Benutzer:Zim/UML - IPsec - Versionsgeschichte

Zim am 23. Januar 2009 um 06:26 Uhr

2009-01-23T06:26:32Z

← Nächstältere Version		Version vom 23. Januar 2009, 06:26 Uhr
Zeile 300:		Zeile 300:
	# /etc/racoon/racoon.conf		# /etc/racoon/racoon.conf

			# file mit den pre-shared keys
	path pre_shared_key "/etc/racoon/psk.txt";		path pre_shared_key "/etc/racoon/psk.txt";

	# path certificate "/etc/racoon/certs";		# path certificate "/etc/racoon/certs";

Zim am 23. Januar 2009 um 06:11 Uhr

2009-01-23T06:11:49Z

← Nächstältere Version		Version vom 23. Januar 2009, 06:11 Uhr
Zeile 332:		Zeile 332:
	}		}

			racoon uebernimmt nun die funktion der SAD. also brauchen wir noch policys:

			#!/usr/sbin/setkey -f
			flush;
			spdflush;

			spdadd 192.168.10.1 192.168.10.2 any -P out ipsec
			esp/transport//require;
			spdadd 192.168.10.2 192.168.10.1 any -P in ipsec
			esp/transport//require;

			und wieder fertig! Achso, bevor ich es wieder vergesse: racoon benutzt port 500 fuer den schluesselaustausch.

	kommende themen:		kommende themen:

Zim am 23. Januar 2009 um 06:03 Uhr

2009-01-23T06:03:36Z

← Nächstältere Version		Version vom 23. Januar 2009, 06:03 Uhr
Zeile 280:		Zeile 280:

	Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.		Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.

			IKE:

			erstmal racoon:

			fuer racoon braucen wir zwei configs, /etc/racoon/psk.txt und /etc/racoon/racoon.conf.

			/etc/racoon/psk.txt enthaelt einen pre-shared key (spaeter machen wir da zertifikate rein) fuer jede gegenstelle:

			# /etc/racoon/psk.txt
			192.168.10.2 password2
			# USER_FQIN
			# foo@kame.net asdöfunrf
			# FQDN
			# foo.kame.net fqdnkey

			die eigentliche config ist racoon.conf

			# /etc/racoon/racoon.conf

			path pre_shared_key "/etc/racoon/psk.txt";
			# path certificate "/etc/racoon/certs";

			remote anonymous
			{
			exchange_mode aggressice,main;
			doi ipsec_doi;
			situation identity_only;

			my_identdifier address;

			lifetime time 2 min;
			initial_contact on;
			proposal_check obay;

			proposal {
			encryption_algorithm 3des;
			bash_algorithm sha1;
			authentication_method pre_shared_key;
			dh_group 2;
			}
			}

			sainfo anonymous
			{
			pfs_group 1;
			lifetime time 2 min;
			encryption_algorithm 3des;
			authentication_algorithm hmac_sha1;
			compression_algorithm deflate;
			}

Zim: ip_forward

2009-01-23T05:37:06Z

ip_forward

← Nächstältere Version		Version vom 23. Januar 2009, 05:37 Uhr
Zeile 75:		Zeile 75:
	"quagga" koennen wir ja mal zu einem anderen Thema machen. Zusammen mit Routing.		"quagga" koennen wir ja mal zu einem anderen Thema machen. Zusammen mit Routing.

			# echo 1 > /proc/sys/net/ipv4/ip_forward

	IPsec:		IPsec:

Zim am 22. Januar 2009 um 22:20 Uhr

2009-01-22T22:20:53Z

← Nächstältere Version		Version vom 22. Januar 2009, 22:20 Uhr
Zeile 279:		Zeile 279:

	Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.		Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.


			kommende themen:
			IKE, racoon, ikakmpd
			host mit dynamischer IP
			ipv6

Zim am 22. Januar 2009 um 21:08 Uhr

2009-01-22T21:08:26Z

← Nächstältere Version		Version vom 22. Januar 2009, 21:08 Uhr
Zeile 264:		Zeile 264:

	Zeile 12 und 13:		Zeile 12 und 13:
	+ -m tunnel -A hmac-md5 "1234567890123456"		+ -m tunnel -A hmac-md5 "1234567890123456"

	Zeile 15 und 18 - achtung, reichenfolge beachten!		Zeile 15 und 18 - achtung, reichenfolge beachten!
	- 192.168.10.1 192.168.10.2 - IP adressen der Router		- 192.168.10.1 192.168.10.2 - IP adressen der Router
	+ 192.168.20.0/24 192.168.30.0/24 - IP bereich der hostnetze		+ 192.168.20.0/24 192.168.30.0/24 - IP bereich der hostnetze
	Zeile 16 und 18		Zeile 16 und 18
	- transport		- transport
	+ tunnel		+ tunnel
	+ 192.168.10.1-192.168.10.2 - IP adressen der Router		+ 192.168.10.1-192.168.10.2 - IP adressen der Router

	Und schonwieder fertig! Aber Achtung, jetzt wird wiederum nur der Traffic zwischen den hostnetzen verschluesselt. Von Router zu Router oder Router zu Host ist wieder unverschluesselt.		Und schonwieder fertig! Aber Achtung, jetzt wird wiederum nur der Traffic zwischen den hostnetzen verschluesselt. Von Router zu Router oder Router zu Host ist wieder unverschluesselt.

Zim am 22. Januar 2009 um 21:04 Uhr

2009-01-22T21:04:34Z

← Nächstältere Version		Version vom 22. Januar 2009, 21:04 Uhr
Zeile 275:		Zeile 275:

	Und schonwieder fertig! Aber Achtung, jetzt wird wiederum nur der Traffic zwischen den hostnetzen verschluesselt. Von Router zu Router oder Router zu Host ist wieder unverschluesselt.		Und schonwieder fertig! Aber Achtung, jetzt wird wiederum nur der Traffic zwischen den hostnetzen verschluesselt. Von Router zu Router oder Router zu Host ist wieder unverschluesselt.

			Sollte das Beispiel nicht funktionieren, schaut nach, ob ihr irgendwo eine IP falsch habt bzw ob sie an der richtigen Stelle local-ip vs remote-ip steht.

	Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.		Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.

Zim am 22. Januar 2009 um 21:02 Uhr

2009-01-22T21:02:18Z

← Nächstältere Version		Version vom 22. Januar 2009, 21:02 Uhr
Zeile 217:		Zeile 217:

	discard, none, ipsec - was die Regel macht, aehnlich dem target in iptables		discard, none, ipsec - was die Regel macht, aehnlich dem target in iptables


			Tunnel

	Machen wir mal mit einem Tunnel weiter, der die beiden Hostnetze an den Routern miteinander verbindet.		Machen wir mal mit einem Tunnel weiter, der die beiden Hostnetze an den Routern miteinander verbindet.

			Wir nehmen mal die obere config und aendern die wichtigen Stellen:

			1 #!/usr/sbin/setkey -f
			2 # config Router Bravo
			3
			4 flush;
			5 spdflush;
			6
			7 # AH
			8 add 192.168.10.1 192.168.10.2 ah 24500 -A hmac-md5 "1234567890123456";
			9 add 192.168.10.2 192.168.10.1 ah 24500 -A hmac-md5 "1234567890123456";
			10
			11 # ESP
			12 add 192.168.10.1 192.168.10.2 esp 24501 -E 3des-cbc "123456789012123456789012";
			13 add 192.168.10.2 192.168.10.1 esp 24501 -E 3des-cbc "123456789012123456789012";
			14
			15 spdadd 192.168.10.1 192.168.10.2 any -P in ipsec
			16 esp/transport//require
			17 ah/transport//require;
			18 spdadd 192.168.10.2 192.168.10.1 any -P out ipsec
			19 esp/transport//require
			20 ah/transport//require;

			Da wir nur verschluesseln wollen, werfen wir mal die zeilen fuer AH raus, fuegen dafuer die AH-parameter in die esp-zeilen ein!

			1 #!/usr/sbin/setkey -f
			2 # config Router Bravo
			3
			4 flush;
			5 spdflush;
			6
			11 # ESP
			12 add 192.168.10.1 192.168.10.2 esp 24501 -m tunnel -E 3des-cbc "123456789012123456789012" -A hmac-md5 "1234567890123456";
			13 add 192.168.10.2 192.168.10.1 esp 24501 -m tunnel -E 3des-cbc "123456789012123456789012" -A hmac-md5 "1234567890123456";
			14
			15 spdadd 192.168.20.0/24 192.168.30.0/24 any -P in ipsec
			16 esp/tunnel/192.168.10.1-192.168.10.2/require;
			18 spdadd 192.168.30.0/24 192.168.20.0/24 any -P out ipsec
			19 esp/tunnel/192.168.10.2-192.168.10.1/require;

			Zeile 12 und 13:
			+ -m tunnel -A hmac-md5 "1234567890123456"

			Zeile 15 und 18 - achtung, reichenfolge beachten!
			- 192.168.10.1 192.168.10.2 - IP adressen der Router
			+ 192.168.20.0/24 192.168.30.0/24 - IP bereich der hostnetze
			Zeile 16 und 18
			- transport
			+ tunnel
			+ 192.168.10.1-192.168.10.2 - IP adressen der Router

			Und schonwieder fertig! Aber Achtung, jetzt wird wiederum nur der Traffic zwischen den hostnetzen verschluesselt. Von Router zu Router oder Router zu Host ist wieder unverschluesselt.

			Langsam zeichnet sich ab, dass eine komplexe Installation sehr umfassend werden wird. Deshalb kommt als naechster Punkt IKM zum automatisiertem Schluesseltausch.

Zim am 22. Januar 2009 um 20:48 Uhr

2009-01-22T20:48:23Z

@@ Zeile 48: / Zeile 48: @@
 UML-Switch 2:
 - Hostnetze
@@ Zeile 54: / Zeile 73: @@
 Auf den Routern (Alpha, Bravo) laeuft "quagga" mit ospf als routing-protocol. Kann man natuerlich auch mit statischen Routen machen, aber das waere ja langweilig.
@@ Zeile 87: / Zeile 106: @@
 add <local_ip> <remote_ip> <ah/esp> <SPI> <-A fuer AH (authentification), -E fuer ESP (encryption)> <key>
-Die erste Zeile legt also einen key (128bit, 16*8bit) fuer AH fest, die zweite eine key (192bit) fuer ESP. Die dritte Zeile enthaelt eine policy, wie mit entsprechenden Traffic umgegangen werden soll.
+Die erste Zeile legt also einen key (128bit, 16*8bit) fuer AH fest, die zweite eine key (192bit, 168 + 24 parity) fuer ESP. Die dritte Zeile enthaelt eine policy, wie mit entsprechenden Traffic umgegangen werden soll.
 Damit die Paket von der Gegenseite entschluesselt/verifiziert werden koennen reichen auf Router Bravo folgende Zeilen:
@@ Zeile 151: / Zeile 170: @@
 Die configs sind gleich, bis auf die geaenderte Richtung in der jeweiligen policy. Das "flush" und "spdflush" wirft nur alte keys und policys raus. Tadaa, deine erste IPsec-Verbindung ist fertig!

Zim am 22. Januar 2009 um 19:53 Uhr

2009-01-22T19:53:29Z

@@ Zeile 78: / Zeile 78: @@
 Auf beiden Routern werden "ipsec-tools" installiert. Diese Paket stellt die Anwendung "setkey" zur verfuegung.
  #!/usr/sbin/setkey -f
  add 192.168.10.1 192.168.10.2 ah 24500 -A hmac-md5 "1234567890123456";
@@ Zeile 92: / Zeile 91: @@
 Damit die Paket von der Gegenseite entschluesselt/verifiziert werden koennen reichen auf Router Bravo folgende Zeilen:
  #!/usr/sbin/setkey -f
  add 192.168.10.1 192.168.10.2 ah 24500 -A hmac-md5 "1234567890123456";
@@ Zeile 98: / Zeile 96: @@
 Da wir fuer den zweiten Router keine policy angelegt haben, werden die Pakete von Alpha zwar entschluesselt, aber Antworten gehen unverschluesselt uebers Netz. Viel schliemmer ist aber, dass Bravo beliebige Pakete von Alpha annimmt. Damit die Pakete auch verschluesselt werden, fuegen wir noch eine policy hinzu: