abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 15:22 | Nová verze

    Byla vydána nová verze 18 integrovaného vývojového prostředí (IDE) Qt Creator. S podporou Development Containers. Podrobný přehled novinek v changelogu.

    Ladislav Hagara | Komentářů: 0
    dnes 12:55 | Nová verze

    Cursor (Wikipedie) od společnosti Anysphere byl vydán ve verzi 2.0. Jedná se o multiplatformní proprietární editor kódů s podporou AI (vibe coding).

    Ladislav Hagara | Komentářů: 1
    dnes 02:55 | Nová verze

    Google Chrome 142 byl prohlášen za stabilní. Nejnovější stabilní verze 142.0.7444.59 přináší řadu novinek z hlediska uživatelů i vývojářů. Podrobný přehled v poznámkách k vydání. Opraveno bylo 20 bezpečnostních chyb. Za nejvážnější z nich bylo vyplaceno 50 000 dolarů. Vylepšeny byly také nástroje pro vývojáře.

    Ladislav Hagara | Komentářů: 0
    dnes 01:22 | IT novinky Ladislav Hagara | Komentářů: 0
    včera 17:00 | Upozornění

    Národní identitní autorita, tedy NIA ID, MeG a eOP jsou nedostupné. Na nápravě se pracuje [𝕏].

    Ladislav Hagara | Komentářů: 9
    včera 16:44 | IT novinky

    Americký výrobce čipů Nvidia se stal první firmou na světě, jejíž tržní hodnota dosáhla pěti bilionů USD (104,5 bilionu Kč). Nvidia stojí v čele světového trhu s čipy pro umělou inteligenci (AI) a výrazně těží z prudkého růstu zájmu o tuto technologii. Nvidia již byla první firmou, která překonala hranici čtyř bilionů USD, a to letos v červenci.

    Ladislav Hagara | Komentářů: 6
    včera 14:11 | Komunita

    Po Canonicalu a SUSE oznámil také Red Hat, že bude podporovat a distribuovat toolkit NVIDIA CUDA (Wikipedie).

    Ladislav Hagara | Komentářů: 2
    včera 13:55 | Nová verze

    TrueNAS (Wikipedie), tj. open source storage platforma postavená na Linuxu, byl vydán ve verzi 25.10 Goldeye. Přináší NVMe over Fabric (NVMe-oF) nebo OpenZFS 2.3.4.

    Ladislav Hagara | Komentářů: 0
    včera 13:33 | Nová verze

    Byla vydána OpenIndiana 2025.10. Unixový operační systém OpenIndiana (Wikipedie) vychází z OpenSolarisu (Wikipedie).

    Ladislav Hagara | Komentářů: 0
    včera 13:22 | Zajímavý článek

    České základní a střední školy čelí alarmujícímu stavu kybernetické bezpečnosti. Až 89 % identifikovaných zranitelností v IT infrastruktuře vzdělávacích institucí dosahuje kritické úrovně, což znamená, že útočníci mohou vzdáleně převzít kontrolu nad klíčovými systémy. Školy navíc často provozují zastaralé technologie, i roky nechávají zařízení bez potřebných aktualizací softwaru a používají k nim pouze výchozí, všeobecně známá

    … více »
    Ladislav Hagara | Komentářů: 16
    Jaké řešení používáte k vývoji / práci?
     (36%)
     (48%)
     (19%)
     (19%)
     (22%)
     (17%)
     (21%)
     (16%)
     (17%)
    Celkem 285 hlasů
     Komentářů: 14, poslední 14.10. 09:04
    Rozcestník

    Dotaz: VPN IKEv2

    7.5.2019 00:18 zipi | skóre: 21
    VPN IKEv2
    Přečteno: 1363×
    Zdravím, řeším VPN IKEv2 postavenou na balíčku StrongSwan -> mám plně funkční přihlašování do VPN pomocí EAPu .. Nyní k problému, snažím se celý provoz z daného klienta nasměřovat do tunelu po připojení do VPN potřebuji řidit kdo kam může z hlavní firewallu. Klient běží na Windows 10. Neřešil někdo už obdobní problém ..?? Též přikládám svůj konfigurační soubor. Děkuji za každou radu .. PS: je to náhrada za L2TP VPN..
    config setup
    
        uniqueids=no
    
    conn %default
    
        esp = aes256-sha256,aes256-sha1,3des-sha1!
        ike = aes256-sha256-modp2048,aes256-sha1-modp2048,aes128-sha1-modp2048,3des-sha1-modp2048,aes256-sha256-modp1024,aes256-sha1-modp1024,aes128-sha1-modp1024,3des-sha1-modp1024!
    
        dpdaction=clear
        dpddelay=35s
        dpdtimeout=2000s
    
        keyexchange=ikev2
        auto=add
        rekey=no
        reauth=no
        fragmentation=yes
        compress=yes
    
        leftcert=fullchain.pem
        leftsendcert=always
        leftsubnet=0.0.0.0/0
        leftfirewall=yes
    
        eap_identity=%identity
        rightsourceip=192.168.10.0/24 ## nejde použít parametr 0.0.0.0/0
    
        leftdns = 192.168.10.1
        rightdns = 192.168.10.1
    
    conn ikev2-mschapv2
        rightauth=eap-mschapv2
        leftid=vpn.dserver.cz
    
    conn ikev2-mschapv2-apple
        rightauth=eap-mschapv2
        leftid=vpn.dserver.cz
    

    Řešení dotazu:


    Odpovědi

    7.5.2019 08:42 NN
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Pochopil jsem dobre, ze na Win10 potrebujes nasmerovat cely provoz do VPN?
    7.5.2019 11:02 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    ano chápeš to správně ..
    7.5.2019 14:34 NN
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Dobre, muzes dodat log sestaveni tunelu? Jak to vypada na klientovi po sestaveni?
    8.5.2019 11:11 Kriegel
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Řešil jsem opačnou situaci (tedy jen specifické routy přes VPN) na W8.1 -- tam to bylo defaultně routováno vše přes VPN, u W10 je to údajně vypnuto -- bylo na to zaškrtávátko v nastavení -- "use default gateway on remote network" v nastavení IP toho VPN připojení (dostupné jen z control panelu - network connections); jinak se to dalo rozbourat i ručně modifikací routovací tabulky přes netsh

    Podle strongswan dokumentace je další možnost push routy přes DHCP options -- tyto routy údajně Windows neignorují... to jsem ale neřešil, byl to můj stroj, nepotřeboval jsem žádné centralizované bezpečnostní nemodifikovatelné řešení.
    Max avatar 8.5.2019 19:01 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Řešil jsem také split tunneling. Ve win jde defaultně vše přes VPN. Osobně to mám rozjeté všude (win7-10, Win mobile 8.1 - 10, Android, iPhone) jako split, nakonec i ve win a bez dhcp. To mi tenkrát nešlo, možná proto, že jsem byl v mezičase, kdy se z linux implementace vyhodilo pluto s virtuálním vpn interface. Je na čase se na to podívat znovu.
    Zdar Max
    Měl jsem sen ... :(
    13.5.2019 00:56 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Max, jsi ochoten nasdílet konfiguraci ..? Právě, že ve WIN10 nejede defaultne vše přeš VPN musel jsem upravit ve WIN na interface VPN metric, aby to všechno posílalo do daného tunelu .. JInak to Win úspešně ignorovalo.
    25.5.2021 14:12 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Zdravím, neřešil někdo z Vás obdobní problém na straně Windows "Přihlašovací údaje pro ověření výměnu klíčů po internetu jsou nepřijatelné" :(
    Max avatar 25.5.2021 14:28 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Log na straně serveru ti více napoví.
    Každopádně pokud používáš ověřování certifikátu serveru + login a pw uživatele, tak musíš mít v klientském PC nainstalován kořenový cert, kterým je podepsán ten server.
    Každopádně toto značí nějaký problém při tom první ověření serveru, že to ještě nedojde k loginu a heslu, aspoň myslím.
    Zdar Max
    Měl jsem sen ... :(
    25.5.2021 15:35 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    právě, že log nic moc neřekne :( Jabko, třeba na první dobrou se připojí.
    May 25 15:31:48 16[IKE] ikev2-vpn|16 initiating EAP_IDENTITY method (id 0x00)
    May 25 15:31:48 16[IKE] ikev2-vpn|16 peer supports MOBIKE
    May 25 15:31:48 16[IKE] ikev2-vpn|16 authentication of 'vpn.xxx.com' (myself) with RSA signature successful
    May 25 15:31:48 16[IKE] ikev2-vpn|16 sending end entity cert "CN=vpn.xxx.com"
    May 25 15:31:48 16[ENC] ikev2-vpn|16 generating IKE_AUTH response 1 [ IDr CERT AUTH EAP/REQ/ID ]
    May 25 15:31:48 16[ENC] ikev2-vpn|16 splitting IKE message (1696 bytes) into 2 fragments
    May 25 15:31:48 16[ENC] ikev2-vpn|16 generating IKE_AUTH response 1 [ EF(1/2) ]
    May 25 15:31:48 16[ENC] ikev2-vpn|16 generating IKE_AUTH response 1 [ EF(2/2) ]
    May 25 15:31:48 16[NET] ikev2-vpn|16 sending packet: from xxx.xxxx.xxx.xxx[4500] to xxx.xxxx.xxx.xxx[4500] (1236 bytes)
    May 25 15:31:48 16[NET] ikev2-vpn|16 sending packet: from xxx.xxxx.xxx.xxx[4500] to xxx.xxxx.xxx.xxx[4500] (532 bytes)
    May 25 15:32:04 07[JOB] ikev2-vpn|16 deleting half open IKE_SA with xxx.xxxx.xxx.xxx after timeout
    May 25 15:32:12 14[JOB] ikev2-vpn|15 deleting half open IKE_SA with xxx.xxxx.xxx.xxx after timeout
    May 25 15:32:18 16[JOB] ikev2-vpn|16 deleting half open IKE_SA with xxx.xxxx.xxx.xxx after timeout
    
    
    
    Max avatar 25.5.2021 15:48 Max | skóre: 72 | blog: Max_Devaine
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Tohle jsem řešil teď nedávno. Máš tam timeouty, tj. jedna strana nevidí na druhou. Může to být i chybně nastaveným natem.
    Zdar Max
    Měl jsem sen ... :(
    25.5.2021 20:42 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Aspoň, vím, že to má nějaké řešení - jsi ochoten se podělit o řešení .? Vyzkoušel jsem snad dneska všechno a bez výsledku ..
    25.5.2021 21:15 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Ještě přikládám strongswan.conf.
    
    charon {
    
           # duplicheck.enable = no
           dns1 = 8.8.8.8
    
           # for Windows only
           nbns1 = 8.8.8.8
    
      plugins {
        eap-tls {
          fragment_size = 512
        }
      }
    
    
        filelog {
            charon {
                path = /var/log/strongswan.log
                time_format = %b %e %T
                ike_name = yes
                append = yes
                default = 1
                flush_line = yes
            }
            stderr {
                ike = 2
                knl = 3
            }
        }
    
        load_modular = yes
        compress = yes
        plugins {
            include strongswan.d/charon/*.conf
    
       }
    }
    
    include strongswan.d/*.conf
    ~                              
    
    
    26.5.2021 11:40 zipi | skóre: 21
    Rozbalit Rozbalit vše Re: VPN IKEv2
    Celý problem je v tom, že win pracuje jinak s certifikáty :( /etc/strongswan/ipsec.d/cacerts/ -> zde museji být komplet certifikáty - certifikační autorita

    However, instead of self-generating my own certificate authority and having to deal with manually trusting this untrusted CA on every device I have to use VPN on, I decided that since I had letsencrypt in standalone mode set up on my server already (and the vpn subdomain properly covered under the certificate), I might as well use that certificate instead. I’m sure I’m committing half a dozen security sins, but it saves me time that I used to spend googling “how to trust certificate authority on [device name]”.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.