Проект системы безопасности корпоративной сети. Анализ потенциальных точек, подверженных сетевой атаке. Разработка схемы IP-адресации, страница 4

6                                                                        ОБЕСПЕЧЕНИЕ ЗАЩИТЫ АРЕНДОВАННЫХ КАНАЛОВ С ИСПОЛЬЗОВАНИЕМ VPN ТУННЕЛЕЙ

В соответствии с пунктом 6 задания на курсовое проектирование нужно создать туннели VPN между локальными сетями филиалов, чтобы объединить их в единую корпоративную сеть, сохраняя при этом локальную адресацию. IP-адреса, выбранные для туннелей, сведены в таблицу

6.1.

Таблица 6.1 - Распределение IP-адресов между VPN-туннелями

На рисунке 6.1 приведен пример установления туннеля VPN между центральным офисом и первым филиалом. Настраиваем на маршрутизаторе R0.2 туннель. Первая строка создает виртуальный интерфейс Tunnel1. Вторая строка устанавливает IP-адрес и маску подсети для данного интерфейса, туннельному интерфейсу нужно присвоить IP-адрес отличный от адресов внутренней корпоративной сети и провайдера. Третья строка устанавливает источник туннеля — физический интерфейс FastEthernet0/0. Четвертая строка устанавливает пункт назначения туннеля — IP-адрес.

interface Tunnel1  ip address 10.80.0.1 255.255.255.0  tunnel source FastEthernet0/0  tunnel destination 20.35.10.2 настраиваем маршрутизатор R1.1 interface Tunnel1  ip address 10.80.0.2 255.255.255.0  tunnel source FastEthernet0/0  tunnel destination 45.10.35.2

Аналогичным способом в соответствии с таблицей 6.1 создаются VPN-туннели между остальными филиалами.

пакет имеет адрес отличный от адреса локальной сети, то пакет нужно направить наружу в интернет. Обратный адрес в пакете, указан локальный адрес компьютера, который не должен быть известен. Роутер производит трансляцию IP адреса и порта и запоминает у себя во временной таблице. После окончания обмена сообщениями клиента и сервера, роутер сотрет запись о данном порте.

Пример настройки трансляции сетевых адресов на маршрутизаторе R0.2 приведен ниже. Сначала выбираются интерфейсы, участвующие в трансляции, и им присваиваются метки о принадлежности ко внутренней (inside) или внешней (outside) сети. Делается это следующим образом:

interface FastEthernet0/1 ip nat inside interface FastEthernet1/1 ip nat outside

Затем нужно создать список доступа (будет использован стандартный список доступа), в котором будет указана внутренняя сеть, адреса которой буду транслироваться во внешние адреса. Стоит отметить, что при составлении списков доступа нужно указывать инверсное значение маски подсети:

access-list 1 permit 192.168.4.1 0.0.0.255

Теперь необходимо указать полученный список доступа в качестве источника адресов для трансляции, а внешний интерфейс FastEthernet1/1 — в качестве пункта назначения:

ip nat source list 1 interface  FastEthernet1/1 overload

Параметр overload в данной строке означает, что необходимо использовать динамический NAT, при котором множество внутренних адресов будут транслироваться в один внешний адрес.