No title

BAB IV IMPLEMENTASI DAN PENGUJIAN

4.1. Implementasi GETVPN 4.1.1. Konfigurasi Key Server Saat pertama kali melakukan instalasi router untuk menjadi key server perlu dilakukan global config yang menjadi standar perusahaan tersebut. Seperti konfigurasi hostname, password, dan SSH.

Gambar 4.0.1 general config

Sebelum konfigurasi GETVPN, generate RSA key nya agar bisa dipakai selama proses rekey. Masukan command crypto key generate rsa label GETVPN_REKEY-RSA modulus 2048 exportable, command ini akan meng-generate RSA key di Key Server, command ‘exportable’ akan membuat key diijinkan untuk di export dan dimasukan ke Secondary Key Server untuk proses verifikasi

Gambar 4.0.2 membuat crypto

37 1

http://digilib.mercubuana.ac.id/

2

Masukan command crypto key export rsa GETVPN-REKEY-RSA pem terminal 3des meruya123. Command ini digunakan untuk mengexport RSA key dari Primary Key Server ke format PEM(PrivacyEnhanced Mail). Disarankan untuk meng-copy paste melalui console Key Server dan menyimpan file tersebut di directory yang aman. Public dan Private key ini digunakan untuk membuat Secondary Key Server baru atau jika diperlukan, bisa digunakan untuk membuat ulang Primary Key Server.

Gambar 4.0.3 export RSA key


3

Konfigurasi Key Server Policies ISAKMP policy yang digunakan untuk GET VPN sebagai berikut: •

Advanced Encryption Standard (AES)

•

Secure Hash Standard (SHA)

•

Diffie-Hellman Group: 5 (untuk KS)

•

Diffie-Hellman Group: 2 (untuk GM)

•

IKE lifetime: 86400 (default - used for KS)

•

IKE lifetime: 1200 (used for GM)

Step 1: Membuat policy ISAKMP untuk COOP Key Server, parameter yang diinput harus sama di Key Server maupun Group Member. Define ISAKMP policy untuk COOP KS. crypto isakmp policy 10 encryption aes group 5 authentication pre-share

Gambar 4.0.4 Membuat Policy ISAKMP

Step 2: Membuat policy ISAKMP untuk Group member. crypto isakmp policy 15 encryption aes group 2 lifetime 1200 authentication pre-share


4

Gambar 4.0.5 membuat ISAKMP GM

Step 3: Konfigurasi PSK key. Agar proses authentikasi IKE(Internet Key Exchange) bisa berjalan maka remote peer PSK harus sama dengan local peer PSK

Gambar 4.0.6 Konfigurasi PSK key

Step 4: Membuat Profile GETVPN dengan memasangkan transform set ke profil GETVPN

Gambar 4.0.7 Profil GETVPN

Step 5: Membuat Group dengan konfigurasi parameter GETVPN GDOI. Masingmasing group yang dikonfigurasi di Key Server membutuhkan Group id yang unik

Gambar 4.0.8 membuat parameter konfigurasi


5

Step 6: Menbuat server local dengan menentukan perangkat sebagai GDOI Key Server dan menentukan parameter yang akan digunakan untuk proses rekey.

Gambar 4.0.9 menentukan GDOI

Step 7: Membuat IPsec SA dengan konfigurasi IP Sec profile dan aturan keamanan.

Gambar 4.0.10 Membuat IPsec SA

Step 8: Konfigurasi prioritas untuk redudansi dan alamat peer pada Key Server, nilai prioritas yang lebih tinggi akan membuat router bertindak sebagai primary Key Server.

Gambar 4.0.11 Konfigurasi Prioritas


6

4.1.2.

Konfigurasi COOP server

Sebelum konfigurasi Secondary Key Server, diharuskan untuk konfigurasi RSA key dengan menginput command ‘crypto key import rsa GETVPN_key

exportable

terminal

meruya123’.

Langkah

ini

membutuhkan public key dan private key yang telah digenerate di primary Key Server sebelumnya, caranya dengan meng-copy-paste key ke space yang telah disediakan. Apabila proses import key yang telah berhasil, maka akan muncul notifikasi ‘Key pair import succeded’


7

Gambar 4.0.12 import RSA key

Step 1: Membuat policy ISAKMP untuk COOP Key Server, parameter yang diinput harus sama baik dari Key Server maupun Group Member. Define ISAKMP policy untuk COOP KS. crypto isakmp policy 10 encryption aes group 5 authentication pre-share


8

Gambar 4.0.13 membuat ISAKMP Policy

Step 2: Membuat policy ISAKMP untuk Group member.

Gambar 4.0.14 Membuat policy ISAKMP GM

Step 3: Konfigurasi PSK key. Agar proses authentikasi IKE(Internet Key Exchange) bisa berjalan maka remote peer PSK harus sama dengan local peer PSK

Gambar 4.0.15 membuat PSK Key

Step 4: Membuat Profile GETVPN dengan memasangkan transform set ke profil GETVPN

Gambar 4.0.16 Membuat Profile GETVPN


9

Step 5: Membuat Group dengan konfigurasi parameter GETVPN GDOI. Masingmasing group yang dikonfigurasi di Key Server membutuhkan Group id yang unik

Gambar 4.0.17 membuat parameter GDOI

Step 6: Menbuat server local dengan menentukan perangkat sebagai GDOI Key Server dan menentukan parameter yang akan digunakan untuk proses rekey.

Gambar 4.0.18 membuat GDOI server

Step 7: Membuat IPsec SA dengan konfigurasi IP Sec profile dan aturan keamanan.

Gambar 4.0.19 membuat IPsec SA

Step 8: Konfigurasi prioritas untuk redudansi dan alamat peer pada Key Server, nilai prioritas yang lebih tinggi akan membuat router bertindak sebagai primary Key Server.


10

Gambar 4.0.20 menentukan priority secondary server

4.1.3.

Konfigurasi Group Member (GM)

GM disini adalah beberapa Router cabang yang dikelompokkan. GM bergabung dengan KS untuk mendapatkan IPSec SA dan kunci enkripsi yang diperlukan untuk mengenkripsi lalu lintas. Selama pendaftaran, GM memberikan ID group ke KS untuk mendapatkan policy dan keys untuk grup. Karena sebagian besar pengaturan ada pada KS, konfigurasi pada GM relatif sederhana dan hampir identik di semua GM. Prosedur ini mengasumsikan bahwa semua konfigurasi konektivitas dasar (seperti rute default, protokol routing, dll) yang sudah diatur. Step 1: Membuat Policy pada router cabang

Gambar 4.0.21 membuat policy router cabang

Step 2: Membuat PSK untuk redundancy dengan menambahkan address ke IP Primary dan Secondary Key Server untuk redundancy Key Server.

Gambar 4.0.22 membuat PSK key


11

Step 3: Membuat GETVPN group dengan redundancy dengan menambahkan server address ke IP Secondary Key Server. IPSec transformasi-set dan konfigurasi profil tidak perlu lagi diatur di GM. Parameter ini di-download dari KS ketika GM berhasil terdaftar dengan KS. Sebuah GM perlu mendefinisikan hanya identitas kelompok GDOI dan alamat KS.

Gambar 4.0.23 membuat GETVPN group

Step 4: Membuat GETVPN map dan memasangkan profile GETVPN yang telah dibentuk sebelumnya

Gambar 4.0.24 memasang GETVPN map


12

4.2. PENGUJIAN 4.2.1. Uji Coba Authentikasi GETVPN “show crypto isakmp sa” merupakan sebuah cara untuk melihat keberhasilan IKE phase 1. Dengan melihat state yang terbentuk pada router di setiap cabang yang ada, kita bisa melakukan verifikasi apakah proses authentikasi sudah berjalan dengan baik atau belum

Gambar 4.0.25 ISAKMP Key Server

Pada router KS-UMB-01 yang berfungsi sebagai Key Server primary, terlihat bahwa primary Key Server sudah berhasil membentuk koneksi VPN seluruh IP yang ada di kolom “src” yang mewakili IP jaringan LAN di setiap cabang yang ada. Ada 2 jenis state yang bisa terlihat pada “show crypto isakmp sa” yaitu MM_NO_STATE

dan

GDOI_IDLE.

GDOI_IDLE

menandakan

proses

authentikasi antar setiap IP yang terlibat sudah berjalan dengan baik. Dari gambar di atas terlihat bahwa semua state yang terbentuk dari primary Key Server ke semua cabang yang ada adalah GDOI_IDLE. Berarti proses authentikasi atau IKE phase 1 antara primary Key Server, secondary Key Server, dan seluruh router cabang sudah berjalan dengan sempurna. Proses verifikasi IKE phase 1 atau authentikasi tidak hanya dilakukan di kantor pusat, tetapi juga di seluruh cabang yang ada. Pada “show crypto isakmp sa” di kantor cabang. dapat terlihat bahwa semua sudah berhasil membentuk authentikasi ke 10.10.10.1 yang mewakili IP primary Key Server


13

Gambar 4.0.26 ISAKMP Cabang bandung

Gambar 4.0.27 ISAKMP cabang Medan

Gambar 4.0.28 ISAKMP Cabang Menado


14

4.2.2. Uji Coba IKE Phase 2 GETVPN Capture GDOI – GETVPN

Gambar 4.0.29 GDOI Key Server Jakarta


15

Gambar 4.0.30 GDOI Group member Bandung


16

Gambar 4.0.31 GDOI Group member Medan


17

Gambar 4.0.32 GDOI Group member Menado

Dari hasil ’show crypto GDOI’ di semua router cabang, terlihat bahwa semuanya sudah berhasil membaca 10.10.10.1 dan 20.20.20.1 di dalam server list. Dimana kedua IP tersebut adalah IP primary dan secondary Key Server di kantor pusat. Disamping itu dari show crypto GDOI mereka juga sudah berhasil melakukan download terhadap policy yang dibentuk dari Key Server. Dengan melihat hasil tersebut dapat dipastikan bahwa IKE phase 2 sudah berhasil terbentuk dan semua data yang lewat di jalur tersebut sudah terjamin keamanannya.


18

4.2.3. Uji Coba Failover

Gambar 4.0.33 GDOI Key Server 1

Pada saat semua peralatan berfungsi dengan baik, router KS-UMB-01 berfungsi sebagai Key Server primary. Hal ini dibuktikan dengan Local KS Role pada show crypto GDOI adalah primary. Dengan fungsinya sebagai primary Key


19

Server, router KS-UMB-01 berhasil membentuk IKE phase 1 dengan kantorkantor cabang.

Gambar 4.0.34 GDOI Secondary Server

Ketika primary Key Server masih berfungsi dengan baik, router KS-UMB02 hanya berfungsi sebagai backup. Hal ini dibuktikan dengan Local KS Role pada show crypto GDOI adalah secondary. Router tersebut hanya akan mengganti Local KS Role menjadi Primary ketika konektivitas dengan router KS-UMB-01 tidak dapat dicapai. Dengan fungsinya sebagai secondary Key Server, router ini


20

hanya membentuk IKE phase 1 antara 10.10.10.1 dengan 20.20.20.1 yang merupakan IP di primary Key Server.. Pada primary dan secondary Key Server sama-sama terdapat access list GETVPN-POLICY-ACL yang nantinya akan di distribusikan kepada seluruh Group Member yang berhasil mendaftarkan diri ke dalam GETVPN_group.

Gambar 4.0.35 ACL yang telah di download


21

Bandung merupakan salah satu cabang dari perusahaan PT. XYZ yang harus terdaftar sebagai Group Member. Untuk memastikan apakah router dengan hostname Bandung berhasil mendaftarkan diri mereka sebagai Group Member dalam GETVPN_group maka ada 2 hal yang perlu diperhatikan : 1. Pada show crypto isakmp sa harus dipastikan terbentuknya koneksi antara 30.30.30.1 yang mewakili LAN di kota Bandung dengan 10.10.10.1 yang merupakan IP Key Server untuk router dengan saat ini berfungsi sebagai primary Key Server. Ketika koneksi berhasil state yang terbentuk harus GDOI_IDLE.

Pada show crypto GDOI harus dipastikan bahwa router Bandung harus berhasil men-download ACL GETVPN-POLICY-ACL yang dikirimkan oleh primary Key Server 10.10.10.1 Ketika terjadi masalah dengan primary Key Server, Router KS-UMB-02 yang berfungsi sebagai secondary langsung mengambil alih fungsi dan tugas dari primary Key Server. Hal ini dapat dilihat melalui beberapa indikator. 1. Pada show crypto GDOI dapat dilihat Local KS Role dari router tersebut berubah dari secondary menjadi primary. Pada show crypto isakmp sa router ini menghapus konektivitas dengan primary Key Server yang lama yaitu 10.10.10.1 dengan mengubah state menjadi MM_NO_STATE. Router KS-UMB-02 mengambil alih tugas dan tanggung jawab sebagai primary Key Server dengan membentuk konektivitas dengan cabangcabang.


22

Gambar 4.0.36 secondary key server berubah menjadi primary

Melalui percobaan di atas membuktikan bahwa sistem telah memenuhi aspek redundansi yang merupakan salah satu komponen penting dalam design.


No title

Recommend Documents