Шифрујемо према ГОСТ-у: водич за подешавање динамичког рутирања саобраћаја

Ако ваша компанија преноси или прима личне податке и друге поверљиве информације преко мреже која подлеже заштити у складу са законом, обавезна је употреба ГОСТ енкрипције. Данас ћемо вам рећи како смо имплементирали такву енкрипцију засновану на С-Терра црипто гатеваи-у (ЦС) код једног од купаца. Ова прича ће бити од интереса за стручњаке за безбедност информација, као и за инжењере, дизајнере и архитекте. У овом посту нећемо улазити дубоко у нијансе техничке конфигурације; фокусираћемо се на кључне тачке основног подешавања. Огромне количине документације о постављању демона Линук ОС-а, на којима је базиран С-Терра ЦС, су бесплатно доступне на Интернету. Документација за подешавање власничког софтвера С-Терра је такође јавно доступна на портала произвођач.

Неколико речи о пројекту

Топологија мреже корисника била је стандардна - пуна мрежа између центра и грана. Било је неопходно увести енкрипцију канала за размену информација између свих сајтова, којих је било 8.

Обично је у таквим пројектима све статично: статичке руте до локалне мреже сајта се постављају на крипто капије (ЦГ), региструју се листе ИП адреса (АЦЛ) за шифровање. Међутим, у овом случају, сајтови немају централизовану контролу, и било шта се може догодити унутар њихових локалних мрежа: мреже се могу додавати, брисати и модификовати на сваки могући начин. Да би се избегло реконфигурисање рутирања и АЦЛ-а на КС-у приликом промене адресирања локалних мрежа на сајтовима, одлучено је да се користи ГРЕ тунелирање и ОСПФ динамичко рутирање, које укључује све КС и већину рутера на нивоу језгра мреже на сајтовима ( на неким локацијама, администратори инфраструктуре су радије користили СНАТ према КС на кернел рутерима).

ГРЕ тунелирање нам је омогућило да решимо два проблема:
1. Користите ИП адресу екстерног интерфејса ЦС-а за шифровање у АЦЛ-у, који обухвата сав саобраћај послат другим сајтовима.
2. Организујте птп тунеле између ЦС-ова, који вам омогућавају да конфигуришете динамичко рутирање (у нашем случају, МПЛС Л3ВПН добављача је организован између сајтова).

Клијент је наручио имплементацију енкрипције као услуге. У супротном, он би морао не само да одржава крипто капије или да их ангажује некој организацији, већ и да самостално прати животни циклус сертификата за шифровање, да их обнавља на време и инсталира нове.

А сада стварна белешка - како и шта смо конфигурисали

Напомена за ЦИИ тему: постављање крипто капије

Основно подешавање мреже

Пре свега, покрећемо нови ЦС и улазимо у административну конзолу. Требало би да почнете тако што ћете променити уграђену лозинку администратора - команду промените корисничку лозинку администратора. Затим морате извршити процедуру иницијализације (команда иницијализовати) током којег се уносе подаци о лиценци и иницијализује сензор случајних бројева (РНС).

Обрати пажњу! Када се С-Терра ЦЦ иницијализује, успоставља се безбедносна политика у којој интерфејси безбедносног гејтвеја не дозвољавају пролазак пакета. Морате или креирати сопствену политику или користити команду покрените цсцонф_мгр ацтивате активирајте унапред дефинисану политику дозвољавања.
Затим морате да конфигуришете адресирање спољних и интерних интерфејса, као и подразумевану руту. Пожељно је радити са конфигурацијом ЦС мреже и конфигурисати шифровање преко Цисцо конзоле. Ова конзола је дизајнирана за унос команди сличних Цисцо ИОС командама. Конфигурација генерисана коришћењем конзоле налик Цисцо-у се, заузврат, конвертује у одговарајуће конфигурационе датотеке са којима раде ОС демони. Можете ићи на конзолу сличну Цисцо-у са административне конзоле помоћу команде конфигурисати.

Промените лозинке за уграђене корисничке цсцонс и омогућите:

>омогући
Лозинка: цсп (преинсталирано)
#цонфигуре терминал
#усернаме цсцонс привилеге 15 сецрет 0 #енабле сецрет 0 Подешавање основне мрежне конфигурације:

#интерфаце ГигабитЕтхернет0/0
#ип адреса 10.111.21.3 255.255.255.0
#без гашења
#интерфаце ГигабитЕтхернет0/1
#ип адреса 192.168.2.5 255.255.255.252
#без гашења
#ип роуте 0.0.0.0 0.0.0.0 10.111.21.254

ГРЕ

Изађите из конзоле налик Цисцо-у и идите на дебиан схелл са командом систем. Поставите сопствену лозинку за корисника корен тим пассвд.
У свакој контролној соби, посебан тунел је конфигурисан за сваку локацију. Тунелски интерфејс је конфигурисан у датотеци / етц / нетворк / интерфаце. Услужни програм за ИП тунел, укључен у претходно инсталирани сет ипроуте2, одговоран је за креирање самог интерфејса. Команда за креирање интерфејса је уписана у опцију пре-уп.

Пример конфигурације типичног тунелског интерфејса:
ауто сите1
ифаце сите1 инет статиц
адреса 192.168.1.4
мрежна маска 255.255.255.254
пре-уп ИП тунел адд сите1 моде гре лоцал 10.111.21.3 даљински 10.111.22.3 кључ хфЛИЕг^вЦх6п

Обрати пажњу! Треба напоменути да се подешавања за тунелске интерфејсе морају налазити изван секције

###нетифцфг-бегин###
*****
###нетифцфг-енд###

У супротном, ове поставке ће бити преписане приликом промене мрежних поставки физичких интерфејса преко конзоле сличне Цисцо-у.

Динамичко рутирање

У С-Терра, динамичко рутирање је имплементирано помоћу софтверског пакета Куагга. Да бисмо конфигурисали ОСПФ, морамо да омогућимо и конфигуришемо демоне зебра и оспфд. Зебра даемон је одговоран за комуникацију између демона рутирања и ОС-а. Оспфд даемон, као што име каже, одговоран је за имплементацију ОСПФ протокола.
ОСПФ се конфигурише или преко демонске конзоле или директно преко конфигурационе датотеке /етц/куагга/оспфд.цонф. Сви физички и тунелски интерфејси који учествују у динамичком рутирању се додају у фајл, а такође се декларишу мреже које ће се оглашавати и примати најаве.

Пример конфигурације којој треба додати оспфд.цонф:
интерфејс етх0
!
интерфејс етх1
!
интерфејс сајт 1
!
интерфејс сајт 2
рутер оспф
оспф роутер-ид 192.168.2.21
мрежа 192.168.1.4/31 област 0.0.0.0
мрежа 192.168.1.16/31 област 0.0.0.0
мрежа 192.168.2.4/30 област 0.0.0.0

У овом случају, адресе 192.168.1.к/31 су резервисане за тунелске птп мреже између локација, адресе 192.168.2.к/30 се додељују за транзитне мреже између ЦС и рутера кернела.

Обрати пажњу! Да бисте смањили табелу рутирања у великим инсталацијама, можете филтрирати најаву самих транзитних мрежа користећи конструкције нема редистрибуције повезан или редистрибуирати повезану мапу руте.

Након конфигурисања демона, потребно је да промените статус покретања демона у /етц/куагга/даемонс. У опцијама зебра и оспфд нема промене у да. Покрените куагга демон и подесите га на аутоматско покретање када покренете КС команду упдате-рц.д куагга енабле.

Ако је конфигурација ГРЕ тунела и ОСПФ-а урађена исправно, онда би руте у мрежи других локација требало да се појаве на КСх и основним рутерима и на тај начин настаје мрежна повезаност између локалних мрежа.

Шифрујемо пренесени саобраћај

Као што је већ написано, обично приликом шифровања између сајтова наводимо опсеге ИП адреса (АЦЛ) између којих је саобраћај шифрован: ако изворна и одредишна адреса спадају у ове опсеге, онда је саобраћај између њих шифрован. Међутим, у овом пројекту структура је динамична и адресе се могу променити. Пошто смо већ конфигурисали ГРЕ тунелирање, можемо навести екстерне КС адресе као изворну и одредишну адресу за шифровање саобраћаја – на крају крајева, саобраћај који је већ инкапсулиран ГРЕ протоколом стиже на шифровање. Другим речима, шифровано је све што у ЦС дође из локалне мреже једног сајта ка мрежама које су објавили други сајтови. И унутар сваког од сајтова може се извршити било које преусмеравање. Дакле, ако дође до било какве промене у локалним мрежама, администратор треба само да измени обавештења која долазе са његове мреже према мрежи и она ће постати доступна другим сајтовима.

Шифровање у С-Терра ЦС се врши коришћењем ИПСец протокола. Користимо алгоритам „Скакавац“ у складу са ГОСТ Р 34.12-2015, а за компатибилност са старијим верзијама можете користити ГОСТ 28147-89. Аутентификација се технички може извршити и на унапред дефинисаним кључевима (ПСК) и на сертификатима. Међутим, у индустријском раду потребно је користити сертификате издате у складу са ГОСТ Р 34.10-2012.

Рад са сертификатима, контејнерима и ЦРЛ-овима се обавља помоћу услужног програма церт_мгр. Пре свега, користећи команду церт_мгр креирати потребно је генерисати приватни кључ контејнер и захтев за сертификат, који ће бити послат у Центар за управљање сертификатима. Након пријема сертификата, он мора бити увезен заједно са основним ЦА сертификатом и ЦРЛ (ако се користи) са командом церт_мгр импорт. Можете да се уверите да су сви сертификати и ЦРЛ-ови инсталирани помоћу наредбе церт_мгр схов.

Након успешног инсталирања сертификата, идите на конзолу налик Цисцо-у да бисте конфигурисали ИПСец.
Креирамо ИКЕ политику која специфицира жељене алгоритме и параметре безбедног канала који се креира, а који ће бити понуђен партнеру на одобрење.

#црипто исакмп политика 1000
#енцр гост341215к
#хасх гост341112-512-тц26
#аутхентицатион сигн
#гроуп вко2
#животни век 3600

Ова политика се примењује приликом изградње прве фазе ИПСец-а. Резултат успешног завршетка прве фазе је оснивање СА (Безбедносно удружење).
Затим морамо да дефинишемо листу изворних и одредишних ИП адреса (АЦЛ) за шифровање, генеришемо скуп трансформације, креирамо криптографску мапу (крипто мапу) и повежемо је са спољним интерфејсом ЦС-а.

Подесите АЦЛ:
#ип приступна листа проширена локација1
#пермит гре хост 10.111.21.3 хост 10.111.22.3

Скуп трансформација (исто као у првој фази, користимо алгоритам за шифровање „Скакавац“ користећи режим генерисања симулационог уметања):

#црипто ипсец трансформ-сет ГОСТ есп-гост341215к-мац

Креирамо крипто мапу, специфицирамо АЦЛ, скуп трансформације и равноправну адресу:

#црипто мап МАИН 100 ипсец-исакмп
#матцх аддресс сите1
#сет трансформ-сет ГОСТ
#сет пеер 10.111.22.3

Ми везујемо крипто картицу за спољни интерфејс касе:

#интерфаце ГигабитЕтхернет0/0
#ип адреса 10.111.21.3 255.255.255.0
#крипто мапа ГЛАВНА

Да бисте шифровали канале са другим сајтовима, морате поновити процедуру за креирање АЦЛ и крипто картице, мењајући АЦЛ име, ИП адресе и број крипто картице.

Обрати пажњу! Ако се верификација сертификата од стране ЦРЛ-а не користи, ово мора бити експлицитно наведено:

#црипто пки трустпоинт с-терра_тецхнологицал_трустпоинт
#ревоцатион-цхецк ноне

У овом тренутку, подешавање се може сматрати завршеним. У излазу команде попут Цисцо конзоле прикажи крипто исакмп са и прикажи крипто ипсец са Конструисана прва и друга фаза ИПСец-а треба да се одразе. Исте информације се могу добити помоћу команде са_мгр схов, извршено из дебиан љуске. У излазу команде церт_мгр схов Требало би да се појаве сертификати удаљене локације. Статус таквих сертификата ће бити даљински. Ако се тунели не граде, потребно је да погледате дневник ВПН услуга, који се чува у датотеци /вар/лог/цспвпнгате.лог. Комплетна листа лог фајлова са описом њиховог садржаја доступна је у документацији.

Праћење „здравља“ система

С-Терра ЦЦ користи стандардни снмпд демон за надгледање. Поред типичних параметара за Линук, С-Терра подржава издавање података о ИПСец тунелима у складу са ЦИСЦО-ИПСЕЦ-ФЛОВ-МОНИТОР-МИБ, што је оно што користимо када пратимо статус ИПСец тунела. Подржана је и функционалност прилагођених ОИД-ова који резултате извршавања скрипте приказују као вредности. Ова функција нам омогућава да пратимо датуме истека сертификата. Написана скрипта анализира излаз команде церт_мгр схов и као резултат даје број дана до истека локалног и коренског сертификата. Ова техника је неопходна када се примењује велики број ЦАБГ.

Која је корист од таквог шифровања?

С-Терра КСх подржава све горе описане функције. Односно, није било потребе за инсталирањем додатних модула који би могли да утичу на сертификацију крипто гејтвеја и сертификацију целог информационог система. Између сајтова може постојати било који канал, чак и преко Интернета.

Због чињенице да када се интерна инфраструктура промени, нема потребе за реконфигурисањем крипто капија, систем функционише као сервис, што је веома згодно за купца: он може поставити своје услуге (клијент и сервер) на било коју адресу, а све промене ће се динамички преносити између опреме за шифровање.

Наравно, шифровање због режијских трошкова (оверхеад) утиче на брзину преноса података, али само незнатно - пропусност канала може да се смањи за највише 5-10%. Истовремено, технологија је тестирана и показала је добре резултате чак и на сателитским каналима који су прилично нестабилни и имају мали пропусни опсег.

Игор Виноходов, инжењер 2. линије администрације Ростелецом-Солар

Извор: ввв.хабр.цом