Newsgroup: it.comp.os.linux.sys
Titolo: ip sec e win xp

Sto dando un'occhiata all' ip sec del kernel 2.6 per fare delle vpn di 
tipo road warrior; i client dovranno però essere win 2000/xp (classica 
scheda di accesso remoto) e nella documentazione parla solo di 
autenticazione con chiavi: si può fare con la classica login/password o 
devo per forza fornire le chiavi a tutti gli utenti?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Questo deprecabile razzismo da stadio sta rovinando l'immagine di milioni
di razzisti per bene.
		-- Altan

 
Ok, però su xp per l'autenticazione gli puoi dare login e pass; con il 
2.4 ed un pacco di modoli aggiuntivi lo potevi fare mentre con 2.6 
sembvra parli solo di chiavi e non di utenti
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
E come disse Isaac Newton subito dopo che una mela gli cadde sulla testa:
"Strano, io sono seduto sotto un pero!".
		-- Laugh-In

 sembvra parli solo di chiavi e non di utenti
Non login e pass, ma solo la pass (la preshared key, in gergo). Il 2.6
non e' diverso dal 2.4 da questo punto di vista: questi aspetti vengon
gestiti in userspace dal sistema di gestione chiavi che hai scelto. Se
hai scelto uno *swan potrai seguire gli stessi step a cui eri abituato
con i kernel 2.4, se hai scelto racoon/ipsec-tools lo puoi fare uguale
ma la configurazione sara' un po' diversa. Sul solito LARTC dovrebbero
esserci degli esempi.
In ogni caso, usare le psk per i road-warrior non e' consigliabile per
diversi motivi, il piu' importante dei quali e' lo scarso controllo in
marito alla revoca delle credenziali di accesso: tutti hanno la stessa
preshared key.
Tutto cio' se stiamo parlando di "ipsec e basta" e non come condimento
per l2tp, pptp o altre robe di tale fatta. Se invece questo e' proprio
il tuo caso, penso che troverai info nella knowledge base ufficiale di
supporto universale 
http://www.gogle.it/search?q=ipsec+l2tp+racoon
 :-)
Fabio

 sembvra parli solo di chiavi e non di utenti
Questo perche' Windows (2000 e XP, ma anche 2003, da quel che ne so!) non
gestisce a livello luser una VPN senza L2TP... Quindi cio' che ti viene
chiesto sono la login e la password per accedere al Server L2TP **DOPO**
aver stabilito una connessione IPSec autenticandoti con il certificato o
con la PreShared-Key che gli hai dato.
Per il Server devi ragionare un po' contorto, ma alla fine hai la
possibilita' di avere un sistema molto ben gestibile, anche come permessi
agli utenti esterni...
In pratica ti devi configurare un IPSec-Server (passami il termine!) per
lo scambio delle chiavi e un L2TP-Server per autenticare l'utente Windows
(ma funziona anche con *nix) nel sistema, dove poi ricevera' un IP e,
tramite quell'IP e un po' di regolette iptables gli permetti di fare cio'
che vuoi.
Questo e' utile anche nel momento in cui vuoi vedere **COSA** ha fatto
l'utente X e **QUANTI** Bytes ha trasmesso/ricevuto.
Per lo scambio delle chiavi, se usi un Server con Linux >= 2.6, puoi usare
racoon (pacchetto ipsec-tools, che e' ora alla versione 5.2, se non
sbaglio) e andare tranquillo. L'ho configurato in pochissimo e funziona
benissimo.
Altrimenti puoi usare FreeS/WAN o OpenS/WAN. Altri non ne conosco...
Per L2TP c'e' un programma, l2tpd, che funziona abbastanza bene, ma che e'
decisamente lento (diventera' tragico da usare se hai tanti utenti) e,
sopratutto, non piu' mantenuto dal 2002.
Altrimenti, puoi usare l2tpns (lo trovi su sourceforge) che e' ottimo, ben
strutturato, MOLTO veloce e decisamente mantenuto.
Ti consiglio di installare l'ultima versione, altrimenti avrai dei
problemi con il timeout nel momento in cui, per un motivo o per l'altro,
cade la linea.
Per L2TPNS hai pero' il problema di dover usare un Server Radius per
autenticare l'utente, ma con FreeRadius non dovresti avere grandi problemi
(io uso proprio quello).
Bene, scusate la risposta un po' lunga, ma credo di aver detto tutto
quanto ti serve.
Al limite, chiedi!
ciao
Luca Bertoncello
(
luca...@lucabert.de
)
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
L'auto si fermo'.  Si spalanco' la portiera e non scese nessuno.
Era Nicolazzi.
		-- Fortebraccio.

 del cliente (non č che sia proprio un softwarino)
Guarda che non serve avere Radius sulla stessa macchina di L2TPNS! Gli dai
fino a tre (se non ricordo male) indirizzi di Radius-Server e fa tutto lui!
Tra l'altro, l2tpns gestisce internamente una struttura a Cluster, quindi
puoi dare un servizio HA senza problemi!
Ciao
