INTEGRITY Dokumentace

← Cloudflare Magic Transit / magic-transit / reference

Tunely GRE a IPsec

Tunely a zapouzdření

Aby Magic Transit směroval provoz mezi globální sítí Cloudflare a vaší origin sítí, zabaluje vaše původní pakety do vnějšího paketu, což se označuje jako zapouzdření (encapsulation). Vnější paket přenáší váš provoz přes internet do cíle, kde se rozbalí (dekapsulace) a doručí.

Magic Transit využívá dva zapouzdřovací protokoly: Generic Routing Encapsulation (GRE) a IPsec. GRE je bezstavový a jednodušší na konfiguraci, ale provoz nešifruje. IPsec provoz šifruje a ověřuje zdroj, takže poskytuje silnější zabezpečení. Oba protokoly vytvářejí tunely, tedy logická spojení typu bod-bod mezi Cloudflare a vaší sítí. Cloudflare vytváří koncové body tunelu na serverech globální sítě ve vašem síťovém namespace, zatímco vy vytváříte koncové body tunelu na routerech ve svém datovém centru.

Aby bylo možné zohlednit dodatečná data hlavičky vzniklá zapouzdřením, musíte upravit maximální velikost segmentu (MSS) tak, aby odpovídala standardní směrovatelné maximální přenosové jednotce (MTU) internetu, která činí 1500 bajtů.

Pokyny viz Nastavit maximální velikost segmentu.

Tento diagram znázorňuje tok provozu při použití Magic Transit.

sequenceDiagram
accTitle: Tunnels and encapsulation
accDescr: This diagram shows the flow of traffic with Magic Transit.
participant A as Client machine
participant B as Cloudflare Magic Transit
participant C as Origin router
A->>B: Payload <br> Protocol <br> IP header
Note left of A: Ingress <br> traffic
B->>C: Payload <br> Protocol <br> IP header <br> GRE <br> IP header
C->>A: IP header <br> Protocol <br> Payload
Note right of C: Egress <br> traffic

Anycast

Tradiční tunely propojují dva pevné koncové body, po jednom zařízení na každé straně. Magic Transit používá jiný model: anycast IP adresy pro endpointy tunelů Cloudflare. V modelu anycast může provoz přijmout kterýkoli server v libovolném datovém centru Cloudflare, přičemž musí být schopen zapouzdřit a rozbalit pakety pro libovolný tunel. To znamená, že váš tunel není vázán na jediný server Cloudflare: provoz zpracovává to datové centrum, které je zdroji nejblíže.

To funguje s Tunely GRE, protože protokol GRE je bezstavový. Cloudflare zpracovává každý paket nezávisle, aniž by bylo nutné jakékoli vyjednávání nebo koordinace mezi koncovými body tunelu. Koncové body tunelu jsou vázány na IP adresy, nikoli na konkrétní zařízení. Libovolné zařízení, které dokáže odstranit vnější hlavičky a následně směrovat vnitřní paket, dokáže zpracovat jakýkoli paket GRE odeslaný tunelem.

Pro U tunelů IPsec router zákazníka vyjednává vytvoření tunelu IPsec se Cloudflare pomocí Protokol Internet Key Exchange (IKE). Protokol IPsec je stavový (vyžaduje sdílené klíče a parametry relace), proto počáteční vyjednávání zajišťuje jeden server Cloudflare, který následně předá podrobnosti tunelu (výběry provozu, klíče atd.) všem datovým centrům Cloudflare. Výsledkem je, že provoz daného tunelu IPsec může zpracovávat kterýkoli server Cloudflare, přestože vyjednávání provedl pouze jeden z nich.

Anycast architektura Cloudflare poskytuje cestu k vašemu tunelu z každého serveru v každém datacentru globální sítě Cloudflare. Následující obrázek tuto architekturu znázorňuje.

flowchart LR
accTitle: Anycast tunnel
accDescr: Multiple servers in data center preparing packets to send through anycast tunnel.

a(User)

subgraph 1
direction LR
b(Cloudflare global <br> network server)
c(Cloudflare global <br> network server)
d(Cloudflare global <br> network server)
e(Cloudflare global <br> network server)
f(Cloudflare global <br> network server)
g(Cloudflare global <br> network server)
h(Cloudflare global <br> network server)
end

subgraph 2
i("Acme router <br> 198.51.100.1")
j("FTP server <br> (203.0.113.100)")
end

subgraph 3
x("Acme router <br> 198.51.100.1")
z("FTP server <br> (203.0.113.100)")
end

a --> 1== Cloudflare anycast GRE <br> single endpoint ==>i --> j

1== Cloudflare anycast IPsec <br> single endpoint ==>x --> z

Tunely IPsec

IPsec ↗ je skupina protokolů, které společně vytvářejí šifrovaná spojení mezi zařízeními. Pomáhá chránit data, která odesíláte přes veřejné sítě. Organizace IPsec často používají k vytváření virtuálních privátních sítí (VPN) a funguje tak, že šifruje IP pakety a ověřuje zdroj, ze kterého pakety pocházejí.

Informace o nastavení tunelu IPsec najdete v Konfigurace koncových bodů tunelu. Chcete-li se dozvědět více o konfiguračních parametrech, které Magic Transit používá k vytvoření tunelu IPsec, čtěte dál.

Jak IKEv2 vytváří tunel IPsec

Magic Transit používá k vytvoření tunelu IPsec následující fáze:

Stručně řečeno, IKEv2 vytvoří IKE SA, která používá určité kryptografické transformace. Tuto IKE SA pak použije k vytvoření Child SA, jež používá své vlastní kryptografické transformace. Následující konfigurační část popisuje, které z těchto transformací Magic Transit v současnosti podporuje pro IKE SA a Child SA.

Podporované konfigurační parametry

Vyberte si z následujících konfiguračních parametrů, které Magic Transit podporuje, podle toho, co podporuje vaše zařízení.

IKE SA (nazývaná také Phase 1)

Dokumentace někdy označuje IKE SA jako Phase 1 podle terminologie IKEv1.

Child SA (nazývaná také Phase 2 nebo IPsec SA)

Child SA. V dokumentaci se pro ni někdy používá označení Fáze 2 podle terminologie IKEv1.

Požadované konfigurační parametry

Volitelné konfigurační parametry

Testovaná interoperabilita s produkty třetích stran

Následující dodavatelé třetích stran byli otestováni a ověřeni z hlediska interoperability s Cloudflare IPsec pro postkvantovou dohodu o klíči:

Výrobce Produkt / verze varianta ML-KEM DH group Poznámky
Cisco Cisco 8000 Series Secure Routers s IOS XR Release 26.1.1 ML-KEM-1024 Group 20 Vyžaduje podporu RFC 9370 a draft-ietf-ipsecme-ikev2-mlkem.
Fortinet FortiOS 7.6.6+ ML-KEM-768 Group 20 Vyžaduje podporu RFC 9370 a draft-ietf-ipsecme-ikev2-mlkem.
Fortinet FortiOS 7.6.6+ ML-KEM-1024 Group 20 Vyžaduje podporu RFC 9370 a draft-ietf-ipsecme-ikev2-mlkem.

Cloudflare průběžně testuje a ověřuje další zařízení třetích stran. Pokud se vám podařilo úspěšně nakonfigurovat post-kvantový IPsec s dodavatelem, který zde není uveden, kontaktujte tým spravující váš účet.

Podporované formáty IKE ID

Magic Transit podporuje pro IPsec následující typy IKE ID:

Název Request for Comments (RFC) ID_RFC822_ADDR

Název RFC ID_FQDN

Název RFC ID_KEY_ID

Cloudflare navíc podporuje typ IKE ID ID_IPV4_ADDR pokud jsou splněny obě následující podmínky:

  1. Nastavíte u tunelu IPsec customer_endpoint hodnota.
  2. Kombinace cloudflare_endpoint a customer_endpoint je jedinečné mezi tunely IPsec zákazníka.

Route-based oproti policy-based VPN

Ačkoli Cloudflare podporuje jak VPN založené na trasách, tak VPN založené na zásadách, doporučujeme VPN založené na trasách.

Pokud VPN založené na trasách nepřipadají v úvahu a musíte použít VPN založené na zásadách, mějte na paměti následující omezení:

Vylepšená ochrana proti downgradu (beta)

Původní návrh ověřování protokolu IKEv2 zajišťuje, že každý endpoint podepisuje pouze vlastní odchozí zprávy, nikoli celý přepis handshake. Kvantově schopný on-path útočník ↗ toho může využít k vytvoření „rozděleného pohledu“ na handshake a přimět koncové body ke snížení úrovně postkvantového připojení zpět na klasickou kryptografii, přestože obě strany podporují postkvantovou výměnu klíčů.

Chcete-li tento problém vyřešit, Cloudflare podporuje IKE_SA_INIT_FULL_TRANSCRIPT_AUTH ↗ rozšíření IKEv2. Když je zapnuté, obě strany IKEv2 při autentizační výměně podepisují celý přepis handshake, nikoli jen své vlastní zprávy. Útočník tak nemůže nepozorovaně snížit úroveň zabezpečení připojení.

Jak to funguje:

Požadavky:

Řešení potíží

Nápověda k řešení problémů s tunelem:

Network Analytics

Network Analytics od Cloudflare poskytuje téměř v reálném čase přehled o vzorcích provozu na síťové a transportní vrstvě i o útocích typu Distributed Denial of Service (DDoS), což pomáhá řešit problémy s IP provozem. Pomocí Network Analytics také můžete sledovat provoz opouštějící globální síť Cloudflare, a to přes přehled příchozího a odchozího tunelového provozu za konkrétní časové období.

Další informace najdete v tématu Analytics.

Řešení potíží

Nápověda k řešení problémů s tunelem: