🚒 🎿 🎨 सिस्को और एस-टेरा का उपयोग करके dmVPN का निर्माण 🍟 👩🏼‍🚀 👫

यह सिर्फ इतना हुआ कि सख्त एन्क्रिप्शन (56 बिट्स से अधिक की लंबाई) वाले उपकरणों के आयात को आधिकारिक तौर पर कवर किया गया था। विषय पर बहुत चर्चा की गई थी, और जिनके पास पहले से ही सिस्को वीपीएन पर तैनात नेटवर्क हैं वे विशेष रूप से चिंतित नहीं हैं - वे स्पर्श नहीं करते हैं, और ठीक है। लेकिन सिस्को पर एक नए छोटे शाखा कार्यालय का आयोजन करना या मौजूदा का विस्तार करना कुछ समस्याग्रस्त हो गया (राउटर एंड-ऑफ-सेल छोड़ने के साथ-साथ एनपीई-के 9 से के 9 तक सॉफ्टवेयर बदलने और लाइसेंस एसईसी को रोल करने वाले विषयों पर विचार नहीं किया जाएगा - यह, फिर भी, अवैध है )।

एक क्लासिक dmVPN क्या है? संक्षेप में - हमारे पास केंद्रीय उपकरण है - हब और दूरस्थ नोड्स का एक गुच्छा - स्पोक, उनके बीच गतिशील रूटिंग और नए स्पोक की कॉपी-पेस्ट कॉन्फ़िगरेशन के साथ - कॉन्फ़िगरेशन में परिवर्तन न्यूनतम हैं, आपको केंद्रीय हब को छूने की आवश्यकता नहीं है, मार्ग स्वयं नेटवर्क से उड़ जाएंगे। ब्यूटी!

क्या जोड़ने और पूरा करने की आवश्यकता है ताकि सर्किट सिस्को पर काम न करे, लेकिन सिस्को प्लस एस-टेरा पर?

क्लासिक योजना इस तथ्य से जटिल है कि सिस्को के साथ एन्क्रिप्शन एक अलग डिवाइस पर किया जाता है। यह या तो सिस्को ISR राउटर में एक मॉड्यूल या एक अलग गेटवे हो सकता है।
हमारे मामले में, केंद्र में सिस्को 2851 + एमसीएम स्थापित है, और रिमोट नोड में सिस्को 1941 + HWIC-4ESW + CSP वीपीएन गेट 100।
मैं यह नोट करना चाहता हूं कि यद्यपि कनेक्शन हमेशा दूरस्थ नोड द्वारा शुरू किया जाता है, लेकिन सुरंग लगभग हर समय ओएसपीएफ के अंदर घूमने के कारण उठा रहता है।

हम सेंट्रल राउटर dmVPN हब पर आयोजित करते हैं।

!--- LoopBack
!
interface Loopback0
description -- loopback interface
ip address 172.31.100.1 255.255.255.255
!
!--- 
!
interface Tunnel0
description -- dmvpn hub S-Terra interface
bandwidth 10000
ip address 172.16.0.1 255.255.255.0
no ip redirects
ip mtu 1400
ip nhrp authentication dmvpn172
ip nhrp map multicast dynamic
ip nhrp network-id 172
ip nhrp holdtime 360
ip tcp adjust-mss 1360
ip ospf network broadcast
ip ospf priority 10
delay 1000
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 100000
!
!--- OSPF
!
router ospf 1
router-id 172.31.100.1
log-adjacency-changes
redistribute connected subnets route-map rm_conn_net
network 172.16.0.0 0.0.0.255 area 0
!
ip access-list extended acl_connected_network
remark -- redistribute networks to ospf
permit ip 192.168.0.0 0.0.0.255 any
permit ip host 172.31.100.1 any
!
route-map rm_conn_net permit 10
match ip address acl_connected_network
!
!
!--- , -.
!--- , loopback -
!
ip route 172.31.100.10 255.255.255.255 172.31.0.2 name c1941-loop
!
!--- -
!
interface Special-Services-Engine1/0
ip address 172.31.0.1 255.255.255.0
ip nat inside
ip virtual-reassembly
no keepalive
!
!--- NAT
!
ip nat inside source static udp 172.31.0.2 500 10.0.0.1 500 extendable
ip nat inside source static udp 172.31.0.2 4500 10.0.0.1 4500 extendable
!

अब क्रिप्टो-गेटवे को कॉन्फ़िगर करें। आप इसे सेवा-इंजन इंटरफ़ेस के माध्यम से एक्सेस कर सकते हैं:
c2851 # सेवा-मॉड्यूल विशेष-सेवा-इंजन 1/0 सत्र
और बाहर निकलें - Ctrl + Shift + 6 दबाकर, फिर "x" और टाइपिंग
c2851 # सेवा-मॉड्यूल विशेष-सेवा-इंजन 1/0 सत्र स्पष्ट

!
crypto isakmp identity hostname
ip host csp-c1941 10.0.0.10
hostname csp-nmervpn
!
!
crypto isakmp policy 100
hash sha
encr aes
authentication pre-share
group 2
!
crypto isakmp key dmvpn172 hostname csp-c1941
!
crypto ipsec transform-set ts_dmvpn172 esp-aes esp-sha-hmac
!
ip access-list extended acl_crypto
permit gre host 172.31.100.1 any
!
crypto dynamic-map dm_vpn 100
match address acl_crypto
set transform-set ts_dmvpn172
!
crypto map cm_vpn 100 ipsec-isakmp dynamic dm_vpn
!
interface FastEthernet0/0
ip address 172.31.0.2 255.255.255.0
crypto map cm_vpn
!
ip route 0.0.0.0 0.0.0.0 172.31.0.1
!

कुल: पैकेट राउटर पर आता है, सुरंग इंटरफ़ेस पर जीआरई में पैक किया जाता है, क्रिप्टो-गेटवे को भेजा जाता है, क्रिप्टो-गेटवे जीआरई को एन्क्रिप्ट करता है और इसे सिस्को 2851 में वापस फेंक देता है, जहां एनएटी से गुजरता है और सार्वजनिक नेटवर्क पर उड़ान भरता है।

फिर वह सिस्को 1941 में आता है, और सिस्को 2851 पर उसी तरह जाता है, केवल रिवर्स ऑर्डर में।

!--- LoopBack
!
interface Loopback0
description -- router id
ip address 172.31.100.10 255.255.255.255
!
!--- 
!
interface Tunnel0
description -- dmvpn spoke interface
bandwidth 10000
ip address 172.16.0.10 255.255.255.0
no ip redirects
ip mtu 1400
ip nhrp authentication dmvpn172
ip nhrp map 172.16.0.1 172.31.100.1
ip nhrp map multicast 172.31.100.1
ip nhrp network-id 172
ip nhrp nhs 172.16.0.1
ip tcp adjust-mss 1360
ip ospf network broadcast
ip ospf priority 0
delay 1000
tunnel source Loopback0
tunnel mode gre multipoint
tunnel key 100000
!
!--- -
!
interface Vlan2
description -- to S-Terra Gate100
ip address 172.31.10.1 255.255.255.0
ip nat inside
!
!--- 0/0/0 VPN Gate 100
!
interface FastEthernet0/0/0
description -- to S-Terra Gate100
switchport access vlan 2
!
!--- –
!
interface FastEthernet0/0/1
description -- local net
!
interface FastEthernet0/0/2
description -- local net
!
interface FastEthernet0/0/3
description -- local net
!
interface Vlan1
description -- to local net
ip address 192.168.10.1 255.255.255.0
ip nat inside
!
!--- OSPF
!
router ospf 2
router-id 172.31.100.10
log-adjacency-changes
redistribute connected subnets route-map rm_conn_net
network 172.16.0.0 0.0.0.255 area 0
!
ip access-list extended acl_conn_net
remark -- redistribute networks to ospf
permit ip 192.168.10.0 0.0.0.255 any
permit ip host 172.31.100.10 any
!
route-map rm_conn_net permit 10
match ip address acl_conn_net
!
!--- NAT
!
ip nat inside source static udp 172.31.10.2 500 10.0.0.10 500 extendable
ip nat inside source static udp 172.31.10.2 4500 10.0.0.10 4500 extendable
!

अब यह CSP VPN गेट 100 को कॉन्फ़िगर करने के लिए बना हुआ है:

!
crypto isakmp identity hostname
ip host csp-nmervpn 10.0.0.1
hostname csp-c1941
!
crypto isakmp policy 100
hash sha
encr aes
authentication pre-share
group 2
!
crypto isakmp key dmvpn172 hostname csp-nmervpn
!
crypto ipsec transform-set ts_dmvpn172 esp-aes esp-sha-hmac
!
ip access-list extended acl_crypto
permit gre host 172.31.100.10 host 172.31.100.1
!
crypto map cm_vpn 100 ipsec-isakmp
match address acl_crypto
set transform-set ts_dmvpn172
set peer 10.0.0.1
!
interface FastEthernet0/1
description – to c1941-1
ip address 172.31.10.1 255.255.255.0
crypto map cm_vpn
!
ip route 0.0.0.0 0.0.0.0 172.31.10.1
!
crypto isakmp peer address 10.0.0.1
set aggressive-mode client-endpoint ipv4-address 10.0.0.1
!

अब, जब उपकरण चालू होते हैं, तो ओएसपीएफ सुरंगों, विनिमय मार्गों को बढ़ाएगा, और एक नेटवर्क के उपयोगकर्ता दूसरे के उपयोगकर्ताओं तक सफलतापूर्वक पहुंचने में सक्षम होंगे।

दुर्भाग्य से, इस योजना के साथ, स्पोक को जोड़ने पर एक छोटे हब सेटअप की आवश्यकता के आसपास कोई रास्ता नहीं है - इसलिए, dmVPN का आकर्षण कुछ हद तक खो गया है। हालांकि, क्लासिक साइट-टू-साइट की तुलना में अनुकूलन का पैमाना बहुत छोटा है और यह अच्छी खबर है।

अंत में, मैं यह कहना चाहूंगा कि सिस्को की तरह सीएलआई एस-टेरा केवल कमांडों का एक दुभाषिया है, जो तब अपने सभी उपकरणों पर स्थापित लिनक्स के लिए कमांड में अनुवादित होते हैं। इंटरप्रेटर का काम काफी विशिष्ट है, हालांकि, एस-टेरा का तकनीकी समर्थन काफी उत्तरदायी है और कुछ गलत होने पर मदद कर सकता है।

तैयारी में, हमने cisco.com और s-terra.com की सामग्रियों का उपयोग किया, साथ ही एस-टेरा से तकनीकी सहायता के साथ पत्राचार किया।

सिस्को और एस-टेरा का उपयोग करके dmVPN का निर्माण

More articles: