پرو هوسٽر > بلاگ > انتظاميه > گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

صورتحال

مون ٽن مهينن لاءِ S-Terra VPN پراڊڪٽ ورزن 4.3 جو ڊيمو ورزن حاصل ڪيو. مان اهو ڄاڻڻ چاهيان ٿو ته ڇا منهنجي انجنيئرنگ زندگي نئين ورزن تي سوئچ ڪرڻ کان پوءِ آسان ٿي ويندي.

اڄ اهو ڏکيو ناهي، 3 ۾ 1 انسٽنٽ ڪافي جو هڪ ٿلهو ڪافي هجڻ گهرجي. مان توهان کي ٻڌائيندس ته ڊيمو ورزن ڪيئن حاصل ڪجي. آئون GRE-over-IPsec ۽ IPsec-over-GRE اسڪيمن کي گڏ ڪرڻ جي ڪوشش ڪندس.

ڪيئن هڪ Demo حاصل ڪرڻ لاء

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

تصوير مان اهو هيٺ ڏنل آهي ته ڊيمو ورزن حاصل ڪرڻ لاءِ توهان کي ضرورت آهي:

  • ڏانهن خط لکو [ايميل محفوظ ٿيل] هڪ ڪارپوريٽ ايڊريس کان؛
  • خط ۾، توهان جي تنظيم جو TIN ظاهر ڪريو؛
  • مصنوعات ۽ انهن جي مقدار جي فهرست.

ڊيمو ورزن ٽن مهينن لاءِ صحيح آهن. وڪرو ڪندڙ انهن جي ڪارڪردگي کي محدود نٿو ڪري.

تصوير کي پڌرو ڪرڻ

سيڪيورٽي گيٽ وي جو ڊيمو ورزن هڪ ورچوئل مشين جي تصوير آهي. مان استعمال ڪري رهيو آهيان VMWare ورڪ اسٽيشن. حمايت ٿيل هائپر ويزرز ۽ ورچوئلائيزيشن ماحول جي مڪمل فهرست وينڊر جي ويب سائيٽ تي موجود آهي.

توھان کان پھريان شروع ڪريو، مھرباني ڪري نوٽ ڪريو ته ڊفالٽ ورچوئل مشين جي تصوير ۾ نيٽ ورڪ انٽرفيس نه آھي:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

منطق واضح آهي، صارف کي لازمي طور تي ڪيترائي انٽرفيس شامل ڪرڻ گهرجن جيئن هن کي ضرورت آهي. مان هڪ ڀيرو چار شامل ڪندس:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

ھاڻي مان ورچوئل مشين لانچ ڪريان ٿو. فوري طور تي لانچ کان پوء، گيٽ وي کي لاگ ان ۽ پاسورڊ جي ضرورت آهي.

S-Terra Gateway وٽ ڪيترائي ڪنسول آھن مختلف اڪائونٽن سان. مان انهن جو تعداد هڪ الڳ مضمون ۾ شمار ڪندس. ان دوران:
Login as: administrator
Password: s-terra

مان گيٽ وي جي شروعات ڪري رهيو آهيان. شروعات عملن جو هڪ سلسلو آهي: لائسنس داخل ڪرڻ، هڪ حياتياتي بي ترتيب نمبر جنريٽر قائم ڪرڻ (ڪي بورڊ سموليٽر - منهنجو رڪارڊ 27 سيڪنڊ آهي) ۽ هڪ نيٽ ورڪ انٽرفيس نقشو ٺاهڻ.

نيٽ ورڪ انٽرفيس نقشو. اهو آسان ٿي ويو

نسخو 4.2 پيغامن سان فعال صارف جو استقبال ڪيو:

Starting IPsec daemon….. failed
ERROR: Could not establish connection with daemon

هڪ فعال صارف (هڪ گمنام انجنيئر جي مطابق) هڪ صارف آهي جيڪو جلدي ۽ بغير ڪنهن به دستاويز جي ترتيب ڏئي سگهي ٿو.

انٽرفيس تي IP پتي کي ترتيب ڏيڻ جي ڪوشش ڪرڻ کان اڳ به ڪجهه غلط ٿي رهيو هو. اهو سڀ ڪجهه نيٽ ورڪ انٽرفيس نقشي جي باري ۾ آهي. اهو ڪرڻ ضروري هو:

/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
service networking restart

نتيجي طور، نيٽ ورڪ انٽرفيس جو ھڪڙو نقشو ٺاھيو ويو آھي، جنھن ۾ فزيڪل انٽرفيس (0000:02:03.0) جي نالن جي نقشي ۽ آپريٽنگ سسٽم (eth0) ۽ Cisco-like ڪنسول (FastEthernet0/0) ۾ انھن جي منطقي تشڪيل شامل آھي. :

#Unique ID iface type OS name Cisco-like name

0000:02:03.0 phye eth0 FastEthernet0/0

منطقي انٽرفيس نامزدگي کي عرف سڏيو ويندو آهي. عرف /etc/ifaliases.cf فائل ۾ محفوظ ٿيل آهن.
نسخو 4.3 ۾، جڏهن توهان پهريون ڀيرو هڪ ورچوئل مشين شروع ڪيو، هڪ انٽرفيس نقشو خودڪار طريقي سان ٺهيل آهي. جيڪڏھن توھان ورچوئل مشين ۾ نيٽ ورڪ انٽرفيس جو تعداد تبديل ڪريو ٿا، ته مھرباني ڪري انٽرفيس نقشو ٺاھيو:

/bin/netifcfg enum > /home/map
/bin/netifcfg map /home/map
systemctl restart networking

اسڪيم 1: GRE-over-IPsec

مان ٻه مجازي گيٽ ويز ۽ سوئچ کي ترتيب ڏيو جيئن شڪل ۾ ڏيکاريل آهي:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

قدم 1. IP پتي ۽ رستن کي ترتيب ڏيو

VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254

VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253

مان چيڪ ڪريو IP ڪنيڪشن:

root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms

--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms

قدم 2. GRE ترتيب ڏيڻ

آئون سرڪاري اسڪرپٽ مان GRE ترتيب ڏيڻ جو مثال وٺان ٿو. مان مواد سان گڏ /etc/network/interfaces.d ڊاريڪٽري ۾ gre1 فائل ٺاهيان ٿو.

VG1 لاءِ:

auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

VG2 لاءِ:

auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

مان سسٽم ۾ انٽرفيس کي وڌايو:

root@VG1:~# ifup gre1
root@VG2:~# ifup gre1

مان چيڪ ڪريان ٿو:

root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
    link/gre 172.16.1.253 peer 172.16.1.254
    inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
       valid_lft forever preferred_lft forever

root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1

S-Terra Gateway ۾ ھڪ بلٽ ان پيڪٽ سنيفر آھي - tcpdump. مان پي سي پي فائل تي ٽرئفڪ ڊمپ لکندس:

root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap

مان GRE انٽرفيس جي وچ ۾ پنگ هلائي ٿو:

root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms

GRE سرنگ فعال ۽ هلندڙ آهي:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

قدم 3. GOST GRE سان گڏ ڪريو

مون سڃاڻپ جو قسم مقرر ڪيو - ايڊريس ذريعي. اڳواٽ بيان ڪيل چيڪ استعمال ڪندي تصديق (استعمال جي شرطن جي مطابق، ڊجيٽل سرٽيفڪيٽ استعمال ٿيڻ گهرجن):

VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254

مون IPsec مرحلو I پيٽرولر مقرر ڪيو:

VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2

مون IPsec مرحلو II پيٽرولر مقرر ڪيو:

VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel

مان هڪ انڪرپشن رسائي لسٽ ٺاهي رهيو آهيان. ٽارگيٽ ٽرئفڪ - GRE:

VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254

مان هڪ crypto ڪارڊ ٺاهيان ٿو ۽ ان کي WAN انٽرفيس تي پابند ڪريان ٿو:

VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
  crypto map CMAP

VG2 لاءِ ٺاھ جوڙ آئيني آھي، اختلاف:

VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254

مان چيڪ ڪريان ٿو:

root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap
root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2

ISAKMP/IPsec انگ اکر:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480

GRE ٽرئفڪ ڊمپ ۾ ڪو به پيڪيٽ نه آهن:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

نتيجو: GRE-over-IPsec اسڪيم صحيح ڪم ڪري ٿو.

اسڪيم 1.5: IPsec-over-GRE

مان نيٽ ورڪ تي IPsec-over-GRE استعمال ڪرڻ جو ارادو نٿو ڪريان. مان ان کي گڏ ڪريان ٿو ڇاڪاڻ ته مان چاهيان ٿو.

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

ريورس ۾ GRE-over-IPsec اسڪيم کي ترتيب ڏيڻ لاءِ، توھان کي ضرورت آھي:

  • انڪرپشن لاءِ رسائي لسٽ کي درست ڪريو - LAN1 کان LAN2 تائين ٽارگيٽ ٽرئفڪ ۽ ان جي برعڪس؛
  • GRE ذريعي رستي کي ترتيب ڏيو؛
  • ڪرپٽو ڪارڊ کي GRE انٽرفيس تي رکو.

ڊفالٽ طور، سسڪو جهڙو گيٽ وي ڪنسول وٽ GRE انٽرفيس ڪونهي. اهو صرف آپريٽنگ سسٽم ۾ موجود آهي.

مان شامل ڪري رهيو آهيان هڪ GRE انٽرفيس هڪ Cisco جهڙو ڪنسول ۾. ائين ڪرڻ لاءِ، مان ايڊٽ ڪريان ٿو /etc/ifaliases.cf فائل:

interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")

جتي gre1 آپريٽنگ سسٽم ۾ انٽرفيس نامزدگي آهي، Tunnel0 سسڪو-جهڙو ڪنسول ۾ انٽرفيس نامزدگي آهي.

مان فائل جي هيش کي ٻيهر ڳڻيو:

root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf

SUCCESS:  Operation was successful.

هاڻي Tunnel0 انٽرفيس سسڪو جهڙو ڪنسول ۾ ظاهر ٿئي ٿو:

VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400

مان انڪرپشن لاءِ رسائي لسٽ ترتيب ڏئي رهيو آهيان:

VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

GRE ذريعي رستي کي ترتيب ڏيڻ:

VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2

مان Crypto ڪارڊ کي Fa0/0 مان هٽايو ۽ ان کي GRE انٽرفيس تي پابند ڪيو:

VG1(config)#
interface Tunnel0
crypto map CMAP

VG2 لاءِ اهو ساڳيو آهي.

مان چيڪ ڪريان ٿو:

root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap

root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms

--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms

ISAKMP/IPsec انگ اکر:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352

ESP ٽريفڪ ڊمپ ۾، پيڪٽس GRE ۾ ڍڪيل آهن:

گھربل IPsec VPN تي 1.5 اسڪيمون. ڊيمو ورزن جي جانچ

نتيجو: IPsec-over-GRE صحيح ڪم ڪري ٿو.

نتيجو

ڪافي جو هڪ ڪپ ڪافي هو. مون ڊيمو حاصل ڪرڻ لاءِ هدايتون لکيون آهن. GRE-over-IPsec کي ترتيب ڏنو ۽ ان کي ٻئي طريقي سان ترتيب ڏنو.

ورزن 4.3 ۾ نيٽ ورڪ انٽرفيس نقشو خودڪار آهي! مان وڌيڪ جاچ ڪري رهيو آهيان.

گمنام انجنيئر
t.me/anonymous_engineer

جو ذريعو: www.habr.com

تبصرو شامل ڪريو