MSN թունելները և ալիքների կոդավորումը

Live ռեզյումե

MSN (Virtum Private Network) տեխնոլոգիայի հավաքածու է, որը թույլ է տալիս ստեղծել պաշտպանված ալիքը անվտանգ ցանցի վրա (սովորաբար ինտերնետը)։ Հիմնական նպատակները ՝ գաղտնիությունը (կոդավորումը), հաղորդագրությունների ամբողջականությունը (հաղորդագրությունների վավերացումը), իսկությունը (հանգույցների/օգտագործողների փոխադարձ վավերացումը) և հասանելիությունը (դիմադրությունը և արգելափակումները)։ Կորպորատիվ ենթակառուցվածքում MSN-ն փակում է site-to-site, հեռավոր հասանելիությունը, միջմայրցամաքային կապը և ծառայությունների ծառայությունը (machine-to-machine)։ Ժամանակակից պրակտիկան նվազագույնի հասցնելն է «հարթ» L3 ցանցերը և օգտագործել հատվածները, ամենափոքր արտոնությունների սկզբունքը և աստիճանական անցումը Zero Trust-ին։

Հիմնական հասկացությունները

Թուննելացիան մեկ արձանագրություն է մեկ (օրինակ, UDP-ի ներսում IP), որը թույլ է տալիս «վերագրել» մասնավոր հասցեային պլանը և քաղաքականությունը հանրային ցանցի միջոցով։

Կոդավորումը կոդավորման բովանդակության պաշտպանությունն է (AES-GCM, ChaCha20-Poly13.1)։

Վավերացումը հանգույցների/օգտագործողների իսկության հաստատումն է (X.59, PSK, SSH-բանալիներ)։

Ամբողջականությունը պաշտպանությունն է փոխարինումից (HMAC, AEAD)։

PMS (Perfect Forward Secrecy) - նստաշրջանի բանալիները չեն հանվում կոմպոզիցիաներից։ երկարաժամկետ բանալին փոխզիջումը չի բացահայտում անցյալ նստաշրջանները։

Տիպիկ սցենարներ

1. Site-to-Site (L3): գրասենյակը նշված է/ամպային։ Սովորաբար IPsec/IKEv2, ստատիկ կամ դինամիկ երթուղիչ։

2. Remote Express (User-to-Site) 'նոութբուքերի աշխատակիցները/medil; OpenVPN/WireGuard/IKEv2, MFA, split/full-tunnel.

3. Hub-and-Spoke-ը 'կենտրոնական հաբի բոլոր ճյուղերը (on-24m կամ Cloud Transit)։

4. Mesh: Փղերի/միկրոդատասենտների ամբողջական ցանցը (դինամիկ միկրոօրգանիզացիա + IPsec)։

5. Cloud-to-Cloud: միջմայրցամաքային ալիքները (IPSec-թունելներ, Cloud DRN/Transit Gateway, SD-WAN)։

6. System-to-International-ը 'կլաստերների/նյարդային սպեյսի միջև մեքենայական միացություններ (WireGuard, IPsec CNI/SD-WAN, mTSA-ի մակարդակի վրա)։

DRN արձանագրությունները և որտեղ դրանք ուժեղ են

IPsec (ESP/IKEv2) - Site-to-Site-ի «ոսկե ֆուտբոլ»։

Շերտերը ՝ IKEv2 (բեկորների փոխանակում), ESP (կոդավորում/վավերացում)։

Ռեժիմները ՝ թունելային (սովորաբար), տեղափոխական (հազվադեպ, 71-k-2019)։

Պլյուսներ ՝ ապարատային օֆլոադներ, հասունություն, միջվենդորային համատեղելիություն, իդեալական է մայրուղիների և ամպային նավակների համար։

Մինուսները 'մրցույթի բարդությունը, NAT-ի զգայունությունը (լուծվում է NAT-T/UDP-4500), ավելի շատ «ծեսեր» քաղաքական համակարգման ժամանակ։

Օգտագործումը 'ֆիլալներ, ամսաթվերի կենտրոններ, ամպեր, արտադրողականության բարձր պահանջներ։

OpenVPN (TLS 1. 2/1. 3)

Շերտերը ՝ L4/L7, UDP/TCP-ի վերևում։ Հաճախ DTSA նման սխեմա UDP-ում։

Պլյուսներ ՝ ճկուն, լավ է անցնում NAT-ը և DPI-ը, երբ քողարկում են (tcp/443), հարուստ էկոհամակարգ։

Մինուսներ 'ավելի բարձր ծախսեր, քան IPsec/WireGuard-ը։ անհրաժեշտ է կոկիկ ծպտյալ։

Օգտագործումը 'հեռավոր հասանելիություն, խառը միջավայրեր, երբ կարևոր է ցանցի «ներթափանցումը»։

WireGuard (NoiseIK)

Շերտերը ՝ L3 UDP-ի վերևում; Նվազագույն կոդավորման հիմքը, ժամանակակից կրիպտոպրիմիտիվները (Curve2.119, ChaCha20-Poly13.11)։

Պլյուսներ 'բարձր արտադրողականություն (հատկապես ֆոսֆիլկի/ARM), ածխաջրածինների պարզությունը, արագ ռոումինգը։

Մինուսներ 'չկա ներկառուցված PKI; բաների/նույնականությունների կառավարումը պահանջում է շուրջ գործընթացներ։

Օգտագործումը 'հեռավոր հասանելիություն, միջկլաստիկական կապ, S2S ժամանակակից ապակու մեջ, DevOps։

SSH թունելներ (L7)

Типы: Local/Remote/Dynamic (SOCKS).

Պլյուսներ ՝ «գրպանի» գործիք կետային հասանելիության/adminks համար։

Մինուսներ. Այն չի մեծանում որպես CPN ալյումինե, բեկորների կառավարումը և աուդիտը ավելի բարդ են։

Օգտագործումը 'ծառայություններին ճշգրիտ հասանելիություն, «քրիզոպը» փակ ցանցում, jump-host։

GRE/L2TP/… (ինկապուլացիա առանց պարտքի)

Նշանակումը 'ստեղծում է L2/L3 թունել, բայց չի ծածկում։ Սովորաբար IPsec-ի հետ (L2TP over IPsec/GRE over IPsec)։

Օգտագործումը 'հազվագյուտ դեպքեր, երբ անհրաժեշտ է L2-բնույթը (հին/մեկուսացված MSAN-ը L3-ի վերևում)։

Կրիպտոգրաֆիա և պարամետրեր

Ծածկագրերը ՝ AES-GCM-356 (ապարատային արագացում, AES-NI), ChaCha20-Poly13.1 (բջջային/առանց AES-NI)։

KEH/խումբը ՝ ECDH (Curve2.119, secp256r1), DH-2048 խմբերը։ միացրեք PBS-ը։

Ստորագրություններ/PKI: ECDSA/Ed2.119 2019; ավտոմատիզացրեք արտադրությունը/նավարկումը, օգտագործեք OCSA/CRL։

Կյանքի ժամանակահատվածները ՝ կարճ IKE SA/Child SA, www.rekey (օրինակ, 8-24 ժամ, ձուլման/ժամանակի)։

MFA 'օգտագործողների համար SDN-ը TOTP/Windows Authn/Push-ն է։

Արտադրողականություն և կայունություն

MTU/MSS 'PMTU ճիշտ կարգավորում (սովորաբար 1380-1420 UDP թունելների համար); MSS-clamp սահմանային հանգույցներում։

DPD/MOBIKE/Keepalive-ը '«ընկած» պիրների կանոնավոր հայտնաբերումը, անխափան ռոումինգը (IKEv2 MOBIKE, WireGuard Persistent Keepalive)։

Միկրոակտիզացիա ՝ ECSA/Multipath, BGP դինամիկայի թունելների վերևում։

Օֆլոադը 'ապարատային կրիպտոաքսելատորներ, SmartNIC/DPU, Linux միջուկը (xfrm, WireGuard kernel)։

Արգելափակման առաջխաղացումը 'շարժիչի/տրանսպորտի փոփոխությունը, ձեռքերի իջեցումը (որտեղ իրավաբանորեն թույլատրելի է)։

QoS 'դասակարգում և առաջնահերթություն, ջիտերի վերահսկումը հոսքերի իրական-time-ի համար։

Տեղաբանություն և դիզայն

Full-tunnel vs Split-tunnel:

Fox: Ամբողջ միգրանտները MSN-ի միջոցով (վերահսկողությունը/անվտանգությունը ավելի բարձր է, ավելի շատ)։
Split: Միայն անհրաժեշտ հաշվարկներ (խնայողություններ, ավելի քիչ ուշացումներ, «շրջադարձային» ջրանցքների պաշտպանության պահանջներ)։
Սեգմենտացիան ՝ առանձին թունելներ/VRF/միջավայրի քաղաքականություն (Systage), տվյալների (PII/financial), ռուսական։
Ամպերը ՝ Cloud CDN/Transit Gateways (AWS/GCP/Azure), IPsec S2S, միկրոավտոբիա կենտրոնացված տարանցման միջոցով։
SD-WAN/SBS-ն 'գերակայություններ ալիքի ավտոմատ ընտրության հետ, որը ներկառուցված է հեռուստացույցով և անվտանգության քաղաքականներով։

Ալիքի և միջավայրի անվտանգությունը

Firewall/ACL: ակնհայտ allow-lis.ru պորտերով/հաշվարկներով, deny լռելյայն։

RF անվտանգություն 'հարկադիր կորպորատիվ RF թունելի միջոցով, պաշտպանություն արտահոսքից (IPv6, Media RTC)։

Հաճախորդի քաղաքական գործիչները ՝ kill-switch (բլոկը փոխանցվում է թունելի նվազման ժամանակ), split-IV-ի արգելքը, երբ պահանջվում է կոմպլենս։

Լոգներն ու աուդիտը 'կենտրոնացրեք ձեռագրերի, կոդերի, rekey, մերժված SA ամսագրերը։

Գաղտնիքները ՝ HSM/vendore KHL, ռոտացիա, PSK նվազագույնի (WG հավաստագրեր կամ բանալիներ)։

Սարքեր ՝ կոդավորման ստուգում (OS, փամփուշտներ, սկավառակի կոդավորումը, EDR), NAC/MDM։

Դիտարկումը, SLO/SLA և alerting

Հիմնական մետրերը

Թունելի հասանելիությունը (aptaima%)։

Latency, jitter, packet loss հիմնական ճանապարհներով։

Թողունակություն (p95/p99), CPU/IRQ կրիպտոուզլներ։

Rekey/DPD իրադարձությունների հաճախականությունը, ռուսական ձախողումները։

Հատվածի սխալները/PMTU։

SLO օրինակները

"MSN-հաբի հասանելիությունը 3699 է։ 95 տոկոսը մես է"։

«P95 ուշացում DC-A և DC-B-35 MS-ի միջև»։

«< 0. 1 տոկոսը անհաջող IKE SA ժամում"։

Ալարմա

Թունել Down> X վայրկյան; DPD-ի աճը; handshake-սխալների աճ; p95> շեմի քայքայումը; CRL/OCERT սխալները։

Վիրահատություններ և կյանքի ցիկլ

PKI/հավաստագրեր 'ավտոմատ արտադրություն/նորարարություն, կարճ TTL, անմիջապես փոխզիջման ժամանակ։

Պերեստրոյկայի ռոտացիան 'երկրորդական, պիրների ուղղանկյուն թարգմանությամբ։

Փոփոխությունները 'change պլաններ' արձագանքման հետ (հին/նոր SA զուգահեռ), ծառայության պատուհանը։

Break-glass: պահեստային սալիկներ/բանալիներ, որոնք փաստաթղթավորված են jump-host-ի միջոցով։

Միջադեպերը 'փոխզիջման կասկածանքով' հավաստագրերի արձագանք, PSK, fors-rekey, wwww.ru/հասցեների փոփոխություն, լոգարանների աուդիտ։

Համապատասխանություն և իրավաբանական ասպեկտներ

GDPR/PII 'տրանզիտում կոդավորումը պարտադիր է, նվազագույն հասանելիությունը, հատվածը։

PCI DSS 'ուժեղ ծածկագրեր, MFA, հասանելիության ամսագրեր, cardholder գոտի։

Տեղական սահմանափակումները/ծպտյալ միջնորդությունները 'պահպանեք միգրացիայի պահանջները (կրիպտոյի էքսպորտը, DPI, արգելափակումը)։

Ամսագրեր 'պահպանումը քաղաքականության համաձայն (rentenshn, ամբողջականություն, հասանելիություն)։

Zero Trust, PPP/ZTNA vs դասական SNN

Դասական PPN-ն է (հաճախ լայն)։

ZTNA/WPP-ը հնարավորություն է տալիս մուտք ունենալ կոնկրետ ստանդարտ/ծառայություն համատեքստային ստուգումից հետո (ինքնությունը, սարքի վիճակը, ռիսկը)։

Հիբրիդային մոդել 'թողնել MSN-ը մայրուղիների/S2S-ի համար, իսկ օգտագործողների համար' ZTNA-սալիկը ճիշտ ծրագրերին։ աստիճանաբար մաքրեք «հարթ» ցանցերը։

Ինչպես ընտրել արձանագրություն (կարճ մատրիցա)

Ֆիլալների/ամպերի միջև 'IPsec/IKEv2։

Մրցույթի հեռավոր հասանելիությունը 'WireGuard (եթե անհրաժեշտ է թեթև և արագ հաճախորդ) կամ OpenSDN/IKEv2 (եթե անհրաժեշտ է հասուն PKI/քաղաքականություն)։

Բարձր «ներթափանցումը» 108/DPI-ի միջոցով 'OpenSDN-TCP/443 (կեղծ) կամ կրճատման միջոցով (որտեղ թույլատրվում է)։

Բջջային/ռոումինգը 'WireGuard կամ IKEv2 MOBIKE։

L2 վերևում L3: GRE/L2TP-ը IPsec-ի հետ միասին (կոդավորումը պարտադիր է)։

Ներդրման թուղթ

1. Որոշեք մուտքի օրինագծերը (Windows/Stage/Back-2019) և նվազագույն արտոնությունների սկզբունքը։

2. Ընտրել արձանագրություն/տեղաբանություն (hub-and-spoke vs mesh), պլանավորել հասցեներ և երթուղիներ։

3. Հաստատել կրիպտոպրոֆիլը (AES-GCM/ChaCha20, ECDH, PSA, կարճ TTL)։

4. Տեղադրել PKI, MFA, ինտեգրման և ակնարկների քաղաքականությունը։

5. Տեղադրել MTU/MSS, DPD/MOBIKE, keepalive։

6. Միացրեք սուրհանդակը, dashbords, SLO-metrics և alerts։

7. Բեռի/ֆլեյլերի փորձարկումներ կատարելու համար (հաբի նվազում, rekey-bursts, ոսպնյակի փոփոխություն)։

8. Փաստաթղթավորել break-glass-ը և ռոտացիայի գործընթացը։

9. Օգտագործողների ուսուցանող ուռուցքաբան (հաճախորդներ, քաղաքականություն)։

10. Կանոնավորաբար վերանայեք հասանելիությունն ու հաշվետվությունները։

Հաճախակի սխալներ և ինչպես խուսափել

L2TP/GRE-ն առանց IPsec-ի. Ոչ մի ստանդարտ չի ավելացնում IPsec-ը։

Սխալ MTU 'բեկորները/drops-ը կարգաբերեք SDS-clamp-ը, ստուգեք PMTU-ն։

PSK-ը «ընդմիշտ» 'հնացած բանալիներ, անցում հավաստագրերին/Ed2.119։

Լայն ցանցերը split-tunnnel-ում 'արտահոսքը կատարվում է պարզ երթուղիներ/քաղաքականություն, RF միայն SNN-ի միջոցով։

Մեկ «սուպեր-2019» առանց հայտարարությունների 'SPOF No. 2019-2019, ECTS, մի քանի տարածաշրջաններ։

Ձեռքերի մոնիտորինգ չկա. «լուռ» անկում DPD/alarts/էժան։

Միգրացիայի օրինակներ

WireGuard (Linux) — `wg0. conf`

ini
[Interface]
Address = 10. 20. 0. 1/24
PrivateKey = <server_private_key>
ListenPort = 51820

Client 1
[Peer]
PublicKey = <client1_public_key>
AllowedIPs = 10. 20. 0. 10/32
PersistentKeepalive = 25

Հաճախորդը

ini
[Interface]
Address = 10. 20. 0. 10/32
PrivateKey = <client_private_key>
DNS = 10. 20. 0. 2

[Peer]
PublicKey = <server_public_key>
Endpoint = vpn. example. com:51820
AllowedIPs = 10. 20. 0. 0/24, 10. 10. 0. 0/16
PersistentKeepalive = 25

strongSwan (IPsec/IKEv2) — `ipsec. conf`

conf config setup uniqueids=never

conn s2s keyexchange=ikev2 ike=aes256gcm16-prfsha384-ecp256!
esp=aes256gcm16-ecp256!
left=%any leftid=@siteA leftsubnet=10. 1. 0. 0/16 right=vpn. remote. example rightsubnet=10. 2. 0. 0/16 dpdaction=restart dpddelay=30s rekey=yes auto=start

`ipsec. secrets`:

conf
: RSA siteA. key

OpenVPN (UDP, TLS 1. 3) — `server. conf`

conf port 1194 proto udp dev tun tls-version-min 1. 3 cipher AES-256-GCM data-ciphers AES-256-GCM:CHACHA20-POLY1305 auth SHA256 user nobody group nogroup topology subnet server 10. 30. 0. 0 255. 255. 255. 0 push "redirect-gateway def1"
push "dhcp-option DNS 10. 30. 0. 2"
keepalive 10 60 persist-key persist-tun verb 3

Պրակտիկա iGaming/fintech պլատֆորմների համար

Սեգմենտացիան 'առանձին թունելներ մետրոպոլիտենի ինտեգրման, բեկի գրասենյակների, բովանդակության պրովայդերների, հակաֆրոդի համար։ մաքրեք PII/հիբրիդային ֆորումները։

Հասանելիության կոշտ քաղաքականությունները 'machine-to-machine-ը ռուսական պորտերի/հաշվարկների վրա (allow-list-PSA-ով, կարգավորողներին)։

Դիտարկումը 'p95 Time-to-Wallet-ը կարող է քայքայվել SDN-2019-ի պատճառով, վերահսկեք կապը կրիտիկական PMS/բանկերի հետ։

Կոմպլենսը 'պահեք հասանելիության և վավերացման լույսերը, իրականացրեք MFA-ն, որը պարունակում է ալիքների պենտեստներ։

FAQ

Հնարավո՞ ր է անել fox-mesh-ը բոլոր ճյուղերի միջև։

Միայն եթե կա ավտոմատիզացիա և դինամիկ միկրոօրգանիզացիա։ այլ կերպ 'բարդության աճ։ Հաճախ ավելի շահավետ է, քան hub-and-spoke + տեղական բացառությունները։

Արդյո՞ ք պետք է ծածկել ամպերի միջև ընկած «ներքին» լուծույթը։

Այո։ Հանրային backends և միջտարածաշրջանային մայրուղիները պահանջում են IPsec/WireGuard և խիստ ACL։

Ի՞ նչ արագ 'AES-GCM կամ ChaCha20-Poly13.1։

X86-ին AES-NI-ի հետ AES-GCM-ն; ARM/Mastilks-ում հաճախ հաղթում է ChaCha20-Poly13.ru-ը։

Ե՞ րբ անցնել ZTNA-ին։

Երբ ցանցային հասանելիությունը MSN-ի միջոցով դարձավ «լայն», իսկ ծրագրերը կարելի է հրապարակել կետերով համատեքստային վավերացման և սարքերի ստուգման հետ։

Արդյունքը

Հուսալի SNN ճարտարապետությունը ոչ միայն «արձանագրություն և նավահանգիստ» է։ Սա PSA-ի հետ cryptroprofill է, մտածված սեգմենտացիան, նկատելիությունը կոշտ SLO-ի հետ, PKI-ի կարգապահությունը և կառավարվող անցումը ZTNA-ին, որտեղ ցանցային հասանելիությունը ավելացված է։ Հետևելով չեկի լիստին և ավելի բարձր ընտրության մատրիցին, դուք կկառուցեք կայուն և կառավարվող կապ ժամանակակից բաշխված համակարգերի համար։