abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
dnes 22:11 | Nová verze

Byla vydána verze 1.0.0 emulátoru terminálu Terminology postaveného nad EFL (Enlightenment Foundation Libraries). Přehled novinek v poznámkách k vydání.

Ladislav Hagara | Komentářů: 0
včera 17:00 | Nová verze

Byl vydán Docker 1.13. Přehled novinek na YouTube a v poznámkách k vydání na GitHubu. Docker umožňuje běh aplikací v softwarových kontejnerech (Wikipedia).

Ladislav Hagara | Komentářů: 3
včera 15:51 | Komunita

Mozilla.cz informuje, že nástroje pro webové vývojáře se možná oddělí od Firefoxu a stanou doplňkem. Nástroje pro webové vývojáře prošly velkým přepisem a tým, který se stará o jejich vývoj, by uvítal možnost jejich častějších aktualizacích nezávisle na vydávání nových verzí Firefoxu.

Ladislav Hagara | Komentářů: 7
včera 07:00 | Humor

Čtenářům AbcLinuxu vše nejlepší k dnešnímu Dni zvýšení povědomí o tučňácích (Penguin Awareness Day).

Ladislav Hagara | Komentářů: 0
včera 06:00 | Komunita

Bylo spuštěno hlasování o přednáškách a workshopech pro letošní InstallFest, jenž proběhne o víkendu 4. a 5. března v Praze. Současně byla oznámena změna místa. InstallFest se letos vrací zpět na Karlovo náměstí do budovy E.

Ladislav Hagara | Komentářů: 0
včera 02:48 | Komunita

Greg Kroah-Hartman potvrdil, že Linux 4.9 je jádrem s prodlouženou upstream podporou (LTS, Long Term Support). Podpora je plánována do ledna 2019. Aktuální jádra s prodlouženou podporou jsou tedy 3.2, 3.4, 3.10, 3.12, 3.16, 3.18, 4.1, 4.4 a 4.9.

Ladislav Hagara | Komentářů: 0
včera 00:11 | Zajímavý článek

Výrobce síťových prvků, společnost Netgear, spustila nový program, který slibuje vývojářům, expertům, ale i běžným uživatelům vyplacení finanční odměny za nalezení bezpečnostních chyby v jejich produktech. Za nalezení zranitelnosti v hardware, API nebo mobilní aplikaci nabízí odměnu od 150 do 15 tisíc dolarů (dle závažnosti).

Michal Makovec | Komentářů: 0
včera 00:08 | Pozvánky

V sobotu 18. 2. se v Praze v prostorách VŠE uskuteční od 9:30 již 4. ročník největší české konference o open source redakčním systému WordPress (WP) - WordCamp Praha 2017.

… více »
smíťa | Komentářů: 0
19.1. 23:58 | Komunita

Kryptoměnová komunita zahájila nový rok spuštěním projektu Blockchain.cz, jehož cílem je kolektivně nalézt ideální překlad pro čím dál frekventovanější slovo „blockchain“. Přispět návrhem může kdokoli. Sběr bude trvat až do konce září 2017. Následně bude probíhat dvoutýdenní veřejné hlasování, které bude zakončeno výběrem toho nejlepšího návrhu.

xHire | Komentářů: 10
19.1. 15:55 | Bezpečnostní upozornění

Společnost Oracle vydala čtvrtletní bezpečnostní aktualizaci svých softwarových produktů (CPU, Critical Patch Update). Opraveno je celkově 270 bezpečnostních chyb. V Oracle Java SE je například opraveno 17 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 16 z nich. V Oracle MySQL je opraveno 27 bezpečnostních chyb. Vzdáleně zneužitelných bez autentizace je 5 z nich.

Ladislav Hagara | Komentářů: 0
Jak se stavíte k trendu ztenčování přenosných zařízení (smartphony, notebooky)?
 (10%)
 (2%)
 (73%)
 (3%)
 (11%)
Celkem 350 hlasů
 Komentářů: 25, poslední dnes 13:34
    Rozcestník
    Reklama

    Dotaz: Nefungujici IPSEC

    13.9.2007 12:21 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Nefungujici IPSEC
    Přečteno: 659×
    Dobry den,

    snazim se propojit dve LAN site do VPN pomoci nativni implementace IPSEC v jadrech 2.6 - tedy pomoci setkey a racoon. Avsak nekde v konfiguraci nastala chyba, protoze pri pokusu o ping z jedne site do druhe se racoon ani nepokusi spojit.

    Sit vypada takto: 172.16.2.xx/24 <--> brana 172.16.2.254 s verejnou IP [ip-1] <--> internet <--> brana 172.16.0.1 s verejnou IP [ip-2] <--> sit 172.16.0.xx/24

    Setkey jsem nakonfiguroval na stroji s [ip-1] takto:
    spdadd 172.16.0.0/24 172.16.2.0/24 any -P in ipsec
           esp/transport/[ip-2]-[ip-1]/require
           ah/transport/[ip-2]-[ip-1]/require;
    
    spdadd 172.16.2.0/24 172.16.0.0/24 any -P out ipsec
           esp/transport/[ip-1]-[ip-2]/require
           ah/transport/[ip-1]-[ip-2]/require;
    
    Na druhe brane je konfigurace obdobna, ale se zamenenim in za out a naopak.

    A racoon je nakonfigurovan takto:
    ...
    
    remote 217.11.242.73
    {
            exchange_mode main;
            my_identifier address [ip-1];
            peers_identifier address [ip-2];
            generate_policy on;
    
            proposal {
                    encryption_algorithm 3des;
                    hash_algorithm sha1;
                    authentication_method pre_shared_key;
                    dh_group 5;
            }
    }
    
    ...
    
    Po spusteni racoon v debug-modu a po pokusu o ping z brany 1 na IP adresu 172.16.0.1 vsak dojde ke smerovani pozadavku nikoliv zasifrovane po VPN siti, ale do internetu. Vystum racoonu vypada takto:
    2007-09-13 12:16:24: INFO: @(#)ipsec-tools 0.6.6 (http://ipsec-tools.sourceforge.net)
    2007-09-13 12:16:24: INFO: @(#)This product linked OpenSSL 0.9.8e 23 Feb 2007 (http://www.openssl.org/)
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for AH
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for ESP
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for IPCOMP
    2007-09-13 12:16:24: DEBUG: reading config file /etc/racoon.conf
    2007-09-13 12:16:24: DEBUG: compression algorithm can not be checked because sadb message doesn't support it.
    2007-09-13 12:16:24: DEBUG: filename: /etc/racoon/belgicka-omnicon-vpn.conf
    2007-09-13 12:16:24: DEBUG: reading config file /etc/racoon/belgicka-omnicon-vpn.conf
    2007-09-13 12:16:24: INFO: 10.0.0.2[4500] used as isakmp port (fd=5)
    2007-09-13 12:16:24: INFO: 10.0.0.2[4500] used for NAT-T
    2007-09-13 12:16:24: INFO: 10.0.0.2[500] used as isakmp port (fd=7)
    2007-09-13 12:16:24: INFO: 10.0.0.2[500] used for NAT-T
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.2.0/24[0] 172.16.0.0/24[0] proto=any dir=out
    2007-09-13 12:16:24: DEBUG: db :0x4b1210: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=in
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=fwd
    2007-09-13 12:16:24: DEBUG: db :0x4b1210: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=in
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=fwd
    2007-09-13 12:16:24: DEBUG: db :0x4b1a78: 172.16.2.0/24[0] 172.16.0.0/24[0] proto=any dir=out
    
    Mohl by byt tedy problem v nastaveni smerovani nebo v konfiguraci setkey / racoonu. Za kazdou radu budu velmi rad a predem dekuji!

    S pozdravem,

    Marek Siller

    Odpovědi

    13.9.2007 12:26 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC

    1. U transport modu se adresy gatewayí nezadávají. Pokud ale chcete propojit sítě, potřebujete tunnel mode.

    2. Nevidím v té vaší konfiguraci řešení autentizace a nejsem si jistý, jaký je default.

    3. Jak vypadá sainfo sekce?

    13.9.2007 12:49 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC
    Dekuju za rychlou reakci!
    1. Pri konfiguraci jsem si to neuvedomil - zkousel jsem nekolik ruznych nastaveni i s propojenim pouze samotnych gatewayi.
    2. Autentizace je momentalne resena pres PSK - v souboru /etc/racoon/psk.txt (nakonfigurovano v racoon.conf) jsou uvedene shodna hesla.
    3. sainfo sekce vypada takto:
      sainfo address 172.16.2.0/24 any address 172.16.0.0/24 any
      {
              pfs_group 5;
              lifetime time 1 hour;
              encryption_algorithm 3des, blowfish;
              authentication_algorithm hmac_sha1, hmac_md5;
              compression_algorithm deflate;
      }
      
    Divne je, ze se ty brany ani nepokusi spolu ten IPsec tunel vytvorit - jak jsem jiz psal, pingy jsou smerovany do internetu.

    Diky, MS
    13.9.2007 12:35 Michal Kubeček | skóre: 71 | Luštěnice
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC

    Příklad, který by měl být funkční. setkey.conf:

    flush;
    spdflush;
    
    spdadd MY_IP PEER_IP any -P out ipsec
            esp/transport//require;
    spdadd PEER_IP MY_IP any -P in ipsec
            esp/transport//require;
    
    spdadd MY_NET PEER_NET any -P out ipsec
            esp/tunnel/MY_IP-PEER_IP/require;
    spdadd PEER_NET MY_NET any -P in ipsec
            esp/tunnel/PEER_IP-MY_IP/require;
    
    racoon.conf:
    path certificate "/etc/certs";
    
    remote PEER_IP
    {
            exchange_mode main;
    
            my_identifier asn1dn;
            certificate_type x509 "MY_NAME.cert" "MY_NAME.key";
            peers_certfile x509 "PEER_NAME.cert";
    
            proposal {
                    encryption_algorithm aes;
                    hash_algorithm sha1;
                    authentication_method rsasig;
                    dh_group 2;
            }
    }
    
    sainfo anonymous
    {
            pfs_group 2;
            encryption_algorithm aes, 3des;
            authentication_algorithm hmac_sha1;
            compression_algorithm deflate;
    }
    

    Certifikáty vygenerujete např. takto:

    #!/bin/bash
    
    host=`hostname -s`
    umask 077
    mkdir -p /etc/certs
    cd /etc/certs || exit 1
    rm -f ${host}.*
    
    openssl req -new -nodes -days 365 -newkey rsa:1024 \
      -config /mnt/demo/lnx03/crypto/mkcert.conf \
      -keyform PEM -keyout ${host}.key \
      -outform PEM -out ${host}.req
    
    openssl x509 -req -days 365 -in ${host}.req \
      -signkey ${host}.key -out ${host}.cert
    
    rm -f ${host}.req
    chmod 400 ${host}.key ${host}.cert
    

    (pak si vyměníte /etc/certs/*.cert)

    13.9.2007 12:57 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC
    Dekuji! Vyzkousim to s temi certifikaty a dam vedet.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.