VPN nativ ipsec-el

[Fried Zoltan]

Sziasztok,

Openswan-el (v2.2.1) foglalkozom egy ideje 2.6-os kernel mellett.
nativ ipsec-et hasznalva. Van egy kis elmeteti problemam a nativ ipsec
es az iptables korul.
Nem szivesen ternek vissza 2.4-es kernelhez, mert 9 linuxon kene
ezt megtennem az orszag 7 kulonbozo pontjan.
A szitut:

Openswan-al 2.2.1-es verzio sikerult egy tesztrendszeren osszehozni a
vpn-t. a tcpdump- mutatja hogy az adatok az eth0-an titkositva
jonnek-mennek.
Ugye itt nincs ipsecX iface. Ti hogyan oldottatok meg azt hogy a az
iptables-el korlatozni szurni ezeket a csomagokat? A problemam az hogy
ha - jol gondolom - akkor BAD ifacen jon good ip-rol csomag befele.
Ugyebar elvileg ezt a ronda egyen is eloidezheti. Amit lattam a
tesztrendszeren hogy pl ping eseten a cel allomason
jott a titkositott es a kibontott
csomag is az eth0-rol. namarmost ha tiltom az ilyen a kibontott (eth0)
csomagot akkor az nekem nem jo. Viszont akkor mi van a ronda egyennel.
Az is bejon? hogyan tudom kulonvalsztani a ipsecrol jovo es a nem
ipsecrol jovo csomagokat, ha iface megegyezik?
iptables igy nez ki egy ping eseten linuxrol linuxra. eth0 a bad iface.
Itt a ket sorban az SRC es DST megegyezik. A
titkositto elso resz a publikus ip, a kibontott masodik a lokalis.
Ebben az esetben megegyeznek. Gondolom.
Feb 9 17:43:51 kozpont kernel: input IN=eth0 OUT= SRC=192.168.11.1
DST=192.168.12.1 LEN=136 TOS=0x00 PREC=0x00 TTL=64 ID=59928 DF
PROTO=ESP SPI=0xabbb2193
Feb 9 17:43:51 kozpont kernel: input IN=eth0 OUT= SRC=192.168.11.1
DST=192.168.12.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=549 DF PROTO=ICMP
TYPE=8 CODE=0 ID=64054 SEQ=9474

Erositsetek meg hogy rosszul gondolok valamit!
Ha igen akkor hol gondolom rosszul?

Mas:
Egy erdekesseg, ami miatt sokat szivtam: az ipsec.conf-ban az conn
alatt az auto=start volt berakva, es az ipsec inditasakor a pluto
cannot start... -al lealt. miutan auto=add ra atirtam es kezzel
inditottam az ipsec-et mukodott.
Ez mormalis igy? ha igen miert?

Mas:
Van ra mod, hogy a KLIPS mukodjon 2.6-os kernellel es 2.2.1-es
openswan ? probaltam a openswan 2.3-as KLIPS-et lefoditva berakni
es inditva a 2.2.1-es openswan mellett, de nem titkositott.
Gondolom nem is fog. de hatha.

Elore is koszi a segitseget:
Zoli

[Geller Sandor]

Post by Fried Zoltan
Ugye itt nincs ipsecX iface. Ti hogyan oldottatok meg azt hogy a az
iptables-el korlatozni szurni ezeket a csomagokat? A problemam az hogy
ha - jol gondolom - akkor BAD ifacen jon good ip-rol csomag befele.
Ugyebar elvileg ezt a ronda egyen is eloidezheti. Amit lattam a
tesztrendszeren hogy pl ping eseten a cel allomason
jott a titkositott es a kibontott
csomag is az eth0-rol. namarmost ha tiltom az ilyen a kibontott (eth0)
csomagot akkor az nekem nem jo. Viszont akkor mi van a ronda egyennel.

Ne zavarjon a titkositatlan csomag, az nem jut ki a drotra, csak a tcpdump
mutatja. Ez a 2.6 nativ IPSEC egyik sajatsaga.

Post by Fried Zoltan
Az is bejon? hogyan tudom kulonvalsztani a ipsecrol jovo es a nem
ipsecrol jovo csomagokat, ha iface megegyezik?

Meg kell MARK-olni az alapjan, hogy milyen protokoll (esp, ah) erkezik.
Majd ha elkeszulnek a 2.6-hoz a KLIPS-szel, akkor lehet iface szintjen
szurni. Latszik is a logodban az eltero protokoll.

Post by Fried Zoltan
iptables igy nez ki egy ping eseten linuxrol linuxra. eth0 a bad iface.
Itt a ket sorban az SRC es DST megegyezik. A
titkositto elso resz a publikus ip, a kibontott masodik a lokalis.
Ebben az esetben megegyeznek. Gondolom.
Feb 9 17:43:51 kozpont kernel: input IN=eth0 OUT= SRC=192.168.11.1
DST=192.168.12.1 LEN=136 TOS=0x00 PREC=0x00 TTL=64 ID=59928 DF
PROTO=ESP SPI=0xabbb2193
Feb 9 17:43:51 kozpont kernel: input IN=eth0 OUT= SRC=192.168.11.1
DST=192.168.12.1 LEN=84 TOS=0x00 PREC=0x00 TTL=64 ID=549 DF PROTO=ICMP
TYPE=8 CODE=0 ID=64054 SEQ=9474
Erositsetek meg hogy rosszul gondolok valamit!
Ha igen akkor hol gondolom rosszul?
Egy erdekesseg, ami miatt sokat szivtam: az ipsec.conf-ban az conn
alatt az auto=start volt berakva, es az ipsec inditasakor a pluto
cannot start... -al lealt. miutan auto=add ra atirtam es kezzel
inditottam az ipsec-et mukodott.
Ez mormalis igy? ha igen miert?

Mi van a plutostart-nak beallitva?

Post by Fried Zoltan
Van ra mod, hogy a KLIPS mukodjon 2.6-os kernellel es 2.2.1-es
openswan ? probaltam a openswan 2.3-as KLIPS-et lefoditva berakni
es inditva a 2.2.1-es openswan mellett, de nem titkositott.
Gondolom nem is fog. de hatha.

2.6 es KLIPS az minimum 2.3.0 openswan. Ne keverd a 2.2.1-gyel. En meg nem
tudtam osszehozni hasznalhatoan a 2.6-ot es az openswan 2.3.0 KLIPS-et, de
az openswan listak tanusaga szerint van, akinek mukodik...

Geller Sandor <***@petra.hos.u-szeged.hu>

[Fried Zoltan]

Szia,

GS> Meg kell MARK-olni az alapjan, hogy milyen protokoll (esp, ah)
GS> erkezik.
Ezt nem ertem igazan. Hogyan ellenorzom a markot az iptablesben ? Nem
tudok ilyenrol, csak az iproute2-nel.

GS> Mi van a plutostart-nak beallitva?
A teszt alapjan ez a parameter mar nem letezik.
a manban nincs ilyen, ha berakom az ipsec.confba unknown parametert
ad.

a pontos hibauzenet ha az auto=start
Feb 11 16:16:08 kozpont ipsec__plutorun: 104 "iroda1" #2:
STATE_MAIN_I1: initiate
Feb 11 16:16:08 kozpont ipsec__plutorun: ...could not start conn
"iroda1"

az ipsec.conf-om 1 resze:
config setup
interfaces="ipsec0=eth0"
klipsdebug=none
plutodebug=none
uniqueids=yes
forwardcontrol=yes

conn %default
keyingtries=0
disablearrivalcheck=no
authby=rsasig

conn iroda1
type=tunnel
left=192.168.12.1
leftsubnet=192.168.12.0/24
leftid="C=HU, ST=NA, ..."
leftcert=kozpont_cert.pem
leftrsasigkey=%cert
right=192.168.11.1
rightsubnet=192.168.11.0/24
rightid="C=HU, ST=NA, ..."
rightcert=iroda1_cert.pem
rightrsasigkey=%cert
auto=add
pfs=no

GS> 2.6 es KLIPS az minimum 2.3.0 openswan. Ne keverd a 2.2.1-gyel.
GS> En meg nem
GS> tudtam osszehozni hasznalhatoan a 2.6-ot es az openswan 2.3.0
GS> KLIPS-et, de
GS> az openswan listak tanusaga szerint van, akinek mukodik...
nem fogom keverni. teszt keppen kiprobaltam a 2.3.0-t KLIPS-el es ugy
tunik mukodik. Mit ertesz az alatt hogy "hasznalhatoan" ?

egy masik listan Ipsec policy-t javasoltak a megoldasra.
korbeneztem a doksik korul es lehet hogy velem van a baj, de nem latom
hogy mi micsoda, valamint ugy tunik, hogy nativ ipsec meg nem
tamogatja. Persze lehet hogy rosszul latom, de pl az ipsec eroute
hibat ad vissza es valahol mintha olvastam is volna errol.

elore is koszi
Zoli