मिकरोटिक राउटरओएस और केरियाओ कंट्रोल के बीच एक असफल-सुरक्षित IPSec वीपीएन सुरंग बनाना

केरियो कंट्रोल के संस्करण 8.1 से शुरू होकर, आप वीपीएन सुरंग बनाने के लिए न केवल मालिकाना केरीओ वीपीएन प्रोटोकॉल का उपयोग कर सकते हैं, बल्कि पूरी तरह से सही आईपीएससी भी बना सकते हैं। और हां, मैं तुरंत मिकरोटिक और केरियो कंट्रोल को पार करना चाहता था।

इस लेख में मैं कई कनेक्शन योजनाओं के बारे में बात करूंगा। तो, पहली योजना।

दो सबनेट का मेल। यह सरल है।

और तुरंत कनेक्शन की दिशा के विषय पर एक छोटा सा विषयांतर। यानी सुरंग का कौन सा छोर स्वीकार करता है और कौन सा वीपीएन कनेक्शन शुरू करता है। जब केरियाओ नियंत्रण आरंभ करता है तो यह योजना केरो टनल और मकारोटिक के कई WAN इंटरफेस होने की स्थिति में वीपीएन सुरंगों की दोष सहिष्णुता के प्रावधान को आसान बनाने के लिए चुना जाता है। मैं इस लेख के चौथे भाग के बारे में विस्तार से बताऊंगा। सभी मामलों में, मैं पूर्वनिर्धारित कुंजी (पासवर्ड) के साथ प्रमाणीकरण का उपयोग करूंगा।

राउटरओएस 6.1 पर केरिओ कंट्रोल और मिकरोटिक राउटरबोर्ड के बीच IPsec के बारे में कनेक्ट करने के लिए, आपको निम्नलिखित सेटिंग्स के साथ नियंत्रण पक्ष पर एक नई IPsec सुरंग बनाने की आवश्यकता है:

• सामान्य पैरामीटर। सक्रिय मोड (नियंत्रण मिकरोटिक से कनेक्शन शुरू करता है)। मिकरोटिक बाहरी इंटरफ़ेस का आईपी पता या डीएनएस नाम दर्ज करें। उदाहरण में - 109.172.41.XXX
• प्रमाणीकरण। पूर्वनिर्धारित कुंजी। एक मजबूत पासवर्ड दर्ज करें।
• स्थानीय आई.डी. नियंत्रण गेटवे या नियंत्रण के बाहरी IP पते का मनमाना नाम। उदाहरण में - drgs1-gtw02
• रिमोट आईडी बाहरी मिकरोटिक पता। यदि मिकरोटिक इंटरफ़ेस का WAN पता बाहरी पते से अलग है, तो Mikrotik में WAN इंटरफ़ेस पता निर्दिष्ट करें। एक क्लासिक उदाहरण, जब एक प्रदाता अपने ग्रे लैन से मिक्रोटिक नेटवर्क इंटरफ़ेस के लिए एक डीएचसीपी आईपी पता जारी करता है, जिसके लिए वह बाहरी स्थिर आईपी पते पर आने वाले पैकेट को जारी करता है जो आपको जारी किया गया था। यह लेख इस तरह के एक विकल्प का वर्णन करता है। इसलिए, उदाहरण में - 10.48.113.102।
• रिमोट नेटवर्क। मिकरोटिक के लिए स्थानीय सबनेट के नेटवर्क \ मास्क को निर्दिष्ट करें। उदाहरण के लिए 192.168.88.0/24।
• स्थानीय क्षेत्र नेटवर्क। Kerio नियंत्रण के पीछे network \ local सबनेट मास्क निर्दिष्ट करें। उदाहरण के लिए 192.168.10.0/24।

मिकरोटिक पक्ष में सुरंग को कॉन्फ़िगर करने के लिए, आपको विनबॉक्स के माध्यम से राउटर से कनेक्ट करने और IKE, IPSec-esp, IPSec-ah, या अस्थायी रूप से सभी UDP ट्रैफ़िक को डीबग करने की अनुमति देने के लिए फ़ायरवॉल नियम जोड़ने की आवश्यकता है (मैं दृढ़ता से आपको सभी UDP को अनुमति नहीं देने की सलाह देता हूं - क्रोधित लोगों को DNS प्रश्नों के फारवर्डर के रूप में उपयोग किया जाता है) कम से कम) इनपुट श्रृंखला में। ऐसा करने के लिए, टर्मिनल विंडो में, आपको निम्न कमांड चलाने होंगे:

/ip firewall filter add chain=input comment="Allow IKE" dst-port=500 protocol=udp
/ip firewall filter add chain=input comment="Allow IPSec-esp" protocol=ipsec-esp
/ip firewall filter add chain=input comment="Allow IPSec-ah" protocol=ipsec-ah
/ip firewall filter add chain=input comment="Allow UDP" protocol=udp

आदेश का परिणाम फ़ायरवॉल फ़िल्टर नियमों को जोड़ा जाएगा। मुझे लगता है कि यह सभी के लिए स्पष्ट है, लेकिन शुरुआती लोगों के लिए, मैं ध्यान देता हूं कि ये नियम इनपुट श्रृंखला में निषेध नियमों से ऊपर होने चाहिए। मेरे उदाहरण में, उपरोक्त नियम संख्या 13 है।



इसके बाद, आपको IPsec कॉन्फ़िगरेशन में एन्क्रिप्शन नीतियों (प्रस्ताव) को संपादित (या बनाना) करना होगा। अपनी सेटिंग्स को आंकड़े के अनुसार लाओ या टर्मिनल विंडो में नीचे बताए गए कमांड को निष्पादित करें।



यह एक ऐसी टीम है जो मौजूदा नीति मूल्य का संपादन करती है। यदि आपके पास प्रस्ताव में कोई डिफ़ॉल्ट मान नहीं हैं (बिल्कुल भी खाली नहीं हैं), तो आपको उन्हें आंकड़े के अनुसार बनाने की आवश्यकता है। और इस मामले में, कमांड को निष्पादित करने की आवश्यकता नहीं है ।

/ip ipsec proposal set [find default=yes] enc-algorithms=3des,aes-128 pfs-group=none

हमें सहकर्मी को कॉन्फ़िगर करने की आवश्यकता है और हम इस पर विशेष रूप से ध्यान केन्द्रित करेंगे। यह ध्यान दिया जाना चाहिए कि राउटर ओएस संस्करण 6.0 या अधिक में, IPsec साथियों और IPSec नीतियों के बारे में कुछ सेटिंग्स बदल गई हैं। विशेष रूप से, पीयर सेटिंग्स में नए विकल्प जोड़े गए हैं। अब सहकर्मी के लिए, आप निर्दिष्ट कर सकते हैं कि मिकरोटिक कनेक्शन शुरू करता है या स्वीकार करता है (केरो नियंत्रण में एनालॉग निष्क्रिय / सक्रिय)। चेतावनी यह है कि "निष्क्रिय" पैरामीटर जीयूआई के माध्यम से सेट नहीं किया जा सकता है। यह न तो विनबॉक्स में है, और न ही राउटर के प्रबंधन के लिए वेब-आधारित इंटरफ़ेस में। डिफ़ॉल्ट रूप से, जब Winbox के माध्यम से एक सहकर्मी बनाते हैं, तो यह सक्रिय हो जाता है और इसकी सेटिंग्स में निर्दिष्ट पते पर एक कनेक्शन स्थापित करने के लिए लगातार प्रयास करना शुरू कर देता है। इसलिए, हमारी सुरंग के निष्क्रिय छोर को बनाने के लिए, आपको सीएलआई का उपयोग करना चाहिए और टर्मिनल विंडो में एक कमांड निष्पादित करना होगा जहां "पासवर्ड" के बजाय आपको कॉन्फ़िगर करते समय केरिओ कंट्रोल साइड पर संकेतित पूर्वनिर्धारित कुंजी को निर्दिष्ट करने की आवश्यकता है।

/ip ipsec peer add address=109.172.42.XXX/32 dh-group=modp1536 exchange-mode=main-l2tp generate-policy=port-override hash-algorithm=sha1 passive=yes secret=password

कमांड का परिणाम एक निर्मित सहकर्मी होगा जो कनेक्शन के लिए इंतजार कर रहा है। यदि आपका WAN इंटरफेस NAT प्रदाता के पीछे है, तो NAT-Travesal चेकबॉक्स सेट करें



सहकर्मी को कॉन्फ़िगर करते समय, हमने IPsec नीतियों को स्वचालित रूप से जनरेट करने का विकल्प निर्दिष्ट किया था। इसलिए, हमें / ip ipsec नीतियों में कुछ भी बनाने की आवश्यकता नहीं है। कनेक्शन स्थापित होने के बाद आवश्यक नीतियां स्वचालित रूप से बनाई जाएंगी। यदि आप इसे केरियाओ कंट्रोल की सुरंग सेटिंग्स में सक्षम करना नहीं भूले हैं, तो यह सहकर्मी को जोड़ने के तुरंत बाद होगा।
उसके बाद, केरियाओ नियंत्रण पक्ष पर सुरंग को "कनेक्टेड" स्थिति में जाना चाहिए। मिक्रोटिक में, नीतियां टैब पर, स्वचालित रूप से बनाई गई नीति उन सबनेट के लिए दिखाई देनी चाहिए जो दूरस्थ नेटवर्क और स्थानीय नेटवर्क में केरो कंट्रोल को कॉन्फ़िगर करते समय निर्दिष्ट किए गए थे। "इंस्टॉल किए गए एसएएस" में आप देखेंगे कि आपकी सुरंग के छोर "दोस्त" हैं और अंत में "रिमोट पीयर" में आपको कनेक्शन की स्थिति दिखाई देगी।





सुरंग स्थापित है। लेकिन ट्रैफिक के लिए केरो कंट्रोल और मिकरोटिक के पीछे सबनेट्स के बीच से गुजरने के लिए, आपको फ़ायरवॉल के NAT नियमों में एक नियम जोड़ने की ज़रूरत है जो उस ट्रैफ़िक की अनुमति नहीं देगा जो आप सुरंग में भेजने के लिए मास्क करते हैं। यदि आप यह नियम नहीं बनाते हैं, तो नेटवर्क मित्र नहीं होंगे, भले ही सुरंग स्थापित हो। ऐसा करने के लिए, टर्मिनल विंडो में, आपको कमांड चलाना होगा:

/ip firewall nat add chain=srcnat dst-address=192.168.10.0/24 src-address=192.168.88.0/24

महत्वपूर्ण! नियम मसलिंग के नियमों से ऊपर होना चाहिए। यानी, NAT नियमों की सूची में सर्वोच्च होना।

उसके बाद, सबनेट 192.168.88.0/24 और 192.168.10.0/24 के बीच आंतरिक पते पर कनेक्शन काम करेगा। यह दो सबनेट के बीच सुरंग के विन्यास को पूरा करता है। लेकिन यह सरल था। और दिलचस्प ...

केरियो कंट्रोल के लिए मिकरोटिक और कई वीपीएन नेटवर्क के लिए नेटवर्क एकीकरण

आइए एक अधिक जटिल विकल्प पर विचार करें जब केरियो नियंत्रण के लिए अन्य नेटवर्क वीपीएन सुरंगों (उदाहरण के लिए) का उपयोग करके केंद्रीय कार्यालय से जुड़े केरीओ कंट्रोल के लिए मिकरोटिक के लिए स्थानीय नेटवर्क का उपयोग प्रदान करना आवश्यक है। नीचे दिए गए आंकड़े में एक नमूना आरेख दिखाया गया है।



यह आसान प्रतीत होगा? केरीओ कंट्रोल में वीपीएन सुरंग को कॉन्फ़िगर करने के लिए, आपको बस सभी सबनेट की एक सूची जोड़ने की आवश्यकता है, जिसके लिए आपको स्थानीय नेटवर्क से मिकरोटिक तक पहुंचने की आवश्यकता है और जिसके बारे में हेड ऑफिस को पहले से ही पता है, "लोकल एरिया नेटवर्क" सूची में। और, तदनुसार, मिकरोटिक में NAT नियम में पते की सीमा का विस्तार करें जो प्रच्छन्न नहीं होगा, उदाहरण के लिए, "पता सूची" में इस तरह के पते का एक समूह बनाकर और इस समूह को नियम के उद्देश्य में निर्दिष्ट करें।

जोड़ें, सुरंग को पुनर्स्थापित करें। हम देखते हैं कि सुरंग स्थापित हो गई है, IPsec नीतियों ने सभी सबनेट के लिए मजेदार स्वचालित नीतियां जोड़ी हैं, जिन्हें हमने केरो नियंत्रण पक्ष पर सुरंग सेटिंग्स में निर्दिष्ट किया है। स्थापित एसएएस में हम सभी सबनेट के लिए एसएएस बनाकर देखते हैं। बिंगो? लेकिन यह यहाँ नहीं था ...

मिकरोटिक में IPsec के विषय पर इंटरनेट की सोची-समझी धूम्रपान और विभिन्न प्रकार के राउटर्स के पीछे स्थानीय नेटवर्कों के संयोजन ने यह स्पष्ट कर दिया कि इस योजना के साथ सभी को एक ही समस्या है - मिक्रोटिक को समझाने की असमर्थता कि आखिर पैकेट कहाँ भेजें। लगभग सभी प्रकार के IPSec राउटर में, एक सुरंग एक अलग नेटवर्क इंटरफ़ेस है, जो तार्किक है। लेकिन मिकरोटिक में नहीं, और इसलिए उसके लिए रिमोट सबनेट के लिए पैकेट का मार्ग निर्धारित करना असंभव है। अभ्यास में, केरीओ कंट्रोल के साथ संयोजन में - मिकरोटिक ने लगातार अंतिम जोड़े एसएएस के माध्यम से पैकेट भेजे। पैकेज ईमानदारी से केंद्रीय कार्यालय पहुंचे और केरियाओ कंट्रोल को वहां छोड़ दिया गया। किसी भी लेख में मुझे इस मामले में मिकरोटिक के व्यवहार के तर्क की व्याख्या नहीं मिली। मैंने सब कुछ करने की कोशिश की, ऐसा लगता है, एक ही परिणाम के साथ संभव विकल्प। शून्य के साथ। कनेक्शन केवल एक सबनेट के साथ था - सुरंग की स्थापना के दौरान अंतिम स्वचालित रूप से जोड़ा गया था।

दिमागी तूफान के पांच दिन, एक खोया हुआ सपना, दो दिन का द्वि घातुमान - पीछे। नीचे वर्णित समाधान के विचार ने समाधान की तलाश के दूसरे दिन मुझे दौरा किया, लेकिन सबसे पहले यह एक अत्यंत कुटिल समाधान के रूप में चिह्नित किया गया था। क्यों मैं थोड़ी देर बाद कुटिल और दृश्यमान दोषों की व्याख्या करूंगा। लेकिन, जैसा कि आप जानते हैं, मछलीहीनता में - और कैंसर मछली है।

यदि मिकरोटिक IPSec नीतियों में एक सबनेट के साथ पूरी तरह से काम करता है, तो हमें करियो कंट्रोल सबनेट मास्क के पीछे अपने सबनेट को तार्किक रूप से संयोजित करने की आवश्यकता है। यानी एक में Kerio नियंत्रण के पीछे कुल सबनेट। सबनेट में पते 192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24 और 192.168.40.0/24 एक ही सबनेट 192.168.0.0/18 के भीतर होंगे, इस सबनेट को सूची में जोड़ें "स्थानीय नेटवर्क" जब सुरंग को कॉन्फ़िगर किया जा रहा है। केरियो नियंत्रण और एक सुरंग कनेक्शन स्थापित करना। मिकरोटिक एक एकल IPsec नीतियाँ बनाएगा और एक एकल SAs बनाएगा। अब वह गलत नहीं हो सकता कि पैकेट कहां भेजें। पिंग टेस्ट में मिकरोटिक से परे नेटवर्क के लिए नियंत्रण से परे सभी सबनेट की उपलब्धता दर्शानी चाहिए। यदि आप मिकरोटिक के साथ आईसीएमपी पहुंच की जांच करते हैं, तो आपको उदाहरण के लिए, WAN इंटरफ़ेस से नहीं, बल्कि पुल से शुरू करना चाहिए । यह एक बहुत ही सामान्य गलती है, जो CTNT की शैली में कराह रही है, कुछ भी काम नहीं करता है, हम सभी मर जाते हैं, पंजे टूट जाते हैं और पूंछ गिर जाती है, बचाओ-मदद।

दूरस्थ वीपीएन नेटवर्क से मिकरोटिक के पीछे के नेटवर्क में पैकेट वापस करने के लिए, आपको मिकरोटिक में नियम के एक एनालॉग को जोड़ने की आवश्यकता है, जो सुरंग में भेजे गए पैकेट के पैकेट की अनुमति नहीं देता है। क्योंकि वीपीएन नेटवर्क से मिकरोटिक के नेटवर्क के लिए सभी ट्रैफ़िक केंद्रीय शाखा के वीपीएन इंटरफ़ेस से जाएंगे, हमें ट्रैफ़िक नियमों की आवश्यकता है जो वीपीएन पते से स्रोत को सबनेट से उस पते पर बदलकर धोखा देगा जो मिक्रोटिक जानता है। आकृति में नियम। पता 192.168.10.2 केंद्रीय कार्यालय का आंतरिक प्रवेश द्वार का पता है।



उसके बाद, सबनेट के बीच ट्रैफ़िक एक्सचेंज सभी दिशाओं में जाएगा।

अब इस विधि के नुकसान के बारे में। इस तरह की योजना के साथ, स्थानीय नेटवर्क को "मार्ग" देना असंभव है (मैं उद्धरण चिह्नों में शब्द डालने का इरादा रखता हूं, क्योंकि वास्तव में ऐसी कोई दिनचर्या नहीं है जो केवल हेड ऑफिस से जुड़े विशिष्ट दूरदराज के सबनेट के लिए मिकरोटिक रूटिंग टेबल से दूरस्थ सबनेट तक समझने के लिए हैं। सैद्धांतिक रूप से, ऐसी संभावना है कि आप दूरस्थ उपनेट पर एक मुखौटा का उपयोग करके तार्किक रूप से पते को जोड़ नहीं सकते हैं। क्योंकि वे आम तौर पर नेटवर्क के विभिन्न वर्गों में हो सकते हैं। इस तथ्य के कारण कि बड़ी संख्या में पते सीमा में आते हैं, सिद्धांत रूप में एक संभावना है कि आपको इस सीमा से अन्य पते का उपयोग करने की आवश्यकता होगी IPSec सुरंग में नहीं, जो असंभव होगा। ध्यान दें , यदि आपका मिकरोटिक पता इस श्रेणी में आता है (!!!) तो सुरंग की स्थापना इस तथ्य को जन्म देगी कि आप मिकरोटिक के साथ संपर्क खो देते हैं। इस स्थिति में, मैक पते पर Winbox के माध्यम से इसे एक्सेस करें और सुरंग को अक्षम करें या इसे Kerio नियंत्रण पक्ष पर अक्षम करें। उसके बाद, या तो वीपीएन सुरंग स्थापित करते समय कंटोल से मिलने वाले रेंज के बाहर स्थानीय मिकरोटिक पते को स्थानांतरित करें, या यह (यानी केरीओ कंट्रोल के लिए स्थानीय नेटवर्क एकत्रीकरण के साथ विकल्प) आपके मामले में बिल्कुल भी नहीं है।

सामान्य तौर पर, मैं कहूंगा कि समाधान असंभव है। कुटिल, लेकिन काम करने वाला। मौजूदा बुनियादी ढांचे में, आपको स्थानीय सबनेट पते फिर से लिखना पड़ सकता है। लेकिन राउटरओएस के डेवलपर्स ने मुझे कोई विकल्प नहीं छोड़ा। विशलिस्ट में IPSec के लिए एक इंटरफ़ेस जोड़ना, जहाँ तक मुझे पता है, लंबे समय से। अंग्रेजी-भाषा मंचों में, मैंने बार-बार आँसू और निराशा से भरे डेवलपर्स के लिए याचिकाएँ देखी हैं।

हम एक VPN क्लाइंट के रूप में मिकरोटिक राउटर का उपयोग करते हैं

एक ग्राहक के रूप में मिकरोटिक का उपयोग करना IPSec और गैर-रूटिंग रूटिंग के साथ नृत्य के बारे में भूलना संभव बना देगा। लेकिन इस बात का ध्यान रखें कि करियो नियंत्रण के लिए स्थानीय नेटवर्क से मिकरोटिक के लिए नेटवर्क तक कोई पहुंच नहीं होगी। और यह तार्किक है। ध्यान दें कि कब से वीपीएन ग्राहकों सहित, कनेरियो कंट्रोल को कनेक्शन के लिए लाइसेंस दिया जाता है - इस प्रकार का कनेक्शन लाइसेंस प्राप्त कनेक्शन के काउंटर को एक कम कर देता है। ठीक है, या अगर एक सरल तरीके से - यह एकल कनेक्शन लाइसेंस का उपयोग करता है।

यहां सब कुछ बेहद सरल है। Kerio नियंत्रण में एक उपयोगकर्ता बनाएं या किसी मौजूदा को संपादित करें। "अधिकार" टैब पर, "उपयोगकर्ता वीपीएन के माध्यम से कनेक्ट कर सकते हैं" चेकबॉक्स सेट करें।



हम ट्रैफ़िक नियमों में एक नियम जोड़ते हैं जो आपको इंटरनेट से L2TP प्रोटोकॉल का उपयोग करके Kerio नियंत्रण से कनेक्ट करने की अनुमति देता है या आप स्रोत को विश्वसनीय पतों की सूची में प्रतिबंधित कर सकते हैं। चित्र में, मुझे केवल दूरस्थ व्यवस्थापकों के विश्वसनीय पतों की सूची से जोड़ने की अनुमति है।



मिकरोटिक पक्ष में, आपको टर्मिनल विंडो में कमांड चलाकर एक नया L2TP क्लाइंट इंटरफ़ेस जोड़ना होगा:

add comment="L2TP VPN Client" connect-to=109.172.42.XXX disabled=no max-mru=1460 max-mtu=1460 name=INTERFACE-NAME password=password user=username

आपको पता, इंटरफ़ेस नाम, कनेक्शन नाम और पासवर्ड के मूल्यों को अपने Kerio नियंत्रण पते, अपने मनमाने इंटरफ़ेस नाम और अपने उपयोगकर्ता नाम / पासवर्ड से बदलना होगा जो आपने उपयोगकर्ता सेटिंग्स में बनाया या संपादित किया है। कमांड का परिणाम एक नव निर्मित इंटरफ़ेस होना चाहिए जो तुरंत सर्वर से कनेक्शन स्थापित करेगा।



एक नया पता Mikrotik पता सूची में दिखाई देगा, गतिशील रूप से इसे Kerio नियंत्रण वीपीएन सर्वर द्वारा सौंपा जाएगा।



केरियो कंट्रोल के लिए नेटवर्क तक पहुंच प्राप्त करने के लिए मिकरोटिक के लिए स्थानीय नेटवर्क के लिए, आपको रूटिंग टेबल में स्थिर मार्गों को जोड़ने की आवश्यकता है। ऐसा करने के लिए, टर्मिनल विंडो में, आपको अपने मौजूदा एक के साथ इंटरफ़ेस नाम की जगह, कमांड चलाना होगा:

/ip route add comment="Route to 192.168.20.0/24" distance=1 dst-address=192.168.20.0/24 gateway=INTERFACE-NAME
/ip route add comment="Route to 192.168.30.0/24" distance=1 dst-address=192.168.30.0/24 gateway=INTERFACE-NAME
/ip route add comment="Route to 192.168.40.0/24" distance=1 dst-address=192.168.40.0/24 gateway=INTERFACE-NAME

परिणाम वीपीएन इंटरफ़ेस के माध्यम से Kerio नियंत्रण के पीछे रिमोट सबनेट पर स्थिर मार्गों को जोड़ा जाएगा।

अब मकारोटिक में मस्कारिंग नियम जोड़ें। ऐसा करने के लिए, टर्मिनल विंडो में कमांड निष्पादित करें:

/ip firewall nat add action=masquerade chain=srcnat out-interface=INTERFACE-NAME src-address=192.168.88.0/24

यह सब, मिकरोटिक के पीछे स्थानीय नेटवर्क से केरिओ कंट्रोल के पीछे के नेटवर्क तक पहुंच और अन्य वीपीएन सुरंगों के माध्यम से इससे जुड़े सभी नेटवर्क तक पहुंच हो सकती है। अपने दम पर टीमों में मेरे मूल्यों को ठीक करने के लिए मत भूलना।

वीपीएन सुरंग विफलता प्रदान करना

खैर, सबसे मीठा नाश्ता। सुरंग पुनर्जीवन के संगठन के बारे में वादा कहानी। केरियो नियंत्रण 8.1 से पहले, सक्रिय कनेक्शन के कॉन्फ़िगरेशन में, सुरंग के प्राप्त होने वाले छोर के एक से अधिक पते को निर्दिष्ट करना असंभव था, इसलिए, वीपीएन सुरंगों की गलती सहनशीलता सुनिश्चित करने के लिए, मैं इस योजना के लिए मतदान करूंगा जब केंद्रीय कार्यालय में केरिओ नियंत्रण कनेक्शन स्वीकार करता है। इस मामले में, केंद्रीय कार्यालय के आने वाले चैनलों की निगरानी और स्वचालित रूप से केवल DNS नाम को बदलने के लिए प्रदान किया जा सकता है जिसमें शाखाएं कनेक्शन स्थापित करती हैं। मैं इसके लिए DynDNS सेवा और PRTG नेटवर्क मॉनिटर मॉनिटरिंग सिस्टम का उपयोग करता हूं। विधि का संक्षिप्त सार इस प्रकार है। PRTG का उपयोग करते हुए, केंद्रीय कार्यालय के चैनलों की पहुँच की जाँच की जाती है, और यदि एक चैनल का पता चलता है कि शाखाएँ कनेक्ट होती हैं, तो DynDNS API के माध्यम से, PRTG, DynDNS सेवा पर पंजीकृत DNS नाम को स्वचालित रूप से बदल देता है, जिससे शाखाएँ इंटरनेट पर एक लिंक खींचकर एक कनेक्शन स्थापित करती हैं। काम करने का तरीका 146% है। मैंने एक क्लासिक स्टार द्वारा केंद्रीय कार्यालय से जुड़ी पचास से अधिक सुरंगों पर जांच की। वसूली के मामले में, आप आईपी पते को वापस बदल सकते हैं, आप इसे वैसे ही छोड़ सकते हैं। जैसी आपकी इच्छा हो।

ऐसा लगता है कि मिकरोटिक के मामले में भी ऐसा करने में बाधा है? लेकिन यहां राउटरओएस से बैंडवैगन है। सहकर्मी सेटिंग्स में, हालांकि आप सुरंग के प्राप्त अंत के DNS नाम को निर्दिष्ट कर सकते हैं, लेकिन जब आप इसे सहेजते हैं, तो इसे हल किया जाएगा और आईपी पते के रूप में दर्ज किया जाएगा। इस मामले में, आपको उन लिपियों का आविष्कार करना होगा जो कि केरिओ कंट्रोल पर चैनलों (पीआरटीजी के बजाय) की निगरानी करेंगे और सहकर्मी सेटिंग्स को बदल देंगे यदि वर्तमान चैनल जिस पर कनेक्शन स्थापित है वह अनुपलब्ध हो जाता है। साथ ही IPSec नीतियों के साथ बहुत सारे नृत्य। और मैं इसे एक भयानक हेडवाश के रूप में देखता हूं।

अब केरियाओ कंट्रोल स्वयं उल्लेखनीय रूप से उस घटना में दोष सहिष्णुता प्रदान करने में सक्षम है जो एक कनेक्शन शुरू करती है, सुरंग कॉन्फ़िगरेशन में आप सुरंग के प्राप्त होने वाले अंत के कई आईपी पते (या DNS नाम) निर्दिष्ट कर सकते हैं। इस प्रकार, कनेक्शन स्वीकार करने वाले मिकरोटिक पक्ष पर बनाकर, वांछित दोष सहिष्णुता प्राप्त की जा सकती है। खैर, हमने अपना शहर छोड़ दिया ... एक अनुमानित आरेख चित्र में दिखाया गया है। सुरंग की उत्तरजीविता सुनिश्चित करने के लिए यह आवश्यक है जब कोई भी वान इंटरफेस केरो या आईएसपी पर मिकरोटिक पर गिरता है (भ्रम से बचने के लिए उन्हें अलग नाम दिया गया है)।



मिकरोटिक को स्थापित करने से शुरू करते हैं। क्योंकि चूंकि यह IPsec Peers सेटिंग्स एड्रेस के मूल्य में DNS नामों को नहीं समझता है, इसलिए हमें केंद्रीय कार्यालय के दोनों WAN इंटरफेस के लिए दो पीयर बनाने होंगे। ऐसा करने के लिए, टर्मिनल विंडो पर जाएं और कमांड दर्ज करें, पते के मूल्यों और अपने स्वयं के साथ पूर्वनिर्धारित कुंजी की जगह:

/ip ipsec peer add address=109.172.42.XXX/32 dh-group=modp1536 exchange-mode=main-l2tp generate-policy=port-override hash-algorithm=sha1 nat-traversal=yes passive=yes secret=PASSWORD
/ip ipsec peer add address=95.179.13.YYY/32 dh-group=modp1536 exchange-mode=main-l2tp generate-policy=port-override hash-algorithm=sha1 nat-traversal=yes passive=yes secret=PASSWORD

मैं इस तथ्य पर आपका ध्यान आकर्षित करता हूं कि यदि आपने पहले से ही लेख के पिछले भागों में दिए गए निर्देशों के अनुसार एक सहकर्मी बनाया है और सीएलआई के बजाय विनबॉक्स का उपयोग करने का निर्णय लिया है और पहले से पहले बनाए गए सहकर्मी की नकल की है, तो निष्क्रिय सेटिंग (वह जो मिकरोटिक आरंभ करता है या कनेक्शन स्वीकार करता है) की प्रतिलिपि नहीं बनाई गई है । इसलिए, इस बिंदु पर, मैं कमांड लाइन टूल का उपयोग करने की अत्यधिक सलाह देता हूं। आदेश का परिणाम केरो नियंत्रण से कनेक्शन की प्रतीक्षा कर रहे दो साथियों का सफल निर्माण होना चाहिए।

लेकिन यह पर्याप्त नहीं है। यदि WAN1 Kerio नियंत्रण पर पड़ता है, तो सुरंग को सफलतापूर्वक पुनर्स्थापित किया जाएगा, लेकिन यदि ISP1 मिकरोटिक पर गिरता है, तो Kerio नियंत्रण में सुरंग सेटिंग्स की "रिमोट आईडी", जिसमें हमने मिकरोटिक ISP इंटरफ़ेस पर ग्रे ISP IP निर्दिष्ट किया है, वास्तविक मूल्य से मेल नहीं खाएगा। । और सफलतापूर्वक पुन: कनेक्ट करने के बजाय, हमें केरियाओ कंट्रोल एडमिनिस्ट्रेशन कंसोल में एक अच्छी त्रुटि मिलती है - "आईडी बेमेल।"

घात? एक घात ... और मैं लगभग निराश हो गया क्योंकि विचारों का फव्वारा बाहर चला गया, मुझे बिल्कुल समझ में नहीं आया कि इस आईडी के परिवर्तन को कैसे स्वचालित किया जाए। मेजबानों फ़ाइल के साथ जुड़ा हुआ है, लेकिन कोई फायदा नहीं हुआ। समय एक चतुर चाचा के शब्दों को याद करने का समय आ गया है, शायद, एक पूरी तरह से भूरे बालों वाला गधा, जिसने प्यारे साल में मुझसे कहा - अगर कुछ भी मदद नहीं करता है, तो यह मैनुअल और लॉग में देखने का समय है। खैर ... मैनुअल हमारे बारे में नहीं है (लेखक की होमोसेक्सुअल हँसी), वह केरिओ कंट्रोल डिबग-लॉग में चढ़ गया, जिसमें पहले से IPSec से संबंधित सभी संदेश शामिल थे। मैं क्या कह सकता हूं - साधक, उसे खोजने दो। हमारे मामले में, जब "रिमोट आईडी" पैरामीटर गतिशील रूप से बदल सकता है, जिसके आधार पर आईपी पता सुरंग से जुड़ा है - केरीओ नियंत्रण सुरंग सेटिंग्स में, आप दूरस्थ आईडी में "% किसी भी" मूल्य निर्दिष्ट कर सकते हैं।
होस्ट नामों में, अर्धविराम के माध्यम से सभी पते ISP1 और ISP2 को मिकरोटिक पर दर्ज करें और "रिमोट आईडी" में "नीचे किसी भी%" मान के रूप में।



हम खुश आँखों से बचत करते हैं, आवेदन करते हैं, "कनेक्टेड" सुरंग की बदली स्थिति को देखते हैं और सत्यापन के लिए आगे बढ़ते हैं। हम बैकअप और मुख्य चैनल के स्थानों को बदलकर केरियाओ कंट्रोल पर मुख्य चैनल के पतन का अनुकरण करते हैं - सुरंग फिर से जुड़ गई और जीवित थी। हम प्रदाता के फीते को खींचकर मिकरोटिक पर मुख्य चैनल के पतन का अनुकरण करते हैं। जबकि केरियाओ कंट्रोल ने कहा कि सुरंग चली गई थी - इसमें लगभग दो मिनट लगे, लेकिन फिर भी उसने वीपीएन को रिजर्व में ले लिया। बिंगो!

सभी प्रयोग केरियाओ नियंत्रण 8.1 और राउटरओएस 6.1 पर किए गए थे। यहां दिए गए टर्मिनल कमांड में वेरिएबल्स और ROS सेटिंग्स के नाम इस संस्करण (6.1) के अनुरूप हैं। आज के संस्करण 6.10 में कई परिवर्तित सेटिंग्स नाम हैं, लेकिन न्यूनतम ट्यूनिंग के साथ करियो कंट्रोल 8.2 और राउटरओएस 6.10 के वर्तमान संस्करणों पर सब कुछ काम करता है। उपरोक्त सभी एक पागल आईटी विशेषज्ञ की खामियों से थोड़ा कम हो सकते हैं, मैं सही शब्दों और परिभाषाओं का ढोंग नहीं करता और ख़ुशी से टिप्पणियों और सिफारिशों को स्वीकार करूंगा, क्योंकि मेरे लिए मिकरोटिक केरेल कंट्रोल के विपरीत एक नया और रहस्यमयी जानवर है, जो लगभग एक पढ़ी गई किताब है।