IPv6 und Wireless Lan

Transkript

1 Forschungsseminar der Universität Potsdam Netzwerktechnologien IPv6 Labor IPv6 und Wireless Lan Manuel Dräger Jan Schloessin Marc Coym Gregor Höfert Potsdam, den

2 Gliederung 1. Aufgabenstellung 2. Entwicklungsplan und Einteilung 3. Arbeitsschritte Linux 4. Arbeitsschritte Windows 5. Quellen

3 1. Aufgabenstellung Wie ist der aktuelle Entwicklungstand? Erläuterung der zu tätigenden Konfigurationen Entwicklung einer allgemeinen Vorgehensweise (ZEIK und andere Interessierte) Wie kann man sich die Infrastruktur mit IPv6 und WLAN vorstellen?

4 1. Aufgabenstellung

5 2. Entwicklungsplan und Einteilung Unterteilung in Linux und Windows-Gruppe Erstellung des folgenden Entwicklungsplanes 1. IPv6 auf Linux einrichten 2. IPv6 auf Win2003 einrichten 3. IPv6 auf WinXP einrichten 4. Ping6 systemübergreifend 5. IPSec (X.509) für Linux 6. IPSec (X.509) für Win IPSec (X.509) für WinXP 8. IPSec VPN über IPv6 (Linux) 9. IPSec VPN über IPv6 (Win2003) 10. IPSec VPN über IPv6 (WinXP) 11. Verteilung der Zertifikate

6 3. Arbeitschritte Linux Unterteilung 3.1 Linux-Distrubutionen 3.2 Installation von IPv6 3.3 Installation der WLAN-Karte 3.4 Ping6 3.5 IPSec und der aktuelle Stand 3.6 Installation & Konfiguration von FreeS/WAN 3.7 Installation & Konfiguration von Racoon 3.8 Fazit

7 Linux 1991 von Linus Benedict Torvalds entwickelt Sammlung von Basisroutinen Verwaltung von Systemressourcen Verwaltung von Daten Bereitstellung von Schnittstellen

8 3.1 Linux Distribution Variationen eines Linux-Betriebssystems Sammlung vieler Programme und dem Betriebssystemkern Tools zur Systemverwaltung

9 3.1.1 LFS LFS = Linux from scratch quasi Distribution mit viel Eigenleistung Nachteil: langen Installationsprozesses Vorteil: viele Infos über das System gut geeignet für Testzwecke (deshalb auch verwendet)

10 3.1.2 Debian frei verfügbare Linux Distribution phänomenale Packetverwaltung Stabilität über 8700 Softwarepakete gut geeignet für täglichen Einsatz (leicht zu warten und deshalb ebenfalls verwendet)

11 3.2 Installation von IPv6 Installation von IPv6 unter Linux recht unspektakelulär in vielen Distributionen IPv6 bereits im Kernel vorhanden bzw. liegt als Modul bei falls nicht vorhanden -> nachrüsten :-) (kernel.org)

12 3.2 Installation von IPv6 (2) 5 Schritte zu IPv6 Kernel konfigurierem (make menuconfig) Abhängigkeiten zwischen den Modulen herstellen (make dep) Kernel kompilieren (make bzimage) Module kompilieren & installieren (make modules modules_install) Kernel installieren (anpassen des Bootloaders)

13 3.2 Installation von IPv6 (3)

14 3.2 Installation von IPv6 (4)

15 3.2.1 Laden des Moduls Linux Betriebssystemkern besteht aus der Kernbasis und den Modulen das IPv6-Modul modprobe ipv6 lsmod

16 3.2.1 Laden des Moduls (2)

17 3.2.2 Hinzufügen von Adressen falls IPv6 aktiv wird allen Netzwerkdevices eine link locale ipv6 Adresse hinzugefügt lokale ipv6 Adressen werden nicht geroutet für volle Nutzung der Netze unbrauchbar ifconfig - weitere ipv6 Adressen anlegen Bsp: ifconfig eth0 add 3ffe::3

18 3.2.2 Hinzufügen von Adressen (2)

19 3.3 Installation der WLAN-Karte Grundvorraussetzung: ab Kernel 2.4.x funktionierender PCMCIA-Steckplatz pcmcia-cs-package Karten werden meistens automatisch erkannt falls nicht -> nachrüsten :-)

20 3.3 Installation d. WLAN-Karte (2)

21 3.3.1 Auswahl des Treibers

22 3.4 Ping6 Zur Einrichtung des Netzwerks benutzt hauptsächlich zur Fehlersuche (hierbei war tcpdump sehr hilfreich) Unterschiede zwischen Kernel 2.2.x und 2.4.x (bzw. 2.5.x/2.6.x) lokale fe80-adresse connect: Invalid argument

23 3.4 Ping6 (2) LAN mit 10/100 Mbps FiberLine FL-2008S erste Kommunikation via IPv6 LAN mit 10/100 Mbps SMC xdsl Router Barricade 7004 AWBR Kommunikation via Switch Kommunikation via WLAN WLAN mit 11 Mbps Linksys BEFW11S4 (AP)

24 3.5 IPSec und der aktuelle Stand IPSec-Verbindungen Authentication Header Protokoll (AH; IP Protokoll 51) Encapsulating Security Payload Protokoll (ESP; IP Protokoll 50)

25 3.5.1 Der Schlüsselaustausch 2 verschiedene Möglichkeiten manueller Austausch der Schlüssel automatische Konfiguration mittels Internet Key Exchange Protocol (IKE)

26 3.5.2 Manuelle Konfiguration Jeder Teilnehmer teilt ein Geheimnis (den Schlüssel) jedem Kommunikationsparnter mit Ist dies dann noch ein Geheimnis?

27 3.5.2 Manuelle Konfiguration (2) Probleme: Handshakeproblem der Schlüssel: die Anzahl an verwendeten Schlüsseln wächst quadratisch mit der Anzahl der Kommunikationspartner in einer Clique Die Schlüssel müssen über einen sicheren Weg ausgetauscht werden Wartung: Schlüssel müssen erneuert werden

28 3.5.2 Automatische Konfiguration Nutzer definiert nur eine Policy Konkretes Verfahren wird bei Initierung des IPsec Tunnels automatisch ausgemacht

29 3.5.2 Automatische Konfiguration (2) IKE Deamon lauscht an Port 500 Austausch nach Diffie und Hellmann public Certificate wird ausgetauscht mit Hilfe des eigenen privaten Zertifikats wird auf jeder Seite das gleiche Ergebnis berechnet der Schlüssel wird durch einen öffentlichen Zufallswert eindeutig

30 3.6 Installation & Konfiguration von FreeS/WAN 1996 FreeS/WAN Projekt (gesprochen: free swan) ipsec für Linux (VPN) Patches für ipv6 nicht in Standardversion Patches für X.509 (Windows) Kernelpatches sind nicht übernommen worden Super-FreeS/WAN

31 3.6.1 FreeS/WAN 2.00 mit X.509-Patch Kernel Installation von FreeS/WAN make menugo reboot modprobe ipsec entgegen unser ursprünglichen Vermutung nicht ipv6 fähig

32 3.6.1 FreeS/WAN 2.00 mit X.509-Patch (2) Entwicklung hinkt hinterher (FreeS/WAN 2.0 <> Super-FreeS/WAN 1.9) Austausch der Schlüssel mit Pluto

33 3.6.1 FreeS/WAN 2.00 mit X.509-Patch (3)

34 3.6.2 FreeS/WAN 1.99 mit X.509 -Patch und IPv6-Patch (Pluto) Kernel mit FreeS/WAN 1.99 mit X.509- Patch sowie einem IPv6-Patch Kernel ließ sich weder von uns noch von der IPv6-Home-Gruppe kompilieren :-(

35 3.7 Installation & Konfiguration von Racoon FreeS/WAN Projekt nicht in die Linuxkernelquellen aufgenommen Linzensrechtliche Gründe Codequalität Zukunft: Userlandprogramm (Kernel-API) ab Kernel USAGI Projekt für IPsec- Code portiert KAME Projekt auf Linux

36 3.7.1 Kernel test5 Konfiguration Kernel anpassen Kompilieren Support für PF_KEY sockets kompatibel zum KAME-Projekt benötigt für Nutzung der IPsec-Tools des Kame-Projekt s IPv6 Header für IPSec

37 3.7.1 Kernel test5 (2)

38 3.7.1 Kernel test5 (3)

39 3.7.1 Kernel test5 (4) kryptografische Algorithmen der Kernel API HMAC support Null algorithms MD5 digest algorithm SHA1 digest algorithm DES and Triple DES EDE cipher algorithms AES cipher algorithms

40 3.7.1 Kernel test5 (5)

41 3.7.2 Racoon aus iputils-ss try frühere Versionen des Racoon Daemon, setkey und der libipsec erhebliche Probleme bei Übersetzung syntaktische Fehler in Makefiles lex contra flex Linkerfehler aufgrund der libipsec 6 Stunden später: es läuft? :-/ Parserfehler der Konfigurationsdatei > IPv6

42 3.7.3 IPsec-Tools perfekte Lösung für IPsec? kompilieren - installieren fertig Konfiguration der Tools recht verständlich racoon.conf weitestgehend beibehalten Wahl des "einfacheren" Wegs manuell verschlüsselte Verbindungen

43 3.7.3 IPsec-Tools (2) Kernel 2.6.x Security Policy Database (SPD) was wird gemacht Security Association Database (SAD) wie wird's gemacht Manipulation mit setkey nur wenn SA s auf beiden Seiten gleich sind, ist eine Kommunikation möglich.

44 3.7.3 IPsec-Tools (3) SPD benötigt u.a. folgende Information: IP Adressen der kommunizierenden Rechner Tunnel oder Transport Mode unverschlüsselndes Protokoll (und Port) anzuwendende Header (ESP oder AH) Richtung der Policy

45 3.7.3 IPsec-Tools (4) SAD benötigt u.a. folgende Information: Quell- und Ziel-IP IPsec Protokoll Security Parameter Index (SPI) Algorithmus Geheimer Schlüssel

46 3.7.3 IPsec-Tools (5) #!/sbin/setkey -f flush; spdflush; # AH IPv4 add ah A hmac-md5 " "; add ah A hmac-md5 " "; # AH IPv6 add 3ffe::1 3ffe::2 ah A hmac-md5 " "; add 3ffe::2 3ffe::1 ah A hmac-md5 " "; # ESP IPv4 add esp E 3des-cbc " "; add esp E 3des-cbc " ";

47 3.7.3 IPsec-Tools (6) # ESP IPv6 add 3ffe::1 3ffe::3 esp E 3des-cbc " "; add 3ffe::3 3ffe::1 esp E 3des-cbc " "; spdadd any -P out ipsec esp/transport//require ah/transport//require; spdadd any -P in ipsec esp/transport//require ah/transport//require; spdadd 3ffe::3 3ffe::1 any -P out ipsec esp/transport//require ah/transport//require; spdadd 3ffe::1 3ffe::3 any -P in ipsec esp/transport//require ah/transport//require;

48 3.7.3 IPsec-Tools (7) Start des Regelwerks: No buffer space available Konfigurationsdateien syntaktisch korrekt Fehlersuche trotz strace erfolglos :-( keine IPsec-Verbindung :-(

49 3.7.4 Racoon automatisch konfigurierte Verbindungen Phase 1 des IKE Protokolls im Main, Aggressive und Base Mode Authentifizierung mit PSK, x509 Zertifikaten, Kerberos Verschlüsselung mit Null, DES, 3DES, AES, Blowfish, Twofish, CAST... Authentifizierung mit MD5, SHA1, SHA2-256, SHA2-385 und SHA2-512 Diffie Hellmann Gruppen modp768, modp1024, ec2n155, ec2n185, modp1536, modp2048, modp3072, modp4096, modp6144 und modp8192

50 3.7.4 Racoon (2) path certificate "/etc/racoon/certs"; remote 3ffe::3 { exchange_mode main; certificate_type x509 "my_cert.pem" "priv_req.pem"; proposal { encryption_algorithm 3des; hash_algorithm md5; authentication_method rsasig; dh_group modp1024; } } sainfo address 3ffe::5 any address 3ffe::6 any { pfs_group modp768; encryption_algorithm 3des; authentication_algorithm hmac_md5; compression_algorithm deflate; }

51 In letzter Minute Problem: Racoon (ipsec-tools-0.2.2) kann keinen Port einer IPv6-Adresse binden Fehler: in sockmisc.c: setsockopt_bypass() IPV6_IPSEC_POLICY und IP_IPSEC_POLICY werden gleichgesetz Abhilfe: #define IPV6_IPSEC_POLICY 34 (laut linux/in6.h)

52 In letzter Minute (2) Problem: Racoon (ipsec-tools-0.2.2) kann keinen connect() auf eine IPv6 Adresse ausführen Fehler: in sockmisc.c: getlocaladdr() connect() erfolglos: ungültiger Parameter Abhilfe:

53 3.8 Fazit Linux IPv6 IPsec-Verbindungen sinnvoll FreeS/WAN als Kernelpatch obsolet Racoon auch für die FreeBSD-Schiene Racoon sehr Standardkonform Racoon unterstützt eine Vielzahl von kryptografischen Algorithmen IPsec-Verbindungen mit Windows denkbar (X.509)

54 4. Arbeitsschritte Windows 4.1 Installation des Windows 2003 Server 4.2 Installation der WLAN-Testumgebung 4.3 Installation von IPv6 4.4 Vergabe von IPv6-Adressen 4.5 Überprüfung der Konnektivität 4.6 Einrichten eines VPN 4.7 Nicht gelöstete Probleme 4.8 Erstellung von Zertifikaten 4.9 Fazit

55 4.1 Installation von Windows 4.2 Einrichtung des WLAN um das WLAN zu testen, haben wir einen WLAN Router Linksys EtherFast Wireless AccessPoint + Cable / DSL Router mit einem Windows2003 Server und 2 Notebooks mit WindowsXP verbunden die Routerfunktionalität wurde nicht genutzt d.h. der WAN Port blieb unbenutzt

56 4.3 Installation von IPv6 für Windows2000 und WindowsXP gibt es eine Beschreibung vom IPv6 Labor beim Windows2003 Server kann man IPv6 schon bei der Betriebssysteminstallation mit einrichten es ist aber auch im nachhinein möglich (im jeweiligen Netzwerkadapter)

57 4.3 Installation von IPv6 (2)

58 4.4 Vergabe von IPv6-Adressen in der Eingabeaufforderung wird mit Netshell netsh eine IPv6 Adresse vergeben in der Shell kann dann mit add address [interface=]string [address=] IPv6Address die IPv6 Adresse eingegeben werden

59 4.4 Vergabe von IPv6-Adressen (2)

60 4.5 Überprüfung der Konnektivität Ping6 oder Ping??? mit ping haben wir die IPv6 Verbindung zwischen Server und Clients getestet dabei ist uns aufgefallen das man nicht ping6 angeben muss, sondern ping auch reicht (unter WindowsXP mit IPv6 update und unter Windows2003 Server) ping6 funktioniert selbstverständlich auch

61 4.5 Überprüfung der Konnektivität Ping6 oder Ping??? (2)

62 4.6 Einrichten eines VPN VPN auf Windows 2003 Server Benutzer in Active Directory- Benutzer und -Computer anlegen Zugriff über VPN gestatten

63 4.6 Einrichten eines VPN (2)

64 4.6 Einrichten eines VPN (3) in Routing und RAS Schlüssel für L2TP angeben

65 4.6 Einrichten eines VPN (4)

66 4.6 Einrichten eines VPN (5) auf dem Client-PC eine VPN Verbindung zum Server einrichten (neue Verbindung einrichten in Systemsteuerung->Netzwerkverbindungen)

67 4.6 Einrichten eines VPN (6)

68 4.6.1 Aufgetretene Probleme bei der IPSec-Verbindung ein festinstallierter Schlüssel muss für L2TP festgelegt werden Windows unterstützt bisher nicht: Benutzung eines IKE (Internet Key Exchange) zur Verhandlung von security associations (SA's) manuelle Konfiguration des Schlüssels nötig für Berechnung des Hashwertes des Authentification Headers (AH) und ESP Datenverschlüsselung beim Encapsulating Security Payload (ESP)

69 4.6.2 IPSec6.exe Tool zur Festlegung von IPSec-policies, Sicherheitszuweisungen und Schlüsselwerten für IPv6-Verbindung Benutzung: ipsec6 S ipsecpolicy Erstellung eines spd und sad-file, in dem die Parameter festgelegt werden können trotz offener Regeln keine Verbindung

70 4.7 Nicht gelöste Probleme Falsche Konfiguration der Routen? ping per IPv6 vom Client nur bis zum Server möglich, keine Weiterleitung ins LAN, Server LAN ok ping per IPv4 ins LAN möglich manuelle Einstellung der Interfaces, obwohl normalerweise Tunnel und Interfaces automatisch konfiguriert werden: Bsp: netsh interface ipv6 set interface 2 forwarding=enabled Erfolglos!

71 4.7 Nicht gelöste Probleme (2) 2. Versuch: Manuelle Konfiguration der Routen Befehl: netsh interface ipv6 add route IPv6Address/PrefixLength InterfaceNameOrIndex [[nexthop=]ipv6address] [[publish=]no age yes] [[validlifetime=]minutes infinite] [[preferredlifetime=]minutes infinite] [[store=]active persistent] Erfolglos!

72 4.7 Nicht gelöste Probleme (3) grundsätzlich sollte es wie folgt funktionieren: warum es jedoch nicht geroutet wird, ist ein noch zu lösendes Problem

73 4.8 Erstellung von Zertifikaten Tools zur Zertifikatserstellung für den privaten Gebrauch gibt es kostenlos im Internet bspw. Sun java keytool, apm self 4.5 meist mit grafischer Oberfläche leicht zu bedienen ein Test konnte nicht mehr durchgeführt werden

74 4.8 Erstellung von Zertifikaten (2)

75 4.9 Fazit IPSec Unterstützung für IPv6 muss noch verbessert werden bessere Dokumentationen sind wünschenswert, solange nicht alles "automatisch" funktioniert Bugs müssen abgestellt werden Zukunft: Vielleicht läuft ab dem nächsten Service Pack alles automatisch?

76 5. Quellen (1) Kernel Howto: modules Advanced Routing & Traffic Control Howto RFC 2460

77 5. Quellen (2) Testseiten, die eine IPv6-Verbindung anzeigen: Quellen zu IPv6 & Windows: r/sag_ip_v6_imp_lab_inf.asp VPN Win 2003: Ipsec Windows: r/sag_ip_v6_imp_conf5.asp Zertifikate: FAQ zu IPv6: