Доброго времени суток, коллеги. В наличии есть Cisco ASA 5512 с настроенным сервером IPSEC туннелей к которому цепляются пользователи для доступа в корпоративную сеть. Поступила задача — выводить список активных пользователей в мониторинге, а также вести логирование кто, когда, с какого адреса и с каким профилем цеплялся.
Читать полностью »
Рубрика «ipsec» - 3
Логирование VPN-подключений на Cisco ASA
2017-01-22 в 19:30, admin, рубрики: asa, Cisco, ipsec, php, Серверное администрирование, Сетевые технологии, системное администрированиеКак я базы 1С в Германии прятал
2017-01-20 в 11:13, admin, рубрики: 1С, ipsec, Блог компании Сервер Молл, выделенный сервер, ит-инфраструктура, Серверное администрирование, Сетевые технологии, хостинг
Когда руководство переживает за свои данные (как бы не попали куда не следует), то это или к изучению шифрования, или к покупке кислоты для диска, или к поиску заморских ЦОД. Если выбор пал на перенос сервера подальше из страны, то возникает целый ворох неочевидных проблем с его использованием остальным офисом. В статье будет про сценарий переноса 1С в европейский дата-центр и про настройку "самонаводящегося" IPSec.
Ведь дьявол кроется в деталях.Читать полностью »
Front-door VRF. Ещё один практический пример
2016-06-08 в 7:46, admin, рубрики: Cisco, Front-door VRF, GRE, ipsec, vpn, VRF, VRF-lite, VTI, Блог компании CBS, маршрутизация, Сетевые технологии, метки: Front-door VRF, VRF, VRF-lite
Привет habr! Про настройку VPN совместно с VRF на оборудовании Cisco существует много статей в Интернете. Здесь есть неплохая шпаргалка по настройке IPsec VPN в виде крипто-карт и VTI-туннелей совместно с VRF. В этой статье хабра приведён пример DMVPN с VRF. VRF даёт большую гибкость при настройке оборудования и вариантов её использования большое количество. Главное не забывать, что у нас есть такой инструмент. В моей заметке я решил рассмотреть ещё одну интересную задачу из нашей практики, для решения которой также пригодилось использование Front-door VRF для построения IPsec туннелей. Речь пойдёт про построение параллельных VPN-туннелей через разных Интернет-провайдеров и распределение трафика по этим туннелям.Читать полностью »
IPSec VPN для OS X и iOS. Без боли
2016-05-23 в 0:23, admin, рубрики: cisco vpn, iOS, ipsec, linux, mac os x, racoon, vpn, информационная безопасность, системное администрирование, метки: racoon
VPN (англ. Virtual Private Network — виртуальная частная сеть) — обобщённое название технологий, позволяющих обеспечить одно или несколько сетевых соединений (логическую сеть) поверх другой сети (например, Интернет).
© Wikipedia
VPN используется для удаленного подключения к рабочему месту, для защиты данных, для обхода фильтров и блокировок, для выдачи себя за гражданина другой страны и вообще — штука незаменимая. Практически повсеместно в качестве простого средства для организации пользовательского VPN используется всем известный OpenVPN, который использовал и я. Ровно до тех пор, пока у меня не появился Macbook и OS X в придачу. Из-за того, что подход Apple к конфигурации DNS сильно отличается от подхода других *nix-систем, проброс DNS через VPN нормально не работал.
После некоторых исследований у меня получилось два варианта:
— Использование DNS «мимо» VPN, что сильно небезопасно, но решает проблему.
— Использование нативных для OS X VPN-протоколов: PPTP и семейства IPSec.
Разумеется, я выбрал второе и разумеется — IPSec, а не устаревший PPTP.
Читать полностью »
Настойка можжевельника: готовим Juniper SRX. Часть 3: Virtual Routers
2015-03-18 в 5:39, admin, рубрики: GRE, ipsec, juniper, nat, routing, virtual routers, Блог компании Петер-Сервис, Сетевые технологии, системное администрированиеjuniper — можжевельник (англ.)
Продолжаем готовить настойку из можжевельника. О том, как мы начинали, можно почитать здесь и здесь. Сегодня же немного потрогаем такую удобную штуку, как Virtual Routers, и подумаем, как ее применить с наибольшей пользой.
Содержание:
Часть 1: Знакомство
Часть 2: IPSec
Часть 3: Virtual Routers
В Juniper есть тип сущностей Routing Instance, предназначенный для манипуляций с трафиком (маршрутизации и инкапсуляции). RI позволяют «разделить» один роутер на несколько поменьше, при этом каждый instance будет обрабатывать трафик «по-своему», независимо от других и с разными возможностями. Это полезно для организации всевозможных VPN, когда нужно изолировать друг от друга нескольких клиентов и разрулить их по разным правилам. При этом информацией о VPN можно обмениваться с другими роутерами (например, при организации MPLS VPN).
Читать полностью »
Mikrotik: настройка IPsec на автоматическое обновление адреса VPN сервера
2015-03-12 в 14:24, admin, рубрики: ipsec, mikrotik, script, Сетевые технологииПри настройке IPSec рано или поздно все сталкиваются с тем, что можно задать только IP-адреса удаленного VPN-сервера. Указание DNS-записей в настройках IPsec Policies и IPsec Peers не поддерживается.
Это может вызывать определенные неудобства в случаях, если на VPN-сервере:
- сменили одного провайдера на другого;
- решили изменить используемый статический IP-адрес;
- используется динамический (серый) IP-адрес.
Взяв даже простейшую схему, становится видно, что нам придется менять настройки трех роутеров-клиентов VPN-сервера:
И в каждом из трех роутеров сменить значения:
- IpSec/Policy/dst-address
- IpSec/Policy/sa-dst-address
- IpSec/Peer/address
VPN везде и всюду: IPsec без L2TP со strongSwan
2015-02-18 в 21:25, admin, рубрики: ikev1, IKEv2, ipsec, strongswan, Настройка Linux, Сетевые технологии, системное администрирование 
достаточно сильный лебедь
Если вы когда-либо искали VPN, который будет работать на десктопах, мобильных устройствах и роутерах без установки дополнительного ПО и перепрошивки роутера, вы, вероятно, выбирали между PPTP и L2TP+IPsec. У протокола PPTP имеются проблемы с безопасностью и прохождением через брандмауеры и NAT, так что в 2015 году его уже использовать не стоит, а использование L2TP излишне, т.к. L2 VPN, по моему мнению, для обычного удаленного доступа не нужен практически никогда.
Удивительно, что в интернете не так-то просто можно найти информацию о настройке чего-то помимо L2TP+IPsec в транспортном режиме, учитывая, что это обширный стек протоколов, который можно конфигурировать буквально как душе угодно, поэтому я попытаюсь устранить такое несовершенство мира.
Небольшое введение в мир IPsec
Вообще говоря, не совсем правильно называть IPsec VPN. IPsec не предназначен для построения «виртуальных частных сетей», а создан для шифрования или защиты от подмены передаваемых по IP данных. Это специальный слой поверх IP, который, в зависимости от режима и настроек, работает по-разному. В отличие от привычного VPN, который создает новый интерфейс в системе, на который вы, как это чаще всего бывает, назначаете IP-подсеть из диапазона частных адресов (т.е. создаете новый сетевой сегмент), и через который маршрутизируется трафик в зашифрованном виде, IPsec просто шифрует трафик магическим образом между «внешними» интерфейсами сервера и клиента.Читать полностью »
VPN в каждый дом
2014-12-02 в 17:58, admin, рубрики: ipsec, l2tp, vpn, информационная безопасность, Сетевые технологии 
Всем привет! Желание сделать VPN сервер максимально простым в установке и удобным в использовании назревало уже давно. За основу я взял L2TP/IPsec, эта технология нативно поддерживается всеми устройствами и в отличии от PPTP не вызывает проблем при подключении через сотовых операторов.
tl;dr
Для установки нам потребуется машинка с Ubuntu 14.04 на борту и «белым» IP-адресом, любой VPS подойдет. Достаточно ввести эту волшебную строчку:
curl -sS https://sockeye.cc/instavpn.sh | sudo bash
и через несколько минут у вас будет рабочий VPN с управлением через браузер (httр://ip-address:8080/) или консоль (instavpn -h).
Читать полностью »
Настойка можжевельника: готовим Juniper SRX. Часть 2: IPSec
2014-07-18 в 3:20, admin, рубрики: ipsec, juniper, juniper srx, vpn, Блог компании Петер-Сервис, информационная безопасность, Сетевое оборудование Не так давно мы пощупали немножко Juniper SRX, настроили его , и собрали отказоустойчивый кластер. Теперь начнем поднимать на нем «боевые» схемы, ради которых все и затевалось.
Например, соберем мысленно вот такую схему:
На схеме видим центральный офис и подключенную к нему ноду — это может быть как филиал, так и какой-то удаленный заказчик/клиент, для связи с которыми требуется защищенное соединение. Разумеется, их может быть несколько (об этом ниже). Способ связи при этом нам абсолютно не важен: хоть Интернет, хоть «темное волокно» — данные все равно нужно шифровать, чтобы свести к нулюминимуму риск их утечки. И чем выше стойкость шифра и совершенней способ фильтрации, тем целее будут нервы администратора (как вы, наверное, знаете, сисадмин, как и любая замкнутая система, всегда стремится к состоянию покоя).
Удаленный доступ для малых и средних предприятий
2014-07-17 в 8:16, admin, рубрики: ipsec, open source, vpn, wi-fi, информационная безопасность, ит-инфраструктура, удаленная работа, удалённый доступБолее года назад я написал длинную и скучную статью про стремительное изменение рабочей среды, про глобализацию, мобильность и безопасность различных типов удаленного доступа. Из-за отсутствия картинок и сухого слога статья не вызвала оживленной дискуссии, но лично мне дала сильный импульс в нужном направлении. Мысли об удобной и безопасной реализации удаленного доступа для сотрудников к ресурсам корпоративной сети воплотились в реальном продукте с кодовым названием «VPN Box».
Хочу рассказать, что получилось через год исследований и разработок. Все работы велись мною в норвежской компании INFOSS AS (не реклама), поэтому их логотип стоит на конечном устройстве.
