IPsec VPN kasutamine OpenBSD'ga

Tunneling režiim

Olgu kuskil internetis teine sarnane võrk ('TUVIKE') st OpenBSD tulemüür ning selle taga kohtvõrk ning olukord, et teise kohtvõrgu TUVIKE teenustele, nt failiserverile mis asub aadressil 192.168.3.22, usaldatakse ligi esimese võrgu KALAKE kasutajaid.

                      _______ wire - 192.168.3.0/24 ________
                     |
                     |   
                   __|__ em0 192.168.3.254/24
                  |     |
       TUVIKE     |     |
                  |_____|
                     |   fxp0 172.16.2.1/28
                     |
                  internet               
                     |   
                   __|__ fxp0 172.16.1.17/28 
                  |     |
       KALAKE     |     |
                  |_____|
                     |   em0 192.168.1.254/24
                     |   
                     |_______ wire - 192.168.1.0/24 _________

Failiserverile (ja võimalikele muudele TUVIKE võrgu teenustele) ligipääsu saaks korraldada võrgu KALAKE kasutajatele põhimõtteliselt kahel viisil

• TUVIKE kohtvõrgu tulemüüri välisel seadmel porte sobivalt suunates sisevõrgu serverile
• moodustades virtuaalse võrgu (VPN), näiteks IPsec tehnika abil

Järgnevalt kirjeldame kuidas toimub IPsec abil VPN võrgu moodustamine ning selle kasutamine.

IPsec abil moodustub üle avaliku interneti kahe tulemüüri vahel IP kihi tasemel tunnel, mis praktiliselt tähendab seda, et näib nagu KALAKE ja TUVIKE kohtvõrgud oleksid ühendatud sama tulemüüri külge. Nt, KALAKE võrgust saab otse pöörduda kasutades TUVIKE kohtvõrgu failiserveri aadressi TUVIKE kohtvõrgu failiserveri poole.

IPsec tunneli moodustamiseks tuleb KALAKE tulemüüris moodustada fail /etc/ipsec.conf sisuga

ike esp from 192.168.1.0/24 to 192.168.3.0/24 peer 172.16.2.1

ning TUVIKE tulemüüris fail /etc/ipsec.conf sisuga

ike passive esp from 192.168.3.0/24 to 192.168.1.0/24 peer 172.16.1.17

Ning kopeerida KALEKE tulemüüri failisüsteemist fail /etc/isakmpd/local.pub TUVIKE tulemüüri failiks

/etc/isakmpd/pubkeys/ipv4/172.16.1.17

ning kopeerida TUVIKE tulemüüri failisüsteemist fail /etc/isakmpd/local.pub KALAKE tulemüüri failiks

/etc/isakmpd/pubkeys/ipv4/172.16.2.1

Peale nimetatud failide moodustamist tuleb esmalt TUVIKE tulemüüris käivitada isamkpd ning anda anda ipsecctl käsk

# isakmpd -K
# ipsecctl -f /etc/ipsec.conf

ning seejärel KALAKE tulemüüris sama.

Lisaks tuleb veenduda, et pf tulemüüri reeglid võimaldaksid IPsec tunneliga seotud andmevahetust. Selleks tuleb arvestada, et kaks IPsec osapoolt kasutavad suhtlemiseks esp protkolli ning udp protokolli puhul porti 500. Tulemüüris toimub tunnelisse liiklusse sisenemine seadme enc0 kaudu, samuti selle seadme kaudu väljub tulemüürist tunnelist liiklus, kusjuures vastavalt toimub andmete krüptimine ja dekrüptimine - enc0 seadet tcpdump programmiga pealt kuulates on võimalik jälgida krüptimata andmevahetust.

Selleks, et veenududa tunneli töötamises sobib kuulata tulemüüri välisel st füüsilisel seadmel võrku esp protokolli osas pealt

# tcpdump -n -i fxp0 esp
23:17:06.533589 esp 172.16.1.17 > 172.16.2.1 spi 0xA8A05056 seq 70 len 884 (DF)
23:17:06.534239 esp 172.16.2.1 > 172.16.1.17 spi 0x45CFA056 seq 71 len 436 (DF)
23:17:06.559449 esp 172.16.1.17 > 172.16.2.1 spi 0xA8A05056 seq 71 len 884 (DF)
23:17:06.560104 esp 172.16.2.1 > 172.16.1.17 spi 0x45CFA056 seq 72 len 452 (DF)
23:17:06.601676 esp 172.16.1.17 > 172.16.2.1 spi 0xA8A05056 seq 72 len 100 (DF)
23:17:06.638905 esp 172.16.1.17 > 172.16.2.1 spi 0xA8A05056 seq 73 len 100 (DF)

TUVIKE failiserveri kasutamine KALAKE võrgus paiknevast Solaris kliendist toimuks tavapärasel moel

bash# mount -F nfs -o vers=3 192.168.3.22:/data /data

Lisaks IPsec reeglite kehtestamisele saab ipsecctl utiliidi abil vaadata, millised on parasjagu kehtivad nn flow'd, KALAKE tulemüüris avaneb nt selline pilt

# ipsecctl -sf                                                                                                                 
flow esp in from 192.168.3.0/28 to 192.168.1.0/24 peer 172.16.2.1 srcid 172.16.1.17/32 dstid /172.16.2.132 type use 
flow esp in from 192.168.1.0/28 to 192.168.3.0/24 peer 172.16.2.1 srcid 172.16.1.17/32 dstid /172.16.2.132 type require

Võtmete tekitamine

 # /usr/sbin/openssl genrsa -out /etc/isakmpd/private/local.key 1024
 # chmod 600 /etc/isakmpd/private/local.key
 # openssl rsa -out /etc/isakmpd/local.pub -in /etc/isakmpd/private/local.key -pubout

 # openssl rsa -out /etc/isakmpd/local.pub -in /etc/isakmpd/private/local.key -pubout

gif seadme abil

Tundub, et vahel on populaarne kasutada ipsec'i koos gif või gre seadmetega, üks võimalik skeem võiks olla selline

                      _______ wire - 192.168.3.0/24 ________
                     |
                     |   
                   __|__ em0 192.168.3.254/24
                  |     |
       TUVIKE     |     | gif0 10.0.10.2
                  |_____|
                     |   fxp0 172.16.2.1/28
                     |
                  internet               
                     |   
                   __|__ fxp0 172.16.1.17/28 
                  |     |
       KALAKE     |     | gif0 10.0.10.1
                  |_____|
                     |   em0 192.168.1.254/24
                     |   
                     |_______ wire - 192.168.1.0/24 _________

gif seadmed seadistatakse sellisete /etc/hostname.gif0 failidega, kalakeses

 tuvike # cat /etc/hostname.gif0
 10.0.10.2 10.0.10.1 netmask 255.255.255.0 tunnel 172.16.2.1 172.16.1.17

ja kalakeses

 kalake # cat /etc/hostname.gif0
 10.0.10.1 10.0.10.2 netmask 255.255.255.0 tunnel 172.16.2.17 172.16.1.2

Peale gif seadmete moodustamist peab saama ühest teise poole pöörduda, aga kusjuures mitte kohalikku.

Seejärel tuleb ipsec seadistada selliselt

 tuvike # cat /etc/ipsec.conf
 ike esp tunnel from 192.168.3.0/24 to 192.168.1.0/24 peer 10.0.10.1
 ike esp transport from 10.0.10.2 to 10.0.10.1

 kalake # cat /etc/ipsec.conf
 ike esp tunnel from 192.168.1.0/24 to 192.168.3.0/24 peer 10.0.10.2
 ike esp transport from 10.0.10.1 to 10.0.10.2