Differences

This shows you the differences between two versions of the page.

--- workbook:jno-332:332_ipsec [2017/06/05 13:20] – [IPSec: Передача трафика] k
+++ workbook:jno-332:332_ipsec [2021/08/12 08:35] (current) – external edit 127.0.0.1
@@ Line 1: / Line 1: @@
-===== 332 IPSec VPNs ======
+===== JN0-332: IPSec VPNs ======
 ** Необходимые знания по IPSec: **
   * Identify the concepts, benefits and operation of IPSec VPNs:
@@ Line 87: / Line 87: @@
 При ручном обмене обычно с обоих сторон ставят один ключи и его всегда используют, передать этот ключ можно, например. на флешке. Часто менять ключ сложно т.к. его каждый раз надо надежным способом доставить  и настроить.
-При автоматическом обмене флешку возить не надо, но надо как-то безопасным образом передавать ключи через интернет. Для этого используют протокол Diffie-Hellman с помощью которого две стороны получают общий секретный ключ который в дальнейшем используются при не симметричном шифровании.
+При автоматическом обмене флешку возить не надо, но надо как-то безопасным образом передавать ключи через интернет. Для этого используют протокол Diffie-Hellman с помощью которого две стороны получают общий секретный ключ который в дальнейшем используются при не **(Перечитать!!)** симметричном шифровании.
 === DH ===
@@ Line 334: / Line 334: @@
 ==== Протоколы IPSec ====
   * AH (Authentication Header) - протокол отвечает за:
-    * Целостность данных (integrity)
+    * Целостность данных (integrity, MD5/SHA-1)
     * Аутентификацию данных
     * Номер протокола **51** (/etc/protocols)
@@ Line 342: / Line 342: @@
     * Аутентификацию данных
     * Номер протокола **50** (/etc/protocols)
-    * Шифрует данные
+    * Шифрует данные (DES, AES)
 ----
+==== Настройка ====
+<code>
+admin@srx650-master> show configuration security ike
+...
+proposal DEFAULT-FILIALS-IKE-PROPOSAL {
+    authentication-method pre-shared-keys;
+    dh-group group5;
+    authentication-algorithm sha1;
+    encryption-algorithm aes-256-cbc;
+    lifetime-seconds 86400;
+}
+...
+policy IKE-POLICY-MSK-01 {
+    mode main;
+    proposals DEFAULT-FILIALS-IKE-PROPOSAL;
+    pre-shared-key ascii-text "$9$ixxxxxxxxxxxxxxxxxxxxxxxxxxxx6At"; ## SECRET-DATA
+}
+policy IKE-POLICY-MSK-01-PTP {
+    mode main;
+    proposals DEFAULT-FILIALS-IKE-PROPOSAL;
+    pre-shared-key ascii-text "$9$kxxxxxxxxxxxxxxxxxxxfz"; ## SECRET-DATA
+}
+...
+gateway IKE-GW-MSK-01 {
+    ike-policy IKE-POLICY-MSK-01;
+    address 147.45.yyy.xxx;
+    dead-peer-detection always-send;
+    external-interface reth0.261;
+}
+gateway IKE-GW-MSK-01-PTP {
+    ike-policy IKE-POLICY-MSK-01-PTP;
+    address 10.11.5.5;
+    dead-peer-detection always-send;
+    external-interface reth0.162;
+}
+...
+</code>
+<code>
+{primary:node0}
+admin@srx650-master> show configuration security ipsec
+...
+proposal DEFAULT-FILIALS-IPSEC-PROPOSAL {
+    protocol esp;
+    authentication-algorithm hmac-sha1-96;
+    encryption-algorithm aes-256-cbc;
+    lifetime-seconds 3600;
+}
+...
+policy DEFAULT-FILIALS-VPN-POLICY {
+    perfect-forward-secrecy {
+        keys group5;
+    }
+    proposals DEFAULT-FILIALS-IPSEC-PROPOSAL;
+}
+...
+vpn IKE-VPN-MSK-01 {
+    bind-interface st0.5;
+    ike {
+        gateway IKE-GW-MSK-01;
+        ipsec-policy DEFAULT-FILIALS-VPN-POLICY;
+    }
+    establish-tunnels immediately;
+}
+vpn IKE-VPN-MSK-01-PTP {
+    bind-interface st0.905;
+    ike {
+        gateway IKE-GW-MSK-01-PTP;
+        ipsec-policy DEFAULT-FILIALS-VPN-POLICY;
+    }
+    establish-tunnels immediately;
+}
+...
+</code>
+<code>
+{primary:node0}
+admin@srx650-master> show configuration interfaces st0
+...
+unit 5 {
+    description vpn_to_msk-01;
+    family inet {
+        address 10.11.5.13/30;
+    }
+}
+...
+unit 905 {
+    description vpn_to_msk-01_ptp;
+    family inet {
+        address 10.11.5.9/30;
+    }
+}
+</code>
+<code>
+{primary:node0}
+admin@srx650-master> show configuration security zones security-zone vpn
+...
+    st0.5 {
+        host-inbound-traffic {
+            system-services {
+                ping;
+                traceroute;
+            }
+            protocols {
+                ospf;
+            }
+        }
+    }
+    st0.905 {
+        host-inbound-traffic {
+            system-services {
+                ping;
+                traceroute;
+            }
+            protocols {
+                ospf;
+            }
+        }
+    }
+...
+</code>
+<code>
+{primary:node0}
+admin@srx650-master> show route
+...
+.168.5.0/24     *[OSPF/10] 5d 00:33:01, metric 2
+                    > via st0.905
+...
+</code>
 ===== Полезные материалы =====
@@ Line 353: / Line 486: @@
     * [[https://ru.wikipedia.org/wiki/IKE]]
+{{tag>juniper jn0-332 exam}}