ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕ ਸਾਜ਼ੋ-ਸਾਮਾਨ 'ਤੇ IPSec ਸਾਈਟ-ਟੂ-ਸਾਈਟ VPN ਸੈਟ ਕਰਨਾ

ਇਹ ਲੇਖ ਨਿਰੰਤਰਤਾ ਹੈ ਪਿਛਲੀ ਸਮੱਗਰੀਸਾਜ਼-ਸਾਮਾਨ ਸਥਾਪਤ ਕਰਨ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਸਮਰਪਿਤ ਪਾਲੋ ਆਲਟੋ ਨੈਟਵਰਕ . ਇੱਥੇ ਅਸੀਂ ਸੈੱਟਅੱਪ ਬਾਰੇ ਗੱਲ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ IPSec ਸਾਈਟ-ਟੂ-ਸਾਈਟ VPN ਉਪਕਰਣ 'ਤੇ ਪਾਲੋ ਆਲਟੋ ਨੈਟਵਰਕ ਅਤੇ ਕਈ ਇੰਟਰਨੈਟ ਪ੍ਰਦਾਤਾਵਾਂ ਨਾਲ ਜੁੜਨ ਲਈ ਇੱਕ ਸੰਭਾਵੀ ਸੰਰਚਨਾ ਵਿਕਲਪ ਬਾਰੇ।

ਪ੍ਰਦਰਸ਼ਨ ਲਈ, ਮੁੱਖ ਦਫਤਰ ਨੂੰ ਬ੍ਰਾਂਚ ਨਾਲ ਜੋੜਨ ਲਈ ਇੱਕ ਮਿਆਰੀ ਸਕੀਮ ਵਰਤੀ ਜਾਵੇਗੀ। ਇੱਕ ਨੁਕਸ-ਸਹਿਣਸ਼ੀਲ ਇੰਟਰਨੈਟ ਕਨੈਕਸ਼ਨ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ, ਮੁੱਖ ਦਫਤਰ ਦੋ ਪ੍ਰਦਾਤਾਵਾਂ ਦੇ ਇੱਕੋ ਸਮੇਂ ਕਨੈਕਸ਼ਨ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ: ISP-1 ਅਤੇ ISP-2। ਸ਼ਾਖਾ ਦਾ ਸਿਰਫ਼ ਇੱਕ ਪ੍ਰਦਾਤਾ, ISP-3 ਨਾਲ ਕੁਨੈਕਸ਼ਨ ਹੈ। ਫਾਇਰਵਾਲ PA-1 ਅਤੇ PA-2 ਵਿਚਕਾਰ ਦੋ ਸੁਰੰਗਾਂ ਬਣਾਈਆਂ ਗਈਆਂ ਹਨ। ਸੁਰੰਗਾਂ ਮੋਡ ਵਿੱਚ ਕੰਮ ਕਰਦੀਆਂ ਹਨ ਐਕਟਿਵ-ਸਟੈਂਡਬਾਈ,ਸੁਰੰਗ-1 ਕਿਰਿਆਸ਼ੀਲ ਹੈ, ਸੁਰੰਗ-2 ਫੇਲ ਹੋਣ 'ਤੇ ਟਨਲ-1 ਟ੍ਰੈਫਿਕ ਸੰਚਾਰਿਤ ਕਰਨਾ ਸ਼ੁਰੂ ਕਰ ਦੇਵੇਗਾ। ਸੁਰੰਗ-1 ISP-1 ਨਾਲ ਕੁਨੈਕਸ਼ਨ ਵਰਤਦਾ ਹੈ, Tunnel-2 ISP-2 ਨਾਲ ਕੁਨੈਕਸ਼ਨ ਵਰਤਦਾ ਹੈ। ਸਾਰੇ IP ਪਤੇ ਪ੍ਰਦਰਸ਼ਨ ਦੇ ਉਦੇਸ਼ਾਂ ਲਈ ਬੇਤਰਤੀਬੇ ਤੌਰ 'ਤੇ ਤਿਆਰ ਕੀਤੇ ਗਏ ਹਨ ਅਤੇ ਉਨ੍ਹਾਂ ਦਾ ਅਸਲੀਅਤ ਨਾਲ ਕੋਈ ਸਬੰਧ ਨਹੀਂ ਹੈ।

ਸਾਈਟ-ਟੂ-ਸਾਈਟ ਬਣਾਉਣ ਲਈ VPN ਦੀ ਵਰਤੋਂ ਕੀਤੀ ਜਾਵੇਗੀ ਆਈਪੀਐਸਕ - IP ਦੁਆਰਾ ਪ੍ਰਸਾਰਿਤ ਕੀਤੇ ਗਏ ਡੇਟਾ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਪ੍ਰੋਟੋਕੋਲ ਦਾ ਇੱਕ ਸਮੂਹ। ਆਈਪੀਐਸਕ ਸੁਰੱਖਿਆ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕੰਮ ਕਰੇਗਾ ESP (Encapsulating Security Payload), ਜੋ ਪ੍ਰਸਾਰਿਤ ਡੇਟਾ ਦੀ ਐਨਕ੍ਰਿਪਸ਼ਨ ਨੂੰ ਯਕੀਨੀ ਬਣਾਏਗਾ।

В ਆਈਪੀਐਸਕ ਅੰਦਰ ਆਉਂਦਾ ਹੈ ਆਈਕੇਈ (ਇੰਟਰਨੈੱਟ ਕੁੰਜੀ ਐਕਸਚੇਂਜ) ਇੱਕ ਪ੍ਰੋਟੋਕੋਲ ਹੈ ਜੋ SA (ਸੁਰੱਖਿਆ ਐਸੋਸੀਏਸ਼ਨਾਂ), ਸੁਰੱਖਿਆ ਮਾਪਦੰਡਾਂ ਦੀ ਗੱਲਬਾਤ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ ਜੋ ਪ੍ਰਸਾਰਿਤ ਡੇਟਾ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। ਪੈਨ ਫਾਇਰਵਾਲ ਸਹਿਯੋਗ IKEv1 и IKEv2.

В IKEv1 ਇੱਕ VPN ਕਨੈਕਸ਼ਨ ਦੋ ਪੜਾਵਾਂ ਵਿੱਚ ਬਣਾਇਆ ਗਿਆ ਹੈ: IKEv1 ਪੜਾਅ 1 (IKE ਸੁਰੰਗ) ਅਤੇ IKEv1 ਪੜਾਅ 2 (IPSec ਸੁਰੰਗ), ਇਸ ਤਰ੍ਹਾਂ, ਦੋ ਸੁਰੰਗਾਂ ਬਣਾਈਆਂ ਗਈਆਂ ਹਨ, ਜਿਨ੍ਹਾਂ ਵਿੱਚੋਂ ਇੱਕ ਫਾਇਰਵਾਲਾਂ ਵਿਚਕਾਰ ਸੇਵਾ ਜਾਣਕਾਰੀ ਦੇ ਆਦਾਨ-ਪ੍ਰਦਾਨ ਲਈ ਵਰਤੀ ਜਾਂਦੀ ਹੈ, ਦੂਜੀ ਆਵਾਜਾਈ ਸੰਚਾਰ ਲਈ। IN IKEv1 ਪੜਾਅ 1 ਦੋ ਓਪਰੇਟਿੰਗ ਮੋਡ ਹਨ - ਮੁੱਖ ਮੋਡ ਅਤੇ ਹਮਲਾਵਰ ਮੋਡ। ਹਮਲਾਵਰ ਮੋਡ ਘੱਟ ਸੁਨੇਹਿਆਂ ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ ਅਤੇ ਤੇਜ਼ ਹੁੰਦਾ ਹੈ, ਪਰ ਪੀਅਰ ਆਈਡੈਂਟਿਟੀ ਪ੍ਰੋਟੈਕਸ਼ਨ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦਾ ਹੈ।

IKEv2 ਨੂੰ ਤਬਦੀਲ ਕਰਨ ਲਈ ਆਇਆ ਸੀ IKEv1, ਅਤੇ ਦੇ ਮੁਕਾਬਲੇ IKEv1 ਇਸਦਾ ਮੁੱਖ ਫਾਇਦਾ ਘੱਟ ਬੈਂਡਵਿਡਥ ਲੋੜਾਂ ਅਤੇ ਤੇਜ਼ SA ਗੱਲਬਾਤ ਹੈ। IN IKEv2 ਘੱਟ ਸੇਵਾ ਸੁਨੇਹੇ ਵਰਤੇ ਜਾਂਦੇ ਹਨ (ਕੁੱਲ ਵਿੱਚ 4), EAP ਅਤੇ MOBIKE ਪ੍ਰੋਟੋਕੋਲ ਸਮਰਥਿਤ ਹਨ, ਅਤੇ ਪੀਅਰ ਦੀ ਉਪਲਬਧਤਾ ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ ਇੱਕ ਵਿਧੀ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ ਹੈ ਜਿਸ ਨਾਲ ਸੁਰੰਗ ਬਣਾਈ ਗਈ ਹੈ - ਜੀਵੰਤਤਾ ਦੀ ਜਾਂਚ, IKEv1 ਵਿੱਚ ਡੈੱਡ ਪੀਅਰ ਡਿਟੈਕਸ਼ਨ ਨੂੰ ਬਦਲਣਾ। ਜੇਕਰ ਚੈਕ ਫੇਲ ਹੋ ਜਾਵੇ ਤਾਂ IKEv2 ਸੁਰੰਗ ਨੂੰ ਰੀਸੈਟ ਕਰ ਸਕਦਾ ਹੈ ਅਤੇ ਫਿਰ ਇਸਨੂੰ ਪਹਿਲੇ ਮੌਕੇ 'ਤੇ ਆਪਣੇ ਆਪ ਰੀਸਟੋਰ ਕਰ ਸਕਦਾ ਹੈ। ਤੁਸੀਂ ਅੰਤਰਾਂ ਬਾਰੇ ਹੋਰ ਜਾਣ ਸਕਦੇ ਹੋ ਇੱਥੇ ਪੜ੍ਹੋ.

ਜੇ ਵੱਖ-ਵੱਖ ਨਿਰਮਾਤਾਵਾਂ ਤੋਂ ਫਾਇਰਵਾਲਾਂ ਵਿਚਕਾਰ ਇੱਕ ਸੁਰੰਗ ਬਣਾਈ ਗਈ ਹੈ, ਤਾਂ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਬੱਗ ਹੋ ਸਕਦੇ ਹਨ IKEv2, ਅਤੇ ਅਜਿਹੇ ਉਪਕਰਣਾਂ ਦੀ ਅਨੁਕੂਲਤਾ ਲਈ ਇਸਦੀ ਵਰਤੋਂ ਸੰਭਵ ਹੈ IKEv1. ਦੂਜੇ ਮਾਮਲਿਆਂ ਵਿੱਚ ਇਸਦੀ ਵਰਤੋਂ ਕਰਨਾ ਬਿਹਤਰ ਹੈ IKEv2.

ਸੈੱਟਅੱਪ ਪੜਾਅ:

• ਐਕਟਿਵਸਟੈਂਡਬਾਏ ਮੋਡ ਵਿੱਚ ਦੋ ਇੰਟਰਨੈਟ ਪ੍ਰਦਾਤਾਵਾਂ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ

ਇਸ ਫੰਕਸ਼ਨ ਨੂੰ ਲਾਗੂ ਕਰਨ ਦੇ ਕਈ ਤਰੀਕੇ ਹਨ. ਉਹਨਾਂ ਵਿੱਚੋਂ ਇੱਕ ਵਿਧੀ ਦੀ ਵਰਤੋਂ ਕਰਨਾ ਹੈ ਮਾਰਗ ਨਿਗਰਾਨੀ, ਜੋ ਕਿ ਵਰਜਨ ਤੋਂ ਸ਼ੁਰੂ ਹੋ ਕੇ ਉਪਲਬਧ ਹੋ ਗਿਆ PAN-OS 8.0.0. ਇਹ ਉਦਾਹਰਨ ਵਰਜਨ 8.0.16 ਵਰਤਦਾ ਹੈ। ਇਹ ਵਿਸ਼ੇਸ਼ਤਾ Cisco ਰਾਊਟਰਾਂ ਵਿੱਚ IP SLA ਵਰਗੀ ਹੈ। ਸਥਿਰ ਡਿਫਾਲਟ ਰੂਟ ਪੈਰਾਮੀਟਰ ਇੱਕ ਖਾਸ ਸਰੋਤ ਪਤੇ ਤੋਂ ਇੱਕ ਖਾਸ IP ਪਤੇ 'ਤੇ ਪਿੰਗ ਪੈਕੇਟ ਭੇਜਣ ਦੀ ਸੰਰਚਨਾ ਕਰਦਾ ਹੈ। ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਈਥਰਨੈੱਟ 1/1 ਇੰਟਰਫੇਸ ਇੱਕ ਵਾਰ ਪ੍ਰਤੀ ਸਕਿੰਟ ਵਿੱਚ ਡਿਫੌਲਟ ਗੇਟਵੇ ਨੂੰ ਪਿੰਗ ਕਰਦਾ ਹੈ। ਜੇਕਰ ਲਗਾਤਾਰ ਤਿੰਨ ਪਿੰਗਾਂ ਦਾ ਕੋਈ ਜਵਾਬ ਨਹੀਂ ਮਿਲਦਾ ਹੈ, ਤਾਂ ਰੂਟ ਨੂੰ ਟੁੱਟਿਆ ਮੰਨਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਰੂਟਿੰਗ ਟੇਬਲ ਤੋਂ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਉਹੀ ਰੂਟ ਦੂਜੇ ਇੰਟਰਨੈਟ ਪ੍ਰਦਾਤਾ ਵੱਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਗਿਆ ਹੈ, ਪਰ ਇੱਕ ਉੱਚ ਮੈਟ੍ਰਿਕ ਦੇ ਨਾਲ (ਇਹ ਇੱਕ ਬੈਕਅੱਪ ਹੈ)। ਇੱਕ ਵਾਰ ਜਦੋਂ ਸਾਰਣੀ ਤੋਂ ਪਹਿਲਾ ਰੂਟ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਫਾਇਰਵਾਲ ਦੂਜੇ ਰੂਟ - ਦੁਆਰਾ ਟਰੈਫਿਕ ਭੇਜਣਾ ਸ਼ੁਰੂ ਕਰ ਦੇਵੇਗਾ ਫੇਲ-ਓਵਰ. ਜਦੋਂ ਪਹਿਲਾ ਪ੍ਰਦਾਤਾ ਪਿੰਗਾਂ ਦਾ ਜਵਾਬ ਦੇਣਾ ਸ਼ੁਰੂ ਕਰਦਾ ਹੈ, ਤਾਂ ਇਸਦਾ ਰੂਟ ਸਾਰਣੀ ਵਿੱਚ ਵਾਪਸ ਆ ਜਾਵੇਗਾ ਅਤੇ ਇੱਕ ਬਿਹਤਰ ਮੀਟ੍ਰਿਕ ਦੇ ਕਾਰਨ ਦੂਜੇ ਨੂੰ ਬਦਲ ਦੇਵੇਗਾ - ਫੇਲ-ਬੈਕ. ਪ੍ਰਕਿਰਿਆ ਫੇਲ-ਓਵਰ ਕੌਂਫਿਗਰ ਕੀਤੇ ਅੰਤਰਾਲਾਂ 'ਤੇ ਨਿਰਭਰ ਕਰਦਿਆਂ ਕੁਝ ਸਕਿੰਟ ਲੱਗਦੇ ਹਨ, ਪਰ, ਕਿਸੇ ਵੀ ਸਥਿਤੀ ਵਿੱਚ, ਪ੍ਰਕਿਰਿਆ ਤੁਰੰਤ ਨਹੀਂ ਹੁੰਦੀ ਹੈ, ਅਤੇ ਇਸ ਸਮੇਂ ਦੌਰਾਨ ਆਵਾਜਾਈ ਖਤਮ ਹੋ ਜਾਂਦੀ ਹੈ। ਫੇਲ-ਬੈਕ ਆਵਾਜਾਈ ਦੇ ਨੁਕਸਾਨ ਤੋਂ ਬਿਨਾਂ ਲੰਘਦਾ ਹੈ. ਕਰਨ ਦਾ ਮੌਕਾ ਹੈ ਫੇਲ-ਓਵਰ ਤੇਜ਼, ਨਾਲ ਬੀ.ਐਫ.ਡੀ, ਜੇਕਰ ਇੰਟਰਨੈੱਟ ਪ੍ਰਦਾਤਾ ਅਜਿਹਾ ਮੌਕਾ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਬੀ.ਐਫ.ਡੀ ਮਾਡਲ ਤੋਂ ਸ਼ੁਰੂ ਕਰਕੇ ਸਮਰਥਿਤ ਹੈ PA-3000 ਸੀਰੀਜ਼ и ਵੀਐਮ -100. ਪਿੰਗ ਐਡਰੈੱਸ ਵਜੋਂ ਪ੍ਰਦਾਤਾ ਦੇ ਗੇਟਵੇ ਨੂੰ ਨਹੀਂ, ਸਗੋਂ ਇੱਕ ਜਨਤਕ, ਹਮੇਸ਼ਾ ਪਹੁੰਚਯੋਗ ਇੰਟਰਨੈੱਟ ਪਤਾ ਦੇਣਾ ਬਿਹਤਰ ਹੈ।

• ਇੱਕ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਬਣਾਉਣਾ

ਸੁਰੰਗ ਦੇ ਅੰਦਰ ਆਵਾਜਾਈ ਵਿਸ਼ੇਸ਼ ਵਰਚੁਅਲ ਇੰਟਰਫੇਸ ਦੁਆਰਾ ਪ੍ਰਸਾਰਿਤ ਕੀਤੀ ਜਾਂਦੀ ਹੈ. ਉਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਨੂੰ ਆਵਾਜਾਈ ਨੈੱਟਵਰਕ ਤੋਂ ਇੱਕ IP ਪਤੇ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤਾ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਇਸ ਉਦਾਹਰਨ ਵਿੱਚ, ਸਬਸਟੇਸ਼ਨ 1/172.16.1.0 ਦੀ ਵਰਤੋਂ ਸੁਰੰਗ-30 ਲਈ ਕੀਤੀ ਜਾਵੇਗੀ, ਅਤੇ ਸਬਸਟੇਸ਼ਨ 2/172.16.2.0 ਨੂੰ ਸੁਰੰਗ-30 ਲਈ ਵਰਤਿਆ ਜਾਵੇਗਾ।
ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਭਾਗ ਵਿੱਚ ਬਣਾਇਆ ਗਿਆ ਹੈ ਨੈੱਟਵਰਕ -> ਇੰਟਰਫੇਸ -> ਸੁਰੰਗ. ਤੁਹਾਨੂੰ ਇੱਕ ਵਰਚੁਅਲ ਰਾਊਟਰ ਅਤੇ ਸੁਰੱਖਿਆ ਜ਼ੋਨ, ਨਾਲ ਹੀ ਸੰਬੰਧਿਤ ਟਰਾਂਸਪੋਰਟ ਨੈੱਟਵਰਕ ਤੋਂ ਇੱਕ IP ਐਡਰੈੱਸ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ। ਇੰਟਰਫੇਸ ਨੰਬਰ ਕੁਝ ਵੀ ਹੋ ਸਕਦਾ ਹੈ।

ਭਾਗ ਤਕਨੀਕੀ ਨਿਰਧਾਰਤ ਕੀਤਾ ਜਾ ਸਕਦਾ ਹੈ ਪ੍ਰਬੰਧਨ ਪ੍ਰੋਫ਼ਾਈਲਜੋ ਦਿੱਤੇ ਗਏ ਇੰਟਰਫੇਸ 'ਤੇ ਪਿੰਗ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇਗਾ, ਇਹ ਟੈਸਟਿੰਗ ਲਈ ਲਾਭਦਾਇਕ ਹੋ ਸਕਦਾ ਹੈ।

• IKE ਪ੍ਰੋਫਾਈਲ ਸੈੱਟਅੱਪ ਕਰਨਾ

IKE ਪ੍ਰੋਫਾਈਲ VPN ਕੁਨੈਕਸ਼ਨ ਬਣਾਉਣ ਦੇ ਪਹਿਲੇ ਪੜਾਅ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ; ਸੁਰੰਗ ਪੈਰਾਮੀਟਰ ਇੱਥੇ ਦਿੱਤੇ ਗਏ ਹਨ IKE ਪੜਾਅ 1. ਪ੍ਰੋਫਾਈਲ ਭਾਗ ਵਿੱਚ ਬਣਾਇਆ ਗਿਆ ਹੈ ਨੈੱਟਵਰਕ -> ਨੈੱਟਵਰਕ ਪ੍ਰੋਫਾਈਲ -> IKE Crypto. ਏਨਕ੍ਰਿਪਸ਼ਨ ਐਲਗੋਰਿਦਮ, ਹੈਸ਼ਿੰਗ ਐਲਗੋਰਿਦਮ, ਡਿਫੀ-ਹੇਲਮੈਨ ਗਰੁੱਪ ਅਤੇ ਕੁੰਜੀ ਜੀਵਨ ਕਾਲ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨਾ ਜ਼ਰੂਰੀ ਹੈ। ਆਮ ਤੌਰ 'ਤੇ, ਐਲਗੋਰਿਦਮ ਜਿੰਨੇ ਜ਼ਿਆਦਾ ਗੁੰਝਲਦਾਰ ਹੋਣਗੇ, ਕਾਰਗੁਜ਼ਾਰੀ ਓਨੀ ਹੀ ਮਾੜੀ ਹੋਵੇਗੀ; ਉਹਨਾਂ ਨੂੰ ਖਾਸ ਸੁਰੱਖਿਆ ਲੋੜਾਂ ਦੇ ਆਧਾਰ 'ਤੇ ਚੁਣਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ। ਹਾਲਾਂਕਿ, ਸੰਵੇਦਨਸ਼ੀਲ ਜਾਣਕਾਰੀ ਦੀ ਸੁਰੱਖਿਆ ਲਈ 14 ਤੋਂ ਘੱਟ ਉਮਰ ਦੇ ਡਿਫੀ-ਹੇਲਮੈਨ ਗਰੁੱਪ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਖਤੀ ਨਾਲ ਸਿਫ਼ਾਰਸ਼ ਨਹੀਂ ਕੀਤੀ ਜਾਂਦੀ ਹੈ। ਇਹ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਕਮਜ਼ੋਰੀ ਦੇ ਕਾਰਨ ਹੈ, ਜਿਸਨੂੰ ਸਿਰਫ 2048 ਬਿੱਟ ਅਤੇ ਇਸ ਤੋਂ ਵੱਧ ਦੇ ਮੋਡੀਊਲ ਆਕਾਰਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਘਟਾਇਆ ਜਾ ਸਕਦਾ ਹੈ, ਜਾਂ ਅੰਡਾਕਾਰ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਐਲਗੋਰਿਦਮ, ਜੋ ਕਿ 19, 20, 21, 24 ਸਮੂਹਾਂ ਵਿੱਚ ਵਰਤੇ ਜਾਂਦੇ ਹਨ। ਇਹਨਾਂ ਐਲਗੋਰਿਦਮਾਂ ਦੀ ਤੁਲਨਾ ਵਿੱਚ ਵਧੇਰੇ ਪ੍ਰਦਰਸ਼ਨ ਹੈ। ਰਵਾਇਤੀ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ. ਇੱਥੇ ਹੋਰ ਪੜ੍ਹੋ. ਅਤੇ ਇੱਥੇ.

• IPSec ਪ੍ਰੋਫਾਈਲ ਸੈੱਟਅੱਪ ਕਰਨਾ

ਇੱਕ VPN ਕਨੈਕਸ਼ਨ ਬਣਾਉਣ ਦਾ ਦੂਜਾ ਪੜਾਅ ਇੱਕ IPSec ਸੁਰੰਗ ਹੈ। ਇਸਦੇ ਲਈ SA ਪੈਰਾਮੀਟਰਾਂ ਵਿੱਚ ਸੰਰਚਨਾ ਕੀਤੀ ਗਈ ਹੈ ਨੈੱਟਵਰਕ -> ਨੈੱਟਵਰਕ ਪ੍ਰੋਫਾਈਲ -> IPSec ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਫਾਈਲ. ਇੱਥੇ ਤੁਹਾਨੂੰ IPSec ਪ੍ਰੋਟੋਕੋਲ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ - AH ਜ ESP, ਅਤੇ ਨਾਲ ਹੀ ਪੈਰਾਮੀਟਰ SA — ਹੈਸ਼ਿੰਗ ਐਲਗੋਰਿਦਮ, ਏਨਕ੍ਰਿਪਸ਼ਨ, ਡਿਫੀ-ਹੇਲਮੈਨ ਸਮੂਹ ਅਤੇ ਮੁੱਖ ਜੀਵਨ ਕਾਲ। IKE ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਫਾਈਲ ਅਤੇ IPSec ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ SA ਪੈਰਾਮੀਟਰ ਇੱਕੋ ਜਿਹੇ ਨਹੀਂ ਹੋ ਸਕਦੇ ਹਨ।

• IKE ਗੇਟਵੇ ਨੂੰ ਕੌਂਫਿਗਰ ਕਰਨਾ

IKE ਗੇਟਵੇ - ਇਹ ਇੱਕ ਵਸਤੂ ਹੈ ਜੋ ਇੱਕ ਰਾਊਟਰ ਜਾਂ ਫਾਇਰਵਾਲ ਨੂੰ ਮਨੋਨੀਤ ਕਰਦੀ ਹੈ ਜਿਸ ਨਾਲ ਇੱਕ VPN ਸੁਰੰਗ ਬਣਾਈ ਗਈ ਹੈ। ਹਰੇਕ ਸੁਰੰਗ ਲਈ ਤੁਹਾਨੂੰ ਆਪਣੀ ਖੁਦ ਦੀ ਸੁਰੰਗ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ IKE ਗੇਟਵੇ. ਇਸ ਸਥਿਤੀ ਵਿੱਚ, ਦੋ ਸੁਰੰਗਾਂ ਬਣਾਈਆਂ ਜਾਂਦੀਆਂ ਹਨ, ਇੱਕ ਹਰੇਕ ਇੰਟਰਨੈਟ ਪ੍ਰਦਾਤਾ ਦੁਆਰਾ। ਅਨੁਸਾਰੀ ਆਊਟਗੋਇੰਗ ਇੰਟਰਫੇਸ ਅਤੇ ਇਸਦਾ IP ਪਤਾ, ਪੀਅਰ IP ਪਤਾ, ਅਤੇ ਸਾਂਝੀ ਕੁੰਜੀ ਦਰਸਾਈ ਗਈ ਹੈ। ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਵਰਤੋਂ ਸਾਂਝੀ ਕੁੰਜੀ ਦੇ ਵਿਕਲਪ ਵਜੋਂ ਕੀਤੀ ਜਾ ਸਕਦੀ ਹੈ।

ਪਹਿਲਾਂ ਬਣਾਇਆ ਗਿਆ ਇੱਕ ਇੱਥੇ ਦਰਸਾਇਆ ਗਿਆ ਹੈ IKE ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਫਾਈਲ. ਦੂਜੀ ਵਸਤੂ ਦੇ ਪੈਰਾਮੀਟਰ IKE ਗੇਟਵੇ ਸਮਾਨ, IP ਪਤਿਆਂ ਨੂੰ ਛੱਡ ਕੇ। ਜੇਕਰ ਪਾਲੋ ਆਲਟੋ ਨੈੱਟਵਰਕ ਫਾਇਰਵਾਲ NAT ਰਾਊਟਰ ਦੇ ਪਿੱਛੇ ਸਥਿਤ ਹੈ, ਤਾਂ ਤੁਹਾਨੂੰ ਵਿਧੀ ਨੂੰ ਸਮਰੱਥ ਕਰਨ ਦੀ ਲੋੜ ਹੈ NAT ਟ੍ਰੈਵਰਸਲ.

• IPSec ਸੁਰੰਗ ਸਥਾਪਤ ਕਰਨਾ

IPSec ਸੁਰੰਗ ਇੱਕ ਵਸਤੂ ਹੈ ਜੋ IPSec ਟਨਲ ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਨਿਸ਼ਚਿਤ ਕਰਦੀ ਹੈ, ਜਿਵੇਂ ਕਿ ਨਾਮ ਸੁਝਾਅ ਦਿੰਦਾ ਹੈ। ਇੱਥੇ ਤੁਹਾਨੂੰ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਅਤੇ ਪਹਿਲਾਂ ਬਣਾਈਆਂ ਵਸਤੂਆਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ IKE ਗੇਟਵੇ, IPSec ਕ੍ਰਿਪਟੋ ਪ੍ਰੋਫਾਈਲ. ਬੈਕਅੱਪ ਸੁਰੰਗ 'ਤੇ ਰੂਟਿੰਗ ਦੇ ਆਟੋਮੈਟਿਕ ਸਵਿਚਿੰਗ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ, ਤੁਹਾਨੂੰ ਯੋਗ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ ਸੁਰੰਗ ਮਾਨੀਟਰ. ਇਹ ਇੱਕ ਵਿਧੀ ਹੈ ਜੋ ਜਾਂਚ ਕਰਦੀ ਹੈ ਕਿ ਕੀ ਇੱਕ ਪੀਅਰ ICMP ਟ੍ਰੈਫਿਕ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਜ਼ਿੰਦਾ ਹੈ ਜਾਂ ਨਹੀਂ। ਮੰਜ਼ਿਲ ਦੇ ਪਤੇ ਦੇ ਤੌਰ 'ਤੇ, ਤੁਹਾਨੂੰ ਪੀਅਰ ਦੇ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਦਾ IP ਪਤਾ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ ਜਿਸ ਨਾਲ ਸੁਰੰਗ ਬਣਾਈ ਜਾ ਰਹੀ ਹੈ। ਪ੍ਰੋਫਾਈਲ ਟਾਈਮਰ ਦੱਸਦੀ ਹੈ ਅਤੇ ਜੇਕਰ ਕੁਨੈਕਸ਼ਨ ਗੁੰਮ ਹੋ ਜਾਵੇ ਤਾਂ ਕੀ ਕਰਨਾ ਹੈ। ਮੁੜ ਪ੍ਰਾਪਤ ਕਰਨ ਦੀ ਉਡੀਕ ਕਰੋ - ਕੁਨੈਕਸ਼ਨ ਰੀਸਟੋਰ ਹੋਣ ਤੱਕ ਉਡੀਕ ਕਰੋ, ਫੇਲ ਓਵਰ — ਜੇਕਰ ਉਪਲਬਧ ਹੋਵੇ ਤਾਂ ਕਿਸੇ ਵੱਖਰੇ ਰੂਟ 'ਤੇ ਆਵਾਜਾਈ ਭੇਜੋ। ਦੂਜੀ ਸੁਰੰਗ ਦੀ ਸਥਾਪਨਾ ਪੂਰੀ ਤਰ੍ਹਾਂ ਸਮਾਨ ਹੈ; ਦੂਜੀ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਅਤੇ IKE ਗੇਟਵੇ ਨਿਰਧਾਰਤ ਕੀਤੇ ਗਏ ਹਨ.

• ਰੂਟਿੰਗ ਸੈੱਟਅੱਪ ਕਰਨਾ

ਇਹ ਉਦਾਹਰਨ ਸਥਿਰ ਰਾਊਟਿੰਗ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। PA-1 ਫਾਇਰਵਾਲ 'ਤੇ, ਦੋ ਡਿਫੌਲਟ ਰੂਟਾਂ ਤੋਂ ਇਲਾਵਾ, ਤੁਹਾਨੂੰ ਬ੍ਰਾਂਚ ਵਿੱਚ 10.10.10.0/24 ਸਬਨੈੱਟ ਲਈ ਦੋ ਰੂਟ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਇੱਕ ਰੂਟ ਟਨਲ-1 ਦੀ ਵਰਤੋਂ ਕਰਦਾ ਹੈ, ਦੂਜਾ ਟਨਲ-2। ਟਨਲ-1 ਰਾਹੀਂ ਜਾਣ ਵਾਲਾ ਰਸਤਾ ਮੁੱਖ ਹੈ ਕਿਉਂਕਿ ਇਸ ਵਿੱਚ ਘੱਟ ਮੈਟ੍ਰਿਕ ਹੈ। ਵਿਧੀ ਮਾਰਗ ਨਿਗਰਾਨੀ ਇਹਨਾਂ ਰੂਟਾਂ ਲਈ ਨਹੀਂ ਵਰਤਿਆ ਜਾਂਦਾ। ਬਦਲਣ ਲਈ ਜ਼ਿੰਮੇਵਾਰ ਹੈ ਸੁਰੰਗ ਮਾਨੀਟਰ.

ਸਬਨੈੱਟ 192.168.30.0/24 ਲਈ ਉਹੀ ਰੂਟ PA-2 'ਤੇ ਕੌਂਫਿਗਰ ਕੀਤੇ ਜਾਣ ਦੀ ਲੋੜ ਹੈ।

• ਨੈੱਟਵਰਕ ਨਿਯਮ ਸਥਾਪਤ ਕਰਨਾ

ਸੁਰੰਗ ਦੇ ਕੰਮ ਕਰਨ ਲਈ, ਤਿੰਨ ਨਿਯਮਾਂ ਦੀ ਲੋੜ ਹੈ:

1. ਕੰਮ ਕਰਨ ਲਈ ਮਾਰਗ ਮਾਨੀਟਰ ਬਾਹਰੀ ਇੰਟਰਫੇਸਾਂ 'ਤੇ ICMP ਦੀ ਆਗਿਆ ਦਿਓ।
2. ਕਰਨ ਲਈ ਆਈਪੀਐਸਕ ਐਪਸ ਨੂੰ ਇਜਾਜ਼ਤ ਦਿਓ ਜੋ ਗੋਰਾ и ipsec ਬਾਹਰੀ ਇੰਟਰਫੇਸ 'ਤੇ.
3. ਅੰਦਰੂਨੀ ਸਬਨੈੱਟ ਅਤੇ ਸੁਰੰਗ ਇੰਟਰਫੇਸ ਵਿਚਕਾਰ ਆਵਾਜਾਈ ਦੀ ਆਗਿਆ ਦਿਓ।

ਸਿੱਟਾ

ਇਹ ਲੇਖ ਨੁਕਸ-ਸਹਿਣਸ਼ੀਲ ਇੰਟਰਨੈਟ ਕਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਦੇ ਵਿਕਲਪ ਦੀ ਚਰਚਾ ਕਰਦਾ ਹੈ ਅਤੇ ਸਾਈਟ-ਟੂ-ਸਾਈਟ VPN. ਅਸੀਂ ਉਮੀਦ ਕਰਦੇ ਹਾਂ ਕਿ ਜਾਣਕਾਰੀ ਉਪਯੋਗੀ ਸੀ ਅਤੇ ਪਾਠਕ ਨੇ ਇਸ ਵਿੱਚ ਵਰਤੀਆਂ ਗਈਆਂ ਤਕਨਾਲੋਜੀਆਂ ਦਾ ਇੱਕ ਵਿਚਾਰ ਪ੍ਰਾਪਤ ਕੀਤਾ ਪਾਲੋ ਆਲਟੋ ਨੈਟਵਰਕ. ਜੇਕਰ ਤੁਹਾਡੇ ਕੋਲ ਭਵਿੱਖ ਦੇ ਲੇਖਾਂ ਲਈ ਵਿਸ਼ਿਆਂ 'ਤੇ ਸੈੱਟਅੱਪ ਅਤੇ ਸੁਝਾਵਾਂ ਬਾਰੇ ਸਵਾਲ ਹਨ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਟਿੱਪਣੀਆਂ ਵਿੱਚ ਲਿਖੋ, ਸਾਨੂੰ ਜਵਾਬ ਦੇਣ ਵਿੱਚ ਖੁਸ਼ੀ ਹੋਵੇਗੀ।

ਸਰੋਤ: www.habr.com