VPN MIT OPENSWAN. Im Folgenden wird die Konfiguration zur IPSEC-Anbindung an einen Server mittles Openswan beschrieben.

Transkript

1 VPN MIT OPENSWAN 1 ALLGEMEINES Im Folgenden wird die Konfiguration zur IPSEC-Anbindung an einen Server mittles Openswan beschrieben. Der Autor übernimmt keine Garantie und keine Verantwortung für die in diesem Dokument beschriebenen Vorgehensweisen. Vor jeglichen Änderungen am System sollte unbedingt ein Backup des Systems durchgeführt werden. Voraussetzung ist das gründliche Studium der Anleitung configuring an ipsec tunnel between openswan and windows 2000/xp von Nate Carlson, zu finden unter Für das tiefere Verständnis hilfreich ist das Buch VPN mit Linux von Ralf Spenneberg. Verwendet wurde die SuSE Distribution 10.0 Weiterhin benötigt man von Marcus Müller das Windows 2000 VPN Tool, zu finden unter und von Microsoft das Windows 2000 ipesecpol.exe bzw. ipseccmd.exe Tool. Achtung: Bei XP mit Service Pack 1 kann das Tool von der Installations-CD aus dem Verzeichnis Support Tools verwendet werden. Für SP2 muß man sich dieses Tools bei MS herunterladen, nach einem kleinen Gültigkeitscheck ;-) Besondere Stolperfalle ist die Gültigkeit (Beginn und Ablauf) von Zertifikaten. In der Literatur (siehe Anhang) wird viel von right und left gesprochen. Als einfache Eselbrücke kann man sich merken, das left immer die lokale Maschine ist und right die Remote-Maschine. 2 ZERTIFIKATE Nach der Installation von Openswan und Openssl wird zuerst das Zertifikat der rootca erstellt. Da man zuerst immer eine rootca erstellt und erst dann Benutzerzertifikate erstellen kann, muß man darauf achten das die rootca immer länger gültig ist als ein Benutzerzertifikat. Wenn man die Gültigkeit für die rootca auf 10 Jahre setzt und ebenfalls für ein Benutzerzertifikat, dann ist das Benutzertzertifkat länger gültig als das der rootca (und wenn es nur die Minuten sind die man zur Erstellung eines Benutzerzertifikates benötigt) und man bekommt keine Verbindung zu Stande! Setzt man die Werte für die Gültigkeit der rootca zu hoch kann es ebenfalls Probleme geben. Seite 1 von 12

2 Sinnvoll sind für die rootca Werte zwischen Jahren. 2.1 OPENSSL.CNF Zuerst wird unter /etc/ssl/openssl.cnf die Gültigkeit der Benutzerzertifikate gesetzt, im Beispiel auf 10 Jahre gleich 3650 Tage. OpenSSL example configuration file. This is mostly being used for generation of certificate requests. This definition stops the following lines choking if HOME isn't defined. HOME =. RANDFILE = $ENV::HOME/.rnd Extra OBJECT IDENTIFIER info: oid_file = $ENV::HOME/.oid oid_section = new_oids To use this configuration file with the "-extfile" option of the "openssl x509" utility, name here the section containing the X.509v3 extensions to use: extensions = (Alternatively, use a configuration file that has only X.509v3 extensions in its main [= default] section.) [ new_oids ] We can add new OIDs in here for use by 'ca' and 'req'. Add a simple OID like this: testoid1= Or use config file substitution like this: testoid2=${testoid1}.5.6 [ ca ] default_ca = CA_default The default ca section [ CA_default ] dir =./democa Where everything is kept certs = $dir/certs Where the issued certs are kept crl_dir = $dir/crl Where the issued crl are kept database = $dir/index.txt database index file. unique_subject = no Set to 'no' to allow creation of several ctificates with same subject. new_certs_dir = $dir/newcerts default place for new certs. certificate = $dir/cacert.pem The CA certificate serial = $dir/serial The current serial number crlnumber = $dir/crlnumber the current crl number must be commented out to leave a V1 CRL crl = $dir/crl.pem The current CRL private_key = $dir/private/cakey.pem The private key RANDFILE = $dir/private/.rand private random number file x509_extensions = usr_cert The extentions to add to the cert Comment out the following two lines for the "traditional" (and highly broken) format. name_opt = ca_default Subject Name options Seite 2 von 12

3 cert_opt = ca_default Certificate field options Extension copying option: use with caution. copy_extensions = copy Extensions to add to a CRL. Note: Netscape communicator chokes on V2 CRLs so this is commented out by default to leave a V1 CRL. crlnumber must also be commented out to leave a V1 CRL. crl_extensions = crl_ext default_days = 3650 how long to certify for default_crl_days = 30 how long before next CRL default_md = md5 which md to use. preserve = no keep passed DN ordering A few difference way of specifying how similar the request should look For type CA, the listed attributes must be the same, and the optional and supplied fields are just that :-) policy = policy_match For the CA policy [ policy_match ] countryname = match stateorprovincename = match organizationname = match organizationalunitname = optional commonname = supplied address = optional For the 'anything' policy At this point in time, you must list all acceptable 'object' types. [ policy_anything ] countryname = optional stateorprovincename = optional localityname = optional organizationname = optional organizationalunitname = optional commonname = supplied address = optional [ req ] default_bits = 1024 default_keyfile = privkey.pem distinguished_name = req_distinguished_name attributes = req_attributes x509_extensions = v3_ca The extentions to add to the self signed cert Passwords for private keys if not present they will be prompted for input_password = secret output_password = secret This sets a mask for permitted string types. There are several options. default: PrintableString, T61String, BMPString. pkix : PrintableString, BMPString. utf8only: only UTF8Strings. nombstr : PrintableString, T61String (no BMPStrings or UTF8Strings). MASK:XXXX a literal mask value. WARNING: current versions of Netscape crash on BMPStrings or UTF8Strings so use this option with caution! string_mask = nombstr req_extensions = v3_req The extensions to add to a certificate request [ req_distinguished_name ] countryname = Country Name (2 letter code) Seite 3 von 12

4 countryname_default = DE countryname_min = 2 countryname_max = 2 stateorprovincename stateorprovincename_default localityname localityname_default 0.organizationName 0.organizationName_default = State or Province Name (full name) = NRW = Locality Name (eg, city) = Meinestadt = Organization Name (eg, company) = Firma we can do this but it is not needed normally :-) 1.organizationName = Second Organization Name (eg, company) 1.organizationName_default = World Wide Web Pty Ltd organizationalunitname organizationalunitname_default = Organizational Unit Name (eg, section) = Verkauf commonname = Common Name (eg, YOUR name) commonname_max = 64 commonname_default = RootCA address = Address address_max = 64 adress_default = ansprech.partner@firma.de SET-ex3 = SET extension number 3 [ req_attributes ] challengepassword = A challenge password challengepassword_min = 4 challengepassword_max = 20 unstructuredname = An optional company name *** Schnipp **** 2.2 CA.SH Unter /usr/share/ssl/misc/ wird in der CA.sh die Gültigkeit für die rootca auf 20 Jahre gesetzt DAYS=7300.!/bin/sh CA - wrapper around ca to make it easier to use... basically ca requires some setup stuff to be done before you can use it and this makes things easier between now and when Eric is convinced to fix it :-) CA -newca... will setup the right stuff CA -newreq... will generate a certificate request CA -sign... will sign the generated request and output At the end of that grab newreq.pem and newcert.pem (one has the key and the other the certificate) and cat them together and that is what you want/need... I'll make even this a little cleaner later. 12-Jan-96 tjh Added more things... including CA -signcert which converts a certificate to a request and then signs it. 10-Jan-96 eay Fixed a few more bugs and added the SSLEAY_CONFIG environment variable so this can be driven from Seite 4 von 12

5 a script. 25-Jul-96 eay Cleaned up filenames some more. 11-Jun-96 eay Fixed a few filename missmatches. 03-May-96 eay Modified to use 'ssleay cmd' instead of 'cmd'. 18-Apr-96 tjh Original hacking Tim Hudson tjh@cryptsoft.com default openssl.cnf file has setup as per the following democa... where everything is stored if [ -z "$OPENSSL" ]; then OPENSSL=openssl; fi DAYS="-days 7300" REQ="$OPENSSL req $SSLEAY_CONFIG" CA="$OPENSSL ca $SSLEAY_CONFIG" VERIFY="$OPENSSL verify" X509="$OPENSSL x509" CATOP=./demoCA CAKEY=./cakey.pem CACERT=./cacert.pem *** Schnipp *** 2.3 ERSTELLEN DER ROOTCA Im Verzeichnis /usr/share/ssl/misc/./ca.sh -newca ausführen. Dies erstellt im Unterverzeichnis democa die cacert.pem Das Password hier wird immer wieder für alle Zertifikate benötigt! Revocationlist erstellen Im Verzeichnis /usr/share/ssl/misc/ mittels openssl ca gencrl out crl.pem erstellt man eine Revocationlist, die zurückgezogene Zertifikate deaktiviert. Seite 5 von 12

6 2.4 ERSTELLEN EINES ZERTIFIKATES Im Verzeichnis /usr/share/ssl/misc/ erstellt man Zertifikate mit:./ca.sh newreq Das hier abgefragte Password wird für das jeweilige Zertifakt benötigt! Die voreingestellten Daten aus der /etc/ssl/openssl.cnf werden hier als Vorschlag angegeben und sind für jedes Zertifikat anzupassen. Durch obigen Aufruf entsteht im aktuellen Verzeichnis die newreq.pem Die signieren wir nun durch:./ca.sh sign dadurch entsteht die Datei newcert.pem Die Dateien newcert.pem und newreq.pem werden in sprechendere Namen umkopiert: cp newcert.pem test.pem cp newreq.pem test.key Für Windows-Rechner muß das Zertifikat noch in das p12-format gebracht werden: openssl pkcs12 export in test.pem inkey test.key certfile democa/cacert.pem out test.p12 Das hierbei abgefragte Export-Password wird für den Import auf der Windows-Maschine benötigt! 2.5 INSTALLIEREN DER ZERTIFIKATE cp /usr/share/ssl/misc/test.key /etc/ipsec.d/private cp /usr/share/ssl/misc/test.pem /etc/ipsec.d/certs cp /usr/share/ssl/misc/democa/cacert.pem /etc/ipsec.d/cacerts cp /usr/share/ssl/misc/crl.pem /etc/ipsec.d/crls/crl.pem 2.6 KONFIGURATION DER IPSEC.SECRETS Im Verzeichnis /etc editieren der Datei ipsec.secrets und einfügen einer Zeile : RSA test.key password Seite 6 von 12

7 Für weitere Verbindungen: : RSA test2.key password2 : RSA test3.key 3password 2.7 KONFIGURATION DER IPSEC.CONF Im Verzeichnis /etc editieren der Datei ipsec.conf und ergänzen von: /etc/ipsec.conf - Openswan IPsec configuration file RCSID $Id: ipsec.conf.in,v /07/26 12:28:39 ken Exp $ This file: /usr/share/doc/packages/openswan/ipsec.conf-sample Manual: ipsec.conf.5 version 2.0 conforms to second version of ipsec.conf specification basic configuration config setup plutodebug / klipsdebug = "all", "none" or a combation from below: "raw crypt parsing emitting control klips pfkey natt x509 private" eg: plutodebug="control parsing" Only enable klipsdebug=all if you are a developer NAT-TRAVERSAL support, see README.NAT-Traversal nat_traversal=yes virtual_private=%v4: /8,%v4: /16,%4: /12 Certificate Revocation List handling: crlcheckinterval=600 strictcrlpolicy=yes Change rp_filter setting? (default is 0, disabled) See also setting in the /etc/sysctl.conf file! rp_filter=%unchanged Workaround to setup all tunnels immediately, since the new default of "plutowait=no" causes "Resource temporarily unavailable" errors for the first connect attempt over each tunnel, that is delayed to be established later / on demand. interfaces=%defaultroute plutowait=yes default settings for connections conn %default keyingtries default to %forever keyingtries=1 Sig keys (default: %dnsondemand) leftrsasigkey=%cert rightrsasigkey=%cert Lifetimes, defaults are 1h/8hrs ikelifetime=20m keylife=1h rekeymargin=8m authby=rsasig Seite 7 von 12

8 Disable Opportunistic Encryption include /etc/ipsec.d/examples/no_oe.conf Add connections here sample VPN connection conn sample Left security gateway, subnet behind it, nexthop toward right. left= leftsubnet= /24 leftnexthop= Right security gateway, subnet behind it, nexthop toward left. right= rightsubnet= /24 rightnexthop= To authorize this connection, but not actually start it, at startup, uncomment this. auto=start conn test left=%defaultroute leftsubnet= / leftcert=test.pem rightid="c=de, ST=NRW, L=Meinestadt, O=Firma, OU=Verkauf, CN=test, right=%any rightsubnet=10.x.x.x/255.x.x.0 auto=add pfs=yes conn test2 left=%defaultroute leftsubnet= / leftcert=test2.pem rightid="c=de, ST=NRW, L=Meinestadt, O=Firma, OU=Verkauf, CN=test2, right=%any rightsubnet=10.x.x.x/255.x.x.0 auto=add pfs=yes Achtung in dieser Datei konnte in der SuSE 10.0-Version keine Kommentarzeilen zwischen den Einträgen einfügen. Man erhält dann div. Fehlermeldungen. Die Angabe für rightid erhält man durch: openssl x509 in test.pem noout subject 3 INSTALLTION AUF DER WINDOWS-SEITE 3.1 VPN TOOLS VON MARCUS MÜLLER INSTALLIEREN Installation des Windows 2000 VPN Tools von Marcus Müller durch Entpacken von package.zip z. B. nach c:\programme\vpn Seite 8 von 12

9 3.2 WINDOWS SUPPORT TOOLS INSTALLIEREN Installation der Windows Support Tools von der Windows-CD (Achtung für SP2 neuere Version herunterladen). Nach Installation der Support Tools kopiert man aus c:\programme\support Tools die Datei ipseccmd.exe (oder ipsecpol.exe) nach c:\programme\vpn 3.3 INSTALLATION DES ZERTIFIKATES Im Verzeichnis c:\programme\vpn führt man die Datei ipsec.msc durch Doppelklick aus. Unter Zertifikate (Lokaler Computer) Eigene Zertifikate einen Rechtsklick und anschließend Alle Tasks Importieren anklicken. Hier sucht man den Pfad zur Zertifikatsdatei hier test.p12 und nach Eingabe des Passwords wählt man Zertifikatspeicher automatisch auswählen (...) aus. Seite 9 von 12

10 Siehe folgendes Bild 3.4 ANPASSEN DER IPSEC.CONF Die ipsec.conf auf der Windows-Seite sieht wie folgt aus. conn test left=%any leftsubnet=10.x.x.x/255.x.x.0 right=ip des Remote-Systems (Einwahl-IP-Adresse) rightsubnet= / network=auto auto=start pfs=yes Die Angabe für rightca erhält man durch Eingabe von: openssl x509 in democa/cacert.pem noout subject Diese Angaben muß man noch Windows-konform umstellen. D. h. aus den Backslashes werden Kommata und aus ST wird S (nicht immer notwendig). Seite 10 von 12

11 4 STARTEN DER VERBINDUNG 4.1 START AUF DER LINUX-SEITE Starten von ipsec durch rcipsec start, mit tail f /var/log/messages auf evtl. Fehler prüfen. 4.2 START AUF DER WINDOWS-SEITE Auf der Windows-Seite wird der VPN-Tunnel durch den Aufruf von ipsec im Verzeichnis c:\programme\vpn gestartet: C:\Programme\vpn>ipsec IPSec Version (c) Marcus Mueller Getting running Config... Microsoft's Windows XP identified Setting up IPSec... Deactivating old policy... Removing old policy... Connection test: MyTunnel : 10.x.x.x MyNet : 10.x.x.x/255.x.x.0 PartnerTunnel: yy.yy PartnerNet : / CA (ID) : C=DE,ST=NRW,L=Meinestadt,O=Firma,OU=Verkauf,CN... PFS : y Auto : start Auth.Mode : MD5 Rekeying : 3600S/50000K Activating policy... C:\Programme\vpn> Der Tunnel ist jetzt hochgefahren und wird durch Netzwerklast aktiviert, dazu einen ping auf die Gegenseite: C:\Programme\vpn>ping Ping wird ausgeführt für mit 32 Bytes Daten: IP-Sicherheit wird verhandelt. IP-Sicherheit wird verhandelt. IP-Sicherheit wird verhandelt. IP-Sicherheit wird verhandelt. Ping-Statistik für : Pakete: Gesendet = 4, Empfangen = 0, Verloren = 4 (100% Verlust), C:\Programme\vpn> Seite 11 von 12

12 Danach sollte die Verbindung stehen. Was durch einen weiteren ping gezeigt wird C:\Programme\vpn>ping Ping wird ausgeführt für mit 32 Bytes Daten: Antwort von : Bytes=32 Zeit=2ms TTL=64 Antwort von : Bytes=32 Zeit=1ms TTL=64 Antwort von : Bytes=32 Zeit<1ms TTL=64 Antwort von : Bytes=32 Zeit<1ms TTL=64 Ping-Statistik für : Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 0ms, Maximum = 2ms, Mittelwert = 0ms C:\Programme\vpn> und auch auf der Linux-Seite durch Eingabe von rcipsec status überprüft werden kann. Hier sollte die Ausgabe lauten 1 tunnels up. 4.3 FEHLERSUCHE Zur Fehlersuche unter Windows kann das oakley.log verwendet werden. Dazu erstellt man, falls nicht vorhanden, folgenden Registry-Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent\Oakley Darunter erstellt man einen REG_DWORD der EnableLogging heißt. Hat EnableLogging den Wert 1 wird das Oakley-Log erstellt, 0 bedeutet ausgeschaltet. Das Oakley-Log befindet sich unter C:\Windows\debug\oakley.log Seite 12 von 12