Newsgroup: it.comp.sicurezza.varie
Titolo: ipsec

Ciao a tutti, 
ho bisogno di un aiuto, se c'è chi può darmene, con la configurazione
di una macchina che monta una minidistro leaf/bering. Questa macchina
deve essere utilizza (per forza), oltre che come firewall, anche come
testa di ponte per un tunnel ipsec con pre-shared key.
Ho già configurato la macchina e penso di non aver fatto errori, ma
non potrò provarla davvero fino a che non andrà in "produzione". Non
avendo esperienza di questo tipo di scenari, mi domando:
il tunnel ipsec con pre-shared key non funziona come una normale vpn
che ha unlato client e uno server, giusto?
voglio dire, se le rules e le policy impostate sul firewall, insieme
alla configurazione del tunnel ipsec, sono fatte correttamente una
volta accesa la macchina il tunnel dovrebbe essere attivo, vero?
Sui client della lan che stanno dietro al firewall vanno effettuate
qualche operazioni? Vanno aggiunte delle rotte? Quali?
Mi reondo conto che la configurazione è un po' particolare, ma non
posso allontanarmi da questo scenario in quanto mi immetto su di un
lavoro già cominciato e funzionante. Tutti i consigli sono benvenuti e
graditi.
Già.

 che ha unlato client e uno server, giusto?
[cut]
scusa ma partiamo da qua.
cosa intendi dire che non ha un lato client
e un lato server ?
anche se l'autenticazione è l2tp con ipsec
in ogni caso il client vpn deve chiamare un server vpn
nonostante venga utilizzata un pre shared key
per la crittazione.
prova a leggere questo:
http://support.microsoft.com/default.aspx?scid=kb;en-us;240262
se ho capito male, prova a spiegarmi meglio.
ciao.
-- 
Edoardo Benussi - 
e...@mvps.org
Microsoft® MVP - Windows Server
http://mvp.support.microsoft.com
http://italy.mvps.org

 
http://support.microsoft.com/default.aspx?scid=kb;en-us;240262
Grazie Edo, aggiungo solo un link, giusto per completezza
visto che "Gi?" sta usando Leaf(Bering) ossia una distro Linux
"tagliata" per compiti di NAT/Firewall
http://jixen.tripod.com/
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://mvp.support.microsoft.com
DNS "fail-safe" for Windows clients.
http://ntcanuck.com
408+ XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 e un lato server ?
Che stiamo parlando di layer ip.
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 qualche operazioni? Vanno aggiunte delle rotte? Quali?
Se il loro default gateway è già la linux box, no.
Esempio:
# /etc/init.d/ipsec start
Dopo aver fatto partire ipsec, avrò una rotta del genere:
# netstat -rn | grep 10.43
10.43.0.0       81.xxx.xxx.xxx  255.255.0.0  UG  0 0      0 ipsec0


mi sono spiegato male io.
la mia domanda è: volendo implementare questo tunnel ipsec tra due
macchine leaf/bering basta configurare i files ipsec.conf e
ipsec.secrets, oltre alle policy e rules del firewall per fare in modo
che il tunnel sia attivo?
Perdonate la mia confusione, ma è la prima volta che implemento un
tunnel e ne so poco.
Sulla documentazione del Leaf/Bering non parla di lato server e lato
client, questo era il motivo della mia perplessità. Volevo solo avere
conferma che può funzionare toccando i files di cui sopra.
Per quanto riguarda il discorso delle rotte da aggiungere ai client
della LAN, mettendo che il default gateway sia diverso dal firewall
Leaf/Bering cosa devo aggiungere?
Grazie ancora per l'aiuto.
Già