हामी GOST अनुसार इन्क्रिप्ट गर्छौं: गतिशील ट्राफिक राउटिङ सेटअप गर्न गाइड

यदि तपाइँको कम्पनीले नेटवर्कमा व्यक्तिगत डाटा र अन्य गोप्य जानकारीहरू प्रसारण वा प्राप्त गर्दछ जुन कानून अनुसार सुरक्षाको अधीनमा छ, यो GOST एन्क्रिप्शन प्रयोग गर्न आवश्यक छ। आज हामी तपाईंलाई S-Terra क्रिप्टो गेटवे (CS) को आधारमा ग्राहकहरू मध्ये एकमा कसरी यस्तो इन्क्रिप्शन लागू गर्यौं भनेर बताउनेछौं। यो कथा सूचना सुरक्षा विशेषज्ञहरू, साथै इन्जिनियरहरू, डिजाइनरहरू र वास्तुकारहरूको लागि चासोको विषय हुनेछ। हामी यस पोष्टमा प्राविधिक कन्फिगरेसनको सूक्ष्मताहरूमा गहिरो डुब्ने छैनौं; हामी आधारभूत सेटअपको मुख्य बुँदाहरूमा ध्यान केन्द्रित गर्नेछौं। लिनक्स ओएस डेमनहरू सेटअप गर्ने कागजातहरूको ठूलो मात्रा, जसमा S-Terra CS आधारित छ, इन्टरनेटमा स्वतन्त्र रूपमा उपलब्ध छन्। स्वामित्वको S-Terra सफ्टवेयर सेटअप गर्नका लागि कागजातहरू पनि सार्वजनिक रूपमा उपलब्ध छन् पोर्टल निर्माता

परियोजना बारे केही शब्दहरू

ग्राहकको नेटवर्क टोपोलोजी मानक थियो - केन्द्र र शाखाहरू बीच पूर्ण जाल। सबै साइटहरू बीच सूचना आदानप्रदान च्यानलहरूको इन्क्रिप्शन परिचय गराउन आवश्यक थियो, जसमध्ये 8 वटा थिए।

सामान्यतया त्यस्ता परियोजनाहरूमा सबै कुरा स्थिर छ: साइटको स्थानीय नेटवर्कमा स्थिर मार्गहरू क्रिप्टो गेटवे (CGs) मा सेट गरिएका छन्, एन्क्रिप्शनका लागि IP ठेगानाहरू (ACLs) को सूचीहरू दर्ता गरिएका छन्। यद्यपि, यस अवस्थामा, साइटहरूमा केन्द्रीकृत नियन्त्रण छैन, र तिनीहरूको स्थानीय नेटवर्कहरू भित्र केहि पनि हुन सक्छ: नेटवर्कहरू थप्न, मेटाउन, र हरेक सम्भावित तरिकामा परिमार्जन गर्न सकिन्छ। साइटहरूमा स्थानीय नेटवर्कहरूको ठेगाना परिवर्तन गर्दा KS मा राउटिङ र ACL पुन: कन्फिगर गर्नबाट बच्नको लागि, GRE टनेलिङ र OSPF डायनामिक राउटिङ प्रयोग गर्ने निर्णय गरियो, जसमा साइटहरूमा नेटवर्क कोर स्तरमा सबै KS र अधिकांश राउटरहरू समावेश छन्। केही साइटहरूमा, पूर्वाधार प्रशासकहरूले कर्नेल राउटरहरूमा KS तर्फ SNAT प्रयोग गर्न रुचाउँछन्)।

GRE टनेलिङले हामीलाई दुई समस्याहरू समाधान गर्न अनुमति दियो:
1. ACL मा इन्क्रिप्शनको लागि CS को बाह्य इन्टरफेसको IP ठेगाना प्रयोग गर्नुहोस्, जसले अन्य साइटहरूमा पठाइएका सबै ट्राफिकहरूलाई समेट्छ।
2. CSs बीच ptp टनेलहरू व्यवस्थित गर्नुहोस्, जसले तपाईंलाई गतिशील मार्ग कन्फिगर गर्न अनुमति दिन्छ (हाम्रो अवस्थामा, प्रदायकको MPLS L3VPN साइटहरू बीच व्यवस्थित गरिएको छ)।

ग्राहकले सेवाको रूपमा इन्क्रिप्सन कार्यान्वयन गर्न आदेश दियो। अन्यथा, उसले क्रिप्टो गेटवेहरू कायम राख्न वा तिनीहरूलाई कुनै संस्थामा आउटसोर्स गर्ने मात्र होइन, तर इन्क्रिप्शन प्रमाणपत्रहरूको जीवन चक्रलाई स्वतन्त्र रूपमा अनुगमन गर्ने, तिनीहरूलाई समयमै नवीकरण गर्ने र नयाँ स्थापना गर्ने।

र अब वास्तविक मेमो - कसरी र के हामीले कन्फिगर गर्यौं

CII विषयलाई नोट गर्नुहोस्: क्रिप्टो गेटवे सेटअप गर्दै

आधारभूत नेटवर्क सेटअप

सबै भन्दा पहिले, हामी नयाँ CS सुरु गर्छौं र प्रशासन कन्सोलमा प्रवेश गर्छौं। तपाईले बिल्ट-इन प्रशासक पासवर्ड परिवर्तन गरेर सुरु गर्नुपर्छ - आदेश प्रयोगकर्ता पासवर्ड प्रशासक परिवर्तन गर्नुहोस्। त्यसपछि तपाईंले प्रारम्भिक प्रक्रिया पूरा गर्न आवश्यक छ (आदेश प्रारम्भ गर्नुहोस्) जसको समयमा इजाजतपत्र डाटा प्रविष्ट गरिन्छ र अनियमित नम्बर सेन्सर (RNS) प्रारम्भ हुन्छ।

ध्यान दिनुहोस्! जब S-Terra CC प्रारम्भ हुन्छ, एक सुरक्षा नीति स्थापित हुन्छ जसमा सुरक्षा गेटवे इन्टरफेसहरूले प्याकेटहरू पार गर्न अनुमति दिँदैन। तपाईंले या त आफ्नै नीति बनाउनुपर्छ वा आदेश प्रयोग गर्नुपर्छ csconf_mgr सक्रिय गर्नुहोस् पूर्वनिर्धारित अनुमति दिने नीति सक्रिय गर्नुहोस्।
अर्को, तपाईंले बाह्य र आन्तरिक इन्टरफेसहरूको ठेगाना, साथै पूर्वनिर्धारित मार्ग कन्फिगर गर्न आवश्यक छ। CS नेटवर्क कन्फिगरेसनसँग काम गर्न र सिस्को-जस्तो कन्सोल मार्फत इन्क्रिप्सन कन्फिगर गर्न राम्रो हुन्छ। यो कन्सोल Cisco IOS आदेशहरू जस्तै आदेशहरू प्रविष्ट गर्न डिजाइन गरिएको छ। सिस्को-जस्तो कन्सोल प्रयोग गरेर उत्पन्न गरिएको कन्फिगरेसन, बदलामा, OS डेमनहरूले काम गर्ने सम्बन्धित कन्फिगरेसन फाइलहरूमा रूपान्तरण हुन्छ। तपाईं कमाण्डको साथ प्रशासन कन्सोलबाट सिस्को-जस्तो कन्सोलमा जान सक्नुहुन्छ कन्फिगर.

निर्मित प्रयोगकर्ता cscons को लागी पासवर्ड परिवर्तन गर्नुहोस् र सक्षम गर्नुहोस्:

> सक्षम गर्नुहोस्
पासवर्ड: csp (पूर्वस्थापित)
# टर्मिनल कन्फिगर गर्नुहोस्
#username cscons privilege 15 secret 0 #enable secret 0 आधारभूत नेटवर्क कन्फिगरेसन सेटअप गर्दै:

# इन्टरफेस GigabitEthernet0/0
#ip ठेगाना 10.111.21.3 255.255.255.0
# बन्द छैन
# इन्टरफेस GigabitEthernet0/1
#ip ठेगाना 192.168.2.5 255.255.255.252
# बन्द छैन
#ip मार्ग ०.०.०.० ०.०.०.० १०.१११.२१.२५४

GRE

सिस्को-जस्तो कन्सोलबाट बाहिर निस्कनुहोस् र आदेशको साथ डेबियन शेलमा जानुहोस् सिस्टम। प्रयोगकर्ताको लागि आफ्नो पासवर्ड सेट गर्नुहोस् मूल टोली passwd.
प्रत्येक नियन्त्रण कोठामा, प्रत्येक साइटको लागि छुट्टै सुरुङ कन्फिगर गरिएको छ। टनेल इन्टरफेस फाइलमा कन्फिगर गरिएको छ / etc / सञ्जाल / इन्टरफेस। पूर्व-स्थापित iproute2 सेटमा समावेश गरिएको IP टनेल उपयोगिता, इन्टरफेस आफैं सिर्जना गर्न जिम्मेवार छ। इन्टरफेस सिर्जना आदेश पूर्व-अप विकल्पमा लेखिएको छ।

सामान्य सुरुङ इन्टरफेसको उदाहरण कन्फिगरेसन:
स्वत: साइट 1
iface site1 inet स्थिर
ठेगाना १०.१०.१०।१
नेटमास्क २255.255.255.254.२XNUMX.२XNUMX.०
पूर्व-अप ip टनेल साइट1 मोड gre स्थानीय 10.111.21.3 रिमोट 10.111.22.3 कुञ्जी hfLYEg^vCh6p थप्नुहोस्

ध्यान दिनुहोस्! यो ध्यान दिनुपर्छ कि सुरुङ इन्टरफेसका लागि सेटिङहरू खण्ड बाहिर अवस्थित हुनुपर्छ

###netifcfg-सुरु###
*****
###netifcfg-end###

अन्यथा, सिस्को-जस्तो कन्सोल मार्फत भौतिक इन्टरफेसहरूको नेटवर्क सेटिङहरू परिवर्तन गर्दा यी सेटिङहरू अधिलेखन हुनेछन्।

गतिशील मार्ग

S-Terra मा, Quagga सफ्टवेयर प्याकेज प्रयोग गरेर गतिशील राउटिङ लागू गरिएको छ। OSPF कन्फिगर गर्न हामीले डेमनहरू सक्षम र कन्फिगर गर्न आवश्यक छ जेब्रा и ospfd। जेब्रा डेमन रूटिङ डेमन र ओएस बीच संचार को लागी जिम्मेवार छ। ओएसपीएफडी डेमोन, नामले सुझाव दिन्छ, ओएसपीएफ प्रोटोकल लागू गर्न जिम्मेवार छ।
OSPF या त डेमन कन्सोल मार्फत वा कन्फिगरेसन फाइल मार्फत कन्फिगर गरिएको छ /etc/quagga/ospfd.conf। गतिशील मार्गमा भाग लिने सबै भौतिक र टनेल इन्टरफेसहरू फाइलमा थपिएका छन्, र सञ्जालहरू जुन विज्ञापन गरिनेछ र घोषणाहरू पनि घोषणा गरिनेछ।

थप्न आवश्यक कन्फिगरेसन को एक उदाहरण ospfd.conf:
इन्टरफेस eth0
!
इन्टरफेस eth1
!
इन्टरफेस साइट 1
!
इन्टरफेस साइट 2
राउटर ओएसपीएफ
ओएसपीएफ राउटर-आईडी 192.168.2.21
नेटवर्क 192.168.1.4/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.1.16/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.2.4/30 क्षेत्र 0.0.0.0

यस अवस्थामा, ठेगानाहरू 192.168.1.x/31 साइटहरू बीचको टनेल ptp नेटवर्कहरूका लागि आरक्षित छन्, 192.168.2.x/30 ठेगानाहरू CS र कर्नेल राउटरहरू बीचको ट्रान्जिट नेटवर्कहरूका लागि छुट्याइएको छ।

ध्यान दिनुहोस्! ठूला स्थापनाहरूमा राउटिंग तालिका कम गर्न, तपाईंले निर्माणहरू प्रयोग गरेर ट्रान्जिट नेटवर्कहरूको विज्ञापन आफैं फिल्टर गर्न सक्नुहुन्छ। कुनै पुन: वितरण जोडिएको छैन वा जोडिएको मार्ग-नक्सा पुन: वितरण.

डेमनहरू कन्फिगर गरेपछि, तपाईंले डेमनहरूको स्टार्टअप स्थिति परिवर्तन गर्न आवश्यक छ /etc/quagga/daemons। विकल्पहरूमा जेब्रा и ospfd हो मा कुनै परिवर्तन छैन। क्वाग्गा डेमोन सुरु गर्नुहोस् र तपाईँले KS आदेश सुरु गर्दा यसलाई autorun मा सेट गर्नुहोस् update-rc.d quagga सक्षम गर्नुहोस्.

यदि GRE टनेल र OSPF को कन्फिगरेसन सही तरिकाले गरिएको छ भने, त्यसपछि अन्य साइटहरूको नेटवर्कमा मार्गहरू KSh र कोर राउटरहरूमा देखा पर्दछ र, यसरी, स्थानीय नेटवर्कहरू बीचको नेटवर्क जडान उत्पन्न हुन्छ।

हामीले ट्रान्समिटेड ट्राफिक इन्क्रिप्ट गर्छौं

पहिले नै लेखिएको छ, सामान्यतया साइटहरू बीच इन्क्रिप्ट गर्दा, हामीले IP ठेगाना दायराहरू (ACLs) निर्दिष्ट गर्छौं जसको बीचमा ट्राफिक इन्क्रिप्ट गरिएको छ: यदि स्रोत र गन्तव्य ठेगानाहरू यी दायराहरू भित्र पर्छन् भने, त्यसपछि तिनीहरू बीचको ट्राफिक इन्क्रिप्ट हुन्छ। यद्यपि, यस परियोजनामा ​​संरचना गतिशील छ र ठेगानाहरू परिवर्तन हुन सक्छ। हामीले पहिले नै GRE टनेलिङ कन्फिगर गरिसकेकाले, हामी बाह्य KS ठेगानाहरूलाई स्रोत र गन्तव्य ठेगानाहरू ट्राफिक इन्क्रिप्ट गर्नका लागि निर्दिष्ट गर्न सक्छौं - आखिर, GRE प्रोटोकलद्वारा इन्क्याप्सुलेटेड ट्राफिक इन्क्रिप्सनको लागि आइपुग्छ। अर्को शब्दमा, एक साइटको स्थानीय सञ्जालबाट अन्य साइटहरूद्वारा घोषणा गरिएका सञ्जालहरूतर्फ CS मा आउने सबै कुरा इन्क्रिप्टेड हुन्छ। र प्रत्येक साइट भित्र कुनै पनि पुनर्निर्देशन प्रदर्शन गर्न सकिन्छ। यसरी, स्थानीय नेटवर्कहरूमा कुनै परिवर्तन भएमा, प्रशासकले आफ्नो नेटवर्कबाट सञ्जालतर्फ आउने घोषणाहरूलाई मात्र परिमार्जन गर्न आवश्यक छ, र यो अन्य साइटहरूमा उपलब्ध हुनेछ।

S-Terra CS मा इन्क्रिप्सन IPSec प्रोटोकल प्रयोग गरी गरिन्छ। हामी GOST R 34.12-2015 अनुसार "Grasshopper" एल्गोरिथ्म प्रयोग गर्छौं, र पुराना संस्करणहरूसँग अनुकूलताको लागि तपाईंले GOST 28147-89 प्रयोग गर्न सक्नुहुन्छ। प्रमाणीकरण प्राविधिक रूपमा पूर्वनिर्धारित कुञ्जीहरू (PSKs) र प्रमाणपत्रहरूमा प्रदर्शन गर्न सकिन्छ। यद्यपि, औद्योगिक सञ्चालनमा GOST R 34.10-2012 अनुसार जारी प्रमाणपत्रहरू प्रयोग गर्न आवश्यक छ।

सर्टिफिकेटहरू, कन्टेनरहरू र सीआरएलहरूसँग काम गर्ने उपयोगिता प्रयोग गरी गरिन्छ cert_mgr। सबै भन्दा पहिले, आदेश प्रयोग गरेर cert_mgr सिर्जना गर्नुहोस् यो एक निजी कुञ्जी कन्टेनर र प्रमाणपत्र अनुरोध उत्पन्न गर्न आवश्यक छ, जुन प्रमाणपत्र व्यवस्थापन केन्द्रमा पठाइनेछ। प्रमाणपत्र प्राप्त गरेपछि, यसलाई रूट CA प्रमाणपत्र र CRL (यदि प्रयोग गरिएको छ) आदेशको साथ आयात गर्नुपर्छ। cert_mgr आयात। तपाइँ सुनिश्चित गर्न सक्नुहुन्छ कि सबै प्रमाणपत्रहरू र CRL हरू आदेशको साथ स्थापित छन् cert_mgr शो.

प्रमाणपत्रहरू सफलतापूर्वक स्थापना गरेपछि, IPSec कन्फिगर गर्न सिस्को-जस्तो कन्सोलमा जानुहोस्।
हामीले एउटा IKE नीति सिर्जना गर्छौं जसले सुरक्षित च्यानल सिर्जना गरिँदैछ भन्ने वांछित एल्गोरिदम र प्यारामिटरहरू निर्दिष्ट गर्दछ, जुन साझेदारलाई स्वीकृतिको लागि प्रस्ताव गरिनेछ।

#crypto isakmp नीति 1000
#encr gost341215k
#hash gost341112-512-tc26
#प्रमाणीकरण चिन्ह
#समूह vko2
#जीवनकाल 3600

IPSec को पहिलो चरण निर्माण गर्दा यो नीति लागू हुन्छ। पहिलो चरणको सफल समापनको परिणाम SA (सुरक्षा संघ) को स्थापना हो।
अर्को, हामीले इन्क्रिप्शनको लागि स्रोत र गन्तव्य IP ठेगानाहरू (ACL) को सूची परिभाषित गर्न आवश्यक छ, एक रूपान्तरण सेट उत्पन्न गर्न, क्रिप्टोग्राफिक नक्सा (क्रिप्टो नक्सा) सिर्जना गर्न र यसलाई CS को बाह्य इन्टरफेसमा बाँध्न आवश्यक छ।

ACL सेट गर्नुहोस्:
#ip पहुँच-सूची विस्तारित साइट1
#permit gre host 10.111.21.3 host 10.111.22.3

रूपान्तरणहरूको सेट (पहिलो चरणको लागि जस्तै, हामी सिमुलेशन इन्सर्ट जेनेरेशन मोड प्रयोग गरेर "ग्रासपर" इन्क्रिप्शन एल्गोरिदम प्रयोग गर्छौं):

#crypto ipsec transform-set GOST esp-gost341215k-mac

हामी क्रिप्टो नक्सा सिर्जना गर्छौं, ACL निर्दिष्ट गर्छौं, सेट र पियर ठेगाना रूपान्तरण गर्छौं:

#crypto नक्शा MAIN 100 ipsec-isakmp
# मिलान ठेगाना साइट1
#सेट रूपान्तरण-सेट GOST
#सेट पियर 10.111.22.3

हामी क्रिप्टो कार्डलाई नगद दर्ताको बाहिरी इन्टरफेसमा बाँध्छौं:

# इन्टरफेस GigabitEthernet0/0
#ip ठेगाना 10.111.21.3 255.255.255.0
#क्रिप्टो नक्सा MAIN

अन्य साइटहरूसँग च्यानलहरू इन्क्रिप्ट गर्न, तपाईंले ACL र क्रिप्टो कार्ड सिर्जना गर्न, ACL नाम, IP ठेगानाहरू र क्रिप्टो कार्ड नम्बर परिवर्तन गर्ने प्रक्रिया दोहोर्याउनु पर्छ।

ध्यान दिनुहोस्! यदि CRL द्वारा प्रमाणपत्र प्रमाणिकरण प्रयोग गरिएको छैन भने, यो स्पष्ट रूपमा निर्दिष्ट हुनुपर्छ:

#crypto pki trustpoint s-terra_technological_trustpoint
#revocation - कुनै पनि जाँच गर्नुहोस्

यस बिन्दुमा, सेटअप पूर्ण मान्न सकिन्छ। सिस्को-जस्तो कन्सोल आदेश आउटपुटमा क्रिप्टो isakmp sa देखाउनुहोस् и क्रिप्टो ipsec देखाउनुहोस् IPSec को निर्माण गरिएको पहिलो र दोस्रो चरणहरू प्रतिबिम्बित हुनुपर्छ। आदेश प्रयोग गरेर समान जानकारी प्राप्त गर्न सकिन्छ sa_mgr शो, डेबियन शेलबाट निष्पादित। आदेश आउटपुट मा cert_mgr शो रिमोट साइट प्रमाणपत्रहरू देखा पर्नु पर्छ। त्यस्ता प्रमाणपत्रहरूको स्थिति हुनेछ रिमोट। यदि सुरुङहरू निर्माण भइरहेको छैन भने, तपाईंले VPN सेवा लग हेर्नु पर्छ, जुन फाइलमा भण्डार गरिएको छ। /var/log/cspvpngate.log। तिनीहरूको सामग्रीहरूको विवरण सहित लग फाइलहरूको पूर्ण सूची कागजातमा उपलब्ध छ।

प्रणाली को "स्वास्थ्य" को निगरानी

S-Terra CC ले निगरानीको लागि मानक snmpd डेमन प्रयोग गर्दछ। सामान्य Linux प्यारामिटरहरूका अतिरिक्त, S-Terra ले CISCO-IPSEC-FLOW-MONITOR-MIB अनुसार IPSec टनेलहरू बारे डाटा जारी गर्न समर्थन गर्दछ, जुन हामीले IPSec टनेलहरूको स्थिति अनुगमन गर्दा प्रयोग गर्छौं। अनुकूल OIDs को कार्यक्षमता जसले स्क्रिप्ट कार्यान्वयनको नतिजालाई मानहरूको रूपमा आउटपुट गर्दछ। यो सुविधाले हामीलाई प्रमाणपत्रको म्याद सकिने मितिहरू ट्र्याक गर्न अनुमति दिन्छ। लिखित लिपिले आदेश आउटपुट पार्स गर्दछ cert_mgr शो र परिणाम स्वरूप स्थानीय र मूल प्रमाणपत्रहरू समाप्त नभएसम्म दिनहरूको संख्या दिन्छ। ठूलो संख्यामा CABGs व्यवस्थापन गर्दा यो प्रविधि अपरिहार्य छ।

यस्तो ईन्क्रिप्शन को फाइदा के छ?

माथि वर्णन गरिएका सबै प्रकार्यहरू S-Terra KSh द्वारा बाकस बाहिर समर्थित छन्। त्यो हो, क्रिप्टो गेटवेको प्रमाणीकरण र सम्पूर्ण सूचना प्रणालीको प्रमाणीकरणलाई असर गर्न सक्ने कुनै पनि अतिरिक्त मोड्युलहरू स्थापना गर्न आवश्यक थिएन। त्यहाँ साइटहरू बीच कुनै पनि च्यानल हुन सक्छ, इन्टरनेट मार्फत पनि।

यस तथ्यको कारणले गर्दा जब आन्तरिक पूर्वाधार परिवर्तन हुन्छ, त्यहाँ क्रिप्टो गेटवेहरू पुन: कन्फिगर गर्न आवश्यक पर्दैन, प्रणाली सेवाको रूपमा काम गर्दछ, जुन ग्राहकको लागि धेरै सुविधाजनक छ: उसले कुनै पनि ठेगानाहरूमा आफ्ना सेवाहरू (क्लाइन्ट र सर्भर) राख्न सक्छ, र सबै परिवर्तनहरू गतिशील रूपमा इन्क्रिप्शन उपकरणहरू बीच हस्तान्तरण गरिनेछ।

निस्सन्देह, ओभरहेड लागत (ओभरहेड) को कारण इन्क्रिप्शनले डाटा स्थानान्तरण गतिलाई असर गर्छ, तर थोरै मात्र - च्यानल थ्रुपुट अधिकतम 5-10% ले घटाउन सक्छ। एकै समयमा, प्रविधिको परीक्षण गरिएको छ र स्याटेलाइट च्यानलहरूमा पनि राम्रो नतिजा देखाइएको छ, जुन धेरै अस्थिर र कम ब्यान्डविथ छ।

Igor Vinokhodov, Rostelecom-Solar को प्रशासन को दोस्रो लाइन को इन्जिनियर

स्रोत: www.habr.com