{"id":39000,"date":"2019-10-31T22:27:16","date_gmt":"2019-10-31T19:27:16","guid":{"rendered":"https:\/\/prohoster.info\/blog\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika\/"},"modified":"2019-10-31T22:27:16","modified_gmt":"2019-10-31T19:27:16","slug":"shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","title":{"rendered":"Criptografamos de acordo com a GOST: lembrete para configurar o roteamento din\u00e2mico de tr\u00e1fego","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Criptografamos
\nSe a sua empresa transmite ou recebe dados pessoais e outras informa\u00e7\u00f5es confidenciais que devem ser protegidas de acordo com a legisla\u00e7\u00e3o, \u00e9 necess\u00e1rio aplicar a criptografia conforme o padr\u00e3o GOST. Hoje, vamos contar como implementamos essa criptografia com base no gateway criptogr\u00e1fico (GK) S-Terra em um dos clientes. Esta hist\u00f3ria ser\u00e1 interessante para especialistas em seguran\u00e7a da informa\u00e7\u00e3o, bem como para engenheiros, projetistas e arquitetos. N\u00e3o iremos nos aprofundar nas nuances da configura\u00e7\u00e3o t\u00e9cnica neste post \u2013 vamos nos concentrar nos pontos-chave da configura\u00e7\u00e3o b\u00e1sica. H\u00e1 uma enorme quantidade de documenta\u00e7\u00e3o sobre a configura\u00e7\u00e3o de dem\u00f4nios do sistema operacional Linux, que serve de base para o GK S-Terra, dispon\u00edvel gratuitamente na internet. A documenta\u00e7\u00e3o sobre a configura\u00e7\u00e3o do software propriet\u00e1rio S-Terra tamb\u00e9m est\u00e1 dispon\u00edvel publicamente em portal<\/a><\/noindex> do fabricante.
\n<\/a><\/noindex><\/p>\n

Algumas palavras sobre o projeto <\/h2>\n

\nA topologia da rede do cliente era t\u00edpica - full mesh entre o centro e as filiais. Era necess\u00e1rio implementar a criptografia dos canais de troca de informa\u00e7\u00f5es entre todos os locais, que totalizavam 8. <\/p>\n

Normalmente, em projetos semelhantes, tudo \u00e9 est\u00e1tico: rotas est\u00e1ticas na rede local dos GK s\u00e3o configuradas, listas de endere\u00e7os IP (ACL) s\u00e3o especificadas para a criptografia. No entanto, neste caso, n\u00e3o h\u00e1 gerenciamento centralizado nos locais, e dentro de suas redes locais tudo pode acontecer: redes podem ser adicionadas, removidas e modificadas de diversas maneiras. Para evitar a necessidade de reconfigurar a roteamento e ACL nos GK com a altera\u00e7\u00e3o da endere\u00e7amento das redes locais, foi tomada a decis\u00e3o de utilizar tunelamento GRE e roteamento din\u00e2mico OSPF, no qual est\u00e3o inclu\u00eddos todos os GK e a maioria dos roteadores de n\u00facleo nas filiais (em alguns locais, os administradores da infraestrutura preferiram usar SNAT em dire\u00e7\u00e3o ao GK nos roteadores de n\u00facleo). <\/p>\n

O tunelamento GRE resolveu duas quest\u00f5es:
\n1.<\/b> Usar no ACL para criptografia o endere\u00e7o IP da interface externa do GK, na qual todo o tr\u00e1fego que est\u00e1 sendo encapsulado \u00e9 direcionado a outros locais.
\n2.<\/b> Organizar t\u00faneis ponto-a-ponto entre os GKs, que permitem configurar o roteamento din\u00e2mico (neste caso, foi configurado um MPLS L3VPN de provedor entre os locais).<\/p>\n

O cliente solicitou a implementa\u00e7\u00e3o de criptografia como servi\u00e7o. Caso contr\u00e1rio, ele n\u00e3o apenas precisaria manter gateways de criptografia ou terceirizar para alguma organiza\u00e7\u00e3o, mas tamb\u00e9m monitorar o ciclo de vida dos certificados de criptografia, renovando-os a tempo e instalando novos.
\n\"Criptografamos
\nAgora, o pr\u00f3prio lembrete \u2013 como e o que configuramos<\/p>\n

Nota para o sujeito do KII: configuramos o gateway de criptografia <\/h2>\n

<\/p>\n

Configura\u00e7\u00e3o b\u00e1sica da rede<\/h3>\n

\nPrimeiramente, iniciamos o novo GCE e acessamos o console de administra\u00e7\u00e3o. Comece alterando a senha do administrador integrado \u2013 o comando change user password administrator<\/b>. Em seguida, \u00e9 necess\u00e1rio realizar o procedimento de inicializa\u00e7\u00e3o (comando initialize<\/b>) no qual s\u00e3o inseridos os dados da licen\u00e7a e o gerador de n\u00fameros aleat\u00f3rios (GNA) \u00e9 inicializado.<\/p>\n

Aten\u00e7\u00e3o!<\/u><\/b> Durante a inicializa\u00e7\u00e3o do GCE S-Terra, \u00e9 estabelecida uma pol\u00edtica de seguran\u00e7a segundo a qual as interfaces do gateway de seguran\u00e7a n\u00e3o permitem o tr\u00e1fego de pacotes. \u00c9 necess\u00e1rio criar uma pol\u00edtica pr\u00f3pria ou, com o comando run csconf_mgr activate<\/b> , executar a ativa\u00e7\u00e3o da pol\u00edtica de permiss\u00e3o pr\u00e9-configurada.
\nA seguir, \u00e9 necess\u00e1rio configurar os endere\u00e7os das interfaces externas e internas, bem como a rota padr\u00e3o. O trabalho com a configura\u00e7\u00e3o de rede do GCE e a configura\u00e7\u00e3o de criptografia deve ser preferencialmente realizado atrav\u00e9s do console Cisco-like. Este console foi projetado para inserir comandos semelhantes aos comandos Cisco IOS. A configura\u00e7\u00e3o formada por meio do console Cisco-like \u00e9, por sua vez, convertida em arquivos de configura\u00e7\u00e3o correspondentes, com os quais operam os dem\u00f4nios do sistema operacional. Para acessar o console Cisco-like a partir do console de administra\u00e7\u00e3o, use o comando configure<\/b>.<\/p>\n

Mudamos as senhas do usu\u00e1rio integrado cscons e enable: <\/p>\n

>enable
\nPassword: csp (pr\u00e9-configurado)
\n#configure terminal
\n#username cscons privilege 15 secret 0 #enable secret 0 \u041d\u0430\u0441\u0442\u0440\u0430\u0438\u0432\u0430\u0435\u043c \u0431\u0430\u0437\u043e\u0432\u0443\u044e \u0441\u0435\u0442\u0435\u0432\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0433\u0443\u0440\u0430\u0446\u0438\u044e:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#no shutdown
\n#interface GigabitEthernet0\/1
\n#ip address 192.168.2.5 255.255.255.252
\n#no shutdown
\n#ip route 0.0.0.0 0.0.0.0 10.111.21.254<\/p>\n

GRE<\/h3>\n

\nSa\u00edmos do console Cisco-like e entramos no shell debian com o comando system<\/b>. Definimos uma senha pr\u00f3pria para o usu\u00e1rio root<\/b> com o comando passwd<\/b>.
\nEm cada GCE, configura-se um t\u00fanel separado para cada site. A configura\u00e7\u00e3o da interface do t\u00fanel \u00e9 feita no arquivo \/etc\/network\/interfaces<\/b>. A cria\u00e7\u00e3o da pr\u00f3pria interface \u00e9 responsabilidade da utilidade IP tunnel, que faz parte do pacote pr\u00e9-instalado iproute2. O comando para criar a interface deve ser adicionado na op\u00e7\u00e3o pre-up.<\/p>\n

Exemplo de configura\u00e7\u00e3o de uma interface de t\u00fanel t\u00edpica:
\nauto site1
\niface site1 inet static
\naddress 192.168.1.4
\nnetmask 255.255.255.254
\npre-up ip tunnel add site1 mode gre local 10.111.21.3 remote 10.111.22.3 key hfLYEg^vCh6p<\/p>\n

Aten\u00e7\u00e3o!<\/u><\/b> \u00c9 importante notar que as configura\u00e7\u00f5es das interfaces de t\u00fanel devem estar localizadas fora da se\u00e7\u00e3o <\/p>\n

###netifcfg-begin###
\n*****
\n###netifcfg-end###<\/p>\n

Caso contr\u00e1rio, essas configura\u00e7\u00f5es ser\u00e3o sobrescritas ao modificar as configura\u00e7\u00f5es das interfaces f\u00edsicas atrav\u00e9s do console semelhante ao Cisco.<\/p>\n

Roteamento din\u00e2mico<\/h3>\n

\nNo S-Terra, o roteamento din\u00e2mico \u00e9 implementado com o pacote de programas Quagga. Para configurar o OSPF, precisamos ativar e configurar os dem\u00f4nios zebra<\/b> e ospfd<\/b>. O daemon zebra \u00e9 respons\u00e1vel pela intera\u00e7\u00e3o entre os dem\u00f4nios de roteamento e o SO. O daemon ospfd, como o nome sugere, \u00e9 respons\u00e1vel pela implementa\u00e7\u00e3o do protocolo OSPF.
\nA configura\u00e7\u00e3o do OSPF pode ser feita atrav\u00e9s do console do daemon ou diretamente atrav\u00e9s do arquivo de configura\u00e7\u00e3o \/etc\/quagga\/ospfd.conf<\/b>. O arquivo deve incluir todas as interfaces f\u00edsicas e de t\u00fanel envolvidas no roteamento din\u00e2mico, e tamb\u00e9m declarar as redes que ser\u00e3o anunciadas e aceitar an\u00fancios.<\/p>\n

Exemplo de configura\u00e7\u00e3o que precisa ser adicionada ao ospfd.conf<\/b>:
\ninterface eth0
\n!
\ninterface eth1
\n!
\ninterface site1
\n!
\ninterface site2
\nrouter ospf
\n ospf router-id 192.168.2.21
\n network 192.168.1.4\/31 area 0.0.0.0
\n network 192.168.1.16\/31 area 0.0.0.0
\n network 192.168.2.4\/30 area 0.0.0.0<\/p>\n

Neste caso, os endere\u00e7os 192.168.1.x\/31 s\u00e3o reservados para redes PTP de t\u00fanel entre locais, enquanto os endere\u00e7os 192.168.2.x\/30 s\u00e3o usados para redes de tr\u00e2nsito entre as centrais e os roteadores de n\u00facleo. <\/p>\n

Aten\u00e7\u00e3o!<\/b><\/u> Para reduzir a tabela de roteamento em grandes instala\u00e7\u00f5es, \u00e9 poss\u00edvel filtrar o an\u00fancio das pr\u00f3prias redes de tr\u00e2nsito com as instru\u00e7\u00f5es no redistribute connected<\/b> ou redistribute connected route-map<\/b>.<\/p>\n

Ap\u00f3s configurar os dem\u00f4nios, \u00e9 necess\u00e1rio alterar o status de inicializa\u00e7\u00e3o dos dem\u00f4nios em \/etc\/quagga\/daemons<\/b>. Nas op\u00e7\u00f5es, substitua no por yes. Inicie o daemon quagga e configure para que inicie automaticamente ao dar boot na central com o comando zebra<\/b> e ospfd<\/b> update-rc.d quagga enable Se a configura\u00e7\u00e3o dos t\u00faneis GRE e do OSPF estiver correta, as rotas para as redes dos outros locais devem aparecer na central e nos roteadores de n\u00facleo, criando assim conectividade entre as redes locais.<\/b>.<\/p>\n

Criptografamos o tr\u00e1fego transmitido<\/p>\n

Codificamos o tr\u00e1fego transmitido <\/h3>\n

\nComo j\u00e1 mencionado, normalmente, ao criptografar entre sites, indicamos intervalos de endere\u00e7os IP (ACL) entre os quais o tr\u00e1fego \u00e9 criptografado: se os endere\u00e7os de origem e destino estiverem dentro desses intervalos, o tr\u00e1fego entre eles ser\u00e1 criptografado. No entanto, neste projeto, a estrutura \u00e9 din\u00e2mica e os endere\u00e7os podem mudar. Como j\u00e1 configuramos o tunelamento GRE, podemos usar endere\u00e7os externos do CH como endere\u00e7os de origem e destino para a criptografia do tr\u00e1fego \u2014 pois o tr\u00e1fego que chega j\u00e1 est\u00e1 encapsulado pelo protocolo GRE. Em outras palavras, tudo que chega ao CH da rede local de um site em dire\u00e7\u00e3o \u00e0s redes que foram anunciadas por outros sites \u00e9 criptografado. E j\u00e1 dentro de cada um dos sites, qualquer redirecionamento pode ser realizado. Assim, com qualquer altera\u00e7\u00e3o nas redes locais, o administrador precisa apenas modificar os an\u00fancios que v\u00e3o de sua rede em dire\u00e7\u00e3o ao CH, e este se tornar\u00e1 acess\u00edvel para outros sites.<\/p>\n

A criptografia no CH S-Terra \u00e9 realizada atrav\u00e9s do protocolo IPSec. Utilizamos o algoritmo \"Grasshopper\" de acordo com o GOST R 34.12-2015, e para compatibilidade com vers\u00f5es antigas, pode-se aplicar o GOST 28147-89. A autentica\u00e7\u00e3o pode ser tecnicamente realizada tanto por chaves pr\u00e9-definidas (PSK), quanto por certificados. No entanto, em aplica\u00e7\u00f5es industriais \u00e9 necess\u00e1rio usar certificados emitidos segundo o GOST R 34.10-2012.<\/p>\n

O trabalho com certificados, cont\u00eaineres e CRL \u00e9 realizado com a ferramenta cert_mgr<\/b>. Primeiro, com o comando cert_mgr create<\/b> , \u00e9 necess\u00e1rio formar um cont\u00eainer de chave privada e uma solicita\u00e7\u00e3o de certificado, que ser\u00e1 enviada ao Centro de Gerenciamento de Certificados. Ap\u00f3s receber o certificado, ele deve ser importado junto com o certificado raiz da CA e o CRL (se utilizado) com o comando cert_mgr import<\/b>. Para garantir que todos os certificados e CRL foram instalados, pode-se usar o comando cert_mgr show<\/b>.<\/p>\n

. Ap\u00f3s a instala\u00e7\u00e3o bem-sucedida dos certificados, vamos para o console semelhante ao Cisco para configurar o IPSec.
\nCriamos uma pol\u00edtica IKE, na qual especificamos os algoritmos e par\u00e2metros desejados para o canal seguro que ser\u00e3o propostos ao parceiro para negocia\u00e7\u00e3o. <\/p>\n

#crypto isakmp policy 1000
\n#encr gost341215k
\n#hash gost341112-512-tc26
\n#authentication sign
\n#group vko2
\n#lifetime 3600<\/p>\n

Essa pol\u00edtica \u00e9 aplicada na constru\u00e7\u00e3o da primeira fase do IPSec. O resultado bem-sucedido da primeira fase \u00e9 o estabelecimento do SA (Associa\u00e7\u00e3o de Seguran\u00e7a).
\nEm seguida, precisamos determinar a lista de endere\u00e7os IP de origem e destino (ACL) para criptografia, formar um conjunto de transforma\u00e7\u00f5es (transform set), criar um mapa criptogr\u00e1fico (crypto map) e vincul\u00e1-lo \u00e0 interface externa do dispositivo. <\/p>\n

Definindo a ACL:
\n#ip access-list extended site1
\n#permit gre host 10.111.21.3 host 10.111.22.3<\/p>\n

Conjunto de transforma\u00e7\u00f5es (como na primeira fase, usamos o algoritmo de criptografia \"Grasshopper\" utilizando o modo de produ\u00e7\u00e3o de HMAC):<\/p>\n

#crypto ipsec transform-set GOST esp-gost341215k-mac<\/p>\n

Criamos o mapa criptogr\u00e1fico, especificando a ACL, o conjunto de transforma\u00e7\u00f5es e o endere\u00e7o do peer:<\/p>\n

#crypto map MAIN 100 ipsec-isakmp
\n#match address site1
\n#set transform-set GOST
\n#set peer 10.111.22.3<\/p>\n

Vinculamos o mapa criptogr\u00e1fico \u00e0 interface externa do dispositivo:<\/p>\n

#interface GigabitEthernet0\/0
\n#ip address 10.111.21.3 255.255.255.0
\n#crypto map MAIN<\/p>\n

Para criptografar canais com outros locais, \u00e9 necess\u00e1rio repetir o procedimento de cria\u00e7\u00e3o da ACL e do mapa criptogr\u00e1fico, alterando o nome da ACL, os endere\u00e7os IP e o n\u00famero do mapa criptogr\u00e1fico.<\/p>\n

Aten\u00e7\u00e3o! <\/u><\/b>Caso n\u00e3o seja utilizada a verifica\u00e7\u00e3o de certificados por CRL, isso deve ser especificado explicitamente:<\/p>\n

#crypto pki trustpoint s-terra_technological_trustpoint
\n#revocation-check none<\/p>\n

Monitorando a \"sa\u00fade\" do sistema<\/h2>\n

\nNo dispositivo S-Terra, utiliza-se o daemon padr\u00e3o snmpd para monitoramento. Al\u00e9m dos par\u00e2metros t\u00edpicos do Linux, o S-Terra \"out-of-the-box\" suporta a entrega de dados sobre t\u00faneis IPSec de acordo com o CISCO-IPSEC-FLOW-MONITOR-MIB, que utilizamos para rastrear o estado dos t\u00faneis IPSec. Funcionalidades de OIDs personalizados tamb\u00e9m s\u00e3o suportadas, retornando como valores os resultados da execu\u00e7\u00e3o de scripts. Esta funcionalidade nos permite monitorar os prazos de expira\u00e7\u00e3o dos certificados. O script escrito analisa a sa\u00edda do comando cert_mgr show<\/b> e, como resultado, retorna a quantidade de dias at\u00e9 a expira\u00e7\u00e3o dos certificados local e raiz. Este m\u00e9todo \u00e9 indispens\u00e1vel na administra\u00e7\u00e3o de um grande n\u00famero de dispositivos.
\n\"Criptografamos
\n<\/p>\n

Qual \u00e9 a ess\u00eancia dessa criptografia?<\/h2>\n

\nTodo a funcionalidade descrita acima \u00e9 suportada 'out of the box' pelo KSH S-Terra. Ou seja, n\u00e3o foi necess\u00e1rio instalar nenhum m\u00f3dulo adicional que pudesse afetar a certifica\u00e7\u00e3o dos gateways criptogr\u00e1ficos e a certifica\u00e7\u00e3o de todo o sistema de informa\u00e7\u00e3o. Os canais entre sites podem ser quaisquer, at\u00e9 mesmo pela internet. <\/p>\n

Gra\u00e7as ao fato de que, ao mudar a infraestrutura interna, n\u00e3o \u00e9 necess\u00e1rio reconfigurar os gateways criptogr\u00e1ficos, o sistema opera como um servi\u00e7o<\/b>, o que \u00e9 muito conveniente para o cliente: ele pode hospedar seus servi\u00e7os (client-side e server-side) em quaisquer endere\u00e7os, e todas as mudan\u00e7as ser\u00e3o transmitidas dinamicamente entre o equipamento de criptografia. <\/p>\n

Sem d\u00favida, a criptografia devido a sobrecargas (overhead) afeta a velocidade de transmiss\u00e3o de dados, mas de forma insignificante - a largura de banda do canal pode ser reduzida no m\u00e1ximo em 5 a 10%. Nesse sentido, a tecnologia foi testada e apresentou bons resultados mesmo em canais via sat\u00e9lite, que s\u00e3o bastante inst\u00e1veis e possuem baixa largura de banda. <\/p>\n

Igor Vinokhodov, engenheiro da 2\u00aa linha de administra\u00e7\u00e3o da 'Rostelecom-Solar'<\/i>
\n
Fonte: habr.com<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f \u043f\u0435\u0440\u0435\u0434\u0430\u0451\u0442 \u0438\u043b\u0438 \u043f\u043e\u043b\u0443\u0447\u0430\u0435\u0442 \u043f\u043e \u0441\u0435\u0442\u0438 \u043f\u0435\u0440\u0441\u0434\u0430\u043d\u043d\u044b\u0435 \u0438 \u0434\u0440\u0443\u0433\u0443\u044e \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u0443\u044e \u0438\u043d\u0444\u043e\u0440\u043c\u0430\u0446\u0438\u044e, \u043f\u043e\u0434\u043b\u0435\u0436\u0430\u0449\u0443\u044e \u0437\u0430\u0449\u0438\u0442\u0435 \u0432 \u0441\u043e\u043e\u0442\u0432\u0435\u0442\u0441\u0442\u0432\u0438\u0438 \u0441 \u0437\u0430\u043a\u043e\u043d\u043e\u0434\u0430\u0442\u0435\u043b\u044c\u0441\u0442\u0432\u043e\u043c, \u0442\u0440\u0435\u0431\u0443\u0435\u0442\u0441\u044f \u043f\u0440\u0438\u043c\u0435\u043d\u044f\u0442\u044c \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043f\u043e \u0413\u041e\u0421\u0422\u0443. \u0421\u0435\u0433\u043e\u0434\u043d\u044f \u043c\u044b \u0440\u0430\u0441\u0441\u043a\u0430\u0436\u0435\u043c, \u043a\u0430\u043a \u0432\u043d\u0435\u0434\u0440\u0438\u043b\u0438 \u0442\u0430\u043a\u043e\u0435 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u0435 \u043d\u0430 \u0431\u0430\u0437\u0435 \u043a\u0440\u0438\u043f\u0442\u043e\u0448\u043b\u044e\u0437\u0430 (\u041a\u0428) S-Terra \u0443 \u043e\u0434\u043d\u043e\u0433\u043e \u0438\u0437 \u0437\u0430\u043a\u0430\u0437\u0447\u0438\u043a\u043e\u0432. \u042d\u0442\u0430 \u0438\u0441\u0442\u043e\u0440\u0438\u044f \u0431\u0443\u0434\u0435\u0442 \u0438\u043d\u0442\u0435\u0440\u0435\u0441\u043d\u0430 \u0418\u0411-\u0441\u043f\u0435\u0446\u0438\u0430\u043b\u0438\u0441\u0442\u0430\u043c, \u0430 \u0442\u0430\u043a\u0436\u0435 \u0438\u043d\u0436\u0435\u043d\u0435\u0440\u0430\u043c, \u043f\u0440\u043e\u0435\u043a\u0442\u0438\u0440\u043e\u0432\u0449\u0438\u043a\u0430\u043c \u0438 \u0430\u0440\u0445\u0438\u0442\u0435\u043a\u0442\u043e\u0440\u0430\u043c. \u0413\u043b\u0443\u0431\u043e\u043a\u043e \u043f\u043e\u0433\u0440\u0443\u0436\u0430\u0442\u044c\u0441\u044f \u0432 \u043d\u044e\u0430\u043d\u0441\u044b […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":29260,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-39000","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Criptografamos de acordo com a norma GOST: guia para configura\u00e7\u00e3o de roteamento din\u00e2mico de tr\u00e1fego | ProHoster","description":"Se a sua empresa.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0428\u0438\u0444\u0440\u0443\u0435\u043c\u0441\u044f \u043f\u043e \u0413\u041e\u0421\u0422\u0443: \u043f\u0430\u043c\u044f\u0442\u043a\u0430 \u043f\u043e \u043d\u0430\u0441\u0442\u0440\u043e\u0439\u043a\u0435 \u0434\u0438\u043d\u0430\u043c\u0438\u0447\u0435\u0441\u043a\u043e\u0439 \u043c\u0430\u0440\u0448\u0440\u0443\u0442\u0438\u0437\u0430\u0446\u0438\u0438 \u0442\u0440\u0430\u0444\u0438\u043a\u0430 | ProHoster","og:description":"\u0415\u0441\u043b\u0438 \u0432\u0430\u0448\u0430 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u044f.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/shifruemsya-po-gostu-pamyatka-po-nastrojke-dinamicheskoj-marshrutizatsii-trafika","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2019-10-31T19:27:16+00:00","article:modified_time":"2019-10-31T19:27:16+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"39000","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":"2026-02-04 15:17:19","breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-03-01 00:58:40","updated":"2026-02-04 15:17:19","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/39000","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=39000"}],"version-history":[{"count":1,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/39000\/revisions"}],"predecessor-version":[{"id":156680,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/39000\/revisions\/156680"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/29260"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=39000"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=39000"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=39000"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}

Com isso, a configura\u00e7\u00e3o pode ser considerada conclu\u00edda. No resultado dos comandos do console estilo Cisco show crypto isakmp sa<\/b> e show crypto ipsec sa<\/b> deve refletir as fases um e dois do IPSec constru\u00eddas. Essa mesma informa\u00e7\u00e3o pode ser obtida usando o comando sa_mgr show<\/b>, executado do shell Debian. Na sa\u00edda do comando cert_mgr show<\/b> devem aparecer os certificados dos locais remotos. O status desses certificados ser\u00e1 remoto<\/b>. Caso os t\u00faneis n\u00e3o sejam constru\u00eddos, \u00e9 necess\u00e1rio conferir o log VPN<\/a>-do servi\u00e7o, que \u00e9 armazenado no arquivo \/var\/log\/cspvpngate.log<\/b>. Uma lista completa de arquivos de log, com a descri\u00e7\u00e3o de seu conte\u00fado, est\u00e1 dispon\u00edvel na documenta\u00e7\u00e3o.<\/p>\n