Dotaz: Bezpečný UDP tunel - oprava

[jk]

Ahoj,

Hledám nějaký program na vytvoření bezpečného tunelu. Musí splňovat následující podmínky:

• umožnovat posílání UDP packetu
• být co nejjednoduší
• nevyžadovat žádne nastavování kernelu/přidávaní modulu

Potřebuju to na semestralní práci - "Bezpečný UDP tunel" kde mám detailně popsat jak tunel vytvořit.

Idealní je zřejmě zebedee, jenže ten už použil jeden človek přede mnou a ja musím popisovat jiný program.

Další možností je použít něco co využívá tun/tap zařízení jako OpenVPN, vtun, hamachi. Jenže OpenVPN použil clověk předemnou a učitely hodně vadilo že je nutné v kernelu zapnout podporu pro tun/tap.

A další možností je asi IPSec, jenže ten zřejmě nesplňuje podmínku "být co nejjednoduší" a ostatními podmínkami si taky nejsem jistý.

Neznáte někdo nějakou další možnost? Nejlépe něco podobného zebedee. Dalo by se to řešit pomocí IPSec?

PS: Omlouvam se za skoro duplicitní otázku. V té přechozí jsem úplně špatně popsal podmínky a protože otázku není možné upravit tak jsem radši udělal novou.

Odpovědi

[pasmen]

IPsec take neni defaultne povoleny v jadru. Navic tun/tap byva vetsinou v distribucnich jadrech pripraven jako modul, a pokud mate zkompilovano s module autoloading (distribucni jadra na 99.9% vzdy), tak to nevyzaduje zadnou dalsi rezii.

Ja bych doporucil OpenVPN, sam pouzivam nekolik tunelu (at uz routovanych nebo bridgovanych, a musim rict, ze je to hodne dobra zalezitost, hlavne co se tyce logovani, moznosti blacklistu urcitych klientu apod. Jinak se zkus podivat na stunnel, rekl bych ze je to to co chces.

[jk]

Asi máš pravdu že tun/tap není až takový problém. Když nenajdu nic jiného tak asi použiju vtun, OpenVPN nemůžu protože to použil už někdo předemnou.

Ohledně stunnel - jestli to dobře chápu tak stunnel je možné použít jen na tunelování tcp spojení. Můžu sice nad ním použít ppp, ale to už zase vyžaduje správně nastavený jádro a vytváření nových zařízení. A navíc to bude pravděpodně o dost pomalejší než vtun.

[Michal Kubeček]

Ano, stunnel je čistý SSL tunel, takže pro UDP (přímo) použít nepůjde. Jeho výhodou pro tunelování TCP spojení je ale skutečnost, že jde o čisté SSL, takže se dá použít i proti klientům/serverům, kteří SSL podporují nativně.

[Michal Kubeček]

IPsec take neni defaultne povoleny v jadru.

Podpora IPsec je součástí vanilla jádra už někdy od 2.5.70. Jestli ji některá distribuce nezahrnuje do svého distribučního jádra (ani jako modul), pak je to spíš problém té distribuce.

[cezz]

Tiez by som pouzil openvpn (resp. pouzivam)

[jk]

Našel jsem návod jak pomocí netcat a ssh udělat tunel přes který půjdou posílat udp packety.

Ohledně IPSec - někde jsem četl že implementace IPSec v jádře je součástí implementace IPv6. Znamená to že musím mít povolené IPv6 aby mi IPSec fungoval? Protože žádnou volbu týkající se přímo IPSec jsem nenašel.

[Michal Kubeček]

Myslím, že na IPv6 by to záviset nemělo. Je potřeba povolit podporu protokolů ESP a AH, PF_KEY sockets a samozřejmě kryptografické algoritmy, které hodláte využívat (typicky AES, 3DES, SHA1, MD5).

[e.lisak]

Nestacilo by vyuzit treba nejaky program na SOCKS4/5 proxy ?

pokud si dobre vzpominam, tak UDP provoz umi taky