abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
eParkomat, startup z ČR, postoupil mezi finalisty evropského akcelerátoru ChallengeUp!
Robot na pivo mu otevřel dveře k opravdovému byznysu
Internet věcí: Propojený svět? Už se to blíží...
dnes 06:00 | Zajímavý software

OMG! Ubuntu! představuje emulátor terminálu Hyper (GitHub) postavený na webových technologiích (HTML, CSS a JavaScript). V diskusi k článku je zmíněn podobný emulátor terminálu Black Screen. Hyper i Black Screen používají framework Electron, stejně jako editor Atom nebo vývojové prostředí Visual Studio Code.

Ladislav Hagara | Komentářů: 23
dnes 06:00 | Zajímavý článek

I letos vychází řada ajťáckých adventních kalendářů. QEMU Advent Calendar 2016 přináší každý den nový obraz disku pro QEMU. Programátoři se mohou potrápit při řešení úloh z kalendáře Advent of Code 2016. Kalendáře Perl Advent Calendar 2016 a Perl 6 Advent Calendar přinášejí každý den zajímavé informace o programovacím jazyce Perl. Stranou nezůstává ani programovací jazyk Go.

Ladislav Hagara | Komentářů: 6
3.12. 16:24 | Nová verze

Byla vydána Mageia 5.1. Jedná se o první opravné vydání verze 5, jež vyšla v červnu loňského roku (zprávička). Uživatelům verze 5 nepřináší opravné vydání nic nového, samozřejmě pokud pravidelně aktualizují. Vydání obsahuje všechny aktualizace za posledního téměř půldruhého roku. Mageia 5.1 obsahuje LibreOffice 4.4.7, Linux 4.4.32, KDE4 4.14.5 nebo GNOME 3.14.3.

Ladislav Hagara | Komentářů: 14
3.12. 13:42 | Pozvánky

V Praze probíhá konference Internet a Technologie 16.2, volné pokračování jarní konference sdružení CZ.NIC. Konferenci lze sledovat online na YouTube. K dispozici je také archiv předchozích konferencí.

Ladislav Hagara | Komentářů: 0
2.12. 22:44 | Komunita

Joinup informuje, že Mnichov používá open source groupware Kolab. V srpnu byl dokončen dvouletý přechod na toto řešení. V provozu je asi 60 000 poštovních schránek. Nejenom Kolabu se věnoval Georg Greve ve své přednášce Open Source: the future for the European institutions (SlideShare) na konferenci DIGITEC 2016, jež proběhla v úterý 29. listopadu v Bruselu. Videozáznam přednášek z hlavního sálu je ke zhlédnutí na Livestreamu.

Ladislav Hagara | Komentářů: 25
2.12. 15:30 | Zajímavý projekt

Společnost Jolla oznámila v příspěvku Case study: Sailfish Watch na svém blogu, že naportovala Sailfish OS na chytré hodinky. Využila a inspirovala se otevřeným operačním systémem pro chytré hodinky AsteroidOS. Použita je knihovna libhybris. Ukázka ovládání hodinek na YouTube.

Ladislav Hagara | Komentářů: 15
2.12. 14:15 | Nová verze

Byla vydána verze 7.1.0 skriptovacího jazyka PHP používaného zejména k vývoji dynamických webových stránek. Jedná se o první stabilní verzi nejnovější větvě 7.1. Přehled novinek v dokumentaci. Podrobnosti v ChangeLogu. K dispozici je také příručka pro přechod z PHP 7.0.x na PHP 7.1.x.

Ladislav Hagara | Komentářů: 4
2.12. 12:55 | Nová verze

Google Chrome 55 byl prohlášen za stabilní. Nejnovější stabilní verze 55.0.2883.75 tohoto webového prohlížeče přináší řadu oprav a vylepšení (YouTube). Opraveno bylo také 36 bezpečnostních chyb. Mariusz Mlynski si například vydělal 22 500 dolarů za 3 nahlášené chyby (Universal XSS in Blink).

Ladislav Hagara | Komentářů: 4
2.12. 11:55 | Pozvánky

Máte rádi svobodný software a hardware nebo se o nich chcete něco dozvědět? Přijďte na 135. sraz spolku OpenAlt, který se bude konat ve čtvrtek 8. prosince od 18:00 v Radegastovně Perón (Stroupežnického 20, Praha 5). Sraz bude tentokrát tématický. Bude retro! K vidění budou přístroje jako Psion 5mx nebo Palm Z22. Ze svobodného hardwaru pak Openmoko nebo čtečka WikiReader. Přijďte se i vy pochlubit svými legendami, nebo alespoň na pivo. Moderní hardware má vstup samozřejmě také povolen.

xkucf03 | Komentářů: 1
2.12. 00:10 | Nová verze

Byla vydána verze 3.2 svobodného systému pro detekci a prevenci průniků a monitorování bezpečnosti počítačových sítí Suricata. Z novinek lze zmínit například podporu protokolů DNP3 a CIP/ENIP, vylepšenou podporu TLS a samozřejmě také aktualizovanou dokumentaci.

Ladislav Hagara | Komentářů: 0
Kolik máte dat ve svém domovském adresáři na svém primárním osobním počítači?
 (32%)
 (24%)
 (29%)
 (7%)
 (5%)
 (3%)
Celkem 773 hlasů
 Komentářů: 50, poslední 29.11. 15:50
Rozcestník
Reklama

Dotaz: Openswan IPsec host-to-host se SAref bez L2TP

edois avatar 17.1.2013 17:49 edois
Openswan IPsec host-to-host se SAref bez L2TP
Přečteno: 304×
Ahoj,

potřebuju rozběhat host-to-host IPsec bez VPN (jen "obyčejný" transport mode), na jedné straně je server s Debian Linuxem a s veřejnou adresou, na druhé straně je několik klientů s různými IP adresami, někteří za NATem (někteří i za stejným NATem), s různými operačními systémy (ale můžeme předpokládat, že řešíme jen ty linuxové, se zbytkem už si pak poradím).

Vzhledem k tomu, že potřebuju zvládat víc klientů za stejným NATem, musím používat Openswan KLIPS stack s podporou SAref (tu v jádře napatchovanou mám) v módu MAST. Přes příkaz "ipsec verify" vidím, že ipsec modul (KLIPS) i podpora SAref v jádře je OK. Klasický NETKEY stack použít nemůžu, ten SAref neumí.

Nechci používat žádné L2TP apod., jde mi jen o to zabezpečit přístup na tu jednu veřejnou adresu, aby se nedal odchytávat provoz. Nepotřebuju AH a stačí mi shared key, protože služby, které na té IP běží, mají své vlastní přihlašování, jde mi čistě jen o transport mode a ESP.

Konfigurák ipsec.conf vypadá přibližně takto (akorát ta veřejná adresa je přepsaná na 1.2.3.4):

version 2.0

config setup
    nat_traversal=yes
    protostack=mast
    virtual_private=%v4:1.2.3.4/32,%v4:!0.0.0.0/0

conn host-to-host
    authby=secret
    pfs=no
    auto=add
    keyingtries=3
    rekey=no
    sareftrack=yes
    overlapip=yes
    dpddelay=10
    dpdtimeout=90
    dpdaction=clear
    ikelifetime=8h
    keylife=1h
    type=transport
    left=1.2.3.4
    right=%any

Když nastartuju Openswan, klienti se mi připojí (vidím příslušné SA), ale když zkouším z klienta tu veřejnou IP pingat, nepřichází odpověď.

Interface mast0 vypadá takto:
mast0     Link encap:UNSPEC  HWaddr 00-00-00-00-00-00-00-00-00-00-00-00-00-00-00-00
          UP RUNNING NOARP  MTU:16260  Metric:1
          RX packets:0 errors:0 dropped:0 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:10
          RX bytes:26840 (26.2 KiB)  TX bytes:0 (0.0 B)
a zajímavé je, že když spustím tcpdump, na mast0 opravdu ty příchozí pingy vidím. Odpověďi vidím také, ale nikoliv na mast0, ale na eth0.

Když zkusím místo MAST módu KLIPS mód, funguje to parádně (akorát se nemůžou připojit 2 různí klienti za stejným NATem najednou, vždy to funguje jenom jednomu, protože v ne-MAST módu nefunguje podpora SAref).

Snad jsem to popsal dostatečně.

Nenapadne někoho, co mám kde blbě? Předem moc děkuju :)

Odpovědi

19.1.2013 23:01 2X4B-523P | skóre: 39 | blog: Zelezo_vs_Debian
Rozbalit Rozbalit vše Re: Openswan IPsec host-to-host se SAref bez L2TP
ahoj, nemá to něco společného s firewallem? něco jako to co popisuje zde na konci?
edois avatar 20.1.2013 12:00 edois
Rozbalit Rozbalit vše Re: Openswan IPsec host-to-host se SAref bez L2TP
Ahoj,

je to dost možný, ale nemůžu přijít na to, jak to nastavit :( Routování, aby mi odpovědi na ty pingy šly taky přes mast0 a ne přes eth0, se mi nastavit povedlo, v tcpdump -i mast0 vidím jak request, tak reply, ale na eth0 jsou esp-encapsulated packety jen v jednom směru (requesty).
edois avatar 22.1.2013 23:03 edois
Rozbalit Rozbalit vše Re: Openswan IPsec host-to-host se SAref bez L2TP
Vyřešeno/nevyřešeno.

Je to opravdu tím manglováním (resp. jeho absencí), ale ani to manglování jako takové neřeší všechno (ano, řeší 2 klienty za stejným NATem, ale absolutně nedokáže řešit 2 klienty za různými dvěma NATy, pokud mají stejnou vnitřní adresu), navíc to pak zvládá maximálně 16384 klientů, pokud dobře počítám, a s přibývajícím množstvím klientů roste lineárně overhead (kvůli lineárnímu procházení netfilteru) při posílání JAKÉHOKOLIV paketu směrem ven ze serveru.

Jediná cesta, jak s tím něco udělat, je upravit aplikace, které mají na serveru běžet, aby si držely SAref IDčko samy a posílaly ho zpět v packetech responsu, což je trošku problematické. Jedna z aplikací, co to umí, je již zmíněné xl2tpd, takže nakonec to asi vyřeším tak, že z toho vážně udělám VPNku - lepší řešení v současné chvíli asi není.

Samozřejmě mě napadá ještě systémové řešení (alespoň u protokolu TCP, u UDP by to bylo trochu problematičtější), držet SAref IDčko u acceptnutého socketu - dokáže to někdo v kernelu nebo libc upravit? Pokud budu mít čas, mrknu ještě, jestli by to nešlo řešit nějakým vhodným LD_PRELOAD, kde bych si prostě předefinoval accept a send (a držel někde v (hash?)mapě SAref IDčka k jednotlivým socketům), ale i to je pěkná prasárna, tak fakt nevím.

Jinak pokud má někdo napatchovanou sambu 3, aby tohle zvládala a je ochotný se podělit, tak budu rád, když dá vědět :)

Založit nové vláknoNahoru

Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

ISSN 1214-1267   www.czech-server.cz
© 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.