Поставь вардрайверов на колени

Andrey Matveev

Хакер, номер #082, стр. 082-106-7

# vi /etc/rc.local

[ -f /etc/ipsec/rc.vpn ] && sh /etc/ipsec/rc.vpn

[полезные мелочи]

Чтобы запросить у ядра ОС перечень действующих IPSec-туннелей и активных записей в базе SADB, можно воспользоваться штатной утилитой ipsecctl(8):

# ipsecctl -s all

FLOWS:

flow esp in from 192.168.2.2 to 192.168.2.1 peer 192.168.2.2

flow esp out from 192.168.2.1 to 192.168.2.2 peer 192.168.2.2

SADB:

esp from 192.168.2.1 to 192.168.2.2 spi 0x443382b3 3des-cbc hmac-sha1

esp from 192.168.2.2 to 192.168.2.1 spi 0xe6917ee7 3des-cbc hmac-sha1

Получить таблицу маршрутизации для инкапсулированных соединений можно с помощью netstat(1):

% netstat -nr -f encap

Routing tables

Encap:

Source Port Destination Port Proto SA(Address/Proto/Type/Direction)

192.168.2.2/32 0 192.168.2.1/32 0 0 192.168.2.2/50/use/in

192.168.2.1/32 0 192.168.2.2/32 0 0 192.168.2.2/50/require/out

Для удаления всех IPSec-потоков:

# ipsecadm flush

Псевдоустройство enc(4) представляет собой специальный интерфейс обратной петли, позволяющий производить фильтрацию IPSec-трафика и просматривать прохождение входящих/исходящих пакетов (относится только к транспортному режиму) перед тем, как они попадут во власть ESP и AH протоколов. Конечно же, для выполнения этой операции необходимо обладать правами суперпользователя (несоответствие контрольных сумм не должно тебя здесь смущать, мы же ведем прослушивание на псевдоинтерфейсе):

# tcpdump -n -e -ttt -vv -i enc0 port 445

tcpdump: WARNING: enc0: no IPv4 address assigned

tcpdump: listening on enc0, link-type ENC

Aug 13 18:55:31.373180 (authentic,confidential): SPI 0x0bf80add: 192.168.2.2.1066 >gt; 192.168.2.1.445: P 1804009685:1804009748(63) ack 2812031580 win 17520 (DF) (ttl 128, id 33135, len 103)

Aug 13 18:55:31.373589 (authentic,confidential): SPI 0xcd270528: 192.168.2.1.445 >gt; 192.168.2.2.1066: . 1:1425(1424) ack 63 win 17088 (ttl 64, id 46806, len 1464, bad cksum 14! differs by 3902)

Приведенная схема работы в сочетании с корректно настроенным dhcp-сервером и полупрозрачным мостом, выполняющим фильтрацию на основе MAC-адреса клиента (см. статью "Файервол-невидимка"), сослужит тебе хорошую службу. Удачи.

INFO

VPN - Virtual Private Network, виртуальная частная сеть

IPSec (IP Security Protocol) - это комплект протоколов, касающихся вопросов шифрования, аутентификации и обеспечения защиты при транспортировке IP-пакетов

ESP - Encapsulated Security Payload, инкапсуляция зашифрованных данных

AH - Authention Header, аутентифицирующий заголовок

SA - Security Association, защищенное соединение

SADB - Security Association Database, база данных защищенных соединений

SPD - Security Policy Database, база данных политик безопасности

IKE – Internet Key Exchange, протокол обмена ключами

SPI - Security Parameter Index, индекс параметров безопасности