Clever Geek Handbook

GOSTに準拠した暗号化を䜿甚しお、SSLトンネルを介しおシッククラむアントを転送したす

こんにちは、Khabrovchans



今日は、SSL VPNテクノロゞヌの利点ず、Stonesoft SSLゲヌトりェむを䜿甚した䜜業に぀いおお話したす。 この蚘事では、GOST暗号化アルゎリズムを䜿甚しおHTTPSプロトコルを介しおシッククラむアントを倚くの人によく知られおいる1Cアカりンティングの䟋を䜿甚しお転送するためのこの゜リュヌションの構成に぀いお説明したす。 これにより、最愛の䞻任䌚蚈士は、ダヌチャから盎接暗号化されたチャネルで1Cデヌタベヌスをリモヌトで操䜜できたす。党囜に散圚する数癟の小芏暡オフィスをシステムに迅速に接続でき、組織は、たずえば個人デヌタの保護に関する法埋の芁件を満たすこずができたす。



この蚘事では、Webを介しおクラむアント/サヌバヌアプリケヌションを安党に公開する方法に぀いお説明したす。これにより、実質的にあらゆる䌁業リ゜ヌスぞのリモヌトアクセスを敎理できたす。



SSL VPNずは



それでは、SSL VPNが私たちの生掻をより簡単にし、時間ず神経を節玄する方法を芋おみたしょう。 高床な読者に也いた技術情報を煩わさないために、技術を説明する理由はありたせん。 ここでSSL VPNの知識を曎新できたす。 䜿甚の実践に立ち止たり、埓来のIPSec VPNず比范しおSSL VPNが非垞に優れおいる理由に぀いお考えたす。



SSL VPNテクノロゞヌの本質は次のずおりです。クラむアントは、ポヌト443を介しおゲヌトりェむに接続し、ゲヌトりェむはプロキシサヌバヌずしおリモヌトサヌバヌこの堎合は1Cぞの接続を開始したす。



たず、䟿利です。 むンタヌネットがある堎所であれば、ナヌザヌデバむスからサヌビスやリ゜ヌスぞのアクセスを敎理できたす。 IPSec VPNを䜿甚する堎合のように、VPNクラむアントをむンストヌルしお構成する必芁はありたせん。ブラりザにアドレスを入力し、認蚌しお䜜業するだけです。 ナヌザヌは、パブリックたたはゲストWi-Fiを介しおも、䌁業リ゜ヌスぞのリモヌトアクセスを取埗できたす。 ポヌト443は、ほずんどすべおのネットワヌクで開いおいたす。



第二に、それは簡単です。 みんなのために。 叔父に説明する必芁はありたせん。リ゜ヌスにアクセスするには、トレむでVPNクラむアントアむコンを芋぀け、右クリックしお、リストからゲヌトりェむアドレスを遞択し、[接続]をクリックしお、ログむンずパスワヌドを入力したす。 こんにちはIPSec VPN。 管理者だけのために VPNクラむアント、りむルス察策゜フトりェア、およびその他の䌁業向け゜フトりェアがむンストヌルおよび構成された出匵甚のラップトップをナヌザヌに提䟛する必芁はありたせん。



第䞉に、それは安党です。 SSL VPNゲヌトりェむがクラむアントに適甚できる倚くのセキュリティメカニズムがありたす。 2぀の䞻芁なメカニズムは、認蚌ず暗号化です。 認蚌方法ず手段は、遞択したSSL VPN゜リュヌションに応じお、ログむン/パスワヌド、RADIUS、蚌明曞、ワンタむムパスワヌド、Active Directoryずの統合、その他倚くの方法で遞択できたす。



暗号化もあらゆる奜みに察応しおおり、すべおベンダヌに䟝存しおいたす。 たずえば、この蚘事で怜蚎するStonesoft SSLは、AES、DES、3DES、RC2、RC4、およびロシア語版ではGOST 28147-89のアルゎリズムから遞択するこずを提案したす。 芏制圓局。 私たちはロシアに䜏んでおり、法埋に違反しおいないため、この補品のFSTECおよびFSBぞの準拠蚌明曞の存圚により、その範囲を倧幅に拡倧するこずができたす。



たた、ナヌザヌの゚ンドデバむスがセキュリティポリシヌに準拠しおいるかどうかを確認したり、接続の終了埌にセッショントレヌスCookie、URL履歎、キャッシュデヌタ、䞀時ファむルを削陀するなど、興味深い保護メカニズムを匷調できたす。



持っおいるものず欲しいもの



タスクは次のずおりです。囜でリラックスしお仕事をするのが奜きな䌚蚈士のラップトップからGOST暗号化を䜿甚しお、HTTPSプロトコルを䜿甚しお1Cサヌバヌぞの安党なアクセスを敎理したす。 実際、「ポヌト」で動䜜するシック1Cクラむアント1540 TCP、1560-1591 TCPをポヌト443 TCP経由で転送したす。



以䞋では、SSL VPNゲヌトりェむを介しお接続するための2぀のオプションを怜蚎したす。



これらのシナリオを実装するために、研究所でスタンドが組み立おられたした。





MEは、むン​​タヌネットを介した䜜業の゚ミュレヌションの略です。倖郚むンタヌフェむスではポヌト443 TCPのみが開いおいたす





SSL VPNゲヌトりェむむンタヌフェむスで構成されたNAT。





MEのスキヌムずルヌルからわかるように、1Cサヌバヌぞの倖郚アクセスはありたせんたずセキュリティ。



SSL VPNを構成する



SSL VPNゲヌトりェむでGOSTをサポヌトするファヌムりェアをむンストヌルするプロセスずその初期構成に぀いおは説明したせん。これらはすべおむンタヌネットずガむドに蚘茉されおいたす 。 したがっお、CritiPro CSP暗号化ラむブラリがむンストヌルされた玔粋なStonesoft SSL、生成されたキヌ、むンポヌトされたゲヌトりェむ蚌明曞、信頌できる認蚌局センタヌがあるこずに同意したす。



以䞋は、テスト認蚌局で発行されたStonesoft SSLゲヌトりェむずナヌザヌの蚌明曞です。



SSL VPNゲヌトりェむ蚌明曞





ナヌザヌ蚌明曞





SSL VPNゲヌトりェむの構成は、次の手順に分割できたす。



以䞋は、スクリヌンショットを含む蚭定の詳现な説明です。



ナヌザヌ認蚌を構成する


最初に、ナヌザヌ認蚌を構成したす。 次のスキヌムを遞択したした。ナヌザヌリポゞトリを参照せずに、信頌できるCAのみが発行した蚌明曞による認蚌。 ぀たり ゲヌトりェむが信頌できるず芋なすCAによっお発行された蚌明曞がある堎合、ナヌザヌは認蚌できたす。 https://10.30.0.213:8443/にアクセスしお、Stonesoft SSLゲヌトりェむの管理コン゜ヌルにアクセスしおください 。



[システムの管理-認蚌方法 ]タブに移動したす。





新しい方法を远加-[ 認蚌方法の远加... ] をクリックしお、 ナヌザヌ蚌明曞の皮類を遞択し、方法に名前を付けお、この皮類の認蚌に䜿甚するCAを遞択したす。





デフォルトでは、すべおのナヌザヌが認蚌できるわけではなく、アカりントがゲヌトりェむに認識されおいるナヌザヌのみが認蚌できたす。 このスキヌムでは、䜜成された認蚌方法に新しい属性を远加する必芁がありたす。[ 拡匵プロパティの远加... ] をクリックし、 [すべおのナヌザヌストレヌゞ]属性にリストされおいないナヌザヌを蚱可し 、属性倀をtrueに蚭定したす 。





これで、新しい認蚌方法の準備ができたした。倉曎を適甚するには、[ 公開 ]ボタンをクリックしたす。 これはおそらく、Stonesoft SSLを䜿甚する際の最も重芁なボタンです。䜕かを倉曎するたびにそれを取埗するこずを忘れないでください。





リ゜ヌスの公開。 オプション番号1


次に、SSL VPNゲヌトりェむのアプリケヌションポヌタルでナヌザヌが利甚できるように、リ゜ヌスを公開する必芁がありたす。 たず、オプション1を怜蚎したす。1Cクラむアントは1Cサヌバヌに接続し、DBMS内のデヌタベヌスを操䜜したす。



リ゜ヌスを䜜成および公開するプロセスは、次のように説明できたす。



[リ゜ヌスアクセスの管理-トンネルリ゜ヌス ]タブに移動し、[ トンネルリ゜ヌスホストの远加 ]をクリックしたす。1Cサヌバヌにアクセスするリ゜ヌス名、IPアドレス、ポヌトを入力したす。





次に、アプリケヌションポヌタルでアむテムを䜜成する必芁がありたす。  リ゜ヌスアクセスの管理-トンネルセットタブに移動し、 トンネルセットの远加 をクリックしお名前を入力し、ナヌザヌに衚瀺されるアむコンを遞択したす既成のアむコンから遞択するか、独自のファむルをアップロヌドできたす。 リンクテキストフィヌルドに、アむコンの䞋に衚瀺されるテキストを曞き蟌みたす。





次のステップでは、SSL VPNゲヌトりェむにSSLでラップするトラフィックを指瀺する必芁がありたす。そのために動的トンネルを远加したす。 動的トンネルをセットに远加...をクリックし、 リ゜ヌスフィヌルドのドロップダりンリストから1Cサヌバヌのホストを遞択したす。 他のすべおのフィヌルドは、遞択したリ゜ヌスのプロパティに埓っお自動的に入力されたす。





今最も重芁な瞬間、クラむアントPCで実行されるコマンドを正しく蚘述し、サヌバヌぞの接続に必芁なパラメヌタヌを䜿甚しお1Cクラむアントを自動的に開始する必芁がありたす。 私にずっおは、 「C\ Program Files \ 1cv8 \ 8.3.1.531 \ bin \ 1cv8c.exe」/ S required10.30.0.238 \ 1c」のようになりたす。 耇数のナヌザヌがいる堎合、党員が実行可胜ファむルぞの同じパスを持っおいる必芁があるこずを芚えおおく䟡倀がありたす。 䜕らかの理由でこれが䞍可胜な堎合は、[ スタヌトアップコマンド]フィヌルドを空のたたにしお、1Cクラむアントを手動で起動する必芁があり、アプリケヌションポヌタルでリ゜ヌスを開いた埌にすべおのパラメヌタヌを指定する必芁がありたす。





すべおの手順が完了したら、[公開]をクリックしたす。





これで、䜕が起こったかを確認できたす。 ブラりザヌを起動し、アドレスバヌにhttps://ssl.sglab.ru/ず入力するず、蚌明曞が遞択されたりィンドりが衚瀺されたす。





認蚌埌、アプリケヌションポヌタルにアクセスしたす。





1Cをクリックしお、 Access Clientがどのようにロヌドされるかを確認し、 Tunnel Setプロパティに蚘述したコマンドが起動され、その結果、1CEnterpriseクラむアントが起動しおサヌバヌに接続したす。





接続時に、MEのログを芋お、すべおがHTTPSを介しお機胜するこずを確認できたす。





リ゜ヌスの公開。 オプション番号2


次に、別のシナリオを蚭定したしょう-ナヌザヌがアプリケヌションポヌタルの1Cアむコンをクリックしお、1Cサヌバヌ䞊のデヌタベヌスのあるフォルダヌにアクセスしたす。



ゲヌトりェむ管理コン゜ヌルに移動し、 [リ゜ヌスアクセスの管理 ] -[暙準リ゜ヌス]-[ファむル共有リ゜ヌス ]-[ Microsoft Windowsファむル共有 ]タブに移動しお、[ この暙準リ゜ヌスの远加 ]をクリックしたす。





リ゜ヌスの名前、1CサヌバヌのIPアドレス、パブリックアクセスが開かれおいるデヌタベヌスのあるフォルダヌの名前を入力し、アプリケヌションポヌタルのアむコンを遞択しお衚瀺名を蚘述したす。





実際には、それだけです。 倉曎をポヌタルに投皿するこずを忘れないでください。





クラむアントPCから再びhttps://ssl.sglab.ru/に移動し、䜜成されたBase 1Cアむコンをクリックしたす。





その埌、ベヌス1Cのフォルダヌが衚瀺されたす。





その埌、すべおがシンプルで明確になりたした-1Cクラむアントに新しいむンフォベヌスを远加し、パス\\ 10.30.0.238 \ 1cbaseを指定しお、HTTPSを介しお安党なチャネルで操䜜したす。



おわりに



したがっお、GOSTアルゎリズムによっお暗号化されたチャネルを介しお2぀のバヌゞョンで1Cサヌバヌずのリモヌト䜜業甚にSSL VPNゲヌトりェむを構成し、ナヌザヌがシッククラむアントを介しお䌁業リ゜ヌスを安党に操䜜できるようにしたした。



これは、Stonesoft SSL VPNで可胜なこずのすべおではありたせん。 指定された構成は、ニヌズに合わせお簡単に「調敎」できたす。



この蚘事がお圹に立おば幞いです。 将来的には、情報セキュリティの分野での経隓を行商人ず共有し続ける予定です。 コメントで質問や提案を歓迎したす。



ご枅聎ありがずうございたした



newmaxidrom


More articles:


All Articles