Projektowanie sieci metodą Top-Down

Transkrypt

1 Projektowanie sieci metodą Top-Down Wydanie w języku polskim PWN 2007 Copyright 2004 Cisco Press & Priscilla Oppenheimer W tej części Część II: Projekt logiczny Rozdział 5: Projektowanie topologii Rozdział 6: Plan adresowania i nazewnictwa Rozdział 7: Protokoły L2 i L3 ( L2 ) Rozdział 7a: Przykłady L3 ( L3 i VPN) Rozdział 8: Strategia bezpieczeństwa Rozdział 9: Zarządzanie siecią

2 Nadmiarowość L3, co wiemy ISP 1 ISP 1 Enterprise Option A Paris Enterprise NY Option C ISP 1 ISP 2 ISP 1 ISP 2 Enterprise Paris Enterprise NY Option B Option D Rozwój i zastosowania Polecana skala - mała sieć, dostęp do HQ, Internetu Możliwy wariant z dwoma ISP (uwaga NAT!!!!) Łączenie GLBP i HSRP

3 Mała sieć cd. Zastosowania - warstwa dostępu w kampusie Efektywne wykorzystanie łącza zapasowego

4 Zastosowania - dostęp do farmy serwerów Cisco IOS Server Load Balancing (IOS-SLB), Cisco Content Switching Module (CSM) Cisco Content Switching Services (CSS) Nadmiarowość L3 Cisco V3PN Łącza zapasowe dodzwaniane DDR SOHO Łącza wielokrotne DSL CATV średnia firma Łącza agregowane multilink PPP duża firma VPN, a PVN Rozmaitość rozwiązań technologii VPN Zdalny dostęp a tunel siec-sieć Trzy przykłady konfiguracji praktycznej Przykład 1: Tunel VPN IPsec + GRE w 5 kroków Przykład 2: VPN LAN-LAN HUB&Spoke ( certyfikaty) Przykład 3: Easy VPN z Dial Backup

5 PVC z zapasem ISDN (PVC) Łącze ISDN podnosi się przy: Awarii FR ( floating routes, DDR backup, dialer watch) Wzroście ruchu w FR ponad określony poziom ( DDR backup) Czas reakcji to około 1 minuta (FR down) + zwłoka DDR + nawiązanie połączenia ISDN ( kilka sekund ) Mała firma DSL i CATV Niedrogie rozwiązanie z oszczędnymi technologiami Przy zastosowaniu śledzenia TRACK można ustawić czas reakcji około 60 sekund

6 Mała firma, duża centrala Połączenie spoke do dwóch HUB, (jeden) Dynamic Multipoint Virtual Private Network (DMVPN) Czas reakcji przy zastosowaniu EIGRP w tunelach GRE zależy od timerów typowo 3x5 sekund = 15 plus zestawienie tunelu zielonego kilka sekund Duża firma dwa łącza F-R I DSL Tunele IPsec + GRE są zakończane na ruterze FR i DSL ( FR- PVC nie szyfrowane) Czas reakcji przy uszkodzeniu zależy od timerów HSRP i GRE i protokołów rutowania HSRP default hello time to 3 s i hold to10s. EIGRP, default hello time to 5 s i hold time to 15 seconds. GRE keepalives typowo to 10 s przy trzech retry daje czas 30 s

7 Duża firma Multilink PPP Użycie multilink PPP tam gdzie trzeba mieć przepustowość zagregowaną Drugie łącze jest podnoszone w ciągu ustawionego czasu po osiągnięciu progu Drugie łącze jest zamykane po pozostawaniu ruchu poniżej poziomu przez dany czas ( histereza ) Tworzenie VPN i tunelowanie Tunelowanie L2 wybór rozwiązania: PPTP - Point to Point Tunneling Protocol, RFC2637 (Microsoft) = (Generic Routing Encapsulation (GRE) + TCP sterowanie L2F - Layer 2 Forwarding RFC2341 (Cisco) L2TP - Layer 2 Tunneling RFC3931 (+IPsec) standard IETF 2005 OpenVPN oparty na TCP

8 Dwa/trzy rodzaje VPN (PVC+2*VPN) Dwa rodzaje VPN Zdalny dostęp Remote access VPN Oparty o IPsec Oparty o SSL Połączenie sieci Site-to-Site VPN Site-to-Site VPN IPsec Remote-Access VPN SSL Remote-Access VPN Cisco Routers i Cisco Catalyst Switches TAK!! TAK TAK (tylko rutery) Cisco ASR 1000 Router TAK!! TAK NIE Cisco ASA 5500 urządzenia dostępowe TAK TAK!! TAK!!

9 IPsec - przypomnienie IPsec używa SA (security association ) i klucza symetrycznego do wymiany danych p2p Szyfrowanie DES, 3DES lub AES Wymiana klucza i jego obsługa to zadanie protokołu IKE (Internet Key Exchange), a.k.a. ISAKMP Internet Security Association and Key Management Protocol Przed wymianą klucza IKE następuje uwierzytelnienie stron Współdzielone hasło Klucze PKI Metoda Diffiego-Hellman a służy do wymiany kluczy Do zabezpieczenia integralności wiadomości używana jest funkcja skrótu MD5 lub SHA Formy IPsec Są dwie/trzy formy IPsec AH zapewnia integralność i autentyczność Upewnia że dane pochodzą ze źródła Wykrywa manipulacje danych (hash) Ale nie szyfruje danych ESP (Encapsulating Security Payload) szyfruje Tryb transportowy ESP: szyfrowanie tylko danych użytkowych, oryginalny nagłówek IP nagłówek ESP jest tuż przed nagłówkiem transportowym Tryb tunelowy ESP: cały oryginalny pakiet jest szyfrowany (z nagłówkiem IP), a następnie wysyłany jako dane nowego pakietu IP, nowy nagłówek zawiera informacje wystarczające do przekazania pakietu na miejsce, ale nie do analizy ruchu wygodny sposób tworzenia VPN i łączenia sieci lokalnych przez Internet.

10 Złożone układy VPN, stan tuneli GRE GRE - Generic Routing Encapsulation Śledzenie stanu końców tunelu, keep-alive Przenoszenie informacji o trasach, ruting dynamiczny Stosowany wraz z PPTP do tworzenia VPN Stosowany wraz z L2TP = IPsec VPN do przenoszenia informacji o stanie tras Znaczny narzut sięgający 76 B, czy zawsze trzeba

11 Klasa zastosowań Model Cisco ASA 5505 Cisco ASA 5510 Cisco ASA 5520 Cisco ASA 5540 Cisco ASA 5550 Cisco ASA and SSL/IPsec Scalability 25 simultaneous VPN connections 250 simultaneous VPN connections 750 simultaneous VPN connections 2500/5000 simultaneous VPN connections 5000 simultaneous VPN connections 10,000 simultaneous VPN connections Maximum VPN Throughput 100 Mbps 170 Mbps 225 Mbps 325 Mbps 425 Mbps 1 Gbps Mniejsze Cisco VPN Security Router Maximum Tunnels Maximum 3DES Throughput Maximum AES Throughput Cisco 850 Series Integrated Services Router 5 8 Mbps 8 Mbps Cisco 870 Series Integrated Services Router Mbps 30 Mbps Cisco 1800 Series Integrated Services Router (Fixed Configuration) Mbps 40 Mbps Cisco 1841 Integrated Services Router with onboard VPN Mbps 45 Mbps Cisco 1841 Integrated Services Router with AIM- VPN/SSL Mbps 95 Mbps Cisco 2801 Integrated Services Router with onboard VPN Mbps 50 Mbps Cisco 2801 Integrated Services Router with AIM- VPN/SSL Mbps 160 Mbps Cisco 2811 Integrated Services Router with onboard VPN Mbps 55 Mbps Cisco 2811 Integrated Services Router with AIM- VPN/SSL Mbps 130 Mbps Cisco 2821 Integrated Services Router with onboard VPN Mbps 56 Mbps Cisco 2821 Integrated Services Router with AIM- VPN/SSL Mbps 140 Mbps

12 Przykład 1, prosty tunel IPsec Konfiguracja w pięciu krokach 1) Powołanie protokołu IKE 2) Konfiguracja IPsec 3) Definicja ruchu podlegającego tunelowaniu 4) Mapa adresów końców tunelu 5) Powiązanie z i/f ruterów i powołanie i/f tunel

13 Ustalenie IKE, współdzielony sekret Ruter w oddziału Ruter Centrali HQ Ustalenie rodzaju tunelu i ACL Ruter w oddziału Ruter Centrali HQ

14 Mapa adresów końców tunelu Ruter w oddziału Ruter Centrali HQ Mapa adresów tunelu, powiązana z i/f Ruter w oddziału Ruter Centrali HQ

15 LAN - LAN VPN przykład 2 Konfiguracja serwera IOS CA na ruterze HUB Ustanowienie kluczy i ich certyfikatów na IOS CA konfiguracja rutera HUB konfiguracja rutera Spoke Ustanowienie CA na HUB i generacja kluczy! crypto pki server cisco issuer name CN=mojhub.cisco.com ST=LODZ C=PL grant auto! crypto pki trustpoint cisco revocation check crl rsakeypair cisco!! crypto pki trustpoint mojhub enrollment url revocation check none! crypto pki certificate map certmap 1 issuer name co cisco.com! crypto pki certificate chain cisco certificate ca F certificate ca 02 70E5022F

16 Serwer HUB! Uzywaj do VPN kluczy z certmap wcześniej podanego crypto isakmp profile l2lvpn ca trust point mojhub match certificate certmap! Parametry IPsec crypto ipsec transform set strong ah md5 hmac esp des! Trwórz tunel dynamicznie crypto dynamic map dynmap 10 set isakmp profile l2lvpncrypto map mymap 10 ipsec isakmp dynamic dynmap! Na i/f out interface Serial 0/1 ip address crypto map mymap interface FastEthernet 0/0 ip address ! ip route Serial 0/1 Na ruterze Spoke! Wskazanie CA crypto pki trustpoint mojhub enrollment url revocation check none! Wskazanie kuczy crypto pki certificate map certmap 1 issuer name co cisco.com! Jak jest zrobiony VPN crypto isakmp profile l2lvpn ca trust point myhub match certificate certmap! crypto map mymap 10 ipsec isakmp set peer set isakmp profile l2lvpn match address 100! Ten ruch weglug listy nr 100 przez VPN access list 100 permit ip ! Zwiazanie z konkretnym i/f, wyjsciowym interface Serial 0/0 ip address crypto map mymap interface FastEthernet 0/0 ip address

17 Przykład 3: konfiguracje nadmiarowe Easy VPN with Dial Backup Dynamiczny tunel VPN jest tworzony przy awarii głównego VPN na łączu Dialup Easy VPN with Dial Backup track 123 rtr 1 reachability backup bup track 123 mode network-extension peer virtual-interface 1 interface Virtual-Template1 type tunnel ip unnumbered FastEthernet0/0 tunnel mode ipsec ipv4 ip route track 123 ip route Async0/0/0 240 permanent ip route dhcp