По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
Всем привет! Сегодня в статье мы расскажем про настройку Point-to-Point GRE VPN туннелей на оборудовании Cisco и о том, как сделать их защищенными при помощи IPsec. Generic Routing Encapsulation (GRE) - это протокол туннелирования, разработанный компанией Cisco, который позволяет инкапсулировать широкий спектр протоколов сетевого уровня в point-to-point каналах.
Туннель GRE используется, когда пакеты должны быть отправлены из одной сети в другую через Интернет или незащищенную сеть. В GRE виртуальный туннель создается между двумя конечными точками (маршрутизаторами Cisco), а пакеты отправляются через туннель GRE.
Важно отметить, что пакеты, проходящие внутри туннеля GRE, не шифруются, поскольку GRE не шифрует туннель, а инкапсулирует его с заголовком GRE. Если требуется защита данных, IPSec должен быть настроен для обеспечения конфиденциальности данных - тогда GRE-туннель преобразуется в безопасный VPN-туннель GRE.
На приведенной ниже схеме показана процедура инкапсуляции простого незащищенного пакета GRE, проходящего через маршрутизатор и входящего в туннельный интерфейс:
Хотя многие могут подумать, что туннель GRE IPSec между двумя маршрутизаторами похож на VPN-соединение IPSec между сайтами, это не так. Основное отличие состоит в том, что туннели GRE позволяют multicast пакетам проходить через туннель, тогда как IPSec VPN не поддерживает multicast пакеты.
В больших сетях, где необходимы протоколы маршрутизации, такие как OSPF, EIGRP, туннели GRE - ваш лучший выбор. По этой причине, а также из-за того, что туннели GRE гораздо проще в настройке, инженеры предпочитают использовать GRE, а не IPSec VPN.
В этой статье объясняется, как создавать простые незащищенные (unprotected) и безопасные (IPSec encrypted) туннели GRE между конечными точками. Мы объясним все необходимые шаги для создания и проверки туннеля GRE (незащищенного и защищенного) и настройки маршрутизации между двумя сетями.
Создание Cisco GRE туннеля
Туннель GRE использует интерфейс «туннель» - логический интерфейс, настроенный на маршрутизаторе с IP-адресом, где пакеты инкапсулируются и декапсулируются при входе или выходе из туннеля GRE.
Первым шагом является создание нашего туннельного интерфейса на R1:
R1(config)# interface Tunnel0
R1(config-if)# ip address 172.16.0.1 255.255.255.0
R1(config-if)# ip mtu 1400
R1(config-if)# ip tcp adjust-mss 1360
R1(config-if)# tunnel source 1.1.1.10
R1(config-if)# tunnel destination 2.2.2.10
Все туннельные интерфейсы участвующих маршрутизаторов всегда должны быть настроены с IP-адресом, который не используется где-либо еще в сети. Каждому туннельному интерфейсу назначается IP-адрес в той же сети, что и другим туннельным интерфейсам.
В нашем примере оба туннельных интерфейса являются частью сети 172.16.0.0/24.
Поскольку GRE является протоколом инкапсуляции, мы устанавливаем максимальную единицу передачи (MTU - Maximum Transfer Unit) до 1400 байт, а максимальный размер сегмента (MSS - Maximum Segment Size) - до 1360 байт. Поскольку большинство транспортных MTU имеют размер 1500 байт и у нас есть дополнительные издержки из-за GRE, мы должны уменьшить MTU для учета дополнительных служебных данных. Установка 1400 является обычной практикой и гарантирует, что ненужная фрагментация пакетов будет сведена к минимуму.
В заключение мы определяем туннельный источник, который является публичным IP-адресом R1, и пункт назначения - публичный IP-адрес R2.
Как только мы завершим настройку R1, маршрутизатор подтвердит создание туннеля и сообщит о его состоянии:
R1#
*May 21 16:33:27.321: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to up
Поскольку интерфейс Tunnel 0 является логическим интерфейсом, он останется включенным, даже если туннель GRE не настроен или не подключен на другом конце.
Далее мы должны создать интерфейс Tunnel 0 на R2:
R2(config)# interface Tunnel0
R2(config-if)# ip address 172.16.0.2 255.255.255.0
R2(config-if)# ip mtu 1400
R2(config-if)# ip tcp adjust-mss 1360
R2(config-if)# tunnel source 2.2.2.10
R2(config-if)# tunnel destination 1.1.1.10
Интерфейс туннеля R2 настроен с соответствующим IP-адресом источника и назначения туннеля. Как и в случае с R1, маршрутизатор R2 сообщит нам, что интерфейс Tunnel0 работает:
R2#
*May 21 16:45:30.442: %LINEPROTO-5-UPDOWN: Line protocol on Interface Tunnel0, changed state to up
Маршрутизация сетей через туннель GRE
На этом этапе обе конечные точки туннеля готовы и могут «видеть» друг друга. Echo icmp от одного конца подтвердит это:
R1# ping 172.16.0.2
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 172.16.0.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/4 ms
R1#
Опять же, этот результат означает, что две конечные точки туннеля могут видеть друг друга. Рабочие станции в любой сети по-прежнему не смогут достичь другой стороны, если на каждой конечной точке не установлен статический маршрут:
R1(config)# ip route 192.168.2.0 255.255.255.0 172.16.0.2
На R1 мы добавляем статический маршрут к удаленной сети 192.168.2.0/24 через 172.16.0.2, который является другим концом нашего туннеля GRE. Когда R1 получает пакет для сети 192.168.2.0, он теперь знает, что следующим переходом является 172.16.0.2, и поэтому отправит его через туннель.
Та же конфигурация должна быть повторена для R2:
R2(config)# ip route 192.168.1.0 255.255.255.0 172.16.0.1
Теперь обе сети могут свободно общаться друг с другом через туннель GRE.
Защита туннеля GRE с помощью IPSec
Как упоминалось ранее, GRE является протоколом инкапсуляции и не выполняет шифрование. Создание туннеля GRE точка-точка без какого-либо шифрования чрезвычайно рискованно, поскольку конфиденциальные данные могут быть легко извлечены из туннеля и просмотрены другими.
Для этого мы используем IPSec для добавления уровня шифрования и защиты туннеля GRE. Это обеспечивает нам необходимое шифрование военного уровня и спокойствие. Наш пример ниже охватывает режим туннеля GRE IPSec.
Настройка шифрования IPSec для туннеля GRE (GRE over IPSec)
Шифрование IPSec включает в себя два этапа для каждого маршрутизатора. Эти шаги:
Настройка ISAKMP (ISAKMP Phase 1)
Настройка IPSec (ISAKMP Phase 2)
Настройка ISAKMP (ISAKMP Phase 1)
IKE существует только для установления SA (Security Association) для IPsec. Прежде чем он сможет это сделать, IKE должен согласовать отношения SA (ISAKMP SA) с партнером.
Для начала, мы начнем работать над R1.
Первым шагом является настройка политики ISAKMP Phase 1:
R1(config)# crypto isakmp policy 1
R1(config-isakmp)# encr 3des
R1(config-isakmp)# hash md5
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 2
R1(config-isakmp)# lifetime 86400
Приведенные выше команды определяют следующее (в указанном порядке):
3DES - метод шифрования, который будет использоваться на этапе 1 Phase 1
MD5 - алгоритм хеширования
Authentication pre-share - использование предварительного общего ключа в качестве метода проверки подлинности
Group 2 - группа Диффи-Хеллмана, которая будет использоваться
86400 - время жизни ключа сеанса. Выражается в килобайтах или в секундах. Значение установлено по умолчанию.
Далее мы собираемся определить Pre Shared Key (PSK) для аутентификации с партнером R1, 2.2.2.10:
R1(config)# crypto isakmp key merionet address 2.2.2.10
PSK ключ партнера установлен на merionet. Этот ключ будет использоваться для всех переговоров ISAKMP с партнером 2.2.2.10 (R2).
Создание IPSec Transform (ISAKMP Phase 2 policy)
Теперь нам нужно создать набор преобразований, используемый для защиты наших данных. Мы назвали это TS:
R1(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac
R1(cfg-crypto-trans)# mode transport
Вышеуказанные команды определяют следующее:
SP-3DES - метод шифрования
MD5 - алгоритм хеширования
Установите IPSec в транспортный режим.
Наконец, мы создаем профиль IPSec для соединения ранее определенной конфигурации ISAKMP и IPSec. Мы назвали наш профиль IPSec protect-gre:
R1(config)# crypto ipsec profile protect-gre
R1(ipsec-profile)# set security-association lifetime seconds 86400
R1(ipsec-profile)# set transform-set TS
Теперь мы готовы применить шифрование IPSec к интерфейсу туннеля:
R1(config)# interface Tunnel 0
R1(config-if)# tunnel protection ipsec profile protect-gre
Ну и наконец пришло время применить ту же конфигурацию на R2:
R2(config)# crypto isakmp policy 1
R2(config-isakmp)# encr 3des
R2(config-isakmp)# hash md5
R2(config-isakmp)# authentication pre-share
R2(config-isakmp)# group 2
R2(config-isakmp)# lifetime 86400
R2(config)# crypto isakmp key merionet address 1.1.1.10
R2(config)# crypto ipsec transform-set TS esp-3des esp-md5-hmac
R2(cfg-crypto-trans)# mode transport
R2(config)# crypto ipsec profile protect-gre
R2(ipsec-profile)# set security-association lifetime seconds 86400
R2(ipsec-profile)# set transform-set TS
R2(config)# interface Tunnel 0
R2(config-if)# tunnel protection ipsec profile protect-gre
Проверка GRE over IPSec туннеля
Наконец, наш туннель был зашифрован с помощью IPSec, предоставляя нам столь необходимый уровень безопасности. Чтобы проверить и проверить это, все, что требуется, это попинговать другой конец и заставить туннель VPN IPSec подойти и начать шифрование/дешифрование наших данных:
R1# ping 192.168.2.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/3/4 ms
Используя команду show crypto session, мы можем быстро убедиться, что шифрование установлено и выполняет свою работу:
R1# show crypto session
Crypto session current status
Interface: Tunnel0
Session status: UP-ACTIVE
Peer: 2.2.2.10 port 500
IKE SA: local 1.1.1.10/500 remote 2.2.2.10/500 Active
IPSEC FLOW: permit 47 host 1.1.1.10 host 2.2.2.10
Active SAs: 2, origin: crypto map
Поздравляю! Мы только что успешно создали Point-to-point GRE over IPSec VPN туннель между двумя маршрутизаторами Cisco.
Итак, вы, возможно, слышали аббревиатуры BIOS и UEFI, особенно если имели дело со сменой операционной системы или разгоном.
Возможно, вы даже знаете, как эти аббревиатуры расшифровываются (Unified Extensible Firmware Interface – единый расширяемый микропрограммный интерфейс, и Basic Input/Output System – базовая система ввода/вывода, соответственно). Но задумывались ли вы когда-нибудь, что они делают в компьютерной системе?
Давайте раскроем тайну этих терминов и их значений.
Процедура загрузки
Сначала – главное! Да, я знаю, что мы отклоняемся от темы, но я обещаю, что это поможет вам понять позже некоторые концепции.
Итак, как загружается компьютер? Давайте рассмотрим шаг за шагом:
Вы нажимаете кнопку питания на ноутбуке/настольном компьютере.
ЦП запускается, но ему необходимы некоторые команды для работы (помните о том, что ЦП всегда нужно что-то делать). Так как основная память на этом этапе пуста, то ЦП полагается на загрузку команд из прошивки микросхемы на материнской плате и начинает выполнять их.
Код встроенного ПО выполняет самотестирование при включении питания (POST - Power On Self Test), инициализирует оставшееся оборудование, определяет подключенные внешние периферийные устройства (мышь, клавиатуру, флешку и т.д.) и проверяет исправность всех подключенных устройств. Возможно, вы даже помните звуковой сигнал, который настольные компьютеры издавали после успешного прохождения процедуры POST.
И, наконец, алгоритм прошивки перебирает все запоминающие устройства и ищет загрузчик (обычно находится в первом секторе диска). Если загрузчик был найден, то прошивка передает ему управление компьютером. Для того, чтобы понять эту статью, вам не нужно знать больше. Но если вам интересно, то можете прочитать дальше (в ином случае вы можете перейти к следующему разделу).
Итак, теперь, когда загрузчик загружен, его задача – загрузить остальную часть операционной системы. GRUB – один из таких загрузчиков, способный загружать unix-подобные операционные системы, а также он может последовательно загружать операционные системы Windows. Загрузчик доступен только в первом секторе диска размером 512 байт. С учетом сложности современных операционных систем, некоторые из загрузчиков имеют тенденцию выполнять многоэтапную загрузку, то есть когда загрузчик загружает загрузчик второго этапа в среде, не ограниченной 512 байтами.
Затем загрузчик загружает ядро в память. Unix-подобные операционные системы затем запускают процесс init – процесс инициализации, (главный процесс, из которого разветвляются/выполняются другие процессы) и, наконец, инициализируют уровни запуска.
В Windows wininit.exe загружается вместе с некоторыми другими процессами, такими как services.exe для управления службами, lsass.exe для локальной безопасности и прав доступа (аналогично уровням запуска) и lsm.exe для локального управления сеансами.
После всех этих этапов и после инициализации некоторых других драйверов загружается графический пользовательский интерфейс (GUI - Graphical User Inferface), и отображается экран входа в систему.
Это было описание общего процесса загрузки. А теперь вернемся к нашей первоначальной теме.
BIOS:
BIOS расшифровывается как Basic Input/Output System, то есть базовая система ввода/вывода, а иначе говоря, прошивка, о которой мы говорили выше.
Она хранится в EPROM (Erasable Programmable Read-Only Memory – стираемое программируемое постоянное запоминающее устройство), что позволяет производителю легко выпускать обновления.
Она представляет собой множество вспомогательных функций, которые позволяют читать загрузочные сектора подключенного хранилища и выводить на экран. Вы можете получить доступ к BIOS на начальных этапах загрузки, нажав del, F2 или F10.
UEFI
UEFI расшифровывается как Unified Extensible Firmware Interface, или единый расширяемый микропрограммный интерфейс. Он выполняет ту же работу, что и BIOS, но с одним основным отличием – он хранит все данные об инициализации и запуске в файле .efi, а не в прошивке.
Этот файл .efi хранится в специальном системном разделе EFI (ESP - EFI System Partition) на жестком диске. Этот раздел также содержит загрузчик.
UEFI был разработан с целью преодоления многих ограничений старого BIOS, в том числе:
UEFI поддерживает размеры дисков до 9 зеттабайт, тогда как BIOS поддерживает только 2,2 терабайта.
UEFI обеспечивает более быструю загрузку.
UEFI поддерживает дискретные драйверы, в то время как BIOS поддерживает диски, хранящиеся в его ПЗУ, поэтому обновление прошивки BIOS немного затруднено.
UEFI обеспечивает безопасную загрузку, которая предотвращает загрузку компьютера из неавторизированных/неподписанных приложений. Это помогает предотвратить внедрения руткитов, но при этом затрудняет двойную загрузку, так как рассматривает другие ОС как неподписанные приложения.
UEFI работает в 32-битном или 64-битном режиме, тогда как BIOS работает в 16-битном режиме. Таким образом, UEFI может предоставить графический интерфейс (то есть управление с помощью мыши), в отличие от BIOS, который поддерживает управление только с помощью клавиатуры.
Возможно, вам не нужен UEFI
Несмотря на то, что все современные компьютеры по умолчанию оснащены UEFI, есть несколько причин, по которым вы можете выбрать BIOS вместо UEFI:
Если вы новичок и не хотите возиться с любым типом прошивки, то BIOS для вас.
Если у вас
Регулярное проведение бэкапов (резервного копирования) IP – АТС дает страховку администратору от неожиданной потери данных. При аварии можно оперативно восстановить конфигурацию из бэкапа. О том, как настроить бэкап (backup) и выполнить процесс аварийного восстановления (restore) в Elastix 4 расскажем в сегодняшней статье.
Настройка бэкапа
Переходим к настройке бэкапов в IP – АТС Elastix. В административном интерфейсе переходим в раздел System → Backup/Restore. Перед нами открывается интерфейс настройки модуля:
Начнем с настройки FTP сервера – места, куда мы будем складывать наши копии. Нажимаем на кнопку FTP Backup. Как видим, необходимо указать параметры FTP сервера, который мы ранее подняли на базе vsftpd.
Server FTP - указываем IP – адрес нашего FTP - сервера
Port - порт оставляем стандартным, 21
User - логин пользователя, которому разрешено FTP подключение
Password - пароль указанного пользователя
Path Server FTP - путь, по которому необходимо складывать бэкапы
Заполняем реквизиты по примеру, указанному на скриншоте ниже:
Нажимаем Save. Возвращаем на главную страницу и нажимаем + New Backup…. Открывается окно настройки самой архивной копии. Разберемся с возможными опциями:
Endpoint - раздел по настройке бэкапа настроек конечных устройство (телефоны, шлюзы)
Database - провести ли бэкап базы данных раздела EndPoint
Configuration Files - производить ли бэкап файловой конфигурации указанного раздела
Asterisk - копирование основных настроек IP - АТС. Рекомендуем поставить галочку Select all in this section
Configuration Files - копировать ли файлы конфигурации
Monitors (Heavy Content) - копировать ли аудио - записи разговоров. Elastix предупреждает, что это весьма большой объем данных.
Voicemails - копировать ли голосовую почту (большой объем данных).
Sounds - копировать ли записанные аудио - файлы (аннаунсменты, IVR)
Music on Hold - добавлять ли в бэкап файлы музыки на ожидании
DAHDI Configuration - если вы используете интерфейсные платы, укажите галочку.
Fax - копировать ли факсимильные сообщения
Database - копировать ли базу данных, с информацией о факсах (метаданные)
PDF - копировать ли PDF файлы, в которых непосредственно хранятся факсы
Email - добавлять ли email сообщения в бэкап
Database - метаданные
Mailbox - непосредственно письма
Others - опциональные настройки, зависят от конкретной конфигурации
После выбора, нажмите на кнопку Process и бэкап запустится. По окончанию, в основном интерфейсе модуля мы увидим новый бэкап:
Возвращаемся к FTP. Снова заходим в раздел FTP Backup. В разделе Local выбираем мышкой наш бэкап и перетаскиваем его в сторону FTP сервера. Нажимаем Save.
Готово. Для автоматизации бэкапа, выберите в основном интерфейсе настройки опцию Set Automatic Backup
Восстановление из резервной копии
Теперь рассмотрим вариант, когда настало худшее – все настройки вашей IP – АТС Elastix слетели и вы накатили чистый дистрибутив Elastix. Скопируйте файл бэкапа с FTP – сервера в директорию /var/www/backup/ и измените пользователя файла бэкапа на asterisk командой chown -R asterisk:asterisk /var/www/backup/. После этого, файл появится в интерфейсе настройки System → Backup/Restore.
Заходим, и отмечаем галочкой бэкап и нажимаем Restore.Нам будет предложено выбрать параметры, которые необходимо восстановить из бэкапа. Нажимаем Select All options, а затем Process. Процесс восстановления может занимать несколько минут.