הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP
show version שיש securityk9, שמאפשר VPN. אם הוא לא מופעל צריך להפעיל רישיון.crypto isakmp policy נותנים מספר (אפשר כל מספר, והוא רק סדר העדיפות, ונמוך יותר עדיף), והוא מכיל את ההצעות שנשלחות לצד השני. הפוליסה לא חייבת להיות עם אותו מספר בשני הצדדים, אבל ההגדרות בתוכה חייבות להתאים.pre-share. בחיים האמיתיים אפשר גם תעודה דיגיטלית.crypto isakmp key נותנים את הסיסמה (בהרצאה cisco) ואת כתובת הצד השני, בשני הראוטרים עם אותה סיסמה. אחר כך שומרים עם write.show crypto isakmp policy · show crypto isakmp sa · crypto isakmp key · crypto dynamic-map (מוזכר: תבנית לחיבורים רבים, יוסבר בהרצאת Remote Access)show crypto isakmp sa אין עדיין חיבור, כי לא ניסו להתחבר.פרקי ההרצאה: הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP
תמלול ההרצאה: הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP
הטקסט המלא של הדקות הראשונות בהרצאה «הקמת VPN Site-to-Site - הגדרת IKE - ISAKMP» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
אז הגדרנו שלב ראשון עברנו בהצלחה הגדרנו את ה access list שזה החלק היחסית קל רק צריך להיות מרוכזים דרך אגב לא בדקנו אם יש לנו license ל-vpn שכחתי להגיד לכם שאנחנו יכולים לעשות show license ולראות ב-show version יותר נכון ולראות בפקודת show version שיש לנו פה security 9 אתם רואים security k9 ה-Security Key 9, זה מה שמאפשר לי לעשות
VPNים. אז תדעו שאם אין לכם איזשהם VPNים, תעשו show version, אולי זה לא מופעל אצלכם, אבל אתם צריכים לראות שזה אצלכם מופעל.
איך להפעיל license, תפנו למי שמוכר לכם licenseים, יש שם איזו פקודה אחת שמריצים וזהו. סיימנו עם השלב הראשון, השלב הראשון הזה של VPNים.
עכשיו מגיעים לחלק המעניין של IKE. מה זה IKE? איי.קי.אי זה למעשה משא ומתן שאנחנו מנהלים בין שני ראוטרים אנחנו עוברים זיהוי וקובעים מפתח הצפנה שאיתו נצפין את התקשורת בינינו בעצם המטרה זה לזהות ולוודא שהצד השני לא מתחזה ואחרי שאנחנו בודקים את
הזהות שלו אנחנו עוברים לשלב השני של ההצפנה אז בואו נראה איך נראה השלב הראשון אז השלב הראשון נקרא איי.קי.אי זה הכל נקרא איי.קי.אי האמת אז אם אנחנו ניכנס ל-conf T יש לנו פקודה שנקראת קריפטו ובפקודה הזאת אנחנו יכולים לקבוע כמה דברים מעניינים.
יש לנו את המפה הדינמית. מפה באופן כללי זה השלב האחרון שמחבר הכל להכל. למה דינמית? למקרה שיש לי הרבה VPNים זהים לבנות, אמרנו שזה סייד טו סייד, זה נקודה לנקודה.
אז Dynamic מאפשר לי עם מפה אחת כמו טמפלט לשכפל אותה להרבה חיבורים. זה טוב אם יש לי הרבה חיבורים זהים שאני צריך לעשות, או הרבה סניפים זהיים או Remote Users, Remote Access, משתמשים מול כל משתמש יש VPN משלו, יש טאנל משלו אז אם אני רוצה לעשות הרבה טאנלים כי יש לי מאות משתמשים
אני יכול לנצל Dynamic Map גם Dynamic Map פותר לנו את הבעיה של IP דינמי נניח שיש לנו סניף שהIP שם משתנה כי כל שאר ההגדרות הן סטטיות אז Dynamic Map זה למעשה כמו טמפלייט כזה עם כל ההגדרות שמשתכפלות ואני אראה לכם את זה בהרצאה ל- Remote Access כשאנחנו נחבר יוזרים ולא סייטים קבועים.
IPsec, אמרנו, זה מה שאנחנו נעשה בשלב השני. זה למעשה הפקודות שמחברות אותנו לשלב השני, נגיע אליהם עוד 5 דקות. ISACAMP, זה בדיוק השלב הראשון של קביעת מפתח, זה בדיוק מה שאנחנו הולכים לעשות את זה.
ובואו נעשה את זה. CryptoMap ISACAMP, דבר ראשון, יש לנו פוליסי. פוליסי זה הצעות שיש לי להצהיר לכם לגבי ההצפנה.
מה אורך המפתח, מה אלגוריתם ההצפנה. זה למעשה המפתח הסודי, הסיסמה הסודית שלי, pre-shared key. ככה אני בודק את הצד השני והצד השני בודק אותי.
זה למעשה סיסמה מוסכמת. אנחנו מדברים איתכם על השלב הראשון שבו אנחנו בודקים, אז אנחנו יכולים לבדוק pre-shared key.
יש גם אופציה לבדוק, לא בסימולטור, אבל בחיים אמיתיים, יש גם אופציה לבדוק תעודה דיגיטלית, לעשות זיהוי הדדי עם תעודה דיגיטלית.
בפוליס אני אומר איך אנחנו מצפינים. פה ב-Key הוא אומר מה המפתח הסודי ליעד מסוים, ויש עוד הגדרות שעליהן אנחנו נדבר כשנגיע ל-Remote Access, כרגע זה לא רלוונטי.
אנחנו עושים פוליסה, ואנחנו יכולים ליצור כמה פוליסה, פוליסה מספר 1, פוליסה מספר 2, פוליסה מספר 10, ככל שהמספר נמוך יותר, כך היא עדיפה יותר מבחינתנו, וזה למעשה ההצעות שאנחנו מעבירים לצד השני לגבי ההצפנה.
בואו נראה מה האופציות שיש לנו. אנחנו צריכים בעצם להציע כמה דברים. יש לנו פה אותיטיקיישן, איך אנחנו מאמתים אותו, איך אנחנו מצפינים מידע. בואו נעשה אחד אחד.
אותיטיקיישן, איך אנחנו מאמתים? במקרה של סימולטור יש לנו רק pre-share, כן, אין לנו שום אופציה אחרת פה. בחיים אמיתיים יהיה לכם גם סרטיפיקטים. שימו לב, פה אני לא נותן סיסמה, פה אני נותן רק פוליסה, איך אני רוצה להזדהות עקרונית.
הדבר הבא שאנחנו קובעים זה encryption, איך אנחנו נצפין את המידע בינינו, באיזה אלגוריתם הצפנה, ויש לנו את הדס שנפרץ, ואל תשתמשו בו 3DES שנחשב מאובטח אבל ה-AS נחשב הכי מאובטח.
מי שרוצה לדעת איך עובדת ההצפנה היא כאילו מערבלת מידע כמו ערבוב מידע בעזרת מפתח סודי שהצד השני פותח את זה עם אותו מפתח סודי. שימו לב כל האלגוריתמים האלו DES, 3DES, AS זה הכל סימטרי.
זה אותו מפתח פותח ואותו מפתח סוגר. זו הצפנה סימטרית שאנחנו עושים בהעברת מידע ככה תכלס נצפין מידע. למה מצפינים מידע עם מפתח סימטרי? כי זה הכי מהיר.
להצפין ולפתוח עם אותו מפתח זה הצפנות הכי מהירות. הצפנות אסימטריות מאוד איטיות. תכלס מידע מצפינים תמיד תמיד עם מפתח סימטרי.
מפתח אסימטרי, כל ה-public key משתמשים בו רק בשביל להעביר לצד השני את המפתח הסימטרי. זאת אומרת, מפתח סימטרי, זה שתכלס יצפין, כדי להעביר אותו לצד השני משתמשים בכל ה-public private key האסימטריים.
אכלס תמיד מצפינים את הפאקטים עצמם בהצפנה סימטרית. טוב, אני קובע באיזה הצפנה אני רוצה, yes, ומה אורך המפתח שלי, 256. זה אורך המפתח שאיתו נצפין את כל הפאקטים.
מה עוד יש לנו? אז עשינו אותיטיקיישן, עשינו אינקריפשן, אקזיט אנחנו נעשה בסוף, גרופ, גרופ זה דפי הלמן גרופ. זה למעשה הצורה שבה נעשה את המפתח הסימטרי. נכון שאמרנו שיש לנו מפתח סימטרי שאיתו מצפינים, אבל איך נעביר אותו לצד השני? איך נסכם עליו?
אז דפי הלמן זה שני אנשים שאימצו את זה, למעשה הם היו שלושה, אבל הם אימצו לפני איזה 50 שנה שיטה מתמטית, שיש לי סרט נפרד שאני מסביר איך בדיוק איזה עובד, שבה שני הצדדים יכולים להעביר חלקים של מידע אחד לשני ולבנות מפתח הצפנה שרק שניהם יודעים