3 Выбор vpn решения
При правильном выборе VPN:
1. мы получаем защищенные каналы связи по цене доступа в Интернет, что в несколько раз дешевлевыделенных линий; 2. при установке VPN не требуется изменять топологию сетей, переписывать приложения, обучать пользователей - все это значительная экономия; 3. обеспечивается масштабирование, поскольку VPN не создает проблем роста и сохраняет сделанные инвестиции; 4.вы независимы от криптографии и можете использовать модули криптографии любых производителей в соответствии с национальными стандартами той или иной страны; 5.открытые интерфейсы позволяют интегрировать вашу сеть с другими программными продуктами и бизнес-приложениями.
4 Программный vpn
Перед началом установки VPN на сервере нужно зарезервировать пул адресов в DHCP.
При установки VPN необходимо отключить брандмаузер. Также на ПК должно быть установлено минимум 2 сетевые карты. В противном случае вы не сможете установить VPN.
После установки VPN на сервере производим его настройку.
Зарезервировать пул адресов для WAN (Wide Area Network – глобальная компьютерная сеть) этот пул адресов берется из заранее зарезервированных адресов в DHCP
Рисунок 1. Выбор зарезервированных адресов
Для внешней сети (т.е. сетевая карта на которой установлен белый IP) задаем свойство Сервисы и порты, разрешив протокол HTTP и перенаправив его на 192.***.***.***
Рисунок 2. Настройка HTTP
Затем производим настройку доступа для всех пользователей
5 Настройка аппаратного vpn
Корпоративные VPN на базе Cisco
В статье рассматривается несколько технологий построения VPN-туннеля: IPSec VPN Site-to-Site, Easy-VPN и DMVPN на базе маршрутизаторов Cisco. Преимущества и недостатки, топологии и конфигурации.
IPSec VPN Site-to-Site
Первый способ Site-to-Site или Intranet VPN представлен на рис. 1, используется для объединения в защищённую сеть нескольких распределённых филиалов одной организации, обменивающихся данными по открытым каналам связи. В основе решения лежит сеть VPN с предварительно настроенными в каждой точке входа в сеть туннелями для передачи защищаемого трафика. Таким образом, все политики доступа и параметры взаимодействия конфигурируются отдельно для каждого устройства доступа и каждой удаленной подсети.
Рисунок3, схема 1. VPN Site-to-Site
В данном примере топология представляет собой звезду, маршрутизатор А расположен в центральном офисе компании, В и С – в дополнительных.
Настройка RouterА
Создаем политику ISAKMP (Internet Security Association and Key Management Protocol) с приоритетом 1 (приоритет от 1 до 10000, 1 является самым высоким) и входим в режим конфигурации ISAKMP. Здесь устанавливаем общие параметры для установки туннеля. Указываем алгоритмы хэш-функции и шифрования.
Метод аутентификации. Определяем схему обмена ключами Диффи-Хеллмана
[1] (group 2 – 1024 бита, Cisco IOS (Interwork Operating System) также поддерживает 1 и 5 группы) для протокола IKE (Internet Key Exchange). IP-адреса и крипто-ключи должны совпадать с соответствующими на удаленных маршрутизаторах. При смене ключа необходимо очистить крипто-сессию командой:
clear crypto session
Также здесь можно указать время жизни туннеля, команда «lifetime <60-86400>» в секундах.
crypto isakmp policy 1
hash md5
encryption 3des
authentication pre-share
group 2
crypto isakmp key cisco123 address 172.16.2.1
crypto isakmp key cisco124 address 172.16.3.1
Далее определяется список выполняемых операций (transform – изменений) для установки подлинности данных, конфиденциальности и сжатия. В нашем примере протокол шифрования сетевого трафика ESP (Encapsulation Security Payload) использует DES (Data Encryption Standard) и MD5 (Message Digest 5).
crypto ipsec transform-set rtpset esp-des esp-md5-hmac
Создаем расширенные списки контроля доступа acl (Access Control List) 102 и 103. В них указываем подсети, трафик между которыми будем шифровать.
access-list 102 permit ip 192.168.1.0 0.0.0.255 10.10.2.0 0.0.0.255
access-list 103 permit ip 192.168.1.0 0.0.0.255 10.10.3.0 0.0.0.255
Создаем крипто-карты для удаленных VPN-маршрути-заторов B и C. Указываем соответствующие IP-адреса, определенный ранее transform-set и списки доступа.
Здесь также можно задействовать классификацию качества обслуживания QoS (Quality of Service), до того как пакет попадет в туннель.
crypto map rtp 2 ipsec-isakmp
set peer 172.16.2.1
set transform-set rtpset
match address 102
crypto map rtp 3 ipsec-isakmp
set peer 172.16.3.1
set transform-set rtpset
match address 103
exit
Теперь назначаем внешнему интерфейсу созданную крипто-карту rtp. И указываем максимальный размер сегмента MSS (Maximum Segment Size) [2].