WIRELESS? ABER SICHER!

Transkript

1 WIRELESS? ABER SICHER! Sicherer Zugang über Funk zum Netzwerk der Uni Basel Die Universität Basel errichtet derzeit an ausgewählten Standorten ein lokales Funknetz für Computer ( Wireless-LAN ). Damit dieses offene und unsichere Netz (Funk!) nur von Angehörigen der Uni Basel sinnvoll verwendet werden kann, wird zusätzlich eine Sicherheitstechnologie eingesetzt: ein sogenanntes Virtual Private Network (VPN). Für den Anschluss eines Computers an das Wireless-LAN benötigt man: 1. Hardware : Einen Computer mit einer funktionsbereiten Funknetzwerkkarte nach dem Standard IEEE b (Achtung: die Standards a und g werden derzeit nicht unterstützt!). Diese Karte muss nach Angaben des Herstellers auf dem Computer installiert sein (Treiberinstallation etc.). Sie muss dann eventuell noch für die Einstellungen des Uninetzes konfiguriert werden (Anleitung s.u.) 2. Eine spezielle Zugangssoftware zum Uninetz: Einen installierten VPN-Client (Anleitung s.u.). 3. Eine Zugangsberechtigung: Eine gültige -adresse der Uni Basel mit dem entsprechenden Passwort des -accounts. Ansprechpersonen am URZ: Harald Volz, Rüdiger Schreiner für Windows, Marcel Brülhart für Mac, Bernd Sindlinger für Linux Im Anschluss eine Anleitung zur Installation, Konfiguration und Betrieb des Uni Basel Wireless VPN unter Redhat 9.0 am Beispiel einer eingebauten Prism Wlan-Karte. Für andere Distributionen und Karten gibt es anderer Stelle Hinweise im Internet: Mit Debian und VPN-Client unter Suse unter Suse Unter Redhat 8 Eine kurze Information zu dem Atheros-Chipsatz, der in Notebooks aus dem Neptun- Projekt verwendet wird, am Ende dieses Dokument. Installation, Konfiguration und Betrieb des Uni Basel Wireless VPN unter Redhat 9.0 am Beispiel einer eingebauten Prism Wlan-Karte Installation der Hardware Wirelesskarten können unter Linux derzeit mit einem passenden Kernelmodul oder mit den wireless tools ( eingebunden werden. Die wireless tools installieren die Karte jedoch als Interface wlanx, damit Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 1

2 kann die an der Uni Basel verwendete VPN-Software nicht arbeiten!!! Entsprechend der Karte muss daher das entsprechende Kernel-Modul geladen werden, das als Ethernet-Interface angesprochen wird. Vermutlich ist für alle diese Aufgaben ROOT-Recht notwendig (nur die installierte VPN-Client-Software kann auch als USER gestartet werden). Beispiel Siemens-Notebook mit eingebauter WLAN-Karte und Redhat 9.0: Der Hardware Browser identifiziert die Karte als System devices Prism 2.5 Wavelan Chip. Auf erfährt man, dass das mit dem Orinoco-Treiber betrieben wird (hier auch Informationen über andere Wireless-Chips). ls /lib/modules/ /kernel/drivers/net/wireless/ airo_cs.o airo.o hermes.o orinoco_cs.o orinoco.o orinoco_pci.o orinoco_plx.o Man sieht unter /lib/modules/ kernelversion das passende Kernelmodul orinoco_pci.o (internes Modul, das über PCI auf den internen Bus zugreift) Nun im Gnome-Desktop zb. über Start Here die System Settings aufrufen (Alternativ über den RedHat der Taskleiste) In System Settings auf Network klicken Hier werden die aktuellen Netzwerkkarten und Einstellungen angezeigt und konfiguriert (im Bild eine eingebaute Ethernetkarte). Die Wlan-Karte muss nun als neues Device hinzugefügt werden, dazu auf New klicken. Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 2

3 Als Device-Type Wireless connection anklicken. Nun other Wireless Card anklicken (falls die Wirelesskarte noch nie installiert wurde) Im Feld Adapter die passende Karte auswählen. Im Feld Device wird der Wirelesskarte nun eine Ethernetkarten- Nummer zugeordnet (normalerweise eth1). Nun die Parameter für die Wirelessverbindung einstellen. Eigentlich sollte Auto bei allen Einstellungen das Einbuchen an der Uni Basel ermöglichen. Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 3

4 Als nächstes die IP-Parameter einstellen. Hier DHCP auswählen. Nun werden die gewählten Parameter angezeigt, mit Apply bestätigen. Jetzt wird der neue Ethernet Adapter angezeigt, ist aber noch inaktiv! Daher auf Aktivate klicken. Hier auf YES klicken. Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 4

5 eventuell muss das Netzwerk neu gestartet werden, aber zunächst gibt es weitere Probleme... Diese Fehlermeldung ist noch zu ignorieren. Leider steht jetzt in /etc/modules.conf noch ein falscher Modulname: alias eth1 orinoco den ändern wir zu alias eth1 orinoco_pci (Editor nach Wahl...) Die wireless-karte noch einmal deaktivieren und aktivieren. Falls kein Wireless-Accesspoint zum Einbuchen erreichbar ist, erscheint eine Fehlermeldung Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 5

6 Betrieb der Hardware Wenn die Wirelesskarte in der Nähe eines Accesspoints aktiviert werden soll, wie zuvor beschrieben in die Netzwerkkonfiguration wechseln. Zunächst die Standard- Ethernetkarte deaktivieren (falls diese einen festen Gatewayeintrag hat, wird sonst das neue Gateway über die Wirelesskarte nicht eingetragen. Jetzt die Wireless-Karte aktivieren. Diese Fehlermeldung ist noch zu ignorieren. Jetzt dauert es eine Weile, bis der richtige Funkkanal gefunden ist und die DHCP-IP-Adressenzuordnung abgeschlossen ist, etwas Geduld... Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 6

7 Nun wird die Wirelesskarte als aktiv angezeigt. TEST: Ist die Karte aktiv und hat eine IP-Adresse bekommen? root]# ifconfig eth1 Link encap:ethernet HWaddr 00:E0:00:D1:E1:EB inet addr: Bcast: Mask: UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1 RX packets:151 errors:0 dropped:0 overruns:0 frame:0 TX packets:168 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:100 RX bytes:84971 (82.9 Kb) TX bytes:52430 (51.2 Kb) Interrupt:11 Base address:0x8000 Memory:f f8000fff lo Link encap:local Loopback inet addr: Mask: UP LOOPBACK RUNNING MTU:16436 Metric:1 RX packets:3205 errors:0 dropped:0 overruns:0 frame:0 TX packets:3205 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:0 RX bytes: (212.9 Kb) TX bytes: (212.9 Kb) Man kann zum Gnome-Panel über ADD-To-Panel / Internet / Wireless Link Monitor noch ein kleines Tool in das Panel integrieren, das Auskunft über den Linkstatus gibt: Zugangssoftware: Download und Installation des VPN-Clients Eine erweiterte Anleitung finden Sie auch unter hier nur eine verkürzte Version Download Sollte der VPN-Client auf Ihrem Computer noch nicht installiert sein, so können Sie ihn von der Webseite herunterladen. Zum Download des VPN-Clients müssen Sie nicht im Funknetzwerk sein. Dieser ist mit jeder Internetverbindung erreichbar. Sie können die Installation also auch im Institut oder zu Hause per PPP vorbereiten. Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 7

8 Klicken Sie auf den Link: Download- Server und authentifizieren Sie sich mit Ihrer -adresse und Ihrem - Passwort. Eine gültige -adresse an der Uni Basel ist Voraussetzung für einen Wireless-Zugang! Wählen Sie im dann folgenden Browser-Fenster die Software für Ihr Betriebssystem durch Anklicken des entsprechenden Links aus: Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 8

9 Wählen Sie die Option Save it to disk um die Clientsoftware auf Ihrem Computer zu speichern. Die Client-Installationsdatei ist nur klein und steht Ihnen so für eventuelle Neuinstallationen lokal zur Verfügung. (Über die Seite können Sie auch eine detailliertere Installationsanleitung für die verschiedenen Betriebssysteme abrufen.) Vpnclient auspacken Der Installer wird als komprimiertes tar-archiv ausgeliefert und muss entpackt werden. Dazu in das Verzeichnis wechseln, in dem der Client gespeichert wurde. # ls vpnclient-linux-4.x.x-k9-unibas.tar.gz # zcat vpnclient-linux-4.x.x-k9-unibas.tar.gz tar -xvf - vpnclient/ vpnclient/cisco_cert_mgr... # cd vpnclient/ # ls cisco_cert_mgr frag.o ipseclog sample.pcf cisco_ipsec GenDefs.h libdriver.so UniBasel.pcf Cniapi.h interceptor.c license.txt vpnclient config.h interceptor.o linuxcniapi.c vpnclient.ini.in cvpnd IPSecDrvOSFunctions.h linuxcniapi.h vpnclient_init driver_build.sh IPSecDrvOS_linux.c linuxcniapi.o vpn_install frag.c IPSecDrvOS_linux.h linux_os.h vpn_ioctl_linux.h frag.h IPSecDrvOS_linux.o mtu.h vpn_uninstall VPN-Software installieren: Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 9

10 Als nächstes wird das interaktive Installationsscript aufgerufen. Vorschläge für Eingaben stehen in eckigen Klammern [] und können mit return bestätigt werden (alternativ durch eine andere Eingabe und Return ersetzt werden): vpnclient]#./vpn_install Cisco Systems VPN Client Version (Rel) Linux Installer Copyright (C) Cisco Systems, Inc. All Rights Reserved. By installing this product you agree that you have read the license.txt file (The VPN Client license) and will comply with its terms. Directory where binaries will be installed [/usr/local/bin] <RETURN> Automatically start the VPN service at boot time [yes] <RETURN> In order to build the VPN kernel module, you must have the kernel headers for the version of the kernel you are running. For RedHat 6.x users these files are installed in /usr/src/linux by default For RedHat 7.x users these files are installed in /usr/src/linux-2.4 by default For Suse 7.3 users these files are installed in /usr/src/linux suse by default Directory containing linux kernel source code [/lib/modules/ /build] <RETURN> * Binaries will be installed in "/usr/local/bin". * Modules will be installed in "/lib/modules/ /ciscovpn". * The VPN service will be started AUTOMATICALLY at boot time. * Kernel source from "/lib/modules/ /build" will be used to build the module. Is the above correct [y] <RETURN> Making module Create module directory "/lib/modules/ /ciscovpn". Copying module to directory "/lib/modules/ /ciscovpn". Creating start/stop script "/etc/init.d/vpnclient_init". Enabling start/stop script for run level 3,4 and 5. Creating VPN configuration file "/etc/ciscosystemsvpnclient/vpnclient.ini". Installing license.txt (VPN Client license) in "/etc/ciscosystemsvpnclient/": Installing bundled user profiles in "/etc/ciscosystemsvpnclient/profiles/": * New Profiles : sample UniBasel Copying binaries to directory "/usr/local/bin". Setting permissions. /usr/local/bin/cvpnd (setuid root) /etc/ciscosystemsvpnclient (world writeable) /etc/ciscosystemsvpnclient/profiles (world writeable) /etc/ciscosystemsvpnclient/certificates (world writeable) * You may wish to change these permissions to restrict access to root. You must run "/etc/init.d/vpnclient_init start" before using the client. This script will be run AUTOMATICALLY every time you reboot your computer. Nun am besten den VPN-Client zum Test initialisieren. Die Warnungen dabei ignorieren. [root@neptun vpnclient]# /etc/init.d/vpnclient_init start Starting /usr/local/bin/vpnclient: Warning: loading /lib/modules/ /ciscovpn/cisco_ipsec will taint the kernel: no license See for information about tainted modules Module cisco_ipsec loaded, with warnings Done Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 10

11 Betrieb des VPN-Clients Eine erweiterte Anleitung finden Sie hier: Routing korrigieren Wenn ein festes Gateway auf der Ethernetschnittstelle eingetragen ist, kann der Client über Wireless das VPN-Gateway nicht erreichen. Daher die Ethernetschnittstelle deaktivieren über System Settings => Network (siehe in der obigen Installationsanleitung der Hardware) Firewallregeln korrigieren Redhat hat in der Defaultinstallation Firewallregeln, die den VPN-Verkehr verhindern: iptables -L Chain INPUT (policy ACCEPT) RH-Lokkit-0-50-INPUT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) RH-Lokkit-0-50-INPUT all -- anywhere anywhere Chain OUTPUT (policy ACCEPT) Chain RH-Lokkit-0-50-INPUT (2 references) ACCEPT udp -- maser.urz.unibas.ch anywhere udp spt:domain dpts:1025:65535 ACCEPT udp -- iser.urz.unibas.ch anywhere udp spt:domain dpts:1025:65535 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh flags:syn,rst,ack/syn ACCEPT all -- anywhere anywhere REJECT tcp -- anywhere anywhere tcp dpts:0:1023 flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:nfs flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT udp -- anywhere anywhere udp dpts:0:1023 reject-with icmpport-unreachable REJECT udp -- anywhere anywhere udp dpt:nfs reject-with icmp-portunreachable REJECT tcp -- anywhere anywhere tcp dpts:x11:6009 flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:xfs flags:syn,rst,ack/syn reject-with icmp-port-unreachable Sie können nun die Firewall ganz abschalten (nicht empfohlen) oder die Regeln für das VPN anpassen. Firewall abschalten iptables -F Firewall mit neuen Regeln versehen: iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport 500 -s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport 500 -d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p 50 -s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p 50 -d j ACCEPT Am besten diese Zeilen in ein File startvpn kopieren, als letzte Zeile vpnclient Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 11

12 connect Unibasel einfügen, das File mit chmod 755 ausführbar machen, und dann einfach ausführen:./startvpn (wobei es für die Änderung der Firewallregeln ROOT- Recht braucht). #!/bin/sh # file startvpn adds firewall rules and starts vpnclient iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport 500 -s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport 500 -d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p udp -m udp --dport d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p tcp -m tcp --dport d j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p 50 -s j ACCEPT iptables -I RH-Lokkit-0-50-INPUT -p 50 -d j ACCEPT vpnclient connect UniBasel Die neuen Regeln sollten nun in die Firewallintegriert sein: [root@neptun root]# iptables -L Chain INPUT (policy ACCEPT) RH-Lokkit-0-50-INPUT all -- anywhere anywhere Chain FORWARD (policy ACCEPT) RH-Lokkit-0-50-INPUT all -- anywhere anywhere Chain OUTPUT (policy ACCEPT) Chain RH-Lokkit-0-50-INPUT (2 references) ACCEPT ipv6-crypt-- anywhere node1v-407.urz.unibas.ch ACCEPT ipv6-crypt-- node1v-407.urz.unibas.ch anywhere ACCEPT tcp -- anywhere node1v-407.urz.unibas.ch tcp dpt:10000 ACCEPT tcp -- node1v-407.urz.unibas.ch anywhere tcp dpt:10000 ACCEPT udp -- anywhere node1v-407.urz.unibas.ch udp dpt:10000 ACCEPT udp -- node1v-407.urz.unibas.ch anywhere udp dpt:10000 ACCEPT udp -- anywhere node1v-407.urz.unibas.ch udp dpt:isakmp ACCEPT udp -- node1v-407.urz.unibas.ch anywhere udp dpt:isakmp ACCEPT udp -- maser.urz.unibas.ch anywhere udp spt:domain dpts:1025:65535 ACCEPT udp -- iser.urz.unibas.ch anywhere udp spt:domain dpts:1025:65535 ACCEPT tcp -- anywhere anywhere tcp dpt:ssh flags:syn,rst,ack/syn ACCEPT all -- anywhere anywhere REJECT tcp -- anywhere anywhere tcp dpts:0:1023 flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:nfs flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT udp -- anywhere anywhere udp dpts:0:1023 reject-with icmpport-unreachable REJECT udp -- anywhere anywhere udp dpt:nfs reject-with icmp-portunreachable REJECT tcp -- anywhere anywhere tcp dpts:x11:6009 flags:syn,rst,ack/syn reject-with icmp-port-unreachable REJECT tcp -- anywhere anywhere tcp dpt:xfs flags:syn,rst,ack/syn reject-with icmp-port-unreachable VPN-Client starten Der VPN-Client wird mit dem vorgefertigten Profil UniBasel gestartet. Achtung, Grossund Kleinschreibung beachten! Dieser Schritt kann nach erfolgreicher Hardware- Installation und Firewallanpassung durch ROOT auch als USER ausgeführt werden. root@neptun root]# vpnclient connect UniBasel Cisco Systems VPN Client Version (Rel) Copyright (C) Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 12

13 Running on: Linux #1 Mon Aug 18 11:45:58 EDT 2003 i686 Incorrectly built binary which accesses errno, h_errno or _res directly. Needs to be fixed. Initializing the IPSec link. Contacting the gateway at User Authentication for UniBasel... Enter Username and Password. Username []: <RETURN> Password []: hier das passwort eingeben <RETURN> Authenticating user. You are entering the Intranet of the University of Basel Unauthorized use is prohibited. Your actions may be recorded. If you disagree, disconnect now. Do you wish to continue? (y/n): y <RETURN> Your link is secure. IPSec tunnel information. Client address: Server address: Encryption: 168-bit 3-DES Authentication: HMAC-MD5 IP Compression: None NAT passthrough is active on port UDP Local LAN Access is disabled Jetzt sollte der Zugriff aufs Internet und das Uninetz möglich sein. Status der VPN Verbindung überprüfen Sie können in einem Terminalfenster den aktuellen Status überprüfen: # vpnclient stat Cisco Systems VPN Client Version (Rel) Copyright (C) Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Running on: Linux #1 Thu Dec 12 05:39:29 EST 2002 i686 IPSec tunnel information. Connection Entry: UniBasel Client address: Server address: Encryption: 168-bit 3-DES Authentication: HMAC-MD5 IP Compression: None NAT passthrough is active on port UDP Local LAN Access is disabled VPN-Client stoppen Im Terminalfenster, dem der Client gestartet wurde: Ctrl-C Falls der Client im Hintergrund läuft: [root@neptun root]# vpnclient disconnect Cisco Systems VPN Client Version (Rel) Copyright (C) Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Running on: Linux #1 Mon Aug 18 11:45:58 EDT 2003 i686 Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 13

14 Disconnecting the IPSEC link. Your IPSec link has been disconnected. Anpassungen für den "Atheros" wireless chipsatz (der z.b. in den Neptun -Notebooks verwendet wird - Information dankenswerterweise von Bugra Uytun bereitgestellt) Das Problem Einige der vom Projekt Neptun angebotenen Laptops (wie IBM X31) haben den "Atheros" wireless chipsatz, der vom Madwifi-Treiber unter Linux unterstuetzt wird ( Das Problem dabei ist: das dadurch generierte Network interface wird nicht als 'ethx' sondern 'ath0' registriert. Daher kann der Cisco vpnclient das Netzwerkinterface nicht erkennen. Die Lösung: Folgender Patch ermöglicht auch athx- Interfaces: --- interceptor.c.org :37: interceptor.c :23: ,6 { rc=1; } + else if(!strncmp(dev->name,"ath",3) && (dev->name[3]>='0' && dev->name[3]<='9')) + { + rc=1; + } else if(!strncmp(dev->name,"ppp",3) && (dev->name[3]>='0' && dev->name[3]<='9')) { Das ganze in eine Datei patch.txt kopieren, die im Verzeichnis des ausgepackten VPN- Clients angelegt werden muss. Dann patch -p0 <patch.txt ; rm *.o Und dann denn vpn-client erneut installieren:./vpn_install ( Siehe auch ) Anleitung Wireless mit Redhat-Linux an der Uni Basel Seite 14