लघु और स्पष्ट: फ्लेक्स वीपीएन

इस लेख का उद्देश्य वीपीएन कनेक्शन बनाने के अपेक्षाकृत नए तरीके - फ्लेक्स वीपीएन और इसके आधार के रूप में प्रमुख वार्ता प्रोटोकॉल IKEv2 के साथ पाठक के सतही परिचित की तुलना में थोड़ा गहरा है। यहां मैं IKEv2 और फ्लेक्स वीपीएन के लाभों पर विचार करने और साइट-टू-साइट वीपीएन कॉन्फ़िगरेशन के उदाहरण देने की कोशिश करूंगा।

मैं खुद इस विषय का प्रमुख विशेषज्ञ नहीं हूं, इसलिए मैं माफी मांगता हूं कि अगर कुछ पूरी तरह से प्रकाशित नहीं हुआ है।

एक बहुत छोटा परिचय।

I nternet P रोटोकॉल सेक्यूरिटी एक प्रोटोकॉल सूट है जिसमें शामिल हैं:
o प्रमाणीकरण हेडर्स (AH) - स्रोत प्रमाणीकरण और पैकेट अखंडता नियंत्रण
ओ एनकैप्सुलेटिंग सिक्योरिटी पेलोड (ईएसपी) - वास्तव में, डेटा एन्क्रिप्शन
o सुरक्षा संघ (SA) - प्रोटोकॉल जो आवश्यक जानकारी (एक प्रकार का समर्थन) के साथ AH और ESP प्रदान करते हैं।

IKEv2, साथ ही IKEv1, ISAKMP और अन्य के एक जोड़े, कम प्रसिद्ध, एसए प्रोटोकॉल समूह का सिर्फ एक हिस्सा हैं। IKEv2 का मिशन ISAKMP ढांचे के भीतर प्रमाणित महत्वपूर्ण समझौता प्रदान करना है। IETF पहले से ही काफी दूर 2005 (IKEv1 - 1998) में प्रकाशित हुआ था, RFC 5996 (सितंबर 2010) में उपलब्ध सभी परिवर्धन के साथ एक पूर्ण विवरण।

IKEv2 के लाभ

सरलीकृत संदेश
सुरक्षित डेटा विनिमय शुरू करने के लिए, केवल 4 आवश्यक हैं (सबसे सरल स्थिति में):
सर्जक IKE_SA_INIT में क्रिप्टोग्राफिक एल्गोरिथ्म होता है जिसमें सर्जक द्वारा प्रस्तावित किया जाता है, आरंभकर्ता प्रमुख विनिमय सामग्री (डिफी-हेलमैन के अनुसार), और सर्जक नॉन टाइमस्टैम्प।
उत्तरदाता के IKE_SA_INIT में उत्तरदाता द्वारा चयनित क्रिप्टोग्राफ़िक एल्गोरिथ्म, उत्तरदाता की प्रमुख विनिमय सामग्री, उत्तरदाता का टाइमस्टैम्प और वैकल्पिक रूप से एक प्रमाणपत्र अनुरोध शामिल होता है।
सर्जक / उत्तरदाता का IKE_AUTH - पहचानकर्ता, प्रमाण पत्र और अन्य आवश्यक जानकारी पहले से ही एन्क्रिप्टेड रूप में और अखंडता संरक्षण के साथ प्रेषित की जाती हैं।

बढ़ी हुई विश्वसनीयता
सभी कार्यों को अब वीपीएन कनेक्शन के दूसरी तरफ से पुष्टि की आवश्यकता होती है। इस प्रकार, DeadPeerDetection कार्यान्वित किया जाता है।

DDoS हमलों के खिलाफ बेहतर सुरक्षा
एक फायदा जो कई विशेषज्ञ आधुनिक वास्तविकताओं में कुंजी को कहते हैं।
इस तथ्य के कारण कि सभी कार्यों को अब वीपीएन कनेक्शन के दूसरी तरफ से पुष्टि की आवश्यकता होती है, हमले वाले डिवाइस पर बड़ी संख्या में आधे-खुले सत्र नहीं बनाए जा सकते हैं।
तथाकथित एंटी-क्लॉगिंग कुकीज़।

(सिस्को एक्सपो 2012 से छवि)

ये वही कुकीज़ वीपीएन एजेंटों के कंप्यूटिंग संसाधनों का उपयोग करने की दक्षता को बढ़ाती हैं।

और, अंत में, स्मार्ट डिफॉल्ट्स एक बान है जो डिफ़ॉल्ट मापदंडों का उपयोग करके कॉन्फ़िगर लाइनों की संख्या को कम करता है, जो, इसके अलावा, अनुकूलित किया जा सकता है।

उपरोक्त सभी के अलावा, आज तक, कई IKEv2 एक्सटेंशन दिखाई दिए हैं, जिनमें मोबिलिटी और मल्टीहोमिंग प्रोटोकॉल (MOBIKE), रीडायरेक्ट मैकेनिज्म, क्विक क्रैश डिटेक्शन मेथड और कुछ अन्य शामिल हैं।

अब सीधे फ्लेक्स वीपीएन के बारे में

नए कपड़े के साथ FlexVPN पुराने दोस्त पर है। यह अभी भी आपको सभी शांत चीजों को करने की अनुमति देता है लेकिन बेहतर तरीके से।

सिस्को एक्सपो 2012 से फिर से तस्वीर - फ्लेक्स वीपीएन विशेषताएं:


विभिन्न वीपीएन समाधानों के एक बगीचे को ढेर करने के बाद, बुद्धिमान मानवता अपने होश में आई, एक ढेर में उपयोगी सभी इकट्ठा किया और, समय में IKEv2 के साथ सशस्त्र, एकल, अखंड आकृति को अंधा कर दिया, बिना कबाड़ और गंदगी के, कंघी और धोया। यह फ्लेक्स वीपीएन का सार और प्रासंगिकता है। सॉलिडिटी से मेरा मतलब है कि CLI कमांड का एक सेट।
लेकिन यहाँ कमी आती है: IKEv1 के साथ पूर्ण असंगति।
चूंकि कुछ भी मौलिक रूप से नया फ्लेक्स वीपीएन नहीं देता है, इसलिए पहले से लागू समाधानों को रीमेक करने के लिए जल्दी करने की आवश्यकता नहीं है। इसके अलावा, कार्यान्वयन अभी भी नम है: घोषित ikev2 समर्थन के साथ सभी iOS फ्लेक्स vpn इंटरैक्शन के सभी विकल्पों को सही ढंग से निष्पादित नहीं करेंगे।
हालांकि, सिस्को दृढ़ता से अनुशंसा करता है कि आप सभी नए प्रतिष्ठानों में फ्लेक्स वीपीएन का उपयोग करें।

फ्लेक्स वीपीएन का समर्थन करने वाले हार्डवेयर की सूची:
सेकंड-के -9 या hsec-k9 लाइसेंस के साथ दूसरी पीढ़ी के आईएसआर (१ ९ एक्सएक्सएक्स, २ ९एक्सएक्स, ३ ९एक्सएक्स);
- 7200;
- एएसआर 1000।

आधिकारिक तौर पर, iOS 15.2 (2) टी के बाद से फ्लेक्स वीपीएन का समर्थन किया गया है।

अगला, मैं सबसे सरल विकल्प के कॉन्फ़िगरेशन का एक उदाहरण दूंगा - साइट-टू-साइट vpn स्मार्ट चूक का उपयोग करके।



site1:

क्रिप्टो ikev2 कीरिंग ikev2-kr
सहकर्मी Site2
पता 172.16.2.2
पूर्व-साझा-कुंजी स्थानीय cisco123
पूर्व-साझा-कुंजी रिमोट 123cisco

क्रिप्टो ikev2 प्रोफ़ाइल डिफ़ॉल्ट
मैच पहचान रिमोट पता 172.16.2.2 255.255.255.255
प्रमाणीकरण स्थानीय पूर्व-शेयर
प्रमाणीकरण रिमोट प्री-शेयर
कीकिंग स्थानीय ikev2-kr

इंटरफ़ेस सुरंग 0
आईपी ​​एड्रेस 10.10.0.1 255.255.255.252
सुरंग स्रोत ईथरनेट0 / 1
सुरंग गंतव्य 172.16.2.2
सुरंग संरक्षण ipsec प्रोफ़ाइल डिफ़ॉल्ट

आईपी ​​मार्ग 192.168.2.0 255.255.255.0 सुरंग 0

साइट 2 कॉन्फ़िगरेशन सममित है।

जैसा कि हम देखते हैं, एन्क्रिप्शन, ट्रांसफ़ॉर्म-सेट, एसएलएल, डिफी-हेलमैन समूह डिफ़ॉल्ट रूप से सेट किए गए थे - एक आईटी विशेषज्ञ का सपना जो परिचित नहीं है और क्रिप्टोग्राफी से परिचित नहीं होना चाहता है। उपकरण खुद से बातचीत करता है।
उसी समय, यदि कनेक्शन के एक छोर पर सेटिंग्स स्मार्ट डिफ़ॉल्ट पर सेट की जाती हैं, और दूसरे छोर पर एक मेहनती प्रशासक के हाथों से, इसका मतलब यह बिल्कुल नहीं है कि क्रिप्टो सत्र स्थापित नहीं किया जा सकता है।
वह बात है।
स्मार्ट डिफॉल्ट्स संभावित मापदंडों का एक पूरा सेट है, जो अंततः सहमत होने से पहले उपकरणों को बायपास करता है।

पूर्व निर्धारित मूल्य:

एन्क्रिप्शन: एईएस-सीबीसी 256, 192, 128, 3 डीईएस
हैश: SHA-512,384,256, SHA-1, MD5
डिफी-हेलमैन समूह: समूह 5, 2

क्रिप्टो ikev2 नीति: किसी भी मैच

ट्रांसफ़ॉर्म-सेट: AES-128, 3DES / SHA, MD5
क्रिप्टो ipsec प्रोफ़ाइल डिफ़ॉल्ट: डिफ़ॉल्ट ट्रांसफ़ॉर्म सेट, ikev2 प्रोफ़ाइल डिफ़ॉल्ट

यह केवल डिफ़ॉल्ट नाम के साथ IKEv2 प्रोफ़ाइल को पंजीकृत करने के लिए बना हुआ है।

बातचीत करने वाले पक्ष एक ट्री ट्रैवर्सल एल्गोरिथम पर सहमत होते हैं। यानी डिफ़ॉल्ट मानों वाला एक उपकरण पहले AES-CBC 256 + SHA-512 + समूह 5 को लागू करने का प्रयास करेगा, फिर AES-CBC 256 + SHA-512 + समूह 2, फिर AES-CBC 256 + SHA-384 + समूह + ... और इसी तरह, जब तक पड़ोसी के अनुरूप सेट नहीं लेंगे।

सरल और सुविधाजनक, है ना?

सिस्को वेब साइट में FlexVPN और इंटरनेट कुंजी विनिमय संस्करण 2 कॉन्फ़िगरेशन गाइड, सिस्को IOS है
सभी अवसरों के लिए कॉन्फ़िगर के साथ 15.2M & T ”जारी करें।