Sieci WAN i VPN

• Rozróżnisz LAN, MAN, WAN oraz role CE i PE.
• Porównasz technologie dostępu i usługi operatorskie.
• Wyjaśnisz failover, load balancing, BGP, MPLS i SD-WAN.
• Skonfigurujesz podstawowy HSRP z virtual IP, priority, preempt i tracking.
• Dobierzesz podstawowy model VPN do scenariusza organizacji.

Wymagania wstępne

• Podstawy sieci
• Routing i NAT
• TCP/UDP i porty

LAN obejmuje lokalną infrastrukturę organizacji, MAN zwykle obszar miejski, a WAN łączy geograficznie oddalone sieci. Granice zależą od własności i usługi, nie tylko od liczby kilometrów.

Customer Edge (CE) jest urządzeniem po stronie klienta, a Provider Edge (PE) elementem brzegu sieci operatora. Internet może być transportem WAN, ale usługa WAN nie musi oznaczać publicznego Internetu.

CE może otrzymać adres publiczny lub prywatny, trasę domyślną albo pełniejsze informacje routingu. Prywatna adresacja po stronie klienta często współistnieje z NAT-em na brzegu, ale model zależy od usługi.

Failover przełącza ruch po awarii, natomiast load balancing rozdziela ruch między ścieżki. Dwa łącza nie zapewniają realnej odporności, jeśli współdzielą ten sam kabel, zasilanie lub pojedynczy punkt operatora.

• BGP wymienia informacje o osiągalności między systemami autonomicznymi; wprowadzenie nie zastępuje projektu polityki routingu.
• MPLS przekazuje ruch na podstawie etykiet i wspiera usługi operatorskie, ale nie jest z definicji szyfrowaniem.
• SD-WAN centralizuje politykę wyboru ścieżki i nakładkę nad różnymi transportami; funkcje zależą od rozwiązania.

IPsec chroni pakiety IP, a IKEv2 negocjuje parametry i klucze. NAT Traversal (NAT-T) przenosi IPsec przez UDP, gdy na ścieżce występuje NAT. WireGuard i OpenVPN są odmiennymi rozwiązaniami tunelowymi; oba nadal wymagają ochrony kluczy, kontroli dostępu i poprawnego routingu.

Bezpieczny projekt wymaga wszystkich potrzebnych funkcji, ale nie należy ich utożsamiać. Zestawiony interfejs tunelowy nie dowodzi, że peer został poprawnie uwierzytelniony, algorytmy są aktualne, a dozwolone trasy mają minimalny zakres.

IPsec jest architekturą ochrony ruchu IP. ESP może zapewniać poufność, integralność i uwierzytelnienie pochodzenia danych zgodnie z wybranym zestawem parametrów. IKEv2 uwierzytelnia strony, negocjuje algorytmy i tworzy Security Associations oraz materiał kluczowy.

Błąd może wystąpić przed utworzeniem IKE SA, podczas negocjacji CHILD SA albo dopiero w płaszczyźnie danych. Dlatego diagnoza rozdziela osiągalność peerów, zgodność propozycji, uwierzytelnienie, selektory ruchu, trasy i liczniki pakietów.

• Nie publikuj PSK, kluczy prywatnych ani pełnych logów zawierających sekrety.
• Sprawdź zgodność czasu, certyfikatów i tożsamości peerów.
• Ogranicz dostęp po tunelu do wymaganych sieci i usług.

Nagłówki tunelu zmniejszają dostępny MTU. Zbyt duże pakiety mogą wymagać fragmentacji albo zostać odrzucone; Path MTU Discovery i poprawne ICMP/ICMPv6 są ważne. MSS dotyczy ładunku TCP i może być korygowane na brzegu tunelu zależnie od platformy.

Split tunneling wysyła tunelem tylko wybrane trasy. Zmniejsza obciążenie, ale zmienia model kontroli i DNS. Full tunnel również nie gwarantuje ochrony, jeśli uwierzytelnianie, reguły, algorytmy lub urządzenie końcowe są słabe.

• Sprawdź trasy przed i po zestawieniu VPN.
• Określ, który resolver DNS ma obsługiwać nazwy wewnętrzne.
• Nie blokuj bezrefleksyjnie komunikatów potrzebnych do PMTUD.

Adresy publicznych przykładów powinny pochodzić z 192.0.2.0/24, 198.51.100.0/24 lub 203.0.113.0/24. Prywatne zakresy można stosować wewnątrz zamkniętego laboratorium.

Pojedyncza brama domyślna jest punktem awarii. First Hop Redundancy Protocol pozwala kilku routerom prezentować hostom wspólną bramę. HSRP jest rozwiązaniem Cisco: grupa ma wirtualny adres IP i wirtualny adres MAC, router active przekazuje ruch, a standby jest gotowy do przejęcia roli.

Wyższy priority jest preferowany. Sam powrót routera z wyższym priorytetem nie odbiera automatycznie roli active — potrzebne jest preempt. Tracking może obniżyć efektywny priorytet po awarii śledzonego WAN. Host nadal używa 192.168.10.1 i nie musi zmieniać konfiguracji.

VRRP jest standardową alternatywą FHRP. Nie należy zakładać identycznej składni, nazw stanów ani wszystkich zachowań HSRP i VRRP.

! R1 — preferowany active
interface GigabitEthernet0/0
 ip address 192.168.10.2 255.255.255.0
 standby 10 ip 192.168.10.1
 standby 10 priority 110
 standby 10 preempt
 standby 10 track GigabitEthernet0/1 20

! R2 — standby
interface GigabitEthernet0/0
 ip address 192.168.10.3 255.255.255.0
 standby 10 ip 192.168.10.1
 standby 10 priority 100
 standby 10 preempt

show standby brief

Zbieraj logi tylko w niezbędnym zakresie i anonimizuj sekrety. Po każdej zmianie testuj ruch dozwolony i zabroniony oraz możliwość cofnięcia konfiguracji.

• Uznanie MPLS za zaszyfrowany transport.
• Brak trasy powrotnej przez tunel.
• Niespójny MTU prowadzący do działania małych pakietów i problemów z większym transferem.
• Mylenie failover z równoważeniem ruchu.
• Przyjęcie, że nazwa VPN gwarantuje bezpieczne algorytmy i poprawną autoryzację.
• Zbyt szerokie prefiksy lub uprawnienia po tunelu.
• Pomijanie wspólnych punktów awarii dwóch łączy.

Zaprojektuj zdalny dostęp dla administratora i zwykłego pracownika. Wybierz model VPN, sposób uwierzytelniania, split albo full tunnel, dozwolone podsieci, DNS, logowanie zdarzeń i plan unieważnienia dostępu. Dodaj testy pozytywne i negatywne, ale nie publikuj sekretów ani gotowej konfiguracji produkcyjnej.

1. Narysuj centralę, oddział i pracownika zdalnego. Oznacz CE, transport, tunele i sieci wewnętrzne.
2. Wyjaśnij różnicę między usługą MPLS operatora a szyfrowanym tunelem IPsec.
3. Zbuduj dwa routery, switch i PC z virtual IP 192.168.10.1. Uruchom ciągły ping, wyłącz active, przywróć go i porównaj zachowanie z preempt oraz bez preempt.
4. Przy objawie „ping działa, duża strona nie” zaplanuj kontrolę MTU, MSS, PMTUD i reguł firewalla.
5. Dla pracownika i oddziału dobierz remote access lub site-to-site, sposób uwierzytelnienia oraz split albo full tunnel; uzasadnij minimalny zakres tras.
6. Przeanalizuj przypadek tunel up, dane down: zapisz kolejność kontroli transportu, negocjacji, routingu, ACL, NAT, DNS i MTU.

• WAN opisuje połączenie odległych sieci, a Internet jest jednym z możliwych transportów.
• Failover, load balancing, BGP, MPLS i SD-WAN rozwiązują odmienne problemy.
• Bezpieczeństwo VPN zależy od konfiguracji, uwierzytelniania, kluczy, algorytmów i urządzeń końcowych.

• Kryptografia, TLS i VPN
• QoS i jakość transmisji
• Odporność i odtwarzanie
• PT-07 — HSRP i redundancja bramy
• Bezpieczeństwo sieci

• Cisco — HSRP guide
• Cisco — HSRP preempt i tracking
• RFC 9568 — VRRP Version 3
• RFC 7296 — Internet Key Exchange Protocol Version 2
• RFC 4301 — Security Architecture for IP
• RFC 3947 — NAT Traversal for IKE
• WireGuard — Protocol & Cryptography
• OpenVPN Community — How-To
• RFC 4271 — Border Gateway Protocol 4
• RFC 3031 — MPLS Architecture