वीपीएन सुरंग और चैनल एन्क्रिप्शन

संक्षिप्त सारांश

वीपीएन (वर्चुअल प्राइवेट नेटवर्क) प्रौद्योगिकियों का एक संग्रह है जो आपको असुरक्षित नेटवर्क (आमतौर पर इंटरनेट) के शीर्ष पर एक सुरक्षित चैनल बनाने की अनुमति देता है। मुख्य उद्देश्य: गोपनीयता (एन्क्रिप्शन), अखंडता (संदेश प्रमाणीकरण), प्रामाणिकता (नोड्स/उपयोगकर्ताओं का आपसी प्रमाणीकरण) और उपलब्धता (विफलताओं और तालों का प्रतिरोध)। एक कॉर्पोरेट बुनियादी ढांचे में, वीपीएन साइट-टू-साइट, रिमोट एक्सेस, क्लाउड कनेक्टिविटी और मशीन-टू-मशीन स्क्रिप्ट को बंद कर देता है। आधुनिक अभ्यास "फ्लैट" एल 3 नेटवर्क को कम करना और विभाजन को लागू करना, कम से कम विशेषाधिकारों का सिद्धांत और जीरो ट्रस्ट के लिए एक क्रमिक संक्रमण है।

बुनियादी अवधारणाएँ

टनलिंग - एक प्रोटोकॉल से दूसरे प्रोटोकॉल में पैकेटों का एनकैप्सुलेशन (उदाहरण के लिए, यूडीपी के अंदर आईपी), आपको एक सार्वजनिक नेटवर्क के माध्यम से एक निजी पता योजना और नीतियों को "ले" जाने की अनुमति देता है।

एन्क्रिप्शन - ट्रैफिक कंटेंट प्रोटेक्शन (AES-GCM, ChaCha20-Poly1305)।

प्रमाणीकरण - नोड्स/उपयोगकर्ताओं का प्रमाणीकरण (X.509 प्रमाणपत्र, PSK, SSH कुंजियाँ)।

अखंडता - स्पूफिंग (HMAC, AEAD) के खिलाफ सुरक्षा।

PFS (परफेक्ट फॉरवर्ड सेक्रेसी) - सत्र कुंजियों को दीर्घकालिक लोगों से नहीं निकाला जाता है; एक दीर्घकालिक कुंजी से समझौता करना पिछले सत्रों का खुलासा नहीं करता

विशिष्ट परिदृश्य

1. साइट-टू-साइट (L3): कार्यालय ↔ डेटा सेंटर/क्लाउड; आमतौर पर एक IPsec/IKEv2, स्थिर या गतिशील राउटर।

2. रिमोट एक्सेस (उपयोगकर्ता-से-साइट): लैपटॉप/मोबाइल से कर्मचारी; OpenVPN/WireGuard/IKEv2, एमएफए, स्प्लिट/फुल-टनल।

3. हब-एंड-स्पोक: केंद्रीय हब (ऑन-प्रेम या क्लाउड ट्रांजिट) की सभी शाखाएं।

4. मेष: पूरी तरह से जुड़ी शाखा/माइक्रोडेटेंट नेटवर्क (गतिशील रूटिंग + आईपीसेक)।

5. क्लाउड-टू-क्लाउड: इंटर-क्लाउड लिंक (आईपीसेक सुरंग, क्लाउड वीपीएन/ट्रांजिट गेटवे, एसडी-वान)।

6. सेवा-से-सेवा: क्लस्टर/नेमस्पेस (CNI/SD-WAN में वायरगार्ड, IPsec, सेवा स्तर पर mTLS) के बीच मशीन कनेक्शन।

VPN प्रोटोकॉल और जहां वे मजबूत हैं

IPsec (ESP/IKEv2) - साइट-टू-साइट गोल्ड स्टैंडर्ड

परतें: IKEv2 (कुंजी विनिमय), ईएसपी (यातायात एन्क्रिप्शन/प्रमाणीकरण)।

मोड: सुरंग (आमतौर पर), परिवहन (शायद ही कभी, होस्ट-टू-होस्ट)।

पेशेवरों: हार्डवेयर ऑफलोड, परिपक्वता, अंतर-विक्रेता संगतता, राजमार्गों और क्लाउड गेटवे के लिए आदर्श।

विपक्ष: कॉन्फ़िगरेशन जटिलता, NAT के प्रति संवेदनशीलता (NAT-T/UDP-4500 द्वारा हल), नीतियों का समन्वय करते समय अधिक "अनुष्ठान"।

उपयोग: शाखा कार्यालय, डेटा केंद्र, बादल, उच्च प्रदर्शन आवश्यकताएं।

ओपनवीपीएन (टीएलएस 1। 2/1. 3)

परतें: L4/L7, यूडीपी/टीसीपी पर यातायात; यूडीपी पर अक्सर डीटीएलएस जैसी योजना।

पेशेवरों: लचीला, मास्किंग कौशल (tcp/443), समृद्ध पारिस्थितिकी तंत्र के साथ अच्छी तरह से गुजरता है।

विपक्ष: IPsec/वायरगार्ड की तुलना में अधिक ओवरहेड; साफ क्रिप्टो कॉन्फ़िगरेशन की जरूरत है।

उपयोग: दूरस्थ पहुंच, मिश्रित वातावरण, जब नेटवर्क का "प्रवेश" महत्वपूर्ण है।

वायरगार्ड (NoisIK)

परतें: UDP पर L3; न्यूनतम कोड आधार, आधुनिक क्रिप्टो आदिम (Curve25519, ChaCha20-Poly1305)।

पेशेवरों: उच्च प्रदर्शन (विशेष रूप से मोबाइल/एआरएम पर), कॉन्फ़िग की सादगी, तेजी से घूमना।

विपक्ष: कोई अंतर्निहित पीकेआई नहीं; कुंजी/पहचान प्रबंधन के आसपास प्रक्रियाओं

उपयोग: रिमोट एक्सेस, इंटर-क्लस्टर कनेक्टिविटी, S2S आधुनिक स्टैक में, DevOps।

SSH सुरंगें (L7)

Типы: स्थानीय/दूरस्थ/गतिशील (SOCKS)।

पेशेवरों: बिंदु पहुंच/व्यवस्थापक पैनल के लिए "पॉकेट" उपकरण।

विपक्ष: एक कॉर्पोरेट वीपीएन के रूप में स्केलेबल नहीं, प्रमुख प्रबंधन और ऑडिटिंग अधिक कठिन हैं।

उपयोग करें: सेवाओं तक पहुंच, एक बंद नेटवर्क, जंप-होस्ट के लिए "पेरिस्कोप"।

GRE/L2TP/..। (एन्क्रिप्शन के बिना एनकैप्सुलेशन)

उद्देश्य: एक L2/L3 सुरंग बनाता है लेकिन एन्क्रिप्ट नहीं करता है। आमतौर पर IPsec के साथ संयुक्त (IPsec पर IPsec/GRE)।

उपयोग: दुर्लभ मामले जब चैनल की L2 प्रकृति की आवश्यकता होती है (पुराने प्रोटोकॉल/अलग-थलग VLANs L3 पर)।

क्रिप्टोग्राफी और सेटिंग्स

Ciphers: AES-GCM-128/256 (हार्डवेयर त्वरण, AES-NI), ChaCha20-Poly1305 (मोबाइल/बिना AES-NI)।

CEC/समूह: ECDH (Curve25519, secp256r1), समूह DH ≥ 2048; PFS सक्षम करें।

हस्ताक्षर/पीकेआई: ECDSA/Ed25519 पसंदीदा; स्वचालित रिलीज/रोटेशन, OCSP/CRL का उपयोग करें।

प्रमुख जीवनकाल: लघु IKE SA/Child SA, नियमित rekey (उदा। 8-24 एच, यातायात/समय में)।

एमएफए: उपयोगकर्ता वीपीएन के लिए - टीओटीपी/वेबऑटन/पुश।

निष्पादन और विश्वसनीयता

MTU/MSS: सही PMTU कॉन्फ़िगरेशन (आमतौर पर UDP सुरंगों के लिए 1380-1420) एमएसएस-क्लैंप एज नोड्स पर।

DPD/MOBIKE/Keepalive: "गिर" साथियों का परिचालन पता लगाना, निर्बाध रोमिंग (IKEv2 MOBIKE, वायरगार्ड पर्सिस्टेंटकीपालिव)।

रूटिंग: ECMP/मल्टीपैथ, गतिशीलता के लिए सुरंगों पर BGP।

ऑफलोड: हार्डवेयर क्रिप्टो त्वरक, स्मार्टएनआईसी/डीपीयू, लिनक्स कर्नेल (xfrm, वायरगार्ड कर्नेल)।

निर्णायक ताले: बंदरगाहों/परिवहन का परिवर्तन, एक हैंडशेक का तिरस्कार (जहां कानूनी रूप से अनुमत)।

QoS: यातायात वर्गीकरण और प्राथमिकता, वास्तविक समय के प्रवाह के लिए जिटर नियंत्रण।

टोपोलॉजी और डिजाइन

• पूर्ण: वीपीएन पर सभी यातायात (नियंत्रण/सुरक्षा अधिक है, भार अधिक है)।
• विभाजन: केवल आपके लिए आवश्यक सबनेट (बचत, कम विलंबता, "बाईपास" चैनलों की सुरक्षा के लिए बढ़ी हुई आवश्यकताएं)।
• विभाजन: पर्यावरण के लिए व्यक्तिगत सुरंग/वीआरएफ/नीतियां (प्रोड/स्टेज), डेटा डोमेन (पीआईआई/वित्तीय), प्रदाता।
• बादल: क्लाउड वीपीएन/ट्रांजिट गेटवे (AWS/GCP/Azure), IPsec S2S, एक केंद्रीकृत पारगमन केंद्र के माध्यम से मार्ग।
• SD-WAN/SASE: स्वचालित चैनल चयन, अंतर्निहित टेलीमेट्री और सुरक्षा नीतियों के साथ ओवरले।

चैनल और पर्यावरण सुरक्षा

फ़ायरवॉल/एसीएल: पोर्ट/सबनेट द्वारा स्पष्ट अनुमति-सूची, डिफ़ॉल्ट रूप से इनकार करें।

DNS सुरक्षा: सुरंग के माध्यम से कॉर्पोरेट DNS को मजबूर किया, लीक के खिलाफ सुरक्षा (IPv6, WebRTC)।

क्लाइंट नीतियां: किल-स्विच (सुरंग गिरने पर ट्रैफिक ब्लॉक), अनुपालन की आवश्यकता होने पर स्प्लिट-डीएनएस निषेध।

लॉग और ऑडिट: SA द्वारा अस्वीकार किए गए हैंडशेक, प्रमाणीकरण, रेकी के लॉग को केंद्रीकृत करें।

रहस्य: HSM/विक्रेता KMS, रोटेशन, PSK न्यूनतम (अधिमानतः प्रमाणपत्र या WG कुंजी)।

उपकरण: अनुपालन जाँच (OS, पैच, डिस्क एन्क्रिप्शन, EDR), NAC/MDM।

अवलोकन, SLO/SLA और सतर्कता

• सुरंग की उपलब्धता (% uptime)।
• प्रमुख मार्गों पर विलंबता, जिटर, पैकेट नुकसान।
• बैंडविड्थ (p95/p99), क्रिप्टो नोड्स का सीपीयू/आईआरक्यू।
• रेकी/डीपीडी घटनाओं की दर, सत्यापन विफलताएं।
• विखंडन/PMTU त्रुटियाँ।

• "वीपीएन हब उपलब्धता ≥ 99। 95% प्रति माह"
• "DC-A और DC-B ≤ 35 ms के बीच p95 देरी।"
• «< 0. 1% असफल IKE SAs प्रति घंटे.

• टनल डाउन> एक्स सेकंड; डीपीडी उछाल; हैंडशेक त्रुटियों का विकास; p95> दहलीज क्षरण; CRL/OCSP त्रुटियाँ।

ऑपरेशन और जीवन चक्र

PKI/प्रमाणपत्र: स्वचालित रिलीज ़/अपडेट, लघु TTL, समझौता होने पर तुरंत रद्द करें।

मुख्य रोटेशन: नियमित रूप से, साथियों के चरणबद्ध स्विचिंग के साथ।

परिवर्तन: रोलबैक (समानांतर में पुराने/नए एसए), रखरखाव खिड़कियों के साथ योजनाएं बदलें।

ब्रेक-ग्लास: स्पेयर अकाउंट/कीज़, जंप-होस्ट के माध्यम से मैनुअल एक्सेस।

घटनाएं: समझौते के संदेह के मामले में - प्रमाणपत्रों का निरसन, पीएसके रोटेशन, बल-रेकी, बंदरगाहों/पतों का परिवर्तन, लॉग का ऑडिट।

अनुपालन और कानूनी

GDPR/PII: पारगमन में एन्क्रिप्शन अनिवार्य है, पहुंच को कम करना, विभाजन को कम करना।

पीसीआई डीएसएस: मजबूत सिफर, एमएफए, एक्सेस लॉग, कार्डधारक विभाजन।

स्थानीय यातायात/क्रिप्टो प्रतिबंध: न्यायिक आवश्यकताओं (क्रिप्टो, डीपीआई, अवरुद्ध का निर्यात) का पालन करें।

लॉग: नीति के अनुसार भंडारण (अवधारण, अखंडता, पहुंच)।

जीरो ट्रस्ट, एसडीपी/जेडटीएनए बनाम क्लासिक वीपीएन

क्लासिक वीपीएन: नेटवर्क एक्सेस (अक्सर चौड़ा) वितरित करता है।

ZTNA/SDP: प्रासंगिक सत्यापन (पहचान, उपकरण की स्थिति, जोखिम) के बाद एक विशिष्ट अनुप्रयोग/सेवा तक पहुंच प्रदान करता है।

हाइब्रिड मॉडल: VPN को highways/S2S के लिए छोड़ दें, और उपयोगकर्ताओं के लिए - वांछित अनुप्रयोगों के लिए ZTNA टाइल; धीरे-धीरे "फ्लैट" सेट हटा दें।

प्रोटोकॉल कैसे चुनें (लघु मैट्रिक्स)

शाखाओं/बादलों के बीच: IPsec/IKEv2।

उपयोगकर्ताओं के लिए दूरस्थ पहुंच: वायरगार्ड (यदि आपको एक हल्के और तेज क्लाइंट की आवश्यकता है) या OpenVPN/IKEv2 (यदि आपको परिपक्व PKI/नीतियों की आवश्यकता है)।

प्रॉक्सी/डीपीआई के माध्यम से उच्च प्रवेश: OpenVPN-TCP/443 (चालान के बारे में जागरूकता के साथ) या obfuscation (जहां अनुमति है)।

मोबाइल/रोमिंग: वायरगार्ड या MOBIKE IKEv2।

L2 ओवर L3: IPsec के साथ (एन्क्रिप्शन आवश्यक)।

कार्यान्वयन जाँच सूची

1. पहुंच डोमेन (Prod/State/Back-office) और न्यूनतम विशेषाधिकारों के सिद्धांत को परिभाषित करें।

2. प्रोटोकॉल/टोपोलॉजी (हब-एंड-स्पोक बनाम मेष), योजना पता और मार्ग का चयन करें।

3. क्रिप्टो प्रोफाइल (AES-GCM/ChaCha20, ECDH, PFS, लघु TTL) को मंजूरी दें।

4. PKI, MFA, नियत तारीख और रिलीज पॉलिसी सेट करें।

5. MTU/MSS, DPD/MOBIKE, रखरखाव कॉन्फ़िगर करें।

6. लॉगिंग, डैशबोर्ड, एसएलओ मेट्रिक्स और अलर्ट सक्षम करें।

7. लोड/फ़ीलर परीक्षण (हब का पतन, रेकी-फटना, लिंक परिवर्तन) करते हैं।

8. दस्तावेज़ ब्रेक-ग्लास और रोटेशन प्रक्रिया।

9. उपयोगकर्ताओं (ग्राहकों, नीतियों) पर प्रशिक्षण का संचालन करें।

10. नियमित रूप से पहुंच और ऑडिट रिपोर्ट की समीक

सामान्य गलतियाँ और उनसे कैसे बचें

IPsec के बिना: कोई एन्क्रिप्शन नहीं - हमेशा IPsec जोड़ें।

गलत MTU: विखंडन/बूंदें - MSS-clamp कॉन्फ़िगर करें, PMTU की जाँच करें।

PSK "हमेशा के लिए": पुरानी कुंजी रोटेशन, to के लिए संक्रमण।

विभाजन-सुरंग में व्यापक नेटवर्क: ट्रैफिक लीक - स्पष्ट मार्ग/नीतियां, केवल वीपीएन के माध्यम से डीएनएस।

अतिरेक के बिना एकल "सुपर हब": SPOF - एसेट-एसेट, ECMP, कई क्षेत्र।

कोई हैंडशेक मॉनिटरिंग नहीं: "साइलेंट" गिरता है → डीपीडी/अलार्म/डेशबोर्ड।

नमूना विन्यास

वायरगार्ड (लिनक्स) - 'wg0। भ्रमित करें '

ini
[Interface]
Address = 10. 20. 0. 1/24
PrivateKey = <server_private_key>
ListenPort = 51820

Client 1
[Peer]
PublicKey = <client1_public_key>
AllowedIPs = 10. 20. 0. 10/32
PersistentKeepalive = 25

ini
[Interface]
Address = 10. 20. 0. 10/32
PrivateKey = <client_private_key>
DNS = 10. 20. 0. 2

[Peer]
PublicKey = <server_public_key>
Endpoint = vpn. example. com:51820
AllowedIPs = 10. 20. 0. 0/24, 10. 10. 0. 0/16
PersistentKeepalive = 25

स्ट्रॉन्गस्वान (IPsec/IKEv2) - 'ipsec। भ्रम '

conf config setup uniqueids=never

conn s2s keyexchange=ikev2 ike=aes256gcm16-prfsha384-ecp256!
esp=aes256gcm16-ecp256!
left=%any leftid=@siteA leftsubnet=10. 1. 0. 0/16 right=vpn. remote. example rightsubnet=10. 2. 0. 0/16 dpdaction=restart dpddelay=30s rekey=yes auto=start

conf
: RSA siteA. key

OpenVPN (UDP, TLS 1। 3) - 'सर्वर। भ्रमित करें '

conf port 1194 proto udp dev tun tls-version-min 1. 3 cipher AES-256-GCM data-ciphers AES-256-GCM:CHACHA20-POLY1305 auth SHA256 user nobody group nogroup topology subnet server 10. 30. 0. 0 255. 255. 255. 0 push "redirect-gateway def1"
push "dhcp-option DNS 10. 30. 0. 2"
keepalive 10 60 persist-key persist-tun verb 3

iGaming/fintech प्लेटफार्मों के लिए अभ्यास

विभाजन: भुगतान एकीकरण, बैक ऑफिस, सामग्री प्रदाताओं, धोखाधड़ी विरोधी के लिए अलग सुरंगें; PII/भुगतान डोमेन को अलग करें।

हार्ड एक्सेस पॉलिसी: विशिष्ट पोर्ट/सबनेट्स द्वारा मशीन-टू-मशीन (PSP, नियामकों द्वारा अनुमति-सूची)।

अवलोकन: VPN घटनाओं के कारण p95 टाइम-टू-वॉलेट नीचा हो सकता है - महत्वपूर्ण PSP/बैंकों से कनेक्टिविटी की निगरानी करें।

अनुपालन: स्टोर एक्सेस लॉग और प्रमाणीकरण, एमएफए को लागू करना, नियमित चैनल पैठ परीक्षण।

FAQ

क्या सभी शाखाओं के बीच पूर्ण जाल करना संभव है?

केवल तभी जब स्वचालन और गतिशील मार्ग हो; अन्यथा - जटिलता में वृद्धि। अक्सर अधिक लाभदायक हब-एंड-स्पोक + स्थानीय अपवाद।

क्या मुझे बादलों के बीच "आंतरिक" यातायात को एन्क्रिप्ट करने की आवश्यकता है?

हाँ मैंने किया। सार्वजनिक बैकएंड और इंटररीजनल राजमार्गों के लिए IPsec/WireGuard और सख्त ACL की आवश्यकता होती है।

कौन सा तेज है - एईएस-जीसीएम या ChaCha20-Poly1305?

एईएस-एनआई - एईएस-जीसीएम के साथ x86 पर; ChaCha20-Poly1305 अक्सर एआरएम/मोबाइल पर जीतता है।

ZTNA पर कब स्विच करना है?

जब वीपीएन के माध्यम से नेटवर्क एक्सेस "वाइड" हो गया है, और संदर्भ प्रमाणीकरण और डिवाइस सत्यापन के साथ अनुप्रयोगों को बिंदुवार प्रकाशित किया जा सकता है।

कुल

एक विश्वसनीय वीपीएन वास्तुकला केवल "प्रोटोकॉल और पोर्ट नहीं है। "यह पीएफएस के साथ एक क्रिप्टो प्रोफाइल है, विचारशील विभाजन, हार्ड एसएलओ के साथ अवलोकन, पीकेआई/रोटेशन अनुशासन, और जेडटीएनए में प्रबंधित संक्रमण जहां नेटवर्क का उपयोग निरर्थक है। ऊपर दी गई चेकलिस्ट और चयन मैट्रिक्स का अनुसरण करके, आप आज की वितरित प्रणालियों के लिए मजबूत और प्रबंधनीय कनेक्टिविटी का निर्माण करेंगे।