पालो अल्टो नेटवर्क हार्डवेयर पर IPSec साइट-टू-साइट वीपीएन कॉन्फ़िगर करें

यह लेख पालो ऑल्टो नेटवर्क उपकरण सेटअप की सुविधाओं पर पिछले सामग्री का एक निरंतरता है। यहां हम पालो ऑल्टो नेटवर्क उपकरण पर IPSec साइट-टू-साइट वीपीएन स्थापित करने और कई इंटरनेट प्रदाताओं को जोड़ने के लिए संभावित कॉन्फ़िगरेशन विकल्प के बारे में बात करना चाहते हैं।

प्रदर्शन के लिए, हेड ऑफिस को शाखा से जोड़ने की मानक योजना का उपयोग किया जाएगा। गलत सहिष्णु इंटरनेट कनेक्शन प्रदान करने के लिए, मुख्य कार्यालय दो प्रदाताओं के एक साथ कनेक्शन का उपयोग करता है: ISP-1 और ISP-2। शाखा का केवल एक प्रदाता, आईएसपी -3 से कनेक्शन है। फायरवॉल के बीच पीए -1 और पीए -2, दो सुरंगें बनी हैं। सक्रिय-स्टैंडबाय मोड में सुरंगें संचालित होती हैं, सुरंग -1 सक्रिय है, सुरंग -2 के विफल होने पर सुरंग -2 यातायात को संचारित करना शुरू कर देगी। सुरंग -1 ISP-1 इंटरनेट सेवा प्रदाता से कनेक्शन का उपयोग करता है, सुरंग -2 ISP-2 इंटरनेट सेवा प्रदाता के लिए कनेक्शन का उपयोग करता है। सभी IP पते प्रदर्शन उद्देश्यों के लिए बेतरतीब ढंग से उत्पन्न होते हैं, और वास्तविकता से संबंधित नहीं होते हैं।



साइट-टू-साइट वीपीएन बनाने के लिए, IPSec का उपयोग किया जाएगा - आईपी पर प्रेषित डेटा की सुरक्षा के लिए प्रोटोकॉल का एक सेट। IPSec ESP (एनकैप्सुलेटिंग सिक्योरिटी पेलोड) सुरक्षा प्रोटोकॉल का उपयोग करके काम करेगा, जो संचारित डेटा का एन्क्रिप्शन प्रदान करेगा।

IPSec में IKE (इंटरनेट की एक्सचेंज), प्रोटोकॉल शामिल है जो SA (सुरक्षा संघों) की सुरक्षा के मापदंडों के लिए जिम्मेदार है जो संचारित डेटा की सुरक्षा के लिए उपयोग किए जाते हैं। पैन फायरवॉल IKEv1 और IKEv2 का समर्थन करते हैं।

IKEv1 वीपीएन में, कनेक्शन दो चरणों में बनाया गया है: IKEv1 चरण 1 (IKE सुरंग) और IKEv1 चरण 2 (IPSec सुरंग), इसलिए दो सुरंग बनाई गई हैं, जिनमें से एक फ़ायरवॉल के बीच सेवा की जानकारी के आदान-प्रदान के लिए कार्य करती है, और दूसरा यातायात संचरण के लिए। IKEv1 चरण 1 में दो ऑपरेटिंग मोड हैं - मुख्य मोड और आक्रामक मोड। आक्रामक मोड कम संदेशों का उपयोग करता है और तेज होता है, लेकिन सहकर्मी पहचान संरक्षण का समर्थन नहीं करता है।

IKEv2 ने IKEv1 को प्रतिस्थापित किया , और IKEv1 की तुलना में , इसका मुख्य लाभ बैंडविड्थ आवश्यकताओं और तेजी से SA बातचीत कम है। IKEv2 कम सेवा संदेशों (कुल में 4) का उपयोग करता है, EAP, MOBIKE प्रोटोकॉल का समर्थन करता है और एक सहकर्मी उपलब्धता जांच तंत्र को जोड़ता है, जिसके साथ एक सुरंग बनाई जाती है - IKEv1 में डेड पीयर डिटेक्शन की जगह लीन चेक। यदि परीक्षण विफल हो जाता है, तो IKEv2 सुरंग को रीसेट कर सकता है और फिर स्वचालित रूप से जल्द से जल्द ठीक हो जाएगा। आप यहां अंतर के बारे में अधिक पढ़ सकते हैं ।

यदि सुरंग विभिन्न निर्माताओं के फायरवॉल के बीच बनाई गई है, तो IKEv2 के कार्यान्वयन में कीड़े हो सकते हैं, और ऐसे उपकरणों के साथ संगतता के लिए IKEv1 का उपयोग करना संभव है। अन्य मामलों में, IKEv2 का उपयोग करना बेहतर है।

सेटअप चरण:

• Active \ Standby मोड में दो इंटरनेट प्रदाताओं को कॉन्फ़िगर करना

इस सुविधा को लागू करने के कई तरीके हैं। उनमें से एक पथ निगरानी तंत्र का उपयोग करना है, जो पैन-ओएस 8.0.0 के बाद से उपलब्ध हो गया है। यह उदाहरण संस्करण 8.0.16 का उपयोग करता है। यह सुविधा सिस्को रूटर्स में आईपी एसएलए के समान है। स्थिर डिफ़ॉल्ट मार्ग के पैरामीटर में, एक विशिष्ट स्रोत पते से एक विशिष्ट आईपी पते पर पिंग पैकेट भेजना कॉन्फ़िगर किया गया है। इस स्थिति में, ईथरनेट 1/1 इंटरफ़ेस डिफ़ॉल्ट गेटवे को प्रति सेकंड एक बार पिंग करता है। यदि एक पंक्ति में तीन पिंग्स का कोई जवाब नहीं है, तो मार्ग को निष्क्रिय माना जाता है और रूटिंग टेबल से हटा दिया जाता है। उसी मार्ग को दूसरे इंटरनेट प्रदाता की दिशा में कॉन्फ़िगर किया गया है, लेकिन अधिक मैट्रिक्स के साथ (यह बैकअप है)। जैसे ही तालिका से पहला मार्ग हटा दिया जाता है, फ़ायरवॉल दूसरे मार्ग - फ़ेल-ओवर के साथ ट्रैफ़िक भेजना शुरू कर देगा। जब पहला प्रदाता पिंग का जवाब देना शुरू करता है, तो उसका मार्ग तालिका में वापस आ जाएगा और दूसरे को सर्वश्रेष्ठ मीट्रिक - फेल-बैक के कारण बदल देगा। फेल-ओवर प्रक्रिया कॉन्फ़िगर किए गए अंतराल के आधार पर कई सेकंड लेती है, लेकिन, किसी भी मामले में, प्रक्रिया तात्कालिक नहीं है, और इस समय यातायात खो जाता है। फेल-बैक यातायात के नुकसान के बिना गुजरता है। यदि आपका ISP यह विकल्प प्रदान करता है, तो BFD का उपयोग करके तेजी से फेल-ओवर करना संभव है। BFD को PA-3000 सीरीज और VM-100 के साथ शुरू किया गया है। पिंग के लिए पते के रूप में, प्रदाता के गेटवे को निर्दिष्ट करना बेहतर है, लेकिन एक सार्वजनिक, हमेशा सुलभ इंटरनेट पता।



• एक सुरंग इंटरफ़ेस बनाना

सुरंग के अंदर यातायात विशेष आभासी इंटरफेस के माध्यम से प्रेषित किया जाता है। उनमें से प्रत्येक को पारगमन नेटवर्क से आईपी पते के साथ कॉन्फ़िगर किया जाना चाहिए। इस उदाहरण में, टनल -1 के लिए सबनेट 172.16.1.0/30 का उपयोग किया जाएगा, और 172.16.2.0/30 सबनेट का उपयोग टनल -2 के लिए किया जाएगा।
सुरंग इंटरफ़ेस नेटवर्क -> इंटरफेस -> सुरंग अनुभाग में बनाया गया है। आपको वर्चुअल राउटर और सुरक्षा क्षेत्र को निर्दिष्ट करना होगा, साथ ही संबंधित ट्रांसपोर्ट नेटवर्क से आईपी एड्रेस भी। इंटरफ़ेस नंबर कोई भी हो सकता है।





उन्नत अनुभाग में, आप एक प्रबंधन प्रोफ़ाइल निर्दिष्ट कर सकते हैं जो इस इंटरफ़ेस को पिंग करने की अनुमति देता है, यह परीक्षण के लिए उपयोगी हो सकता है।



• IKE प्रोफ़ाइल कॉन्फ़िगर करें

वीपीएन कनेक्शन बनाने के पहले चरण के लिए आईकेई प्रोफाइल जिम्मेदार है; यहां, आईकेई चरण 1 सुरंग पैरामीटर निर्दिष्ट हैं। प्रोफ़ाइल नेटवर्क -> नेटवर्क प्रोफाइल -> IKE क्रिप्टो अनुभाग में बनाई गई है। आपको एन्क्रिप्शन एल्गोरिथ्म, हैशिंग, डिफी-हेलमैन समूह और प्रमुख जीवन को निर्दिष्ट करना होगा। सामान्य तौर पर, एल्गोरिदम जितना जटिल होता है, प्रदर्शन उतना ही खराब होता है, उन्हें विशिष्ट सुरक्षा आवश्यकताओं के आधार पर चुना जाना चाहिए। हालांकि, यह महत्वपूर्ण जानकारी की सुरक्षा के लिए 14 से नीचे डिफी-हेलमैन समूह का उपयोग करने के लिए दृढ़ता से हतोत्साहित है। यह प्रोटोकॉल भेद्यता के कारण है, जिसे केवल 2048 बिट्स या उच्चतर या अण्डाकार क्रिप्टोग्राफी एल्गोरिदम के एक मॉड्यूल आकार का उपयोग करके समतल किया जा सकता है, जिसका उपयोग समूह 19, 20, 21, 24 में किया जाता है। ये एल्गोरिदम पारंपरिक क्रिप्टोग्राफी के अधिक उत्पादक हैं। अधिक जानकारी यहाँ । और यहाँ ।



• IPSec प्रोफ़ाइल कॉन्फ़िगर करें

वीपीएन कनेक्शन बनाने का दूसरा चरण IPSec सुरंग है। इसके लिए SA पैरामीटर नेटवर्क -> नेटवर्क प्रोफाइल -> IPSec क्रिप्टो प्रोफ़ाइल में कॉन्फ़िगर किए गए हैं। यहां आपको IPSec प्रोटोकॉल - AH या ESP , साथ ही SA पैरामीटर - हैशिंग, एन्क्रिप्शन एल्गोरिदम, डिफी-हेलमैन समूह और प्रमुख जीवन निर्दिष्ट करने की आवश्यकता है। IKE क्रिप्टो प्रोफ़ाइल और IPSec क्रिप्टो प्रोफ़ाइल में SA सेटिंग्स मेल नहीं खा सकती हैं।



• IKE गेटवे कॉन्फ़िगर करें

एक IKE गेटवे एक ऑब्जेक्ट है जो राउटर या फ़ायरवॉल की पहचान करता है जिसके साथ एक वीपीएन सुरंग बनाया गया है। प्रत्येक सुरंग के लिए, आपको अपना खुद का IKE गेटवे बनाने की आवश्यकता है। इस मामले में, दो सुरंगें बनाई जाती हैं, प्रत्येक इंटरनेट प्रदाता के माध्यम से। इसी आउटगोइंग इंटरफेस और इसके आईपी-एड्रेस, पीयर आईपी-एड्रेस और कॉमन की का संकेत दिया गया है। आप साझा कुंजी के विकल्प के रूप में प्रमाण पत्र का उपयोग कर सकते हैं।



यह पहले से बनाए गए IKE Crypto Profile को दर्शाता है। आईपी ​​पते के अपवाद के साथ दूसरे IKE गेटवे ऑब्जेक्ट के पैरामीटर समान हैं। यदि पालो ऑल्टो नेटवर्क्स फ़ायरवॉल एक NAT राउटर के पीछे स्थित है, तो NAT ट्रेवर्सल तंत्र को सक्षम किया जाना चाहिए।



• IPSec सुरंग कॉन्फ़िगर करें

IPSec टनल एक ऐसी वस्तु है जो IPSec टनल मापदंडों को निर्दिष्ट करती है, जैसा कि नाम से ही स्पष्ट है। यहां आपको सुरंग इंटरफ़ेस को निर्दिष्ट करने और पहले से बनाए गए IKE गेटवे , IPSec क्रिप्टो प्रोफाइल ऑब्जेक्ट को निर्दिष्ट करने की आवश्यकता है। स्टैंडबाय टनल के लिए रूटिंग के स्वचालित स्विचिंग को सुनिश्चित करने के लिए, आपको टनल मॉनिटर को सक्षम करना होगा। यह एक ऐसा तंत्र है जो यह जांचता है कि क्या कोई सहकर्मी ICMP ट्रैफिक का उपयोग करके जीवित है। गंतव्य पते के रूप में, आपको सहकर्मी के सुरंग इंटरफ़ेस का आईपी पता निर्दिष्ट करना होगा जिसके साथ सुरंग का निर्माण किया जा रहा है। प्रोफ़ाइल कनेक्शन के नुकसान के मामले में टाइमर और कार्रवाई को इंगित करता है। प्रतीक्षा पुनर्प्राप्त करें - कनेक्शन बहाल होने तक प्रतीक्षा करें, विफल ओवर - किसी अन्य मार्ग पर ट्रैफ़िक भेजें, यदि कोई हो। दूसरी सुरंग का विन्यास पूरी तरह से एक जैसा है, दूसरी सुरंग का इंटरफ़ेस और IKE गेटवे इंगित किया गया है।





• रूटिंग सेटअप

यह उदाहरण स्थैतिक रूटिंग का उपयोग करता है। पीए -1 फ़ायरवॉल पर, दो डिफ़ॉल्ट मार्गों के अलावा, आपको शाखा में दो मार्गों को सबनेट 10.10.10.0/24 पर निर्दिष्ट करना होगा। एक मार्ग टनल -1, दूसरा टनल -2 का उपयोग करता है। सुरंग -1 के माध्यम से मार्ग बुनियादी है क्योंकि इसमें एक कम मीट्रिक है। इन मार्गों के लिए पथ निगरानी तंत्र का उपयोग नहीं किया जाता है। टनल मॉनिटर स्विचिंग के लिए जिम्मेदार है।



192.168.30.0/24 सबनेट के लिए समान मार्गों को PA-2 पर कॉन्फ़िगर किया जाना चाहिए।



• नेटवर्क नियमों को कॉन्फ़िगर करें

सुरंग के काम करने के लिए, आपको तीन नियम चाहिए:

1. पथ मॉनिटर काम करने के लिए, बाहरी इंटरफेस पर ICMP सक्षम करें।
2. IPSec के लिए, बाहरी इंटरफ़ेस पर ike और ipsec एप्लिकेशन सक्षम करें।
3. आंतरिक सबनेट और सुरंग इंटरफेस के बीच यातायात की अनुमति दें।

निष्कर्ष

यह आलेख विफल-सुरक्षित इंटरनेट कनेक्शन और साइट-टू-साइट वीपीएन के कॉन्फ़िगरेशन का वर्णन करता है। हमें उम्मीद है कि जानकारी उपयोगी थी, और पाठक को पालो ऑल्टो नेटवर्क्स में उपयोग की जाने वाली तकनीकों का एक विचार मिला। यदि आपके पास भविष्य के लेखों के विषयों पर अनुकूलन और सुझावों के बारे में प्रश्न हैं - तो उन्हें टिप्पणियों में लिखें, हम जवाब देने में प्रसन्न होंगे।