PracticU

IPSec Modes - Tunnel mode vs Transport Mode

בלי כתוביותעם כתוביות
PracticU › קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301 › IPSec Modes - Tunnel mode vs Transport Mode
מילון מושגים:
IPsec - אוסף פרוטוקולים להצפנה ולאימות של תעבורת IP, המשמש בעיקר לחיבורי VPN מאובטחים.
ACL - רשימת בקרת גישה: אוסף כללים שקובעים מי רשאי לגשת למשאב ואילו פעולות מותרות לו.
UDP - פרוטוקול תקשורת מהיר ללא אישור קבלה, המתאים לשידורי וידאו, קול ומשחקים שבהם מהירות חשובה מאמינות.
כתובת ציבורית - כתובת IP ייחודית וגלויה באינטרנט, שדרכה אפשר להגיע למכשיר או לרשת מבחוץ.
Cisco - חברה מובילה בציוד רשת, כמו ראוטרים ומתגים, ובהסמכות מקצועיות בתחום הרשתות.
MTU - הגודל המרבי של חבילת מידע שאפשר לשלוח ברשת בלי לפצל אותה.
Ethernet - התקן הנפוץ לחיבור מכשירים ברשת מקומית חוטית, המגדיר כבלים, חיבורים ואופן העברת הנתונים.
רוחב פס - כמות הנתונים המרבית שניתן להעביר ברשת בפרק זמן נתון. ככל שהוא גדול יותר, ההעברה מהירה יותר.
IPSec Modes - Tunnel mode vs Transport Mode
לפני שמגדירים VPN מסוג Site-to-Site מבינים את ההבדל בין שני מצבי העבודה של IPsec, Tunnel Mode ו-Transport Mode, ומתי כל אחד מתאים. ההרצאה היא הקדמה לתהליך ההקמה עצמו.
ארבעת השלבים של VPN Site-to-Site
1. קביעת התעבורה למנהרה: מגדירים ב-ACL אילו כתובות ייכנסו למנהרה המוצפנת ואילו יצאו לאינטרנט הרגיל. זה ה-split tunnel.
2. אימות הצדדים: בשלב הראשון, בפורט 500, הצדדים מאמתים זה את זה בסיסמה משותפת או בתעודה דיגיטלית. לרוב מתבצעת ההחלפה הרגילה של 6 הודעות, ולעיתים 3.
3. יצירת מנהרת IPsec: כאן נקבע אם החבילות מוצפנות. הפרוטוקול ESP אינו משתמש בפורטים של TCP או UDP אלא במזהים הנקראים SPI. בפועל מצפינים תמיד, ובלי הצפנה זה מתאים רק לכבל מאובטח פיזית.
4. חיבור הכול: פקודת crypto map מחברת את ה-ACL והשלבים לממשק. VPN הוא תמיד point to point.
עקרון המנהרה
כתובות פרטיות (10, 172.16, 192.168) אינן מנותבות באינטרנט. כדי לחבר שתי רשתות פרטיות, החבילה המקורית נארזת בתוך חבילה עם כתובת ציבורית, כמו מכונית על גרר. מנהרה כזו נקראת tunnel, ובצד השני החבילה הפנימית משתחררת. דוגמאות לפרוטוקולי מנהרה: IPsec, VXLAN ו-GRE.
1. VXLAN: מכניס פריים שלם של Layer 2 לתוך UDP, ומאפשר ל-VLAN אחד להימשך בין אתרים רחוקים כאילו המחשבים על אותו switch.
2. GRE: פרוטוקול מנהרה של Cisco שתומך גם ב-point to multipoint, אך אינו מצפין.
3. L2TP: יוצר מנהרה בלי הצפנה, ולכן משתמש ב-IPsec להצפנה.
מגבלת ה-MTU
בתקן Ethernet 802.3 גודל המידע בפריים מוגבל ל-1500 בייט (MTU). מנהרה מוסיפה כותרות נוספות ולכן פחות יעילה ומבזבזת רוחב פס. כדי למנוע פיצול החבילות, החבילה הפנימית צריכה להיות קטנה יותר, כ-1400 בייט.
Tunnel Mode מול Transport Mode
1. Tunnel Mode: ברירת המחדל. כל החבילה המקורית כולל ה-IP שלה מוצפנת ונארזת בכותרת IP חדשה.
2. Transport Mode: מצפין ומאמת רק את ה-payload, ואינו נוגע ב-IP המקורי. מתאים כשפרוטוקול אחר כבר יצר את המנהרה, כמו L2TP, VXLAN או GRE, והכתובת החיצונית כבר ציבורית.
3. NAT: כשיש NAT באמצע מוסיפים UDP בפורט 4500, כדי שהנתב יוכל להחליף גם פורט. זה חלק מהתקן.
GRE עם IPsec לפי תרגיל של Cisco
התרגיל מראה crypto map עם ACL, שאינו Scalable כי צריך לשנות ACL לכל סניף. לכן יוצרים ממשק tunnel וירטואלי עם GRE, ומוסיפים עליו הגנת IPsec. אם נשארים ב-Tunnel Mode נוצרת מנהרה בתוך מנהרה, עם כפילות כתובות IP, ולכן מעבירים את ה-Transform Set ל-Transport Mode בפקודה אחת. הפקודות tunnel protection ו-Transform Set אינן נתמכות ב-Packet Tracer.
מי שסיים את ההרצאה יכול להסביר מתי לבחור כל מצב, ומוכן להתחיל להגדיר את ה-ACL ואת ה-VPN.
השיעור הבא בקורס: הקמת VPN Site-to-Site - הגדרת ACL

פרקי ההרצאה: IPSec Modes - Tunnel mode vs Transport Mode

  1. 00:00

    ארבעת שלבי הגדרת ה-VPN

  2. 00:38

    ACL ו-Split Tunnel

  3. 01:15

    אימות הצדדים בפורט 500

  4. 02:10

    ESP ומזהי SPI במקום פורטים

  5. 03:06

    Transport Mode מול Tunnel Mode

  6. 04:03

    טווחי כתובות פרטיות ולמה אינם מנותבים

תמלול ההרצאה: IPSec Modes - Tunnel mode vs Transport Mode

הטקסט המלא של הדקות הראשונות בהרצאה «IPSec Modes - Tunnel mode vs Transport Mode» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:02

    שלום לכולם, ברוכים הבאים להרצאה על הגדרת VPN סייט טו סייט. בהרצאות קודמות יצרנו את כל מה שאתם רואים על המסך ועשינו נאט בשני הראוטרים 771 ו-881.

  2. 00:16

    עכשיו מה שנשאר לנו זה לעשות VPN, זה אומר כל פאקט שיגיע לכאן ומיועד לרשת הפנימית המרוחקת יעבור הצפנה, כל האייפים שלו יהפכו לאייפים של האינטרנט של ה-One, וכשהוא יגיע לראוטר השני, יעבור תהליך של פתיחת הצפנה.

  3. 00:36

    אנחנו צריכים לעשות ארבע שלבים. השלב הראשון זה לקבוע איזה אייפים ייכנסו בכלל לטאנל מוצפן. במקרה שלנו, הטאנל המוצפן יהיה כל מה שמיועד ל-1001, זה מהצד שלו, ומהצד השני ייכנס כל מה שמיועד ל-192, 168, 13. זה נקרא ספליט טאנל. מה זה אומר? מה נכנס לטאנל ומה הולך סתם לאינטרנט רגיל.

  4. 01:01

    זה אנחנו נעשה על ידי ECL. אחרי זה אנחנו נקבע מה היו המפתחות הסודיים שאיתם אנחנו בעצם עושים בדיקה ואימות, שמתחבר אליי בן אדם הנכון ולא איזה האקר. אני אספר לכם את כל הפרטים איך זה מתבצע, שזה מתבצע בפורט 500, ואם יש לפעמים 6 הודעות, לפעמים 3 הודעות, תלוי באיזה מצב אנחנו, לרוב עושים מצב רגיל של 6 הודעות וזהו.

  5. 01:30

    אחרי שעשינו בדיקה ועימות של מי אתה על ידי שם על ידי סיסמה משותפת או על ידי תעודה דיגיטלית שנבדקת אז אנחנו עוברים לשלב השני בשלב השני אנחנו כבר יוצרים תעלה מוצפנת של איי פי סק שזה תכלס ההצפנה של כל הפקטים קובעים האם יהיו מוצפנים או שהם לא יהיו מוצפנים אנחנו יכולים גם לחבר אתר מרוחק לאתר קרוב בלי להצפין את הפקטים זה טוב רק

  6. 01:59

    במקרה והכבל פיזית מאובטח ואז אנחנו מקלים על המעבד שיש בתוך הראוטר. במציאות אף אחד לא עושה את זה, כולם משתמשים ב-SP ומצפינים. ה-SP, שימו לב, אין לו פורט.

  7. 02:13

    ה-ESP הזה זה במקום UDP, במקום TCP. זה פרוטוקול שבעצם מתחרה ב- TCP ו-UDP, והוא מצפין את כל המידע, ובמקום פורטים יש לו מזהים שנקראים SPI.

  8. 02:26

    אני הראיתי את זה בהרצאה הראשונה על VPNים, ואני אראה את זה שוב. טאנל איי פיסק הזה אפשר לבנות בשלוש צורות שונות. בואו נראה את הצורות האלו.

  9. 02:39

    יש לנו בעצם שלושה מבני פאקטים. יש את הפאקט המקורי, יש פאקט במצב טרנספורט, איי פיסק במצב טרנספורט ואיי פיסק במצב טאנל ואיי פיסק אחרי נאט.

  10. 02:57

    אנחנו הולכים לדבר על כל הסוגים. לפני שאני אעבור על זה ומה ההבדל ולמה זה חשוב להבין, בואו נעשה כמה דגישים על מה ההבדל בין Tunnel Mode לטרנספורט מוד.

  11. 03:10

    אנחנו יכולים לראות פה בוויקיפדיה ש-IPsec יש לו שני מודים of operations, שני מצבי עבודה ב-IPsec, אני בוויקיפדיה ב-IPsec, אחד נקרא טרנספורט מוד ואחד נקרא טאנל מוד ועוד אחד שזה נאטי, גם על זה אנחנו נדבר, על הנאטי הזה, איך הוא עובד.

  12. 03:35

    לפני שאני נכנס לעומק על המבנה של הפאקטים, נבין יותר טוב מה זה בכלל tunnel mode אז הנה כאן בוויקיפדיה כתבתי tunnel protocols ומה זה באופן כללי tunnel protocols הנה זה מה שרציתי allowing private network רשתות פרטיות שלא יכולות להיות מנותבות באינטרנט לעבור דרך public networks זאת אומרת אם יש לי פאקט עם כתובת IP פרטית הוא לא יכול לעבור דרך הראוטר של האינטרנט

  13. 04:07

    מה זה פאקט עם IP פרטית? זה אומר 10-0-0 משהו, 192-168 משהו-משהו, או 172-16. זה הטווחים שהוגדרו כפרייבט. אלה רשתות פרטיות ואסור לנתבי האינטרנט להעביר אותם.

  14. 04:25

    הם נועדו לשימוש ברשת פנימית ואף פעם לא יהיה אתר אינטרנט עם כתובת פרייבט. למה? כי אם הוא יהיה עם כתובת פרייבט המשתמשים הביתיים והפנים-ארגוניים יחפשו את האתר ציבורי בלאן הפרטי שלהם, למה?

  15. 04:44

    כי DNS יחזיר להם את ה-IP של 10.0.0 משהו והמחשב שלי יחשוב ש-10.0.0 זה מחשב לידי ולא ילך לראוטר. בשביל שהמצב הזה לא יקרה, אמרו, טוב, לא נחלק לאף אחד באינטרנט את הכתובות הפרייבט, שזה רק כתובות שמתחילות ב-10 או ב-192, 168 או מ-72.16, שלוש קבוצות האלו, אנחנו לא נחלק לאף אתר אינטרנט, לא נמכור

  16. 05:11

    את הכתובות האלו, הכתובות האלו לא יהיו למכירה, אתה לא יכול להתקשר לספק האינטרנט שלך ולהגיד להם תנו לי את הכתובת הזאת, אני רוצה לשלם

לקורס המלא: קורס CCNA אונליין בעברית

ההרצאה הקודמת: הקמת VPN Site-to-Site - הגדרת NAT

ההרצאה הבאה: הקמת VPN Site-to-Site - הגדרת ACL

הרצאות קשורות מקורסים אחרים

  • הגדרת IPSEC
  • הגדרת VPN Tunnel
  • Swarm - Global Mode
  • הגדרת FortiGate VPN - IPSEC

קורסים נוספים במסלול

  • קורס CCNP
  • קורס פורטיגייט - FortiGate
  • קורס צ'ק פוינט - Check Point Gaia R81