По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
В связи с проблемами безопасности в протоколе TLSv1.0 организации PCI (индустрия платежных карт) и BSI предложили внедрить и включить протоколы TLSv1.1 или TLSv1.2, а, также, как можно скорее отойти от использования TLSv1.0. В этой статье мы представляем текущее состояние этой реализации в соответствующих продуктах VMware.
Отказ от ответственности
1.Некоторые продукты или более старые версии некоторых продуктов могут отсутствовать в этом списке, поскольку, либо нет планов реализации более новых протоколов TLS, либо изменения TLS не применимы. Возможно, эти продукты уже достигли или приближаются к истечению срока действия (EOA) или концу срока службы (EOS).
Резолюция
С точки зрения реализации, включение протоколов TLSv1.1/1.2 всегда выполняется по умолчанию, в то время как отключение TLSv1.0 могло быть либо по умолчанию (отключено по умолчанию), либо через параметр (может быть отключено через параметр).
По умолчанию компания VMware стремится к взаимодействию всех продуктов по самым высокоуровневым стандартам, доступным в программах и между ними.
Замечание: Для обратного рассмотрения обеспечения совместимости и интероперабельности в некоторых продуктах, хотя отключение TLSv1.0 и реализовано по умолчанию, есть возможность вернуть это изменение. По мере необходимости, ознакомьтесь с прилагаемой документацией, чтобы узнать подробности.
Программы и их статус перечислены в 3-х таблицах ниже.
Программы, в которых обе реализации, включение TLSv1.1/1.2 и отключение TLSv1.0 - реализованы.
Программы, для которых завершена только реализация TLSv1.1/1.2, но ожидается отключение TLSv1.0.
Программы, в которых обе реализации, включение TLSv1.1/1.2 и отключение TLSv1.0, ожидают разработки.
Примечания
Версия с отключением протокола TLSv.1.0 является его первым релизом, во всех последующих релизах эта функция будет отключена по умолчанию.
Версия с включенным по умолчанию протоколом TLSv1.1/1.2 является его первым релизом, во всех последующих релизах эта опция будет отключена по умолчанию.
Программы, в которых обе реализации, включение TLSv1.1/1.2 и отключение TLSv1.0, завершены
Продукт
Включение (всегда по умолчанию) TLSv1.1/1.2 Версия
Отключение TLSv1.0 - версия
Отключение TLSv1.0 - тип реализации
Документация
VMware Platform Services Controller (External) 6.xVMware Platform Services Controller Appliance (External) 6.x
6.7
6.7
По умолчанию
Managing TLS Protocol Configuration with the TLS Configurator UtilityRelease Notes for Platform Services Controller 6.7
6.5
6.5
Через параметр
Managing TLS protocol configuration for vSphere 6.5 (2147469)Release Notes for Platform Services Controller 6.5
6.0 Update 3
6.0 Update 3
Через параметр
Managing TLS protocol configuration for vSphere 6.0 Update 3 (2148819)
Release Notes for vCenter Server 6.0 U3
VMware Identity Manager 2.x
2.6
2.6
По умолчанию
Enabling TLS 1.0 protocol in VMware Identity Manager 2.6 (2144805)Release Notes for VMware Identity Manager 2.6
VMware Integrated OpenStack 3.x
3.0
3.0
Через параметр
Release Notes for VMware Integrated OpenStack 3.0
VMware vCloud Director for Service Providers 8.x
8.10
8.10
Через параметр
Managing the List of Allowed SSL Protocols in the vCloud Director Administrator's GuideRelease Notes for VMware vCloud Director for Service Providers 8.10
VMware vCloud Availability for vCloud Director 1.x
1.0.1
1.0.1
Через параметр
Configuring vCloud Director for Installation in the vvCloud Availability for vCloud Director Installation and Configuration GuideRelease Notes for vCloud Availability for vCloud Director 1.0.1
VMware vCloud Usage Meter 3.5
3.5
3.5
По умолчанию
Release Notes for VMware vCloud Usage Meter 3.5
VMware vCloud Usage Meter 3.6
3.6
3.6
По умолчанию
Release Notes for VMware vCloud Usage Meter 3.6
VMware vCloud Air Hybrid Cloud Manager 2.x
2.0
2.0
Через параметр
Hybrid Cloud Manager Security Protocol (2146900)Release Notes for VMware vCloud Air Hybrid Cloud Manager 2.0
VMware vRealize Business Advanced and Enterprise 8.x
8.2.4
8.2.4
По умолчанию
Release Notes for vRealize Business Advanced and Enterprise 8.2.4
VMware vRealize Business Standard for Cloud 7.x
7.1.0
7.1.0
По умолчанию
Enable or Disable TLS in the vRealize Business for Cloud Install GuideRelease Notes for vRealize Business Standard for Cloud 7.1.0
VMware vRealize Configuration Manager 5.x
5.8.2
5.8.3
По умолчанию
Release Notes for VMware vRealize Configuration Manager 5.8.3Release Notes for VMware vRealize Configuration Manager 5.8.2
VMware NSX for vSphere 6.xIncludes: Manager, Controller, Endpoint, Edge.
6.2.4
6.2.4
Через параметр
Disabling Transport Layer Security (TLS) 1.0 on NSX (2145749)Release Notes for VMware NSX for vSphere 6.2.4
VMware vCenter Server 6.xVMware vCenter Server Appliance 6.x
6.7
6.7
По умолчанию
Managing TLS Protocol Configuration with the TLS Configurator UtilityRelease Notes for vCenter Server 6.7
6.5
6.5
Через параметр
Managing TLS protocol configuration for vSphere 6.5 (2147469)Release Notes for vCenter Server 6.5
6.0 Update 3
6.0 Update 3
Через параметр
Managing TLS protocol configuration for vSphere 6.0 Update 3 (2148819)
Release Notes for vCenter Server 6.0 U3
vCenter Server Heartbeat 6.6.x
6.6 Update 2
6.6 Update 2
Через параметр
Configuring VMware vCenter Server Heartbeat to use only TLS2v1.1 and TLSv1.2 (2146352)Release Notes for vCenter Server Heartbeat 6.6 Update 2
VMware vRealize Automation 7.x
7.0.1
7.1.0
Через параметр
Disabling TLS 1.0 in vRealize Automation (2146570)Release Notes for VMware vRealize Automation 7.1.0Release Notes for VMware vRealize Automation 7.0.1
VMware vRealize Orchestrator 7.x
7.0.0
7.0.1
По умолчанию
Enable SSLv3 and TLSv1 for outgoing HTTPS connections in vRealize Orchestrator 6.0.4 and 7.0.x manually (2144318)Release Notes for vRealize Orchestrator 7.0.0Release Notes for vRealize Orchestrator 7.0.1
VMware vSphere Update Manager 6.x
6.5
6.5
Через параметр
Managing TLS protocol configuration for vSphere 6.5 (2147469)Release Notes for vSphere Update Manager 6.5
6.0 Update 3
6.0 Update 3
Через параметр
Configuring the TLS protocol for Update Manager 6.0 Update 3 (2149136)
Release Notes for vSphere Update manager 6.0 U3
VMware vRealize Infrastructure Navigator 5.8.x
5.8.5
5.8.5
Через параметр
Disabling TLSv1 Support in vRealize Infrastructure Navigator (2139941)Release Notes for vRealize Infrastructure Navigator 5.8.5
VMware vCenter Support Assistant 6.x
6.0.2
6.0.2
По умолчанию
TLS protocol configuration options for vCenter Support Assistant (2146079)Release Notes for vCenter Support Assistant 6.0.2
VMware vRealize Operations 6.2.x
6.2.0
6.2.x
Через параметр
Disable TLS 1.0 in vRealize Operations Manager 6.2 (2138007)Release Notes for vRealize Operations Manager 6.2.0
VMware vRealize Operations Management pack for MEDITECH 1.0
6.2.0
6.2.x
Через параметр
Disable TLS 1.0 in vRealize Operations Manager 6.2 (2138007)Release Notes for vRealize Operations Manager 6.2.0
VMware vRealize Operations Management pack for Epic 1.0
6.2.0
6.2.x
Через параметр
Disable TLS 1.0 in vRealize Operations Manager 6.2 (2138007)Release Notes for vRealize Operations Manager 6.2.0
VMware vRealize Operations Management pack for Published Applications 6.x
6.1.1
6.1.1
По умолчанию
Release Notes for VMware vRealize Operations for Published Applications 6.1.1
VMware vRealize Hyperic 5.x
5.8.6
5.8.6
По умолчанию
Release Notes for vRealize Hyperic 5.8.6
VMware vRealize Log Insight 4.x
4.0
4.0
Через параметр
How to disable TLS 1.0 in vRealize Log Insight (2146305)Release Note for vRealize Log Insight 4.0
VMware vRealize Log Insight 3.x
3.0
3.0
Через параметр
Log Insight 2.5 and 3.0 cannot establish connection to remote TLSv1.1 or TLSv1.2 servers (2144162)How to disable TLS 1.0 in vRealize Log Insight (2146305)Release Note for vRealize Log Insight 3.6Release Note for vRealize Log Insight 3.3Release Note for vRealize Log Insight 3.0
VMware Site Recovery Manager 6.x
6.5
6.5
По умолчанию
Release Notes for Site Recovery Manager 6.5
6.1
6.1.1
Через параметр
TLS Configuration Options For Site Recovery Manager 6.1.1 (2145910)Release Notes for Site Recovery Manager 6.1Release Notes for Site Recovery Manager 6.1.1
VMware vSphere Replication 6.x
6.5
6.5
По умолчанию
Release Notes for vSphere Replication 6.5
6.1.1
6.1.1
Через параметр
TLS protocol configuration options for vSphere Replication 6.1.1 (2145893)Release Notes for vSphere Replication 6.1.1
VMware ESXi 6.x
6.7
6.7
Через параметр
Managing TLS Protocol Configuration with the TLS Configurator UtilityRelease Notes for vSphere ESXi 6.7
6.5
6.5
Через параметр
Managing TLS protocol configuration for vSphere 6.5 (2147469)Release Notes for vSphere ESXi 6.5
6.0 Update 3
6.0 Update 3
Через параметр
Managing TLS protocol configuration for vSphere 6.0 Update 3 (2148819)
Release Notes for vSphere ESXi 6.0 U3
VMware Tools 10.x
10.0.0
10.1.0
По умолчанию
Release Note for VMware Tools 10.1.0Release Note for VMware Tools 10.0.12Note: TLSv1.2 is leveraged for internal communications only as VMware Tools does not use SSL based communication to other components.
VMware vSAN 6.x
6.7
6.7
Через параметр
Release Notes for VMware vSAN 6.7
6.6
6.6
Через параметр
Release Notes for VMware vSAN 6.6
6.5
6.5
Через параметр
Managing TLS protocol configuration for vSphere 6.5 (2147469)Release Notes for VMware vSAN 6.5
6.2
6.2
Через параметр
Release Notes for VMware vSAN 6.2
VMware AppVolumes 2.x
2.11.0
2.11.0
Через параметр
Release Notes for VMware App Volumes 2.11.0Patch required
VMware AppVolumes 3.x
3.0
3.0
По умолчанию
VMware AppVolumes 3.0 Installation and Administration GuideRelease Notes for VMware App Volumes 3.0
VMware vRealize Code Stream 2.x
2.1.0
2.1.0
Через параметр
Disabling TLS 1.0 in vRealize Automation (2146570)Release Notes for VMware vRealize Code Stream 2.1
VMware Remote Console 8.x
8.0
8.0
По умолчанию
Release Notes for VMware Remote Console 8.0
VMware vFabric tc Server 2.9.x
2.9.13
2.9.13
Через параметр
Release Notes for vFabric tc Server 2.9
VMware Horizon for Linux 6.2.x
6.2.1
6.2.1
По умолчанию
Setting Options in Configuration Files on Linux Desktop in the Horizon 6 Version 6.2 GuideRelease Notes for VMware Horizon 6 version 6.2.1
VMware Horizon Client 4.x
4.0.1
4.0.1
Через параметр
Configure Advanced TLS/SSL Options in the VMware Horizon Client Admin Guide for iOSConfigure Advanced TLS/SSL Options in the VMware Horizon Client Admin Guide for AndroidConfigure Advanced TLS/SSL Options in the VMware Horizon Client Admin Guide for Mac OS XConfigure Advanced TLS/SSL Options in the VMware Horizon Client Admin Guide for LinuxConfigure Advanced TLS/SSL Options in the VMware Horizon Client Admin Guide for WindowsRelease Notes for VMware Horizon Client 4.1 for iOSRelease Notes for VMware Horizon Client 4.1 for AndroidRelease Notes for VMware Horizon Client 4.1 for Mac OS XRelease Notes for VMware Horizon Client 4.1 for LinuxRelease Notes for VMware Horizon Client 4.1 for Windows
VMware Horizon View 7.x
7.0
7.0
По умолчанию
Configuring security protocols on components to connect the View Client with desktops (2130798)Release Notes for VMware Horizon View 7.0
VMware Horizon View 6.x
6.2.1
6.2.1
По умолчанию
Configuring security protocols on components to connect the View Client with desktops (2130798)Release Notes for VMware Horizon View 6.2.1
VMware Horizon Air 16.x
16.6.0
16.6.0
Через параметр
Disabling TLS 1.0 in Horizon Air Appliances (2146781)Release Notes for VMware Horizon Air 16.6
Horizon Daas 7.0
7.0.0
7.0.0
По умолчанию
Release Notes for VMware Horizon DaaS 7.0
VMware Mirage
5.7
5.7
Через параметр
Disabling TLS 1.0 on Windows systems (2145606)Release Notes for VMware Mirage 5.7
VMware Horizon Air Hybrid-mode 1.x
1.0
1.0
По умолчанию
Change the Security Protocols and Cipher Suites Used for TLS or SSL Communication in VMware Horizon Air Hybrid-Mode 1.0 Administration GuideConfiguration Settings for System Settings and Server Certificates in VMware Horizon Air Hybrid-Mode 1.0 Administration GuideRelease Notes for VMware Horizon Air Hybrid-mode 1.0
VMware Software Manager - Download Server
1.3
1.3
По умолчанию
Enable SSLv3 or TLSv1 in the VMware Software Manager - Download Service User Guide.Release Notes for VMware Software Manager 1.3
VMware Photon OS
1.0
1.0
Через параметр
Disabling TLS 1.0 to Improve Transport Layer Security in the Photon OS Administration Guide
VMware Continuent 5.xIncludes: Analytics and Big Data, Cluster, Disaster Recovery, Replication
5.0
5.0
По умолчанию
Release Notes for VMware Software Manager 5.0
VMware vSphere Big Data Extension 2.3.x
2.3.2
2.3.2
Через параметр
Release Notes for vSphere Big Data Extension 2.3
NSX-T
1.1
1.1
По умолчанию
Release Notes for NSX-T 1.1
vCenter Chargeback Manager
2.7.2
2.7.1
По умолчанию
Release Notes for Chargeback Manager 2.7.2
VMware Network Insight 3.x
3.3
3.3
По умолчанию
Release Notes for VMware Network Insight 3.3
Продукты, для которых завершена только реализация TLSv1.1/1.2, но ожидается отключение TLSv1.0
По мере выпуска софта с обеими реализациями они будут перемещаться из этого раздела в верхнюю таблицу; однако, программы и их доступность могут изменяться и оставаться в этой таблице.
Продукт
Включение (всегда по умолчанию) TLSv 1.1/1.2 Версия
Отключение TLSv1.0 Плановая версия
Документация
VMware vCenter Converter Standalone 6.x
6.1.1
(Ожидающий)
VMware vCenter Converter Standalone User's Guide (Страница 40)Release Notes for VMware vCenter Converter Standalone 6.1.1
VMware Fusion 8.x
8.0.0
(Ожидающий)
Release Notes for VMware Fusion 8
VMware Workstation Pro/Player 12.x
12.0.0
(Ожидающий)
Release Notes for VMware Workstation 12 ProRelease Notes for VMware Workstation 12 Player
VMware vSphere Data Protection 6.1.x
6.14
(Ожидающий)
Release Notes for Data Protection 6.1.4
Продукты, в которых обе реализации, включение TLSv1.1/1.2 и отключение TLSv1.0, ожидают обработки
По мере выпуска софта с обеими реализациями они будут перемещаться из этого раздела в верхнюю таблицу; однако, программы и их доступность могут изменяться и оставаться в этой таблице.
Продукт
Включение (всегда по умолчанию) TLSv 1.1/1.2 Плановая версия
Отключение TLSv1.0 Плановая версия
Документация
VMware Photon Controller 1.x
(Ожидающий)
(Ожидающий)
(Ожидающий)
В сегодняшней статье покажем пример настройки DMVPN – Dynamic Multipoint VPN, что является VPN решением компании Cisco. Данное решение используется, когда требуется высокая масштабируемость и легкость настройки при подключении филиалов к головному офису.
DMPVN одно из самых масштабируемых и эффективных решений VPN поддерживаемых компанией Cisco. В основном оно используется при топологии Hub-and-Spoke, где вы хотели бы видеть прямые VPN туннели Spoke-to-Spoke в дополнение к обычным Spoke-to-Hub туннелям. Это означает, что филиалы смогут общаться с друг другом напрямую, без необходимости прохождение трафика через HQ. Как уже упоминали, эта технология является проприетарной технологией Cisco.
Если вам необходимо подключить более десяти сайтов к головному офису, то DMPVN будет идеальным выбором. Кроме того, DMPVN поддерживает не только Hub-and-Spoke, но и Full-Mesh топологию, так как все сайты имеют между собой связность без необходимости настройки статических VPN туннелей между сайтами.
Некоторые характеристики DMVPN
Для начала перечислим важные характеристики данного способа организации Site-to-Site VPN для лучшего понимания:
Центральный маршрутизатор (HUB) - данный роутер работает как DMVPN сервер, и Spoke маршрутизаторы работают как DMVPN клиенты;
У данного маршрутизатора есть публичный статический IP-адрес на WAN интерфейсе;
У Spoke маршрутизаторов на WAN интерфейсах может как статический, так и динамический публичный IP-адрес;
У каждого филиала (Spoke) есть IPSEC туннель к головному офису (Hub);
Spoke-to-Spoke - туннели устанавливаются при возникновении необходимости, когда есть движение трафика между филиалами. Таким образом, трафик может не ходить через головной офис, а использовать прямые туннели между филиалами;
Все туннели используют Multipoint GRE c IPSEC;
NHRP (Next Hop Resolution Protocol) - данный протокол используется для установления соответствий между приватными IP туннельных интерфейсов с публичными WAN адресами
Описанные выше NHRP соответствия будут храниться на NHRP сервере, чем в нашем случае является HUB роутер. Каждый филиал устанавливает соединение с головным офисом и регистрирует свой публичный IP-адрес и его приватный IP-адрес тунеля;
Когда филиалу необходимо отправить пакеты в подсеть другого филиала, он запрашивает NHRP сервер для получения информации о внешнем публичном адресе целевого филиала;
Для лучшей масштабируемости советуем использовать один из протоколов динамический маршрутизации между всеми роутерами – например, EIGRP;
Еще раз кратко о технологиях, которые использует DMVPN:
Multipoint GRE;
IPSEC;
NHRP – Next Hop Resolution Protocol;
Статическая или динамическая маршрутизация;
Настройка маршрутизатора
Конкретно в нашем примере у нас будет HUB маршрутизатор и два филиала. И, как было описано ранее, HUB – это DMVPN cервер, а филиалы – DMPVN клиенты.
В нашем примере в качестве маршрутизатора используется CISCO1921/K9
Сначала настраиваем HUB маршрутизатор – ему необходимо присвоить статический IP – адрес на внешнем WAN-интерфейсе:
! Настраиваем интерфейсы
interface GigabitEthernet0/0
description to Internet-WAN
ip address 10.10.10.1 255.255.255.252
!
interface GigabitEthernet0/1
description to LAN
ip address 192.168.160.1 255.255.255.0
duplex auto
! Настраиваем туннельный интерфейс, который является улучшенным GRE (Multipoint GRE)
interface Tunnel1
description DMVPN Tunnel
ip address 172.16.1.1 255.255.255.0 // выбираем приватную подсеть для туннелей
no ip redirects
ip nhrp authentication nhrp1234 // аутентификация между маршрутизаторами
ip nhrp network-id 1 // сетевой идентификатор, который должен быть одинаковым на всех маршрутизаторах
load-interval 30
keepalive 5 10
tunnel source GigabitEthernet0/0 // назначаем источником туннеля WAN интерфейс
tunnel mode gre multipoint // определяем туннель как mGRE
tunnel protection ipsec profile protect-gre // шифруем трафик в туннеле с помощью IPSEC
ip mtu 1440 // уменьшаем MTU для того, чтобы разрешить оверхед на mGRE и IPSEC
ip nhrp map multicast dynamic // разрешаем форвардить мультикаст трафик между туннелями.
! Настраиваем IPSEC на главном роутере
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0 // принимать соединения от любого источника при наличии динамических филиалов
!
crypto ipsec transform-set TS esp-3des esp-md5-hmac
mode tunnel
!
!
crypto ipsec profile protect-gre // профиль добавленный к mGRE туннелю для шифрования
set security-association lifetime seconds 86400
set transform-set TS
! Настраиваем статическую маршрутизацию на HUB маршрутизаторе
ip route 192.168.164.0 255.255.255.0 172.16.1.2 // удаленные подсети доступны через IP удаленного туннеля
ip route 192.168.161.0 255.255.255.0 172.16.1.3 // удаленные подсети доступны через IP удаленного туннеля
Затем настраиваем маршрутизаторы в филиалах (Spoke роутеры) - у одного маршрутизатора статический айпишник на WAN интерфейсе, и у другого динамический, получаемый по DHCP. Первый маршрутизатор в филиале, с динамическим IP:
interface GigabitEthernet0/0
description WAN to Internet
ip address dhcp
duplex auto
speed auto
interface GigabitEthernet0/1
description To LAN
ip address 192.168.164.1 255.255.255.0
duplex auto
speed auto
interface Tunnel1
ip address 172.16.1.2 255.255.255.0 // помещаем в ту же подсеть что и другие туннели
no ip redirects
ip nhrp map multicast dynamic // разрешаем форвардить мультикаст трафик между туннелями
tunnel source GigabitEthernet0/0 // “source”- WAN интерфейс
tunnel mode gre multipoint
tunnel protection ipsec profile protect-gre
ip nhrp authentication nhrp1234
ip nhrp map 172.16.1.1 10.10.10.1 // соответствие HUB адреса туннеля с HUB адресом WAN
ip nhrp network-id 1
ip nhrp nhs 172.16.1.1 // настройка NHRP
ip nhrp registration no-unique // если NHRP процесс завершился (поиск соответствия) для определенного IP, то больше данный процесс не запустится
ip nhrp map multicast 10.10.10.1 // Отправка milticast трафика только в Hub. Головной маршрутизатор будет получать весь мультикаст трафик (например, обновления протокола маршрутизации) и отправлять его всем Spoke маршрутизаторам
ip mtu 1440
load-interval 30
keepalive 5 10
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0 // Филиалы должны разрешать подклюения с любого адреса для формирования IPSEC VPN туннелей с другими филиалами
!
!
crypto ipsec transform-set TS esp-3des esp-md5-hmac
mode tunnel
!
crypto ipsec profile protect-gre
set security-association lifetime seconds 86400
set transform-set TS
ip route 192.168.160.0 255.255.255.0 172.16.1.1 // Маршрут для HUB
ip route 192.168.161.0 255.255.255.0 172.16.1.3 // Маршрут для другого филиала Spoke site
Второй филиальный маршрутизатор, со статическим IP:
interface GigabitEthernet0/0
description TO Internet
ip address 10.10.10.9 255.255.255.252
duplex auto
speed auto
interface GigabitEthernet0/1
description To: LAN
ip address 192.168.161.1 255.255.255.0
duplex auto
speed auto
interface Tunnel1
ip address 172.16.1.3 255.255.255.0 // должен быть в той же подсети что и другие туннели
no ip redirects
ip nhrp map multicast dynamic // разрешаем форвард мульткастов между туннелями.
tunnel source GigabitEthernet0/0
tunnel mode gre multipoint
tunnel protection ipsec profile protect-gre
ip nhrp authentication nhrp1234
ip nhrp map 172.16.1.1 10.10.10.1 // мапируем адрес HUB тунеля к WAN адресу
ip nhrp network-id 1
ip nhrp nhs 172.16.1.1 // настраиваем NHRP клиент с указанием адреса сервера
ip nhrp registration no-unique
ip nhrp map multicast 10.10.10.1
ip mtu 1440
load-interval 30
keepalive 5 10
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key isakmp1234 address 0.0.0.0 0.0.0.0
!
crypto ipsec transform-set TS esp-3des esp-md5-hmac
mode tunnel
!
!crypto ipsec profile protect-gre
set security-association lifetime seconds 86400
set transform-set TS
ip route 192.168.160.0 255.255.255.0 172.16.1.1 // маршрут до головного маршрутизатор
ip route 192.168.164.0 255.255.255.0 172.16.1.2 // маршрут до другого филиала
Переходим к тестированию:
show dmvpn // проверяем статус DMVPN и NHRP
show crypto isakmp sa // проверяем IPSEC cвязность между маршрутизаторами
ping 192.168.164.1 // пингуем для проверки
ping 192.168.1.1
В нашем примере использовалась статическая маршрутизация, но при большом количестве филиалов необходимо использовать протоколы динамический маршрутизации для уменьшения ручного труда и риска ошибки.
Icinga - это бесплатное средство мониторинга с открытым исходным кодом для вашего дата-центра. Это приложение для мониторинга компьютерных систем и работы сети, которое проверяет состояние готовности вашей сети и компьютерных ресурсов, уведомляет о перебоях в работе системы, генерирует данные о производительности ваших ресурсов, а также обеспечивает высокую степень работоспособности и возможность настройки мониторинга распределённых систем со встроенной функцией кластера.
Icinga была создана в 2009 году в качестве разветвления средства мониторинга Nagios. Но потом была заново переписана на С++ и стала одним из самых популярных инструментов мониторинга в интернете. Слово "Ицинга" - это Зулусское слово, означающее "оно ищет", или "оно обозревает", или "оно исследует".
В этом учебном пособии мы покажем вам, как установить и настроить инструмент мониторинга Icinga 2 на сервере LTS Ubuntu 20.04. Мы установим Icinga 2 из официального репозитория, а затем настроим icingaweb2, облегченный и расширяемый веб-интерфейс для системы мониторинга icinga2.
Предпосылки
Для этого руководства мы установим icinga2 и icingaweb2, используя сервер Ubuntu 20.04 с 2 ГБ оперативной памяти. Но эти данные меняются в зависимости от размера вашей ИТ-инфраструктуры.
Что мы будем делать?
Установка Icinga2 и Nagios Monitoring Plugins;
Установка и настройка базы данных MySQL;
Установка и настройка модуля Icinga MySQL;
Установка Apache2 и PHP-пакетов;
Установка и настройка Icingaweb2;
Установка Icinga2 Stack Post.
Шаг 1 - Установка Icinga2 и системы мониторинга Nagios
Сперва мы добавим репозиторий icinga2 для Ubuntu 20.04 и установим пакеты icinga2 и плагины мониторинга Nagios. Добавьте GPG ключ Icinga2 в вашу систему.
curl https://packages.icinga.com/icinga.key | apt-key add -
Теперь перейдите в директорию '/etc/apt/sources.list.d' и создайте новый репозиторий 'icinga-focal.list'.
cd /etc/apt/sources.list.d/
vim icinga-focal.list
Вставьте следующую конфигурацию репозитория.
deb http://packages.icinga.com/ubuntu icinga-focal main
deb-src http://packages.icinga.com/ubuntu icinga-focal main
Нажмите сохранить и закройте. Затем обновите все доступные репозитории и установите подключаемые модули Icinga2 и Nagios Monitoring с помощью команды apt ниже.
sudo apt update
sudo apt install icinga2 monitoring-plugins
После завершения установки запустите службу Icinga2 и добавьте сервис в автозагрузку.
systemctl start icinga2
systemctl enable icinga2
После этого проверьте службу icinga2, используя приведенную ниже команду.
systemctl status icinga2
Ниже приведен результат, который вы получите.
В результате сервис icinga2 запущен и работает на Ubuntu 20.04 FocalFossa.
Шаг 2 - Установка и настройка базы данных MySQL
На этом этапе мы установим последнюю версию сервера MySQL на нашем Ubuntu 20.04 и установим пароль по умолчанию для пользователя MySQL с root правами. Установите MySQL сервер с помощью команды apt, приведенной ниже.
sudo apt install mysql-server mysql-client
После этого запустите службу MySQL и добавьте её в автозагрузку.
systemctl start mysql
systemctl enable mysql
И сервис MySQL готов и запущен. Далее мы зададим пароль для root - пользователя MySQL с помощью командной строки 'mysql_secure_installation', которые предоставлены MySQL-пакетами. Запустите команду 'mysql_secure_installation', которая представлена ниже.
mysql_secure_installation
Теперь вам будет предложено настроить новый пароль для пользователя root, введите надежный пароль, а затем введите "Y" для прочих конфигураций.
Press y|Y for Yes, any other key for No:
Please set the password for root here.
New password:
Re-enter new password:
Remove anonymous users? (Press y|Y for Yes, any other key for No) : Y
Disallow root login remotely? (Press y|Y for Yes, any other key for No) : Y
Remove test database and access to it? (Press y|Y for Yes, any other key for No) : Y
Reload privilege tables now? (Press y|Y for Yes, any other key for No) : Y
В результате завершена установка сервера MySQL и сконфигурирован корневой пароль по умолчанию.
Шаг 3 - Установка и настройка модуля Icinga MySQL
После установки сервера MySQL мы установим модуль icinga2 для поддержки MySQL под названием 'icinga2-ido-mysql'. Установка 'icinga2-ido-mysql' возможна с помощью команды apt, приведенной ниже.
sudo apt install icinga2-ido-mysql
Теперь вам будет предложено включить функцию icinga2 ido-mysql, выберите "Да", чтобы продолжить.
Сконфигурируйте 'icinga2-ido-mysql'с помощью команды dbconfig, затем выберите "Yes" для продолжения.
Введите свой пароль для 'icinga2-ido-mysql'.
Повторите пароль для 'icinga2-ido-mysql'.
В результате установка пакета 'icinga2-ido-mysql' была завершена, и был создан новый пользователь MySQL 'icinga2'.
Затем, чтобы Icinga работала с новой версией MySQL, мы настроим MySQL пользователя 'icinga2' с аутентификацией по встроенному паролю MySQL.
Войдите в командную строку MySQL, используя нижеприведенную команду.
mysql -u root -p
Теперь измените аутентификацию пользователя 'icinga2@localhost' с помощью собственного плагина аутентификации MySQL, используя следующий запрос.
ALTER USER icinga2@localhost IDENTIFIED WITH mysql_native_password BY 'aqwe123@#$';
flush privileges;
Введите 'exit', чтобы выйти из командной строки MySQL, а пользователь MySQL 'icinga2' теперь будет использовать родной плагин аутентификации.
Далее, включите функцию 'ido-mysql' и проверьте все включенные плагины, используя следующую команду.
icinga2 feature enable ido-mysql
icinga2 feature list
Функция 'ido-mysql' будет включена, чтобы применить новую конфигурацию, перезапустите службу icinga2.
systemctl restart icinga2
Таким образом, установка и настройка 'icinga2-ido-mysql' была завершена.
Шаг 4 - Установка Apache2 и PHP-пакетов
На этом шаге, мы установим пакеты Apache и PHP для icingaweb2 и мы будем использовать PHP 7.3, который доступен в репозитории PPA, потому что на данный момент icingaweb2 еще не поддерживается в новой версии PHP 7.4.
Сначала установите пакет 'python3-software-properties' и добавьте репозиторий PHP PPA, используя следующую команду.
sudo apt install python3-software-properties
sudo add-apt-repository ppa:ondrej/php
Далее установите Apache и PHP пакеты с помощью команды apt, описанной ниже.
sudo apt install apache2 php7.3 php7.3-common php7.3-gd php7.3-ldap php7.3-intl php7.3-curl libapache2-mod-php7.3 php7.3-mysql php7.3-pgsql php7.3-xml
После того, как вся установка будет завершена, отредактируйте конфигурацию 'php.ini' с помощью vim-редактора.
vim /etc/php/7.3/apache2/php.ini
Снимите комментарий с опции 'date.timezone' и введите свой часовой пояс.
date.timezone = Asia/Singapore
Раскомментируйте конфигурацию 'cgi.fix_pathinfo' и измените значение на '0'.
cgi.fix_pathinfo=0
Сохраните и закройте. Далее перезапустите службу Apache2 и добавьте ее в автозагрузку.
systemctl restart apache2
systemctl enable apache2
Служба Apache2 запущена и работает, проверьте её, используя следующую команду.
systemctl status apache2
Ниже приведен результат, который вы получите.
В результате была завершена установка Apache и PHP пакетов для icingaweb2.
Шаг 5 - Установка и настройка Icingaweb2
После установки Apache и PHP-пакетов мы установим пакет icingaweb2 и создадим новую базу данных MySQL для icingaweb2. Начните установку пакетов icingaweb2 и icingacli с помощью команды apt.
sudo apt install icingaweb2 icingacli
После завершения установки сгенерируйте токен icingaweb2 для установки с помощью приведенной ниже команды.
icingacli setup token create
Ниже приведен результат, который вы получите.
The newly generated setup token is: 9b871ead0a60c94f
Теперь скопируйте код токена в надёжное место, он будет использован для установки icingaweb2. Далее войдите в командную строку MySQL, используя нижеприведенную команду mysql.
mysql -u root -p
Теперь создайте новую базу данных и пользователя, используя следующие запросы.
create database icingaweb2;
create user icingaweb2@localhost identified with mysql_native_password by "icingaweb2pass";
grant all privileges on icingaweb2.* to icingaweb2@localhost with grant option;
flush privileges;
Введите 'exit', чтобы выйти из командной строки MySQL.
В результате этого установка icingaweb2 завершена и создана новая база данных icingaweb2.
Шаг 6 - Установка Icinga2 и Icinga Stack Post
Откройте веб-браузер и введите IP-адрес сервера, как показано ниже. Замените IP-адрес на IP-адрес своего сервера.
http://IP_адрес/icingaweb2/setup
Вставьте код токена установки в поле и нажмите кнопку 'Далее'.
Теперь вам нужно выбрать модуль Icinga для установки, оставить модуль 'Monitoring' и нажать 'Далее'.
После этого Icinga проверит состояние среды для его установки. Убедитесь, что все необходимые модули находятся в зеленом состоянии, за исключением 'Модулей PostgreSQL', затем нажмите 'Далее'.
Теперь вам нужно выбрать Аутентификацию для доступа к icingaweb2, выбрать 'Database ' (База данных) и нажать 'Next ' (Далее).
Введите все данные базы данных для 'icingaweb2' и нажмите 'Validate Configuration' (Проверить конфигурацию) для тестирования. После того, как все прошло успешно, нажмите кнопку 'Next ' (Далее).
Теперь для аутентификации Backend Authentication выберите 'icingaweb2' и нажмите 'Next ' (Далее).
Введите логин и пароль администратора для icingaweb2 и нажмите 'Далее' еще раз.
В разделе Application Configuration (Конфигурация приложения) оставьте всё по умолчанию и нажмите 'Далее'.
Подтвердите все настройки и нажмите "Далее".
И вы получите страницу приветствия на icingaweb2. Снова нажмите "Далее", чтобы настроить backend мониторинга.
Установите имя Backend как 'icinga2' с типом 'IDO', затем нажмите 'Далее'.
Теперь вам нужно настроить MySQL IDO backend ресурс для приложения icinga2. Введите данные базы данных для icinga2 и нажмите кнопку 'Validate Configuration'.
После успешного завершения нажмите кнопку 'Далее'.
Для 'Command Transport' выберите 'Local Command File' и оставьте его по умолчанию. Затем нажмите 'Далее'.
Для службы Monitoring Security оставьте всё по умолчанию и нажмите 'Далее'.
Подтвердите все настройки и нажмите кнопку 'Готово'.
Теперь установка Icinga 2 и Icinga web 2 завершена, нажмите кнопку 'Login to Icinga Web 2', и вы будете перенаправлены на страницу входа.
Введите пользователя, которого вы настроили в самом начале и нажмите кнопку "Войти".
И, наконец, установка и настройка icinga2 и icingaweb2 на сервере Ubuntu 20.04 успешно завершена.