הדגמה של VPN Remote Access

תמלול ההרצאה: הדגמה של VPN Remote Access

הטקסט המלא של הדקות הראשונות בהרצאה «הדגמה של VPN Remote Access» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, אנחנו רוצים בהרצאה הזאת ללמוד איך לעשות remote access זה אומר גישה מהבית למשתמשים ב-IPSEC זאת אומרת אנחנו עושים remote access VPN remote access בטכנולוגיה של IPSEC יש הרבה פרוטוקולים חוץ מ-IPSEC ואנחנו נעשה את זה בסימולטור כאן הוא תומך רק IKE version 1 הוא לא תומך ב-IKE version 2

2. 00:28

   אבל אנחנו רוצים ללמוד עכשיו וזה יספיק לנו בשביל הלימודים אז תראו מה יש לנו כאן, יש לנו פה בית עם לפטופ מחובר לראוטר ביתי, למודם, הולך לענן לספק האינטרנט.

3. 00:42

   דרך אגב, יש לנו פה עוד בית עם לפטופ, עוד ראוטר של Wi-Fi עם מודם ADS-Aלי מחובר לענן בצד הספק. זה מחובר לראוטר, כל הבתים מחוברים פה עם כתובת 7754 ויש פה קו עסקי שיוצא מהראוטר ומגיע לראוטר שכבר נמצא בבית העסק.

4. 01:04

   וצריך לעשות VPN מהמחשב הביתי לכאן זה טאנל אחד ועוד טאנל מכאן לכאן ותחשבו שיש לנו מאות טאנלים כאלו מאות אנשים עובדים מהבית ואנחנו לא רוצים כמו בסייט טו סייט לקנפג הכל להגדיר הכל ידנית גם כתובות טייפ יכולות להשתנות וגם אנחנו לא רוצים להקים באופן ידני מאות טאנלים בגלל זה אנחנו נלמד היום על dynamic crypto map

5. 01:29

   dynamic crypto map אם אתם יכולים לראות כאן שכתבתי לכם זה בעצם, הוא מייצר את המפות, הניתוב האלו, יותר נכון מפות ההצפנה, טמפלט מסוים באופן דינמי ואנחנו נראה שהוא יעשה לנו פעמיים, כך שנגדיר פעם אחת והוא ישכפל את זה פר כל אחד.

6. 01:49

   הרעיון הזה של dynamic crypto map זה מצוין אם יש לנו הרבה סניפים בחברה או שיש לנו הרבה לקוחות. מבחינתו זה עדיין VPN עם IPSec.

7. 01:59

   עכשיו היום משתמשים ב-IKE version 2 עם flex VPN שזה למעשה IKE version 2 של סיסקו אנחנו נשתמש היום ב-IKE version 1 כי אנחנו רוצים להבין את הרעיון ו-IKE version 2 אנחנו נעשה יותר מאוחר כבר על ציוד אמיתי אז בואו תראו מה הרעיון הרעיון הוא נורא פשוט שאחרי שאני מתחבר ב-VPN אני אעשה פה פקודת IP

8. 02:24

   config בואו נעשה עכשיו IP config ואתם יכולים לראות שיש לי פה עוד כתובת IP, חוץ מהכתובת הביתית 198198100, חוץ מהכתובת הביתית הרגילה, יש לי פה tunnel interface IP, כתובת IP נוספת, פנים-ארגונית.

9. 02:46

   עכשיו אני מראה לכם הכל אחרי שזה מוגדר, אנחנו נבין מה הרעיון, ואחרי זה נגדיר הכל מ-0 ביחד איתכם. אז שימו לב, יש לי פה במחשב הלוקאלי נהיה לי כתובת IP חדשה, יותר נכון, כרטיס רשת חדש, כאילו שכרטיס הרשת הזה תקוע ישירות בתוך הסוויץ' הארגוני.

10. 03:05

    ואז אני יכול לעשות פינג לשרת לכתובת הפנימית שלו, כן? זאת אומרת שאני יכול לעשות פינג ל-10.0.0.10 ולהשתמש בשירותים של השרת למרות שאני נמצא בבית.

11. 03:17

    אני יכול לעשות גם NS-לוקאפ ל-www.practicu.com ולתשאל את השרת, כאילו אני ממש משתמש בשירותים הפנימיים שלו.

12. 03:25

    הכנסתי את הכתובת הזאת כאן בשרת DNS הפנים-ארגוני, אם ניכנס אליו אנחנו נוכל לראות שפה ב-DNS כבר הכנסתי לו את הכתובת הזאת. אתם יכולים לשנות אותה ל-0.2 ולעשות פה סייב.

13. 03:37

    הנה עשיתי את זה 0.2 ועכשיו הקליינט הזה יוכל להשתמש בשירותים, הנה בבקשה NSLUCA פנים-ארגוני. לעומת זאת הקליינט הזה שעדיין לא התחבר ל-VPN, הקליינט שנמצא בבית, אם נעשה IP קונפיג נראה שיש לו את ה-IP של הבית אבל אין לו IP מיוחד, לו כרטיס רשת וירטואלי

14. 03:57

    כי הוא עדיין לא מחובר לתוך הארגון ובגלל שהוא לא מחובר לתוך הארגון הוא לא יכול לעשות פינג לתוך הארגון כי פאקט עם אייפי הפנימי אצל אינטרנט וספק האינטרנט יגיד חמוד אני לא מכיר את זה זאת אומרת הספק הזה שכאן מוגדר ספק האינטרנט אם נלך ל-cli שלו ונעשה פה אצל ספק האינטרנט show IP route אנחנו נראה שהוא מכיר רק רשתות 7 ו-8 הוא לא מכיר את כל הרשתות הפנימיות

15. 04:27

    כי לספק האינטרנט אסור לנתב רשתות פנימיות, זה לפי התקן אסור לו. ולכן ספק האינטרנט לא מכיר אותם ולא מנתב אותם, ולכן כשאנחנו באים לעשות פינג עם כתובת פנימית, פינג 10.0.0.10, ספק האינטרנט זורק את זה לפח זבל.

16. 04:43

    אנחנו יכולים גם לעשות בדיקה, לעבור למצב סימוליישן, ללחוץ על כאן, לעשות פינג, שימו לב, ה-CT-PING במצב סימוליישן הוא תקוע פה בסימולטור, הוא מחכה שאני אעשה נקסט.

17. 04:54

    רואים פה שהפאקט היעד שלו כזה והסורס שלו כזה והפאקט הזה נוסע באינטרנט הנה הוא הגיע לראוטר הנה הוא הגיע למודם ADSL הנה הוא הגיע לענן הנה הוא הגיע לכאן ושימו לב מה קורה הוא זורק אותו ב-X אתם רואים ומחזיר תשובה שאני לא יודע מה לעשות עם הדבר הזה זאת אומרת יש כאן תשובה שאני לא יודע מה

18. 05:14

    עושים עם זה הנה בבקשה ואז הלקוח מקבל תשובה שהוא לא יודע מה עושים בקיצור תשובה תחתונה זה לא הגיע אבל אם אנחנו ניכנס כאן לזה ונעשה פה סימולייט ונעשה פה פינג ל-10-10-0-0-10.

19. 05:31

    שימו לב מה יקרה כאן, זה אותו פינג, נכון? אבל בפאקט שיוצא החוצה, אתם תראו כתובות, כתובת 8-8-8-1, לא 10, נכון? עשינו פינג ל-10, נכון?

20. 05:42

    כשעשינו פינג ל-10, זוכרים? עשינו הרי פינג ל-10-0-0-10, נכון? אבל מה שיוצא בפאקט זה בכלל לא 10, זה הכתובת החיצונית של ה-VPN, 8-8-1, ובפורט 4500 זה הפורט אם יש נאט באמצע הוא שם 4500 כי הוא יודע שיש נאט כי הוא זיהה את זה בזמן ההתחברות ה-IQ עזר לו ואם אנחנו נראה את הבפנוכו של הפאקט נמתח אותו ככה נראה את הפאקט הזה החלק הכי מעניין שיש לנו פה את

21. 06:13

    הוויירלס את כל האידרנט של הוויירלס את הפאקט ברמת הוויירלס שזה פחות מעניין זה כל המאקים אחרי זה הולכת IP שימו לב לדיסטנשן IP 881 אבל בפנים יש את ה UDP 4500 גם סורס וגם דיסטנשן אבל בפנים במקום פינג יש לנו ESP מוצפן פאקט יצא מהדרייבר של כרטיס רשת עוד פעם מהדרייבר של כרטיס רשת הוא יצא