Workshop: Was wollen wir tun? - Aufbau eines einfachen Tunnel Setup zum verbinden zweier netze und eines externen hosts. Womit?

Transkript

1 Cryx (cryx at h3q dot com), v1.1 Workshop: Was wollen wir tun? - Aufbau eines einfachen Tunnel Setup zum verbinden zweier netze und eines externen hosts - Aufbau der Netze und testen der Funktion ohne IPSec - Authentifizierung mit preshared keys, ipsec Tunnel mit ESP im Tunnel Mode - Zuerst zwei Netze, dann den Host dazu wenn wir es noch schaffen - Hinterher und vorher am HUB sniffen ob noch Klartext vorhanden ist :-) Womit? - FreeBSD 5.1 mit kame ipsec-stack - racoon als isakmpd (Erledigt Phase 1 und 2) (kame und racoon werden jetzt auch von linux für IPSec benutzt)

2 Wie wird es konfiguriert? /usr/local/etc/racoon/psk.txt - beinhaltet den pre-shared-key zur authentifizierung, muss auf beiden Seiten exakt übereinstimmen! Format: ipaddr. key - file muss chmod 600 sein, damit lokale User auf dem System nicht die Keys zur Authentifizierung lesen koennen! /usr/sbin/setkey - binary zum einstellen, welcher Traffic von wo kommend und wohin gehend durch das ipsec gehen soll - konfiguration kann in dem /etc/ipsec.conf file eingetragen werden (boot-safe) hilfreiche Syntax: setkey -f configfile einlesen eines configfile ;-) setkey -D ausgabe der SAD (security association database, IKE-SA ) setkey -DP ausgabe der SPD (security policy database, IPSec-SA ) setkey -F löschen der databases (setkey -DF löscht zb. die security association database) setkey -ld zeigt im loop -D mit weniger ausführlichen Output an sinnvoll zum angucken: man setkey

3 /etc/ipsec.conf - beinhaltet regeln, welcher Traffic von wo kommend und wohin gehend durch das ipsec gehen soll - wird von setkey eingelesen ( damit beim booten gleich die Tunnelregeln vorhanden sind) Format: benutzen von spdadd, einen Eintrag in der security policy database machen: spdadd <source-netz> <destination-netz> any -P <direction> ipsec \ <protocol>/tunnel/<tunnelanfang>-<tunnelende>/use; Es wird ein Tunnel zwischen dem eigenen netz und dem anderen netz, zwischen den beiden ipsec Endpunkten Tunnelanfang und Tunnelende gesetzt. - es gibt jeweils eine Regel, einmal für outgoing packets (<direction> = out) und für incoming packets (<direction> = in). Je nachdem ändern sich sowohl source- und destination-netz als auch <tunnelanfang> und <tunnelende>. Die Connection ist sozusagen genau umgedreht. - <protocol> ist bei uns "esp" - "any" steht für "any protocol" (dort könnte icmp oder ipv4 stehen, alles was in /etc/protocols vorkommt) Bsp.: spdadd / /24 any -P out ipsec esp/tunnel/ /use; Tunnelt packete aus dem netz /24 kommend (out) die in Richtung des Netzes /24 wollen durch einen ESP Tunnel der zwischen den hosts und aufgebaut wird. spdadd / /24 any -P in ipsec esp/tunnel/ /use;

4 Tunnelt packete aus dem netz /24 kommend (in), die in Richtung des Netzes /24 wollen durch einen ESP Tunnel der zwischen den hosts und aufgebaut wird. PS: es können leider keine Kommentare mit # oder ähnlichem in /etc/ipsec.conf eingefügt werden da das File direkt von setkey eingelesen wird :(

5 /usr/local/etc/racoon/racoon.conf - configfile für den racoon daemon - beinhaltet alle Parameter für phase1 und 2 als auch die angaben welche cipher zum verschlüsseln benutzt werden sollen - Parameter müssen auf beiden Seiten identisch sein (bis auf die Timings) - man racoon.conf - der racoon daemon wird mit "racoon -f <configfile>" gestartet (-F erzwingt noch debug in den foreground) Beispielkonfiguration: ############################################################### # /usr/local/etc/racoon/racoon.conf # # file with the pre-shared-keys path pre_shared_key "/usr/local/etc/racoon/psk.txt" ; timer { # These value can be changed per remote node. counter 5; # maximum trying count to send. interval 20 sec; # maximum interval to resend. persend 1; # the number of packets per a send. # timer for waiting to complete each phase. phase1 40 sec; phase2 40 sec;

6 # phase 1 configuration # use this for all hosts when doing phase1 chat remote anonymous { exchange_mode main; # there is aggressive mode too, but its not as secure as main mode doi ipsec_doi; # we are using ipsec_doi here (DOI - Domain Of Interpretation), which standard to use in ISAKMP lifetime time 10 min; # sec,min,hour how long will the IKE-SA be valid initial_contact on; # we are doing the first steps and starting die ISAKMP chatting proposal_check obey; # obey, strict, claim or exact, use the proposal of the other side or your one in favor or be strict and say they _must_ match # which algorithms will be used to protect the ISAKMP chatting in phase2 proposal { encryption_algorithm 3des; # encryption hash_algorithm sha1; # authentication authentication_method pre_shared_key ; # we are using pre-shared-keys, authentication can also be done by certificates dh_group 2 ; # Diffie-Hellman group # phase 2 configuration # use this for all hosts when doing phase2 sainfo anonymous { pfs_group 2; lifetime time 600 sec; encryption_algorithm blowfish,rijndael,3des ; authentication_algorithm hmac_sha1,hmac_md5 ; compression_algorithm deflate ; # Diffie-Hellman group # how long will the IPSec-SA be valid # which cipher to encrypt the data # which algorithm to generate the authentication hash # how to compress data before encrypt it, we don't use compression #################################################### PS: Auf den Hosts kann man sich einfach als root ohne Passwort einloggen, verschiedenste Editoren (zb. vi, pico, emacs) sind vorhanden.

7