Newsgroup: it.comp.os.linux.sys
Titolo: Vpn + Internet

Ciao a tutti,
stò installando due server per creare una vpn tra due sedi di un ufficio,
userò Redhat 7.3 + Freeswan, adesso mi sorgono un pò di dubbi, visto che le
rispettive sedi navigano anche in internet logicamente come devo gestire la
rete per permettere cmq di continuare a navigare ??
Consideriamo solo una sede tanto penso poi di poter copiare il tutto
nell'altra una volta risolto il problema:
--> il server deve avere due schede di rete ?? (tipo funzione firewall)
--> chi è che farà da gateway per internet ??
--> come devono essere settati i client di un ufficio nei confronti del
server vpn (che poi comunicherà con un altro server nell'altro ufficio) per
permettere anche a loro di essere in rete ??
Grazie mille
Mat

--> il server deve avere due schede di rete ?? (tipo funzione firewall)
dipende
--> chi è che farà da gateway per internet ??
dipende
--> come devono essere settati i client di un ufficio nei confronti del
server vpn (che poi comunicherà con un altro server nell'altro ufficio) per
permettere anche a loro di essere in rete ??
dipende
Descrivici un pò la tua situazione attuale... chi fa natting... se lo fai...
etcc...
dove hai intenzione di installare le macchine...
insomma... ci sono 10k modi per risolvere il problema...
Max

 insomma... ci sono 10k modi per risolvere il problema...
Allora la mia situazione è così:
1° sede: --> una LAN su ip 10.0.0.1 a 254 con router adsl Alcatel con ip
statico per connessione internet
             --> nessun server per ora, tutti client win98 o w2k pro, come
gateway ip router 10.0.0.138
             --> tutta la LAN lavora su gruppo di lavoro
2° sede: --> una LAN su ip 10.0.1.1 a 254 con router 3Com adsl 812 con ip
statico per conn. internet
             --> nessun server per ora, tutti client w2k pro, come gateway
ip router 10.0.1.138
             --> tutta la LAN lavora su gruppo di lavoro
Ora dispongo di altri due server: --> IBM Netfinity 5000 (una sola sk rete)
                                                 --> IBM Netfinity 3000 (una
sola sk rete)
Obbiettivo: Mettere in comunicazione le due LAN, settare sul Netfinity 5000
Samba per fare anche da fileserver e permettere ad ogni rete di andare in
internet usando la propria adsl, quindi i nuovi server dovranno fare anche
da gateway, quello che ora fanno i router.........
Fino ad oggi ogni volta che avevo fatto da gateway a linux avevo sempre
usate shorewall con due sk di rete che mi faceva anche da firewall ?? adesso
mi trovo un pò spiazzato !!!
Grazie mille e spero di essere stato abbastanza chiaro
Matteo

 adesso mi trovo un pò spiazzato !!!
Se usi i netfinity per fare da gateway vpn devi anche assegnargli un ip
pubblico (tramite nat bidirezionale).
Quindi:
1) Hai un router serio, con funzionalità di firewall serie (tipo IOS, per
intenderci... no, dico il FW, non le access-list), lo sai configurare
come si deve. Il nat/firewall lo fai fare a lui, e a questo punto non
vedo perchè rigirare la vpn all'interno: ipsec e te la fa il router.
2) Hai un router modello ciofeca 2002. Devi metterci dietro un firewall
per effettuare il nat e avere qualche minima garanzia. Sulla macchina
interna rigiri un ip pubblico per fare la vpn? Fallo fare al firewall...
3) Vuoi usare il server di produzione come firewall così ti fa anche la
vpn? Lascia stare ;-)
Okkio che se usi ipsec, il nat dà problemi (leggi: non lo fare).
Inoltre, ipsec o no, almeno una delle due macchine deve avere un ip
pubblico. Se usi ipsec tutte e due.
In linea di massima, comunque, a meno che la rete non sia quella della
parrocchia, consiglierei un consulente...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 interna rigiri un ip pubblico per fare la vpn? Fallo fare al firewall
Sul server netfinity c'è semplicemente installato redhat 7.3 e non è
obbligatorio che diventi un server di produzine samba posso anche metterlo
in altro loco !!
Mi date info riguardo le specifiche, avendo dei router maffi che non posso
fare nulla e devo far fare tutto a linux ??
Grazie mille
Mat

 posso fare nulla e devo far fare tutto a linux ??
Di solito, liddove non ha senso ( in termini fatica/vantaggi ) usare
ipsec, io uso vtund (
vtun.sourceforge.net
) e ne sono felice ;-)
Come dicevo, *devi* avere un ip pubblico su uno dei due capi, quindi devi
impostare il tuo router per rigirare il traffico all'interno (almeno per
la porta su cui fai girare il server vtun). Il come dipende dal tuo
router e ti ci arrangi ;-)
RedHat per questi utilizzi fornisce cipe, ma non l'ho mai usato e non so
dirti come è. Comunque soluzioni per il tunneling non mancano.
Nella tua situazione abbandona l'idea di usare ipsec perchè, come dicevo,
usarlo con nat è (,se non impossibile, quantomeno) un macello.
Per quanto riguarda il discorso di dove mettere samba, io lo lascerei sul
netfinity, ma all'interno: un netfinity 5000 come
router/firewall/tunnel ha una potenza di calcolo da poter tenere in piedi
un flusso a 50/60 Mbps (se è un 5000 come quello che ho qui, ovvero non
vecchissimo...), un po' esagerato per una ADSL...
E' un po' come andare a caccia di quaglie con un leopard...
Piuttosto piglia un pc "cool" e usa quello, che il netfinity te lo tieni
buono dentro...
Byez


La mia soluzione è questa (che come ti ho scritto, funziona a meraviglia).
prendi due macchine modello pentium con 32/64Mb di ram minimo... e 200Mb di
HD (dico 200 perchè usi redhat. con la debian ne bastabno 50.
Ci metti 2 sk di rete. Le realtek 8139 vanno da dio e costano 10euro.
Sull'interfaccia interna delle macchine linux, che chiamerò firewall o FW,
gli dai l'IP 254 che hai sul router.
Queste macchine per prima cosa devono fare natting verso l'esterno.
Poi devi firewallarle come si deve, ma lascia questo punto per ultimo...
altrimenti il debugging per te diventa difficile.
sull'interfaccia esterna gli dai un ip tipo 192.168.0.1 e al router
192.168.0.254. Il default GW dsarà per il FW ovviamente il 192.168.0.254.
In queste condizioni tutte le macchine interne escono su internet e fanno
quello che vogliono.
FINE PASSO 1
INIZIO PASSO 2
come ti ho accennato in un post precedente, devi fare in modo che i router
passino tutti i pacchetti all'interno verso un host predefinito che nel
nostro caso sarà il 192.168.0.1. Sul 3com ti ho già scritto come fare.
Sull'alcatel non lo so.
A questo puncon configuri freeswan. Siccome freeswan aggiunge le routing per
le altre reti in automatico, non devi far nulla sui client...
Anche per la configurazione di freeswan ti ho già postato la configurazione.
FINE PASSO 2
NOTE
1) ovviamente quello che fai su una rete lo devi fare anche sull'altra.
2) Matteo, non avventurarti in qualcosa di complicato se non hai
l'esperienza ed il tempo.
Nel caso avessi il tempo per fare prove, fai pure.
Altrimenti paga un consulente che te lo fa velocemente senza il minimo
problema...
Vuoi un altro consiglio? scaricati smoothwall che è una distro che fa queste
cose.
Mi dicono che funziona egregiamente.
Io non la uso perchè sono convinto che le cose personalizzate siano meglio.
ma smoothwall che è amministrabile via web potrebbe fare al caso tuo.
Aggiungo che usare qualcosa con l'interfaccia grafica non ti esula dal
conoscere un minimo quello che usi.
Ovvero: i parametri che inserisci sono gli stessi che dovresti usare facendo
le cose a mano...
Quindi valgono le cose che ti ho esposto sopra e nei post precedenti, ma non
ti esula dal fatto che se vuoi fare le cose da solo un pò di documentazione
su cui sbattere la testa la devi leggere.
Se la documentazione la stampi sugli scottex, la testa fa meno male...
perchè la carta è + morbida.
Non stamparla sulla carta igienica perchè, pur avendo 4 veli, è troppo
stretta! :-)
Max

skull, freeswan col nat non c'entra nulla....
Io non parlo di vtund o simili perchè non li ho mai usati in ambienti di
produzione seri.
Ma freeswan sta girando su una rete internazionale col centro stella che
regge una trentina di sedi tute in nat e va da dio.
Il nat serve per quando navighi in internet. Per le VPN il nat non c'entra
nulla!
Inoltre, il vantaggio di freeswan è che è compatibile con roba molto +
grossa, tipo cisco, sonicwall, bintec etcc...
Dimenticavo: per matteo: esistono dei routerini/firewallini che hanno la vpn
incorporata (e guarda caso hanno la VPN in ipsec).
Volendo puoi comprarti un paio di quelli e sei a posto... solo che devi
sostituire il 3com e l'alcatel che usi come riserva.
Linux questi lavori li fa molto mammolto bene.
Ma per applicazioni semplici, magari conviene comprare un aggeggino +
semplice. Soprattutto se non c'è gente che sappia come far funzionare linux
Max


Ho abbastanza tempo e volevo un pò imparare da solo queste cose, quindi ti
chiedo due cose ancora:
Mi ha parlato di mettere due sk di rete sulle macchine, ma intendo due sk
per ogni macchina quindi 4 in tot o una per macchina ??
Poi prima come settaggi ip delle sk parli d'interfaccia, con questo termine
intendi scheda ?? quindi quando dici di settare l'interfaccia interna con ip
254 intendi tipo che l'eth1 abbia ip 254....
o nel caso invece ci sia solo una scheda per computer e io abbia capito male
devo mettere a solo questa sk come ip 192.168.0.1 e come gw 254 (ip anche
del router)... quindi come interfaccia inetrna intendi il default gateway ??
Nel caso invece abbia capito bene e debba mettere due sk per computer è
normale che la sk della rete interna abbia lo stesso ip del router ?? non
crea problemi ?? anche perchè la sk esterna quella che và sul router ha che
default gw lo stesso ip del router e della sua sk interna ???
Grazie mille per il resto + o meno ci sono...
Matteo

Ancora una cosa,
mi potrsti postare un attimo la tua configurazione che non la trovo piů....
grazie mille
Mat

 quando navighi in internet. Per le VPN il nat non c'entra nulla!
Quello che intendevo è diverso (forse mi son spiegato male...)
Lui ha una ADSL con 1 ip pubblico (assegnato al router); almeno da quanto
ho capito.
Per poter avere una macchina con ip pubblico, l'unica è farlo tramite
NAT, dirottando l'ip del router su una macchina interna.
Il risultato è che la macchina che incapsula ipsec ha un ip privato, ma
viene vista dall'esterno con ip pubblico, il che ti impedisce (per quanto
ne so, dato che non mi risultano metodi per aggirarlo) di usare AH come
autenticazione, e slittare su ESP.
Inoltre il troubleshooting per configurazioni di questo genere non è
banale, soprattutto dal momento che lui non ha *una* macchina con ip
privato, ma tutte e due. Quanto è immediato usare freeswan/ipsec in
questo contesto?
A seconda poi della granularità permessa dalla configurazione del router,
potrebbe anche essere impossibile farlo funzionare (freeswan si aspetta
IKE sulla 500 udp e *dalla* 500 udp. E se il router quando natta riscrive
la porta sorgente?)
Viceversa, vtun permette una configurazione facile, non ha problema a
lavorare attraverso NAT, permette una sicurezza adeguata a piccole reti,
(ovvero dove l'idea non è quella di proteggersi dal crittoanalista con
due (  ) così che cerca di forzarti la rete per portarsi a casa la lista
delle spie del KGB...)
Se la situazione fosse tale da richiedere ipsec, avrebbero un consulente
che gli gestisce il networking: inutile pigliare a testate ipsec per
metter su la vpn e poi avere il firewall gestito in casa con ssh
aggiornato a 3 mesi fa.
Se poi ha il tempo e la voglia di tramacciare con ipsec per altre
ragioni, beh, è altro discorso.
Il tutto, ovviamente, IMHO...


 ragioni, beh, č altro discorso.
Concordo! :-)
Max

 esempio) che non conoscono proprio ESP e AH e non li lasciano passare.
Immaginavo anche una possibilità di questo genere, con router low-end, ma
non essendomi mai capitata ho evitato di citarla...
Buona a sapersi...
Byez...


 default gw lo stesso ip del router e della sua sk interna ???
no, non ci siamo capiti.
sulla sk interna c'è la tua rete interna. 
10.0.0.0/24
 e l'IP sarà 10.0.0.x
(consigliato x=254)
sulla sk esterna c'è la 192.168.0.0 o quella che vuoi, e anche il router
sarà configurato con un IP di quella rete.

Allora, mi intrometto nella vostra discussione,
visto che ormai conoscete la nostra situazione e il nostro problema non č
molto una questione di sicurezza quanto invece quello di collegare due o piů
sedi distanti tra loro, forse la soluzione del VTUN sarebbe piů ideale....mi
potreste dare info a riguardo allora ?? o siti dove prenderene ?? grazie
mille
Matteo

 grazie mille
Te la riposto integrale
#************************************************
Allora: per il 3com potrai avere problemi... ne ho uno solo e dopo un pň.
pure se la vpn rimane su, la rete non dietro il 3com non puň accedere
all'altra... soluzione pingare da dietro il 3com l'altra rete.
Con l'alcatel non ci sono problemi.
Allora: devi fare in modo che tutti i pacchetti che arrivano al router
vadano al gateway VPN interno.
(full nat). ti servono in particolare i protocolli 50, 51 eudp porta 500
(ike).
Fatto questo, avrai la tua lan privata ed un pezzo di rete di un'altra
classe che va dal gateway (che ha 2 sk di rete) al router.
le configurazioni ( a parte le secrets) saranno + o meno cos'ě:
config setup
        # THIS SETTING MUST BE CORRECT or almost nothing will work;
        # %defaultroute is okay for most simple cases.
        interfaces=%defaultroute
        # Debug-logging controls:  "none" for (almost) none, "all" for lots.
        klipsdebug=none
        plutodebug=none
        # Use auto= parameters in conn descriptions to control startup
actions.
        plutoload=%search
        plutostart=%search
        # Close down old connection when new one using same ID shows up.
        uniqueids=yes
        hidetos=no
        # pass drop (default) reject drop
        #packetdefault=pass
        #nat_traversal=yes
        #plutowait=no
conn %default
        # authby=rsasig
        # leftrsasigkey=%dns
        # rightrsasigkey=%dns
        # Right security gateway, subnet behind it, next hop toward left.
        disablearrivalcheck=no
        keyingtries=0
       #IL PEZZO DI RETE TRA IL GW E IL ROUTER
        right=10.10.11.1
        rightnexthop=10.10.11.254
       # LA RETE DIETRO 1 GW
        rightsubnet=
10.10.10.0/24
        rightid=<IP PUBBLICO FISSO DEL ROUTER>
        auth=esp
        esp=3des-md5-96
        ikelifetime=28800
        keylife=28800
        authby=secret
        #pfs=no
conn  here-there
        # Left security gateway, subnet behind it, next hop toward right.
        #leftupdown=/usr/lib/ipsec/ciao
        # Right security gateway, subnet behind it, next hop toward left.
        left=<IP DELL'ALTRO PEER>
        leftnexthop=<IP DELL?ALTRO PEER MENO UNO (NON SERVE)>
        leftsubnet=
192.168.0.0/24
        leftid=<IP PUBBLICO DELL'ALTRO ROUTER>
        # To authorize this connection, but not actually start it, at
startup,
        # uncomment this.
        type=tunnel
        #auto=add
        auto=start
        #auto=route
Con questo a me funziona da dio.
Nota che alcune cose non sarebbero necessarie, tipo leftid e rightid ma per
interoperabilitŕ con altri fw non linux ci stanno bene.
Max

 Buona a sapersi...
Ti aggiungo una cosa... parlando di router economici, il 3com lavora bene.
So che l'alcatel lo fa (ma non so come).
Ora sto usando uno zyxel che va benissimo.
I roper non vanno.
Tra tutti, ti consiglio gli zyxel.
I 3com infatti hanno problemi del tipo: quando una VPN sale, ovviamente
parte anche il natting per ESP o AH.
Credo che il 3com abbia dei timeout, quindi se non usi la von per qualche
minuto, la connessione scende... dove i miei clienti hanno un 3com, ho
dovuto metter in cron un ping ogni minuto.
Col gli zyxel invece va tutto ok...
Le prossime prove che farò saranno con linux ed una scheda PCI adsl che fa
tutto lui senza router...
vediamo cosa ci tiro fuori,
Max
P.S.: non sono un rivenditore, quindi non è pubblicità occulta per gli
zyxel!

Ciao a tutti e due i miei helper !!!
Allora adesso inizio a capire sia una che l'altra soluzione.... su una
macchina ho già messo gli rpm di freeswan ma cmq posso fermare il servizio e
passare a Vtun....
allora considerando che sono alle prime armi e che il mio problema non è la
sicurezza cosa mi consigliate e se mi consigliate vtun mi date due dritte
per iniziare ???
Grazie mille
Mat