abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 15:11 | Nová verze

    Armbian, tj. linuxová distribuce založená na Debianu a Ubuntu optimalizovaná pro jednodeskové počítače na platformě ARM a RISC-V, ke stažení ale také pro Intel a AMD, byl vydán ve verzi 25.8.1. Přehled novinek v Changelogu.

    Ladislav Hagara | Komentářů: 0
    dnes 12:11 | IT novinky

    Včera večer měl na YouTube premiéru dokumentární film Python: The Documentary | An origin story.

    Ladislav Hagara | Komentářů: 0
    včera 23:33 | Nová verze

    Společnost comma.ai po třech letech od vydání verze 0.9 vydala novou verzi 0.10 open source pokročilého asistenčního systému pro řidiče openpilot (Wikipedie). Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 0
    včera 21:55 | Nová verze Ladislav Hagara | Komentářů: 2
    včera 14:11 | IT novinky

    Řada vestavěných počítačových desek a vývojových platforem NVIDIA Jetson se rozrostla o NVIDIA Jetson Thor. Ve srovnání se svým předchůdcem NVIDIA Jetson Orin nabízí 7,5krát vyšší výpočetní výkon umělé inteligence a 3,5krát vyšší energetickou účinnost. Softwarový stack NVIDIA JetPack 7 je založen na Ubuntu 24.04 LTS.

    Ladislav Hagara | Komentářů: 4
    včera 00:44 | Bezpečnostní upozornění

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) spolu s NSA a dalšími americkými úřady upozorňuje (en) na čínského aktéra Salt Typhoon, který kompromituje sítě po celém světě.

    Ladislav Hagara | Komentářů: 25
    27.8. 16:33 | IT novinky

    Společnost Framework Computer představila (YouTube) nový výkonnější Framework Laptop 16. Rozhodnou se lze například pro procesor Ryzen AI 9 HX 370 a grafickou kartu NVIDIA GeForce RTX 5070.

    Ladislav Hagara | Komentářů: 1
    27.8. 14:22 | IT novinky

    Google oznamuje, že na „certifikovaných“ zařízeních s Androidem omezí instalaci aplikací (včetně „sideloadingu“) tak, že bude vyžadovat, aby aplikace byly podepsány centrálně registrovanými vývojáři s ověřenou identitou. Tato politika bude implementována během roku 2026 ve vybraných zemích (jihovýchodní Asie, Brazílie) a od roku 2027 celosvětově.

    Fluttershy, yay! | Komentářů: 9
    27.8. 13:11 | Nová verze

    Byla vydána nová verze 21.1.0, tj. první stabilní verze z nové řady 21.1.x, překladačové infrastruktury LLVM (Wikipedie). Přehled novinek v poznámkách k vydání: LLVM, Clang, LLD, Extra Clang Tools a Libc++.

    Ladislav Hagara | Komentářů: 0
    27.8. 05:11 | Komunita

    Alyssa Anne Rosenzweig v příspěvku na svém blogu oznámila, že opustila Asahi Linux a nastoupila do Intelu. Místo Apple M1 a M2 se bude věnovat architektuře Intel Xe-HPG.

    Ladislav Hagara | Komentářů: 22
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (79%)
     (9%)
     (3%)
     (4%)
     (5%)
     (1%)
    Celkem 104 hlasů
     Komentářů: 9, poslední včera 11:53
    Rozcestník

    IPSec VPN z Linuxu na Cisco ASA 5500

    14.7.2010 22:19 | Přečteno: 2038× | Linux | poslední úprava: 4.7.2011 01:15

    Donedávna som používal vpnc na pripojenie do firemnej siete k plnej spokojnosti. Problém nastal po zmene autentifikácie na Cisco ASA firewalle zo zdieľaného kľúča na certifikát. Vpnc certifikáty nevie. Tento zápis popisuje rýchle a škaredé riešenie.

    Cisco VPN Client 5.0 pre Windows to má jednoduché - miesto Group Authentication zvoliť Certificate Authentication a vybrať certifikát. Certifikát má každý užívateľ automaticky z doménovej CA.

    Po niekoľkých dňoch skúmania, skúšania a omylov sa rovnaká funkčnosť podarila aj na Linuxe pomocou ipsec-tools a IKE démona racoon.

    Aktualizácia: ipsec-tools vo verzii 0.8 funguje správne proti Cisco ASA bez úpravy zdrojového kódu. Stačí stiahnuť, zostaviť a nastaviť podľa návodu.

    Problémom na ktorý som narazil bolo, že Cisco ASA 5520 neoznamuje klientovi že zvláda XUATH. Respektíve možno aj oznamuje, ale racoon nerozumie. V každom prípade, racoon kontroluje či protistrana vie XAUTH, ak nevie, racoon nepošle zadané XAUTH meno a heslo. V logu sa objaví:
    racoon: ERROR: Xauth mode config request but peer did not declare itself as Xauth capable

    Rýchle a škaredé riešenie:
    Vypnúť návratové hodnoty vo funkciách kontrolujúcich XAUTH schopnosť protistrany. Treba odkomentovať riadok "return NULL;", v súbore ipsec-tools-0.7.3/src/racoon/isakmp_xauth.c to sú riadky 1386 a 1537, zostaviť a nainštalovať.

    Diff rozdiel súboru isakmp_xauth.c:
    1386c1386
    < //return NULL;
    ---
    > return NULL;
    1537c1537
    < //return NULL;
    ---
    > return NULL;

    Návod pre Fedora 13:
    yum install -y kernel-headers
    yum install -y openssl-devel
    yum install -y flex
    wget http://sourceforge.net/projects/ipsec-tools/files/ipsec-tools/0.7.3/ipsec-tools-0.7.3.tar.bz2/download
    tar -jxvf ipsec-tools-0.7.3.tar.bz2
    cd ipsec-tools-0.7.3
    export CFLAGS=-fno-strict-aliasing
    make clean
    Upraviť súbor src/racoon/isakmp_xauth.c ako je popísané v predchádzajúcom odstavci.
    ./configure --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc/racoon --localstatedir=/var --enable-natt --enable-frag --enable-hybrid --enable-dpd --enable-adminport --enable-security-context=no --with-kernel-headers=/usr/include --enable-stats
    make
    make install

    Návod pre Ubuntu 10.04:
    sudo apt-get install linux-headers-generic
    sudo apt-get install libssl-dev
    sudo apt-get install flex
    sudo apt-get remove ipsec-tools
    wget http://sourceforge.net/projects/ipsec-tools/files/ipsec-tools/0.7.3/ipsec-tools-0.7.3.tar.bz2/download
    tar -jxvf ipsec-tools-0.7.3.tar.bz2
    cd ipsec-tools-0.7.3
    export CFLAGS=-fno-strict-aliasing
    sudo ln -s /usr/src/linux-headers-2.6.32-23 /usr/src/linux
    make clean
    Upraviť súbor src/racoon/isakmp_xauth.c ako je popísané v predchádzajúcom odstavci.
    ./configure --bindir=/usr/bin --sbindir=/usr/sbin --sysconfdir=/etc/racoon --localstatedir=/var --enable-natt --enable-frag --enable-hybrid --enable-dpd --enable-adminport --enable-security-context=no --with-kernel-headers=/usr/include/linux --enable-stats
    make
    sudo make install

    Certifikáty:
    Užívateľský certifikát treba exportovať z Windows pomocou Start->Run->certmgr.msc, vybrať Personal->Certificates, vybrať platný certifikát a exportovať ho so súkromným kľúčom, všetkými nadradenými certifikátmi, zadať heslo, uložiť do súboru user_xy.pfx a skopírovať do Linuxu.
    V Linuxe potom treba vytiahnuť klientský certifikát do súboru user_xy.pem:
    openssl pkcs12 -in user_xy.pfx -out user_xy.pem -nodes -clcerts -nokeys
    Vytiahnuť súkromný kľúč do súboru user_xy.key:
    openssl pkcs12 -in user_xy.pfx -out user_xy.key -nodes -nocerts
    Vytiahnuť certifikáty nadradených autorít do súboru company_ca.pem:
    openssl pkcs12 -in user_xy.pfx -out company_ca.pem -nodes -cacerts -nokeys
    Tieto tri súbory treba skopírovať do adresára /etc/racoon/certs.
    Nastaviť nadradené certifikáty ako dôveryhodné:
    ln -s company_ca.pem `openssl x509 -noout -hash -in company_ca.pem`.0
    Nastaviť práva 0600 na súbor user_xy.key
    chmod 0600 /etc/racoon/certs/user_xy.key
    Overiť klientský certifikát:
    openssl verify -CAfile /etc/racoon/certs/company_ca.pem user_xy.pem

    Súbor /etc/racoon/racoon.conf:
    # Racoon IKE daemon configuration file.
    # See 'man racoon.conf' for a description of the format and entries.

    path include "/etc/racoon";
    path pre_shared_key "/etc/racoon/psk.txt";
    path certificate "/etc/racoon/certs";
    path script "/etc/racoon/scripts";
    log debug2;

    sainfo anonymous
    {
    pfs_group 2;
    lifetime time 1 hour ;
    encryption_algorithm 3des, aes ;
    authentication_algorithm hmac_sha1, hmac_md5 ;
    compression_algorithm deflate ;
    }

    remote 11.22.33.44
    {
    exchange_mode main;
    my_identifier asn1dn;
    certificate_type x509 "user_xy.pem" "user_xy.key";
    ca_type x509 "company_ca.pem";
    mode_cfg on;
    nat_traversal on;
    ike_frag on;
    verify_cert off;
    verify_identifier off;
    script "p1_up_down" phase1_up;
    script "p1_up_down" phase1_down;
    proposal
    {
    encryption_algorithm aes256;
    hash_algorithm sha1;
    authentication_method xauth_rsa_client;
    dh_group 2;
    }
    proposal
    {
    encryption_algorithm 3des;
    hash_algorithm sha1;
    authentication_method xauth_rsa_client;
    dh_group 2;
    }
    }

    Nainštalovať obslužný skript /etc/racoon/scripts/p1_up_down
    wget http://www.contrib.andrew.cmu.edu/~somlo/p1_up_down
    chmod 0700 /etc/racoon/scripts/p1_up_down

    Naštartovať racoon:
    racoon -vvv -ddd

    Pripojenie pomocou IPSec VPN do práce:
    racoonctl vc -u user_xy 11.22.33.44
    Password:

    Heslom sa samozrejme myslí heslo užívateľa user_xy vo firemnej Active Directory alebo inej databáze užívateľov.

    Výpis bezpečnostných priradení (SA):
    setkey -D
    Pri správnom IPSec spojení musí obsahovať aspoň dve priradenia.

    Ukončenie VPN spojenia:
    racoonctl vd 11.22.33.44

    To je všetko. Prajem Vám i sebe príjemnú prácu na diaľku z pohodlia domova.        

    Hodnocení: 100 %

            špatnédobré        

    Obrázky

    IPSec VPN z Linuxu na Cisco ASA 5500, obrázek 1

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    Komentáře

    Vložit další komentář

    14.7.2010 22:34 alkoholik | skóre: 40 | blog: Alkoholik
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    Kdysi davno jsem se take pral s IPSECem linux vs Cisco PIX a racoon jsem vzdal pomerne brzy. OpenSWAN zafungoval mnohem driv.
    14.7.2010 22:51 Ján Chrastina | skóre: 4 | blog: Pavuk
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    OpenSwan som tiež skúmal, ale vôbec som neporozumel ako pristupujú k certifikátom a na tom to stroskotalo. Ak máš po ruke nejaký OpenSwan konfig, mohol by si ho tu ukázať.
    vencour avatar 14.7.2010 23:51 vencour | skóre: 56 | blog: Tady je Vencourovo | Praha+západní Čechy
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500

    Nedávno jsem zjistil, že existuje něco jako Shrew VPN, ještě jsem neměl čas si s tim hrát.

    Ty nejhlubší objevy nečekají nutně za příští hvězdou. Jsou uvnitř nás utkány do vláken, která nás spojují, nás všechny.
    15.7.2010 09:30 skunerq | skóre: 19 | blog: skunerovo
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    shreesoft VPN je super, navic jako prvni umel windows 64b VPN clienta dobra dokumentace, umi VPNky proti vsem beznym VPN koncentratorum a navic nezasere system virtualnima sitovyma adapterama ...
    Pravák Bob avatar 15.7.2010 08:25 Pravák Bob | skóre: 13 | Praha
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    vpnc certifikáty umí, ale je nutné ho přeložit ze zdrojáků s

    OPENSSL_GPL_VIOLATION = -DOPENSSL_GPL_VIOLATION

    OPENSSLLIBS = -lcrypto

    a v konfigu použít

    IKE Authmode hybrid
    knowledge brings fear
    15.7.2010 10:55 Ivan
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    Diky za navod !!. U nas VPN koncentrator tvrdi ze XAUTH umi, ale pouze v pripade, kdyz pouziu force mode(nebo agressive?)

    15.7.2010 11:14 Ján Chrastina | skóre: 4 | blog: Pavuk
    Rozbalit Rozbalit vše Re: IPSec VPN z Linuxu na Cisco ASA 5500
    Práve agresívny režim je u nás zakázaný a povolený je len main. Ktosi odhalil že agresívny režim s XAUTH nie je bezpečný. Pre main režim a neznámu IP klienta treba aj tie certifikáty.

    Založit nové vláknoNahoru

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.