आम्ही GOST नुसार एन्क्रिप्ट करतो: डायनॅमिक ट्रॅफिक रूटिंग सेट करण्यासाठी मार्गदर्शक

जर तुमची कंपनी कायद्यानुसार संरक्षणाच्या अधीन असलेल्या नेटवर्कवर वैयक्तिक डेटा आणि इतर गोपनीय माहिती प्रसारित करते किंवा प्राप्त करते, तर GOST एन्क्रिप्शन वापरणे आवश्यक आहे. S-Terra क्रिप्टो गेटवे (CS) वर आधारित अशा प्रकारचे एन्क्रिप्शन आम्ही ग्राहकांपैकी एकावर कसे लागू केले ते आज आम्ही तुम्हाला सांगू. ही कथा माहिती सुरक्षा तज्ञ, तसेच अभियंते, डिझाइनर आणि आर्किटेक्टसाठी स्वारस्यपूर्ण असेल. आम्ही या पोस्टमधील तांत्रिक कॉन्फिगरेशनच्या बारीकसारीक गोष्टींमध्ये खोलवर जाणार नाही; आम्ही मूलभूत सेटअपच्या मुख्य मुद्द्यांवर लक्ष केंद्रित करू. लिनक्स ओएस डिमॉन्स सेट करण्यावरील कागदपत्रांचे प्रचंड प्रमाण, ज्यावर एस-टेरा सीएस आधारित आहे, इंटरनेटवर मुक्तपणे उपलब्ध आहेत. प्रोप्रायटरी S-Terra सॉफ्टवेअर सेट करण्यासाठी दस्तऐवज सार्वजनिकपणे उपलब्ध आहे पोर्टल निर्माता.

प्रकल्पाबद्दल काही शब्द

ग्राहकाचे नेटवर्क टोपोलॉजी मानक होते - केंद्र आणि शाखांमध्ये पूर्ण जाळी. सर्व साइट्स दरम्यान माहिती एक्सचेंज चॅनेलचे एनक्रिप्शन लागू करणे आवश्यक होते, त्यापैकी 8 होत्या.

सहसा अशा प्रकल्पांमध्ये सर्व काही स्थिर असते: साइटच्या स्थानिक नेटवर्कचे स्थिर मार्ग क्रिप्टो गेटवे (सीजी) वर सेट केले जातात, एन्क्रिप्शनसाठी आयपी पत्त्यांची यादी (ACL) नोंदणीकृत केली जाते. तथापि, या प्रकरणात, साइट्सवर केंद्रीकृत नियंत्रण नसते आणि त्यांच्या स्थानिक नेटवर्कमध्ये काहीही होऊ शकते: नेटवर्क जोडले, हटवले आणि प्रत्येक संभाव्य मार्गाने सुधारित केले जाऊ शकतात. साइट्सवरील स्थानिक नेटवर्कचा पत्ता बदलताना KS वर राउटिंग आणि ACL ची पुनर्रचना टाळण्यासाठी, GRE टनेलिंग आणि OSPF डायनॅमिक राउटिंग वापरण्याचा निर्णय घेण्यात आला, ज्यामध्ये साइट्सवरील नेटवर्क कोर स्तरावरील सर्व KS आणि बहुतेक राउटर समाविष्ट आहेत ( काही साइटवर, इन्फ्रास्ट्रक्चर प्रशासकांनी कर्नल राउटरवर KS दिशेने SNAT वापरण्यास प्राधान्य दिले).

GRE टनेलिंगमुळे आम्हाला दोन समस्या सोडवता आल्या:
1. ACL मध्ये कूटबद्धीकरणासाठी CS च्या बाह्य इंटरफेसचा IP पत्ता वापरा, जो इतर साइटवर पाठवलेल्या सर्व रहदारीला अंतर्भूत करतो.
2. CSs दरम्यान ptp बोगदे आयोजित करा, जे तुम्हाला डायनॅमिक राउटिंग कॉन्फिगर करण्याची परवानगी देतात (आमच्या बाबतीत, प्रदात्याचे MPLS L3VPN साइट्स दरम्यान आयोजित केले जाते).

क्लायंटने सेवा म्हणून एन्क्रिप्शनची अंमलबजावणी करण्याचे आदेश दिले. अन्यथा, त्याला केवळ क्रिप्टो गेटवेची देखरेख करावी लागेल किंवा ते एखाद्या संस्थेला आउटसोर्स करावे लागतील, परंतु एनक्रिप्शन प्रमाणपत्रांच्या जीवनचक्राचे स्वतंत्रपणे निरीक्षण करावे लागेल, वेळेवर त्यांचे नूतनीकरण करावे लागेल आणि नवीन स्थापित करावे लागेल.

आणि आता वास्तविक मेमो - आम्ही कसे आणि काय कॉन्फिगर केले

CII विषयाची नोंद: क्रिप्टो गेटवे सेट करणे

मूलभूत नेटवर्क सेटअप

सर्व प्रथम, आम्ही एक नवीन CS लाँच करतो आणि प्रशासन कन्सोलमध्ये प्रवेश करतो. आपण अंगभूत प्रशासक संकेतशब्द - आदेश बदलून प्रारंभ केला पाहिजे वापरकर्ता संकेतशब्द प्रशासक बदला. मग तुम्हाला आरंभ प्रक्रिया पार पाडणे आवश्यक आहे (आदेश आरंभ करा) ज्या दरम्यान परवाना डेटा प्रविष्ट केला जातो आणि यादृच्छिक क्रमांक सेन्सर (RNS) आरंभ केला जातो.

लक्ष द्या! जेव्हा S-Terra CC सुरू केले जाते, तेव्हा एक सुरक्षा धोरण स्थापित केले जाते ज्यामध्ये सुरक्षा गेटवे इंटरफेस पॅकेटमधून जाऊ देत नाहीत. तुम्ही एकतर तुमचे स्वतःचे धोरण तयार केले पाहिजे किंवा कमांड वापरा csconf_mgr सक्रिय करा पूर्वनिर्धारित परवानगी देणारे धोरण सक्रिय करा.
पुढे, तुम्हाला बाह्य आणि अंतर्गत इंटरफेसचा पत्ता, तसेच डीफॉल्ट मार्ग कॉन्फिगर करणे आवश्यक आहे. CS नेटवर्क कॉन्फिगरेशनसह कार्य करणे आणि Cisco-सारख्या कन्सोलद्वारे एनक्रिप्शन कॉन्फिगर करणे अधिक श्रेयस्कर आहे. हे कन्सोल Cisco IOS कमांड प्रमाणेच कमांड एंटर करण्यासाठी डिझाइन केले आहे. Cisco-सारखी कन्सोल वापरून व्युत्पन्न केलेले कॉन्फिगरेशन, त्या बदल्यात, संबंधित कॉन्फिगरेशन फाइल्समध्ये रूपांतरित केले जाते ज्यासह OS डिमन कार्य करतात. तुम्ही कमांडसह प्रशासन कन्सोलवरून सिस्को-सारख्या कन्सोलवर जाऊ शकता कॉन्फिगर करा.

अंगभूत वापरकर्ता cscons साठी पासवर्ड बदला आणि सक्षम करा:

> सक्षम करा
पासवर्ड: csp (पूर्वस्थापित)
# कॉन्फिगर टर्मिनल
#username cscons privilege 15 secret 0 #enable secret 0 मूलभूत नेटवर्क कॉन्फिगरेशन सेट करणे:

#इंटरफेस GigabitEthernet0/0
#ip पत्ता 10.111.21.3 255.255.255.0
#शटडाऊन नाही
#इंटरफेस GigabitEthernet0/1
#ip पत्ता 192.168.2.5 255.255.255.252
#शटडाऊन नाही
#ip मार्ग 0.0.0.0 0.0.0.0 10.111.21.254

जीआरई

सिस्को-सारख्या कन्सोलमधून बाहेर पडा आणि कमांडसह डेबियन शेलवर जा प्रणाली. वापरकर्त्यासाठी तुमचा स्वतःचा पासवर्ड सेट करा मूळ संघ पासवाड.
प्रत्येक नियंत्रण कक्षात, प्रत्येक साइटसाठी एक स्वतंत्र बोगदा कॉन्फिगर केला आहे. फाइलमध्ये बोगदा इंटरफेस कॉन्फिगर केला आहे / Etc / नेटवर्क / संवाद. पूर्व-स्थापित iproute2 सेटमध्ये समाविष्ट असलेली IP टनेल युटिलिटी, इंटरफेस स्वतः तयार करण्यासाठी जबाबदार आहे. इंटरफेस निर्मिती कमांड प्री-अप पर्यायामध्ये लिहिली आहे.

ठराविक टनेल इंटरफेसचे उदाहरण कॉन्फिगरेशन:
ऑटो साइट1
iface site1 inet स्थिर
पत्ता 192.168.1.4
नेटमास्क 255.255.255.254
प्री-अप ip टनेल जोडा site1 मोड gre लोकल 10.111.21.3 रिमोट 10.111.22.3 की hfLYEg^vCh6p

लक्ष द्या! हे लक्षात घ्यावे की बोगदा इंटरफेससाठी सेटिंग्ज विभागाच्या बाहेर स्थित असणे आवश्यक आहे

###netifcfg-सुरुवात###
*****
###netifcfg-end###

अन्यथा, सिस्को-सारख्या कन्सोलद्वारे भौतिक इंटरफेसच्या नेटवर्क सेटिंग्ज बदलताना या सेटिंग्ज अधिलिखित केल्या जातील.

डायनॅमिक राउटिंग

S-Terra मध्ये, क्वाग्गा सॉफ्टवेअर पॅकेज वापरून डायनॅमिक रूटिंग लागू केले जाते. OSPF कॉन्फिगर करण्यासाठी आम्हाला डिमन सक्षम आणि कॉन्फिगर करणे आवश्यक आहे झेब्रा и ospfd. झेब्रा डिमन रूटिंग डिमन आणि OS यांच्यातील संवादासाठी जबाबदार आहे. ospfd डिमन, नावाप्रमाणेच, OSPF प्रोटोकॉलच्या अंमलबजावणीसाठी जबाबदार आहे.
OSPF एकतर डिमन कन्सोलद्वारे किंवा थेट कॉन्फिगरेशन फाइलद्वारे कॉन्फिगर केले जाते /etc/quagga/ospfd.conf. डायनॅमिक राउटिंगमध्ये सहभागी होणारे सर्व भौतिक आणि बोगदे इंटरफेस फाइलमध्ये जोडले जातात आणि ज्या नेटवर्कची जाहिरात केली जाईल आणि घोषणा प्राप्त होतील ते देखील घोषित केले जातात.

कॉन्फिगरेशनचे उदाहरण ज्यामध्ये जोडणे आवश्यक आहे ospfd.conf:
इंटरफेस eth0
!
इंटरफेस eth1
!
इंटरफेस साइट1
!
इंटरफेस साइट2
राउटर ospf
ospf राउटर-आयडी 192.168.2.21
नेटवर्क 192.168.1.4/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.1.16/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.2.4/30 क्षेत्र 0.0.0.0

या प्रकरणात, पत्ते 192.168.1.x/31 साइट्समधील बोगद्याच्या ptp नेटवर्कसाठी राखीव आहेत, पत्ते 192.168.2.x/30 CS आणि कर्नल राउटर दरम्यान संक्रमण नेटवर्कसाठी वाटप केले आहेत.

लक्ष द्या! मोठ्या इंस्टॉलेशन्समध्ये राउटिंग टेबल कमी करण्यासाठी, तुम्ही कन्स्ट्रक्ट्स वापरून ट्रान्झिट नेटवर्क्सची घोषणा स्वतः फिल्टर करू शकता. कोणतेही पुनर्वितरण कनेक्ट केलेले नाही किंवा कनेक्ट केलेला मार्ग-नकाशा पुन्हा वितरित करा.

डिमन कॉन्फिगर केल्यानंतर, तुम्हाला डिमनची स्टार्टअप स्थिती बदलण्याची आवश्यकता आहे /etc/quagga/deemons. पर्यायांमध्ये झेब्रा и ospfd होय मध्ये बदल नाही. क्वाग्गा डिमन सुरू करा आणि जेव्हा तुम्ही KS कमांड सुरू करता तेव्हा ते ऑटोरनवर सेट करा update-rc.d क्वाग्गा सक्षम करा.

GRE बोगदे आणि OSPF चे कॉन्फिगरेशन योग्यरित्या केले असल्यास, इतर साइट्सच्या नेटवर्कमधील मार्ग KSh आणि कोर राउटरवर दिसले पाहिजेत आणि अशा प्रकारे, स्थानिक नेटवर्कमधील नेटवर्क कनेक्टिव्हिटी उद्भवते.

आम्ही प्रसारित वाहतूक एन्क्रिप्ट करतो

आधीच लिहिल्याप्रमाणे, सहसा साइट्स दरम्यान कूटबद्ध करताना, आम्ही IP पत्ता श्रेणी (ACL) निर्दिष्ट करतो ज्या दरम्यान रहदारी कूटबद्ध केली जाते: जर स्त्रोत आणि गंतव्य पत्ते या श्रेणींमध्ये येतात, तर त्यांच्यामधील रहदारी एन्क्रिप्ट केली जाते. तथापि, या प्रकल्पात रचना गतिमान आहे आणि पत्ते बदलू शकतात. आम्ही आधीच GRE टनेलिंग कॉन्फिगर केले असल्याने, आम्ही ट्रॅफिक एनक्रिप्ट करण्यासाठी स्त्रोत आणि गंतव्य पत्ते म्हणून बाह्य KS पत्ते निर्दिष्ट करू शकतो - शेवटी, GRE प्रोटोकॉलद्वारे आधीच एन्कॅप्स्युलेट केलेली रहदारी एन्क्रिप्शनसाठी येते. दुसऱ्या शब्दांत, एका साइटच्या स्थानिक नेटवर्कवरून CS मध्ये येणारी प्रत्येक गोष्ट इतर साइट्सद्वारे घोषित केलेल्या नेटवर्ककडे एन्क्रिप्ट केली जाते. आणि प्रत्येक साइटमध्ये कोणतेही पुनर्निर्देशन केले जाऊ शकते. अशाप्रकारे, स्थानिक नेटवर्कमध्ये काही बदल झाल्यास, प्रशासकाला फक्त त्याच्या नेटवर्ककडून नेटवर्ककडे येणाऱ्या घोषणांमध्ये बदल करणे आवश्यक आहे आणि ते इतर साइट्ससाठी उपलब्ध होईल.

S-Terra CS मध्ये एन्क्रिप्शन IPSec प्रोटोकॉल वापरून केले जाते. आम्ही GOST R 34.12-2015 नुसार "ग्राशॉपर" अल्गोरिदम वापरतो आणि जुन्या आवृत्त्यांसह सुसंगततेसाठी तुम्ही GOST 28147-89 वापरू शकता. प्रमाणीकरण तांत्रिकदृष्ट्या पूर्वनिर्धारित की (PSKs) आणि प्रमाणपत्रे दोन्हीवर केले जाऊ शकते. तथापि, औद्योगिक ऑपरेशनमध्ये GOST R 34.10-2012 नुसार जारी केलेले प्रमाणपत्र वापरणे आवश्यक आहे.

युटिलिटी वापरून प्रमाणपत्रे, कंटेनर आणि सीआरएल सह कार्य केले जाते cert_mgr. सर्व प्रथम, कमांड वापरुन cert_mgr तयार करा एक खाजगी की कंटेनर आणि प्रमाणपत्र विनंती व्युत्पन्न करणे आवश्यक आहे, जी प्रमाणपत्र व्यवस्थापन केंद्राकडे पाठविली जाईल. प्रमाणपत्र प्राप्त केल्यानंतर, ते रूट CA प्रमाणपत्र आणि CRL (वापरल्यास) कमांडसह आयात करणे आवश्यक आहे. cert_mgr आयात. कमांडसह सर्व प्रमाणपत्रे आणि सीआरएल स्थापित केले आहेत याची तुम्ही खात्री करू शकता cert_mgr शो.

प्रमाणपत्रे यशस्वीरित्या स्थापित केल्यानंतर, IPSec कॉन्फिगर करण्यासाठी सिस्को-सारख्या कन्सोलवर जा.
आम्ही एक IKE धोरण तयार करतो जे तयार होत असलेल्या सुरक्षित चॅनेलचे इच्छित अल्गोरिदम आणि पॅरामीटर्स निर्दिष्ट करते, जे भागीदाराला मंजुरीसाठी ऑफर केले जाईल.

#crypto isakmp धोरण 1000
#encr gost341215k
#hash gost341112-512-tc26
#प्रमाणीकरण चिन्ह
#ग्रुप vko2
#आजीवन 3600

IPSec चा पहिला टप्पा तयार करताना हे धोरण लागू केले जाते. पहिला टप्पा यशस्वीरित्या पूर्ण केल्याचा परिणाम म्हणजे एसए (सुरक्षा संघटना) ची स्थापना.
पुढे, आम्हाला एनक्रिप्शनसाठी स्त्रोत आणि गंतव्य IP पत्ते (ACL) ची सूची परिभाषित करणे आवश्यक आहे, एक ट्रान्सफॉर्म सेट व्युत्पन्न करणे, एक क्रिप्टोग्राफिक नकाशा (क्रिप्टो नकाशा) तयार करणे आणि CS च्या बाह्य इंटरफेसशी ते बांधणे आवश्यक आहे.

ACL सेट करा:
#ip ऍक्सेस-लिस्ट विस्तारित साइट1
#permit gre होस्ट 10.111.21.3 होस्ट 10.111.22.3

परिवर्तनांचा एक संच (पहिल्या टप्प्याप्रमाणेच, आम्ही सिम्युलेशन इन्सर्शन जनरेशन मोड वापरून "ग्राशॉपर" एन्क्रिप्शन अल्गोरिदम वापरतो):

#crypto ipsec ट्रान्सफॉर्म-सेट GOST esp-gost341215k-mac

आम्ही एक क्रिप्टो नकाशा तयार करतो, ACL निर्दिष्ट करतो, सेट आणि पीअर पत्ता बदलतो:

#crypto नकाशा मुख्य 100 ipsec-isakmp
# मॅच अॅड्रेस साइट1
#सेट ट्रान्सफॉर्म-सेट GOST
#सेट पीअर 10.111.22.3

आम्ही क्रिप्टो कार्ड रोख नोंदणीच्या बाह्य इंटरफेसवर बांधतो:

#इंटरफेस GigabitEthernet0/0
#ip पत्ता 10.111.21.3 255.255.255.0
#क्रिप्टो नकाशा मुख्य

इतर साइट्ससह चॅनेल एन्क्रिप्ट करण्यासाठी, तुम्ही ACL आणि क्रिप्टो कार्ड तयार करण्यासाठी, ACL नाव, IP पत्ते आणि क्रिप्टो कार्ड क्रमांक बदलण्यासाठी प्रक्रिया पुन्हा करणे आवश्यक आहे.

लक्ष द्या! CRL द्वारे प्रमाणपत्र पडताळणी वापरली नसल्यास, हे स्पष्टपणे निर्दिष्ट केले पाहिजे:

#crypto pki trustpoint s-terra_technological_trustpoint
#revocation-चेक काहीही नाही

या टप्प्यावर, सेटअप पूर्ण मानले जाऊ शकते. सिस्को सारखी कन्सोल कमांड आउटपुट मध्ये क्रिप्टो isakmp sa दाखवा и क्रिप्टो ipsec दाखवा IPSec चे तयार केलेले पहिले आणि दुसरे टप्पे प्रतिबिंबित केले पाहिजेत. कमांड वापरून समान माहिती मिळवता येते sa_mgr शो, डेबियन शेलमधून अंमलात आणले. कमांड आउटपुटमध्ये cert_mgr शो रिमोट साइट प्रमाणपत्रे दिसली पाहिजेत. अशा प्रमाणपत्रांची स्थिती असेल रिमोट. जर बोगदे बांधले जात नसतील, तर तुम्हाला व्हीपीएन सेवा लॉग पाहणे आवश्यक आहे, जे फाइलमध्ये संग्रहित आहे. /var/log/cspvpngate.log. लॉग फाइल्सची संपूर्ण यादी त्यांच्या सामग्रीच्या वर्णनासह दस्तऐवजीकरणात उपलब्ध आहे.

सिस्टमच्या "आरोग्य" चे निरीक्षण करणे

S-Terra CC निरीक्षणासाठी मानक snmpd डिमन वापरते. ठराविक Linux पॅरामीटर्स व्यतिरिक्त, बॉक्सच्या बाहेर S-Terra CISCO-IPSEC-FLOW-MONITOR-MIB नुसार IPSec बोगद्यांबद्दल डेटा जारी करण्यास समर्थन देते, जे आम्ही IPSec बोगद्यांच्या स्थितीचे परीक्षण करताना वापरतो. सानुकूल OID ची कार्यक्षमता जी स्क्रिप्ट अंमलबजावणीचे परिणाम मूल्य म्हणून आउटपुट करते ते देखील समर्थित आहे. हे वैशिष्ट्य आम्हाला प्रमाणपत्र कालबाह्यता तारखा ट्रॅक करण्यास अनुमती देते. लिखित स्क्रिप्ट कमांड आउटपुट पार्स करते cert_mgr शो आणि परिणामी स्थानिक आणि मूळ प्रमाणपत्रे कालबाह्य होईपर्यंत दिवसांची संख्या देते. मोठ्या संख्येने CABG चे प्रशासन करताना हे तंत्र अपरिहार्य आहे.

अशा एन्क्रिप्शनचा फायदा काय आहे?

वर वर्णन केलेली सर्व कार्यक्षमता S-Terra KSh द्वारे बॉक्सच्या बाहेर समर्थित आहे. म्हणजेच, क्रिप्टो गेटवेचे प्रमाणीकरण आणि संपूर्ण माहिती प्रणालीचे प्रमाणन प्रभावित करू शकणारे कोणतेही अतिरिक्त मॉड्यूल स्थापित करण्याची आवश्यकता नव्हती. साइट्स दरम्यान कोणतेही चॅनेल असू शकतात, अगदी इंटरनेटद्वारे.

जेव्हा अंतर्गत पायाभूत सुविधा बदलतात तेव्हा क्रिप्टो गेटवे पुन्हा कॉन्फिगर करण्याची आवश्यकता नसते, प्रणाली एक सेवा म्हणून कार्य करते, जे ग्राहकांसाठी अतिशय सोयीचे आहे: तो त्याच्या सेवा (क्लायंट आणि सर्व्हर) कोणत्याही पत्त्यावर ठेवू शकतो आणि सर्व बदल गतिशीलपणे एन्क्रिप्शन उपकरणांमध्ये हस्तांतरित केले जातील.

अर्थात, ओव्हरहेड खर्चामुळे (ओव्हरहेड) एन्क्रिप्शन डेटा ट्रान्सफर गतीवर परिणाम करते, परंतु फक्त थोडेसे - चॅनेल थ्रूपुट कमाल 5-10% कमी होऊ शकते. त्याच वेळी, तंत्रज्ञानाची चाचणी केली गेली आहे आणि उपग्रह चॅनेलवर देखील चांगले परिणाम दर्शविले गेले आहेत, जे खूपच अस्थिर आहेत आणि कमी बँडविड्थ आहेत.

इगोर विनोखोडोव्ह, रोस्टेलेकॉम-सोलरच्या प्रशासनाच्या द्वितीय श्रेणीचे अभियंता

स्त्रोत: www.habr.com