|
На сей раз речь у нас пойдет о построении отказоустойчивой схемы IPsec. В целом, циска рекомендует для такого рода кейсов применять технологии вроде DMVPN и GETVPN, где отказоустойчивость туннелей основывается на IGP. Однако, это не всегда возможно – ведь ASA всего этого не поддерживает! Читать продолжение записи » 
Метки: IPSec Сначала рассмотрим настройку L2L IPsec-туннеля в случае, когда защищаемая сеть находится внутри VRF, а транспорт идет через global. Читать продолжение записи »
Метки: IPSec, vrf В прошлой статье мы рассмотрели с Вами как работает протокол (если говорить более строго, то стек протоколов IPsec) и как настроить защищенное соединение между двумя офисами. Однако, в жизни часто возникает задача, которую можно трактовать примерно одним из следующих способов: — у фирмы есть пользователи, которые по долгу службы работают дома (временно или постоянно – неважно). Соответственно, этим людям необходимо предоставить доступ в локальную сеть предприятия. Понятно, что в данной ситуации Site-to-Site канал не построишь, поскольку у пользователя скорее всего нет необходимого оборудования, да и накладно это. Читать продолжение записи »
Метки: IPSec, VPN Прим.: ахтунг, много букавок! В прошлой статье мы с Вами уяснили как устанавливается защищенный IPsec туннель между двумя маршрутизаторами. Но теория это конечно хорошо, сейчас мне бы с Вами хотелось рассмотреть практическую часть: настройка LAN-to-LAN с помощью crypto-map. И так, перво-наперво необходимо определить политики первой фазы: для ее защиты используем шифрование AES 192 бита, проверка целостности проходит по ф-ии SHA второй версии с выходным хэшем 384 бита, аутентификация между пирами — по локальному ключу, время жизни сессии — сутки, номер группы ДХ — 15. crypto isakmp policy 10encr aes 192 hash sha384 authentication pre-share group 15 Читать продолжение записи »
Метки: IPSec Прим.: автор подразумевает, что читатель обладает знаниями примерно на уровне CCNA Security
LAN-to-LAN IPsec VPN подразумевает под собой взаимодействие двух сетевых устройств. В результате их взаимодействия принимаются решения о шифровании определенного трафика. Процесс согласование всех политик делится на две фазы: IPsec фаза1: Устройства аутентифицируют друг друга используя один из преднастроенных методов (преднастроенные ключи, цифровые сертификаты). В самом начале общения две железки в первую очередь обмениваются методами аутентификации. В течение фазы аутентификации устройства обмениваются своими личными данными (IP-адреса, имена, цифровые сертификаты). Если все прошло хорошо, то устройства устанавливают безопасный канал связи, который называют ISAKMP SA (Security Associations), который используется для защиты всей передаваемой дальше информации.
Метки: IPSec В предыдущей части блога DMVPN (Dynamic Multipoint VPN). Часть 1. были рассмотрены основы технологии DMVPN и рассмотрен базовый вариант настройки сервиса DMVPN без элементов отказоустойчивости. Если вы с этой технологией совсем не знакомы, рекомендую ознакомиться сначала с первой частью. Одно из главных преимуществ DMVPN – возможность построения отказоустойчивых виртуальных сетей на базе классического подхода посредством использованием протоколов динамической маршрутизации. Шифрованное mGRE облако фактически представляет собой легко масштабируемый L3 транспорт, прозрачный для протоколов маршрутизации – в этом основное преимущество перед классическим IPsec.
Метки: DMVPN, IPSec, routing, security, VPN
Для построения территориально распределенных сетей на текущий момент в большинстве случаев используются виртуальные шифрованные сети поверх интернета. Традиционный подход построения подобных сетей с помощью простого шифрования трафика методом IPsec в туннельном режиме крайне не эффективен в виду сложности настройки, невозможности использования динамических протоколов маршрутизации, не работоспособности multicast трафика, и очень плохой масштабируемости. Добавление новых сайтов в таких сетях зачастую требует перенастройки всех узлов, корректировки огромного числа ACL, статических маршрутов и т.д.
Для устранения выше обозначенных недостатков компания Cisco в своих маршрутизаторах (Cisco ASA данным функционалом не обладает!) предлагает технологию DMVPN (Dynamic Multipoint VPN). Данная технология базируется на следующих базовых принципах: Читать продолжение записи »
Метки: cisco, DMVPN, IPSec, router, security, VPN Сразу оговорюсь: данный тест — пристрелочный. Ставилась задача примерно оценить производительность шифрования. Начальные условия таковы: туннель site-to-site между маршрутизатором cisco 1841 и маршрутизатором vyatta, установленным на сервер НР (1266 МГц, 256Мб оперативной памяти). Маршрутизаторы связаны линком 100мбит/сек. Шифрование – AES-128 с хэшем SHA. Схема такая: (FTP server) – (vyatta) =====туннель====== (cisco1841) – (ftp client) Для начала я протестировал скорость обращения на FTP сервер, стоящий во внутренней сети за vyatta без шифрования. Скорость работы составила около 65мбит/сек при мизерной загрузке обоих маршрутизаторов (меньше 5%). Из этого делаю вывод, что скорость меньше 100мбит/сек из-за ограничений сервера и протокола. __________________________ Включаем шифрование.
Метки: ASA, cisco, IPSec, ISR 1841, vyatta, скорость, сравнение Одна из самых востребованных технологий – защита канала передачи данных. Самая распространенная и безопасная технология – IPSec. Попробуем построить самый простой туннель между маршрутизатором vyatta и маршрутизатором cisco с использованием предустановленных ключей (pre-shared key). Забегая вперед скажу, что все настройки интуитивно понятны и туннель поднялся без проблем. Vyatta использует Openswan IPSec 2.4. Итак, как известно, построение IPSec идет в 2 фазы: IKE Phase I и IKE Phase II
Метки: cisco, IPSec, vyatta, настройка Cisco GET VPN — новая технология от Cisco, призванная обеспечить безопасность туннелей через провайдерские соединения, обладающая рядом полезных особенностей. Ее описанию, особенностям и настройке и посвящена эта статья. Начнем по традиции с постановки задачи. Классическая топология представляет собой несколько филиалов, соединенных с помощью провайдерской сети.
Требуется соединить сети за филиалами между собой. Наиболее распространенное решение — IPSec и в частности — DMVPN. Который кроме всего прочего, является туннельной технологией и позволяет использовать публичные Internet каналы. Недостатком такого решения является то, что сеть строится по принципу hub-n-spoke, а туннели spoke-to-spoke устанавливаются по необходимости, что не совсем удобно.
Метки: GET VPN, IPSec, VPN |
