abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 07:00 | IT novinky

    Komunikační software Signal (Wikipedie) v nové beta verzi umožňuje komunikaci mezi uživateli bez prozrazení telefonního čísla. Telefonní číslo je ale nadále nutné zadat při registraci do Signalu.

    Ladislav Hagara | Komentářů: 5
    dnes 00:22 | Nová verze

    Google Chrome 122 byl prohlášen za stabilní. Nejnovější stabilní verze 122.0.6261.57 přináší řadu oprav a vylepšení (YouTube). Opraveno bylo 12 bezpečnostních chyb. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    včera 15:55 | Nová verze

    Byl vydán Mozilla Firefox 123.0. Přehled novinek v poznámkách k vydání, poznámkách k vydání pro firmy a na stránce věnované vývojářům. Řešeny jsou rovněž bezpečnostní chyby. Nový Firefox 123 je již k dispozici také na Flathubu a Snapcraftu.

    Ladislav Hagara | Komentářů: 0
    včera 13:00 | Komunita

    Open source stavebnice STEMFIE nově podporuje TT motory. Videoukázka na YouTube.

    Ladislav Hagara | Komentářů: 0
    včera 07:00 | Zajímavý software

    Společnost Valve uvolnila zdrojové kódy svého zvukového frameworku Steam Audio SDK pod open source licencí Apache 2.0. Zdrojové kódy jsou k dispozici na GitHubu.

    Ladislav Hagara | Komentářů: 1
    19.2. 23:11 | Nová verze

    Byla vydána nová verze 5.10 svobodného multiplatformního softwaru pro konverzi a zpracování digitálních fotografií primárně ve formátů RAW RawTherapee (Wikipedie). Vedle zdrojových kódů je k dispozici také balíček ve formátu AppImage. Stačí jej stáhnout, nastavit právo ke spuštění a spustit.

    Ladislav Hagara | Komentářů: 5
    19.2. 14:33 | Komunita

    MojeFedora.cz informuje, že ovladač Nvidia už není v GNOME Software. Před 7 lety se zjednodušil způsob, jak nainstalovat proprietární ovladače Nvidia do Fedory. Pokud jste po instalaci souhlasili s repozitáři třetích stran, přidal se speciální repozitář z RPMFusion, který balíčky s ovladačem obsahoval. Zároveň byla přidána integrace s GNOME Software, takže stačilo dát hledat v katalogu softwaru "nvidia" a ovladač šlo nainstalovat

    … více »
    Ladislav Hagara | Komentářů: 86
    19.2. 12:44 | Zajímavý software

    Castle Game Engine je multiplatformní open source 2D i 3D herní engine pro vývoj her v programovacím jazyce Pascal (Proč v Pascalu?). Zdrojové kódy jsou k dispozici na GitHubu. Videoukázky na YouTube.

    Ladislav Hagara | Komentářů: 0
    19.2. 12:22 | Komunita

    DevConf.CZ 2024, jedna z největších akcí zaměřených na Linux a open source ve střední Evropě, proběhne od 13. do 15. června v Brně. Do 3. března lze přihlásit přednášku nebo workshop.

    Ladislav Hagara | Komentářů: 0
    17.2. 16:44 | Komunita

    Na čem aktuálně pracují vývojáři GNOME a KDE? Pravidelný přehled novinek v Týden v GNOME a Týden v KDE.

    Ladislav Hagara | Komentářů: 2
    Kolik máte nálepek na víku notebooku?
     (17%)
     (59%)
     (5%)
     (3%)
     (5%)
     (10%)
    Celkem 349 hlasů
     Komentářů: 12, poslední 15.2. 10:39
    Rozcestník

    Dotaz: Nefungujici IPSEC

    13.9.2007 12:21 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Nefungujici IPSEC
    Přečteno: 694×
    Dobry den,

    snazim se propojit dve LAN site do VPN pomoci nativni implementace IPSEC v jadrech 2.6 - tedy pomoci setkey a racoon. Avsak nekde v konfiguraci nastala chyba, protoze pri pokusu o ping z jedne site do druhe se racoon ani nepokusi spojit.

    Sit vypada takto: 172.16.2.xx/24 <--> brana 172.16.2.254 s verejnou IP [ip-1] <--> internet <--> brana 172.16.0.1 s verejnou IP [ip-2] <--> sit 172.16.0.xx/24

    Setkey jsem nakonfiguroval na stroji s [ip-1] takto:
    spdadd 172.16.0.0/24 172.16.2.0/24 any -P in ipsec
           esp/transport/[ip-2]-[ip-1]/require
           ah/transport/[ip-2]-[ip-1]/require;
    
    spdadd 172.16.2.0/24 172.16.0.0/24 any -P out ipsec
           esp/transport/[ip-1]-[ip-2]/require
           ah/transport/[ip-1]-[ip-2]/require;
    
    Na druhe brane je konfigurace obdobna, ale se zamenenim in za out a naopak.

    A racoon je nakonfigurovan takto:
    ...
    
    remote 217.11.242.73
    {
            exchange_mode main;
            my_identifier address [ip-1];
            peers_identifier address [ip-2];
            generate_policy on;
    
            proposal {
                    encryption_algorithm 3des;
                    hash_algorithm sha1;
                    authentication_method pre_shared_key;
                    dh_group 5;
            }
    }
    
    ...
    
    Po spusteni racoon v debug-modu a po pokusu o ping z brany 1 na IP adresu 172.16.0.1 vsak dojde ke smerovani pozadavku nikoliv zasifrovane po VPN siti, ale do internetu. Vystum racoonu vypada takto:
    2007-09-13 12:16:24: INFO: @(#)ipsec-tools 0.6.6 (http://ipsec-tools.sourceforge.net)
    2007-09-13 12:16:24: INFO: @(#)This product linked OpenSSL 0.9.8e 23 Feb 2007 (http://www.openssl.org/)
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for AH
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for ESP
    2007-09-13 12:16:24: DEBUG: call pfkey_send_register for IPCOMP
    2007-09-13 12:16:24: DEBUG: reading config file /etc/racoon.conf
    2007-09-13 12:16:24: DEBUG: compression algorithm can not be checked because sadb message doesn't support it.
    2007-09-13 12:16:24: DEBUG: filename: /etc/racoon/belgicka-omnicon-vpn.conf
    2007-09-13 12:16:24: DEBUG: reading config file /etc/racoon/belgicka-omnicon-vpn.conf
    2007-09-13 12:16:24: INFO: 10.0.0.2[4500] used as isakmp port (fd=5)
    2007-09-13 12:16:24: INFO: 10.0.0.2[4500] used for NAT-T
    2007-09-13 12:16:24: INFO: 10.0.0.2[500] used as isakmp port (fd=7)
    2007-09-13 12:16:24: INFO: 10.0.0.2[500] used for NAT-T
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.2.0/24[0] 172.16.0.0/24[0] proto=any dir=out
    2007-09-13 12:16:24: DEBUG: db :0x4b1210: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=in
    2007-09-13 12:16:24: DEBUG: get pfkey X_SPDDUMP message
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=fwd
    2007-09-13 12:16:24: DEBUG: db :0x4b1210: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=in
    2007-09-13 12:16:24: DEBUG: sub:0x7fa2da70: 172.16.0.0/24[0] 172.16.2.0/24[0] proto=any dir=fwd
    2007-09-13 12:16:24: DEBUG: db :0x4b1a78: 172.16.2.0/24[0] 172.16.0.0/24[0] proto=any dir=out
    
    Mohl by byt tedy problem v nastaveni smerovani nebo v konfiguraci setkey / racoonu. Za kazdou radu budu velmi rad a predem dekuji!

    S pozdravem,

    Marek Siller

    Odpovědi

    13.9.2007 12:26 Michal Kubeček | skóre: 72 | Luštěnice
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC

    1. U transport modu se adresy gatewayí nezadávají. Pokud ale chcete propojit sítě, potřebujete tunnel mode.

    2. Nevidím v té vaší konfiguraci řešení autentizace a nejsem si jistý, jaký je default.

    3. Jak vypadá sainfo sekce?

    13.9.2007 12:49 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC
    Dekuju za rychlou reakci!
    1. Pri konfiguraci jsem si to neuvedomil - zkousel jsem nekolik ruznych nastaveni i s propojenim pouze samotnych gatewayi.
    2. Autentizace je momentalne resena pres PSK - v souboru /etc/racoon/psk.txt (nakonfigurovano v racoon.conf) jsou uvedene shodna hesla.
    3. sainfo sekce vypada takto:
      sainfo address 172.16.2.0/24 any address 172.16.0.0/24 any
      {
              pfs_group 5;
              lifetime time 1 hour;
              encryption_algorithm 3des, blowfish;
              authentication_algorithm hmac_sha1, hmac_md5;
              compression_algorithm deflate;
      }
      
    Divne je, ze se ty brany ani nepokusi spolu ten IPsec tunel vytvorit - jak jsem jiz psal, pingy jsou smerovany do internetu.

    Diky, MS
    13.9.2007 12:35 Michal Kubeček | skóre: 72 | Luštěnice
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC

    Příklad, který by měl být funkční. setkey.conf:

    flush;
    spdflush;
    
    spdadd MY_IP PEER_IP any -P out ipsec
            esp/transport//require;
    spdadd PEER_IP MY_IP any -P in ipsec
            esp/transport//require;
    
    spdadd MY_NET PEER_NET any -P out ipsec
            esp/tunnel/MY_IP-PEER_IP/require;
    spdadd PEER_NET MY_NET any -P in ipsec
            esp/tunnel/PEER_IP-MY_IP/require;
    
    racoon.conf:
    path certificate "/etc/certs";
    
    remote PEER_IP
    {
            exchange_mode main;
    
            my_identifier asn1dn;
            certificate_type x509 "MY_NAME.cert" "MY_NAME.key";
            peers_certfile x509 "PEER_NAME.cert";
    
            proposal {
                    encryption_algorithm aes;
                    hash_algorithm sha1;
                    authentication_method rsasig;
                    dh_group 2;
            }
    }
    
    sainfo anonymous
    {
            pfs_group 2;
            encryption_algorithm aes, 3des;
            authentication_algorithm hmac_sha1;
            compression_algorithm deflate;
    }
    

    Certifikáty vygenerujete např. takto:

    #!/bin/bash
    
    host=`hostname -s`
    umask 077
    mkdir -p /etc/certs
    cd /etc/certs || exit 1
    rm -f ${host}.*
    
    openssl req -new -nodes -days 365 -newkey rsa:1024 \
      -config /mnt/demo/lnx03/crypto/mkcert.conf \
      -keyform PEM -keyout ${host}.key \
      -outform PEM -out ${host}.req
    
    openssl x509 -req -days 365 -in ${host}.req \
      -signkey ${host}.key -out ${host}.cert
    
    rm -f ${host}.req
    chmod 400 ${host}.key ${host}.cert
    

    (pak si vyměníte /etc/certs/*.cert)

    13.9.2007 12:57 chearius | skóre: 7 | blog: /dev/chearius | Heidelberg
    Rozbalit Rozbalit vše Re: Nefungujici IPSEC
    Dekuji! Vyzkousim to s temi certifikaty a dam vedet.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.