Презентация_обучение

1.

2.

Есть две компании в разных городах.
Между ними — обычный интернет, похожий на огромное шумное шоссе, где все машины
едут вперемешку, и кто угодно может подсмотреть, кто что везет в кузове, остановить,
подменить.
Чтобы защитить деловую переписку и данные, компании строят секретный туннель внутри
шоссе.
IPsec (от IP Security) —
это технология, которая как раз и создает
такой защищённый «туннель» между
компаниями через интернет.
Этот туннель как труба, внутри которой
данные шифруются и никто снаружи не
понимает, что там за информация.

3.

Зачем нужен IPsec-туннель
Шифрование данные (финансовые документы, личная
информация, персональные данные) не
смогут украсть, прочитать
Аутентификация проверяет отправителя, если данные не
от того от кого ожидаются, они не
пройдут
Приватность —
даже интернет-провайдер не видит, что
именно пересылается
Целостность если кто-то по пути попытался поменять
данные, это сразу станет известно

4.

Что такое IP?
В интернете у каждого устройства есть IP-адрес
Белый IP это как город на карте: у него есть уникальные
координаты, его можно найти и туда можно
приехать
внешний IP адрес, пир, с этим адресом строим
туннель
Серый IP -
это как частный дом в городе: напрямую
снаружи его не видно, чтобы туда попасть
нужно сначала оказаться в городе (через белый
IP)
внутренний туннельный IP, именно по этому
адресу мы обращаемся с запросами и с этого
же адреса
обращаются
к нам
Иногда «дом» (серый) может быть и белым IP. У компании
есть свой
белый уникальный
адрес, но этот
адрес используется не как «город для всех», а как частный дом, куда пускают только по «ключу». То
есть белый IP по сути это всегда город, но при определенных сценариях его можно воспринимать и как
дом.
Иногда за серым IP скрывавается несколько серых IP (несколько серверов) — это как многоквартирный
дом. Например, кто то приходит в город (белый IP) в конкретный дом (серый туннельный IP), но это не
частный дом, а многоквартирный, то компания говорит, если пришел тот то, то надо провести дальше в
конкретную квартиру. То есть мы думаем, что на той стороне стоит сразу сервер, а на самом деле он в
глубине сети (технология NAT)
Порты — это ключевые двери для построения туннеля, если они закрыты — туннель не заработает или
сервер будет недоступен.

5.

Как строится IPsec
Договорённость — инженеры обеих компаний
договариваются о «ключах» и параметрах
шифрования (как замок и ключи, подходящие
только друг другу).
Создание туннеля — между двумя сетевыми
оборудованиями строится защищённый канал
поверх обычного интернета.
Стандарт один, но каждый производитель
обрудования добавляем свои «акценты»
Наша анкета
Шифрование — все данные внутри этого
канала автоматически шифруются. Если кто-то
перехватит их снаружи, увидит только
«абракадабру».
Аналогия: два человека говорят на одном языке,
но с разными акцентами — нужно учтонять каждое
слово
Маршруты и доступ — кто и куда может ходить

6.

Типичные ошибки
неправильно настроенные ключи
неверный/просроченный сертификат
как если бы ключ не подходил к замку

7.

Типичные ошибки
Несовпадение настроек
Разные настройки у сторон (несовпадение
параметров шифрования) - один сделал
трубу квадратной, другой — круглой, и они
не состыковались

8.

Типичные ошибки
Неоткрытые порты
Блокировка на оборудовании — порты
для Ipsec закрыты (UDP 500, 4500) →
тоннель не строится
Блокировка на сервере — порт закрыт на
сервере
Дверь квартиры закрыта → доступ к серверу
невозможен
Неправильный порядок правил.
Сначала идёт “запрет всего”, а потом
“разрешить через IPsec”. Если перепутать —
ничего не работает. Либо разрешающее
правило и вовсе отсутствует.

9.

Типичные ошибки
Несовпадение сетей шифрования —
какие сети (дома) «видят» друг друга
через этот туннель.

10.

Типичные ошибки
Нет маршрута или нет перенаправления до
сервера
«Туннель есть, а данные не ходят» - это
как построили дорогу, но забыли сделать
съезд к дому (ошибка маршрутизации, не
настроен DNAT в нужную «квартиру»)
Неправильные маршруты — пакеты идут
в обход туннеля, как если бы проложили
метро, но поезда поехали по старой
дороге.

11.

Типичная проблема
Блокировки РКН
Проблемы с интернет-провайдером —
провайдер блокирует пакеты — шлагбаум
в сети, дорога перекрыта, белый IP
теперь закрыт

12.

IPsec VPN —это способ создать защищенный туннель через интернет
Требуется: устройства, IP адреса,
ключи/сертификаты, алгоритмы,
маршруты, открытые порты
Ошибки — это всегда про ключи,
маршруты, NAT, несовпадение настроек
Проблема — блокировка РКН