הגדרת IPSEC
פרקי ההרצאה: הגדרת IPSEC
תמלול ההרצאה: הגדרת IPSEC
הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת IPSEC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, ברוכים הבאים לסרט על IPSEC. אנחנו בעצם נשתמש בשלוש מכונות וירטואליות. אחת תהיה שרת DC, השרת השני יהיה השרת החשוב שעליו המידע החשוב וה-CLIENT.
מה הרעיון של IPSEC? הרעיון של IPSEC זה ליצור VPN, אבל לא דרך החייגן, אלא דרך Group Policy. זה בעצם VPN, טכנולוגיה של VPN, ואתם זוכרים מה זה VPN, שכל התקשורת היא מוצפנת, לא משנה באיזה פורט, באיזה מה, כל מה שברמת ה-IP עובר הכל מוצפן והכל מאומת, הכל מוצפן
ואפשר גם לעבוד מהבית עם כתובת של הארגון. כאילו אתה יושב בבית ואתה מקבל ה-IP קונפיג, אתה מקבל כתובת של החברה למרות שאתה בבית. כרגע אין לנו בעיה של קונקטיביטי, אין לנו בעיה של חיבוריות מהבית לחברה כי הכל נמצא בתוך אותה חברה, בתוך אותו מקום פיזי, אבל אנחנו רוצים לעשות VPN בשביל לאבטח את השרת החשוב, שאף אחד לא ינסה לבוא עם כבל רשת ולנסות לפרוץ
לשרת החשוב שלנו. דרך אגב, ככה מאובטחים הסרטים. אז אנחנו בשביל השרת החשוב שלנו נעשה GPU, נעשה OU שנקרא סיקרט או סיקרט זה לא סיקרט זה סיקיורד סיקיורד סרבר סיקיורד סרבר אני אומר שאפשר לדבר איתו רק בצורה מוצפנת ורק אחרי שעברת בדיקה ואימות יופי אז מה אנחנו נעשה אנחנו נעשה GPU שאומרת Require מחייבים Require Require IPSec.
תזכירו ש-IPsec זה מימוש, ביצוע בפועל של טכנולוגיה של רעיון של VPN. זה הביצוע של VPN. היתרון של IPSec שאפשר לעשות אותו דרך Group Policy ולא צריך ליצור חייגן ידני.
אז אני אומר כזה דבר, אני עושה GPO שנקראת Require IPSec ושם אותה על OU שנקראת Secured Server. השלב הבא שאני אעשה אתם רואים אני אכניס לסיקיור סרבר את השרתים שבשביל לדבר עם השרת הזה אתה חייב לעבור אימות בדיקה של שם וסיסמה להצפין את כל התקשורת ולמה להצפין למקרה שיש מישהו שמאזין על הכבל שלא יצליח להבין שום
דבר כרגע הפוליסה הזאתי ריקה אין בה כלום בוא ניכנס לתוך פוליסה ונגדיר שאנחנו מחייבים איי פי סק אנחנו נכנסים פה לפוליסיס לווינדו סטינגס שימו לב זה ברמת מחשב זה לא משנה איזה יוזר זה לא חייגן ידני זה ברמת מחשב ברמת קומפיוטר מתבצע VPN ואני אשאל אתכם כבר שאלה
מעניינת כשעשינו VPN הכנסנו שם וסיסמה נכון אז איך ברמת המחשב אנחנו נכניס שם וסיסמה הרי אין שם וסיסמה כשהמחשב נדלק תזכרו את השאלה המעניינת הזאת ואחרי זה אנחנו נענה עליה יופי בינתיים הגענו לIPSEG ברמת מחשב והמטרה שלנו להגיד שכל מי שמדבר עם המחשב הזה חייב לעבוד ב-VPN חייב אי אפשר לדבר איתו בלי VPN. מצוין.
איך אנחנו נעשה את זה? יש לנו פה IP Security Policies on Active Directory IPsec על Active Directory ויש לנו פה שלוש פוליסות מוכנות ואף אחד מהם לא באסיינד אף אחד לא כרגע לא מופעלת.
הפוליסה הראשונה אומרת אם ידברו איתך ב-IPsec תגיב זאת אומרת by default ברירת מחדל של Windows זה לא לדבר ולא להגיב ב-IPsec. כאילו IPsec לא קיים כאילו VPN לא קיים.
אם אתם מפעילים את זה, התחנה שעליה זה מופעל, הווינדוס עליו זה מופעל, בעצמו לא יתחיל לדבר ב-IPsec. הוא לא יתחיל לדבר ב-IPsec.
אבל אם יפנו אליו ב-IPsec, אם מישהו ינסה לדבר איתו ב-IPsec, הוא כן יענה לו, אוקיי? זה כמו שבישראל בידי פולט מדברים עברית, אבל אם מישהו פונה אליך באנגלית, אתה תגיב לו באנגלית.
טוב מאוד. אז הפוליסה הזאת מתאימה לקליינטים לתחנות העבודה, ואנחנו נחזור אליה. אנחנו, האמת, נהיה חייבים לשים אותה בתחנות העבודה, אחרת הם לא יוכלו לדבר עם השרת המאובטח שלנו, כי שרת המאובטח פשוט יענה להם ב-IPsec והתחנה
לא תדבר איתו. עכשיו, מה יש לנו לגבי השרת? לגבי השרת יש לנו שתי פוליסות מוכנות. אחת אומרת לחייב, סקיוריטי לחייב IPsec, והפוליסה השנייה אומרת לבקש IPsec. מה זה אומר לבקש?
זה אומר אם אתה יכול לדבר ב-IPsec, תדבר ב-IPsec, אם לא, נעבור לרגיל צ'אנל פתוח צ'אנל לא מוצפן ערוץ פתוח ערוץ לא מוצפן אפשר להאזין לתקשורת וזה כבר תלוי באיזה פרוטוקול תשתמש תשתמש ב-HTTP יהיה פרוץ תשתמש ב-HTTPs יהיה מאובטח זה תלוי באיזה פרוטוקול תשתמש אז request security
זה מה שמומלץ להפעיל בתור התחלה ואחרי זה אפשר להקשיח את זה ולעשות require security בוא ננסה לעשות לדוגמה request security עושים right click assign right קליק אסיין הנה יש לנו פה נקודה ירוקה והפוליסה הזאת מופעלת אתם רואים הפוליסה מופעלת בתוך גוף פוליסי בתוך גוף פוליסי יש לנו פוליסה מוכנה
בוא ניכנס נראה מה היא אומרת או שנעשה את זה בשלב מאוחר יותר בוא נעשה את זה בשלב טיפ טיפה יותר מאוחר אנחנו רוצים לעשות כמה דברים קטנים ואחרי זה ניכנס לתוך פוליסה הזאת אנחנו דבר ראשון עשינו אויו עם איי פיסק והפעלנו פוליסה מוכנה שאומרת requests security לבקש אבטחה עכשיו אני בא לרמת ארגון כולו לכל התחנות
העבודה ואומר לה turn on להדליק IPsec או allow IPsec בואו נעשה allow IPsec זה יותר enable IPsec לאפשר להגיב בIPsec לכולם אז אני מאפשר לכולם להגיב בIPsec ברמת דומיין כולו אני נכנס פה בדיוק לאותו המקום ובוחר הפעם פוליסה שאומרת תגיב לIPsec אבל אל תתחיל לבד. דרך אגב, למה תחנה לא יכולה לבד להתחיל ביפיסק? למה היא צריכה רק להגיב?
כי תחשבו טוב טוב, מתי צריך את היפיסק? רק כשפונים לשרת מסוים. אבל כשגולשים באינטרנט, כשנכנסים לפייסבוק, כשהולכים לכל מיני אתרים אחרים, אין שום צורך ביפיסק, כי אין לנו שם יוזרניים פסוורד, אין לנו תעודות דיגיטליות שם, אין לנו תקשורת מוצפנת איתם.
רוב התקשורת שלנו כקליינד, כתחנת עבודה, תהיה בייפיסק רוב התקשורת שלנו תהיה תקשורת רגילה כל הרעיון של הטלת VPN אנחנו נקים רק עם שרת המאובטח רק עם השרת הספציפי הזה אז בגלל הדבר הזה אנחנו יודעים שרוב התקשורת שלנו לא תהיה מוצפנת ובגלל שרוב התקשורת שלנו לא תהיה מוצפנת אנחנו לא נתחיל בכלל בתקשורת מוצפנת רק אם יבקשו מאיתנו טוב מאוד תזכרו זה כמו האנגלית כן אתם לא תתחילו שיחה שיחה
by default ברחוב באנגלית אלא אם כן מישהו ידבר איתכם אנגלית. טוב מאוד, אז בגדול, בגדול בתור ההתחלה אתם צריכים להבין דבר אחד, בשביל שה-IPsec יעבוד בתוך חברה צריך לעשות שתי פוליסות, אחת שנמצאת על מחשבים מאובטחים שמבקשת או מחייבת ה-IPsec ואחת אחרת שאומרת אפשר להגיב ל-IPsec.
טוב מאוד, עכשיו אנחנו חוזרים חזרה לבעיה, אנחנו חוזרים חזרה לבעיה המקורית שהייתה איך המחשב יכניס שם וסיסמה כשהוא נדלק, איזה שם וסיסמה הוא יכניס? ראינו שב-VPN צריך שם וסיסמה אז אין לנו פה שם וסיסמה אז בואו נבדוק מה האופציות שלנו איך בעצם מתבצע עימות איך מתבצע עימות ב-IPsec זאת השאלה איך מחשב בודק שזה מחשב מקורי ולא מחשב מזויף ב-IPsec אוקיי אז אנחנו ניכנס
בשביל הדבר הזה לתוך פוליסה אנחנו מתחילים עכשיו להיכנס ל-level יותר גדול כשהבנו את התמונה הגדולה נכנסים פנימה אנחנו נכנסים לתוך request security לתוך הפוליסה עצמה יש לנו פה שלושה כללים, כלל הראשון שתופס, תופס להצפין את כל ה-IP טראפיק, כל התקשורת ב-IP, להצפין את כל התקשורת של ה-CMP, של פינגים, ה-CMP זה פרוטוקול מתחרה ל-IP, כאילו, אבל הוא בודק רק תקשורת,
רק פינגים. אז להצפין את הפינגים, להצפין הכל, להצפין פינגים, ולהגיב, אם צריך להגיב, תגיב ב-IPsec. טוב מאוד, שלושת תווים מופעלים, בואו ניכנס עוד יותר פנימה.
דרך אגב, מי שרוצה לדעת פה בג'ינריק, אפשר לשנות לזה שם, כן? אפשר לשנות פה את השם למה שבא לך, לדוגמה, פרקטיקיו מוביס, בוא נעשה מזה פרקטיקיו מוביס, ואז אתה יכול לשנות את זה למה שאתה רוצה.
מוביס סרבר, פרקטיקיו מוביס סרבר, אתה משנה את השם, שימו לב, זה גם משתנה פה, אתם רואים למעלה זה השתנה. ג'ינריק הזה, לפני שאני נכנס פנימה לתוך החוקים, המטרה שלי להיכנס לתוך החוקים לראות מה זה החוקים האלו בפנים.
אבל לפני שאני נכנס לחוקים אני רוצה להראות לכם כל 180 דקות עושים החלפת מפתח מחליפים את המפתח הסודי שמצפין את כל התקשורת אוקיי עושים החלפת מפתחות. אפשר לראות פה עוד כל מיני הגדרות שכל 480 דקות כן עושים אותי קיישן טוב אני לא אכנס אתכם ממש לתוך הזה כי זה כבר יותר מדי.
באיזה פרוטוקול בדיוק משתמשים. read s ו-s זה פרוטוקול של הצפנה שמערבב את הנתונים מה זה הצפנה לקחת נתונים לערבב אותם לעשות מהם סלט לא ברור אבל באותו גודל לא להגדיל את זה באותו גודל לקחת לעשות מזה סלט באותו גודל לשלוח צד השני פותח את הסלט הזה חזרה ג'יבריש אינטגריטי זה חתימה דיגיטלית באיזה שיטה לעשות חתימה דיגיטלית s h 1 או md 5 s h 1 זה מיקרוסופט md 5 זה יותר לינוקסים ודפי
כי הלמן זה אלגוריתם שלפיו בעצם עושים החלפת מפתח. אנחנו לא ניכנס לזה יותר לעומק בשלב הזה. יופי, חזרנו חזרה למסך הראשי. מה אנחנו רואים במסך הראשי?
All IP Traffic. איזה שיטת עימות? טוב, בואו ניכנס פנימה, כי פה לא רואים כלום. בפנים, אנחנו בתוך החוק, בתוך Edit Rule.
שימו לב, אנחנו בתוך חוק שעל מי חלה הפוליסה? על איזה IP היא תופסת? על איזה פורטים היא תופסת? זה נקרא IP Filter List.
הרבה ראשון מתייחס לכתובות IP ולפורטים. All IP Traffic תופס הכל, בואו נעשה Edit. נחליף לו שם, port 81. אני רוצה להצפין רק תקשורת בפורט 81. לא צריך את כל השרת לאבטח, אני החלטתי לאבטח רק port 81. אני יכול גם לאבטח את כל השרת, אני יכול לפתוח port 81, תלוי הצרכים שלי.
כרגע אני מעוניין לעשות שתקשורת בפורט 81, שאיפה שעוברים הסרטים תהיה מוצפנת. כל שאר הפורטים אני פותח אותם. מי שרוצה יותר מאובטח שלא יעשה את זה. אני עושה Edit, עכשיו אני בפילטר של IP.
אני יודע שזה נראה חלון על חלון על חלון, אבל ככה הם בנו את הממשק הגרפי, לא להיבהל. אז מאיזה כתובת IP לאיזה כתובת IP? מכתובת שלי לכל כתובת, וגם הפוך מירור, גם הפוך מכל כתובת אליי וממני לכל כתובת.
איזה פרוטוקול אני רוצה? שימו לב, איזה פרוטוקולים יש לנו? אנחנו רוצים לבחור פה TCP, כן?
למה? כי תקשורת הרגילה מתבצעת ב- TCP. שימו לב, אנחנו בשכבה שלישית, כן אנחנו בשכבה של תקשורת אז אנחנו שואלים בכלל מה להצפין כשאנחנו מקבלים משכבה הרביעית את ה-tcp אז אותו אנחנו נצפין אתם זוכרים ה-cmp זה פינגים ואנחנו צריכים בעצם tcp וכשה-destination to this port לפורט 81
from any port לא משנה לאיזה פורט אתה שולח מאיזה פורט אתה יוצא כי כל פעם אתה יוצא מפורט אחר אתם זוכרים כל פעם שאתה פותח תקשורת איזשהו פורט אצלך נפתח כדי לקבל תשובה חזרה אז זה לא משנה מה אצלך נפתח מה שחשוב שהיעד שאליו אתה פונה זה יהיה פורט 81 אם זה פורט 81 החוק שלי יתפוס החוק שלי
ינהל ויתפוס טוב מאוד יופי אני יודע שזה קצת מסובך בוא אני אעשה חזרה זריזה על כל מה שעשינו עד עכשיו אני באתי לחוק מוכן לפוליסה מוכנה עשיתי עליה אסיין לא חשוב עשיתי עכשיו פרופרטיס נכנסתי יש פה שלושה חוקים מוכנים החוק ושלושת המופעלים החוק הראשון עשיתי עליו אדיט שתופס את כל התקשורת ה-IP הרגילה.
עכשיו אני בחוק הראשון שתופס IP. יש לו פה טאבים, איזה IPים לתפוס, מה לעשות איתם, איך לאמת אותם, כל מיני, מה אנחנו עכשיו ב-IP פילטר ליסט, איך לסנן על מי החוק הזה חל.
אני רציתי לסנן רק שיחול רק לפורט 81 אז אני עושה אדיט. אז עשיתי אדיט ובתוך האדיט אני עכשיו ב-IP פילטר ליסט, אני רואה פה מכתובת שלי לכל כתובת זה לא משנה from any IP to any IP כאשר ה-destination