GOST के अनुसार एन्क्रिप्ट किया गया: ट्रैफ़िक की डायनामिक रूटिंग स्थापित करने पर मेमो

यदि आपकी कंपनी कानून के अनुसार सुरक्षा के लिए नेटवर्क व्यक्तिगत डेटा और अन्य गोपनीय जानकारी को हस्तांतरित या प्राप्त करती है, तो इसे GOST के अनुसार एन्क्रिप्शन लागू करना आवश्यक है। आज हम आपको बताएंगे कि कैसे हमने ग्राहकों में से एक पर एस-टेरा क्रिप्टो-गेटवे (केएस) के आधार पर इस तरह के एन्क्रिप्शन को लागू किया। यह कहानी सुरक्षा विशेषज्ञों, साथ ही इंजीनियरों, डिजाइनरों और वास्तुकारों के लिए दिलचस्प होगी। हम इस पोस्ट में तकनीकी कॉन्फ़िगरेशन की बारीकियों में गहराई से नहीं उतरेंगे - हम मूल सेटअप के प्रमुख बिंदुओं पर ध्यान केंद्रित करेंगे। लिनक्स ओएस डेमोंस को कॉन्फ़िगर करने पर भारी मात्रा में प्रलेखन, जिस पर एस-टेरा केएस आधारित है, इंटरनेट पर स्वतंत्र रूप से उपलब्ध है। एस-टेरा मालिकाना सॉफ्टवेयर कॉन्फ़िगरेशन प्रलेखन भी सार्वजनिक रूप से निर्माता के पोर्टल पर उपलब्ध है।

परियोजना के बारे में कुछ शब्द

ग्राहक की नेटवर्क टोपोलॉजी विशिष्ट थी - केंद्र और शाखाओं के बीच पूर्ण जाल। सभी साइटों के बीच सूचना विनिमय चैनलों के एन्क्रिप्शन को पेश करना आवश्यक था, जिनमें से 8 टुकड़े थे।

आमतौर पर, ऐसी परियोजनाओं में, सब कुछ स्थिर होता है: क्रिप्टो-गेटवे (केएस) पर, स्थैतिक मार्गों को साइट के स्थानीय क्षेत्र नेटवर्क पर सेट किया जाता है, एन्क्रिप्शन के लिए आईपी पते (एसीएल) की सूची लिखी जाती है। हालांकि, इस मामले में, साइटों का केंद्रीकृत प्रबंधन नहीं होता है, और उनके स्थानीय नेटवर्क के अंदर कुछ भी हो सकता है: नेटवर्क को हर तरह से जोड़ा, हटाया और संशोधित किया जा सकता है। साइटों पर स्थानीय नेटवर्क के पते को बदलते समय KS करने के लिए राउटिंग और ACLs के पुन: विभाजन से बचने के लिए, GRE टनलिंग और डायनेमिक रूटिंग OSPF का उपयोग करने का निर्णय लिया गया था, जिसमें साइटों पर नेटवर्क कोर स्तर के सभी KS और अधिकांश राउटर शामिल हैं (कुछ साइटों पर, बुनियादी ढांचे के प्रशासक पसंदीदा थे। SNAT का उपयोग कर्नेल राउटर की दिशा में करें)।

जीआरई टनलिंग ने दो समस्याओं को हल किया:
1. बाहरी केएस इंटरफेस के आईपी पते को एन्क्रिप्शन के लिए एसीएल में उपयोग करें, जिसमें अन्य साइटों पर भेजे गए सभी ट्रैफ़िक को एनकैप्सुलेट किया गया है।
2. केएस के बीच ptp सुरंगों को व्यवस्थित करें, जो आपको डायनामिक रूटिंग को कॉन्फ़िगर करने की अनुमति देता है (हमारे मामले में, प्रदाता एमपीएलएस एल 3 वीपीएन साइटों के बीच आयोजित किया जाता है)।

ग्राहक ने एन्क्रिप्शन को सेवा के रूप में लागू करने का आदेश दिया। अन्यथा, उसे न केवल क्रिप्टो-गेटवे का समर्थन करना होगा या कुछ संगठन को आउटसोर्स करना होगा, बल्कि स्वतंत्र रूप से एन्क्रिप्शन प्रमाण पत्र के जीवन चक्र की निगरानी करना होगा, उन्हें समय में नवीनीकृत करना होगा और नए स्थापित करना होगा।

और अब मेमो ही - हमने कैसे और क्या स्थापित किया

KII विषय नोट: हम एक क्रिप्टो-गेटवे कॉन्फ़िगर करते हैं

बेसिक नेटवर्क सेटअप

सबसे पहले, हम एक नया कैश लॉन्च करते हैं और प्रशासन कंसोल में आते हैं। आपको अंतर्निहित व्यवस्थापक - परिवर्तन उपयोगकर्ता पासवर्ड व्यवस्थापक कमांड के पासवर्ड को बदलकर शुरू करना चाहिए। तब लाइसेंस प्रक्रिया ( इनिशियलाइज़ कमांड) को अंजाम देना आवश्यक होता है, जिस प्रक्रिया में लाइसेंस डेटा दर्ज किया जाता है और रैंडम नंबर सेंसर (DSN) को इनिशियलाइज़ किया जाता है।

ध्यान दो! जब एस-टेरा केएस को आरंभीकृत किया जाता है, तो एक सुरक्षा नीति स्थापित की जाती है जिसमें सुरक्षा गेटवे इंटरफेस पैकेट को पारित नहीं करते हैं। आपको या तो अपनी नीति बनानी चाहिए, या पूर्वनिर्धारित अनुमति नीति को सक्रिय करने के लिए csconf_mgr सक्रिय कमांड का उपयोग करना चाहिए।
अगला, आपको बाहरी और आंतरिक इंटरफेस के पते को कॉन्फ़िगर करने की आवश्यकता है, साथ ही साथ डिफ़ॉल्ट मार्ग भी। कैश के नेटवर्क कॉन्फ़िगरेशन के साथ काम करना और सिस्को-जैसे कंसोल के माध्यम से एन्क्रिप्शन को कॉन्फ़िगर करना बेहतर है। इस कंसोल को सिस्को IOS कमांड के समान कमांड दर्ज करने के लिए डिज़ाइन किया गया है। सिस्को-जैसे कंसोल का उपयोग करके बनाए गए कॉन्फ़िगरेशन, बदले में ओएस डेमॉन के साथ काम करने वाली संगत कॉन्फ़िगरेशन फ़ाइलों में परिवर्तित हो जाती है। आप कॉन्फ़िगर कमांड के साथ प्रशासन कंसोल से सिस्को-जैसे कंसोल पर जा सकते हैं।

अंतर्निहित उपयोगकर्ता cscons के लिए पासवर्ड बदलें और सक्षम करें:

> सक्षम करें
पासवर्ड: csp (पूर्वनिर्धारित)
#configure टर्मिनल
#username cscons विशेषाधिकार 15 गुप्त 0 # खोज योग्य गुप्त 0 मूल नेटवर्क कॉन्फ़िगरेशन सेट करें:

#interface गीगाबिट ईथरनेट 0/0
#ip पता 10.111.21.3 255.255.255.0
# बंद
#interface GigabitE ईथरनेट0 / 1
# पता 192.168.2.5 255.255.255.252
# बंद
# रूट रूट 0.0.0.0 0.0.0.0 10.111.21.254

जीआरई

हम सिस्को-जैसे कंसोल से बाहर निकलते हैं और सिस्टम कमांड के साथ डेबियन शेल में जाते हैं। रूटवॉच कमांड के साथ रूट उपयोगकर्ता के लिए अपना पासवर्ड सेट करें।
प्रत्येक साइट के लिए एक अलग सुरंग प्रत्येक केएसएच पर कॉन्फ़िगर की गई है। सुरंग इंटरफ़ेस को / etc / नेटवर्क / इंटरफेस फ़ाइल में कॉन्फ़िगर किया गया है। IP सुरंग उपयोगिता, जो iproute2 के पूर्वनिर्धारित सेट का हिस्सा है, इंटरफ़ेस बनाने के लिए जिम्मेदार है। इंटरफ़ेस बनाने की कमांड प्री-अप विकल्प में लिखी गई है।

एक विशिष्ट सुरंग इंटरफ़ेस का उदाहरण विन्यास:
ऑटो साइट 1
iface site1 इनसेट स्थिर
पता 192.168.1.4
netmask 255.255.255.254
प्री-अप आईपी सुरंग जोड़ने साइट 1 मोड gre स्थानीय 10.111.21.3 दूरस्थ 10.111.22.3 कुंजी hfLYEg ^ vCh6p

ध्यान दो! यह ध्यान दिया जाना चाहिए कि सुरंग इंटरफ़ेस सेटिंग्स अनुभाग के बाहर स्थित होनी चाहिए

### netifcfg- शुरू ###
*****
### नेटिफकग-एंड ###

अन्यथा, सिस्को-जैसे कंसोल के माध्यम से भौतिक इंटरफेस की नेटवर्क सेटिंग्स को बदलते समय ये सेटिंग्स मिटा दी जाएंगी।

गतिशील रूटिंग

एस-टेरा में, क्वागा सॉफ्टवेयर पैकेज का उपयोग करके डायनामिक रूटिंग को लागू किया जाता है। OSPF को कॉन्फ़िगर करने के लिए, हमें ज़ेबरा और ospfd डेमॉन को सक्षम और कॉन्फ़िगर करना होगा। ज़ेबरा डेमन रूटिंग डेमन और ओएस के बीच बातचीत के लिए जिम्मेदार है। Ospfd डेमॉन, जैसा कि नाम से पता चलता है, OSPF प्रोटोकॉल को लागू करने के लिए जिम्मेदार है।
OSPF को डेमॉन कंसोल या सीधे /etc/quagga/ospfd.conf कॉन्फ़िगरेशन फ़ाइल के माध्यम से कॉन्फ़िगर किया गया है। डायनामिक रूटिंग में शामिल सभी भौतिक और सुरंग इंटरफेस को फ़ाइल में जोड़ा जाता है, और नेटवर्क की घोषणा की जाती है जो घोषणा की जाएगी और घोषणाएं प्राप्त करेंगे।

Ospfd.conf में जोड़ने के लिए एक उदाहरण विन्यास:
इंटरफ़ेस eth0
!
इंटरफ़ेस eth1
!
इंटरफ़ेस साइट 1
!
इंटरफ़ेस साइट 2
राउटर ospf
ospf राउटर-आईडी 192.168.2.21
नेटवर्क 192.168.1.4/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.1.16/31 क्षेत्र 0.0.0.0
नेटवर्क 192.168.2.4/30 क्षेत्र 0.0.0.0

इस स्थिति में, पते 192.168.1.x / 31 साइट के बीच ptp सुरंग नेटवर्क के लिए आरक्षित हैं, पते 192.168.2.x / 30 CABG और कोर राउटर के बीच पारगमन नेटवर्क के लिए आवंटित किए जाते हैं।

ध्यान दो! बड़े प्रतिष्ठानों में राउटिंग टेबल को कम करने के लिए, आप बिना किसी पुनर्वितरण से जुड़े या मार्ग- निर्मित निर्माणों के पुनर्वितरण के उपयोग के पारगमन नेटवर्क की घोषणा को स्वयं फ़िल्टर कर सकते हैं।

डेमॉन स्थापित करने के बाद, आपको डेमॉन लॉन्च स्थिति को / etc / quagga / डेमॉन में बदलने की आवश्यकता है। विकल्पों में ज़ेबरा और ospfd हाँ के लिए कोई ठीक नहीं। अद्यतन- rc.d quagga सक्षम कमांड के साथ कैश शुरू करते समय, क्वाग डेमॉन को चलाएं और इसका ऑटोरन सेट करें ।

यदि जीआरई सुरंगों और ओएसपीएफ को सही ढंग से कॉन्फ़िगर किया गया है, तो अन्य साइटों के नेटवर्क के मार्गों को केएस और कर्नेल राउटर पर दिखाई देना चाहिए, और इस प्रकार स्थानीय नेटवर्क के बीच नेटवर्क कनेक्टिविटी उत्पन्न होती है।

हम प्रेषित यातायात को एन्क्रिप्ट करते हैं

जैसा कि पहले ही उल्लेख किया गया है, जब साइटों के बीच एन्क्रिप्ट करते हैं, तो हम आमतौर पर आईपी एड्रेस रेंज (एसीएल) निर्दिष्ट करते हैं, जिसके बीच ट्रैफिक एन्क्रिप्ट किया जाता है: यदि स्रोत और गंतव्य पते इन सीमाओं में आते हैं, तो उनके बीच का ट्रैफिक एन्क्रिप्ट किया जाता है। हालांकि, इस परियोजना में, संरचना गतिशील है और पते बदल सकते हैं। चूंकि हमने पहले ही जीआरई टनलिंग की स्थापना कर ली है, इसलिए हम बाहरी केएस पते को यातायात एन्क्रिप्शन के लिए स्रोत और गंतव्य पते के रूप में निर्दिष्ट कर सकते हैं - क्योंकि एन्क्रिप्शन के लिए जीआरई प्रोटोकॉल द्वारा पहले से ही ट्रैफ़िक आता है। दूसरे शब्दों में, एक साइट के स्थानीय नेटवर्क से कैश में प्रवेश करने वाली सभी चीजें जो अन्य साइटों द्वारा घोषित नेटवर्क में एन्क्रिप्ट की गई थीं। और पहले से ही प्रत्येक साइट के भीतर किसी भी अग्रेषण का प्रदर्शन किया जा सकता है। इस प्रकार, स्थानीय नेटवर्क में किसी भी परिवर्तन के साथ, यह व्यवस्थापक के लिए उसके नेटवर्क से माध्यमिक विद्यालय की दिशा में जाने वाली घोषणाओं को संशोधित करने के लिए पर्याप्त है, और यह अन्य साइटों के लिए उपलब्ध हो जाएगा।

S-Terra KS में एन्क्रिप्शन IPSec प्रोटोकॉल का उपयोग करके किया जाता है। हम GOST R 34.12-2015 के अनुसार ग्रासहॉपर एल्गोरिथ्म का उपयोग करते हैं, और पुराने संस्करणों के साथ संगतता के लिए, GOST 28147-89 का उपयोग किया जा सकता है। प्रमाणीकरण तकनीकी रूप से पूर्वनिर्धारित कुंजी (PSK) और प्रमाणपत्र दोनों पर किया जा सकता है। फिर भी, औद्योगिक संचालन में GOST R 34.10-2012 के अनुसार जारी किए गए प्रमाण पत्र का उपयोग करना आवश्यक है।

सर्टिफिकेट, कंटेनर और CRLs के साथ सर्टिफिकेट का उपयोग करके किया जाता है। सबसे पहले, cert_mgr create कमांड का उपयोग करते हुए, आपको एक निजी कुंजी कंटेनर और एक प्रमाणपत्र अनुरोध बनाने की आवश्यकता होती है, जिसे प्रमाणपत्र प्रबंधन केंद्र को भेजा जाएगा। प्रमाण पत्र प्राप्त करने के बाद, इसे CA और CRL (यदि उपयोग किया जाता है) के मूल प्रमाण पत्र के साथ cert_mgr आयात कमांड के साथ आयात किया जाना चाहिए। आप यह सत्यापित कर सकते हैं कि सभी प्रमाणपत्र और CRL सर्टिफ़िकेट_मगर शो कमांड के साथ स्थापित हैं।

सफलतापूर्वक प्रमाण पत्र स्थापित करने के बाद, IPSec को कॉन्फ़िगर करने के लिए सिस्को-जैसे कंसोल पर जाएं।
हम एक IKE नीति बनाते हैं, जो बनाए गए सुरक्षित चैनल के वांछित एल्गोरिदम और मापदंडों को निर्दिष्ट करता है, जिसे अनुमोदन के लिए भागीदार को पेश किया जाएगा।

# क्रिप्टो isakmp नीति 1000 है
#encr gost341215k
# शाह gost341112-512-tc26
# संकेत
# समूह vko2
# लाइफटाइम 3600

IPSec के पहले चरण का निर्माण करते समय यह नीति लागू होती है। पहले चरण का सफल समापन एसए (सुरक्षा संघ) की स्थापना है।
अगला, हमें एन्क्रिप्शन के लिए स्रोत और गंतव्य आईपी पते (एसीएल) की एक सूची को परिभाषित करने की आवश्यकता है, एक ट्रांसफ़ॉर्म सेट बनाएं, एक क्रिप्टोग्राफ़िक मानचित्र (क्रिप्टो मैप) बनाएं और इसे सीएबी के बाहरी इंटरफ़ेस से बांधें।

एसीएल सेट करें:
#ip प्रवेश-सूची विस्तारित साइट 1
#permit gre होस्ट 10.111.21.3 होस्ट 10.111.22.3

परिवर्तनों का एक सेट (और साथ ही पहले चरण के लिए, हम अनुकार मोड का उपयोग करके ग्रासहॉपर एन्क्रिप्शन एल्गोरिथ्म का उपयोग करते हैं):

# क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट GOST esp-gost341215k-mac

एक क्रिप्टो मानचित्र बनाएँ, ACL निर्दिष्ट करें, सेट और पीयर एड्रेस बदलें:

# क्रिप्टो नक्शा MAIN 100 ipsec-isakmp
# पता पता साइट 1
#सेट ट्रांसफ़ॉर्म-सेट GOST
#सेट पीयर 10.111.22.3

हम CABG के बाहरी इंटरफ़ेस में क्रिप्टो मैप संलग्न करते हैं:

#interface गीगाबिट ईथरनेट 0/0
#ip पता 10.111.21.3 255.255.255.0
# क्रिप्टो नक्शा MAIN

अन्य साइटों के साथ चैनलों को एन्क्रिप्ट करने के लिए, आपको एसीएल और क्रिप्टो कार्ड बनाने की प्रक्रिया को दोहराना होगा, एसीएल, आईपी पते और क्रिप्टो कार्ड नंबर का नाम बदलना होगा।

ध्यान दो! यदि CRL प्रमाणपत्र सत्यापन का उपयोग नहीं किया जाता है, तो यह स्पष्ट रूप से निर्दिष्ट किया जाना चाहिए:

# क्रिप्टो पकी ट्रस्टपॉइंट s-terra_technological_trustpoint
# निरसन-जाँच कोई नहीं

इस पर सेटिंग को पूर्ण माना जा सकता है। सिस्को-जैसे कंसोल कमांड का आउटपुट क्रिप्टो आइसकम्प सा दिखाता है और क्रिप्टो ipsec सा दिखाता है IPSec के पहले और दूसरे चरण के निर्माण को प्रतिबिंबित करना चाहिए। डेबियन शेल से निष्पादित sa_mgr शो कमांड का उपयोग करके समान जानकारी प्राप्त की जा सकती है। Cert_mgr शो कमांड के आउटपुट को दूरस्थ साइट प्रमाणपत्र प्रदर्शित करना चाहिए । ऐसे प्रमाणपत्रों की स्थिति दूरस्थ होगी। इस घटना में कि सुरंगें नहीं बनी हैं, आपको वीपीएन सेवा लॉग को देखने की जरूरत है, जो /var/log/cspvpngate.log फ़ाइल में संग्रहीत है। दस्तावेज़ में उनकी सामग्री के विवरण के साथ लॉग फ़ाइलों की पूरी सूची उपलब्ध है।

सिस्टम के "स्वास्थ्य" की निगरानी करें

एस-टेरा केएस निगरानी के लिए मानक स्नैम्प डेमॉन का उपयोग करता है। विशिष्ट लिनक्स मापदंडों के अलावा, बॉक्स से बाहर S-Terra CISCO-IPSEC-FLOW-MONITOR-MIB के अनुसार IPSec सुरंगों के आउटपुट का समर्थन करता है, जो कि I I Iecec सुरंगों की स्थिति की निगरानी के लिए उपयोग होता है। कस्टम ओआईडी की कार्यक्षमता भी समर्थित है, स्क्रिप्ट के मूल्यों को मान के रूप में। यह सुविधा हमें प्रमाणपत्रों की समाप्ति तिथियों को ट्रैक करने की अनुमति देती है। लिखित स्क्रिप्ट cert_mgr शो कमांड के आउटपुट को पार्स करता है और परिणामस्वरूप स्थानीय और रूट प्रमाणपत्रों की समाप्ति से पहले दिनों की संख्या देता है। यह तकनीक बड़ी संख्या में CABG के प्रशासन के लिए अपरिहार्य है

इस तरह के एन्क्रिप्शन का साइमस क्या है

ऊपर वर्णित सभी कार्यक्षमता "बॉक्स से बाहर" केएस एस-टेरा समर्थित है। यही है, किसी भी अतिरिक्त मॉड्यूल को स्थापित करना आवश्यक नहीं था जो क्रिप्टो-गेटवे के प्रमाणन और संपूर्ण सूचना प्रणाली के प्रमाणन को प्रभावित कर सकता है। इंटरनेट के माध्यम से भी साइटों के बीच चैनल किसी भी हो सकते हैं।

इस तथ्य के कारण कि जब आंतरिक बुनियादी ढांचे को बदलना क्रिप्टो-गेटवे को फिर से कॉन्फ़िगर करने के लिए आवश्यक नहीं है, तो सिस्टम एक सेवा के रूप में काम करता है , जो ग्राहक के लिए बहुत सुविधाजनक है: वह अपनी सेवाओं (क्लाइंट और सर्वर) को किसी भी पते पर रख सकता है, और एन्क्रिप्शन उपकरणों के बीच सभी परिवर्तनों को गतिशील रूप से स्थानांतरित किया जाता है।

बेशक, ओवरहेड के कारण एन्क्रिप्शन डेटा ट्रांसफर दर को प्रभावित करता है, लेकिन महत्वपूर्ण रूप से नहीं - चैनल बैंडविड्थ अधिकतम 5-10% तक कम कर सकता है। इसके अलावा, प्रौद्योगिकी का परीक्षण किया गया था और उपग्रह चैनलों पर भी अच्छे परिणाम दिखाए गए थे, जो कि अस्थिर हैं और कम बैंडविड्थ हैं।

रोस्तेलकॉम सोलर के प्रशासन की दूसरी पंक्ति के इंजीनियर इगोर विनोखोदोव