OpenSWAN - Historia wersji

Slawek o 13:57, 23 kwi 2012

2012-04-23T13:57:16Z

Slawek o 19:44, 16 kwi 2012

2012-04-16T19:44:18Z

Slawek o 19:38, 16 kwi 2012

2012-04-16T19:38:54Z

Slawek o 19:36, 16 kwi 2012

2012-04-16T19:36:40Z

Slawek o 19:36, 16 kwi 2012

2012-04-16T19:36:25Z

Slawek o 19:35, 16 kwi 2012

2012-04-16T19:35:40Z

Slawek: Utworzył nową stronę „Category:Serwer == ipsec - OpenSWAN == '''IPSec''' (ang ''IP Security - bezpieczeństwo w IP'') ma na celu zapewnienia bezpiecznego, szyfrowanego połączenia p...”

2012-04-16T19:35:23Z

Utworzył nową stronę „Category:Serwer == ipsec - OpenSWAN == '''IPSec''' (ang ''IP Security - bezpieczeństwo w IP'') ma na celu zapewnienia bezpiecznego, szyfrowanego połączenia p...”

Nowa strona

[[Category:Serwer]]
== ipsec - OpenSWAN ==

'''IPSec''' (ang ''IP Security - bezpieczeństwo w IP'') ma na celu zapewnienia bezpiecznego, szyfrowanego połączenia pomiędzy danymi punktami. W celu połączenia używane są protokoły kryptograficzne, opracowane przez grupę IETF.
=== Podstawy ===

Możemy wyróżnić dwa tryby pracy
*'''transportowy''' używany do komunikacji pomiędzy dwoma hostami
*'''tunelowy''' przeważnie wykorzystywany do łączenia całych sieci

Podstawowe protokoły wchodzące w skład IPSec
*'''AH''' ma za zadanie zapewnienie integralności danych, nie zapewnia ich poufności
*'''ESP''' zapewnia szyfrowanie danych za pomocą jednego z szyfrów (DES, 3DES, Blowfish)
*'''IKE''' wypiera AH odpowiada za wstępne uwierzytelnienie oraz uzgadnianie kluczy kryptograficznych. IKE składa się z dwóch części ISAKMP (Internet Security Association and Key Managment Protocol) - odpowiada za przeprowadzenie uwierzytelniania oraz utworzenie kanału SA oraz Oakley - odpowiada za uzgodnienie kluczy według algorytmu Diffiego-Hellmana.

← poprzednia wersja		Wersja z 13:57, 23 kwi 2012
Linia 135:		Linia 135:
	Do rozwiązania ewentualnych problemów może pomóc nam polecenie		Do rozwiązania ewentualnych problemów może pomóc nam polecenie
	ipsec auto --status		ipsec auto --status
		+
		+	<br /><google1 style="4"></google1>

@@ Linia 28: / Linia 28: @@
   ip zew 81.192.0.186
   lokalna sieć 10.0.0.0/16
- '''oddział B'''
+'''oddział B'''
   serwer linux
   ip zew 81.192.0.185
@@ Linia 80: / Linia 80: @@
 ==== znaczenie opcji ====
-authby=rsasig uwierzytelnianie za pomocą RSA
+*'''authby=rsasig''' uwierzytelnianie za pomocą RSA
-left=81.192.0.186 lokalny adres rutera serwera A
+*'''left=81.192.0.186''' lokalny adres rutera serwera A
-leftsubnet=10.0.0.0/16 sieć LAN za ruterem serwera A
+*'''leftsubnet=10.0.0.0/16''' sieć LAN za ruterem serwera A
-leftrsasigkey=O8wq3… klucz publiczny serwera A
+*'''leftrsasigkey=O8wq3…''' klucz publiczny serwera A
-right=81.192.0.185 ip bramy serwera B
+*'''right=81.192.0.185''' ip bramy serwera B
-rightsubnet=10.1.0.0/16 sieć LAN za serwerem B
+*'''rightsubnet=10.1.0.0/16''' sieć LAN za serwerem B
-rightrsasigkey=8qw9Hwdf… klucz publiczny serwera B
+*'''rightrsasigkey=8qw9Hwdf…''' klucz publiczny serwera B

← poprzednia wersja		Wersja z 19:38, 16 kwi 2012
Linia 20:		Linia 20:
	yum install openswan*		yum install openswan*
	co spowoduje zainstalowanie pakietu '''OpenSWAN'''. Od teraz mamy już wszystko co potrzeba do przystąpienia do konfiguracji bezpiecznego kanału.		co spowoduje zainstalowanie pakietu '''OpenSWAN'''. Od teraz mamy już wszystko co potrzeba do przystąpienia do konfiguracji bezpiecznego kanału.
		+
		+	=== Konfiguracja ===
		+	Przed przystąpieniem do konfiguracji musimy ustalić co tak na prawdę chcemy osiągnąć. Mamy wiele możliwości, w tym miejscu postaram się przedstawić jeden z nich tzn połączenie dwóch sieci w jedną. W przypadku gdy mamy dwa odziały jednej firmy w różnych miejscach takie działanie będzie jak najbardziej uzasadnione. Przyjmuję następujące dane:
		+
		+	'''oddział A'''
		+	serwer linux
		+	ip zew 81.192.0.186
		+	lokalna sieć 10.0.0.0/16
		+	'''oddział B'''
		+	serwer linux
		+	ip zew 81.192.0.185
		+	lokalna sieć 10.1.0.0/16
		+	Tworzymy/edytujemy plik ''/etc/ipsec.conf'', tak aby wyglądał następująco na serwerze A
		+
		+	'''serwer A'''
		+	vim /etc/ipsec.conf
		+	version 2.0 # conforms to second version of ipsec.conf specification
		+	config setup
		+	interfaces=%defaultroute
		+	forwardcontrol=yes
		+	rp_filter=0
		+	nat_traversal=no
		+	conn linux-to-linux
		+	auth=esp
		+	authby=rsasig
		+	pfs=yes
		+	left=81.192.0.186
		+	leftsubnet=10.0.0.0/16
		+	leftid=81.192.0.186
		+	leftrsasigkey=(klucz publiczny serwera A)
		+	right=81.192.0.185
		+	rightsubnet=10.1.0.0/16
		+	rightid=81.192.0.185
		+	rightrsasigkey=(klucz publiczny B)
		+	auto=add
		+	Taką samą konfigurację tworzymy na serwerze B odpowiednio zamieniając adresy IP.
		+
		+	'''serwer B'''
		+	vim /etc/ipsec.conf
		+	version 2.0 # conforms to second version of ipsec.conf specification
		+	config setup
		+	interfaces=%defaultroute
		+	forwardcontrol=yes
		+	rp_filter=0
		+	nat_traversal=no
		+	conn linux-to-linux
		+	auth=esp
		+	authby=rsasig
		+	pfs=yes
		+	left=81.192.0.185
		+	leftsubnet=10.1.0.0/16
		+	leftid=81.192.0.185
		+	leftrsasigkey=(klucz publiczny serwera B)
		+	right=81.192.0.186
		+	rightsubnet=10.0.0.0/16
		+	rightid=81.192.0.186
		+	rightrsasigkey=(klucz publiczny A)
		+	auto=add
		+	==== znaczenie opcji ====
		+
		+	authby=rsasig uwierzytelnianie za pomocą RSA
		+	left=81.192.0.186 lokalny adres rutera serwera A
		+	leftsubnet=10.0.0.0/16 sieć LAN za ruterem serwera A
		+	leftrsasigkey=O8wq3… klucz publiczny serwera A
		+	right=81.192.0.185 ip bramy serwera B
		+	rightsubnet=10.1.0.0/16 sieć LAN za serwerem B
		+	rightrsasigkey=8qw9Hwdf… klucz publiczny serwera B

@@ Linia 17: / Linia 17: @@
 === Instalacja ===
-W celu instalacji odpowiedniego pakietu na systemach redhat'owych wydajemy polecenie yum install openswan*
+W celu instalacji odpowiedniego pakietu na systemach redhat'owych wydajemy polecenie
 co spowoduje zainstalowanie pakietu '''OpenSWAN'''. Od teraz mamy już wszystko co potrzeba do przystąpienia do konfiguracji bezpiecznego kanału.

@@ Linia 10: / Linia 10: @@
-==== Podstawowe protokoły wchodzące w skład IPSec ===
+=== Podstawowe protokoły wchodzące w skład IPSec ===
 *'''AH''' ma za zadanie zapewnienie integralności danych, nie zapewnia ich poufności
 *'''ESP''' zapewnia szyfrowanie danych za pomocą jednego z szyfrów (DES, 3DES, Blowfish)
 *'''IKE''' wypiera AH odpowiada za wstępne uwierzytelnienie oraz uzgadnianie kluczy kryptograficznych. IKE składa się z dwóch części ISAKMP (Internet Security Association and Key Managment Protocol) - odpowiada za przeprowadzenie uwierzytelniania oraz utworzenie kanału SA oraz Oakley - odpowiada za uzgodnienie kluczy według algorytmu Diffiego-Hellmana.