസ്റ്റാൾ ചെയ്‌തത്)
#ടെർമിനൽ കോൺഫിഗർ ചെയ്യുക
#username cscons പ്രിവിലേജ് 15 രഹസ്യം 0 #രഹസ്യം പ്രവർത്തനക്ഷമമാക്കുക 0 അടിസ്ഥാന നെറ്റ്‌വർക്ക് കോൺഫിഗറേഷൻ സജ്ജീകരിക്കുക:

#ഇന്റർഫേസ് GigabitEthernet0/0
#ip വിലാസം 10.111.21.3 255.255.255.0
#ഷട്ട്ഡൗൺ ഇല്ല
#ഇന്റർഫേസ് GigabitEthernet0/1
#ip വിലാസം 192.168.2.5 255.255.255.252
#ഷട്ട്ഡൗൺ ഇല്ല
#ip റൂട്ട് 0.0.0.0 0.0.0.0 10.111.21.254

ജി.ആർ.

സിസ്‌കോ പോലുള്ള കൺസോളിൽ നിന്ന് പുറത്തുകടന്ന് കമാൻഡ് ഉപയോഗിച്ച് ഡെബിയൻ ഷെല്ലിലേക്ക് പോകുക സിസ്റ്റം. ഉപയോക്താവിനായി നിങ്ങളുടെ സ്വന്തം പാസ്‌വേഡ് സജ്ജമാക്കുക വേര് ടീം പാസ്സ്വേർഡ്.
ഓരോ കൺട്രോൾ റൂമിലും ഓരോ സൈറ്റിനും പ്രത്യേകം ടണൽ ക്രമീകരിച്ചിട്ടുണ്ട്. ഫയലിൽ ടണൽ ഇന്റർഫേസ് ക്രമീകരിച്ചിരിക്കുന്നു / etc / നെറ്റ്‌വർക്ക് / ഇന്റർഫേസുകൾ. പ്രീഇൻസ്റ്റാൾ ചെയ്ത iproute2 സെറ്റിൽ ഉൾപ്പെടുത്തിയിരിക്കുന്ന IP ടണൽ യൂട്ടിലിറ്റി, ഇന്റർഫേസ് തന്നെ സൃഷ്ടിക്കുന്നതിനുള്ള ഉത്തരവാദിത്തമാണ്. ഇന്റർഫേസ് ക്രിയേഷൻ കമാൻഡ് പ്രീ-അപ്പ് ഓപ്ഷനിൽ എഴുതിയിരിക്കുന്നു.

ഒരു സാധാരണ ടണൽ ഇന്റർഫേസിന്റെ കോൺഫിഗറേഷൻ ഉദാഹരണം:
യാന്ത്രിക സൈറ്റ്1
iface site1 inet സ്റ്റാറ്റിക്
വിലാസം 192.168.1.4
നെറ്റ്മാസ്ക് 255.255.255.254
പ്രീ-അപ്പ് ഐപി ടണൽ സൈറ്റ്1 മോഡ് ഗ്രെ ലോക്കൽ 10.111.21.3 റിമോട്ട് 10.111.22.3 കീ hfLYEg^vCh6p ചേർക്കുക

ശ്രദ്ധിക്കുക! ടണൽ ഇന്റർഫേസുകളുടെ ക്രമീകരണങ്ങൾ വിഭാഗത്തിന് പുറത്ത് സ്ഥിതിചെയ്യണം എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്

###netifcfg-ആരംഭിക്കുക###
*****
###netifcfg-end###

അല്ലെങ്കിൽ, സിസ്‌കോ പോലുള്ള കൺസോളിലൂടെ ഫിസിക്കൽ ഇന്റർഫേസുകളുടെ നെറ്റ്‌വർക്ക് ക്രമീകരണങ്ങൾ മാറ്റുമ്പോൾ ഈ ക്രമീകരണങ്ങൾ തിരുത്തിയെഴുതപ്പെടും.

ഡൈനാമിക് റൂട്ടിംഗ്

എസ്-ടെറയിൽ, ക്വാഗ്ഗ സോഫ്റ്റ്‌വെയർ പാക്കേജ് ഉപയോഗിച്ചാണ് ഡൈനാമിക് റൂട്ടിംഗ് നടപ്പിലാക്കുന്നത്. OSPF കോൺഫിഗർ ചെയ്യുന്നതിന് ഡെമണുകൾ പ്രവർത്തനക്ഷമമാക്കുകയും കോൺഫിഗർ ചെയ്യുകയും ചെയ്യേണ്ടതുണ്ട് സീബ്ര и ഒഎസ്പിഎഫ്ഡി. റൂട്ടിംഗ് ഡെമണുകളും ഒഎസും തമ്മിലുള്ള ആശയവിനിമയത്തിന് സീബ്രാ ഡെമൺ ഉത്തരവാദിയാണ്. OSPF പ്രോട്ടോക്കോൾ നടപ്പിലാക്കുന്നതിനുള്ള ഉത്തരവാദിത്തം, പേര് സൂചിപ്പിക്കുന്നത് പോലെ, ospfd ഡെമൺ ആണ്.
ഡെമൺ കൺസോൾ വഴിയോ അല്ലെങ്കിൽ കോൺഫിഗറേഷൻ ഫയൽ വഴിയോ OSPF ക്രമീകരിച്ചിരിക്കുന്നു /etc/quagga/ospfd.conf. ഡൈനാമിക് റൂട്ടിംഗിൽ പങ്കെടുക്കുന്ന എല്ലാ ഫിസിക്കൽ, ടണൽ ഇന്റർഫേസുകളും ഫയലിലേക്ക് ചേർക്കുന്നു, കൂടാതെ പരസ്യം ചെയ്യപ്പെടുകയും അറിയിപ്പുകൾ സ്വീകരിക്കുകയും ചെയ്യുന്ന നെറ്റ്‌വർക്കുകളും പ്രഖ്യാപിക്കപ്പെടും.

ചേർക്കേണ്ട കോൺഫിഗറേഷന്റെ ഒരു ഉദാഹരണം ospfd.conf:
ഇന്റർഫേസ് eth0
!
ഇന്റർഫേസ് eth1
!
ഇന്റർഫേസ് സൈറ്റ്1
!
ഇന്റർഫേസ് സൈറ്റ്2
റൂട്ടർ ഒഎസ്പിഎഫ്
ospf റൂട്ടർ-ഐഡി 192.168.2.21
നെറ്റ്വർക്ക് 192.168.1.4/31 ഏരിയ 0.0.0.0
നെറ്റ്വർക്ക് 192.168.1.16/31 ഏരിയ 0.0.0.0
നെറ്റ്വർക്ക് 192.168.2.4/30 ഏരിയ 0.0.0.0

ഈ സാഹചര്യത്തിൽ, സൈറ്റുകൾക്കിടയിലുള്ള ടണൽ പി‌ടി‌പി നെറ്റ്‌വർക്കുകൾക്കായി 192.168.1.x/31 വിലാസങ്ങൾ റിസർവ് ചെയ്‌തിരിക്കുന്നു, 192.168.2.x/30 വിലാസങ്ങൾ സി‌എസിനും കേർണൽ റൂട്ടറുകൾക്കും ഇടയിലുള്ള ട്രാൻസിറ്റ് നെറ്റ്‌വർക്കുകൾക്കായി നീക്കിവച്ചിരിക്കുന്നു.

ശ്രദ്ധിക്കുക! വലിയ ഇൻസ്റ്റാളേഷനുകളിൽ റൂട്ടിംഗ് ടേബിൾ കുറയ്ക്കുന്നതിന്, കൺസ്ട്രക്‌റ്റുകൾ ഉപയോഗിച്ച് നിങ്ങൾക്ക് ട്രാൻസിറ്റ് നെറ്റ്‌വർക്കുകളുടെ അറിയിപ്പ് ഫിൽട്ടർ ചെയ്യാം. പുനർവിതരണം ബന്ധിപ്പിച്ചിട്ടില്ല അഥവാ ബന്ധിപ്പിച്ച റൂട്ട് മാപ്പ് പുനർവിതരണം ചെയ്യുക.

ഡെമണുകൾ ക്രമീകരിച്ച ശേഷം, നിങ്ങൾ ഡെമണുകളുടെ സ്റ്റാർട്ടപ്പ് നില മാറ്റേണ്ടതുണ്ട് /etc/quagga/deemons. ഓപ്ഷനുകളിൽ സീബ്ര и ഒഎസ്പിഎഫ്ഡി അതെ എന്നതിന് മാറ്റമില്ല. നിങ്ങൾ കെഎസ് കമാൻഡ് ആരംഭിക്കുമ്പോൾ ക്വാഗ്ഗ ഡെമൺ ആരംഭിച്ച് ഓട്ടോറൺ ആയി സജ്ജമാക്കുക update-rc.d quagga പ്രവർത്തനക്ഷമമാക്കുക.

GRE ടണലുകളുടെയും OSPF-ന്റെയും കോൺഫിഗറേഷൻ ശരിയായി ചെയ്താൽ, മറ്റ് സൈറ്റുകളുടെ നെറ്റ്‌വർക്കിലെ റൂട്ടുകൾ KSh, കോർ റൂട്ടറുകളിൽ ദൃശ്യമാകും, അതിനാൽ പ്രാദേശിക നെറ്റ്‌വർക്കുകൾ തമ്മിലുള്ള നെറ്റ്‌വർക്ക് കണക്റ്റിവിറ്റി ഉണ്ടാകുന്നു.

ഞങ്ങൾ ട്രാൻസ്മിറ്റ് ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യുന്നു

ഇതിനകം എഴുതിയത് പോലെ, സാധാരണയായി സൈറ്റുകൾക്കിടയിൽ എൻക്രിപ്റ്റ് ചെയ്യുമ്പോൾ, ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്ന IP വിലാസ ശ്രേണികൾ (ACL-കൾ) ഞങ്ങൾ വ്യക്തമാക്കുന്നു: ഉറവിടവും ലക്ഷ്യസ്ഥാന വിലാസങ്ങളും ഈ ശ്രേണികളിൽ വരുന്നെങ്കിൽ, അവയ്ക്കിടയിലുള്ള ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യപ്പെടും. എന്നിരുന്നാലും, ഈ പദ്ധതിയിൽ ഘടന ചലനാത്മകമാണ്, വിലാസങ്ങൾ മാറിയേക്കാം. ഞങ്ങൾ ഇതിനകം GRE ടണലിംഗ് കോൺഫിഗർ ചെയ്‌തിരിക്കുന്നതിനാൽ, ട്രാഫിക് എൻക്രിപ്റ്റ് ചെയ്യുന്നതിനുള്ള ഉറവിടമായും ലക്ഷ്യസ്ഥാന വിലാസമായും ഞങ്ങൾക്ക് ബാഹ്യ KS വിലാസങ്ങൾ വ്യക്തമാക്കാൻ കഴിയും - എല്ലാത്തിനുമുപരി, GRE പ്രോട്ടോക്കോൾ ഇതിനകം ഉൾക്കൊള്ളിച്ച ട്രാഫിക് എൻക്രിപ്ഷനായി എത്തുന്നു. മറ്റൊരു വിധത്തിൽ പറഞ്ഞാൽ, ഒരു സൈറ്റിന്റെ ലോക്കൽ നെറ്റ്‌വർക്കിൽ നിന്ന് മറ്റ് സൈറ്റുകൾ പ്രഖ്യാപിച്ച നെറ്റ്‌വർക്കുകളിലേക്ക് സിഎസിലേക്ക് വരുന്നതെല്ലാം എൻക്രിപ്റ്റ് ചെയ്തിരിക്കുന്നു. ഓരോ സൈറ്റുകൾക്കകത്തും ഏത് റീഡയറക്‌ഷനും നടത്താനാകും. അതിനാൽ, ലോക്കൽ നെറ്റ്‌വർക്കുകളിൽ എന്തെങ്കിലും മാറ്റമുണ്ടെങ്കിൽ, അഡ്മിനിസ്ട്രേറ്റർ തന്റെ നെറ്റ്‌വർക്കിൽ നിന്ന് നെറ്റ്‌വർക്കിലേക്ക് വരുന്ന അറിയിപ്പുകൾ പരിഷ്‌ക്കരിച്ചാൽ മതിയാകും, അത് മറ്റ് സൈറ്റുകൾക്ക് ലഭ്യമാകും.

S-Terra CS-ലെ എൻക്രിപ്ഷൻ IPSec പ്രോട്ടോക്കോൾ ഉപയോഗിച്ചാണ് നടത്തുന്നത്. GOST R 34.12-2015 അനുസരിച്ച് ഞങ്ങൾ "വെട്ടുകിളി" അൽഗോരിതം ഉപയോഗിക്കുന്നു, കൂടാതെ പഴയ പതിപ്പുകളുമായുള്ള അനുയോജ്യതയ്ക്കായി നിങ്ങൾക്ക് GOST 28147-89 ഉപയോഗിക്കാം. മുൻകൂട്ടി നിശ്ചയിച്ച കീകളിലും (PSK) സർട്ടിഫിക്കറ്റുകളിലും സാങ്കേതികമായി പ്രാമാണീകരണം നടത്താം. എന്നിരുന്നാലും, വ്യാവസായിക പ്രവർത്തനത്തിൽ GOST R 34.10-2012 അനുസരിച്ച് നൽകിയ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണ്.

സർട്ടിഫിക്കറ്റുകൾ, കണ്ടെയ്നറുകൾ, CRL-കൾ എന്നിവ ഉപയോഗിച്ച് പ്രവർത്തിക്കുന്നത് യൂട്ടിലിറ്റി ഉപയോഗിച്ചാണ് cert_mgr. ഒന്നാമതായി, കമാൻഡ് ഉപയോഗിച്ച് cert_mgr സൃഷ്ടിക്കുക ഒരു സ്വകാര്യ കീ കണ്ടെയ്‌നറും ഒരു സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥനയും സൃഷ്ടിക്കേണ്ടത് ആവശ്യമാണ്, അത് സർട്ടിഫിക്കറ്റ് മാനേജ്‌മെന്റ് സെന്ററിലേക്ക് അയയ്‌ക്കും. സർട്ടിഫിക്കറ്റ് ലഭിച്ച ശേഷം, അത് റൂട്ട് CA സർട്ടിഫിക്കറ്റും CRL (ഉപയോഗിക്കുകയാണെങ്കിൽ) കമാൻഡ് സഹിതം ഇറക്കുമതി ചെയ്യണം. cert_mgr ഇറക്കുമതി. എല്ലാ സർട്ടിഫിക്കറ്റുകളും CRL-കളും കമാൻഡ് ഉപയോഗിച്ച് ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടെന്ന് നിങ്ങൾക്ക് ഉറപ്പാക്കാം cert_mgr ഷോ.

സർട്ടിഫിക്കറ്റുകൾ വിജയകരമായി ഇൻസ്റ്റാൾ ചെയ്ത ശേഷം, IPSec കോൺഫിഗർ ചെയ്യുന്നതിന് Cisco-പോലുള്ള കൺസോളിലേക്ക് പോകുക.
സൃഷ്ടിക്കുന്ന സുരക്ഷിത ചാനലിന്റെ ആവശ്യമുള്ള അൽഗോരിതങ്ങളും പാരാമീറ്ററുകളും വ്യക്തമാക്കുന്ന ഒരു IKE നയം ഞങ്ങൾ സൃഷ്ടിക്കുന്നു, അത് പങ്കാളിക്ക് അംഗീകാരത്തിനായി വാഗ്ദാനം ചെയ്യും.

#crypto isakmp പോളിസി 1000
#encr gost341215k
#hash gost341112-512-tc26
# പ്രാമാണീകരണ ചിഹ്നം
#ഗ്രൂപ്പ് vko2
#ജീവിതകാലം 3600

IPSec-ന്റെ ആദ്യ ഘട്ടം നിർമ്മിക്കുമ്പോൾ ഈ നയം ബാധകമാണ്. ആദ്യഘട്ടം വിജയകരമായി പൂർത്തിയാക്കിയതിന്റെ ഫലമാണ് SA (സെക്യൂരിറ്റി അസോസിയേഷൻ) സ്ഥാപിക്കുന്നത്.
അടുത്തതായി, എൻക്രിപ്ഷനുള്ള ഉറവിടത്തിന്റെയും ലക്ഷ്യസ്ഥാനത്തിന്റെയും ഐപി വിലാസങ്ങളുടെ (ACL) ഒരു ലിസ്റ്റ് നിർവചിക്കേണ്ടതുണ്ട്, ഒരു ട്രാൻസ്ഫോർമേഷൻ സെറ്റ് സൃഷ്ടിക്കുക, ഒരു ക്രിപ്റ്റോഗ്രാഫിക് മാപ്പ് (ക്രിപ്റ്റോ മാപ്പ്) സൃഷ്ടിക്കുകയും അത് CS- ന്റെ ബാഹ്യ ഇന്റർഫേസുമായി ബന്ധിപ്പിക്കുകയും വേണം.

ACL സജ്ജമാക്കുക:
#ip ആക്സസ്-ലിസ്റ്റ് വിപുലീകരിച്ച സൈറ്റ്1
#പെർമിറ്റ് ഗ്രേ ഹോസ്റ്റ് 10.111.21.3 ഹോസ്റ്റ് 10.111.22.3

ഒരു കൂട്ടം പരിവർത്തനങ്ങൾ (ആദ്യ ഘട്ടത്തിന് സമാനമായി, സിമുലേഷൻ ഇൻസെർഷൻ ജനറേഷൻ മോഡ് ഉപയോഗിച്ച് ഞങ്ങൾ "ഗ്രാസ്‌ഷോപ്പർ" എൻക്രിപ്ഷൻ അൽഗോരിതം ഉപയോഗിക്കുന്നു):

#crypto ipsec പരിവർത്തനം-സെറ്റ് GOST esp-gost341215k-mac

ഞങ്ങൾ ഒരു ക്രിപ്‌റ്റോ മാപ്പ് സൃഷ്‌ടിക്കുന്നു, ACL, ട്രാൻസ്ഫോർമേഷൻ സെറ്റ്, പിയർ വിലാസം എന്നിവ വ്യക്തമാക്കുക:

#crypto മാപ്പ് MAIN 100 ipsec-isakmp
#പൊരുത്ത വിലാസം സൈറ്റ്1
#സെറ്റ് പരിവർത്തനം-സെറ്റ് GOST
#സെറ്റ് പിയർ 10.111.22.3

ക്യാഷ് രജിസ്റ്ററിന്റെ ബാഹ്യ ഇന്റർഫേസിലേക്ക് ഞങ്ങൾ ക്രിപ്റ്റോ കാർഡ് ബന്ധിപ്പിക്കുന്നു:

#ഇന്റർഫേസ് GigabitEthernet0/0
#ip വിലാസം 10.111.21.3 255.255.255.0
#ക്രിപ്‌റ്റോ മാപ്പ് മെയിൻ

മറ്റ് സൈറ്റുകൾ ഉപയോഗിച്ച് ചാനലുകൾ എൻക്രിപ്റ്റ് ചെയ്യുന്നതിന്, ഒരു ACL, ക്രിപ്റ്റോ കാർഡ് എന്നിവ സൃഷ്ടിക്കുന്നതിനും ACL നാമം, IP വിലാസങ്ങൾ, ക്രിപ്റ്റോ കാർഡ് നമ്പർ എന്നിവ മാറ്റുന്നതിനുമുള്ള നടപടിക്രമം നിങ്ങൾ ആവർത്തിക്കണം.

ശ്രദ്ധിക്കുക! CRL മുഖേനയുള്ള സർട്ടിഫിക്കറ്റ് പരിശോധന ഉപയോഗിക്കുന്നില്ലെങ്കിൽ, ഇത് വ്യക്തമായി വ്യക്തമാക്കിയിരിക്കണം:

#crypto pki Trustpoint s-terra_technological_trustpoint
#അസാധുവാക്കൽ-ഒന്നും പരിശോധിക്കരുത്

ഈ ഘട്ടത്തിൽ, സജ്ജീകരണം പൂർത്തിയായതായി കണക്കാക്കാം. സിസ്കോ പോലെയുള്ള കൺസോൾ കമാൻഡ് ഔട്ട്പുട്ടിൽ crypto isakmp sa കാണിക്കുക и crypto ipsec sa കാണിക്കുക IPSec-ന്റെ നിർമ്മിച്ച ഒന്നും രണ്ടും ഘട്ടങ്ങൾ പ്രതിഫലിപ്പിക്കണം. കമാൻഡ് ഉപയോഗിച്ച് സമാന വിവരങ്ങൾ ലഭിക്കും sa_mgr ഷോ, ഡെബിയൻ ഷെല്ലിൽ നിന്ന് നിർവ്വഹിച്ചത്. കമാൻഡ് ഔട്ട്പുട്ടിൽ cert_mgr ഷോ റിമോട്ട് സൈറ്റ് സർട്ടിഫിക്കറ്റുകൾ ദൃശ്യമാകണം. അത്തരം സർട്ടിഫിക്കറ്റുകളുടെ സ്റ്റാറ്റസ് ആയിരിക്കും വിദൂര. തുരങ്കങ്ങൾ നിർമ്മിക്കുന്നില്ലെങ്കിൽ, ഫയലിൽ സംഭരിച്ചിരിക്കുന്ന VPN സേവന ലോഗ് നിങ്ങൾ നോക്കേണ്ടതുണ്ട്. /var/log/cspvpngate.log. ലോഗ് ഫയലുകളുടെ ഒരു പൂർണ്ണമായ ലിസ്റ്റ്, അവയുടെ ഉള്ളടക്കങ്ങളുടെ വിവരണം ഡോക്യുമെന്റേഷനിൽ ലഭ്യമാണ്.

സിസ്റ്റത്തിന്റെ "ആരോഗ്യം" നിരീക്ഷിക്കുന്നു

S-Terra CC നിരീക്ഷണത്തിനായി സാധാരണ snmpd ഡെമൺ ഉപയോഗിക്കുന്നു. സാധാരണ ലിനക്സ് പാരാമീറ്ററുകൾക്ക് പുറമേ, CISCO-IPSEC-FLOW-MONITOR-MIB-ന് അനുസൃതമായി IPSec ടണലുകളെക്കുറിച്ചുള്ള ഡാറ്റ നൽകുന്നതിനെ S-Terra പിന്തുണയ്ക്കുന്നു, ഇതാണ് IPSec ടണലുകളുടെ നില നിരീക്ഷിക്കുമ്പോൾ ഞങ്ങൾ ഉപയോഗിക്കുന്നത്. സ്‌ക്രിപ്റ്റ് എക്‌സിക്യൂഷന്റെ ഫലങ്ങൾ മൂല്യങ്ങളായി നൽകുന്ന ഇഷ്‌ടാനുസൃത OID-കളുടെ പ്രവർത്തനക്ഷമതയും പിന്തുണയ്‌ക്കുന്നു. സർട്ടിഫിക്കറ്റ് കാലഹരണപ്പെടൽ തീയതികൾ ട്രാക്ക് ചെയ്യാൻ ഈ സവിശേഷത ഞങ്ങളെ അനുവദിക്കുന്നു. എഴുതിയ സ്ക്രിപ്റ്റ് കമാൻഡ് ഔട്ട്പുട്ട് പാഴ്സ് ചെയ്യുന്നു cert_mgr ഷോ അതിന്റെ ഫലമായി ലോക്കൽ, റൂട്ട് സർട്ടിഫിക്കറ്റുകൾ കാലഹരണപ്പെടുന്നതുവരെയുള്ള ദിവസങ്ങളുടെ എണ്ണം നൽകുന്നു. ധാരാളം CABG-കൾ നൽകുമ്പോൾ ഈ സാങ്കേതികവിദ്യ ഒഴിച്ചുകൂടാനാവാത്തതാണ്.

അത്തരം എൻക്രിപ്ഷന്റെ പ്രയോജനം എന്താണ്?

മുകളിൽ വിവരിച്ച എല്ലാ പ്രവർത്തനങ്ങളും S-Terra KSh ബോക്‌സിന് പുറത്ത് പിന്തുണയ്‌ക്കുന്നു. അതായത്, ക്രിപ്‌റ്റോ ഗേറ്റ്‌വേകളുടെ സർട്ടിഫിക്കേഷനെയും മുഴുവൻ വിവര സംവിധാനത്തിന്റെയും സർട്ടിഫിക്കേഷനെയും ബാധിക്കുന്ന അധിക മൊഡ്യൂളുകളൊന്നും ഇൻസ്റ്റാൾ ചെയ്യേണ്ട ആവശ്യമില്ല. ഇന്റർനെറ്റ് വഴി പോലും സൈറ്റുകൾക്കിടയിൽ ഏതെങ്കിലും ചാനലുകൾ ഉണ്ടാകാം.

ആന്തരിക ഇൻഫ്രാസ്ട്രക്ചർ മാറുമ്പോൾ, ക്രിപ്റ്റോ ഗേറ്റ്‌വേകൾ പുനഃക്രമീകരിക്കേണ്ട ആവശ്യമില്ല, സിസ്റ്റം ഒരു സേവനമായി പ്രവർത്തിക്കുന്നു, ഇത് ഉപഭോക്താവിന് വളരെ സൗകര്യപ്രദമാണ്: അയാൾക്ക് തന്റെ സേവനങ്ങൾ (ക്ലയന്റും സെർവറും) ഏത് വിലാസത്തിലും സ്ഥാപിക്കാൻ കഴിയും, കൂടാതെ എല്ലാ മാറ്റങ്ങളും എൻക്രിപ്ഷൻ ഉപകരണങ്ങൾക്കിടയിൽ ചലനാത്മകമായി കൈമാറ്റം ചെയ്യപ്പെടും.

തീർച്ചയായും, ഓവർഹെഡ് ചെലവുകൾ (ഓവർഹെഡ്) കാരണം എൻക്രിപ്ഷൻ ഡാറ്റാ ട്രാൻസ്ഫർ വേഗതയെ ബാധിക്കുന്നു, പക്ഷേ ചെറുതായി മാത്രം - ചാനൽ ത്രൂപുട്ട് പരമാവധി 5-10% വരെ കുറയും. അതേ സമയം, സാറ്റലൈറ്റ് ചാനലുകളിൽ പോലും സാങ്കേതികവിദ്യ പരീക്ഷിക്കുകയും നല്ല ഫലങ്ങൾ കാണിക്കുകയും ചെയ്തു, അവ തികച്ചും അസ്ഥിരവും കുറഞ്ഞ ബാൻഡ്‌വിഡ്ത്ത് ഉള്ളതുമാണ്.

ഇഗോർ വിനോഖോഡോവ്, റോസ്റ്റലെകോം-സോളാറിന്റെ ഭരണത്തിന്റെ രണ്ടാം നിരയിലെ എഞ്ചിനീയർ

അവലംബം: www.habr.com