IPSec Настройка. Практика.

2021.07.10. Kurapov Alexey.

IPSec. Настройка.

IPsec – это набор протоколов, использующихся для обеспечения сервисов приватности и аутентификации на сетевом уровне модели OSI. Эти протоколы можно разделить на два класса – протоколы защиты передаваемых данных (AH, ESP) и протоколы обмена ключами (IKE).

Для установления безопасных Интернет сессий необходимы однонаправленные Secure associations (SA) между участниками соединений. SA определяют, какие операции должны применяться к пакету. Они определяют: метод аутентификации, алгоритм шифрования, ключи шифрования и аутентификации, время жизни ключа шифрования, время жизни SA и номер последовательности (sequence number) для предотвращения повторений.

Secure associations могут быть установлены вручную или автоматически. Для автоматического установления SA используется IKE.

     Рассмотрим следующую топологию:

Построение IP соединения проходит в две фазы:

1.      ISAKMP SA – происходит согласование ISAKMP Policy:

• ·        метода аутентификации – PSK или PKI,
• ·        метода безопасного обмена крипто ключами – DH Group,
• ·        метода шифрования
• ·        метода хэширования.

 Настройка ISAKMP Policy:

 

 

Просмотр ISAKMP Policy:

 

                                 

Настройка PSK (pre-shared key)

 

Просмотр PSK (pre-shared key):

 

2.      IPSec SA – происходит согласование политик для основного IPSec туннеля, а именно:

• ·        протокола – ESP или AH,
• ·        метода инкапсуляции – Tunnel или Transport,
• ·        метода шифрования,
• ·        метода хэширования,
• ·        Proxy Identities – какой трафик подлежит шифрованию.

             Настройка IPSec Transform-Set:

указали

• ·        метод шифрования –AES,
• ·        метод хэширования  - SHA,  HMAC (добавляет в функцию хэширования секретную часть),
• ·        метод инкапсуляции – Tunnel 

Просмотр IPSec Transform-Set: 

                                 

        Определим Proxy Identities – какой трафик подлежит шифрованию.

       Для этого создадим access-list и crypto map, crypto map прикрепим  к интерфейсу

    1. ACL:

 

         В ACL указываем интересующий нас трафик – от хоста с адресом 1.1.1.1 до хоста – 2.2.2.2, обратный трафик, также будет шифроваться.

     2. Crypto Map:

ipsec-isakmp – тип crypto-map.             

               

      Просмотр конфигурации ACL и Crypto-Map:

                                 

           3. Crypto-map вешаем на sub интерфейс:

 

    Прописываем маршруты по умолчанию: 

 

                        

          Проверка:

1.          Запускаем ping c R1 до R2:

Данные не подвергаются шифрованию, т.к. не подпадают по ACL:

 

2.  

        Запускаем ping c R1 до R2 с указанием source:

 

В Wireshark видим, что данные шифруются в обе стороны:

 

                               

            Т.о. настроили ip sec туннель, в следующих статьях рассмотрим более подробно команды для проверки ipsec туннеля, отличия протоколов ESP и AH и режимов tunnel и transport, а также будет приведена полная конфигурация маршрутизаторов.