تكوين مواقع IPsec IKEv2

تتناول هذه المقالة كيفية إنشاء وتكوين المواقع التي تستخدم نوع الاتصال IPsec IKEv2. لمزيد من المعلومات حول إنشاء موقع جديد، انظر استخدام CMA لإضافة مواقع.

ملاحظة: كجزء من التحسينات الأخيرة التي شملت إدخال الأنفاق المتعددة النشطة لمواقع IPsec، قد يتلقى العملاء إشعارات انقطاع وإعادة اتصال إيجابية زائفة، مع التنبيهات المرتبطة بها. هذه حادثة تحدث لمرة واحدة أثناء عملية التحديث ، ويمكن تجاهل هذه الأحداث والإخطارات بأمان. لاحظ أن الأحداث والإخطارات قد تشمل طوابع زمنية غير صحيحة ولا تعكس تعطل الخدمة الفعلي. تبقى الأنفاق الخاصة بـ IPsec قيد التشغيل بالكامل أثناء هذه العملية.

التعيين

يمكنك استخدام أنفاق IPsec لربط المواقع والشبكات الداخلية بسحابة كاتو والشبكات البعيدة. المواقع ذات اتصالات IPsec تُستخدم لـ:

• المواقع الموجودة في السحابة العامة مثل AWS أو Azure

• المواقع الخاصة بالفروع في مواقع مختلفة التي تقع خلف جدار حماية طرف ثالث

عند تكوين موقع IPsec IKEv2 ، يمكنك بدء الاتصال باستخدام أحد الخيارات التالية:

• المستجيب فقط - بدء جدار الحماية. جهاز الموقع يبدأ الاتصال بـ Cato PoP

• ثنائي الاتجاه – يمكن لجدار الحماية الخاص بك أو كاتو بدء الاتصال

وضع اتصال المستجيب فقط

إعداد المستجيب فقط لـ IKEv2 الخاص بكاتو هو حل للأجهزة الطرفية التي تحتوي على عنوان IP ديناميكي أو موجود خلف جهاز NAT. (أي جدران الحماية أو أجهزة التوجيه) يتيح هذا الحل للجهاز الطرفي في الموقع البعيد بدء وإدارة اتصال IKEv2.

بالإضافة إلى ذلك، عند استخدام مستجيب فقط، يمكنك تكوين كاتو لاستخدام اسم مجال مؤهل بالكامل (FQDN) كمحدد لكاتو. عند القيام بذلك ، يولد كاتو قيمة تشفير ويترجمها إلى عنوان IP ليعطيك أفضل موقع PoP لكل نفق.

مثلا ، تقوم بتكوين وضع الاتصال كمستجيب فقط ونوع الوجهة كـFQDN. كاتو يولد قيمة مشفرة لـ somevalue.ipsec.dev.catonetworks.org. هذه القيمة يتم تكوينها في الموقع البعيد وتعمل كحل لـطلب DNS باستخدام قيمة FQDN. يتم اختيار PoP بناءً على عدة عوامل ، مثل الموقع الجغرافي، RTT، وغيرها.

في هذا السيناريو ، يتم اختيار PoP ديناميكيًا ، مما يعني أنه إذا كان PoP الأصلي الذي تم تعيينه لـFQDN غير متاح ، سيتم اختيار PoP جديد تلقائيًا. بالإضافة إلى ذلك، إذا اتبعت أفضل الممارسات الخاصة بكاتو وقمت بتعريف نفق رئيسي وثانوي عند استخدام FQDN، يختار كاتو مواقع PoP مختلفة لتحسين HA.

بديل, بعض جهات تصنيع الجدران الحماية لا تدعم استخدام FQDN، وفي هذه الحالة يمكنك اختيار IPv4 كنوع وجهة. في هذه الحالة، يجب عليك اختيار موقع PoP ثابت، وإذا لم يكن ذلك PoP متاح لأي سبب، فإن النفق لن يكون متاحا. لمزيد من المعلومات حول تعريف عناوين IP الثابتة ، راجع سياسات تخصيص IP للمستخدمين عن بعد.

وضع اتصال ثنائي الاتجاه

في وضع الاتصال ثنائي الاتجاه ، يمكن لكلا الجهاز الخاص بك أو كاتو بدء وصيانة أنفاق IPsec من PoPs المحددة نحو المواقع الخاصة بك و/أو مراكز بيانات السحابة باستخدام بروتوكول IPsec IKEv2.

إذا كان النفق غير متاح ، فلا يتعين على كاتو الانتظار حتى يبدأ جهازك الاتصال لذا يمكن إعادة تأسيس النفق بسرعة.

مواقع IPsec مع أنفاق متعددة نشطة

كاتو يتيح لك تكوين أنفاق متعددة نشطة لكلا الأدوار الأساسية والثانوية لـHA. تمكنك الأنفاق المتعددة النشطة من القيام بما يلي:

• الاستفادة من الميل الأخير - مع أنفاق متعددة نشطة ، يمكنك توزيع حركة مرور الشبكة عبر مسارات مختلفة ، مما يساعد على تحقيق توازن الحمل وتحسين أداء الشبكة.

• التكرار - تتيح الأنفاق المتعددة النشطة التكرار. إذا فشل نفق واحد ، يمكن إعادة توجيه الحركة عبر نفق نشط آخر ، مما يضمن عدم انقطاع الاتصال.

• التكامل مع طرف ثالث - التكامل مع أجهزة CPE الخاصة بـSD-WAN من طرف ثالث لخدمات SSE.

• فصل حركة المرور - يمكن استخدام أنفاق مختلفة لفصل أنواع مختلفة من حركة المرور. مثال، يمكن استخدام نفق واحد لحركة مرور الصوت، بينما يمكن استخدام آخر لحركة مرور البيانات.

يمكنك تكوين ما يصل إلى 6 أنفاق نشطة لكل دور HA ، والتي تتصل بنقطةPoP كاتو نفسها. ما يعنيه هذا أن جميع الأنفاق الأساسية متصلة بنقطة PoP واحدة، وجميع الأنفاق الثانوية مرتبطة بنقطة PoP مختلفة. يجب أن يكون لكل نفق معرف فريد، مثلا، مثل معرف محلي كـ FQDN أو العنوان العلني لـIP.

HA للأنفاق النشطة المتعددة

بشكل افتراضي ، عند فشل جميع الأنفاق النشطة لدور HA، يتحول كاتو تلقائيًا إلى دور HA الآخر. ما يعنيه هذا أنه إذا فشلت جميع الأنفاق لدور HA الرئيسي، فإن HA يتم تشغيله ويستخدم كاتو الأنفاق الثانوية كبوابة التالية لجميع مسارات الموقع. ومع ذلك، إذا كان الدور الرئيسي لHA يحتوي على 2 أنفاق وبقي أحد الأنفاق يعمل، فلا يحدث تجاوز.

يمكنك مراقبة الأنفاق من خلال روايات "Link is down" في ورشة عمل القصص.

ملحوظة: يستغرق الأمر ما يصل إلى 30 ثانية لكي تحدد كاتو أن نفق قد تم إيقافه.

إدارة عرض النطاق الترددي

يمكنك اختيار إدارة عرض النطاق الترددي المنجز والمنشور لموقع IPsec. إذا كنت تريد أن تقوم سحابة كاتو بتحديد عرض النطاق الترددي المنجز الخاص بك، قم بإدخال الحدود المطلوبة وفقًا لذلك. وإلا ، ادخل القيم كما تم تعريفها بواسطة سرعة الاتصال الفعلية لرابط مزود الانترنت الخاص بك. إذا كنت لا تعرف سرعة اتصال مزود الإنترنت أو ISP، قم بتكوين عرض النطاق الترددي المنجز وفقًا لترخيص هذا الموقع. بالنسبة لعرض النطاق الترددي المنشور، لا تتحكم سحابة كاتو في حركة المرور المنتهية، وليس من الممكن تحديده بحد صارم. بدلاً من ذلك، فإن إعداد عرض النطاق الترددي الصادر عبارة عن إعداد مجهود أفضل من Cato Cloud.

ملحوظة: إذا قمت بإدخال قيم أكبر للمنجز/المنشور أكبر من سرعة الاتصال الفعلية لرابط مزود الإنترنت الخاص بك، فإن محرك Socket QoS سيكون غير فعال.

للحصول على مزيد من المعلومات حول QoS في كاتو، راجع ما هي ملفات تعريف إدارة عرض النطاق الترددي في كاتو.

لـQoS للأنفاق النشطة المتعددة ، اطلع أدناه توجيه QoS للأنفاق النشطة المتعددة.

المتطلبات السابقة

• إذا كنت ترسل فقط جزءا من حركة مرور الشبكة عبر سحابة كاتو، قم بتكوين معدات الشبكة الخاصة بك لتضمين عناوينIP التالية في جدول التوجيه للسحابة كاتو:

  • 10.254.254.1

  • 10.254.254.5

  • 10.254.254.253

  • 10.41.0.0/16 إلا إذا قمت بتكوين نطاق عنوان IP الخاص بمستخدمي VPN الخاص بك

• بالنسبة لمواقع IPsec ذات عرض نطاق 100Mbps أو أكثر، استخدم فقط خوارزميات AES 128 GCM-16 أو AES 256 GCM-16. يتم استخدام خوارزميات AES CBC فقط على المواقع ذات عرض النطاق أقل من 100Mbps.

  تعود هذه الإرشادات إلى حقيقة أن تشفير GCM أكثر فعالية وقابلاً للتوسع من CBC، مما يؤدي إلى تحسين الأداء والموثوقية لحركة المرور المشفرة عالية الإنتاجية في سحابة كاتو.

• تدعم مواقع Cato IPsec IKEv2 طول مجموعة كلمات يصل إلى 256 بت.

• بالنسبة لحركة مرور FTP، توصي كاتو بتكوين خادم FTP بمهلة اتصال 30 ثانية أو أكثر.

• يمكنك تعيين السر المشترك لنظام IPSec (PSK) حتى 64 حرفًا.

• بالنسبة للمواقع التي تتصل ببيئة Zscaler، يلزم ترقية رخصة Zscaler لتمكين اختيار التشفير في المرحلة 2.

إضافة موقع IKEv2

أنشئ موقع IPsec IKEv2 جديد، ثم قم بتكوينه لإعدادات IKEv2 وعيّن عناوين IP التي تم تخصيصها بواسطة Cato للأنفاق الرئيسية والثانوية. لمزيد من المعلومات، انظر تخصيص عناوين IP للحساب.

لإنشاء موقع IPsec جديد:

1. من قائمة التنقل، انقر فوق Network > Sites وانقر فوق New.

   يفتح لوحة إضافة موقع،

2. قم بتكوين الإعدادات للموقع:

   • الاسم: الاسم للموقع

   • النوع: الأيقونة المعروضة للموقع في صفحة الترابط

   • نوع الاتصال: اختر IPsec IKEv2

   • الدولة: الدولة التي يقع فيها الموقع.

   • الولاية: الولاية التي يقع فيها الموقع (عند الحاجة)

   • الرخصة: اختر رخصة عرض النطاق المناسبة للموقع

   • النطاق المحلي: الشبكة المحلية الفرعية للموقع IPSec

3. انقر على جديد.

تكوين إعدادات IPsec IKEv2

بعد إنشاء موقع جديد يستخدم IPsec IKEv2 للاتصال بسحابة Cato، قم بتحرير الموقع وقم بتكوين إعدادات IPsec.

مهم:

نوصي بشدة بتكوين نفق ثانوي (بعناوين IP عامة مختلفة لـ Cato) لضمان التوافر العالي. خلاف ذلك، يوجد خطر أن يفقد الموقع الاتصال بسحابة كاتو.

استخدم إعدادات وضع الاتصال لتحديد ما إذا كانت نقطة PoP الخاصة بـ Cato تستجيب فقط للاتصالات من الموقع البعيد (المستجيب فقط)، أو يمكنها أيضًا بدء الاتصالات (ثنائي الاتجاه).

بالنسبة للمواقع التي تعمل بعناوين IP ديناميكية، يقوم تطبيق إدارة Cato بإنشاء معرّف محلي للموقع، والذي يستخدم للمعرّف المصادقة الذي تختاره. استخدم معرف المصادقة الذي يتطلبه الجهاز التابع لجهة خارجية: FQDN أو البريد الإلكتروني أو KEY_ID، وأدخل المعرف المحلي في إعدادات IKE لجهازك التابع لجهة خارجية.

بالإضافة إلى المعرف المحلي، قم بتهيئة مفتاح مُشترَك سابقًا (PSK) للمصادقة. يمكنك أيضًا تحديد أنفاق IPsec الرئيسية والثانوية باستخدام BGP عبر الجهاز، مما يوفر التوفر العالي. من خلال القيام بذلك، تقوم سحابة كاتو تلقائيًا بتعديل قياسات مسار BGP لإعطاء الأولوية للنفق الرئيسي، وإذا انقطع الاتصال به، يتم تحويل الموقع تلقائيًا إلى النفق الثانوي.

لتكوين الإعدادات لموقع IPsec IKEv2:

1. من قائمة التنقل، انقر فوق الشبكة > المواقع واختر الموقع.

2. من قائمة التنقل، انقر فوق إعدادات الموقع > IPsec.

3. قم بتوسيع القسم عام وحدد كيف يتصل الموقع ويتحقق من صحة PoP:

   1. حدد وضع الاتصال للموقع:

      • المستجيب فقط – بدء تشغيل جدار الحماية. جدار حماية الموقع يبدأ الاتصال، وترد Cato

      • ثنائي الاتجاه - يستجيب Cato PoP للمفاوضات للاتصالات الواردة ويبدأ في المفاوضات الصادرة.

   2. اختر معرّف المصادقة.

      • IPv4 - استخدم عنوان IP الثابت الذي قمت بتكوينه في الأقسام الرئيسية والثانوية للموقع

        حاليًا، لا يتم دعم IPv6 مع IPSec عبر نقطة PoP الخاصة بـ Cato.

      • FQDN، البريد الإلكتروني، KEY_ID - يقوم بإنشاء المعرف المحلي في واحدة من هذه التنسيقات

4. قم بتوسيع القسم الرئيسي، وقم بتكوين الإعدادات التالية لنفق IPsec الرئيسي:

   • في نوع الوجهة، اختر إما FQDN أو IPv4. يجب أن تكون الوجهة نفس لـ جميع الأنفاق النشطة لدور HA (رئيسية أو ثانوية).

     • FQDN - يتم إنشاء قيمة FQDN محددة من قبل Cato. هذه القيمة فريدة لنفق معين. هذا هو القيمة التي ستقدمها لجدار الحماية الخاص بك.

       عند الاختيار، يجب عليك أيضًا تحديد موقع PoP. يوصي Cato باستخدام تلقائي ليتم اختيار أفضل نقطة PoP لك. إذا اخترت موقعًا محددًا وأيضًا تقوم بتكوين موقع ثانوي، تأكد من اختيار مواقع مختلفة.

     • IPv4 - اختر عنوان IP ثابت من القائمة المنسدلة لـ Cato IP (Egress).

5. انقر على جديد. تظهر صفحة إضافة نفق.

   1. تحت الدور، حدد أي من واجهات WAN المنطقية لاستخدامها لهذا النفق. يستخدم دور WAN للتوجيه المستند إلى الأولوية في سياسة قواعد الشبكة.

   2. تحت الاسم، أدخل اسمًا وصفيًا

   3. تحت العنوان IP العام، أدخل العنوان IP العام لهذا النفق. يجب أن يستخدم كل نفق عنوان IP عام مختلف

   4. للمواقع التي تستخدم BGP، قم بتكوين العناوين الخاصة:

      • Cato - أدخل Cato PoP والعنوان IP الذي يبدأ النفق IPsec

      • الموقع - أدخل عنوان IP الخاص لنظير BGP

   5. في عرض النطاق للتوصيل الأخير، قم بتكوين الحد الأقصى للتيار الهابط والمنبع (ميجا بت في الثانية) المتاح للموقع

   6. في PSK، انقر على تعديل كلمة المرور لتقديم السر المشترك للنفق IPsec الرئيسي.

6. انقر على تطبيق. يضاف النفق إلى الجدول الرئيسي.

   

7. بالنسبة للمواقع التي تستخدم نفق IPsec ثانوي، قم بتوسيع القسم الثانوي وتهيئة الإعدادات في الخطوة السابقة، ثم انقر على حفظ.

8. بالنسبة للمواقع التي تستخدم أنفاق نشطة/نشطة متعددة، كرر الخطوات 5-7.

9. (اختياري) قم بتوسيع قسم معلمات رسالة البداية وقم بتكوين الإعدادات. راجع معلمات Init وAuth أدناه للحصول على المعايير الصالحة.

   كما تنفذ معظم حلول IPsec IKEv2 دعم التفاوض التلقائي للمعلمات التالية بداية وتأكيد، ونحن نوصي بضبطها علىتلقائي، إلا إذا طلب منك صراحةً بواسطة سلطة جدار الحماية الخاص بك.

10. (اختياري) قم بتوسيع قسم معلمات التأكيد وقم بتكوين الإعدادات. راجع معلمات Init وAuth أدناه للحصول على المعايير الصالحة.

11. قم بتوسيع القسم التوجيه، وقم بتحديد خيارات التوجيه للموقع:

    

    • للاتصالات الأمنية مع الجانب البعيد الذي يحتوي على تلك الSA (رابط الأمان) المعرفة لهذا النفق، في نطاقات الشبكة، أدخل نطاقات الـIP البعيدة (عادةً يكون من الشبكات في مواقع أخرى) للنطاقات في هذا الشكل <التسمية:نطاق IP> واضغط إضافة.

    • يتم تكوين نطاقات الIP المحلية لـSA في صفحة تكوين الموقع > الشبكات عن طريق تضمين مؤشرات الحركة المحلية واختيارات نظير الحركة.

      

      تحقق من أن الشبكات المحلية تطابق ما حددته لنظير IPsec.

      ملاحظة: في حالة عدم تكوين نطاقات الشبكة لموقع IPsec IKEv2، يعتمد سلوك VPN على محددات حركة المرور المكونة على الجهاز النظير:

      • إذا كان الجهاز النظير يستخدم 0.0.0.0/0 <> 0.0.0.0/0، فإن النفق يعمل كشبكة VPN تعتمد على التوجيه

      • إذا كان الجهاز النظير يستخدم محددات مرور معينة، فإن النفق يعمل كشبكة VPN تعتمد على السياسة

12. انقر فوق حفظ.

    انتظر على الأقل 3 دقائق قبل إدخال قيم FQDN الرئيسية والثانوية في جدار الحماية الخاص بك للسماح بتحديد مواقع PoP الأمثل لهذه الإعدادات.

13. لعرض تفاصيل الاتصال الخاصة بك وحالة النفق IPsec لهذا الموقع، انقرحالة الاتصال.

توجيه جودة الخدمة (QoS) للأنفاق النشطة المتعددة

بشكل افتراضي، يستطيع Cato فقط التحكم في حركة المرور المتدفقة. يتم توزيع الحركة عبر الأنفاق (روابط WAN) بناءً على مقاييس الصحة، تفضيل الرابط، والنسبة المتناسبة لسرعات النطاق الترددي المُعد لكل رابط. يتم إعادة حساب مقاييس الصحة كل ثانية، ويتم إعادة توجيه الحركة إلى الرابط الأفضل أداءً كل 10 ثواني.

يتم التحكم في حركة المرور المتجهة بواسطة نظير IPsec البعيد، ووفقًا للتوجيه القائم على السياسة الذي يستخدمه النظير.

يمكنك تجاوز اختيار رابط WAN لحركة المرور المتدفقة باستخدام قواعد الشبكة. يمكنك تكوين قاعدة لتحديد رابط WAN الذي سيتم استخدامه لأزواج المرور المحددة، وفي هذه الحالة سيتم إرسال المرور على رابط WAN المحدد في القاعدة، وليس النفق الذي وصل عليه.

إعدادات الرسائل المبتدئة والمعاوني

تتوفر المعلمات التالية عند تحديد معلمات التمهيد والمصادقة. توفر كاتو أن تقوم بتعيين هذه المعلمات إلى تلقائي إلا إذا تم تقديم الإرشادات بخلاف ذلك من قبل موفر جدار الحماية الخاص بك.

إعدادات IKEv2 الافتراضية للموقع

هذه هي قائمة القيم الافتراضية للمعلمات IKEv2 التالية. إذا كنت بحاجة إلى قيمة مخصصة، يرجى الاتصال بـ الدعم الفني.

إرسال محدد حركة مرور واحد لمواقع IKEv2

عند إنشاء SA فرعي، تقوم كاتو بإرسال محددات مرور متعددة (TS) في نفس حمولة TS وفقًا لـ RFC 7295. بعض الحلول من الجهات الخارجية، مثل Cisco ASA، تدعم فقط TS واحدة في كل CHILD_SA. سيرسل Cisco ASA رسالة TS_UNACCEPTABLE ردًا على اقتراح Cato بإنشاء CHILD_SA مع عدة TS.

يمكنك تكوين حسابك أو موقع IPsec IKEv2 المحدد لإرسال كل TS في حزمة منفصلة لدعم التشغيل المتبادل مع هذه الحلول الخارجية بتمكين هذا التكوين تحت تكوين الموقع > التكوين المتقدم.

الاتصال باثنين من الأنفاق مع AWS VPC للحصول على HA

تتيح لك كاتو ربط AWS VPC بالسحابة الخاصة بها باستخدام BGP على نفقين IPsec لتحقيق توافر عالي (HA). تدعم الأنفاق المزدوجة لـ AWS فقط عندما تحدد بوابتين للعملاء، ويمثل كل منهما عنوان IP عام مختلف لـ كاتو. هذه هي المتطلبات:

• عنواني IP عامين لـ Cato

• بوابتان للعميل في نفس VPC وكل واحدة مخصصة لعنوان IP عام لـ Cato.

• في AWS، اتصالان موقع بموقع

قيود معروفة

• لحسابات متعددة المستأجرين (مثل شركاء Cato)، تأكد من أن كل حساب يستخدم عناوين IP مخصصة من موقع PoP مختلف لأنفاق IPsec. على سبيل المثال، يستخدم IP مخصص من نقطة PoP فرانكفورت، وينبغي استخدام IP مخصص من موقع PoP ميونيخ.