पालो अल्टो नेटवर्क उपकरणांवर IPSec साइट-टू-साइट VPN सेट करणे

हा लेख चालू आहे मागील साहित्यउपकरणे सेट करण्याच्या वैशिष्ट्यांसाठी समर्पित पालो अल्टो नेटवर्क . येथे आपण सेटअपबद्दल बोलू इच्छितो IPSec साइट-टू-साइट VPN उपकरणांवर पालो अल्टो नेटवर्क आणि अनेक इंटरनेट प्रदाते कनेक्ट करण्यासाठी संभाव्य कॉन्फिगरेशन पर्यायाबद्दल.

प्रात्यक्षिकासाठी, मुख्य कार्यालयाला शाखेशी जोडण्यासाठी एक मानक योजना वापरली जाईल. दोष-सहिष्णु इंटरनेट कनेक्शन प्रदान करण्यासाठी, मुख्य कार्यालय दोन प्रदात्यांचे एकाचवेळी कनेक्शन वापरते: ISP-1 आणि ISP-2. शाखेचे फक्त एका प्रदात्याशी कनेक्शन आहे, ISP-3. फायरवॉल PA-1 आणि PA-2 मध्ये दोन बोगदे बांधले आहेत. बोगदे मोडमध्ये कार्य करतात सक्रिय-स्टँडबाय,बोगदा-1 सक्रिय आहे, बोगदा-2 अयशस्वी झाल्यावर बोगदा-1 रहदारी प्रसारित करण्यास प्रारंभ करेल. बोगदा-1 हे ISP-1 ला कनेक्शन वापरते, Tunnel-2 ISP-2 शी कनेक्शन वापरते. सर्व IP पत्ते प्रात्यक्षिक हेतूंसाठी यादृच्छिकपणे व्युत्पन्न केले जातात आणि त्यांचा वास्तविकतेशी कोणताही संबंध नाही.

साइट-टू-साइट व्हीपीएन तयार करण्यासाठी वापरला जाईल IPSec — IP द्वारे प्रसारित केलेल्या डेटाचे संरक्षण सुनिश्चित करण्यासाठी प्रोटोकॉलचा संच. IPSec सुरक्षा प्रोटोकॉल वापरून कार्य करेल ESP मध्ये (एनकॅप्स्युलेटिंग सिक्युरिटी पेलोड), जे प्रसारित डेटाचे एनक्रिप्शन सुनिश्चित करेल.

В IPSec प्रवेश करते आयकेई (इंटरनेट की एक्सचेंज) हा SA (सुरक्षा संघटना), सुरक्षितता मापदंडांच्या वाटाघाटीसाठी जबाबदार प्रोटोकॉल आहे जो प्रसारित डेटा संरक्षित करण्यासाठी वापरला जातो. पॅन फायरवॉल समर्थन IKEv1 и IKEv2.

В IKEv1 VPN कनेक्शन दोन टप्प्यात तयार केले आहे: IKEv1 फेज 1 (IKE बोगदा) आणि IKEv1 फेज 2 (IPSec बोगदा), अशा प्रकारे, दोन बोगदे तयार केले जातात, त्यापैकी एक फायरवॉल दरम्यान सेवा माहितीची देवाणघेवाण करण्यासाठी वापरला जातो, दुसरा वाहतूक ट्रान्समिशनसाठी. IN IKEv1 फेज 1 दोन ऑपरेटिंग मोड आहेत - मुख्य मोड आणि आक्रमक मोड. आक्रमक मोड कमी संदेश वापरतो आणि वेगवान आहे, परंतु पीअर आयडेंटिटी संरक्षणास समर्थन देत नाही.

IKEv2 बदलले IKEv1, आणि च्या तुलनेत IKEv1 त्याचा मुख्य फायदा कमी बँडविड्थ आवश्यकता आणि जलद SA वाटाघाटी आहे. IN IKEv2 कमी सेवा संदेश वापरले जातात (एकूण 4), EAP आणि MOBIKE प्रोटोकॉल समर्थित आहेत, आणि बोगदा तयार केलेल्या पीअरची उपलब्धता तपासण्यासाठी एक यंत्रणा जोडली गेली आहे - जिवंतपणा तपासा, IKEv1 मध्ये डेड पीअर डिटेक्शन बदलत आहे. चेक अयशस्वी झाल्यास, नंतर IKEv2 बोगदा रीसेट करू शकतो आणि नंतर पहिल्या संधीवर स्वयंचलितपणे पुनर्संचयित करू शकतो. तुम्ही फरकांबद्दल अधिक जाणून घेऊ शकता येथे वाचा.

जर वेगवेगळ्या उत्पादकांकडून फायरवॉल दरम्यान बोगदा तयार केला असेल तर अंमलबजावणीमध्ये दोष असू शकतात IKEv2, आणि अशा उपकरणांच्या सुसंगततेसाठी ते वापरणे शक्य आहे IKEv1. इतर बाबतीत ते वापरणे चांगले आहे IKEv2.

सेटअप पायऱ्या:

• ActiveStandby मोडमध्ये दोन इंटरनेट प्रदाते कॉन्फिगर करणे

हे कार्य अंमलात आणण्याचे अनेक मार्ग आहेत. त्यापैकी एक म्हणजे यंत्रणा वापरणे पथ देखरेख, जी आवृत्तीपासून सुरू होऊन उपलब्ध झाली PAN-OS 8.0.0. हे उदाहरण आवृत्ती ८.०.१६ वापरते. हे वैशिष्ट्य सिस्को राउटरमधील IP SLA सारखे आहे. स्टॅटिक डीफॉल्ट मार्ग पॅरामीटर विशिष्ट स्त्रोत पत्त्यावरून विशिष्ट IP पत्त्यावर पिंग पॅकेट पाठवणे कॉन्फिगर करते. या प्रकरणात, इथरनेट8.0.16/1 इंटरफेस डीफॉल्ट गेटवेला प्रति सेकंद एकदा पिंग करतो. सलग तीन पिंगांना प्रतिसाद न मिळाल्यास, मार्ग तुटलेला मानला जातो आणि रूटिंग टेबलमधून काढला जातो. समान मार्ग दुसऱ्या इंटरनेट प्रदात्याकडे कॉन्फिगर केला आहे, परंतु उच्च मेट्रिकसह (तो एक बॅकअप आहे). एकदा टेबलमधून पहिला मार्ग काढून टाकल्यानंतर, फायरवॉल दुसऱ्या मार्गाने रहदारी पाठवण्यास सुरुवात करेल − फेल-ओव्हर. जेव्हा पहिला प्रदाता पिंगांना प्रतिसाद देऊ लागतो, तेव्हा त्याचा मार्ग टेबलवर परत येईल आणि चांगल्या मेट्रिकमुळे दुसरा बदलेल - फेल-बॅक. प्रक्रिया फेल-ओव्हर कॉन्फिगर केलेल्या मध्यांतरांवर अवलंबून काही सेकंद लागतात, परंतु, कोणत्याही परिस्थितीत, प्रक्रिया त्वरित होत नाही आणि या काळात रहदारी गमावली जाते. फेल-बॅक रहदारीचे नुकसान न करता पास होते. करण्याची संधी आहे फेल-ओव्हर जलद, सह बी.एफ.डी., जर इंटरनेट प्रदाता अशी संधी प्रदान करते. बी.एफ.डी. मॉडेलपासून प्रारंभ करून समर्थित PA-3000 मालिका и व्हीएम -100. प्रदात्याच्या गेटवेला पिंग अॅड्रेस म्हणून न निर्दिष्ट करणे चांगले आहे, परंतु सार्वजनिक, नेहमी प्रवेश करण्यायोग्य इंटरनेट पत्ता.

• एक बोगदा इंटरफेस तयार करणे

बोगद्यातील वाहतूक विशेष आभासी इंटरफेसद्वारे प्रसारित केली जाते. त्यांपैकी प्रत्येकास ट्रान्झिट नेटवर्कवरून आयपी पत्त्यासह कॉन्फिगर करणे आवश्यक आहे. या उदाहरणात, सबस्टेशन 1/172.16.1.0 बोगदा-30 साठी वापरले जाईल, आणि सबस्टेशन 2/172.16.2.0 बोगदा-30 साठी वापरले जाईल.
विभागात बोगदा इंटरफेस तयार केला आहे नेटवर्क -> इंटरफेस -> बोगदा. तुम्ही व्हर्च्युअल राउटर आणि सिक्युरिटी झोन ​​तसेच संबंधित ट्रान्सपोर्ट नेटवर्कमधील IP पत्ता निर्दिष्ट करणे आवश्यक आहे. इंटरफेस क्रमांक काहीही असू शकतो.

विभाग प्रगत निर्दिष्ट केले जाऊ शकते व्यवस्थापन प्रोफाइलजे दिलेल्या इंटरफेसवर पिंग करण्यास अनुमती देईल, हे चाचणीसाठी उपयुक्त असू शकते.

• IKE प्रोफाइल सेट करणे

IKE प्रोफाइल VPN कनेक्शन तयार करण्याच्या पहिल्या टप्प्यासाठी जबाबदार आहे; बोगदा पॅरामीटर्स येथे निर्दिष्ट केले आहेत IKE फेज 1. प्रोफाइल विभागात तयार केले आहे नेटवर्क -> नेटवर्क प्रोफाइल -> IKE क्रिप्टो. एनक्रिप्शन अल्गोरिदम, हॅशिंग अल्गोरिदम, डिफी-हेलमन ग्रुप आणि की लाइफटाइम निर्दिष्ट करणे आवश्यक आहे. सर्वसाधारणपणे, अल्गोरिदम जितके अधिक क्लिष्ट तितके खराब कार्यप्रदर्शन; ते विशिष्ट सुरक्षा आवश्यकतांवर आधारित निवडले जावे. तथापि, संवेदनशील माहितीचे संरक्षण करण्यासाठी 14 वर्षाखालील डिफी-हेलमन गट वापरण्याची शिफारस केलेली नाही. हे प्रोटोकॉलच्या भेद्यतेमुळे आहे, जे केवळ 2048 बिट आणि त्याहून अधिक आकाराचे मॉड्यूल वापरून कमी केले जाऊ शकते, किंवा लंबवर्तुळाकार क्रिप्टोग्राफी अल्गोरिदम, जे 19, 20, 21, 24 गटांमध्ये वापरले जातात. या अल्गोरिदमची कार्यक्षमता तुलनेत जास्त आहे पारंपारिक क्रिप्टोग्राफी. येथे अधिक वाचा. आणि येथे.

• IPSec प्रोफाइल सेट करणे

VPN कनेक्शन तयार करण्याचा दुसरा टप्पा म्हणजे IPSec बोगदा. त्यासाठी SA पॅरामीटर्स कॉन्फिगर केले आहेत नेटवर्क -> नेटवर्क प्रोफाइल -> IPSec क्रिप्टो प्रोफाइल. येथे तुम्हाला IPSec प्रोटोकॉल निर्दिष्ट करणे आवश्यक आहे - AH किंवा ESP मध्ये, तसेच पॅरामीटर्स SA — हॅशिंग अल्गोरिदम, एन्क्रिप्शन, डिफी-हेलमन गट आणि मुख्य जीवनकाल. IKE Crypto Profile आणि IPSec Crypto Profile मधील SA पॅरामीटर्स कदाचित एकसारखे नसतील.

• IKE गेटवे कॉन्फिगर करत आहे

IKE गेटवे - ही एक वस्तू आहे जी राउटर किंवा फायरवॉल नियुक्त करते ज्यासह व्हीपीएन बोगदा तयार केला जातो. प्रत्येक बोगद्यासाठी तुम्हाला तुमचा स्वतःचा बोगदा तयार करावा लागेल IKE गेटवे. या प्रकरणात, प्रत्येक इंटरनेट प्रदात्याद्वारे दोन बोगदे तयार केले जातात. संबंधित आउटगोइंग इंटरफेस आणि त्याचा IP पत्ता, पीअर IP पत्ता आणि सामायिक की दर्शविली आहे. सामायिक की ला पर्याय म्हणून प्रमाणपत्रे वापरली जाऊ शकतात.

पूर्वी तयार केलेले येथे सूचित केले आहे IKE क्रिप्टो प्रोफाइल. दुसऱ्या ऑब्जेक्टचे पॅरामीटर्स IKE गेटवे समान, IP पत्ते वगळता. जर पालो अल्टो नेटवर्क फायरवॉल NAT राउटरच्या मागे स्थित असेल, तर तुम्हाला यंत्रणा सक्षम करणे आवश्यक आहे. NAT ट्रॅव्हर्सल.

• IPSec बोगदा सेट करणे

IPSec बोगदा नावाप्रमाणे IPSec टनेल पॅरामीटर्स निर्दिष्ट करणारी एक ऑब्जेक्ट आहे. येथे आपल्याला बोगदा इंटरफेस आणि पूर्वी तयार केलेल्या वस्तू निर्दिष्ट करण्याची आवश्यकता आहे IKE गेटवे, IPSec क्रिप्टो प्रोफाइल. बॅकअप बोगद्यावर राउटिंगचे स्वयंचलित स्विचिंग सुनिश्चित करण्यासाठी, आपण सक्षम करणे आवश्यक आहे टनेल मॉनिटर. ही एक यंत्रणा आहे जी ICMP ट्रॅफिक वापरून पीअर जिवंत आहे की नाही हे तपासते. गंतव्य पत्ता म्हणून, तुम्हाला बोगदा बांधला जात असलेल्या पीअरच्या टनेल इंटरफेसचा IP पत्ता निर्दिष्ट करणे आवश्यक आहे. प्रोफाइल टाइमर निर्दिष्ट करते आणि कनेक्शन गमावल्यास काय करावे. पुनर्प्राप्ती प्रतीक्षा करा - कनेक्शन पुनर्संचयित होईपर्यंत प्रतीक्षा करा, फेल ओव्हर — उपलब्ध असल्यास वेगळ्या मार्गाने रहदारी पाठवा. दुसरा बोगदा सेट करणे पूर्णपणे समान आहे; दुसरा बोगदा इंटरफेस आणि IKE गेटवे निर्दिष्ट केले आहेत.

• राउटिंग सेट करणे

हे उदाहरण स्थिर राउटिंग वापरते. PA-1 फायरवॉलवर, दोन डीफॉल्ट मार्गांव्यतिरिक्त, तुम्हाला शाखेतील 10.10.10.0/24 सबनेटसाठी दोन मार्ग निर्दिष्ट करणे आवश्यक आहे. एक मार्ग बोगदा-1, दुसरा बोगदा-2 वापरतो. बोगदा-1 मधून जाणारा मार्ग मुख्य आहे कारण त्यात कमी मेट्रिक आहे. यंत्रणा पथ देखरेख या मार्गांसाठी वापरले जात नाही. स्विचिंगसाठी जबाबदार टनेल मॉनिटर.

सबनेट 192.168.30.0/24 साठी समान मार्ग PA-2 वर कॉन्फिगर करणे आवश्यक आहे.

• नेटवर्क नियम सेट करणे

बोगद्याच्या कामासाठी, तीन नियम आवश्यक आहेत:

1. काम करण्यासाठी पथ मॉनिटर बाह्य इंटरफेसवर ICMP ला अनुमती द्या.
2. करण्यासाठी IPSec अॅप्सना अनुमती द्या ike и ipsec बाह्य इंटरफेसवर.
3. अंतर्गत सबनेट आणि टनेल इंटरफेस दरम्यान रहदारीला अनुमती द्या.

निष्कर्ष

हा लेख फॉल्ट-सहिष्णु इंटरनेट कनेक्शन सेट करण्याच्या पर्यायावर चर्चा करतो आणि साइट-टू-साइट VPN. आम्हाला आशा आहे की माहिती उपयुक्त होती आणि वाचकांना त्यात वापरलेल्या तंत्रज्ञानाची कल्पना मिळाली पालो अल्टो नेटवर्क. तुम्हाला भविष्यातील लेखांसाठी विषयांवर सेटअप आणि सूचनांबद्दल प्रश्न असल्यास, त्यांना टिप्पण्यांमध्ये लिहा, आम्हाला उत्तर देण्यात आनंद होईल.

स्त्रोत: www.habr.com