चेक प्वाइंट के आधार पर एक वितरित वीपीएन नेटवर्क का निर्माण। कई सामान्य परिदृश्य

इस लेख में, हम चेक प्वाइंट का उपयोग करके वितरित नेटवर्क के निर्माण के विकल्पों पर विचार करेंगे। मैं चेक प्वाइंट की साइट-टू-साइट वीपीएन की मुख्य विशेषताओं का वर्णन करने का प्रयास करूंगा, कई विशिष्ट परिदृश्यों पर विचार करूंगा, उनमें से प्रत्येक के पेशेवरों और विपक्षों का वर्णन करूंगा और यह बताने का प्रयास करूंगा कि वितरित वीपीएन नेटवर्क की योजना बनाते समय आप कैसे बचा सकते हैं।

चेक प्वाइंट मानक IPSec का उपयोग करता है

चेक प्वाइंट से साइट-टू-साइट वीपीएन के बारे में जानने वाली यह पहली बात है। और यह थीसिस चेक प्वाइंट वीपीएन के बारे में सबसे आम सवालों में से एक का जवाब देता है:

- क्या अन्य उपकरणों के साथ "दोस्त बनाना" संभव है?
- हाँ, आप कर सकते हैं!

तथाकथित 3 पार्टी वीपीएन। चूंकि मानक IPSec का उपयोग किया जाता है, इसलिए किसी भी उपकरण के साथ एक VPN बनाया जा सकता है जो IPSec का समर्थन करता है। व्यक्तिगत रूप से, मैंने सिस्को एएसए, सिस्को राउटर, डी-लिंक, मिकरोटिक, स्टोनगेट के साथ वीपीएन बनाने की कोशिश की। सब कुछ काम करता है, हालांकि कुछ विशेषताएं हैं। मुख्य बात यह है कि पहले और दूसरे चरण के लिए सभी मापदंडों को सही ढंग से निर्धारित करना है। IPSec कनेक्शन के लिए समर्थित पैरामीटर:

एन्क्रिप्शन विधि: IKEv1, IKEv2

IKE सुरक्षा संघ (चरण 1)
- एन्क्रिप्शन एल्गोरिथम: एईएस -128, एईएस -256, डीईएस, 3 डीईएस, कास्ट
- डेटा इंटिग्रिटी: SHA1, SHA256, SHA384, MD5, AES-XCBC
- डिफि-हेलमैन ग्रुप: ग्रुप 1, ग्रुप 2, ग्रुप 5, ग्रुप 14, ग्रुप 19, ग्रुप 20

IKE सुरक्षा संघ (चरण 2)
- एन्क्रिप्शन एल्गोरिथ्म: AES-128, AES-256, AES-GCM-128, AES-GCM-256, DES, 3DES, DES-40CP, CAST, CAST-40, NULL
- डेटा इंटिग्रिटी: SHA1, SHA256, SHA384, MD5, AES-XCBC

अतिरिक्त विकल्प:
- आक्रामक मोड का उपयोग करें (चरण 1)
- परफेक्ट फॉरवर्ड सेक्रेसी (चरण 2) का उपयोग करें
- समर्थन आईपी संपीड़न (चरण 2)

क्योंकि आप वीपीएन का निर्माण न केवल चेक प्वाइंट के साथ कर सकते हैं, फिर सवाल यह उठता है कि शाखाओं में "इंस्टॉल" क्या करें?

शाखाओं के लिए क्या उपकरण का उपयोग करें?

केवल दो विकल्प हैं। उन पर विचार करें और उनमें से प्रत्येक के पेशेवरों और विपक्षों का वर्णन करने का प्रयास करें।

1. शाखा में चेक प्वाइंट

यह सबसे आसान विकल्प है। चेक प्वाइंट केंद्रीय कार्यालय (मुख्यालय) और शाखाओं (शाखा) में स्थापित किया गया है।

पेशेवरों मुख्य प्लस उपयोग में आसानी है। आप एक स्थान (सुरक्षा प्रबंधन सर्वर) से सुरक्षा नीतियों का प्रबंधन करते हैं। सभी लॉग एक जगह जमा हो जाते हैं। रिपोर्ट उत्पन्न करना और बड़ी तस्वीर देखना संभव है। वितरित नेटवर्क प्रशासन बहुत सरल है। आपको एक निगरानी प्रणाली की भी आवश्यकता नहीं हो सकती है, कुछ कार्य केंद्रीय प्रबंधन सर्वर द्वारा डिफ़ॉल्ट रूप से किए जाते हैं। वीपीएन कॉन्फ़िगरेशन त्वरित है, एक्सेस सूचियों के अंतहीन संपादन की कोई आवश्यकता नहीं है। एक मोटे अंदाज़े में, यह सिस्को DMVPN (इस पर बाद में) के साथ तुलना की जा सकती है।

विपक्ष। केवल नकारात्मक वित्तीय लागत है। बेशक, "महंगा या सस्ता" का सवाल थोड़ा दार्शनिक है और मैं इस विषय पर चर्चा नहीं करूंगा। लेकिन यहां तक ​​कि सबसे छोटी शाखा (यहां तक ​​कि एटीएम) को भी चेक प्वाइंट गेटवे की स्थापना की आवश्यकता होगी। थोड़ी देर बाद हम ऐसे कार्यों के लिए विशिष्ट मॉडल पर चर्चा करेंगे।

इस विकल्प का उपयोग कौन करता है (शाखा में चेक प्वाइंट)? वास्तव में, लगभग सभी व्यवसाय खंड: बैंक, खुदरा, उद्योग, स्वास्थ्य सेवा, तेल और गैस कंपनियां।


अंजीर। 1. सभी ब्रांच गेटवे के डिस्प्ले के साथ प्वाइंट स्मार्टकॉनसोल चेक करें

2. शाखा में प्वाइंट की जांच न करें

इसके अलावा एक काफी सामान्य विकल्प है। केंद्र (मुख्यालय) में चेक प्वाइंट रखा गया है, और शाखाओं (ब्रांच) में - IPSec वीपीएन का समर्थन करने वाला कोई अन्य उपकरण।

पेशेवरों शायद एकमात्र प्लस न्यूनतम वित्तीय लागत है। आप सबसे सस्ता मिकरोटिक या डी-लिंक डाल सकते हैं, एक वीपीएन केंद्रीय कार्यालय में ठीक काम करेगा।

विपक्ष। विपक्ष बहुत अधिक हैं। वास्तव में, आप पिछले संस्करण में वर्णित सभी फायदे खो देते हैं। आपको प्रत्येक शाखा पर सेटिंग्स को "संपादित" करना होगा। अगर 2 से 3 हैं, तो शायद यह इतनी बड़ी समस्या नहीं है। लेकिन अगर उनमें से 5-10 से अधिक हैं, तो आगे स्केलिंग का एक गंभीर सवाल होगा। कॉन्फ़िगरेशन प्रबंधन, पहुंच नीतियां, निगरानी, ​​यह सब तृतीय-पक्ष समाधानों (संभवतः खुले स्रोत) के आधार पर आयोजित किया जाना होगा। एक और बड़ा ऋण - वीपीएन चैनल के आरक्षण को व्यवस्थित करना असंभव है।
इस विकल्प का उपयोग कौन करता है (शाखा में चेक प्वाइंट नहीं)? एक नियम के रूप में, यह एक छोटी सी व्यवसाय है जिसमें छोटी संख्या में शाखाएं होती हैं।

सहयोगी कंपनियों के लिए इंटरनेट का प्रकार। स्वतंत्र या केंद्रीकृत?

शाखा के लिए डिवाइस का विकल्प इंटरनेट कनेक्शन के प्रकार पर निर्भर करता है। दो विकल्प भी हैं और प्रत्येक में इसके पेशेवरों और विपक्ष हैं।

1. स्वतंत्र इंटरनेट का उपयोग

सबसे अधिक उपयोग किया जाता है। वीपीएन चैनल का उपयोग विशेष रूप से केंद्रीय कार्यालय (जहां चेक प्वाइंट खड़ा है) के संसाधनों तक पहुंच के लिए किया जाता है।

पेशेवरों इंटरनेट का उपयोग वीपीएन चैनल और केंद्रीय कार्यालय में उपकरण पर निर्भर नहीं करता है। यानी अगर केंद्रीय कार्यालय में सब कुछ "गिर" गया है, तो शाखा इंटरनेट तक पहुंच बनाए रखेगी, बस कुछ कॉर्पोरेट संसाधनों तक पहुंच खो सकती है।

विपक्ष। महत्वपूर्ण रूप से सुरक्षा नीतियों के प्रबंधन को जटिल बनाता है। वास्तव में, यदि आपके पास शाखाएँ सुरक्षित करने का कार्य है, तो आपको ऐसे सुरक्षात्मक उपाय लागू करने चाहिए जैसे कि IPS, स्ट्रीमिंग एंटीवायरस, URL कोडिंग आदि। यह सूचना सुरक्षा के प्रबंधन और निगरानी के साथ समस्याओं का एक गुच्छा होता है।

सिफ़ारिश। इस विकल्प के साथ, निश्चित रूप से, शाखाओं में चेक पॉइंट का उपयोग करना बेहतर है। आप इस सभी "अर्थव्यवस्था" को केंद्रीय रूप से प्रबंधित करने में सक्षम होंगे। आप एक मानक इंटरनेट एक्सेस नीति बना सकते हैं और इसे सभी शाखाओं में रोल आउट कर सकते हैं। निगरानी भी बहुत सरल है। आप घटनाओं के सहसंबंध की संभावना के साथ एक ही स्थान पर सभी आईबी की घटनाओं को देखेंगे।

2. केंद्रीकृत इंटरनेट का उपयोग

इस विकल्प का उपयोग बहुत कम बार किया जाता है। एक वीपीएन को केंद्रीय कार्यालय (जहां चेक प्वाइंट खड़ा है) बनाया जा रहा है और पूरी तरह से शाखा यातायात को वहां लपेटा गया है। इंटरनेट का उपयोग केंद्रीय कार्यालय के माध्यम से ही संभव है।

पेशेवरों इस मामले में, आप मूल रूप से परवाह नहीं करते हैं कि शाखा में क्या है, मुख्य बात यह है कि केंद्र के लिए वीपीएन का निर्माण करना है। कॉन्फ़िगरेशन के साथ कोई बड़ी समस्या नहीं होनी चाहिए, या तो। वास्तव में, केवल एक नियम होगा - "वीपीएन में सभी यातायात"। सभी सुरक्षा नीतियां और पहुंच सूची आप केवल केंद्रीय कार्यालय में कॉन्फ़िगर करेंगे। जैसा कि आप जानते हैं, इस विकल्प के साथ, आप चेक प्वाइंट की खरीद पर महत्वपूर्ण रूप से बचत करते हैं।

विपक्ष। स्केलेबिलिटी, प्रबंधन और निगरानी के साथ अभी भी एक समस्या है (हालांकि इंटरनेट तक स्वतंत्र पहुंच के साथ उतना महत्वपूर्ण नहीं है)। साथ ही, शाखाओं का काम पूरी तरह से केंद्रीय कार्यालय पर निर्भर करता है। आपातकाल के मामले में, पूरा नेटवर्क "गिर" जाएगा। सहबद्धों को इंटरनेट के बिना छोड़ दिया जाएगा।

सिफ़ारिश। यह विकल्प कम संख्या में शाखाओं (2-4) के लिए एकदम सही है। बेशक, यदि आप आवाज़ वाले जोखिमों (केंद्र पर निर्भरता) से संतुष्ट हैं। केंद्रीय कार्यालय के लिए चेक प्वाइंट डिवाइस चुनते समय, यह शाखा यातायात पर विचार करने और आवश्यक प्रदर्शन की सावधानीपूर्वक गणना करने के लायक है। संक्षेप में, आपको न्यूनतम वित्तीय लागत वाली शाखाओं का केंद्रीकृत यातायात प्रबंधन प्राप्त होगा। हालांकि, बड़ी संख्या में शाखाओं (और "गंभीर" ट्रैफ़िक) के साथ, ऐसी योजना की अत्यधिक अनुशंसा नहीं की जाती है। विफलता के मामले में बहुत बड़े परिणाम। समस्या निवारण जटिल होगा, और केंद्रीय कार्यालय को बहुत शक्तिशाली हार्डवेयर की आवश्यकता होगी, जो अंततः शाखाओं की अपनी जांच बिंदु गेटवे की तुलना में अधिक महंगा हो सकता है।

लाइसेंस पर संभावित बचत

यदि आप शाखाओं में चेक प्वाइंट का उपयोग करने का निर्णय लेते हैं और आपको केवल वीपीएन की आवश्यकता है (उदाहरण के लिए, एक केंद्रीकृत इंटरनेट कनेक्शन के साथ), तो आप लाइसेंस पर महत्वपूर्ण रूप से बचत कर सकते हैं। ब्लेड IPSec वीपीएन किसी भी तरह से लाइसेंस प्राप्त नहीं है। डिवाइस खरीदने के बाद, आपको हमेशा फ़ायरवॉल और वीपीएन कार्यक्षमता मिलेगी। आपको इसके लिए सेवाओं का विस्तार खरीदने की आवश्यकता नहीं है, सब कुछ वैसे भी काम करेगा।

केवल एक चीज जिसे आपको खरीदना है वह एक तकनीकी सहायता सेवा है ताकि आप समर्थन से संपर्क कर सकें और टूटने की स्थिति में डिवाइस को बदल सकें। हालांकि, पैसा बचाने का एक विकल्प भी है (हालांकि मैं इसकी सिफारिश नहीं करता हूं)। यदि आप अपने ज्ञान में आश्वस्त हैं और आपको समर्थन से संपर्क करने की आवश्यकता नहीं है, तो आप तकनीकी सहायता का विस्तार नहीं खरीद सकते हैं।

आप एक या दो उपकरणों को स्पेयर पार्ट्स में खरीद सकते हैं और यदि शाखाओं में से एक टूट जाती है, तो बस इस डिवाइस को बदल दें। बड़ी संख्या में शाखाओं के साथ यह अन्य उपकरणों के लिए समर्थन खरीदने की तुलना में अतिरिक्त उपकरणों की एक जोड़ी खरीदने के लिए आर्थिक रूप से अधिक लाभदायक हो सकता है। मैं दोहराता हूं कि मैं इस विकल्प की सिफारिश नहीं करता हूं।

ब्रांच पॉइंट चेक पॉइंट (SMB) मॉडल

एक राय है कि चेक प्वाइंट विशेष रूप से बड़ी कंपनियों के लिए एक विक्रेता है। हालाँकि, लाइनअप में SMB सेक्टर के लिए काफी कुछ डिवाइस विकल्प हैं। खासकर अगर यह "लोहे का टुकड़ा" शाखाओं के लिए उपयोग किया जाएगा, तो मुख्य कार्यालय में केंद्रीय प्रबंधन सर्वर के नियंत्रण में होगा।


अंजीर। 2. प्वाइंट लाइनअप की जाँच करें

हमने पहले ही SMB समाधानों पर एक अलग लेख प्रकाशित किया है, इसलिए मैं केवल उन मॉडलों को सूचीबद्ध करूंगा जिनका उपयोग अक्सर शाखाओं के लिए किया जाता है:

1. बड़ी शाखाओं के लिए 5000 वीं श्रृंखला (5100, 5200) (150-200 लोग);
2. मध्यम आकार की शाखाओं (100-150 लोग) के लिए 3000 वीं श्रृंखला (3100, 3200);
3. छोटी शाखाओं के लिए 1400 वीं श्रृंखला (1430, 1450, 1470, 1490) (100 से कम लोग)।

लोगों की संख्या पर डेटा विशेष रूप से अनुभव के आधार पर हमारी व्यक्तिपरक राय है। हम 1400 श्रृंखलाओं पर अत्यधिक ध्यान देने की सलाह देते हैं। ये एआरएम प्रोसेसर पर आधारित अपेक्षाकृत नए मॉडल हैं। पुराने मॉडलों की तुलना में उनके पास कुछ तकनीकी सीमाएं हैं (क्योंकि वे एक अलग ओएस - गैया एंबेडेड का उपयोग करते हैं), हालांकि, प्रबंधन सर्वर के साथ, ये प्रतिबंध विशेष रूप से शाखा नेटवर्क के लिए महत्वहीन हैं।

वीपीएन टोपोलॉजी (प्रारंभ, मेष)

आइए अधिक "तकनीकी" चीजों के बारे में बात करते हैं और वीपीएन (चेक प्वाइंट शब्दावली में वीपीएन समुदाय) के साथ शुरू करते हैं। अन्य विक्रेताओं की तरह, चेक प्वाइंट के दो प्रकार हैं:

1. स्टार। नाम अपने लिए बोलता है। सभी शाखाओं के वीपीएन चैनल केंद्र में परिवर्तित हो जाते हैं। इस टोपोलॉजी के साथ, यहां तक ​​कि अगर शाखाओं को एक दूसरे के साथ संवाद करने की आवश्यकता होती है, तो यातायात केंद्र के माध्यम से जाएगा। कभी-कभी यह बहुत सुविधाजनक और व्यावहारिक नहीं होता है। हालांकि व्यवहार में इस टोपोलॉजी का सबसे अधिक उपयोग किया जाता है।
2. जाल। टोपोलॉजी "प्रत्येक के साथ प्रत्येक।" अब कोई केंद्र नहीं है। एक जाल वीपीएन समुदाय में रखे सभी गेटवे एक दूसरे के साथ सुरंगों का निर्माण कर सकते हैं।

यह ध्यान देने योग्य है कि एक ही समय में कोई भी आपको इन दो टोपोलॉजी को संयोजित करने के लिए परेशान नहीं करता है। उदाहरण के लिए, एक जाल के माध्यम से दो प्रारंभ समुदाय लिंक करें:


अंजीर। 3. स्टार + मेष

दो प्रकार की सुरंगें

अंत में, हम उस बिंदु पर पहुंचे जहां हम चर्चा कर सकते हैं कि चेक प्वाइंट वीपीएन वास्तव में किसके लिए सुविधाजनक है, बशर्ते कि शाखाओं में चेक प्वाइंट भी हो। वीपीएन सुरंग का निर्माण करते समय, हमारे पास दो प्रकार के विकल्प होते हैं:

1. डोमेन आधारित वीपीएन

अर्थ काफी सरल है। शाखा गेटवे (और केंद्र भी) के गुणों में, आप चेक प्वाइंट के पीछे वाले नेटवर्क को निर्दिष्ट करते हैं, अर्थात। शाखाओं के स्थानीय नेटवर्क।


अंजीर। 4. वीपीएन डोमेन की परिभाषा

चूंकि सभी गेटवे एक प्रबंधन सर्वर के नियंत्रण में हैं, इसलिए यह जानकारी वीपीएन समुदाय के सभी प्रतिभागियों (चाहे वह स्टार या मेष हो) के बीच "अफवाह" है। इस प्रकार, प्रत्येक गेटवे पर वीपीएन सेटिंग्स को संपादित करने की आवश्यकता नहीं है, उन्हें पहले से ही पता होगा कि वीपीएन बनाने के लिए कहां, क्या नेटवर्क और किस आईपीएसईसी पैरामीटर के साथ। कोई भी सहकर्मी या पहुंच सूची नहीं। सेटअप त्वरित और आसान है। मेरी राय में, यह DMVPN से भी अधिक सुविधाजनक है। डोमेन आधारित वीपीएन का उपयोग अक्सर अभ्यास में किया जाता है।

2. रूट आधारित

इस प्रकार के वीपीएन सिस्को के प्रशंसकों के लिए बहुत परिचित प्रतीत होंगे। गेटवे पर एक VTI (वर्चुअल टनल इंटरफेस) बनाया गया है और टनल एड्रेस के साथ एक वीपीएन चैनल उठाया गया है। एन्क्रिप्टेड ट्रैफ़िक जो रूट सुरंग में लिपटे हुए हैं। इसके अलावा, मार्ग या तो स्थिर या गतिशील हो सकते हैं। उदाहरण के लिए, आप ऐसी वीपीएन को सभी शाखाओं के साथ बढ़ा सकते हैं और ओएसपीएफ चला सकते हैं। इस प्रकार, सभी गेटवे सभी उपलब्ध नेटवर्क के बारे में जानेंगे और वांछित सुरंग में आवश्यक ट्रैफ़िक को "रैप" करेंगे। मुझे लगता है कि इसकी तुलना जीआरई सुरंगों से की जा सकती है।

सिफारिशें

रूट बेस्ड वीपीएन का इस्तेमाल बहुत कम बार किया जाता है ज्यादातर मामलों में, डोमेन आधारित वीपीएन पर्याप्त है, जिसे समझना आसान है और सेट अप करने के लिए तेज़ है। इसी समय, डोमेन आधारित वीपीएन का उपयोग शाखाओं में तीसरे पक्ष के उपकरण (नॉट चेक प्वाइंट) के मामले में किया जा सकता है। फिर से, व्यक्तिगत अनुभव के आधार पर, मैं डोमेन आधारित वीपीएन का उपयोग करने की सिफारिश कर सकता हूं। समस्याएं बहुत कम होंगी। रूट बेस्ड (सभी सीमाओं, प्रदर्शन में गिरावट) का उपयोग नहीं करना बेहतर है। हालाँकि, यह सब आपके कार्यों पर निर्भर करता है और प्रत्येक मामले पर अलग से विचार करने की आवश्यकता होती है।

प्रमाणपत्र या पूर्व-साझा कुंजी पर वीपीएन

किसी भी IPSec सक्षम डिवाइस की तरह, चेक प्वाइंट प्री-शेयर्ड कुंजी के आधार पर और प्रमाणपत्रों के आधार पर वीपीएन का निर्माण कर सकता है। मैं यह नहीं बताऊंगा कि प्रमाणपत्रों पर एक वीपीएन चैनल का क्या फायदा है। मैं सिर्फ इतना कहूंगा कि चेक प्वाइंट समाधान पर एक वितरित नेटवर्क के निर्माण का एक और फायदा एक एकीकृत प्रमाणीकरण प्राधिकरण (सीए) की उपस्थिति है। यह CA प्रबंधन सर्वर पर हमेशा डिफ़ॉल्ट रूप से मौजूद होता है और स्वचालित रूप से इसके नियंत्रण में रहने वाले सभी चेक प्वाइंट गेटवे के लिए प्रमाण पत्र बनाता है। तृतीय-पक्ष प्रमाणपत्र प्राधिकारी के साथ "पीड़ित" होने की कोई आवश्यकता नहीं है (हालांकि यह चेक प्वाइंट के लिए "खराब" भी हो सकता है)।

वीपीएन विफलता

अक्सर वे इस अवसर के बारे में भूल जाते हैं। लेकिन वह है एक शाखा और एक केंद्रीय कार्यालय में दो इंटरनेट चैनल हो सकते हैं। यदि शाखा में चेक प्वाइंट भी है, तो हम एक असफल-सुरक्षित वीपीएन (डोमेन आधारित) को कॉन्फ़िगर कर सकते हैं। चेक प्वाइंट की इस विशेषता की उपेक्षा न करें, खासकर जब से यह कुछ ही क्लिक में शाब्दिक रूप से कॉन्फ़िगर किया गया हो।

प्रबंधन सर्वर लाइसेंसिंग

एक अन्य महत्वपूर्ण बिंदु जो वितरित नेटवर्क की योजना बनाते समय भूल जाता है। सुरक्षा प्रबंधन सर्वर को उसके द्वारा प्रबंधित किए जाने वाले गेटवे की संख्या से लाइसेंस प्राप्त होता है। 5 गेटवे, 10, 25, 50, 150 और अधिक के प्रबंधन के लिए लाइसेंस हैं। इसी समय, कीमतें बहुत अलग हैं। क्लस्टर दो गेटवे के रूप में गिना जाता है! अपने बजट की योजना बनाते समय सावधान रहें।

चेक प्वाइंट वीपीएन के अतिरिक्त लाभ

तकनीकी दृष्टिकोण से, चेक प्वाइंट वीपीएन के कई और फायदे हैं। एक तार मोड द्वारा बता सकता है, यातायात न होने पर भी सुरंग को लगातार बनाए रखने की क्षमता, एन्क्रिप्टेड और नियमित यातायात के लिए अलग-अलग नियम बनाने की क्षमता, सुरंग से एक निश्चित प्रकार के यातायात को बाहर करने की क्षमता आदि। लेकिन मैं इस तरह के तकनीकी विवरणों में नहीं जाना चाहूंगा ताकि किसी को भी थकाना न पड़े। यदि आप कुछ विशिष्ट में रुचि रखते हैं, तो टिप्पणियों में पूछें। मैंने वास्तुशिल्प सुविधाओं पर अधिक चलने की कोशिश की।

सामग्री तैयार करने में उनकी मदद के लिए पीएस थैंक्स टू इलिया गोरेलकिन (चेक प्वाइंट कंपनी)।