🥇1.5 схемаҳо дар IPsec VPN-и ватанӣ. Санҷиши намоишҳо

Вазъият

Ман дар тӯли се моҳ версияи намоишии маҳсулоти C-Terra VPN версияи 4.3 гирифтам. Ман мехоҳам бифаҳмам, ки оё ҳаёти муҳандисии ман пас аз гузаштан ба версияи нав осонтар мешавад.

Имрӯз душвор нест, як халта қаҳваи фаврӣ 3 дар 1 бояд кофӣ бошад. Ман ба шумо мегӯям, ки чӣ тавр ба даст намоишӣ. Ман кӯшиш мекунам, ки схемаҳои GRE-over-IPsec ва IPsec-over-GRE-ро созам.

Чӣ тавр ба даст овардани демо

Аз расм бармеояд, ки барои гирифтани намоиш ба шумо лозим аст:

Ба нома нависед [почтаи электронӣ ҳифз карда шудааст] аз суроғаи корпоративӣ;
Дар мактуб ИН-и ташкилоти худро нишон дихед;
Маҳсулот ва миқдори онҳоро номбар кунед.

Намоишҳо барои се моҳ эътибор доранд. Фурӯшанда вазифаи онҳоро маҳдуд намекунад.

Васеъ кардани тасвир

Намоиши Security Gateway як тасвири мошини виртуалӣ аст. Ман VMWare Workstation-ро истифода мебарам. Рӯйхати пурраи гипервизорҳои дастгирӣшаванда ва муҳити виртуализатсия дар вебсайти фурӯшанда мавҷуд аст.

Пеш аз оғоз кардан, лутфан қайд кунед, ки дар тасвири пешфарзи мошини виртуалӣ интерфейси шабакавӣ вуҷуд надорад:

Мантиқ равшан аст, корбар бояд ҳамон қадар интерфейсҳоро илова кунад. Ман якбора чор илова мекунам:

Ҳоло ман мошини виртуалиро оғоз мекунам. Дарҳол пас аз оғозёбӣ, шлюз номи корбар ва паролро талаб мекунад.

Дар S-Terra Gateway якчанд консолҳо бо ҳисобҳои гуногун мавҷуданд. Шумораи онхоро дар як маколаи алохида хисоб мекунам. Барои ҳозир:
Login as: administrator Password: s-terra

Ман дарвозаро оғоз карда истодаам. Интициализатсия пайдарпайии амалҳост: ворид кардани иҷозатнома, насб кардани генератори рақамҳои тасодуфии биологӣ (симулятори клавиатура - сабти ман 27 сония) ва сохтани харитаи интерфейси шабака.

Харитаи интерфейсҳои шабакавӣ. Ин осонтар шуд

Версияи 4.2 корбари фаъолро бо паёмҳо пешвоз гирифт:

Starting IPsec daemon….. failed ERROR: Could not establish connection with daemon

Корбари фаъол (ба гуфтаи муҳандиси номаълум) корбарест, ки метавонад ҳама чизро зуд ва бидуни ҳуҷҷат танзим кунад.

Пеш аз кӯшиши насб кардани суроғаи IP дар интерфейс, чизе нодуруст буд. Ин ҳама дар бораи харитаи интерфейси шабака аст. Ин корро кардан лозим буд:

/bin/netifcfg enum > /home/map /bin/netifcfg map /home/map service networking restart

Дар натиҷа, харитаи интерфейси шабакавӣ сохта мешавад, ки дорои харитасозии номҳои интерфейси физикӣ (0000:02:03.0) ва таъиноти мантиқии онҳо дар системаи оператсионӣ (eth0) ва консол ба монанди Cisco (FastEthernet0/0):

#Unique ID iface type OS name Cisco-like name

0000:02:03.0 phye eth0 FastEthernet0/0

Нишонаҳои мантиқии интерфейсҳо тахаллус номида мешаванд. Лақабҳо дар файли /etc/ifaliases.cf нигоҳ дошта мешаванд.
Дар версияи 4.3, вақте ки мошини виртуалӣ бори аввал оғоз мешавад, харитаи интерфейс ба таври худкор эҷод карда мешавад. Агар шумо шумораи интерфейсҳои шабакаро дар мошини виртуалӣ тағир диҳед, лутфан харитаи интерфейсро аз нав созед:

/bin/netifcfg enum > /home/map /bin/netifcfg map /home/map systemctl restart networking

Нақшаи 1: GRE-over-IPsec

Ман ду шлюзи виртуалиро ҷойгир мекунам, тавре ки дар расм нишон дода шудааст, иваз мекунам:

Қадами 1. Суроғаҳои IP ва масирҳоро танзим кунед

VG1(config) #
interface fa0/0
ip address 172.16.1.253 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.1.253 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.254

VG2(config) #
interface fa0/0
ip address 172.16.1.254 255.255.255.0
no shutdown
interface fa0/1
ip address 192.168.2.254 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 172.16.1.253

Санҷиши пайвасти IP:

root@VG1:~# ping 172.16.1.254 -c 4
PING 172.16.1.254 (172.16.1.254) 56(84) bytes of data.
64 bytes from 172.16.1.254: icmp_seq=1 ttl=64 time=0.545 ms
64 bytes from 172.16.1.254: icmp_seq=2 ttl=64 time=0.657 ms
64 bytes from 172.16.1.254: icmp_seq=3 ttl=64 time=0.687 ms
64 bytes from 172.16.1.254: icmp_seq=4 ttl=64 time=0.273 ms

--- 172.16.1.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.273/0.540/0.687/0.164 ms

Қадами 2: насб кардани GRE

Ман мисоли насб кардани GRE-ро аз скриптҳои расмӣ мегирам. Ман файли gre1-ро дар феҳристи /etc/network/interfaces.d бо мундариҷа эҷод мекунам.

Барои VG1:

auto gre1
iface gre1 inet static
address 1.1.1.1
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.254 local 172.16.1.253 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

Барои VG2:

auto gre1
iface gre1 inet static
address 1.1.1.2
netmask 255.255.255.252
pre-up ip tunnel add gre1 mode gre remote 172.16.1.253 local 172.16.1.254 key 1 ttl 64 tos inherit
pre-up ethtool -K gre1 tx off > /dev/null
pre-up ip link set gre1 mtu 1400
post-down ip link del gre1

Ман интерфейсро дар система баланд мекунам:

root@VG1:~# ifup gre1
root@VG2:~# ifup gre1

Санҷиш:

root@VG1:~# ip address show
8: gre1@NONE: <POINTOPOINT,NOARP,UP,LOWER_UP> mtu 1400 qdisc noqueue state UNKNOWN group default qlen 1
    link/gre 172.16.1.253 peer 172.16.1.254
    inet 1.1.1.1/30 brd 1.1.1.3 scope global gre1
       valid_lft forever preferred_lft forever

root@VG1:~# ip tunnel show
gre0: gre/ip remote any local any ttl inherit nopmtudisc
gre1: gre/ip remote 172.16.1.254 local 172.16.1.253 ttl 64 tos inherit key 1

C-Terra Gateway дорои sniffer бастаи дарунсохт - tcpdump. Ман як партови трафикро ба файли pcap менависам:

root@VG2:~# tcpdump -i eth0 -w /home/dump.pcap

Ман пингро байни интерфейсҳои GRE оғоз мекунам:

root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=0.850 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=0.918 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=0.974 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 0.850/0.915/0.974/0.043 ms

Тунели GRE кор мекунад ва кор мекунад:

Қадами 3. Рамзгузорӣ бо GOST GRE

Ман намуди мушаххасро муқаррар кардам - аз рӯи суроға. Аутентификатсия бо калиди пешакӣ муайяншуда (мувофиқи Шартҳои истифода, сертификатҳои рақамӣ бояд истифода шаванд):

VG1(config)#
crypto isakmp identity address
crypto isakmp key KEY address 172.16.1.254

Ман параметрҳои марҳилаи I IPsec -ро муқаррар кардам:

VG1(config)#
crypto isakmp policy 1
encr gost
hash gost3411-256-tc26
auth pre-share
group vko2

Ман параметрҳои IPsec Phase II-ро муқаррар кардам:

VG1(config)#
crypto ipsec transform-set TSET esp-gost28147-4m-imit
mode tunnel

Ман рӯйхати дастрасӣ барои рамзгузорӣ эҷод мекунам. Трафики мақсаднок - GRE:

VG1(config)#
ip access-list extended LIST
permit gre host 172.16.1.253 host 172.16.1.254

Ман харитаи крипто эҷод мекунам ва онро ба интерфейси WAN пайваст мекунам:

VG1(config)#
crypto map CMAP 1 ipsec-isakmp
match address LIST
set transform-set TSET
set peer 172.16.1.253
interface fa0/0
  crypto map CMAP

Барои VG2, конфигуратсия инъикос карда мешавад, фарқиятҳо инҳоянд:

VG2(config)#
crypto isakmp key KEY address 172.16.1.253
ip access-list extended LIST
permit gre host 172.16.1.254 host 172.16.1.253
crypto map CMAP 1 ipsec-isakmp
set peer 172.16.1.254

Санҷиш:

root@VG2:~# tcpdump -i eth0 -w /home/dump2.pcap

root@VG1:~# ping 1.1.1.2 -c 4
PING 1.1.1.2 (1.1.1.2) 56(84) bytes of data.
64 bytes from 1.1.1.2: icmp_seq=1 ttl=64 time=1128 ms
64 bytes from 1.1.1.2: icmp_seq=2 ttl=64 time=126 ms
64 bytes from 1.1.1.2: icmp_seq=3 ttl=64 time=1.07 ms
64 bytes from 1.1.1.2: icmp_seq=4 ttl=64 time=1.12 ms

--- 1.1.1.2 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.077/314.271/1128.419/472.826 ms, pipe 2

Омори ISAKMP/IPsec:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 1 (172.16.1.253,500)-(172.16.1.254,500) active 1086 1014

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 1 (172.16.1.253,*)-(172.16.1.254,*) 47 ESP tunn 480 480

Дар партовгоҳи трафики GRE ягон пакет мавҷуд нест:

Хулоса: схемаи GRE-over-IPsec дуруст кор мекунад.

Тасвири 1.5: IPsec-over-GRE

Ман нақша надорам, ки IPsec-over-GRE -ро дар шабака истифода барам. Ман ҷамъ мекунам, зеро ман мехоҳам.

Барои ҷойгиркунии нақшаи GRE-over-IPsec ба таври дигар:

Ислоҳи рӯйхати дастрасии рамзгузорӣ - трафики мақсаднок аз LAN1 то LAN2 ва баръакс;
Танзими масир тавассути GRE;
Дар интерфейси GRE як криптоматро овезон кунед.

Бо нобаёнӣ, дар консоли дарвозаи Cisco монанд интерфейси GRE вуҷуд надорад. Он танҳо дар системаи оператсионӣ мавҷуд аст.

Ман интерфейси GRE-ро ба консол ба монанди Cisco илова мекунам. Барои ин ман файли /etc/ifaliases.cf-ро таҳрир мекунам:

interface (name="FastEthernet0/0" pattern="eth0")
interface (name="FastEthernet0/1" pattern="eth1")
interface (name="FastEthernet0/2" pattern="eth2")
interface (name="FastEthernet0/3" pattern="eth3")
interface (name="Tunnel0" pattern="gre1")
interface (name="default" pattern="*")

ки дар он gre1 нишонаи интерфейс дар системаи оператсионӣ аст, Tunnel0 нишонаи интерфейс дар консол ба Cisco монанд аст.

Ман хэши файлро аз нав ҳисоб мекунам:

root@VG1:~# integr_mgr calc -f /etc/ifaliases.cf

SUCCESS:  Operation was successful.

Ҳоло интерфейси Tunnel0 дар консол ба монанди Cisco пайдо шуд:

VG1# show run
interface Tunnel0
ip address 1.1.1.1 255.255.255.252
mtu 1400

Ислоҳи рӯйхати дастрасӣ барои рамзгузорӣ:

VG1(config)#
ip access-list extended LIST
permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

Ман масирро тавассути GRE танзим мекунам:

VG1(config)#
no ip route 0.0.0.0 0.0.0.0 172.16.1.254
ip route 192.168.3.0 255.255.255.0 1.1.1.2

Ман криптоматаро аз Fa0 / 0 хориҷ мекунам ва онро ба интерфейси GRE мепайвандам:

VG1(config)#
interface Tunnel0
crypto map CMAP

Барои VG2 ин монанд аст.

Санҷиш:

root@VG2:~# tcpdump -i eth0 -w /home/dump3.pcap

root@VG1:~# ping 192.168.2.254 -I 192.168.1.253 -c 4
PING 192.168.2.254 (192.168.2.254) from 192.168.1.253 : 56(84) bytes of data.
64 bytes from 192.168.2.254: icmp_seq=1 ttl=64 time=492 ms
64 bytes from 192.168.2.254: icmp_seq=2 ttl=64 time=1.08 ms
64 bytes from 192.168.2.254: icmp_seq=3 ttl=64 time=1.06 ms
64 bytes from 192.168.2.254: icmp_seq=4 ttl=64 time=1.07 ms

--- 192.168.2.254 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3006ms
rtt min/avg/max/mdev = 1.064/124.048/492.972/212.998 ms

Омори ISAKMP/IPsec:

root@VG1:~# sa_mgr show
ISAKMP sessions: 0 initiated, 0 responded

ISAKMP connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) State Sent Rcvd
1 2 (172.16.1.253,500)-(172.16.1.254,500) active 1094 1022

IPsec connections:
Num Conn-id (Local Addr,Port)-(Remote Addr,Port) Protocol Action Type Sent Rcvd
1 2 (192.168.1.0-192.168.1.255,*)-(192.168.2.0-192.168.2.255,*) * ESP tunn 352 352

Дар партовгоҳи трафики ESP, бастаҳо дар GRE капсула шудаанд:

Хулоса: IPsec-over-GRE дуруст кор мекунад.

Натиҷаҳо

Як пиёла қаҳва кофӣ буд. Ман дастурҳоро барои дарёфти версияи намоишӣ кашидам. GRE-over-IPsec конфигуратсияшуда ва баръакс ҷойгир карда шудааст.

Харитаи интерфейсҳои шабакавӣ дар версияи 4.3 худкор аст! Ман минбаъд озмоиш мекунам.

Муҳандиси номаълум
t.me/anonymous_engineer

Манбаъ: will.com

1.5 схемаҳо дар дохили IPsec VPN. Санҷишҳои намоишӣ

Вазъият

Чӣ тавр ба даст овардани демо

Васеъ кардани тасвир

Харитаи интерфейсҳои шабакавӣ. Ин осонтар шуд

Нақшаи 1: GRE-over-IPsec

Тасвири 1.5: IPsec-over-GRE

Натиҷаҳо

Илова Эзоҳ Cancel ҷавоб