په کورني IPsec VPN کې 1.5 سکیمونه. د ازموینې ډیمو

وضعیت

ما د دریو میاشتو لپاره د C-Terra VPN محصولاتو نسخه 4.3 ډیمو نسخه ترلاسه کړه. زه غواړم معلومه کړم چې ایا زما د انجینرۍ ژوند به نوې نسخې ته د بدلولو وروسته اسانه شي.

نن ورځ ستونزمنه نه ده، د فوري کافي یوه کڅوړه باید په 3 کې 1 کافی وي. زه به تاسو ته ووایم چې څنګه ډیمو ترلاسه کړم. زه به هڅه وکړم چې د GRE-over-IPsec او IPsec-over-GRE سکیمونه جوړ کړم.

د ډیمو ترلاسه کولو څرنګوالی

دا د ارقامو څخه تعقیب کیږي چې د ډیمو ترلاسه کولو لپاره تاسو اړتیا لرئ:

ته یو لیک ولیکئ [ایمیل خوندي شوی] د کارپوریټ ادرس څخه؛
په لیک کې، ستاسو د سازمان TIN په ګوته کړئ؛
محصولات او د هغوی مقدار لیست کړئ.

ډیمو د دریو میاشتو لپاره اعتبار لري. پلورونکي د دوی فعالیت محدود نه کوي.

د انځور پراخول

د امنیت دروازې ډیمو د مجازی ماشین عکس دی. زه د VMWare ورک سټیشن کاروم. د ملاتړ شوي هایپروایزرونو او مجازی کولو چاپیریال بشپړ لیست د پلورونکي ویب پا onه کې شتون لري.

مخکې لدې چې تاسو پیل کړئ ، مهرباني وکړئ په یاد ولرئ چې د ډیفالټ مجازی ماشین عکس کې د شبکې انٹرفیس شتون نلري:

منطق روښانه دی، کاروونکي باید هرڅومره انٹرفیسونه اضافه کړي څومره چې ورته اړتیا وي. زه به په یوځل کې څلور اضافه کړم:

اوس زه مجازی ماشین پیل کوم. د پیل کولو سمدستي وروسته، ګیټس یو کارن-نوم او پټنوم ته اړتیا لري.

په S-Terra Gateway کې د مختلف حسابونو سره ډیری کنسولونه شتون لري. زه به د دوی شمیر په جلا مقاله کې حساب کړم. اوس لپاره:
Login as: administrator Password: s-terra

زه د دروازې پیل کوم. ابتکار د عملونو لړۍ ده: د جواز داخلول، د بیولوژیکي تصادفي شمیرې جنریټر ترتیب کول (کی بورډ سمیلیټر - زما ریکارډ 27 ثانیې دی) او د شبکې انٹرفیس نقشه رامینځته کول.

د شبکې انٹرفیس نقشه. دا اسانه شوه

4.2 نسخه فعال کارونکي ته د پیغامونو سره ښه راغلاست وویل:

Starting IPsec daemon….. failed ERROR: Could not establish connection with daemon

یو فعال کارونکی (د نامعلوم انجینر په وینا) هغه کارن دی چې کولی شي هرڅه ژر او پرته له اسنادو تنظیم کړي.

په انٹرفیس کې د IP پته تنظیم کولو هڅه کولو دمخه یو څه غلط روان و. دا ټول د شبکې انٹرفیس نقشې په اړه دي. دا اړینه وه چې:

/bin/netifcfg enum > /home/map /bin/netifcfg map /home/map service networking restart

د پایلې په توګه، د شبکې انٹرفیس نقشه رامینځته کیږي چې د فزیکي انٹرفیس نومونو نقشه لري (0000:02:03.0) او په عملیاتي سیسټم کې د دوی منطقي ډیزاینونه (eth0) او د سیسکو په څیر کنسول (FastEthernet0/0):

#Unique ID iface type OS name Cisco-like name

0000:02:03.0 phye eth0 FastEthernet0/0

د انٹرفیس منطقي نومونه د عرف په نوم یادیږي. عرفونه په /etc/ifaliases.cf فایل کې زیرمه شوي.
په 4.3 نسخه کې، کله چې مجازی ماشین لومړی پیل شي، د انٹرفیس نقشه په اوتومات ډول رامینځته کیږي. که تاسو په مجازی ماشین کې د شبکې انٹرفیس شمیر بدل کړئ، نو مهرباني وکړئ د انٹرفیس نقشه بیا جوړه کړئ:

/bin/netifcfg enum > /home/map /bin/netifcfg map /home/map systemctl restart networking

سکیم 1: GRE-over-IPsec

زه دوه مجازی دروازې ځای پرځای کوم، زه بدلوم لکه څنګه چې په انځور کې ښودل شوي:

مرحله 1. د IP پتې او لارې تنظیم کړئ

VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254

VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253

د IP ارتباط چک کول:

root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms

--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms

2 ګام: GRE تنظیم کړئ

زه د رسمي سکریپټونو څخه د GRE ترتیب کولو مثال اخلم. زه په /etc/network/interfaces.d ډایرکټر کې د منځپانګو سره د gre1 فایل جوړوم.

د VG1 لپاره:

auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

د VG2 لپاره:

auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

زه په سیسټم کې انٹرفیس پورته کوم:

root@VG1:~# ifup gre1
root@VG2:~# ifup gre1

چک کول:

root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
    link/gre 172.16.1.253 peer 172.16.1.254
    inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
       valid_lft forever preferred_lft forever

root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1

د C-Terra Gateway یو جوړ شوی پاکټ سنیفیر لري - tcpdump. زه به د pcap فایل ته د ترافیک ډمپ ولیکم:

root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap

زه د GRE انٹرفیسونو ترمینځ پینګ پیل کوم:

root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms

د GRE تونل جوړ او روان دی:

مرحله 3. د GOST GRE سره کوډ کړئ

ما د پیژندنې ډول ترتیب کړ - د پتې په واسطه. د مخکینۍ تعریف شوي کیلي سره تصدیق (د کارونې شرایطو سره سم، ډیجیټل سندونه باید وکارول شي):

VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254

ما د IPsec مرحله I پیرامیټونه تنظیم کړل:

VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2

ما د IPsec مرحله II پیرامیټونه تنظیم کړل:

VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel

زه د کوډ کولو لپاره د لاسرسي لیست جوړوم. په نښه شوي ترافیک - GRE:

VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254

زه یو کریپټو نقشه رامینځته کوم او دا د WAN انٹرفیس سره وتړم:

VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
  crypto map CMAP

د VG2 لپاره، ترتیب منعکس شوی، توپیرونه دا دي:

VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254

چک کول:

root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap

root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2

د ISAKMP/IPsec احصایې:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480

د GRE ترافیک ډمپ کې هیڅ کڅوړې شتون نلري:

پایله: د GRE-over-IPsec سکیم په سمه توګه کار کوي.

شکل 1.5: IPsec-over-GRE

زه په شبکه کې د IPsec-over-GRE کارولو پلان نه لرم. زه راټولوم ځکه چې زه غواړم.

د GRE-over-IPsec سکیم ځای په ځای کولو لپاره بل ډول:

د کوډ کولو لاسرسي لیست سم کړئ - له LAN1 څخه LAN2 ته په نښه شوي ترافیک او برعکس؛
د GRE له لارې روټینګ تنظیم کړئ؛
په GRE انٹرفیس کې کریپټو میپ ځړ کړئ.

په ډیفالټ ډول ، د سیسکو په څیر د ګیټ وے کنسول کې د GRE انٹرفیس شتون نلري. دا یوازې په عملیاتي سیسټم کې شتون لري.

زه د سیسکو په څیر کنسول کې د GRE انٹرفیس اضافه کوم. د دې کولو لپاره، زه د /etc/ifaliases.cf فایل سموم:

interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")

چیرته چې gre1 په عملیاتي سیسټم کې د انٹرفیس ډیزاین دی، Tunnel0 د سیسکو په څیر کنسول کې د انٹرفیس ډیزاین دی.

زه د فایل هش بیا محاسبه کوم:

root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf

SUCCESS:  Operation was successful.

اوس د تونل0 انٹرفیس د سیسکو په څیر کنسول کې څرګند شوی:

VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400

د کوډ کولو لپاره د لاسرسي لیست سمول:

VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

زه د GRE له لارې روټینګ تنظیموم:

VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2

زه د Fa0 / 0 څخه کریپټو میپ لرې کړم او د GRE انٹرفیس سره یې وتړم:

VG1(config)#
interface Tunnel0
crypto map CMAP

د VG2 لپاره دا ورته دی.

چک کول:

root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap

root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms

--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms

د ISAKMP/IPsec احصایې:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352

د ESP ترافیک ډمپ کې ، پاکټونه په GRE کې پوښل شوي:

پایله: IPsec-over-GRE په سمه توګه کار کوي.

پایلې

یوه پیاله قهوه کافي وه. ما د ډیمو نسخه ترلاسه کولو لپاره لارښوونې سکیچ کړې. د GRE-over-IPsec ترتیب شوی او برعکس ځای پرځای شوی.

په 4.3 نسخه کې د شبکې انٹرفیس نقشه اتوماتیک ده! زه نوره ازموینه کوم.

نامعلوم انجینر
t.me/anonymous_engineer

سرچینه: www.habr.com

په کورني IPsec VPN کې 1.5 سکیمونه. د ازموینې ډیمو

وضعیت

د ډیمو ترلاسه کولو څرنګوالی

د انځور پراخول

د شبکې انٹرفیس نقشه. دا اسانه شوه

سکیم 1: GRE-over-IPsec

شکل 1.5: IPsec-over-GRE

پایلې

Add a comment ځواب لغوه