По вашему запросу ничего не найдено :(
Убедитесь, что запрос написан правильно, или посмотрите другие
наши статьи:
В этой статье произведем настройку туннеля IPSec между Palo Alto и Cisco ASA Firewall. Далее будет использован брандмауэр Palo Alto с прошивкой PANOS 8.1.10. Хотя, конфигурация почти такая же и в других версиях PANOS. Для понимания этой статьи вам необходимы базовые знания по IPSec VPN. Для настройки этой конфигурации вам не нужна дополнительная лицензия на обоих устройствах. Для настройки туннеля IPSec необходимо иметь статический маршрутизируемый IP- адрес. Итак, давайте начнем настройку!
Как настроить IPSec VPN между Cisco ASA и брандмауэром Palo Alto
Что нужно сделать - настроить туннель IPSec между Cisco ASA и брандмауэром Palo Alto
Как выше говорилось, вам понадобиться статический маршрутизируемый IP-адрес как в Palo Alto, так и в брандмауэре Cisco ASA. В этом примере я использую два маршрутизируемых IP- адреса на обоих брандмауэрах Palo Alto и Cisco ASA (между ними настроена связь, и они доступны друг другу). IP-адрес 1.1.1.1 настроен на брандмауэре Cisco ASA и 2.2.2.2 настроен на брандмауэре Palo Alto как показано ниже:
Как вы заметили, подсеть LAN 192.168.1.0/24 связана с Cisco ASA, а с другой стороны, подсеть LAN 192.168.2.0/24 связана с брандмауэром Palo Alto. Прежде чем перейти к части конфигурации, просто проверьте доступность обоих устройств с помощью утилиты ping.
admin@PA-220> ping host 1.1.1.1
PING 1.1.1.1 (1.1.1.1) 56(84) bytes of data
64 bytes from 1.1.1.1: icmp_seq1 ttl=64 time=0.177 ms
64 bytes from 1.1.1.1: icmp_seq2 ttl=64 time=0.157 ms
Шаги по настройке туннеля IPSec на брандмауэре Palo Alto
Во-первых, мы настроим туннель IPSec на брандмауэре Palo Alto. Для настройки фазы 1 и фазы 2 туннеля IPSec в Palo Alto необходимо выполнить следующие действия.
Создание зоны безопасности на брандмауэре Palo Alto
Во-первых, нам нужно создать отдельную зону безопасности на брандмауэре Palo Alto. Для того чтобы настроить зону безопасности, вам нужно перейти Network >> Zones>> Add. Здесь вам нужно указать название зоны безопасности. Вы можете ввести любое удобное имя.
Создание туннельного интерфейса на брандмауэре Palo Alto
Вам необходимо определить отдельный виртуальный туннельный интерфейс для туннеля IPSec. Чтобы определить интерфейс туннеля, перейдите в раздел Network >> Interfaces>> Tunnel. Выберите виртуальный маршрутизатор, который в моем случае используется по умолчанию. Кроме того, в файле зоны безопасности необходимо выбрать зону безопасности, определенную на Шаге 1. Хотя для этого интерфейса вам не нужно указывать IP-адрес IPv4 или IPv6. Кроме того, вы можете прикрепить профиль управления на вкладке Advanced, если вам это нужно.
Определение IKE Crypto Profile [Фаза 1 туннеля IPSec]
Теперь вам нужно определить фазу 1 туннеля IPSec. Вам нужно зайти Network >> Network Profiles >> IKE Crypto >> Add. Здесь вам нужно дать дружественное имя для IKE Crypto profile. Затем определите DH группу, метод шифрования и аутентификации. По умолчанию срок службы ключа составляет 8 часов. Вы можете изменить его в соответствии с вашим требованием.
Определение Crypto Profile IPSec [Фаза 2 туннеля IPSec]
Теперь вам нужно определить фазу 2 туннеля IPSec. Вам нужно перейти Network>> Network Profiles >> IPSec Crypto >> Add. Здесь, вы должны дать понятное имя для профиля шифрования по протоколу IPSec. Выберите протокол IPsec в соответствии с вашими требованиями. У вас есть ESP (Encapsulation Security Protocol) и AH (Authentication Header) протокол для IPSec. Затем определите группу DH, метод шифрования и аутентификации. По умолчанию срок службы ключа составляет 1 час. Вы можете изменить его в соответствии с вашим требованием.
Определение профиля шлюза IKE
Теперь вам нужно перейти Network >> Network Profiles >> IKE Gateways >> Add. На вкладке Общие (General) необходимо определить имя профиля шлюза IKE. В поле Interface вам нужно ввести/определить свой интернет-интерфейс, в моем случае ethernet1/1, который имеет IP-адрес 2.2.2.2. Установите переключатель в поле Peer IP Address Type в IP. Укажите адрес в поле Peer address, в моем случае 1.1.1.1. Выберите метод аутентификации в поле Authentication, т. е. выберите или общий ключ (Pre Shared Key) или сертификат (Certificate). В этом сценарии я использую предварительный общий ключ (Pre-shared Key). Затем определите предварительный общий ключ (Pre-shared Key) и запишите его, потому что он нужен для определения в FortiGate Firewall. Введите в поля Local Identification и Peer Identification локальный и удаленный IP-адреса.
Нажмите на Advanced Option, в IKEv1 выберите Ike Crypto Profile, который определяется на Шаге 3.
Создание туннеля IPSec
Мы определили шлюз IKE и IPSec Crypto profile для нашего туннеля IPSec. Теперь мы должны определить туннель IPSec. Перейдите в раздел Network >> IPSec Tunnels >> Add. Определите удобное имя для туннеля IPSec. Затем выберите туннельный интерфейс, который определен в шаге 2. Выберите профили для Ike Gateway и IPsec Crypto Profile, которые определены в шаге 3 и шаге 5 соответственно.
Перейдите на вкладку идентификаторы (IDs) прокси-серверов и определите локальные и удаленные сети. В этом сценарии я использую подсети 192.168.1.0/24 и 192.168.2.0/24 в LAN.
Создание политики безопасности для туннельного трафика IPSec
Теперь вам нужно создать профиль безопасности, который позволяет передавать трафик из зоны VPN в зону доверия. Вам нужно перейти Policies >> Security >> Add, чтобы определить новую политику.
Настройка маршрута для одноранговой частной сети
Теперь вам нужно предоставить статический маршрут для частной сети. Просто перейдите в раздел Network >> Virtual Routers >> Default >> Static Routes >> Add. Выберите имя для этого маршрута и определите целевую сеть для этого маршрута, т.е. 192.168.1.0/24 в данном примере. Выберите следующий переход к туннельному интерфейсу, который определен в шаге 2.
Мы закончили настройку туннеля IPSec в брандмауэре Palo Alto. Теперь мы настроим туннель IPSec в FortiGate Firewall.
Этапы настройки туннеля IPSec в брандмауэре Cisco ASA
Теперь мы настроим туннель IPSec в брандмауэре Cisco ASA. Здесь, в этом примере, я использую программное обеспечение Cisco ASA версии 9.8 (1). Хотя конфигурация туннеля IPSec такая же и в других версиях.
Ниже показаны основные шаги настройки IPSec на Cisco ASA:
Настройка фазы 1 (IKEv1)
Определение туннельной группы (Tunnel Group) и предварительного общего ключа (Pre-Shared Key)
Настройка фазы 2 (IPSec)
Настройка расширенного ACL (Extended ACL) и криптографической карты (Crypto Map)
Итак, давайте начнем настройку с настройки фазы 1 Cisco ASA. Перейдите в режим глобальной конфигурации Cisco ASA и начните с приведенных ниже команд
Настройка фазы 1 (IKEv1) на Cisco ASA
ciscoasa(config)# crypto ikev1 enable outside
ciscoasa(config)# crypto ikev1 policy 10
ciscoasa(config-ikev1-policy)# authentication pre-share
ciscoasa(config-ikev1-policy)# encryption 3des
ciscoasa(config-ikev1-policy)# hash md5
ciscoasa(config-ikev1-policy)# group 2
ciscoasa(config-ikev1-policy)# lifetime 7200
Теперь давайте быстро разберемся в значении каждой команды.
Encryption: 3des – используется для шифрования трафика фазы 1
Хэш: md5 – это алгоритм хеширования. Он аутентифицирует наши данные с помощью хэша
Group: 2 – Диффи Хеллман группа 2
Authentication – в этом примере мы используем предварительный общий ключ в качестве аутентификации
Lifetime: 7200 – 86400 срок службы по умолчанию для Фазы 1
В Cisco ASA нам нужно включить криптографию IKEv1 к интерфейсу, обращенному к интернету. Итак, мы можем сделать это с помощью приведенной ниже команды:
ciscoasa(config)# crypto ikev1 enable outside
Настройка туннельной группы и предварительного общего ключа на Cisco ASA
Теперь нам нужно определить туннельный интерфейс и предварительный общий ключ. В этой статье я использую сеть GNS3 в качестве предварительного общего ключа.
ciscoasa(config)# tunnel-group 2.2.2.2 type ipsec-l2l
ciscoasa(config)# tunnel-group 2.2.2.2 ipsec-attributes
ciscoasa(config-tunnel-ipsec)# ikev1 pre-shared-key GNS3Network
Настройка IPSec IKEv1 (Фаза 2)
Здесь нам нужно определить методы шифрования и аутентификации для IPSec Фазы 2
ciscoasa(config-ikev1-policy)# crypto ipsec ikev1 transform-set ESP-AES-SHA esp-3des esp-md5-hmac
ciscoasa(config)# crypto ipsec security-association lifetime seconds 7200
А теперь давайте быстро разберемся в каждой команде.
ESP: ESP означает инкапсулирование полезной нагрузки безопасности, и это протокол IPSec
3DES: 3DES – это один из алгоритмов шифрования
MD5: MD5 – это алгоритм хеширования, который используется для поддержания целостности данных
7200 секунд: срок службы ключа IPSec Phase2
Настройка криптографической карты (Crypto MAP) и расширенного ACL (Extended ACL) для разрешения трафика IPSec на Cisco ASA
Это заключительный этап нашей конфигурации. Здесь нам нужно определить расширенный ACL, чтобы разрешить трафик. Кроме того, здесь нам нужно настроить криптокарту и вызвать настроенную криптокарту на внешний интерфейс. Я настраиваю два адресных объекта для упрощения списка управления доступом (ACL).
Адресный объект и расширенный ACL для разрешения трафика
ciscoasa(config)# object-group network local-network
ciscoasa(config-network-object-group)# network-object 192.168.1.0 255.255.255.0
ciscoasa(config-network-object-group)# object-group network remote-network
ciscoasa(config-network-object-group)# network-object 192.168.2.0 255.255.255.0
ciscoasa(config-network-object-group)# access-list asa-paloalto-vpn extended permit ip object-group local-network object-group remote-network
Настройка криптографической карты
ciscoasa(config)# crypto map outside_map 10 match address asa-paloalto-vpn
ciscoasa(config)# crypto map outside_map 10 set pfs group2
ciscoasa(config)# crypto map outside_map 10 set peer 2.2.2.2
ciscoasa(config)# crypto map outside_map 10 set ikev1 transform-set ESP-ASE-SHA
Включение криптокарты на внешнем интерфейсе
ciscoasa(config)# crypto map outside_map interface outside
Инициирование туннеля IPSec и проверка трафика с помощью Wireshark
На этом этапе мы просто должны инициировать трафик по туннелю IPSec. Если обе фазы туннеля IPSec работают, то ваша настройка идеальна. Итак, давайте получим доступ к CLI брандмауэра Palo Alto и инициируем туннель IPSec:
admin@PA-VM>test vpn ipsec-sa
admin@PA-VM>test vpn ipsec-sa
Теперь давайте получим доступ к туннелям Device >> IPSec и проверим состояние только что созданного туннеля IPSec! Если оба фазовых туннеля находятся в состоянии UP, то они будут выглядеть так, как показано на рисунке ниже:
А теперь давайте запустим трафик с одного из брандмауэров. Я инициирую движения в направлении Palo Alto межсетевой экран от Cisco ASA.
ciscoasa# ping 192.168.2.1
Type escape sequence to abort
Sending 5, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds:
?!!!!
Success rate is 80 percent (4/5), round-trip min/avg/max = 30/30/30 ms
Первый пакет отбрасывается только из-за запроса и ответа ARP. Больше никакой пакет не будет отброшен.
Необязательно: если вы пытаетесь инициировать трафик от IP интерфейса Cisco ASA (т.е. в данном примере), вам нужно разрешить доступ управления к подсети.
ciscoasa(config)# management-access inside
Устранение неполадок в туннеле IPSec
В этой части этой статьи мы обсудим некоторые основные команды, которые помогут вам устранить неполадки туннеля IPSec, настроенного между Cisco ASA и маршрутизатором Cisco.
Устранение неполадок туннеля IPSec на брандмауэре Cisco ASA
ciscoasa# show running-config ipsec
ciscoasa# show running-config crypto ikev1
ciscoasa# show running-config crypto map
Устранение неполадок IPSec-туннель на брандмауэре Palo Alto
Давайте откроем Monitor >> System и воспользуемся фильтром "(subtype eq vpn)". Здесь вы найдете все журналы, связанные с VPN.
Если у вас возникли проблемы с туннелем IPSec, вы можете использовать следующие команды для запуска туннеля IPSec:
admin@PA-CM>test vpn ipsec-sa
admin@PA-CM>test vpn ipsec-sa
Анализ трафика IPSec через Wireshark
Во время настройки туннеля IPSec мы определили ESP (Encapsulating Security Payload) как протокол IPsec, поэтому весь реальный трафик, который идет к одноранговому концу, будет зашифрован с помощью этого протокола. Таким образом, вы найдете только ESP- пакеты в захвате пакетов, как показано ниже
Резюме
В этой статье мы настраиваем туннель IPSec между брандмауэром Cisco ASA и брандмауэром следующего поколения Palo Alto. Мы также обсудили алгоритмы шифрования и аутентификации. Однако для настройки IPSec VPN между двумя удаленными сетями необходимо использовать статические маршрутизируемые IP-адреса.
Сегодняшняя статья будет посвящена основному протоколу динамической маршрутизации – BGP (Border Gateway Protocol). Почему основному? – Потому что с именно с помощью BGP организована топология всего Интернета.
Итак, в данной статье разберем следующие моменты:
Основные термины протокола BGP
Принципы работы протокола BGP
Типы сообщений протокола BGP
Видео: Основы BGP за 7 минут
Терминология
Когда речь идёт BGP, первое на чем необходимо остановиться - это понятие автономной системы AS(Autonomus System). Автономная система - это совокупность точек маршрутизации и связей между ними, объединенная общей политикой взаимодействия, которая позволяет этой системе обмениваться данными с узлами, находящимися за ее пределами.
AS характеризуется (с недавних пор 32 битным) номером ASN (Autonomus System Number) и пулом IP-адресов. Выдачей и того и другого занимается организация IANA (Internet Assigned Numbers Authority), делегируя контроль за распределением ASN и других интернет ресурсов, региональным регистраторам.
Связность автономных систем достигается благодаря статической или динамической маршрутизации.
Со статической маршрутизацией всё просто. Вы заходите на устройство и вручную прописываете маршрут до его ближайшего соседа. На практике, связать даже 10 маршрутизаторов между собой уже представляется довольно сложной задачей.
Поэтому для больших сетей придумали динамическую маршрутизацию, при которой устройства автоматически делятся друг с другом информацией об имеющихся у них маршрутах и, более того, подстраиваются под изменения топологии.
Как известно, протоколы динамической маршрутизации классифицируются по двум основным признакам:
Тип работы протокола относительно AS
IGP (Interior Gateway Protocol) – работают внутри автономной системы. Сюда относятся: RIP, OSPF, EIGRP, IS-IS
EGP (Exterior Gateway Protocol) – работают вне автономных систем и обеспечивают их связность. Сюда относится BGP
Алгоритм работы протокола
Distance-Vector - знает маршруты только до своих ближайших соседей и обменивается с ними таблицей маршрутизации. (RIP, EIGRP)
Link State – знает всю топологию сети и обменивается таблицей топологии со своими соседями (OSPF, IS-IS)
Очевидно BGP не может быть Link State протоколом. Только представьте себе сколько автономных систем в Интернете, любой маршрутизатор просто выйдет из строя если получит такое количество информации.
Итак, BGP – это протокол внешней маршрутизации, использующийся для соединения двух AS. Схема выглядит примерно так:
Так как на BGP возложена великая задача – соединение автономных систем во всем Интернете, то он должен быть очень надежным. Для этих целей, в самом начале работы, BGP-маршрутизатор инициирует установление TCP сессии на 179 порт к своему соседу, происходит стандартных обмен SYN и ACK.
Соединения по протоколу BGP должно быть абсолютно согласовано администраторами автономных систем, желающих организовать стык. Если, скажем, администратор AS402 запустил процесс BGP на маршрутизаторе BR2 (Border Router), указав в качестве соседа BR1 и его ASN, а администратор AS401 никаких действий не произвел, то TCP-сессия не поднимется и системы так и останутся несвязными. Кроме того, должны соблюдаться следующие условия:
179 порт не блокируется ACL (Access Control List)
Маршрутизаторы пингуют друг друга
При запуске BGP процесса ASN удаленной стороны был указан верно
RouterID не совпадают
Если TCP-сессия установлена успешно, то BGP-маршрутизаторы начинают обмен
сообщениями OPEN, в котором сообщают свои ASN, RouterID и Hold timer. Hold timer это время, в течение которого будет поддерживаться TCP-сессия. Если условия, перечисленные ранее, не соблюдаются, например не совпадает информация о номере AS, то сообщением NOTIFICATION маршрутизатор, получивший неверный ASN уведомит об этом своего соседа и сбросит TCP-сессию.
Если же все условия соблюдаются, то маршрутизаторы, с определенным интервалом, начинают высылать друг другу сообщения KEEPALIVE, означающие подтверждение параметров, принятых в OPEN и уведомление “я ещё жив”.
Наконец, маршрутизаторы могут приступать к обмену маршрутной информацией по средствам сообщения UPDATE. Структура данного сообщения делится на две части:
Path Attributes (Атрибуты пути). Здесь указывается из какой AS поступил маршрут, его происхождение и Next Hop для данного пути.
NRLI (Network Layer Reachability Information). Здесь указывает информация непосредственно о сетях, подлежащих добавлению в таблицу маршрутизации, т.е IP-адрес сети и ее маска.
Сообщение UPDATE будет передаваться каждый раз, когда один из маршрутизаторов получит информацию о новых сетях, а сообщение KEEPALIVE на протяжении всей TCP-сессии.
Именно таким образом и работает маршрутизация во всем Интернете. Истории известно множество инцидентов, когда неправильная работа протокола BGP приводила к сбоям обширных частей глобальной сети, поэтому недооценивать его важность категорически нельзя.
Системы записи телефонных звонков - специальный софт, который способен записывать телефонные разговоры, представляющиеся коммерческими компаниями на определенных условиях.
Системы записи звонков могут быть полезным инструментом для ведения бизнеса, позволяющие увеличить эффективность услуг, которые вы оказываете клиентам.
Преимущества записи телефонных разговоров
Запись звонков помогает повысить производительность персонала: используя системы записи разговоров для отслеживания процесса общения Ваших сотрудников с вашими клиентами, что позволяет оценить сильные и слабые стороны процесса оказания услуг и с помощью наглядной демонстрации типичных ошибок указать сотрудником на них.
Запись звонка может помочь урегулировать споры: запись ваших звонков поможет подтвердить любые устные соглашения, которые происходили во время телефонного разговора. Если у клиента возникли разногласия по поводу чего-либо, вы можете прослушать звонок и отправить его по электронной почте. Это может сэкономить вам много времени и денег.
Это может защитить ваш персонал и репутацию вашей компании: в редких случаях, когда ваш персонал или ваша компания получают злоупотребления по телефону, запись звонка может помочь предоставить доказательства. Вы можете прослушать звонок и отправить его в соответствующие органы для дальнейшего расследования, что даст вашим сотрудникам душевное спокойствие и чувство защищенности во время рабочего процесса.
Система записи разговоров Zoom
Программное обеспечение ZOOM осуществляет запись входящий и исходящих звонков, помогая улучшить качество оказания услуг и соответствие требованиям и нормам общения с клиентами, повышая при этом эффективность работы качество обслуживания клиентов.
Основные преимущества и функции ZOOM CallREC:
Запись разговоров клиентов одновременно по нескольким каналам связи одновременно;
Предоставляет функцию выбрать часть звонков, которые необходимо записывать, основываясь на ваших бизнес-требованиях, которые могут быть, как и четко продуманными, так и сгенерированные случайным образом;
Быстрый поиск, воспроизведение и обмен записанными разговорами, хранящихся в удобной библиотеке;
Проведение экспресс опросов для сбора и анализа необходимой информации для повышения качества обслуживания и повышения уровня лояльности клиентов;
Наличие удобного интеллектуального интерфейса для предоставления отчетности о работе контакт центра с большим количеством простых, но при этом информационных панелей с различными актуальными показателями, предоставляя тем самым полную высококачественную бизнес аналитику;
Система интеллектуальной записи разговоров Verint
Предлагает круглосуточную запись разговоров сотрудников с клиентами, включая в себя отслеживание соблюдения необходимых коммуникационных инструкций для сотрудников, защищает права компании и обеспечивает тем самым наивысшее качество оказываемых услуг.
Система записи Verint является отдельным приложением, включающее в себя запись разговоров с высококачественной системой обработки речи и последующего хранения данных в облачных хранилищах.
Софт разработан для современных многоканальных контакт-центров, способная захватывать, индексировать, извлекать, хранить и архивировать до 100 входящих данных по нескольких каналам (включая АТС, VoIP, цифровую совместную работу в чате, электронную почту, мобильную голосовую связь / SMS) через единую систему записи. Программа имеет функцию пассивного фиксирования данные на экране сотрудника, а также нажатия клавиш и запуска этого процесса одновременно во время взаимодействия с клиентом.
Система интеллектуальной записи разговоров Verint является мощным, проверенным решением, способным помочь вашей организации соответствовать современным тенденциям и стандартам, таким как отраслевой стандарт безопасности данных платежных карт (PCI DSS), HIPAA и HITECH и ускорить разрешение возникающих споров. Следует отметить то, что вся сохраненная информация шифруется специальной системой шифрования, разработанной компанией VERINT, что делает процесс записи разговоров безопасным для клиентов и вашей компании.
Центр Речевых Технологий SmartLogger
Smart Logger является средством, позволяющим осуществлять многоканальные вызовы и запись экрана одновременно. Данный процесс необходим для качественного отбора и анализа информации по средствам различных каналов связи (аналоговые, TDM, VoIP).
Основное предназначение Smart Logger для обеспечения качества, анализа производительности и может быть использован для оптимизации работы вашего персонала и бизнес-процессов.
Smart Logger способен решить любые практические задачи по записи звонков в сферах общественной безопасности, безопасности, бизнеса, а также и на промышленных, транспортных и энергетических предприятиях. Абсолютно все полученные данные проходят через собственную систему шифрования, а для получения доступа к необходимым данным требуется пройти систему аутентификации для того чтобы только авторизированные пользователи имели возможность получить доступ к хранящейся информации в облачных сервисах.
Преимущества центра Smart Logger:
Наличие более 40 конфигураций программных модулей Smart Logger, разработанных для различных практических задач необходимых вашей компании;
Самое высокое качество записи звука на рынке: аудиозаписи, сделанные Smart Logger, могут использоваться для распознавания речи и голоса в дальнейшем;
Водяные знаки и цифровая подпись, встроенные в записанный аудиозапись, для идентификации признаков вмешательства в запись телефонного звонка повышает безопасность и уверенность в достоверности полученных данных;
Уникальные речевые технологии: лучшие фильтры подавления шума и аналитика обнаружения эмоций в процессе общения клиента и сотрудника;
Широкий набор возможных параметров, не зависящих от языка для мониторинга и оценки эффективности работы персонала, включающие в себя: количество повторных вызовов, перерывы между клиентом и агентом, соотношение продолжительности речи клиент / агент, удержание / перевод вызовов на клиента, процент молчания;
Запись экрана сотрудника при общении с клиентом;
Многооконный интерфейс с одним окном, простой в использовании, персонализированный графический интерфейс для каждого сотрудника;
Возможность осуществлять процесс записи и последующего анализа полученных данным круглосуточно;