पालो अल्टो नेटवर्क उपकरणहरूमा IPSec साइट-टू-साइट VPN सेटअप गर्दै

यो लेख निरन्तरता हो अघिल्लो सामग्रीउपकरण स्थापना को विशिष्टता को लागी समर्पित पालो अल्टो नेटवर्क । यहाँ हामी सेटअपको बारेमा कुरा गर्न चाहन्छौं IPSec साइट-टू-साइट VPN उपकरणमा पालो अल्टो नेटवर्क र धेरै इन्टरनेट प्रदायकहरू जडान गर्नको लागि सम्भावित कन्फिगरेसन विकल्पको बारेमा।

प्रदर्शनको लागि, मुख्य कार्यालयलाई शाखासँग जोड्ने मानक योजना प्रयोग गरिनेछ। त्रुटि-सहिष्णु इन्टरनेट जडान प्रदान गर्नको लागि, मुख्य कार्यालयले दुई प्रदायकहरूको एक साथ जडान प्रयोग गर्दछ: ISP-1 र ISP-2। शाखासँग एउटा मात्र प्रदायक, ISP-3 सँग जडान छ। फायरवालहरू PA-1 र PA-2 बीच दुईवटा सुरुङहरू बनाइएका छन्। सुरुङहरू मोडमा काम गर्छन् सक्रिय-स्ट्यान्डबाइ,टनेल-१ सक्रिय छ, टनेल-२ असफल हुँदा ट्राफिक प्रसारण सुरु हुनेछ। Tunnel-1 ले ISP-2 मा जडान प्रयोग गर्दछ, Tunnel-1 ले ISP-1 मा जडान प्रयोग गर्दछ। सबै आईपी ठेगानाहरू प्रदर्शन उद्देश्यका लागि अनियमित रूपमा उत्पन्न हुन्छन् र वास्तविकतासँग कुनै सम्बन्ध छैन।

साइट-टु-साइट VPN निर्माण गर्न प्रयोग गरिनेछ IPSec - IP मार्फत प्रसारित डाटाको सुरक्षा सुनिश्चित गर्न प्रोटोकलहरूको सेट। IPSec सुरक्षा प्रोटोकल प्रयोग गरी काम गर्नेछ ESP (Encapsulating Security Payload), जसले प्रेषित डाटाको इन्क्रिप्शन सुनिश्चित गर्नेछ।

В IPSec प्रवेश ike (इन्टरनेट कुञ्जी एक्सचेन्ज) SA (सुरक्षा संघहरू), सुरक्षा मापदण्डहरू वार्तालाप गर्न जिम्मेवार प्रोटोकल हो जुन प्रसारित डाटा सुरक्षित गर्न प्रयोग गरिन्छ। PAN फायरवाल समर्थन IKEv1 и IKEv2.

В IKEv1 VPN जडान दुई चरणहरूमा बनाइएको छ: IKEv1 चरण 1 (IKE सुरुङ) र IKEv1 चरण 2 (IPSec टनेल), यसरी, दुई टनेलहरू सिर्जना गरिन्छ, जसमध्ये एउटा फायरवालहरू बीच सेवा जानकारीको आदानप्रदानको लागि प्रयोग गरिन्छ, दोस्रो ट्राफिक प्रसारणको लागि। IN IKEv1 चरण 1 त्यहाँ दुई अपरेटिङ मोडहरू छन् - मुख्य मोड र आक्रामक मोड। आक्रामक मोडले कम सन्देशहरू प्रयोग गर्दछ र छिटो छ, तर साथी पहिचान संरक्षणलाई समर्थन गर्दैन।

IKEv2 प्रतिस्थापन गर्न आएका थिए IKEv1, र तुलना IKEv1 यसको मुख्य फाइदा कम ब्यान्डविथ आवश्यकताहरू र छिटो SA वार्तालाप हो। IN IKEv2 कम सेवा सन्देशहरू प्रयोग गरिन्छ (कुलमा 4), EAP र MOBIKE प्रोटोकलहरू समर्थित छन्, र सुरुङ सिर्जना गरिएको साथीको उपलब्धता जाँच गर्न एउटा संयन्त्र थपिएको छ - जीवन्तता जाँच, IKEv1 मा Dead Peer Detection लाई प्रतिस्थापन गर्दै। यदि चेक असफल भयो भने, त्यसपछि IKEv2 सुरुङ रिसेट गर्न सक्नुहुन्छ र त्यसपछि पहिलो अवसरमा स्वचालित रूपमा यसलाई पुनर्स्थापित गर्न सक्नुहुन्छ। तपाईं भिन्नताहरू बारे थप जान्न सक्नुहुन्छ यहाँ पढ्नुहोस्.

यदि विभिन्न निर्माताहरूबाट फायरवालहरू बीच सुरुङ निर्माण गरिएको छ भने, कार्यान्वयनमा बगहरू हुन सक्छन् IKEv2, र यस्तो उपकरण संग अनुकूलता को लागी यो प्रयोग गर्न सम्भव छ IKEv1। अन्य अवस्थामा, यो प्रयोग गर्न राम्रो छ IKEv2.

सेटअप चरणहरू:

• ActiveStandby मोडमा दुई इन्टरनेट प्रदायकहरू कन्फिगर गर्दै

यो प्रकार्य लागू गर्न धेरै तरिकाहरू छन्। ती मध्ये एउटा मेकानिज्म प्रयोग गर्नु हो पथ अनुगमन, जुन संस्करण देखि उपलब्ध भयो PAN-OS 8.0.0। यो उदाहरण संस्करण 8.0.16 प्रयोग गर्दछ। यो सुविधा सिस्को राउटरहरूमा IP SLA जस्तै छ। स्थिर पूर्वनिर्धारित मार्ग प्यारामिटरले निश्चित स्रोत ठेगानाबाट विशिष्ट IP ठेगानामा पिंग प्याकेटहरू पठाउने कन्फिगर गर्दछ। यस अवस्थामा, इथरनेट1/1 इन्टरफेसले प्रति सेकेन्ड एक पटक पूर्वनिर्धारित गेटवे पिङ गर्दछ। यदि त्यहाँ एक पङ्क्तिमा तीन पिङहरूमा कुनै प्रतिक्रिया छैन भने, मार्ग टुटेको मानिन्छ र रूटिङ तालिकाबाट हटाइन्छ। उही मार्ग दोस्रो इन्टरनेट प्रदायक तर्फ कन्फिगर गरिएको छ, तर उच्च मेट्रिकको साथ (यो ब्याकअप हो)। एक पटक तालिकाबाट पहिलो मार्ग हटाइएपछि, फायरवालले दोस्रो मार्ग - मार्फत ट्राफिक पठाउन सुरु गर्नेछ फेल-ओभर। जब पहिलो प्रदायकले पिंगहरूमा प्रतिक्रिया दिन थाल्छ, यसको मार्ग तालिकामा फर्किनेछ र राम्रो मेट्रिकको कारणले दोस्रोलाई प्रतिस्थापन गर्नेछ - फेल-ब्याक। प्रोसेस फेल-ओभर कन्फिगर गरिएको अन्तरालहरूको आधारमा केही सेकेन्ड लाग्छ, तर, कुनै पनि अवस्थामा, प्रक्रिया तत्काल हुँदैन, र यस समयमा ट्राफिक हराएको छ। फेल-ब्याक ट्राफिक हानि बिना पास। गर्ने अवसर छ फेल-ओभर छिटो, संग B.F.D., यदि इन्टरनेट प्रदायकले यस्तो अवसर प्रदान गर्दछ। B.F.D. मोडेल देखि शुरू समर्थित PA-3000 श्रृंखला и VM-100। पिङ ठेगानाको रूपमा प्रदायकको गेटवे होइन, तर सार्वजनिक, सधैं पहुँचयोग्य इन्टरनेट ठेगाना निर्दिष्ट गर्नु राम्रो हुन्छ।

• सुरुङ इन्टरफेस सिर्जना गर्दै

सुरुङ भित्र ट्राफिक विशेष भर्चुअल इन्टरफेस मार्फत प्रसारित छ। तिनीहरूमध्ये प्रत्येकलाई ट्रान्जिट नेटवर्कबाट आईपी ठेगानासँग कन्फिगर गरिएको हुनुपर्छ। यस उदाहरणमा, सबस्टेशन 1/172.16.1.0 टनेल-30 को लागि प्रयोग गरिनेछ, र सबस्टेशन 2/172.16.2.0 टनेल-30 को लागि प्रयोग गरिनेछ।
टनेल इन्टरफेस सेक्सनमा सिर्जना गरिएको छ नेटवर्क -> इन्टरफेस -> टनेल। तपाईंले भर्चुअल राउटर र सुरक्षा क्षेत्र, साथै सम्बन्धित यातायात नेटवर्कबाट IP ठेगाना निर्दिष्ट गर्नुपर्छ। इन्टरफेस नम्बर कुनै पनि हुन सक्छ।

खण्ड विकसित निर्दिष्ट गर्न सकिन्छ व्यवस्थापन प्रोफाइलजसले दिइएको इन्टरफेसमा पिङलाई अनुमति दिनेछ, यो परीक्षणको लागि उपयोगी हुन सक्छ।

• IKE प्रोफाइल सेटअप गर्दै

IKE प्रोफाइल VPN जडान सिर्जना गर्ने पहिलो चरणको लागि जिम्मेवार छ; टनेल प्यारामिटरहरू यहाँ निर्दिष्ट गरिएका छन् IKE चरण 1। प्रोफाइल सेक्सनमा सिर्जना गरिएको छ नेटवर्क -> नेटवर्क प्रोफाइल -> IKE क्रिप्टो। एन्क्रिप्शन एल्गोरिथ्म, ह्यासिङ एल्गोरिथ्म, डिफी-हेलम्यान समूह र कुञ्जी जीवनकाल निर्दिष्ट गर्न आवश्यक छ। सामान्यतया, एल्गोरिदमहरू जति जटिल हुन्छन्, कार्यसम्पादन त्यति नै खराब हुन्छ; तिनीहरू विशेष सुरक्षा आवश्यकताहरूको आधारमा चयन गरिनुपर्छ। यद्यपि, संवेदनशील जानकारी सुरक्षित गर्न 14 भन्दा कम Diffie-Hellman समूह प्रयोग गर्न कडाइका साथ सिफारिस गरिएको छैन। यो प्रोटोकलको कमजोरीको कारणले हो, जसलाई 2048 बिट र माथिको मोड्युल आकारहरू प्रयोग गरेर मात्र कम गर्न सकिन्छ, वा अण्डाकार क्रिप्टोग्राफी एल्गोरिदमहरू, जुन समूह 19, 20, 21, 24 मा प्रयोग गरिन्छ। यी एल्गोरिदमहरूको तुलनामा उच्च प्रदर्शन छ। परम्परागत क्रिप्टोग्राफी। यहाँ थप पढ्नुहोस्। र यहाँ.

• IPSec प्रोफाइल सेटअप गर्दै

VPN जडान सिर्जना गर्ने दोस्रो चरण भनेको IPSec सुरुङ हो। यसको लागि SA मापदण्डहरू कन्फिगर गरिएको छ नेटवर्क -> नेटवर्क प्रोफाइल -> IPSec क्रिप्टो प्रोफाइल। यहाँ तपाईँले IPSec प्रोटोकल निर्दिष्ट गर्न आवश्यक छ - AH वा ESP, साथै प्यारामिटरहरू SA — ह्यासिङ एल्गोरिदम, इन्क्रिप्सन, डिफी-हेलम्यान समूह र प्रमुख जीवनकाल। IKE क्रिप्टो प्रोफाइल र IPSec क्रिप्टो प्रोफाइलमा SA प्यारामिटरहरू समान नहुन सक्छन्।

• IKE गेटवे कन्फिगर गर्दै

IKE गेटवे - यो एक वस्तु हो जसले राउटर वा फायरवाल निर्दिष्ट गर्दछ जसको साथ एक VPN टनेल बनाइएको छ। प्रत्येक सुरुङको लागि तपाईंले आफ्नै सिर्जना गर्न आवश्यक छ IKE गेटवे। यस अवस्थामा, दुई टनेलहरू सिर्जना गरिएका छन्, प्रत्येक इन्टरनेट प्रदायक मार्फत। सम्बन्धित बहिर्गमन इन्टरफेस र यसको IP ठेगाना, सहकर्मी IP ठेगाना, र साझा कुञ्जी संकेत गरिएको छ। प्रमाणपत्रहरू साझा कुञ्जीको विकल्पको रूपमा प्रयोग गर्न सकिन्छ।

पहिले सिर्जना गरिएको यहाँ संकेत गरिएको छ IKE क्रिप्टो प्रोफाइल। दोस्रो वस्तुको प्यारामिटरहरू IKE गेटवे समान, आईपी ठेगानाहरू बाहेक। यदि पालो अल्टो नेटवर्क फायरवाल NAT राउटरको पछाडि अवस्थित छ भने, तपाईंले मेकानिजम सक्षम गर्न आवश्यक छ। NAT Traversal.

• IPSec टनेल सेटअप गर्दै

IPSec टनेल नामले सुझाव दिए जस्तै IPSec टनेल प्यारामिटरहरू निर्दिष्ट गर्ने वस्तु हो। यहाँ तपाईँले सुरुङ इन्टरफेस र पहिले सिर्जना गरिएका वस्तुहरू निर्दिष्ट गर्न आवश्यक छ IKE गेटवे, IPSec क्रिप्टो प्रोफाइल। ब्याकअप टनेलमा रूटिङको स्वचालित स्विचिङ सुनिश्चित गर्न, तपाईंले सक्षम गर्नुपर्छ टनेल मनिटर। यो एक संयन्त्र हो जसले ICMP ट्राफिक प्रयोग गरेर साथी जीवित छ कि छैन भनेर जाँच गर्दछ। गन्तव्य ठेगानाको रूपमा, तपाईंले सुरुङ निर्माण भइरहेको साथीको टनेल इन्टरफेसको IP ठेगाना निर्दिष्ट गर्न आवश्यक छ। प्रोफाइलले टाइमरहरू निर्दिष्ट गर्दछ र यदि जडान हराएको छ भने के गर्ने। पुन: प्राप्ति पर्खनुहोस् - जडान पुनर्स्थापित नभएसम्म पर्खनुहोस्, फेल ओभर - उपलब्ध भएमा फरक मार्गमा ट्राफिक पठाउनुहोस्। दोस्रो सुरुङ सेटअप पूर्णतया समान छ; दोस्रो सुरुङ इन्टरफेस र IKE गेटवे निर्दिष्ट गरिएको छ।

• मार्ग सेटअप गर्दै

यो उदाहरण स्थिर मार्ग प्रयोग गर्दछ। PA-1 फायरवालमा, दुई पूर्वनिर्धारित मार्गहरूको अतिरिक्त, तपाईंले शाखामा 10.10.10.0/24 सबनेटमा दुई मार्गहरू निर्दिष्ट गर्न आवश्यक छ। एउटा रुटले टनेल-१, अर्को टनेल-२ प्रयोग गर्छ। कम मेट्रिक भएकाले सुरुङ–१ हुँदै जाने रुट मुख्य हो । संयन्त्र पथ अनुगमन यी मार्गहरूको लागि प्रयोग गरिएको छैन। स्विच गर्न जिम्मेवार टनेल मनिटर.

सबनेट 192.168.30.0/24 को लागि समान मार्गहरू PA-2 मा कन्फिगर गर्न आवश्यक छ।

• नेटवर्क नियमहरू सेटअप गर्दै

सुरुङ काम गर्नको लागि, तीन नियमहरू आवश्यक छन्:

1. कामको लागि पथ मनिटर बाह्य इन्टरफेसहरूमा ICMP लाई अनुमति दिनुहोस्।
2. गर्न IPSec अनुप्रयोगहरूलाई अनुमति दिनुहोस् ike и ipsec बाह्य इन्टरफेसहरूमा।
3. आन्तरिक सबनेटहरू र टनेल इन्टरफेसहरू बीच ट्राफिकलाई अनुमति दिनुहोस्।

निष्कर्षमा

यस लेखले त्रुटि-सहिष्णु इन्टरनेट जडान सेटअप गर्ने विकल्प र छलफल गर्दछ साइट-देखि-साइट VPN। हामी आशा गर्छौं कि जानकारी उपयोगी थियो र पाठकले प्रयोग गरिएका प्रविधिहरूको एक विचार प्राप्त गर्यो पालो अल्टो नेटवर्क। यदि तपाइँसँग भविष्यका लेखहरूको लागि विषयहरूमा सेटअप र सुझावहरूको बारेमा प्रश्नहरू छन् भने, तिनीहरूलाई टिप्पणीहरूमा लेख्नुहोस्, हामी जवाफ दिन खुसी हुनेछौं।

स्रोत: www.habr.com