साइबेरिया में कारखानों को खरीदना कंपनी के लिए रणनीतिक रूप से सही निर्णय था "लिफ्ट एम एम"। लिफ्ट के बाद न केवल ऊपर की सवारी शुरू हुई, बल्कि नीचे भी गई, कंपनी गई ... कोई उड़ान नहीं भरी। टेबल से गर्म केक की तरह लिफ्ट को खत्म किया जाने लगा। नाम अब सत्य नहीं था और एक निर्णय को पुन: लागू किया गया था। ( वास्तव में, वे मोबी के साथ मुकदमेबाजी से प्रताड़ित थे )।
तो, यह LinkMiAp के विंग के तहत नोवोसिबिर्स्क, टॉम्स्क और ब्रनो में कारखानों को लेने की योजना है। यह सोचने का समय है कि इस अर्थव्यवस्था को मौजूदा नेटवर्क से कैसे जोड़ा जाए।

इसलिए, आज हम विचार कर रहे हैं
1) संभव कनेक्शन विकल्प, उनके पेशेवरों और विपक्ष
2) जीआरई और आईपीएससीई के आधार पर साइट-टू-साइट वीपीएन
3) एक बड़ा विषय: सिद्धांत और व्यवहार में एक गतिशील गुणक वर्चुअल नेटवर्क (DMVPN)।

एक पारंपरिक वीडियो में, DMVPN के संचालन और कॉन्फ़िगरेशन के लिए समर्पित एक लेख से केवल एक विशिष्ट निचोड़ है।



जब आप कई कार्यालयों को जोड़ना चाहते हैं, तो आपके पास तरीकों और साधनों का एक विशाल विकल्प है। यह सब आपकी क्षमताओं, क्षमताओं, इच्छाओं और उपकरणों की उपलब्धता पर निर्भर करता है।

क्रम में चलते हैं।

ए ) अपने हाथों से एक भौतिक चैनल बनाने के लिए। तब यह हो सकता है:

1. ईथरनेट मुड़ जोड़ी है। 100 मीटर तक। भवन के आस-पास या आस-पास की इमारतों के बीच अधिकतम। 1 Gbit / s तक की गति (सख्ती से बोलना, एक मानक 10GBASE-T है, जो 10 Gbit / s की गति से समान दूरी पर डेटा संचारित करने की अनुमति देता है)।
2. वाईफ़ाई। दूरी कार्यान्वयन पर निर्भर करती है: शक्तिशाली दिशात्मक एंटेना का उपयोग करके 40 किमी तक संचालन क्षमता प्राप्त करना संभव है। प्रत्यक्ष दृश्यता के साथ औसतन 5 किमी तक। गति उपयोग किए गए मानक और दूरी पर निर्भर करती है। Roskomnadzor, और उच्च विकिरण शक्तियों के साथ पंजीकरण करना आवश्यक है, और इसे चालू करने की अनुमति प्राप्त करना।
3. xDSL - दो से चार तार। गति दूरी पर निर्भर करती है (सैद्धांतिक अधिकतम 250 एमबीपीएस, 6 किमी तक की दूरी)। हालांकि दो तारों पर मानक 1GB / s के विकास के बारे में अफवाहें हैं।
   या ई 1 जैसे समाधान।
   

   इसका मतलब एक्सडीएसएल के माध्यम से इंटरनेट कनेक्शन नहीं है, लेकिन एक लिंक है: मॉडेम मॉडेम। हां, और ऐसे समाधान मौजूद हैं । आप इसे एक पुल कह सकते हैं।
   

   
   
4. रेडियो रिले लाइन्स। कई दसियों किलोमीटर की दूरी। 600 एमबी / एस तक की गति। लेकिन यह समाधान पहले से ही ऑपरेटर-स्तर है, क्योंकि इसके लिए योजना, निर्माण, कमीशन के लिए बहुत से अनुमोदन और उपायों की आवश्यकता होती है।
5. फाइबर ऑप्टिक। 1 जीबी / एस (10 और 100 जीबी / एस समाधान अनुचित रूप से महंगा हो सकता है)। दूरी कई कारकों पर निर्भर करती है: कई किलोमीटर से लेकर सैकड़ों तक। केबल बिछाने का समन्वय आवश्यक है, निर्माण और रखरखाव के लिए योग्य कर्मचारी। छोटी कंपनियों के लिए, यह केवल केंद्रीय हब से बहुत दूर इमारत को जोड़ने के लिए समझ में नहीं आता है। सामान्य तौर पर, निश्चित रूप से, प्रत्येक मामला व्यक्तिगत होता है और गणना की आवश्यकता होती है।

इस मामले में, आपके लिए सब कुछ पारदर्शी है - आप अपनी खुद की भौतिक रेखा का उपयोग करते हैं, इसलिए आप प्रतिबंध के बिना इसके माध्यम से कुछ भी पारित कर सकते हैं।

बी) दूसरा विकल्प प्रदाता से एक चैनल किराए पर लेना है। यदि आपको किसी दूसरे शहर में एक स्थिर चैनल की आवश्यकता है, तो यह सबसे आम और विश्वसनीय विकल्प है। प्रदाता आपको निम्नलिखित सेवाएं प्रदान कर सकता है:

1. एक असली सीधा केबल। उदाहरण के लिए, वह आपको अपने ऑप्टिकल बीम से एक या दो काले फाइबर उधार दे सकता है। आप इसमें वह सब कुछ भेजने के लिए स्वतंत्र हैं जो आपकी आत्मा की इच्छा है। प्रदाता की ओर से, यह किसी भी तरह से नियंत्रित नहीं है, यह सीमित नहीं है, यह केवल समर्थन प्रदान करता है। उदाहरण के लिए, एक दुर्घटना की स्थिति में, आपको एक ठेकेदार और एक वेल्डिंग मशीन की तलाश नहीं है, लेकिन एक प्रदाता है। और सरल के लिए, वह जिम्मेदार है। यदि यह आपसी समझौते (पढ़ें, ऑफसेट) द्वारा नहीं है, तो शायद सबसे महंगा तरीका है।
2. L2VPN। आप चैनल में अपनी पसंद का कुछ भी दे सकते हैं, लेकिन इस मामले में, आपका ट्रैफ़िक प्रदाता के सक्रिय उपकरणों से गुजरेगा, इसलिए इसे सीमित किया जा सकता है, उदाहरण के लिए, गति से।
   यह शब्द दूसरे स्तर की कई सेवाओं को संदर्भित करता है:
   वीएलएएन - एक रूप में या शाखाओं के बीच एक और, आपको वीएलएएन प्रदान किया जाता है।
   स्यूडो केबल ( PWE3 ) एक पॉइंट-टू-पॉइंट सेवा है जब आपके पास दो नोड्स के बीच एक केबल होती है। आपके द्वारा प्रेषित सभी फ़्रेमों को बिना परिवर्तन के दूरस्थ बिंदु पर वितरित किया जाता है। इसी तरह विपरीत। यह इस तथ्य के कारण संभव है कि प्रदाता के राउटर पर पहुंचने वाला आपका फ्रेम एक उच्च-स्तरीय पीडीयू में समझाया गया है, आमतौर पर यह एक एमपीएलएस पैकेट है।
   वीपीएलएस ( वर्चुअल प्राइवेट नेटवर्क ) एक स्थानीय नेटवर्क का अनुकरण है। इस स्थिति में, प्रदाता का पूरा नेटवर्क आपके लिए एक अमूर्त विशाल स्विचबोर्ड की तरह होगा। असली की तरह, यह मैक पते की एक तालिका को संग्रहीत करेगा और यह तय करेगा कि प्राप्त फ्रेम को कहां भेजना है। एमपीएलएस पैकेट में फ्रेम को एनकैप्सुलेट करके भी इसे लागू किया जाता है।
3. L3VPN। इस मामले में, प्रदाता का नेटवर्क कई इंटरफेस के साथ एक बड़े रूटर की तरह है। यही है, संयुक्त नेटवर्क स्तर पर होगा। आप दोनों तरफ अपने राउटर पर आईपी पते कॉन्फ़िगर करते हैं, लेकिन प्रदाता के नेटवर्क में रूटिंग पहले से ही एक प्रदाता का सिरदर्द है। आप या तो जंक्शन बिंदुओं के लिए आईपी पते निर्धारित कर सकते हैं या प्रदाता जारी कर सकते हैं - यह कार्यान्वयन और आपके समझौते पर निर्भर करता है। यह जीआरई, आईपीएससीई या उसी एमपीएलएस के आधार पर काम कर सकता है।

यह सेवा क्लाइंट के दृष्टिकोण से बहुत सरल लगती है - दोनों कॉन्फ़िगरेशन के संदर्भ में और कार्यान्वयन के संदर्भ में - लेकिन जटिल - ऑपरेटर के दृष्टिकोण से।
हम एमपीएलएस के आधार पर एल 2 / एल 3 वीपीएन के कार्यान्वयन से निपटेंगे, लेकिन बहुत बाद में।

सी) खैर, अंतिम विकल्प: एक सार्वजनिक नेटवर्क के माध्यम से एक सुरंग। मान लें कि आपके पास अपने दोनों बिंदुओं पर इंटरनेट का उपयोग है। अक्सर इन दो बिंदुओं के बीच एक सुरंग बनाने का सबसे सस्ता तरीका है। ऐसा करने के लिए, आपको बस सभी बिंदुओं पर सफेद (सार्वजनिक) स्थिर पते (और कभी-कभी एक पर पर्याप्त) और उस उपकरण को लागू करना होगा जिस पर इसे लागू करना है। इस समाधान में कई कमियां हैं, जिनके बारे में हम नीचे विचार करेंगे, लेकिन फिर भी यह इस पर है कि हम आज ही रुकेंगे।

इसलिए, आपकी इच्छा है कि आप अपने बजट, उपयुक्तता और प्रबंधन को समझाने की क्षमता के आधार पर किस विकल्प का उपयोग करें।
इस रिलीज के हिस्से के रूप में, हमें 3 कार्यालयों को जोड़ने की आवश्यकता है: नोवोसिबिर्स्क, टॉम्स्क और ब्रनो में। हम सहमत हैं कि हर जगह हम केवल इंटरनेट कनेक्शन का उपयोग करेंगे।

हब और स्पोक नोड्स के कनेक्शन आरेख - रूसी बोलने में, एक स्टार:



मुझे याद है कि LinkMiAp नेटवर्क की सामान्य योजना अब इस तरह दिखती है:



लेकिन हम इसमें से अमूर्त हैं, केवल आवश्यक चीजों पर जोर दे रहे हैं।

चूंकि हमने विकल्प बी को लागू करने का काम किया है, इसलिए हमें विकल्पों के बारे में विस्तार से समझना होगा।
आज, वीपीएन के आयोजन के लिए अनगिनत अनुप्रयोग और प्रोटोकॉल हैं, लेकिन उनमें से अधिकांश मेजबान को जोड़ने के तरीके हैं, नेटवर्क नहीं। हमारा मतलब है रिमोट का काम। उदाहरण के लिए, इस तरह:



यही है, यह एक कार्य योजना है जब एक कर्मचारी कॉर्पोरेट नेटवर्क से दूर से कनेक्ट होता है (सिस्को शब्दावली में टेलीवर्कर)।

सच कहूँ तो, यह हमारे लिए बहुत कम रुचि है, सवाल अधिक दिलचस्प है कि पूरे नेटवर्क को कैसे जोड़ा जाए।



आज हम सबसे आम विकल्पों पर विचार करेंगे:

• जीआरई
• IPSec (सुरंग और परिवहन मोड)
• IPSec पर जीआरई
• VTI
• DMVN

जीआरई

जेनेरिक रूटिंग इनकैप्सुलेशन एक बहुत ही सरल टनलिंग प्रोटोकॉल है।
Dachshunds, टनलिंग । यह किस तरह का जानवर है? मोटे तौर पर, इसका मतलब है कि आपका प्रारंभिक डेटा सेवा हेडर के साथ लिया जाता है (एक नियम के रूप में, यह आईपी है, लेकिन यह ईथरनेट और एटीएम भी हो सकता है), एक पैकेट में पैक किया गया और एक सार्वजनिक नेटवर्क पर प्रसारित किया गया, जैसे कि कार एक सुरंग के माध्यम से पहाड़ से यात्रा कर रही थी। अंतिम नोड पर, नए पैकेज के हेडर को हटा दिया जाता है, और आपका डेटा अपने मूल रूप में अपनी यात्रा जारी रखता है।
बहुत स्पष्ट नहीं है, है ना? जीआरई के साथ एक उदाहरण देखते हैं।

अभी के लिए, आइए एक सार टोपोलॉजी लें:



दो राउटर स्टेटिक व्हाइट एड्रेस के जरिए इंटरनेट से जुड़े होते हैं। उनमें से प्रत्येक के पास 10.0.0.0/8 रेंज के निजी नेटवर्क हैं।
बेशक, ये नेटवर्क इंटरनेट पर रूट नहीं किए गए हैं। (चित्र में कंप्यूटर और लैपटॉप दिखाया गया है, लेकिन व्यवहार में हम वर्चुअल इंटरफ़ेस लूपबैक 0 को कॉन्फ़िगर करेंगे)
हमारा काम सुरंग फेंकना है:



इस प्रकार, PC1 के लिए, PC2 के साथ संचार करते समय, कोई इंटरनेट नहीं है - वे दोनों सोचेंगे कि वे एक ही स्थानीय नेटवर्क पर हैं।

जीआरई सुरंग को इस प्रकार कॉन्फ़िगर किया गया है:

इंटरफ़ेस सुरंग 0
आईपी ​​एड्रेस 10.2.2.1 255.255.255.252

चूंकि सुरंग एक आभासी एल 3 इंटरफ़ेस है जिसके माध्यम से हम रूटिंग करेंगे, इसे एक आईपी पता सौंपा जाना चाहिए, जो कि आपके आईपी प्लान के अनुसार चुना गया है, शायद एक निजी नेटवर्क से।

स्रोत पते के रूप में, आप आउटपुट इंटरफ़ेस के आईपी पते के रूप में चयन कर सकते हैं
(प्रदाता द्वारा प्रदान किया गया सफेद पता) और इसका नाम (हमारे मामले में FE0 / 0):

सुरंग स्रोत 100.0.0.1

गंतव्य पता - दूरस्थ पार्टी का सार्वजनिक पता:

सुरंग गंतव्य 200.0.0.1

समाप्त दृश्य:

इंटरफ़ेस सुरंग 0
आईपी ​​एड्रेस 10.2.2.1 255.255.255.252
सुरंग स्रोत 100.0.0.1
सुरंग गंतव्य 200.0.0.1

इसके तुरंत बाद, सुरंग उठनी चाहिए:

आर १ # श इंट ट्यून ०
टनल0 अप है, लाइन प्रोटोकॉल है
हार्डवेयर टनल है
इंटरनेट का पता 10.2.2.1/30 है
MTU 1514 बाइट्स , BW 9 Kbit, DLY 500000 usec,
विश्वसनीयता 255/255, txload 1/255, rxload 1/255
एनकैप्सुलेशन TUNNEL, लूपबैक सेट नहीं है
रखने योग्य सेट नहीं है
सुरंग स्रोत 100.0.0.1, गंतव्य 200.0.0.1
सुरंग प्रोटोकॉल / ट्रांसपोर्ट जीआरई / आईपी

सभी बुनियादी जानकारी यहाँ परिलक्षित होती है। एमटीयू के आकार पर ध्यान दें - यह 1500 नहीं है, जैसा कि पारंपरिक भौतिक इंटरफेस के लिए निर्धारित है। हम लेख के अंत में MTU पैरामीटर के बारे में बात करेंगे।

डिफ़ॉल्ट रूप से, जीआरई गंतव्य पते की उपलब्धता की जांच नहीं करता है और तुरंत सुरंग को ऊपर भेजता है। लेकिन आपको बस सुरंग इंटरफ़ेस के लिए कीपेलिव एक्स कमांड को जोड़ने की आवश्यकता है, क्योंकि राउटर ने किप्लिव भेजना शुरू कर दिया है और जब तक कोई जवाब नहीं मिलता है तब तक नहीं उठता है।

हमारे परीक्षण सर्किट में, एक स्थानीय नेटवर्क के रूप में, हमने बस लूपबैक इंटरफेस को कॉन्फ़िगर किया है - वे हमेशा ऊपर हैं। उन्हें एक मुखौटा / 32 के साथ पते दिए गए थे। वास्तव में, उनका मतलब आपके उद्यम के वास्तविक सबनेट (अच्छी तरह से, चित्र में) है।

इंटरफ़ेस लूपबैक 0
आईपी ​​एड्रेस 10.0.0.0 255.255.255.255

राउटर पर आपके पास दो स्थिर मार्ग होने चाहिए:

आईपी ​​मार्ग 0.0.0.0 0.0.0.0 100.0.0.2
आईपी ​​मार्ग 10.1.1.0 255.255.255.255 10.2.2.2

पहले वाला कहता है कि डिफ़ॉल्ट गेटवे प्रदाता पता 100.0.0.2 है:

आर 1 # ट्रेसरआउट 200.0.0.1
गर्भपात के लिए भागने का क्रम टाइप करें।
200.0.0.1 तक मार्ग का पता लगाना
1 100.0.0.2 56 मिसेक 48 मिसे 36 मिसे
2 200.0.0.1 64 मिसेक * 60 मिसे

मेजबान को संबोधित किए गए दूसरे पुनर्निर्देशित पैकेट 10.1.1.0 पते के साथ, अगली बार 10.2.2.2 पर - यह रिवर्स साइड पर सुरंग का पता है।

जीआरई सुरंगें अप्रत्यक्ष हैं, और एक रिवर्स सुरंग आमतौर पर दूसरी तरफ निहित होती है, हालांकि आम तौर पर यह बोलना आवश्यक नहीं है। लेकिन हमारे मामले में, जब इंटरनेट बीच में है, और कार्य एक निजी नेटवर्क को व्यवस्थित करना है, तो रिवर्स साइड पर एक सममित सेटिंग होनी चाहिए:

एन एस-obsea-GW1:

इंटरफ़ेस सुरंग 0
आईपी ​​एड्रेस 10.2.2.2 255.255.255.252
सुरंग स्रोत 200.0.0.1
सुरंग गंतव्य 100.0.0.1

आईपी ​​मार्ग 0.0.0.0 0.0.0.0 200.0.0.2
आईपी ​​मार्ग 10.0.0.0 255.255.255.255 10.2.2.1

पिंग चलाने की कोशिश करें:

आर 1 # पिंग 10.1.1.0 स्रोत 10.0.0.0
गर्भपात के लिए भागने का क्रम टाइप करें।
5, 100-बाइट ICMP इकोस को 10.1.1.0 पर भेजना, समय समाप्ति 2 सेकंड है:
!!!
सफलता की दर 100 प्रतिशत (5/5), गोल-यात्रा मिनट / औसत / अधिकतम = 44/71/136 एमएस है

आर 1 # ट्रेसर 10.1.1.0
गर्भपात के लिए भागने का क्रम टाइप करें।
10.1.1.0 तक मार्ग का पता लगाना
1 10.2.2.2 68 मिसेक * 80 मिसे

वाह! लेकिन पर्दे के पीछे क्या होता है?
और वहाँ, लोग, आश्चर्यजनक चीजें:

जब आप 10.1.1.0 पिंग करना शुरू करते हैं, तो राउटर क्या करता है?
1) एक आईपी पैकेट ::



2) राउटिंग टेबल को देखें

आर 1 # श आईपी मार्ग 10.1.1.0
10.1.1.0/32 के लिए रूटिंग प्रविष्टि
"स्थिर", दूरी 1, मीट्रिक 0 के माध्यम से जाना जाता है
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* 10.2.2.2
मार्ग मीट्रिक 0 है, ट्रैफ़िक शेयर की संख्या 1 है

इसके बाद यह पुनरावर्ती दिखता है जहां पता 10.2.2.2 है:

R1 # sh ip rou 10.2.2.2
रूटिंग प्रविष्टि 10.2.2.0/30 के लिए
"जुड़ा", दूरी 0, मीट्रिक 0 (जुड़ा, इंटरफ़ेस के माध्यम से) के माध्यम से जाना जाता है
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* सीधे जुड़े, सुरंग के माध्यम से
मार्ग मीट्रिक 0 है, ट्रैफ़िक शेयर की संख्या 1 है

कर, सुरंग 0:

आर १ # श इंट ट्यून ०
टनल0 अप है, लाइन प्रोटोकॉल है
हार्डवेयर टनल है
इंटरनेट का पता 10.2.2.1/30 है
MTU 1514 बाइट्स, BW 9 Kbit, DLY 500000 usec,
विश्वसनीयता 255/255, txload 1/255, rxload 1/255
एनकैप्सुलेशन TUNNEL, लूपबैक सेट नहीं है
रखने योग्य सेट नहीं है
सुरंग स्रोत 100.0.0.1, गंतव्य 200.0.0.1

3) यह समझते हुए कि यह एक जीआरई सुरंग है, वह पैकेट पर GRE हेडर जोड़ता है:



और शीर्ष पर नया आईपी हेडिंग है। स्रोत का पता सुरंग स्रोत का पता होगा, और गंतव्य का पता सुरंग का गंतव्य होगा।



4) नव निर्मित पैकेज को डिफ़ॉल्ट मार्ग द्वारा अद्भुत दुनिया में भेजा जाता है:

आर 1 # श आईपी मार्ग
अंतिम चरण का गेटवे नेटवर्क 0.0.0.0 पर 100.0.0.2 है

5) ईथरनेट हेडर के बारे में मत भूलो; प्रदाता को भेजते समय, यह भी बनना चाहिए।

चूंकि जीआरई सुरंग एक स्तर 3 आभासी इंटरफ़ेस है, इसलिए इसका अपना मैक पता नहीं है (जैसे लूपबैक, उदाहरण के लिए)। अंततः, फ़्रेम भौतिक इंटरफ़ेस छोड़ देगा FastE ईथरनेट0 / 0:

आर 1 # श आईपी मार्ग 100.0.0.2
100.0.0.0/30 के लिए रूटिंग प्रविष्टि
"जुड़ा", दूरी 0, मीट्रिक 0 (जुड़ा, इंटरफ़ेस के माध्यम से) के माध्यम से जाना जाता है
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* FastE ईथरनेट0 / 0 के माध्यम से सीधे जुड़ा हुआ है
मार्ग मीट्रिक 0 है, ट्रैफ़िक शेयर की संख्या 1 है

तदनुसार, वह अपने पते को स्रोत मैक के रूप में इंगित करेगा

R1 # श इंट
FastE ईथरनेट0 / 0 ऊपर है, लाइन प्रोटोकॉल ऊपर है
हार्डवेयर Gt96k FE है, पता c000.25a0.0000 है (bia c000.25a0.0000)
इंटरनेट का पता 100.0.0.1/30 है

गंतव्य को पारंपरिक रूप से ARP कैश से लिया जाता है या पता 100.0.0.2 पते से ARP अनुरोध का उपयोग करके प्राप्त किया जाता है:

R1 # शो arp
प्रोटोकॉल पता आयु (न्यूनतम) हार्डवेयर Addr प्रकार इंटरफ़ेस
इंटरनेट 100.0.0.1 - c000.25a0.0000 ARPA FastE ईथरनेट0 / 0
इंटरनेट 100.0.0.2 71 c001.25a0.0000 ARPA FastE ईथरनेट0 / 0

6) और इस रूप में, नया आईपी पैकेट इंटरनेट पर प्रसारित होता है। और चूंकि प्रत्येक राउटर पैकेट को विभाजित नहीं करता है, लेकिन पहले आईपी हेडर के आधार पर निर्णय लेता है, इंटरनेट पर किसी को भी पता नहीं चलेगा कि आपके निजी पते 10.1.1.0 और 10.0.0.0 के अंदर कहीं छिपे हुए हैं।



7) और अंत में गंतव्य के लिए रहता है।
R3 पता लगाता है कि गंतव्य का पता खुद का है, आईपी हेडर को हटाता है और इसके तहत क्या पाता है? जीआरई हेडर।

वह जांचता है कि उसके पास वास्तव में ऐसी जीआरई सुरंग है, जीआरई हेडर को हटाता है, और फिर यह सबसे आम आईपी पैकेट है जिसे राउटिंग टेबल में प्रविष्टियों के अनुसार निपटाया जाना चाहिए।

इस मामले में, प्रसंस्करण के लिए इंटरफ़ेस में लूपबैक 0 पास करें।

आर 3 # श आईपी मार्ग 10.1.1.0
10.1.1.0/32 के लिए रूटिंग प्रविष्टि
"जुड़ा", दूरी 0, मीट्रिक 0 (जुड़ा, इंटरफ़ेस के माध्यम से) के माध्यम से जाना जाता है
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* सीधे लूपबैक 0 के माध्यम से जुड़ा हुआ है
मार्ग मीट्रिक 0 है, ट्रैफ़िक शेयर की संख्या 1 है

ये ऐसे सरल जोड़तोड़ हैं।
जबकि पैकेट स्थानीय नेटवर्क पर, ऐसा दिखता है:

और निजी पते के आधार पर संसाधित किया जाता है।
जैसे ही यह सार्वजनिक नेटवर्क में प्रवेश करता है, जीआरई इस पर एक अतिरिक्त आईपी हेडर लटकाता है:

और पैकेट को सार्वजनिक पते के आधार पर संसाधित किया जाता है।

यहाँ पैकेज इंटरनेट पर कैसा दिखता है:

1 - प्रारंभिक डेटा
2 - पहला आईपी हेडर (आंतरिक)
3 - जीआरई हैडर (यह दर्शाता है कि आईपी डेटा अंदर है)
4 - नया आईपी हेडर (बाहरी, सुरंग के पते के साथ)

विस्तार से जांच करने पर साधारण ICMP मैसेजिंग इस तरह दिख सकती है ।

जीआरई के लिए पूरा राउटर कॉन्फ़िगरेशन ।

यदि आप मूर्त दुनिया के साथ एक सादृश्य बनाने की कोशिश करते हैं, तो एक ऐसी स्थिति की कल्पना करें जब आप एक कार में गाँव से ड्राइव कर रहे हों। आप नदी तक पहुंचते हैं, और आपको दूसरी तरफ जाने की जरूरत है और वहां शहर की यात्रा जारी रखें।
नदी के बंदरगाह पर, आपकी कार को एक नौका में डुबोया जाता है और बढ़ती तरंगों के माध्यम से दूसरी तरफ ले जाया जाता है, जहां आपकी कार को हटा दिया जाता है, और आप आगे बढ़ना जारी रखते हैं। तो यह फेरी एक जीआर फेरी थी।

आइए तीन टिप्पणी करें:
सबसे पहले, हमने परीक्षण के लिए / 32 के मास्क के साथ लूपबैक इंटरफेस और पते चुने, वास्तव में, ये सब 1 / 0.15 और fa0 / 1.16 के सबनेट्स 172.16.15.0/24 और 17.1.1.1.1.0.024, या किसी भी सबनेट के साथ इंटरफेस हो सकते हैं। अन्य शामिल हैं।
दूसरे, यहां हम सभी सार्वजनिक नेटवर्क और पते के बारे में बात कर रहे हैं, लेकिन वास्तव में, इससे कोई फर्क नहीं पड़ता है और सुरंगों को आपके कॉर्पोरेट नेटवर्क के अंदर भी उठाया जा सकता है जब अंत नेटवर्क में पहले से ही एक सुरंग के बिना आईपी कनेक्टिविटी है।
तीसरा, इस तथ्य के बावजूद कि सैद्धांतिक रूप से यातायात वापस आ सकता है और सुरंग के माध्यम से नहीं, इसे बनाने के लिए आवश्यक है ताकि अंतिम नोड जीआरई पैकेट को सफलतापूर्वक समाप्त कर सके।

रेगुलर जीआरई टनलिंग का एक प्रमुख उदाहरण है, जिसे कॉन्फ़िगर करना बहुत आसान है और अपेक्षाकृत आसान है।
जाहिर है, आप पहले से ही अनुमान लगाते हैं कि इस क्षेत्र में कौन सी तीन बड़ी समस्याएं हमारा इंतजार कर रही हैं?

• सुरक्षा। जीआरई में एनक्रिप्टेड डेटा फिर भी स्पष्ट पाठ में प्रेषित किया जाता है।
• स्केलिंग की जटिलता। यदि आपके पास 5-7 शाखाएँ हैं, तब भी ऐसी कई सुरंगों को बनाए रखना संभव है, और यदि उनमें से 50 हैं? इसके अलावा, यातायात टनलिंग अक्सर सीपीयू पर प्रदर्शन किया जाता है, खासकर युवा और मध्य श्रृंखला पर, इसलिए यह प्रोसेसर पर एक अतिरिक्त भार है।
• सभी शाखाएं केंद्रीय नोड के माध्यम से एक-दूसरे के साथ बातचीत करेंगी, हालांकि वे सीधे कर सकते थे।

IPSec

ऊपर बताई गई पहली समस्या को एन्क्रिप्शन को हल करने के लिए डिज़ाइन किया गया है।

वर्तमान में, निम्नलिखित तकनीकों का उपयोग मुख्य रूप से एक एन्क्रिप्टेड वीपीएन चैनल को व्यवस्थित करने के लिए किया जाता है: IPSec (IP सुरक्षा), OpenVPN और PPTP (प्वाइंट-टू-पॉइंट टनलिंग प्रोटोकॉल)।

स्थायी नेता, निश्चित रूप से, IPSec है, और हम इसके बारे में बात करेंगे।

पहले आपको यह समझने की आवश्यकता है कि IPSec एक प्रोटोकॉल नहीं है, यह एक मानक है जिसमें तीन प्रोटोकॉल शामिल हैं, जिनमें से प्रत्येक अपने स्वयं के कार्यों के साथ है:

1. ईएसपी (सिक्योरिटी पेलोड) को सीधे डेटा एन्क्रिप्ट करता है, और स्रोत प्रमाणीकरण और डेटा अखंडता सत्यापन भी प्रदान कर सकता है
2. स्रोत को प्रमाणित करने और डेटा अखंडता की जांच करने के लिए AH (प्रमाणीकरण हैडर) जिम्मेदार है
3. IKE (इंटरनेट की एक्सचेंज एक्सचेंज प्रोटोकॉल) का उपयोग IPSec SA (सिक्योरिटी एसोसिएशन, उस पर और नीचे), दूसरे शब्दों में, एक सुरक्षित कनेक्शन में प्रतिभागियों के काम को समन्वित करने के लिए किया जाता है। इस प्रोटोकॉल का उपयोग करते हुए, प्रतिभागी इस बात पर सहमत होते हैं कि एन्क्रिप्शन एल्गोरिथम का उपयोग किस पर किया जाएगा, जिस पर एल्गोरिदम का प्रदर्शन किया जाएगा (और क्या सभी में) अखंडता की जाँच करें, एक दूसरे को कैसे प्रमाणित करें

आगे बढ़ने से पहले, हम SA - सुरक्षा एसोसिएशन शब्द से निपटते हैं। एसए आम तौर पर सुरक्षित कनेक्शन मापदंडों का एक सेट है (उदाहरण के लिए, एक एन्क्रिप्शन एल्गोरिथ्म, एक एन्क्रिप्शन कुंजी) जो कनेक्शन के दोनों किनारों द्वारा उपयोग किया जा सकता है। प्रत्येक कनेक्शन में एक संबद्ध एसए है।
अब, क्रम में, IPSec में एक सुरक्षित कनेक्शन कैसे बनाएं:

• शुरू करने के लिए, प्रतिभागियों को इस बात पर सहमत होने की आवश्यकता है कि कौन से एल्गोरिदम / सुरक्षा तंत्र वे अपने सुरक्षित कनेक्शन के लिए उपयोग करेंगे, इसलिए IKE में आता है। इस प्रक्रिया में दो चरण होते हैं:
  
  • : ( ), / IPSec-. - ( ISAKMP Tunnel) ISAKMP, crypto isakmp policy _ . , ISAKMP ( show crypto isakmp sa ), IKE.
  • : , . , crypto ipsec transform-set , , , . , , , ISAKMP – SA . , , IPSec-, “ ” ( , – ), . , ( lifetime IPSec SA 4608000 /3600 ).
  
  
• , , , , .., crypto map -.
• , lifetime, : ISAKMP-, SA.

, : - . .

अब ट्रांसफ़ॉर्म सेट के बारे में थोड़ा और ईएसपी एएच से कैसे अलग है। सुरंग के माध्यम से जाने वाले हमारे डेटा को कैसे एन्क्रिप्ट किया जाएगा यह क्रिप्टो ipsec ट्रांसफॉर्म-सेट कमांड network_name द्वारा निर्धारित किया जाता है, इसके बाद प्रोटोकॉल के नाम का उपयोग किया जाएगा (ESP या AH) + एल्गोरिथ्म जिसके द्वारा प्रोटोकॉल काम करेगा। उदाहरण के लिए, क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट SET1 esp-aes कमांड राउटर को बताएगा कि "SET1" नाम के साथ सेट किया गया ट्रांसफ़ॉर्म, यदि लागू किया गया है, तो केवल AES एन्क्रिप्शन के साथ ESP प्रोटोकॉल पर काम करेगा। ठीक है, अगर ईएसपी के साथ सब कुछ कम या ज्यादा स्पष्ट है, तो उसका काम एन्क्रिप्ट करना ( गोपनीयता सुनिश्चित करना ) है, तो एएच क्या है और इसकी आवश्यकता क्यों है? AH प्रमाणीकरण प्रदान करता हैडेटा, अर्थात्, यह विश्वास दिलाता है कि यह डेटा उसी से आया था जिसके साथ हमने संचार स्थापित किया था, और जिस तरह से साथ नहीं बदला गया था। यदि आप विवरण में नहीं जाते हैं, तो यह इस तरह से काम करता है: आईपी हेडर और ट्रांसपोर्ट लेयर हेडर के बीच प्रत्येक पैकेट में, एएच हेडर डाला जाता है, जिसमें यह है:

• वह जानकारी जिसके द्वारा प्राप्तकर्ता समझ सकता है कि पैकेट किस SA का है (यानी, जिसमें एल्गोरिथ्म के अनुसार उसे तुलना के लिए हैश पर विचार करना चाहिए - MD5 या SHA)
• तथाकथित ICV (इंटीग्रिटी चेक वैल्यू), जो एक पैकेट से एक हैश है (वास्तव में, पूरे पैकेट नहीं, लेकिन फ़ील्ड जो यात्रा के दौरान अपरिवर्तित हैं), जो प्राप्तकर्ता को यह सुनिश्चित करने की अनुमति देता है कि यह पैकेट उस से हैश की गणना करके रास्ते से नहीं बदला है। एक ही जानकारी और इस क्षेत्र के मूल्य के साथ परिणाम की तुलना करना।

IPSec दो मोड में काम कर सकता है: सुरंग और परिवहन।

IPsec टनल मोड

इस मोड में, आपका मूल IP पैकेट लिया जाता है, पूरी तरह से एन्क्रिप्टेड, IP हेडर, IPSec ओवरहेड जानकारी और एक नया IP हेडर जोड़ा जाता है:

* चित्र सटीक नहीं है और केवल सार दिखाता है, वास्तव में अधिक हेडर हैं, और अंत में ट्रेलर हैं ।

यह डिफ़ॉल्ट मोड है।

चलो सेटअप के दौरान इसे फिर से समझें।

स्थानीय पक्ष पर:

पहला, चरण 1 के लिए सामान्य नीति पहले, सहायक सुरंग की स्थापना करना है: एन्क्रिप्शन का प्रकार (डिफ़ॉल्ट डेस) और प्रमाणीकरण। प्रमाण पत्र के आधार पर प्रमाणीकरण किया जा सकता है, लेकिन हम प्रारंभिक कुंजी के साथ एक सरल उदाहरण पर विचार करेंगे:

क्रिप्टो ISAKMP नीति 1
encr एईएस
प्रमाणीकरण पूर्व इस सामग्री शेयर

अक्सर ऐसी कई नीतियां एन्क्रिप्शन, हैश और डीएच समूह के विभिन्न संयोजनों के साथ स्थापित की जाती हैं।
Isakmp sa को बनाते समय, कनेक्शन शुरू करने वाली पार्टी सभी स्थानीय रूप से कॉन्फ़िगर की गई isakmp नीतियाँ भेजती है।
प्राप्त पार्टी प्राथमिकता के क्रम में स्कैन करती है, उनकी स्थानीय रूप से कॉन्फ़िगर की गई नीतियां। पहली पॉलिसी जिसके लिए एक मैच पाया जाता है, का उपयोग किया जाएगा।

पड़ोसी प्रमाणीकरण 200.0.0.1 के लिए पूर्व-साझा कुंजी निर्दिष्ट करें

क्रिप्टो isakmp कुंजी CISCO पता 200.0.0.1

अगला, हम ट्रैफ़िक को संसाधित करने के लिए पैरामीटर निर्दिष्ट करते हैं। ईईएस हेडर और प्रमाणीकरण एल्गोरिथ्म का उपयोग करके एईएस एन्क्रिप्शन एल्गोरिथ्म।

क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट AES128-SHA एस्प-ऐस एस्प-श-एचमैक

वास्तव में, हम एक ही बार में प्रोटोकॉल का एक सेट निर्दिष्ट करते हैं, जैसा कि आप देख सकते हैं, इसे ट्रांसफॉर्म-सेट कहा जाता है। IPSec सत्र सेट करते समय, राउटर इन सेटों का आदान-प्रदान करते हैं। उनका मेल होना चाहिए।

समस्या निवारण को सरल बनाने के लिए, ट्रांसफ़ॉर्म-सेट के नाम आमतौर पर लागू प्रोटोकॉल के अनुसार दिए जाते हैं।

अब एक एन्क्रिप्शन कार्ड बनाएँ:

क्रिप्टो नक्शा MAP1 10 ipsec-isakmp
सेट पीयर 200.0.0.1
सेट ट्रांसफ़ॉर्म-सेट AES128 -SHA
मैच पता 101

यह वह जगह है जहां IPSec पड़ोसी का पता निर्धारित किया जाता है, जिसके साथ सुरंग फिर स्थापित की जाएगी - 200.0.0.1। प्रोटोकॉल और एसीएल का एक सेट तुरंत संलग्न किया जाता है, जो निर्धारित करता है कि सुरंग के माध्यम से कौन से ट्रैफ़िक को एन्क्रिप्ट और प्रसारित किया जाएगा।

हमारे मामले में, यह इस तरह दिखता है:

एक्सेस-लिस्ट 101 परमिट आईपी होस्ट 10.0.0.0 होस्ट 10.1.1.0

एसीएल स्थापित करते समय सावधान रहें। यह न केवल आउटगोइंग ट्रैफ़िक के मापदंडों को निर्धारित करता है, बल्कि आने वाले ट्रैफ़िक (एनएटी के लिए एसीएल के विपरीत, उदाहरण के लिए)।
यही है, अगर पैकेट 10.1.1.0 से नहीं, बल्कि 10.2.2.2 से आते हैं, तो इसे संसाधित और डिक्रिप्ट नहीं किया जाएगा।

यही है, यदि हम मेजबान के साथ 10.0.0.0 से 10.1.1.0 पते पर ट्रैफ़िक उत्पन्न करते हैं, तो यह और केवल इसे एन्क्रिप्ट किया जाएगा और IPSec सुरंग को बिल्कुल भेजा जाएगा। कोई भी दूसरा आसान रास्ता जाएगा।

ध्यान दें कि एन्क्रिप्शन लगभग अंतिम मोड़ में होता है, रूटिंग के बाद।
और यह, वैसे, एक बहुत महत्वपूर्ण बिंदु है। भोज के सार्वजनिक पते का मार्ग (200.0.0.1) आपके लिए पर्याप्त नहीं है। हमें चूक होने पर भी 10.1.1.0 मार्ग की आवश्यकता है। अन्यथा, पैकेट सामान्य रूटिंग नियमों के अनुसार छोड़ दिया जाएगा।
यह जितना अजीब लग सकता है, आपके स्थानीय नेटवर्क पर ट्रैफ़िक "बंद" होना चाहिए, उदाहरण के लिए, इंटरनेट पर। एक ही समय में, निजी पैकेट जो प्रदाता को भेजे जाने वाले होते हैं और वहां छोड़ दिए जाते हैं, उन्हें अंतिम समय में एन्क्रिप्ट किया जाता है, सार्वजनिक पते प्राप्त होते हैं।
वैसे, ट्रैफ़िक पर किए गए संचालन के क्रम के साथ एक तालिका है।

अंतिम चरण इंटरफ़ेस के लिए एन्क्रिप्शन कार्ड संलग्न करना है। जब तक आप ऐसा नहीं करते, तंत्र काम नहीं करेगा।

इंटरफ़ेस FastE ईथरनेट0 / 0
क्रिप्टो मानचित्र MAP1

रिवर्स साइड पर आपको एक सममित सेटिंग बनाने की आवश्यकता है।
तो बस निम्नलिखित विन्यास को R3 पर लागू करें:

क्रिप्टोकरंसी isakmp नीति 1
एएनआर एईएस
प्रमाणीकरण पूर्व साझा करें
क्रिप्टो isakmp कुंजी CISCO पता 100.0.0.1
!
!
क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट AES128-SHA एस्प-ऐस एस्प-श-एचमैक
!
क्रिप्टो मानचित्र MAP1 10 ipsec-isakmp
पीयर 100.0.0.1 सेट करें
सेट परिवर्तन-सेट AES128-SHA
मैच का पता १०१

इंटरफ़ेस FastE ईथरनेट0 / 1
क्रिप्टो मानचित्र MAP1

एक्सेस-लिस्ट 101 परमिट आईपी होस्ट 10.1.1.0 होस्ट 10.0.0.0

वह सब है।

लेकिन कोई फर्क नहीं पड़ता कि आप क्रिप्टो सत्र को देखने के बाद कितना कुछ दिखाते हैं या क्रिप्टो आइसकम्प सा दिखाते हैं , आप केवल नीचे देखेंगे। सुरंग किसी भी तरह से नहीं बढ़ती है।
काउंटर क्रिप्टो ipsec सा दिखाते हैं । इसके अलावा शून्य।

R1 # श क्रिप्टो सत्र
क्रिप्टो सत्र की वर्तमान स्थिति

इंटरफ़ेस: FastE ईथरनेट0 / 0
सत्र की स्थिति: नीचे
पीर: 200.0.0.1 पोर्ट 500
IPSEC FLOW: परमिट आईपी होस्ट 10.0.0.0 होस्ट 10.1.1.0
सक्रिय एसएएस: 0, मूल: क्रिप्टो नक्शा

आर 1 # श क्रिप्टो इसकम्प सा
dst src राज्य कोन-आईडी स्लॉट स्थिति

तथ्य यह है कि आपको इसमें ट्रैफ़िक डालने की आवश्यकता है। शाब्दिक अर्थ में, इस तरह से:

आर 1 # पिंग 10.1.1.0 स्रोत 10.0.0.0
गर्भपात के लिए भागने का क्रम टाइप करें।
5, 100-बाइट ICMP इकोस को 10.1.1.0 पर भेजना, समय समाप्ति 2 सेकंड है:
10.0.0.0 के स्रोत पते के साथ पैकेट भेजा गया
। !!!
सफलता की दर 80 प्रतिशत (4/5), गोल-यात्रा मिनट / औसत / अधिकतम = 60/94/160 एमएस है

और एक बार ऐसा करने के बाद, आप सफल होंगे:

R1 # श क्रिप्टो सत्र
क्रिप्टो सत्र की वर्तमान स्थिति

इंटरफ़ेस: FastE ईथरनेट0 / 0
सत्र की स्थिति: UP-ACTIVE
पीर: 200.0.0.1 पोर्ट 500
IKE SA: स्थानीय 100.0.0.1/500 दूरस्थ 200.0.0.1/500 सक्रिय
IPSEC FLOW: परमिट आईपी होस्ट 10.0.0.0 होस्ट 10.1.1.0
सक्रिय SAs: 2, मूल: क्रिप्टो मानचित्र

आर 1 # श क्रिप्टो इसकम्प सा
dst src राज्य कोन-आईडी स्लॉट स्थिति
200.0.0.1 100.0.0.1 QM_IDLE 1 0 सक्रिय

पूरा राउटर कॉन्फ़िगरेशन ।

=====================
टास्क नंबर 1

प्रारंभिक कॉन्फ़िगरेशन: IPsec
आर 1 राउटर केंद्रीय कार्यालय में है।
R3 राउटर शाखाओं में से एक में एक राउटर है।
R4 को सर्किट में जोड़ा जाता है - दूसरी शाखा।

स्थापना:
1. R4 और R1 के बीच क्रिप्टो-मैप का उपयोग करके एक IPsec सुरंग को कॉन्फ़िगर करें:
- डेटा सुरक्षा नीतियां आर 3 और आर 1 के बीच सुरंग के लिए समान हैं।
2. उचित सेटिंग्स जोड़ें ताकि R3 और R4 भी डेटा का आदान-प्रदान कर सकें:
- R3 और R4 से आगे की शाखाओं के बीच डेटा को केंद्रीय राउटर R1 के माध्यम से प्रेषित किया जाना चाहिए

साइट पर कार्य का विवरण
=====================

क्या हुआ?

1) हमने 10.1.1.0 पते से 10.1.1.0 पते पर पिंग करना शुरू किया।

2) राउटिंग टेबल के अनुसार, पैकेट को सार्वजनिक नेटवर्क पर उसी रूप में प्रेषित किया जाना चाहिए जिस रूप में वह है।

3) लेकिन राउटर देखता है कि यह अपने ACL 101 पर पड़ता है और पैकेट को IPSec को भेजता है।

4) IPSec, सुरंग मोड में काम कर रहा है (डिफ़ॉल्ट मोड), पहले IPSec PDU में स्रोत पैकेट को पैक करता है, रास्ते में सब कुछ और सब कुछ एन्क्रिप्ट करता है, और फिर इसे एक नए आईपी हेडर से लैस करता है। गंतव्य पते के रूप में, राउटर अपने IPSec पड़ोसी के पते को निर्धारित करता है - 200.0.0.1।

नीचे स्क्रीनशॉट में आप इनकैप्सुलेशन देख सकते हैं:



यह एक ICMP मैसेजिंग एक्सचेंज था। सभी स्रोत डेटा को एन्क्रिप्ट किया गया है, जिसमें पुराने आईपी भी शामिल है, नया आईपी हेडर IPSec कॉन्फ़िगरेशन पर आधारित है।

5) अंतिम नोड पर, राउटर देखता है कि गंतव्य का पता उसी से संबंधित है, आईपी हेडर को हटाता है और IPSec हेडर को देखता है, यह इस प्रोटोकॉल को प्रोसेसिंग के लिए प्रोटोकॉल में भेजता है। बाद को डिक्रिप्ट किया जाता है, सभी सेवा जानकारी हटा दी जाती है, और मूल पैकेट आगे की यात्रा करता है।

हमने ऐसा अजीब पिंग क्यों चलाया? इसमें, हमने प्रेषक के पते को स्पष्ट रूप से इंगित किया।

यदि हम पिंग 10.1.1.0 शुरू करने की कोशिश करते हैं, तो यह काम नहीं करेगा, क्योंकि राउटर स्वचालित रूप से प्रेषक के रूप में भौतिक इंटरफ़ेस के पते को प्रतिस्थापित करता है: 100.0.0.1, जो हमारे एसीएल में नहीं गिरता है, और इसलिए पैकेट अंतिम उपाय के प्रवेश द्वार पर जाने की कोशिश करता है।

हमारे यहाँ सबसे बड़ी समस्या क्या है? बिंगो! गतिशील रूटिंग ऐसी स्थितियों में इसे लागू करना असंभव है - सभी आईजीपी को पड़ोसियों के बीच प्रत्यक्ष एल 2 लिंक की आवश्यकता होती है, जो आईपीएससी प्रदान नहीं करता है। इसलिए, इस कार्यान्वयन में, यातायात को एसीएल और एन्क्रिप्शन कार्ड के आधार पर सुरंग में भेजा जाता है, बजाय राउटिंग टेबल के।
साथ ही, हमें मल्टीकास्ट के साथ एक समस्या है, क्योंकि हम एसीएल में विशिष्ट सबनेट सेट करते हैं।

पूरा राउटर कॉन्फ़िगरेशन ।

=====================
टास्क नंबर 2

कॉन्फ़िगरेशन: IPsec

नोट:
समस्या को सैद्धांतिक और व्यावहारिक रूप से हल किया जा सकता है।
यदि आप कार्य को अभ्यास में आजमाते हैं, तो कार्य की शर्तों को ध्यान से देखें।

कार्य की स्थिति:
राउटर R1 केंद्रीय कार्यालय में स्थित है और 3 शाखाएं इससे जुड़ी होंगी (इस कार्य के लिए राउटर R1, R2, R3 पर्याप्त हैं। R3 - शाखाओं में से एक के रूप में)। शाखा कार्यालय विभिन्न क्षमताओं के साथ राउटर का उपयोग करते हैं, और आपको विभिन्न IPsec नीतियों का उपयोग करना चाहिए। कुल 3 अलग-अलग नीतियां हैं।
आर 3 राउटर पर, केंद्रीय कार्यालय के लिए सुरंग के अलावा, भागीदारों के साथ कई सुरंगें भी हैं। इसलिए, यहां विभिन्न नीतियां भी बनाई गई हैं।
ट्रैफिक केवल शाखाओं से केंद्रीय कार्यालय तक प्रेषित किया जाता है, शाखाओं के बीच कोई संचार नहीं है।

आर 3 शाखा से, आर 1 केंद्रीय कार्यालय वीपीएन सुरंग शुरू करने वाला डेटा उत्पन्न करता है।
प्रश्न: राउटर आपस में सुरंग बनाने के लिए डेटा प्रोटेक्शन पॉलिसी का क्या उपयोग करेंगे?

साइट पर कार्य का विवरण
=====================

यह एक सुरंग मोड, सहयोगियों था। हम अगले प्रदर्शन के लिए आगे बढ़ते हैं।

IPSec परिवहन मोड

यह टनलिंग से बहुत अलग है, लेकिन सबसे महत्वपूर्ण है एन्कैप्सुलेशन विधि।

यहाँ सुरंग मोड में IPsec पैकेट है


और यह परिवहन में IPSec पैकेट है:



यही है, सुरंग पूरी तरह से मूल पैकेट को एन्क्रिप्ट करता है और एक नया आईपी हेडर जोड़ता है। परिवहन आईपी स्तर से ऊपर सब कुछ एन्क्रिप्ट करता है, और आईपी हेडर इसे अपरिवर्तित छोड़ देता है।

मोटे तौर पर, आप एन्क्रिप्शन को सुनिश्चित करते हुए (एक सुरक्षित GRE की तरह कुछ) दो निजी नेटवर्क को सार्वजनिक रूप से जोड़ने के लिए सुरंग मोड का उपयोग करते हैं। आईपी ​​कनेक्टिविटी पहले से ही प्राप्त होने पर परिवहन प्रासंगिक है, लेकिन नोड्स के बीच ट्रैफ़िक को एन्क्रिप्ट किया जाना चाहिए।
परिवहन मोड के आवेदन का एक अच्छा उदाहरण एक सर्वर-क्लाइंट योजना हो सकती है। उदाहरण के लिए, एक ग्राहक बैंक का काम। सर्वर पहले से ही उपलब्ध है, लेकिन ट्रैफ़िक को एन्क्रिप्ट किया जाना चाहिए।

लेकिन हम उस बारे में नहीं हैं। हमें अभी भी नेटवर्क कनेक्ट करने की आवश्यकता है।

=====================
टास्क नंबर 3

योजना: "कार्य 7.1 की अंतिम योजना"
डिवाइस कॉन्फ़िगरेशन: प्रोजेक्ट वेबसाइट पर

समस्या का विवरण:
R1 और R4 के बीच कोई डेटा प्रसारित नहीं होता है।

स्थापना:
त्रुटि का पता लगाएं और कॉन्फ़िगरेशन को ठीक करें ताकि R1 और R4 के बीच की सुरंग स्थापित हो और R1 और R4 के बीच ट्रैफ़िक संचारित हो।

साइट पर कार्य का विवरण
=====================

IPSec पर जीआरई

शुरुआती अक्सर भ्रमित हो जाते हैं ( यह लेखक के साथ हुआ ): GRE पर IPSec या IPSec से अधिक GRE। लागू होने पर क्या अंतर है। आप वहां रुक नहीं सकते
सामान्य मोड जिसे हम यहां मानते हैं और जिसका उपयोग अधिकांश मामलों में किया जाता है, वह IPSec पर GRE है, अर्थात, GRE डेटा ESP या AH हेडर्स द्वारा एनकैप्सुलेटेड है।



और GRE पर IPSec का अर्थ है, इसके विपरीत, IPSec डेटा को अंदर एन्क्रिप्ट किया जाएगा, और ऊपर GRE / IP हेडर। उन्हें एन्क्रिप्ट नहीं किया जाएगा:



यह विकल्प संभव है, उदाहरण के लिए, यदि आपके पास सुरंग बनाने से पहले एक अलग डिवाइस पर एन्क्रिप्शन है



इस तरह की जुताई की आवश्यकता बहुत स्पष्ट नहीं है, इसलिए IPSec पर GRE का उपयोग आमतौर पर किया जाता है।

आइए हम अपनी पुरानी स्कीम पर लौटें और इस विकल्प को ठीक से लागू करें।



बेशक, एक ही समय में, हमारे पास फिर से सुरंग इंटरफ़ेस है (सामान्य जीआरई के रूप में कॉन्फ़िगर किया गया है):

इंटरफ़ेस सुरंग 0
आईपी ​​एड्रेस 10.2.2.1 255.255.255.252
सुरंग स्रोत 100.0.0.1
सुरंग गंतव्य 200.0.0.1

और फिर आप एक स्थिर मार्ग के साथ इसे आवश्यक यातायात को निर्देशित करते हैं।

आईपी ​​मार्ग 10.1.1.0 255.255.255.255 10.2.2.2

IPSec कॉन्फ़िगरेशन में यह क्या बदलता है?
सिद्धांत रूप में, भले ही आप कुछ भी नहीं बदलते हैं, सब कुछ पहले से ही काम करेगा, लेकिन यह हमारा तरीका नहीं है।
सबसे पहले, चूंकि सुरंग पहले से मौजूद है (जीआरई), IPSec का उपयोग करके इसे बनाने की कोई आवश्यकता नहीं है - आप इसे परिवहन मोड में डाल सकते हैं, जिससे अतिरिक्त आईपी हेडर पर 20 बाइट्स की बचत होगी:

क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट AES128-SHA एस्प-ऐस एस्प-श-एचमैक
मोड परिवहन

* ध्यान दें, बदलें, यह दोनों पक्षों पर आवश्यक है, अन्यथा IPSec पड़ोस स्थापित नहीं किया जाएगा।

दूसरे, शाखाओं के बीच के सभी ट्रैफ़िक को एन्क्रिप्ट किया जाना चाहिए, अर्थात, जो सुरंग के माध्यम से जाता है, तदनुसार, एसीएल में सभी नेटवर्क को पंजीकृत करने की कोई आवश्यकता नहीं है, हम पेचीदा होंगे:

पहुँच-सूची 101 परमिट gre होस्ट 100.0.0.1 होस्ट 200.0.0.1

यह स्थिति पूरी हो जाती है यदि पोर्ट पर जीआरई हेडर और संबंधित पते वाला ट्रैफिक आ गया है।

इस स्थिति में क्या होगा?
1) 10.1.1.0 के गंतव्य पते के साथ एक पैकेट राउटर पर आता है, जो इसकी तालिका से निर्धारित करता है कि पैकेट को अगले-हॉप 10.2.2.2 तक प्रेषित किया जाना चाहिए

आर 1 # श आईपी मार्ग 10.1.1.0
10.1.1.0/32 के लिए रूटिंग प्रविष्टि
"स्थिर", दूरी 1, मीट्रिक 0 के माध्यम से जाना जाता है
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* 10.2.2.2
मार्ग मीट्रिक 0 है, ट्रैफ़िक शेयर की संख्या 1 है

2) यह एक सुरंग इंटरफ़ेस है जिसमें 200.0.0.1 का गंतव्य पता है। पैकेट को जीआरई हेडर और नए आईपी हेडर के साथ पैक किया गया है।

आर १ # श इंट ट्यून ०
टनल0 अप है, लाइन प्रोटोकॉल है
हार्डवेयर टनल है
इंटरनेट का पता 10.2.2.1/30 है
MTU 1514 बाइट्स, BW 9 Kbit, DLY 500000 usec,
विश्वसनीयता 255/255, txload 1/255, rxload 1/255
एनकैप्सुलेशन TUNNEL, लूपबैक सेट नहीं है
रखने योग्य सेट नहीं है
सुरंग स्रोत 100.0.0.1, गंतव्य 200.0.0.1
सुरंग प्रोटोकॉल / ट्रांसपोर्ट जीआरई / आईपी

3) नेटवर्क 200.0.0.1 पता 100.0.0.2 के माध्यम से जाना जाता है

आर 1 # श आईपी मार्ग
अंतिम चरण का गेटवे नेटवर्क 0.0.0.0 पर 100.0.0.2 है

और सबनेट 100.0.0.0/30 FE0 / 0 इंटरफ़ेस से जुड़ा है

आर 1 # श आईपी मार्ग 100.0.0.0
100.0.0.0/30, 1 ज्ञात सबनेट के लिए रूटिंग प्रविष्टि
संलग्न (1 कनेक्शन)

C 100.0.0.0 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 0

और यह एक ACL के साथ एक एन्क्रिप्शन कार्ड का उपयोग करता है।
ट्रैफ़िक, निश्चित रूप से, इसके अंतर्गत आता है (इसमें जीआरई हेडर और आवश्यक आईपी पते हैं), इसलिए बाहरी आईपी हेडर के अंदर जो कुछ भी है वह एन्क्रिप्ट किया जाएगा।

कार्य की ऐसी योजना आपको डायनामिक रूटिंग प्रोटोकॉल को ठीक से लागू करने की अनुमति देती है, साथ ही एन्क्रिप्शन की संभावना को छोड़कर मल्टीकास्ट ट्रैफ़िक को भी संचारित करती है। बुलियां अब लिफ्ट बनाने के लिए गुप्त व्यंजनों की चोरी करने में सक्षम नहीं होंगी।

=====================
टास्क नंबर 5

योजनाबद्ध: GRE_over_IPSec

कॉन्फ़िगरेशन: प्रोजेक्ट वेबसाइट पर

समस्या का विवरण:
R1 और R3 के बीच IPSec पर GRE सेट करने के बाद, सब कुछ ठीक काम करता है, R1 और R3 (10.0.0.0 से 10.1.1.0 तक) के बीच ट्रैफ़िक संचारित होता है।
हालांकि, कुछ दिनों के बाद, जब व्यवस्थापक वीपीएन की स्थिति देखना चाहता था, तो यह पता चला कि राउटर पर कोई एसएएस स्थापित नहीं थे।
तदनुसार, आर 1 और आर 3 के बीच यातायात एन्क्रिप्ट नहीं किया गया है।

स्थापना:
सेटिंग्स की जांच करना, कॉन्फ़िगरेशन को सही करना और ट्रैफ़िक को एन्क्रिप्ट करना आवश्यक है (लूपबैक इंटरफेस के बीच 10.0.0.0 और 10.15.0)।

साइट पर कार्य का विवरण
=====================

IPSec के लिए पूर्ण राउटर कॉन्फ़िगरेशन ।

आप यहां एक और जोड़ कर सकते हैं: तकनीकी रूप से, आप पैकेट से चार-बाइट जीआरई हेडर को बाहर कर सकते हैं, दोनों तरफ इंगित करते हैं कि आईपीआईपी सुरंग ऑपरेटिंग मोड:

इंटरफ़ेस सुरंग 0
सुरंग मोड आईपीआईपी

यह याद रखना चाहिए कि इस मामले में केवल जीआर के मामले में ही आईपी डेटा को एनकैप्सुलेट किया जा सकता है, किसी भी तरह से नहीं।

=====================
टास्क नंबर 4

योजनाबद्ध: GRE_over_IPSec

कॉन्फ़िगरेशन: "GRE_over_IPSec"

स्थापना:
IPSec कॉन्फ़िगरेशन पर प्रारंभिक GRE बदलें और Crypto- मैप का उपयोग किए बिना IPsec पर GRE कॉन्फ़िगर करें।

साइट पर कार्य का विवरण
=====================

IPSec VTI

IPSec का उपयोग कर साइट-टू-साइट वीपीएन का नवीनतम उदाहरण, जो वास्तव में, tsiska द्वारा अनुशंसित है - VTI (वर्चुअल टनल इंटरफ़ेस)

IPSec स्थापित करना इस मायने में अलग है कि अब हमें क्रिप्टो-मैप (और, तदनुसार, एक ACL) बनाने की आवश्यकता नहीं है, इसके बजाय हम एक IPSec प्रोफ़ाइल बनाते हैं।

क्रिप्टोकरंसी isakmp नीति 1
प्रमाणीकरण पूर्व साझा करें

क्रिप्टो isakmp कुंजी DMVPNpass पता 0.0.0.0 0.0.0.0

क्रिप्टो ipsec ट्रांसफॉर्म-setVTI-TS एस्प-एन्स
मोड परिवहन

क्रिप्टो ipsec प्रोफ़ाइल VTI-P
सेट ट्रांसफ़ॉर्म-सेट VTI-TS

और यह, बदले में, सुरंग इंटरफ़ेस के लिए बाध्य होना चाहिए।

इंटरफ़ेस सुरंग 0
सुरंग संरक्षण ipsec प्रोफ़ाइल DMVPN-P

पहले इस्तेमाल किए गए क्रिप्टो नक्शे से अंतर यह है कि अब एसीएल बनाने की कोई आवश्यकता नहीं है - सुरंग में प्रवेश करने वाले सभी ट्रैफ़िक को एन्क्रिप्ट किया गया है (एन्क्रिप्शन कार्ड अभी भी बनाए गए हैं, लेकिन पहले से ही स्वचालित रूप से)।

यह वीटीआई के बिना सामान्य सुरंग संरक्षण निकला। भी व्यापक रूप से इस्तेमाल किया।
सुरंग मोड ipsec ipv4 कमांड VTI के उपयोग को इंगित करता है।
एन्कैप्सुलेशन विधियों में नियमित जीआरई से अंतर यह है कि जीआरआई में हेडर को छोड़कर 4 बाइट्स बचाए जाते हैं।

छोटा विवरण
IPSec VTI के लिए पूर्ण राउटर कॉन्फ़िगरेशन ।

DMVPN

आज की रिलीज़ का एपोथीसिस डीएमवीपीएन (डायमिक मल्टीपॉइंट वीपीएन) है। अब तक, हम सार्वभौमिक विक्रेता-स्वतंत्र चीजों के बारे में बात कर रहे हैं। दुर्भाग्य से, DMVPN एक विशुद्ध रूप से tsiskovy चीज है और अभी तक पर्याप्त खुले एनालॉग नहीं हैं (सही है अगर मैं गलत हूं)।

पिछले भागों में, हमने संचारित डेटा की सुरक्षा के साथ समस्या को हल किया - अब हम इसे एन्क्रिप्ट करते हैं - और IGP के साथ - IPSec पर GRE के माध्यम से हम डायनामिक रूटिंग प्रोटोकॉल का उपयोग करते हैं।
अंतिम समस्या जो बनी हुई है वह है स्केलेबिलिटी।
जब आपके पास ऐसा ग्रिड हो तो अच्छा है:



प्रत्येक नोड पर दो सुरंगें और यह है।
एक और नोड जोड़ें:



और एक और:



पूरी तरह से जुड़े टोपोलॉजी प्राप्त करने के लिए पहले से ही बहुत अधिक सुरंगों की आवश्यकता है। विशिष्ट एम * (एम -1) / 2 जटिलता की समस्या।
यदि आप फुल-मेश का उपयोग नहीं करते हैं, लेकिन एक केंद्रीय बिंदु के साथ हब-एंड-स्पोक टोपोलॉजी की ओर मुड़ते हैं, तो एक और समस्या दिखाई देती है - किसी भी शाखाओं के बीच यातायात केंद्रीय नोड के माध्यम से जाएगा।

DMVPN दोनों समस्याओं को हल करता है।
सार यह है: हब (या कई) के केंद्रीय बिंदु का चयन किया जाता है। यह वह सर्वर होगा जिससे क्लाइंट (स्पोक) सभी आवश्यक जानकारी कनेक्ट और प्राप्त करेंगे। इस मामले में:

1) डेटा IPSec द्वारा एन्क्रिप्ट किया जाएगा
2) ग्राहक केंद्रीय नोड को दरकिनार करते हुए सीधे एक-दूसरे को यातायात स्थानांतरित कर सकते हैं
3) केवल केंद्रीय साइट पर एक स्थिर सार्वजनिक आईपी पते की आवश्यकता होती है। दूरस्थ नोड्स में एक गतिशील पता हो सकता है और यहां तक ​​कि निजी श्रेणियों ( NAT Traversal प्रौद्योगिकी) के पते का उपयोग करके NAT के पीछे स्थित हो सकता है। लेकिन एक ही समय में, गतिशील सुरंगों के संबंध में प्रतिबंध उत्पन्न होते हैं।

यह जीआरआरपी और आईजीपी के साथ सुगंधित जीआरई और आईपीएससीई की शक्ति का सारा ध्यान है।

DMVPN का सिद्धांत और अभ्यास

हमारे पुराने नेटवर्क से सार, हम केवल मास्को, इंटरनेट पर विचार करेंगे, जो कि बालगान-टेलीकॉम राउटर, और नोवोसिबिर्स्क, टॉम्स्क और ब्रनो में शाखाओं द्वारा अनुकरण किया जाएगा:



नई आईपी योजना:
शाखाओं के इंटरनेट से जुड़ने के लिए समर्पित सबनेट:



लैन:



सुरंग इंटरफेस के लिए, आंतरिक नेटवर्क लें:



और उनके लिए लूपबैक पते भी निर्दिष्ट करें:



विचार यह है कि केंद्रीय नोड पर एक एकल गतिशील सुरंग होगी, जिसे हम बहुत शुरुआत में कॉन्फ़िगर करेंगे, और नए दूरस्थ बिंदुओं को जोड़ते समय, यहां किसी भी परिवर्तन की आवश्यकता नहीं है - न तो नई सुरंग इंटरफेस जोड़ें, और न ही किसी मौजूदा को पुन: कॉन्फ़िगर करें।
वास्तव में, नए नोड्स जोड़ते समय, आपको केवल उन्हें कॉन्फ़िगर करने की आवश्यकता होती है।
हर जगह NHRP प्रोटोकॉल लॉन्च किया गया है - NBMA नेक्स्ट हॉप रिज़ॉल्यूशन प्रोटोकॉल।
यह आपको दूरस्थ बिंदुओं के पते को गतिशील रूप से जानने की अनुमति देता है जिसे आप मुख्य से कनेक्ट करना चाहते हैं।
यह वीपीएन को गुणा करने की क्षमता पर आधारित है। हब (मध्य नोड) यहाँ एक सर्वर (NHS - नेक्स्ट-हॉप सर्वर) के रूप में कार्य करता है, और सभी रिमोट नोड क्लाइंट (NHC - नेक्स्ट-हॉप क्लाइंट) होंगे।
यह जटिल लगता है। उंगलियों पर समझाना भी असंभव है। आपको केवल एक बार कॉन्फ़िगर करने की आवश्यकता है और देखें कि पैकेट कैसे चलते हैं।

हब विन्यास:

इंटरफ़ेस सुरंग 0
आईपी ​​पता 172.16.254.1 255.255.255.0
आईपी ​​nhrp नक्शा बहुस्त्र्पीय गतिशील
आईपी ​​nhrp नेटवर्क-आईडी १
सुरंग स्रोत FastE ईथरनेट0 / 1.6
सुरंग मोड जीआरई मल्टीपॉइंट

क्रम में:
आईपी ​​पता 172.16.254.1 255.255.255.0 - वांछित सीमा से आईपी पता।
ip nhrp मैप मल्टीकास्ट डायनेमिक - डायनामिक रूप से क्लाइंट से NHRP डेटा की जांच करता है। चूंकि हमारे पास कई ग्राहक हैं और वे गतिशील पते के साथ हो सकते हैं, इसलिए हब पर आंतरिक और बाहरी पते के स्पष्ट पत्राचार को स्थापित करना असंभव है।
ip nhrp network-id 1 - नेटवर्क आईडी को परिभाषित करें - सिर्फ एक पहचानकर्ता जिसे सभी DMVPN नोड्स (OSPF राउटर-आईडी के समान) पर समान नहीं होना चाहिए।
सुरंग स्रोत FastE ईथरनेट0 / 1.6 - विरासत जीआरई - भौतिक इंटरफ़ेस के लिए बाध्यकारी।
टनल मोड gre मल्टीपॉइंट - केंद्रीय नोड पर टनल दूरस्थ बिंदुओं से सभी सुरंगों को समाप्त कर देगा। यानी यह एक पॉइंट-टू-मल्टीप्वाइंट होगा।

शाखा विन्यास:

इंटरफ़ेस सुरंग 0
आईपी ​​पता 172.16.254.2 255.255.255.0
ip nhrp नक्शा 172.16.254.1 198.51.100.2
ip nhrp मैप मल्टिकास्ट 198.51.100.2
आईपी ​​nhrp नेटवर्क-आईडी १
ip nhrp nhs 172.16.254.1
आईपी ​​nhrp पंजीकरण कोई अद्वितीय नहीं
सुरंग स्रोत FastE ईथरनेट0 / 0
सुरंग मोड जीआरई मल्टीपॉइंट

क्रम में:
आईपी ​​पता 172.16.254.2 255.255.255.0 - वांछित सीमा से आईपी पते।
ip nhrp map 172.16.254.1 198.51.100.2 - हब के आंतरिक और बाहरी पतों का स्थिर अनुपात।
ip nhrp map मल्टीकास्ट 198.51.100.2 मल्टीकास्ट ट्रैफ़िक को हब प्राप्त करना चाहिए।

इस आदेश के बिना, आपके पास समस्या के कुछ बहुत ही रोचक लक्षण होंगे।
इसलिए आपने OSPF, पेयरिंग राइज़, हब और शाखाओं को पूर्ण, परिवर्तित मार्गों पर स्विच किया, और आप पहले से ही खुश हैं कि सब कुछ ठीक है, और यहाँ धमाके गायब हो गए हैं, पियर गायब हो गए हैं, लेकिन केवल एक तरफ, वे कहते हैं कि मृत-समय समाप्त हो गया है।

* मार्च १ ०१: ५१: २०.३३१:% ओएसपीएफ-५-एडीजेसीजी: प्रक्रिया १, एनबीआर १55२.१६.२५.२ २.२५.२५.२ २.५.२५.२५.२ पर सुरंग से ०५ बजे तक, नीचे, पड़ोसी नीचे: मृत टाइमर समाप्त हो गया
msk-arbat-gw1 #
* मार्च १ ०१: ५१: २५.४३५:% ओएसपीएफ-५-एडीजेसीजी: प्रक्रिया १, एनबीआर १55२.१६.२५.२ २.५ से २.५ बजे तक टनल ० से लेकर पूर्ण, लोडिंग डन

अरे ये क्या?
हम डीबग करते हैं, हम नम दिखते हैं

* मार्च १ ०१: ५३: ४४.९ १५: ओएसपीएफ: २२४.०.०.५ क्षेत्र ० पर फास्टेयूरे ० / १.१ को १.1२.१६.२.१ से भेजें
* मार्च १ ०१: ५३: ४४.९ १ ९: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०२ फास्टैक्टर ० / १0० पर १.1२.१६.२.३३ से भेजें
* मार्च १ ०१: ५३: ४४.९ २३: ओएसपीएफ: २२४.०.०.५ क्षेत्र ० पर भेजें फास्टैक्टर ० / १.५ से १.1२.१६.२.१ 53
* मार्च १ ०१: ५३: ४४.९ २३: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०२ को फास्टैटर ० / १0 पर १.1२.१६.२.१२ ९ से भेजें
* मार्च १ ०१: ५३: ४४.९ ६३: ओएसपीएफ: १२२.१६.२५४.१ से टनलू ० पर २२४.०.०.५ क्षेत्र ० पर हैलो भेजें।
msk-arbat-gw1 #
* मार्च १ ०१: ५३: ५४.९ १ ९: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ० १ from२.१६.२.१ से फास्टैथर ०१ / १.४ पर हेल्लो भेजें।
* मार्च १ ०१: ५३: ५४.९ २३: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०२ फास्टैथर ० / १lo पर १.1२.१६.२.३३ से भेजें
* मार्च १ ०१: ५३: ५४.९ २:: ओएसपीएफ: २२४.०.०.५ क्षेत्र ० पर भेजें फास्टैक्टर ० / १.५ से १.1२.१६.२.१ 53
* मार्च १ ०१: ५३: ५४.९ ३१: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०२ फास्टैक्टर ० / १lo पर १.1२.१६.२.१२ ९ से भेजें
* मार्च १ ०१: ५३: ५४.९ ६३: ओएसपीएफ: १२२.१६.२५४.१ से टनलू ० पर २२४.०.०.५ क्षेत्र ० पर हैलो भेजें।
msk-arbat-gw1 #
* मार्च १ ०१: ५४: ०४.९ १ ९: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ० १ from२.१६.२.१ से फास्टैथर ० / १.४ पर हेल्लो भेजें।
* मार्च १ ०१: ५४: ०४.९ २ from: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०१ फास्टैथर ० / १.E पर १ /२.१६.२.३३ से भेजें
* मार्च १ ०१: ५४: ०४.९ ३१: ओएसपीएफ: २२४.०.०.५ क्षेत्र के लिए ०२ फास्टैक्टर ० / १.५ पर १.1२.१६.२.१ 54 से भेजें
* मार्च १ ०१: ५४: ०४.९ ३५: ओएसपीएफ: २२४.०.०.५ क्षेत्र ० पर भेजें फास्टैक्टर ० / १EE से १.1२.१६.२.१२ ९
* मार्च १ ०१: ५४: ०४.९ ६३: ओएसपीएफ: १२२.१६.२५४.१ से टनलू ० पर २२४.०.०.५ क्षेत्र ० पर हैलो भेजें।


हब से 5 ओएसपीएफ हैलो पर, शाखा से केवल एक हैलो।
जैसा कि आप पहले से ही समझ चुके हैं, राउटर केवल यह पता नहीं लगा सकता है कि 224.0.0.5 पते पर मल्टीकास्ट संदेश भेजने के लिए, हब उन्हें प्राप्त नहीं करता है और ओएसपीएफ सत्र खींचता है।

आईपी ​​nhrp नेटवर्क-आईडी 1 - नेटवर्क आईडी।इसका हब पर समान नहीं होना है।
ip nhrp nhs 172.16.254.1 - सांख्यिकीय रूप से कॉन्फ़िगर किया गया NHRP सर्वर पता - हब। यही कारण है कि केंद्र में हमें एक स्थिर सार्वजनिक पते की आवश्यकता है। ग्राहक हब 172.16.254.1 को पंजीकरण अनुरोध भेजते हैं। इस अनुरोध में सुरंग इंटरफ़ेस का कॉन्फ़िगर किया गया स्थानीय पता, साथ ही इसका सार्वजनिक पता (केस जब क्लाइंट NAT के पीछे नहीं है, तब भी शामिल नहीं है)।
हब अपने NHRP एड्रेस मैपिंग टेबल में प्राप्त सूचनाओं को दर्ज करता है। यह किसी भी स्पोक राउटर के अनुरोध पर एक ही टेबल वितरित करता है।

ip nhrp रजिस्ट्रेशन नो-यूनिक - यदि शाखाओं में पता गतिशील रूप से जारी किया जाता है, तो यह कमांड आवश्यक है।
सुरंग स्रोत FastE ईथरनेट0 / 0 - भौतिक इंटरफ़ेस के लिए बाध्यकारी।
टनल मोड gre मल्टीपॉइंट - हम संकेत देते हैं कि टनल का प्रकार mGRE है - इससे आप न केवल हब, बल्कि अन्य शाखाओं में भी डायनामिक रूप से टनल बना सकेंगे।

हमारी स्थिति सरल है - NAT के बिना - और अब हम सुरंगों की स्थिति की जांच कर सकते हैं।

msk-arbat-gw1 # sh int tun 0
Tunnel0 अप है, लाइन प्रोटोकॉल ऊपर है,
हार्डवेयर है सुरंग
इंटरनेट पता 172.16.254.1/24
MTU 1514 बाइट्स, BW 9 Kbit,
DLY 5005 usec, विश्वसनीयता 255/255, txload 1/255 है। , rxload 1/255
Encapsulation सुरंग, लूपबैक सेट नहीं
KeepAlive नहीं सेट
सुरंग स्रोत 198.51.100.2 (FastEthernet0 / 1.6), गंतव्य अज्ञात
सुरंग प्रोटोकॉल / परिवहन बहु जीआरई / आईपी
कुंजी विकलांग, विकलांग उन्हें क्रमबद्ध
पैकेट विकलांग की checksumming

msk-arbat-gw1#ping 172.16.254.2

गर्भपात के लिए भागने का क्रम टाइप करें।
Sending 5, 100-byte ICMP Echos to 172.16.254.2, timeout is 2 seconds:
!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 176/213/284 ms

msk-arbat-gw1#sh ip nhrp brief
Target Via NBMA Mode Intfc Claimed
172.16.254.2/32 172.16.254.2 198.51.101.2 dynamic Tu0
msk-arbat-gw1#sh ip nhrp
172.16.254.2/32 via 172.16.254.2, Tunnel0 created 00:09:48, expire 01:50:11
Type: dynamic, Flags: authoritative unique registered
NBMA address: 198.51.101.2

nsk-obsea-gw1#sh ip nhrp brief
Target Via NBMA Mode Intfc Claimed
172.16.254.1/32 172.16.254.1 198.51.100.2 static Tu0

OSPF

यही है, कनेक्टिविटी पहले से ही प्रदान की गई है, लेकिन शाखाएं अभी तक काम नहीं कर सकती हैं - रूटिंग कॉन्फ़िगर नहीं है।

यहाँ प्रत्येक प्रोटोकॉल के लिए इसकी सूक्ष्मताएँ पॉप अप होती हैं।
उदाहरण के लिए, OSPF कॉन्फ़िगरेशन प्रक्रिया देखें।

चूंकि हमारे पास सुरंग इंटरफेस पर एक प्रसारण L2 नेटवर्क है, इसलिए हम स्पष्ट रूप से इस नोड पर सुरंग इंटरफेस पर प्रसारण नेटवर्क के प्रकार का संकेत देते हैं:

आईपी ​​ospf नेटवर्क प्रसारण

इसके अलावा, DR को ऐसे नेटवर्क में चुना जाना चाहिए। यह तर्कसंगत है कि वे एक केंद्र बन जाते हैं। हम सभी स्पोक राउटर को डीआर चुनाव में भाग लेने से रोकते हैं:

आईपी ​​ospf प्राथमिकता ०

ठीक है, निश्चित रूप से, हम घोषित नेटवर्क को परिभाषित करते हैं।

राउटर ospf 1
नेटवर्क 172.16.0.0 0.0.255.255 क्षेत्र 0

नेटवर्क की घोषणा:

msk-arbat-gw1 # sh ip मार्ग

गेट का अंतिम रास्ता 198.51.100.1 से नेटवर्क 0.0.0.0 है

172.16.0.0/16 वेरिएबल सबनेट, 7 सबनेट, 3 मास्क है
C 172.16.2.128/30 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 1.8
सी 172.16.255.1/32 सीधे जुड़ा हुआ है, लूपबैक 0
C 172.16.254.0/24 सीधे जुड़ा हुआ है, सुरंग 0
C 172.16.2.32/30 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 1.7
C 172.16.2.16/30 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 1.5
C 172.16.2.0/30 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 1.4
O 172.16.255.128/32 [110/11112] 172.16.254.2, 00:05:14 के माध्यम से, सुरंग 0
198.51.100.0/28 को सबनेट किया गया, 1 सबनेट
C 198.51.100.0 सीधे जुड़ा हुआ है, FastE ईथरनेट0 / 1.6
198.51.100.1 के माध्यम से एस * 0.0.0.0/0 [1/0]

पिंग गुजरता है

msk-arbat-gw1 # पिंग 172.16.255.128

गर्भपात के लिए भागने का क्रम टाइप करें।
5, 100-बाइट ICMP इकोस को 172.16.255.128 पर भेजना, समय समाप्त होना 2 सेकंड है:
!!!
सफलता की दर 100 प्रतिशत (5/5), गोल-यात्रा मिनट / औसत / अधिकतम = 60/70/80 एमएस है

यह वह पैकेट है जो इंटरनेट पर प्रसारित होता है जैसे:

* nsk-obsea-gw1 fa0 / 0 से डंप

करना यह देखना कि हम एक शाखा से दूसरी शाखा में कैसे पिंग करते हैं:

nsk-obsea-gw1 # पिंग 172.16.255.132

गर्भपात के लिए भागने का क्रम टाइप करें।
5, 100-बाइट ICMP इकोस को 172.16.255.132 पर भेजा जा रहा है, टाइमआउट 2 सेकंड है:
!!!
सफलता की दर 100 प्रतिशत (5/5), गोल-यात्रा मिनट / औसत / अधिकतम = 132/231/492 एमएस

nsk-obsea-gw1 # अनुरेखक 172.16.255.132

गर्भपात के लिए भागने का क्रम टाइप करें।
172.16.255.132 करने के लिए मार्ग ट्रेसिंग

1 172.16.254.3 240 msec * 172 msec की

एन एस-obsea-GW1 श # आईपी br nhrp
वाया NBMA Intfc को लक्ष्य-मोड दावा किया
172.16.254.1/32 172.16.254.1 198.51.100.2 स्थिर Tu0
172.16.254.3/32 172.16.254.3 198.51.102.2 गतिशील Tu0

जैसा कि आप देख सकते हैं, पैकेट हब पर नहीं जाते हैं, लेकिन इंटरनेट के माध्यम से सीधे किसी अन्य शाखा के राउटर पर जाते हैं। लेकिन वास्तविकता थोड़ी अधिक जटिल है।

इस समय क्या हो रहा है?
1) टॉम्स्क
2 में लूपबैक इंटरफ़ेस के पते पर एक पिंग भेजें ) रूटिंग टेबल के अनुसार, अगला हॉप

nsk-obsea-gw1 # sh ip मार्ग 172.16.255.132 172.16.255.132/32 के लिए
रूटिंग एंट्री
"ospf 1" के माध्यम से जाना जाता है, दूरी 110, मीट्रिक 11112, टाइप इंट्रा
अंतिम अपडेट 172.16.254.3 से Tunnel0, 00:18:47 पर। पहले
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* 172.16.254.3, 172.16.255.132 से, 00:18:47 पहले, टनलू
रूट मैट्रिक 11112 के माध्यम से , ट्रैफिक शेयर काउंट 1 है

यह टनल 0 से सीधे जुड़े नेटवर्क से एक पता है

nsk-obsea-gw1 # sh ip मार्ग 172.16.254.3 172.16.254.0/24 के लिए
रूटिंग एंट्री
"कनेक्टेड", दूरी 0, मीट्रिक 0 (कनेक्टेड, इंटरफ़ेस के माध्यम से)
रूटिंग विवरणिका ब्लॉकों के माध्यम से जाना जाता है :
* सीधे जुड़े हुए, Tunnel0
मार्ग मीट्रिक के माध्यम से। 0, ट्रैफिक शेयर गणना 1 है

3) इंटरफ़ेस सेटिंग्स के अनुसार, एनएचआरपी का उपयोग यहां किया जाता है। हम हब से प्राप्त पत्राचार तालिका को देखते हैं

nsk-obsea-gw1 # sh ip nhrp संक्षिप्त
लक्ष्य Via NBMA मोड Intfc का दावा
172.16.254.1/32 172.16.254.1 198.51.100.2 स्थिर Tu0

जैसा कि आप देख सकते हैं, पता 172.16.254.3 एनआरपी अज्ञात है ।
इसलिए, ICMP पैकेट को सांख्यिकीय रूप से कॉन्फ़िगर किए गए हब में भेजा जाता है - 198.51.100.2:

msk-arbat-gw1, fa0 / 1:


और हब तुरंत वांछित पते पर अनुरोध को रीडायरेक्ट करता है:

msk-arbat-gw1, fa0 / 1:


4) उसी समय, राउटर। नोवोसिबिर्स्क में एक ग्राहक एक एनएचआरपी अनुरोध भेजता है, वे कहते हैं कि पता कौन छुपा रहा है 172.16.254.3:

msk-arbat-gw1, fa0 / 1:


5) हब को यह ज्ञान है:

msk-arbat-gw1 # sh ip nhr br
लक्ष्य Via NBMA मोड Intfc दावा किया गया
172.16.254.2/32 172.16.254.2 198.51.101.2 डायनेमिक Tu0
172.16.254.3/32 172.16.254.3 198.51.10.10.2.2 गतिशील Tu02

और NHRP की प्रतिक्रिया में यह जानकारी भेजता है:

msk-arbat-gw1, fa0 / 1:


हब अब बातचीत में दो प्रवक्ता से नहीं मिलता है।

6) टॉम्स्क के लिए एक ICMP रिक्वेस्ट आई:

tmsk-lenina-gw1, fa0 / 0:


इस तथ्य के बावजूद कि स्रोत IP पता बाहरी हैडर में हब एड्रेस है, नोवोसिबिर्स्क के प्रारंभिक पते के अंदर

पता चलता है : 7) टॉम्स्क को भी इस बारे में कुछ पता नहीं है। पता 172.16.254.2 जिसने ICMP रिक्वेस्ट भेजी।

tmsk-lenina-gw1 (config-if) #do sh ip nh br
लक्ष्य Via NBMA मोड Intfc का दावा
172.16.254.1/32 172.16.254.1 198.51.100 स्थैतिक Tu0

इसलिए, वह हब के लिए एक ICMP प्रतिक्रिया भी भेजता है:
tmsk-lenina-gw1, fa0 / 0:


8) उसके बाद, वह प्रेषक के सार्वजनिक पते पर दिलचस्पी लेता है:

tmsk-lenina-gw1, fa0 / 0:


9) खैर, हब, ज़ाहिर है, हब। जिम्मेदार:

tmsk-lenina-gw1, fa0 / 0:


10) अब सभी नोड्स पर एनएचआरपी की वर्तमान जानकारी है:

msk-arbat-gw1 (config-if) #do sh ip nhr br
लक्ष्य Via NBMA मोड Intfc का दावा
172.16.254.2/32 172.16.254.2 198.51.101.2 डायनामिक डायनेमिक
172.16.254.3/32 172.16.254.3 198.51.102.2 गतिशील Tu02.22

nsk-obsea-gw1 (config-if) #do sh ip nhr br
लक्ष्य Via NBMA मोड Intfc दावा किया गया
172.16.254.1/32 172.16.254.1 198.51.100.2 स्थिर Tu2
172.16.254.3/32 172.16.254.3 198.51.102.2 गतिशील Tu0.22

tmsk-lenina-gw1 (config-if) #do sh ip nh br
लक्ष्य Via NBMA मोड Intfc दावा किया गया
172.16.254.1/32 172.16.254.1 198.51.100। स्थिर Tu0
172.16.254.2/32 172.16.254.2 198.51.101.101.1 गतिशील दिनांक

जैसा कि आप देख सकते हैं, वितरण स्वचालित रूप से नहीं होता है, लेकिन मांग पर, और केवल ग्राहक ही सर्जक होते हैं, क्योंकि वास्तव में, केवल वे जानते हैं कि कहां जाना है (हब शुरू में ग्राहकों के बारे में कुछ भी नहीं जानता है)

11) वह अगले ICMP अनुरोध को नए तरीके से भेजेगा:

nsk-obsea-gw1 # sh ip मार्ग 172.16.255.132 172.16.255.132/32 के लिए
रूटिंग एंट्री
"ospf 1" के माध्यम से जाना जाता है, 110 की दूरी, मीट्रिक 11112, टाइप इंट्रा का
अंतिम अपडेट 172.16.254.3 से Tunnel0, 00:20:24 तक। पहले
रूटिंग डिस्क्रिप्टर ब्लॉक्स:
* 172.16.254.3, 172.16.255.132 से, 00:20:24 पहले, टनल 0
रूट मीट्रिक के माध्यम से 11112 है, ट्रैफिक शेयर काउंट 1 है

सबनेट 172.16.254.0 टनल 0 से जुड़ा

nsk-obsea-gw1 # sh ip मार्ग 172.16.254.3 172.16.254.0/24 के लिए
रूटिंग एंट्री
"कनेक्टेड", दूरी 0, मीट्रिक 0 (कनेक्टेड, इंटरफ़ेस के माध्यम से)
रूटिंग
विवरणिका ब्लॉकों के माध्यम से जाना जाता है : * सीधे जुड़े हुए, Tunnel0
मार्ग मीट्रिक के माध्यम से। 0, ट्रैफिक शेयर गणना 1 है

12) हम थोड़ा दोहराते हैं, लेकिन ... सुरंग 0 इंटरफ़ेस mGRE है और NHRP तालिका के अनुसार, सभी ट्रैफ़िक जिसके लिए अगला हॉप 172.16.254.3 है, को GRE में और बाहरी IP शीर्षलेख को गंतव्य 198.51.102.2 के साथ एन्क्रिप्ट किया जाना चाहिए (स्रोत पता होगा भौतिक इंटरफ़ेस पता चुना गया है - 198.51.101.2):

nsk-obsea-gw1 (config-if) #do sh ip nhr br
लक्ष्य Via NBMA मोड Intfc दावा किया गया
172.16.254.1/32 172.16.254.1 198.51.100.2 स्थिर Tu2
172.16.254.3/32 172.16.254.3 198.51.102.2 गतिशील Tu0.22

tmsk-lenina-gw1, fa0 / 0:


13) ठीक है, फिर प्राप्तकर्ता पते 198.51.102.2 के साथ पैकेट रूटिंग टेबल के अनुसार भेजा जाता है:

गेट का अंतिम रास्ता 198.51.101.1 से नेटवर्क 0.0.0.0 है

यहां यह समझना महत्वपूर्ण है कि इस तथ्य के बावजूद कि शाखाओं के बीच संचार केंद्रीय नोड को दरकिनार कर रहा है, हब का हालांकि एक महत्वपूर्ण सहायक कार्य है और इसके बिना काम नहीं करेगा: यह एनएचआरपी तालिका के साथ ग्राहकों को प्रदान करता है, और सभी मार्गों की घोषणा भी करता है - शाखाएं मार्ग वितरित करती हैं जानकारी सीधे एक दूसरे के लिए नहीं है, लेकिन हब के माध्यम से।

नोड्स का वर्तमान विन्यास:

msk-arbat-gw1
interface Tunnel0
ip address 172.16.254.1 255.255.255.0
no ip redirects
ip nhrp map multicast dynamic
ip nhrp network-id 1
ip ospf network broadcast
ip ospf priority 10
tunnel source FastEthernet0/1.6
tunnel mode gre multipoint

nsk-obsea-gw1
interface Tunnel0
ip address 172.16.254.2 255.255.255.0
no ip redirects
ip nhrp map 172.16.254.1 198.51.100.2
ip nhrp map multicast 198.51.100.2
ip nhrp network-id 1
ip nhrp nhs 172.16.254.1
ip ospf network broadcast
ip ospf priority 0
tunnel source FastEthernet0/0
tunnel mode gre multipoint

tmsk-leneina-gw1
interface Tunnel0
ip address 172.16.254.3 255.255.255.0
no ip redirects
ip nhrp map 172.16.254.1 198.51.100.2
ip nhrp map multicast 198.51.100.2
ip nhrp network-id 1
ip nhrp nhs 172.16.254.1
ip ospf network broadcast
ip ospf priority 0
tunnel source FastEthernet0/0
tunnel mode gre multipoint
अंत

फिलहाल, निम्नलिखित समस्याएं हल हो गई हैं:
1) कनेक्टिविटी। शाखाएँ जुड़ी हुई हैं और उपलब्ध हैं।
२) रूटिंग। MGRE सुरंगों के माध्यम से IGP सफलतापूर्वक शुरू हुआ।
3) स्केलेबिलिटी। एक नया स्पोक-राउटर जोड़ते समय, केवल उसे कॉन्फ़िगर किया गया है और मौजूदा नोड्स के कॉन्फ़िगरेशन में जाने की कोई आवश्यकता नहीं है।
4) हब को उतार दिया - केवल आधिकारिक यातायात इसके माध्यम से प्रेषित होता है।

यह सुरक्षा समस्या को हल करने के लिए बनी हुई है।

IPSec

इसे पहले एन्क्रिप्शन की तरह हल किया गया है।
यदि साइट-टू-साइट वीपीएन के लिए हम अभी भी एक पूर्व-साझा कुंजी का उपयोग कर सकते हैं, क्योंकि हम IPSec सहकर्मी पते को सख्ती से सेट करते हैं, तो DMVPN के मामले में हमें लचीलेपन की आवश्यकता होती है, और अग्रिम में हम पड़ोसियों के पते नहीं जानते हैं।
इस संबंध में, प्रमाण पत्र के उपयोग की सिफारिश की जाती है। सिस्को पर सर्टिफिकेट अथॉरिटी सेंटर पर एक्सगू पर एक अच्छा लेख है ।

लेकिन सादगी के लिए, हम अभी भी पूर्व-साझा कुंजी सेटिंग लेते हैं।

क्रिप्टो isakmp नीति 1
प्रमाणीकरण पूर्व-शेयर

यह टेंशन प्रोटेक्शन और VTI से अलग होगा जो टेंपरेचर एड्रेस का उपयोग करके ऊपर चर्चा की गई है:

क्रिप्टो isakmp कुंजी DMVPNpass पता 0.0.0.0 0.0.0.0

यहां खतरा यह है कि आप हब, कुंजी, किसी भी उपकरण को जानने के साथ एक IPSec सत्र सेट कर सकते हैं।

यहां आप सुरक्षित रूप से परिवहन सुविधा का उपयोग कर सकते हैं:

क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट AES128-SHA एस्प-ऐस एस्प-श-एचमैक
मोड ट्रांसपोर्ट

क्रिप्टो ipsec प्रोफ़ाइल DMVPN-P
सेट ट्रांसफ़ॉर्म-सेट AES128-SHA

अगला, बनाया गया प्रोफ़ाइल टनल इंटरफ़ेस पर लागू होता है। सभी नोड्स पर सेटिंग समान है।

इंटरफ़ेस
टनल 0 टनल प्रोटेक्शन ipsec प्रोफाइल DMVPN-P

अब इंटरनेट पर प्रसारित पैकेट एन्क्रिप्ट किए जाएंगे:
msk-arbat-gw1, fa0 / 1:


बस सुरंग मोड ipsec ipv4 डालने का प्रयास न करें :)

IPSec सुरंगों और एन्क्रिप्शन कार्ड शाखाओं के बीच डेटा हस्तांतरण सत्रों के लिए गतिशील रूप से होंगे और हब चैनलों के लिए स्थायी होंगे। -Spoke।

नेट-Traversal

यहां हम NAT-T ऑपरेशन के सिद्धांतों में नहीं जाएंगे । मैं आपको केवल नीचे की पंक्ति दूंगा: IPSec एक अतिरिक्त UDP हेडर का उपयोग करके NAT के माध्यम से एक सुरंग का निर्माण कर सकता है। यह आपको उन साइटों पर भी वीपीएन बनाने की अनुमति देता है, जहां आपका सार्वजनिक पता नहीं है।
इस कार्यक्षमता को विशेष रूप से सक्रिय और कॉन्फ़िगर करने की आवश्यकता नहीं है - यह डिफ़ॉल्ट रूप से काम करता है।
हम ब्रनो में एक और राउटर जोड़कर योजना को जटिल बनाते हैं।



मान लीजिए कि यह लोहे का एक प्रदाता टुकड़ा है जो नैटिंग को बाहर निकालता है। यही है, वास्तव में, शाखा में राउटर पर हमारे पास भौतिक इंटरफ़ेस पर निजी श्रेणी से एक गतिशील पता होगा। शुद्ध जीआरई ऐसी शर्तों के तहत वीपीएन का निर्माण नहीं कर सकता है, आईपीएससीई कर सकता है, लेकिन इसे कॉन्फ़िगर करना मुश्किल है। IPSec के साथ संयोजन के रूप में mGRE आसानी से कर सकते हैं!

आइए देखें कि एनएचआरपी तालिका इस मामले में कैसी दिखती है:

msk-arbat-gw1 # शो ip nhrp संक्षिप्त
लक्ष्य Via NBMA मोड Intfc का दावा
172.16.254.4/32 172.16.254.4 10.0.0.2 डायनेमिक Tu0

यही है, उन्होंने अभी भी प्रदाता द्वारा आवंटित निजी पते का अध्ययन किया है।
यह ध्यान दिया जाना चाहिए कि अनुमार्गण तालिका में प्रदाता द्वारा जारी किए गए इस निजी पते पर एक मार्ग होना चाहिए, भले ही डिफ़ॉल्ट रूप से।

हमने सुरंग इंटरफ़ेस पर IPSec सक्रिय किया है, इसलिए एन्क्रिप्शन कार्ड होना चाहिए:

msk-arbat-gw1#show crypto map
Crypto Map «Tunnel0-head-0» 65537 ipsec-isakmp
Map is a PROFILE INSTANCE.
Peer = 198.51.103.2
Extended IP access list
access-list permit gre host 198.51.100.2 host 10.0.0.2
Current peer: 198.51.103.2
Security association lifetime: 4608000 kilobytes/3600 seconds
PFS (Y/N): N
Transform sets={
AES128-SHA,
}
Interfaces using crypto map Tunnel0-head-0:
Tunnel0

इस प्रकार, एक एन्क्रिप्टेड सुरंग 198.51.100.2 और 198.51.103.2 के बीच बनाई गई है, फिर सुरंग में NAT-T के कारण अभी भी एन्क्रिप्ट किया गया डेटा 10.0.0.2 हो जाता है। और फिर आप पहले से ही जानते हैं। एनएचआरपी

पर व्याख्यात्मक विस्तृत लेख । ==================== कार्य संख्या 6 प्रारंभिक विन्यास: "DMVPN"






परिदृश्य:
DMVPN नेटवर्क पूरी तरह से चालू था, सब कुछ सही ढंग से काम करता था।
लेकिन msk-arbat-gw1 हब को रिबूट करने के बाद, एक अजीब व्यवहार शुरू हुआ।

कार्य:
1. नेटवर्क प्रदर्शन की जाँच करें।
2. हब को रिबूट करें
3. रिबूट के बाद, नेटवर्क को फिर से जांचें
4. समस्या को ठीक करें:
4.1। (न्यूनतम) नेटवर्क को फिर से चालू करें
4.2।हब फिर से दिखाई देने के बाद नेटवर्क को अपने आप ठीक कर लें। साइट

पर कार्य का विवरण ======================

TShoot IPSec

अंत में, मैं कुछ शब्द कहना चाहता हूं कि IPSec के साथ समस्याओं को कैसे हल किया जाए। प्रक्रिया तुच्छ से दूर है।
डिबगिंग वीपीएन के समस्या निवारण में एक बड़ी भूमिका निभाता है। कॉन्फ़िगरेशन को बारीकी से देखने की विधि कम विश्वसनीय है - एक छोटी सी त्रुटि को याद करना आसान है।
IPSec ट्रबलशूट में एक अत्यंत मूल्यवान उपकरण है sh क्रिप्टो ipsec सा । नहीं, मामला बाइनरी "गुलाब - में वृद्धि नहीं" में भी नहीं है, लेकिन काउंटरों में, मुख्य रूप से एनकैप्स-डिकैप्स । आप निरंतर पिंग शुरू कर सकते हैं और देख सकते हैं कि कौन सा काउंटर बढ़ता है। अधिकांश समस्याओं का इस तरह से स्थानीयकरण किया जा सकता है।
काउंटर बिल्कुल नहीं बढ़ते हैं? देखें कि क्रिप्टो मानचित्र कहां लागू किया गया है और एसीएल के साथ सब कुछ ठीक है।
बढ़ती त्रुटि ? समन्वय के साथ कुछ गलत है, डीबग देखें।
आगे बढ़ें encaps , लेकिन वहाँ decaps ? सुरंग के विपरीत पक्ष का पता लगाने के लिए आगे बढ़ें, यहां सब कुछ ठीक है।

MTU

अंत में, हम एक कपटी पल की चर्चा करते हैं - एमटीयू का आकार। प्रत्येक प्रणाली / नेटवर्क प्रशासक के जीवन में, वह क्षण आता है जब समस्या के लक्षण निम्नानुसार होते हैं: यैंडेक्स खुलता है, पिंग काम करता है, लेकिन कोई अन्य साइट सुलभ नहीं है और आउटलुक कनेक्ट नहीं होता है।

शैतान एमटीयू की राशि और अतिरिक्त हेडर की उपस्थिति में है।

एमटीयू - अधिकतम संचरण इकाई। यह अधिकतम डेटा ब्लॉक आकार है जिसे इंटरफ़ेस के माध्यम से प्रेषित किया जा सकता है। यह अवधारणा L2 और L3 के चौराहे पर है और इसकी व्याख्या विभिन्न विक्रेताओं के लिए अलग-अलग हो सकती है।

उदाहरण के लिए, एक भौतिक L3 इंटरफ़ेस के लिए विशिष्ट MTU आकार 1500 है। अर्थात्, मोटे तौर पर, 1500 बाइट्स का एक आईपी पैकेट संसाधित किया जाएगा, और 1501 को गिरा दिया जाएगा या खंडित किया जाएगा। पैकेट विखंडन अक्सर निषिद्ध है, और इसलिए बड़े पैकेट त्याग दिए जाते हैं।

यदि आप टनलिंग का उपयोग करते हैं, तो अतिरिक्त हेडर (GRE, IPSec, आदि)
के कारण पैकेट का आकार बढ़ जाता है। उदाहरण के लिए, GRE: 24 बाइट्स (GRE, New IP)।
IPSec पर GRE के लिए: 56 और अधिक बाइट्स (
PPPoE: 36 (PPP, PPPoE, ईथरनेट) के लिए ऑपरेशन के प्रकार और एन्क्रिप्शन के प्रकार पर निर्भर करता है )

सुरंग इंटरफ़ेस में स्वयं एक मानक MTU 1514 है और इन पैकेटों को पास करता है, लेकिन भौतिक इंटरफ़ेस पर प्रदाता के पास MTU = है 1500, और उस पर पैकेट छोड़ दिया जाएगा:

R1#sh int tun 0
Tunnel0 is up, line protocol is up
Hardware is Tunnel
Internet address is 10.2.2.1/30
MTU 1514 bytes , BW 9 Kbit, DLY 500000 usec,

R1#sh int fa0/1
FastEthernet0/1 is administratively down, line protocol is down
Hardware is Gt96k FE, address is c000.19ac.0001 (bia c000.19ac.0001)
MTU 1500 bytes , BW 10000 Kbit, DLY 1000 usec,

यही है, आपको न केवल अपनी सेटिंग्स, बल्कि सभी मध्यवर्ती नोड्स की सेटिंग्स पर भी विचार करना चाहिए।
अक्सर आपके पास रास्ते में MTU को प्रभावित करने की क्षमता नहीं होती है।
इसलिए, आप स्थानीय तरफ MTU को कम कर सकते हैं, पथ MTU डिस्कवरी तंत्र का उपयोग कर सकते हैं, या यहां तक ​​कि MSS - अधिकतम सेगमेंट आकार (टीसीपी पर पहले से लागू होता है) को कॉन्फ़िगर कर सकते हैं। यहाँ और यहाँ
MTU समस्याओं के बारे में अधिक पढ़ें । सभी प्रकार की सुरंगों के लिए, यह एक बहुत ही विशिष्ट समस्या है। पिंग और यैंडेक्स क्यों काम करता है? ICMP रिक्वेस्ट और Relpy पैकेट्स 32 से 64 बाइट्स के आकार के होते हैं, ya.ru बहुत कम जानकारी देता है, जो सभी हेडर के साथ 1500 के स्वीकार्य आकार में फिट बैठता है। पुनश्च






दुर्भाग्य से, निम्नलिखित निर्बाध विषय अप्रभावित रहे:

कर्मचारियों के लिए दूरस्थ पहुंच के विषय को पूरी तरह से प्रवाहित किया।
इसके अलावा, FlexVPN का विषय अब बहुत प्रासंगिक है। यह वीपीएन तकनीक का एक नया दौर है। लेकिन यह IKE संस्करण 2 का उपयोग करता है और वर्तमान में समर्थित है, हमेशा की तरह सिस्को उपकरण द्वारा।
हम वास्तव में इन और उन और इन अधिक विषयों पर ध्यान देना चाहेंगे, लेकिन एक लेख के ढांचे में सब कुछ डालना असंभव है।

रिलीज सामग्री

IP योजना
डिवाइस कॉन्फ़िगरेशन GRE , IPSec , GRE ओवर IPSec , VTI , DMVPN )

उपयोगी लिंक

IPSec
www.firewall.cx/networking-topics/protocols/870-ipsec-modes.html
www.tcpipguide.com/free/t_IPSecModesTransportandTunnel.htm

DMVPN
www.anticisco.ru/blogs/?tag=dmvpn
xgu.ru/wiki/ % D0% 9D% D0% B0% D1% 81% D1% 82% D1% 80% D0% BE% D0% B9% D9% BA% D0% B0_DMVPN_% D0% BD0 D0% B0%% D0% BC0% B0% % B0% D1% 80% D1% 88% D1% 80% D1% 83% D1% 82% D0% B8% D0% B7% D0% B0% D1% 82% D0% BE1% 80% D0% B0% % D1% 85_Cisco

NHRP।
habrahabr.ru/post/84738
blog.ine.com/tag/nhrp
FlexVPN।
www.cisco.com/en/US/docs/ios-xml/ios/sec_conn_ike2vpn/configuration/15-2mt/sec-intro-ikev2-flex.html
habrahabr.ru/post/160555
alexandremspmoraes.wordpress.com/2012// 06/28 / हैलो-वर्ल्ड-सिंपल-लैन-टू-लैन-फ्लेक्स-वीपीएन-कॉन्फ़िगरेशन
alexandremspmoraes.wordpress.com/2012/07/02/flex-vpn-sample-lan-to-lan-configuration-with-dynamic-routing यह

लेख आपके लिए eucariot और gluck द्वारा तैयार किया गया था

, नताशा, ब्रेनवर्क कार्यों के लिए धन्यवाद ।

टिप्पणियों और मदद के लिए, JDima को धन्यवाद ।

चक्र "सबसे छोटे के लिए नेटवर्क" की अपनी वेबसाइट है: linkmeup.ru , जहां आप बड़े करीने से सभी मुद्दे पा सकते हैं और विचारशील पढ़ने के लिए तैयार हैं।

और आत्म-प्रचार के एक पल के रूप में: पिछले हफ्ते सिग्नलर्स के लिए पॉडकास्ट का एक शून्य मुद्दा था ।