اگر آپ کی کمپنی اس نیٹ ورک پر ذاتی ڈیٹا اور دیگر خفیہ معلومات منتقل یا وصول کرتی ہے جو قانون کے مطابق تحفظ سے مشروط ہے، تو اسے GOST انکرپشن استعمال کرنے کی ضرورت ہے۔ آج ہم آپ کو بتائیں گے کہ ہم نے S-Terra crypto gateway (CS) کی بنیاد پر اس طرح کے انکرپشن کو کس طرح لاگو کیا۔ یہ کہانی انفارمیشن سیکیورٹی ماہرین کے ساتھ ساتھ انجینئرز، ڈیزائنرز اور آرکیٹیکٹس کے لیے بھی دلچسپی کا باعث ہوگی۔ ہم اس پوسٹ میں تکنیکی ترتیب کی باریکیوں میں گہرائی میں نہیں جائیں گے؛ ہم بنیادی سیٹ اپ کے اہم نکات پر توجہ مرکوز کریں گے۔ لینکس OS ڈیمونز کو ترتیب دینے سے متعلق دستاویزات کی بڑی مقدار، جس پر S-Terra CS کی بنیاد ہے، انٹرنیٹ پر آزادانہ طور پر دستیاب ہیں۔ ملکیتی S-Terra سافٹ ویئر کو ترتیب دینے کے لیے دستاویزات بھی عوامی طور پر دستیاب ہیں۔ کارخانہ دار۔
منصوبے کے بارے میں چند الفاظ
کسٹمر کا نیٹ ورک ٹوپولوجی معیاری تھا - مرکز اور شاخوں کے درمیان مکمل میش۔ تمام سائٹس کے درمیان معلومات کے تبادلے کے چینلز کی انکرپشن متعارف کرانا ضروری تھا، جن میں سے 8 تھے۔
عام طور پر ایسے منصوبوں میں سب کچھ جامد ہوتا ہے: سائٹ کے مقامی نیٹ ورک کے جامد راستے کرپٹو گیٹ ویز (CGs) پر سیٹ کیے جاتے ہیں، خفیہ کاری کے لیے IP ایڈریس (ACLs) کی فہرستیں رجسٹرڈ ہوتی ہیں۔ تاہم، اس صورت میں، سائٹس پر مرکزی کنٹرول نہیں ہے، اور ان کے مقامی نیٹ ورکس کے اندر کچھ بھی ہو سکتا ہے: نیٹ ورکس کو ہر ممکن طریقے سے شامل، حذف اور تبدیل کیا جا سکتا ہے۔ سائٹس پر مقامی نیٹ ورکس کا ایڈریس تبدیل کرتے وقت KS پر روٹنگ اور ACL کو دوبارہ ترتیب دینے سے بچنے کے لیے، GRE ٹنلنگ اور OSPF ڈائنامک روٹنگ استعمال کرنے کا فیصلہ کیا گیا، جس میں سائٹس پر نیٹ ورک کور لیول پر تمام KS اور زیادہ تر راؤٹرز شامل ہیں۔ کچھ سائٹس پر، انفراسٹرکچر کے منتظمین نے کرنل راؤٹرز پر KS کی طرف SNAT استعمال کرنے کو ترجیح دی)۔
GRE ٹنلنگ نے ہمیں دو مسائل حل کرنے کی اجازت دی:
1. ACL میں خفیہ کاری کے لیے CS کے بیرونی انٹرفیس کا IP ایڈریس استعمال کریں، جو دوسری سائٹوں پر بھیجے گئے تمام ٹریفک کو سمیٹتا ہے۔
2. CSs کے درمیان ptp سرنگوں کو منظم کریں، جو آپ کو متحرک روٹنگ کو ترتیب دینے کی اجازت دیتی ہے (ہمارے معاملے میں، فراہم کنندہ کا MPLS L3VPN سائٹس کے درمیان منظم ہے)۔
کلائنٹ نے ایک سروس کے طور پر خفیہ کاری کے نفاذ کا حکم دیا۔ بصورت دیگر، اسے نہ صرف کرپٹو گیٹ ویز کو برقرار رکھنا پڑے گا یا انہیں کسی ادارے کو آؤٹ سورس کرنا پڑے گا، بلکہ انکرپشن سرٹیفکیٹس کے لائف سائیکل کی آزادانہ طور پر نگرانی بھی کرنی ہوگی، ان کی وقت پر تجدید کرنی ہوگی اور نئے سرٹیفکیٹس کو انسٹال کرنا ہوگا۔
اور اب اصل میمو - ہم کیسے اور کیا ترتیب دیتے ہیں۔
CII موضوع پر نوٹ کریں: ایک کرپٹو گیٹ وے ترتیب دینا
بنیادی نیٹ ورک سیٹ اپ
سب سے پہلے، ہم ایک نیا CS لانچ کرتے ہیں اور ایڈمنسٹریشن کنسول میں داخل ہوتے ہیں۔ آپ کو بلٹ ان ایڈمنسٹریٹر پاس ورڈ - کمانڈ کو تبدیل کرکے شروع کرنا چاہئے۔ صارف کا پاس ورڈ ایڈمنسٹریٹر تبدیل کریں۔. پھر آپ کو شروع کرنے کے طریقہ کار کو انجام دینے کی ضرورت ہے (کمانڈ ابتدا) جس کے دوران لائسنس کا ڈیٹا داخل کیا جاتا ہے اور بے ترتیب نمبر سینسر (RNS) شروع کیا جاتا ہے۔
توجہ دینا! جب S-Terra CC شروع کیا جاتا ہے، ایک سیکورٹی پالیسی قائم کی جاتی ہے جس میں سیکورٹی گیٹ وے انٹرفیس پیکٹوں کو گزرنے کی اجازت نہیں دیتے ہیں۔ آپ کو یا تو اپنی پالیسی بنانا ہوگی یا کمانڈ استعمال کرنا ہوگی۔ csconf_mgr ایکٹیویٹ چلائیں۔ پہلے سے طے شدہ اجازت دینے والی پالیسی کو چالو کریں۔
اگلا، آپ کو بیرونی اور اندرونی انٹرفیس کے ایڈریسنگ کے ساتھ ساتھ ڈیفالٹ روٹ کو ترتیب دینے کی ضرورت ہے۔ CS نیٹ ورک کنفیگریشن کے ساتھ کام کرنا اور سسکو نما کنسول کے ذریعے خفیہ کاری کو ترتیب دینا بہتر ہے۔ یہ کنسول Cisco IOS کمانڈز کی طرح کمانڈز داخل کرنے کے لیے ڈیزائن کیا گیا ہے۔ سسکو نما کنسول کا استعمال کرتے ہوئے تیار کردہ کنفیگریشن، بدلے میں، متعلقہ کنفیگریشن فائلوں میں تبدیل ہو جاتی ہے جس کے ساتھ OS ڈیمن کام کرتے ہیں۔ آپ کمانڈ کے ساتھ ایڈمنسٹریشن کنسول سے سسکو نما کنسول پر جا سکتے ہیں۔ ترتیب دیں.
بلٹ ان صارف cscons کے لیے پاس ورڈ تبدیل کریں اور فعال کریں:
> فعال کریں۔
پاس ورڈ: csp (پہلے سے نصب)
# کنفیگر ٹرمینل
#username cscons privilege 15 secret 0 # enable secret 0 بنیادی نیٹ ورک کنفیگریشن ترتیب دینا:
# انٹرفیس گیگا بائٹ ایتھرنیٹ0/0
#ip پتہ 10.111.21.3 255.255.255.0
#کوئی بند نہیں۔
# انٹرفیس گیگا بائٹ ایتھرنیٹ0/1
#ip پتہ 192.168.2.5 255.255.255.252
#کوئی بند نہیں۔
#ip روٹ 0.0.0.0 0.0.0.0 10.111.21.254
GRE
سسکو نما کنسول سے باہر نکلیں اور کمانڈ کے ساتھ ڈیبین شیل پر جائیں۔ کے نظام. صارف کے لیے اپنا پاس ورڈ سیٹ کریں۔ جڑ ٹیم پاس ورڈ.
ہر کنٹرول روم میں، ہر سائٹ کے لیے ایک علیحدہ سرنگ ترتیب دی گئی ہے۔ ٹنل انٹرفیس فائل میں ترتیب دیا گیا ہے۔ / وغیرہ / نیٹ ورک / انٹرفیس. آئی پی ٹنل یوٹیلیٹی، جو پہلے سے نصب iproute2 سیٹ میں شامل ہے، خود انٹرفیس بنانے کی ذمہ دار ہے۔ انٹرفیس تخلیق کمانڈ پری اپ آپشن میں لکھا ہوا ہے۔
ایک عام ٹنل انٹرفیس کی مثال کی ترتیب:
آٹو سائٹ 1
iface site1 inet جامد
ایڈریس 192.168.1.4
نیٹ ورکاس 255.255.255.254
پری اپ آئی پی ٹنل ایڈ سائٹ 1 موڈ gre لوکل 10.111.21.3 ریموٹ 10.111.22.3 کلید hfLYEg^vCh6p
توجہ دینا! واضح رہے کہ ٹنل انٹرفیس کی سیٹنگز سیکشن سے باہر ہونی چاہئیں
###netifcfg-begin###
*****
###netifcfg-end###
بصورت دیگر، سسکو نما کنسول کے ذریعے فزیکل انٹرفیس کے نیٹ ورک سیٹنگز کو تبدیل کرتے وقت یہ سیٹنگز اوور رائٹ ہو جائیں گی۔
متحرک روٹنگ
S-Terra میں، ڈائنامک روٹنگ کواگا سافٹ ویئر پیکج کا استعمال کرتے ہوئے لاگو کیا جاتا ہے۔ OSPF کو کنفیگر کرنے کے لیے ہمیں ڈیمونز کو فعال اور کنفیگر کرنے کی ضرورت ہے۔ زیبرا и ospfd. زیبرا ڈیمون روٹنگ ڈیمونز اور OS کے درمیان مواصلت کا ذمہ دار ہے۔ ospfd ڈیمون، جیسا کہ نام سے پتہ چلتا ہے، OSPF پروٹوکول کو نافذ کرنے کا ذمہ دار ہے۔
OSPF کو یا تو ڈیمون کنسول کے ذریعے یا براہ راست کنفیگریشن فائل کے ذریعے ترتیب دیا گیا ہے۔ /etc/quagga/ospfd.conf. متحرک روٹنگ میں حصہ لینے والے تمام فزیکل اور ٹنل انٹرفیس فائل میں شامل کیے جاتے ہیں، اور جن نیٹ ورکس کی تشہیر کی جائے گی اور اعلانات موصول ہوں گے ان کا بھی اعلان کیا جاتا ہے۔
کنفیگریشن کی ایک مثال جس میں شامل کرنے کی ضرورت ہے۔ ospfd.conf:
انٹرفیس eth0
!
انٹرفیس eth1
!
انٹرفیس سائٹ 1
!
انٹرفیس سائٹ 2
راؤٹر ospf
او ایس پی ایف راؤٹر آئی ڈی 192.168.2.21
نیٹ ورک 192.168.1.4/31 ایریا 0.0.0.0
نیٹ ورک 192.168.1.16/31 ایریا 0.0.0.0
نیٹ ورک 192.168.2.4/30 ایریا 0.0.0.0
اس صورت میں، ایڈریس 192.168.1.x/31 سائٹس کے درمیان ٹنل پی ٹی پی نیٹ ورکس کے لیے مخصوص ہیں، ایڈریس 192.168.2.x/30 CS اور کرنل راؤٹرز کے درمیان ٹرانزٹ نیٹ ورکس کے لیے مختص کیے گئے ہیں۔
توجہ دینا! بڑی تنصیبات میں روٹنگ ٹیبل کو کم کرنے کے لیے، آپ تعمیرات کا استعمال کرتے ہوئے خود ٹرانزٹ نیٹ ورکس کے اعلان کو فلٹر کر سکتے ہیں۔ کوئی دوبارہ تقسیم منسلک نہیں ہے۔ یا منسلک راستے کا نقشہ دوبارہ تقسیم کریں۔.
ڈیمونز کو کنفیگر کرنے کے بعد، آپ کو ڈیمن کی شروعاتی حیثیت کو تبدیل کرنے کی ضرورت ہے۔ /etc/quagga/daemons. اختیارات میں زیبرا и ospfd ہاں میں کوئی تبدیلی نہیں۔ کواگا ڈیمون شروع کریں اور جب آپ KS کمانڈ شروع کریں تو اسے آٹورن پر سیٹ کریں۔ update-rc.d quagga enable.
اگر GRE سرنگوں اور OSPF کی ترتیب درست طریقے سے کی گئی ہے، تو دوسری سائٹس کے نیٹ ورک میں روٹس KSh اور کور راؤٹرز پر ظاہر ہونے چاہئیں اور اس طرح مقامی نیٹ ورکس کے درمیان نیٹ ورک کنیکٹیویٹی پیدا ہوتی ہے۔
ہم منتقل شدہ ٹریفک کو خفیہ کرتے ہیں۔
جیسا کہ پہلے ہی لکھا جا چکا ہے، عام طور پر سائٹس کے درمیان خفیہ کاری کرتے وقت، ہم IP ایڈریس رینجز (ACLs) بتاتے ہیں جن کے درمیان ٹریفک کو خفیہ کیا جاتا ہے: اگر ماخذ اور منزل کے پتے ان حدود میں آتے ہیں، تو ان کے درمیان ٹریفک کو خفیہ کیا جاتا ہے۔ تاہم، اس پروجیکٹ میں ڈھانچہ متحرک ہے اور پتے بدل سکتے ہیں۔ چونکہ ہم نے پہلے ہی GRE ٹنلنگ کو کنفیگر کر رکھا ہے، اس لیے ہم بیرونی KS پتوں کو بطور ذریعہ اور منزل کے پتوں کی ٹریفک کو خفیہ کرنے کے لیے بتا سکتے ہیں - بہر حال، GRE پروٹوکول کے ذریعے پہلے سے موجود ٹریفک کو خفیہ کاری کے لیے آتا ہے۔ دوسرے لفظوں میں، ہر وہ چیز جو ایک سائٹ کے مقامی نیٹ ورک سے CS میں داخل ہوتی ہے ان نیٹ ورکس کی طرف جس کا اعلان دوسری سائٹوں کے ذریعے کیا جاتا ہے انکرپٹ کیا جاتا ہے۔ اور ہر ایک سائٹ کے اندر کسی بھی ری ڈائریکشن کو انجام دیا جاسکتا ہے۔ اس طرح، اگر مقامی نیٹ ورکس میں کوئی تبدیلی ہوتی ہے، تو منتظم کو صرف اپنے نیٹ ورک سے نیٹ ورک کی طرف آنے والے اعلانات میں ترمیم کرنے کی ضرورت ہوتی ہے، اور یہ دوسری سائٹوں کے لیے دستیاب ہو جائے گی۔
S-Terra CS میں خفیہ کاری IPSec پروٹوکول کا استعمال کرتے ہوئے کی جاتی ہے۔ ہم GOST R 34.12-2015 کے مطابق "Tgrasshopper" الگورتھم استعمال کرتے ہیں، اور پرانے ورژن کے ساتھ مطابقت کے لیے آپ GOST 28147-89 استعمال کر سکتے ہیں۔ تصدیق تکنیکی طور پر پہلے سے طے شدہ کیز (PSKs) اور سرٹیفکیٹس دونوں پر کی جا سکتی ہے۔ تاہم، صنعتی آپریشن میں GOST R 34.10-2012 کے مطابق جاری کردہ سرٹیفکیٹ استعمال کرنا ضروری ہے۔
سرٹیفکیٹس، کنٹینرز اور سی آر ایل کے ساتھ کام یوٹیلیٹی کا استعمال کرتے ہوئے کیا جاتا ہے۔ cert_mgr. سب سے پہلے، کمانڈ کا استعمال کرتے ہوئے cert_mgr بنائیں ایک نجی کلید کنٹینر اور ایک سرٹیفکیٹ کی درخواست تیار کرنا ضروری ہے، جو سرٹیفکیٹ مینجمنٹ سینٹر کو بھیجی جائے گی۔ سرٹیفکیٹ حاصل کرنے کے بعد، اسے کمانڈ کے ساتھ روٹ CA سرٹیفکیٹ اور CRL (اگر استعمال کیا جائے) کے ساتھ درآمد کرنا ضروری ہے۔ cert_mgr درآمد. آپ اس بات کو یقینی بنا سکتے ہیں کہ تمام سرٹیفکیٹ اور سی آر ایل کمانڈ کے ساتھ انسٹال ہیں۔ cert_mgr شو.
سرٹیفکیٹس کو کامیابی سے انسٹال کرنے کے بعد، IPSec کو کنفیگر کرنے کے لیے سسکو نما کنسول پر جائیں۔
ہم ایک IKE پالیسی بناتے ہیں جو بنائے گئے محفوظ چینل کے مطلوبہ الگورتھم اور پیرامیٹرز کی وضاحت کرتی ہے، جسے پارٹنر کو منظوری کے لیے پیش کیا جائے گا۔
#crypto isakmp پالیسی 1000
#encr gost341215k
#hash gost341112-512-tc26
#تصدیق کا نشان
#گروپ vko2
زندگی بھر 3600
یہ پالیسی IPSec کے پہلے مرحلے کی تعمیر کے وقت لاگو ہوتی ہے۔ پہلے مرحلے کی کامیاب تکمیل کا نتیجہ ایس اے (سیکیورٹی ایسوسی ایشن) کا قیام ہے۔
اس کے بعد، ہمیں انکرپشن کے لیے سورس اور ڈیسٹینیشن آئی پی ایڈریس (ACL) کی ایک فہرست کی وضاحت کرنے، ایک ٹرانسفارم سیٹ بنانے، ایک کرپٹوگرافک میپ (کرپٹو میپ) بنانے اور اسے CS کے بیرونی انٹرفیس سے منسلک کرنے کی ضرورت ہے۔
ACL سیٹ کریں:
#ip رسائی کی فہرست میں توسیع شدہ سائٹ 1
#permit gre میزبان 10.111.21.3 میزبان 10.111.22.3
تبدیلیوں کا ایک مجموعہ (پہلے مرحلے کی طرح، ہم "Tgrasshopper" انکرپشن الگورتھم کا استعمال کرتے ہیں سمولیشن انسرٹ جنریشن موڈ کا استعمال کرتے ہوئے):
#crypto ipsec transform-set GOST esp-gost341215k-mac
ہم ایک کریپٹو نقشہ بناتے ہیں، ACL کی وضاحت کرتے ہیں، سیٹ اور پیر ایڈریس کو تبدیل کرتے ہیں:
#crypto map MAIN 100 ipsec-isakmp
# میچ ایڈریس سائٹ 1
#set transform-set GOST
#set peer 10.111.22.3
ہم کرپٹو کارڈ کو کیش رجسٹر کے بیرونی انٹرفیس سے منسلک کرتے ہیں:
# انٹرفیس گیگا بائٹ ایتھرنیٹ0/0
#ip پتہ 10.111.21.3 255.255.255.0
#crypto map MAIN
دوسری سائٹوں کے ساتھ چینلز کو خفیہ کرنے کے لیے، آپ کو ACL اور کرپٹو کارڈ بنانے، ACL کا نام، IP پتے اور کرپٹو کارڈ نمبر تبدیل کرنے کے طریقہ کار کو دہرانا ہوگا۔
توجہ دینا! اگر CRL کے ذریعہ سرٹیفکیٹ کی توثیق کا استعمال نہیں کیا جاتا ہے، تو اسے واضح طور پر بیان کیا جانا چاہیے:
#crypto pki ٹرسٹ پوائنٹ s-terra_technological_trustpoint
#منسوخ-چیک کوئی نہیں۔
اس وقت، سیٹ اپ مکمل سمجھا جا سکتا ہے. سسکو نما کنسول کمانڈ آؤٹ پٹ میں crypto isakmp sa دکھائیں۔ и کرپٹو ipsec sa دکھائیں۔ IPSec کے تعمیر شدہ پہلے اور دوسرے مراحل کی عکاسی ہونی چاہیے۔ کمانڈ کا استعمال کرتے ہوئے وہی معلومات حاصل کی جا سکتی ہیں۔ sa_mgr شو، ڈیبین شیل سے پھانسی دی گئی۔ کمانڈ آؤٹ پٹ میں cert_mgr شو ریموٹ سائٹ کے سرٹیفکیٹ ظاہر ہونے چاہئیں۔ اس طرح کے سرٹیفکیٹس کی حیثیت ہوگی۔ ریموٹ. اگر سرنگیں نہیں بن رہی ہیں، تو آپ کو VPN سروس لاگ کو دیکھنے کی ضرورت ہے، جو فائل میں محفوظ ہے۔ /var/log/cspvpngate.log. لاگ فائلوں کی مکمل فہرست ان کے مواد کی تفصیل کے ساتھ دستاویزات میں دستیاب ہے۔
نظام کی "صحت" کی نگرانی
S-Terra CC نگرانی کے لیے معیاری snmpd ڈیمون استعمال کرتا ہے۔ عام لینکس پیرامیٹرز کے علاوہ، آؤٹ آف دی باکس S-Terra CISCO-IPSEC-FLOW-MONITOR-MIB کے مطابق IPSec سرنگوں کے بارے میں ڈیٹا جاری کرنے کی حمایت کرتا ہے، جسے ہم IPSec سرنگوں کی حالت کی نگرانی کرتے وقت استعمال کرتے ہیں۔ اپنی مرضی کے مطابق OIDs کی فعالیت جو اسکرپٹ پر عمل درآمد کے نتائج کو اقدار کے طور پر پیش کرتی ہے، بھی معاون ہے۔ یہ خصوصیت ہمیں سرٹیفکیٹ کی میعاد ختم ہونے کی تاریخوں کو ٹریک کرنے کی اجازت دیتی ہے۔ تحریری اسکرپٹ کمانڈ آؤٹ پٹ کو پارس کرتی ہے۔ cert_mgr شو اور نتیجے کے طور پر مقامی اور روٹ سرٹیفکیٹس کی میعاد ختم ہونے تک دنوں کی تعداد دیتا ہے۔ بڑی تعداد میں CABGs کا انتظام کرتے وقت یہ تکنیک ناگزیر ہے۔
ایسی خفیہ کاری کا کیا فائدہ؟
اوپر بیان کی گئی تمام فعالیتیں S-Terra KSh کے ذریعے سپورٹ کرتی ہیں۔ یعنی، کوئی اضافی ماڈیول انسٹال کرنے کی ضرورت نہیں تھی جو کرپٹو گیٹ ویز کی تصدیق اور پورے انفارمیشن سسٹم کی سرٹیفیکیشن کو متاثر کر سکے۔ سائٹس کے درمیان کوئی بھی چینل ہو سکتا ہے، یہاں تک کہ انٹرنیٹ کے ذریعے۔
اس حقیقت کی وجہ سے کہ جب اندرونی انفراسٹرکچر تبدیل ہوتا ہے، تو کرپٹو گیٹ ویز کو دوبارہ ترتیب دینے کی ضرورت نہیں ہوتی، نظام ایک خدمت کے طور پر کام کرتا ہے۔، جو گاہک کے لیے بہت آسان ہے: وہ اپنی خدمات (کلائنٹ اور سرور) کسی بھی پتے پر رکھ سکتا ہے، اور تمام تبدیلیاں متحرک طور پر خفیہ کاری کے آلات کے درمیان منتقل ہو جائیں گی۔
بلاشبہ، اوور ہیڈ لاگت (اوور ہیڈ) کی وجہ سے خفیہ کاری ڈیٹا کی منتقلی کی رفتار کو متاثر کرتی ہے، لیکن صرف تھوڑا سا - چینل تھرو پٹ زیادہ سے زیادہ 5-10% تک کم ہو سکتا ہے۔ ساتھ ہی، ٹیکنالوجی کا تجربہ کیا گیا ہے اور سیٹلائٹ چینلز پر بھی اچھے نتائج دکھائے گئے ہیں، جو کافی غیر مستحکم ہیں اور اس کی بینڈوتھ کم ہے۔
Igor Vinokhodov، Rostelecom-Solar کی انتظامیہ کی دوسری لائن کے انجینئر
ماخذ: www.habr.com