Newsgroup: it.comp.os.linux.sys
Titolo: VPN verso SYmantec firewall

Salve,
la settimana prossima devo fare una VPN tra un firewall con Linux
(Debian, kernel 2.4.31) e una sede esterna con un firewall hardware
Symantec VPN100.
Da quanto ho capito leggendo il manuale del suddetto, dovrebbe
supportare IPSec con MD5 e SHA1 abbinati a DES e 3DES in varie
combinazioni.
Solo che non capisco la terminologia che usa la Symantec. Dicono che
questo modello supporta le VPN gateway-to-gateway, e che VPN
host-to-gateway serve il 200R.
Dal lato Linux, cercando un po', ho capito che dovrei usare FreeS/WAN
oppure aggiornare il kernel alla 2.6 e usate ipsec-tools.
Volevo sapere se qualcuno ha gia` avuto a che fare con questi cosi e mi
puo` dare qualche dritta.
Qualcosa tipo dove cercare documentazione chiara o problemi che ha
riscontrato nel metterli in comunicazione.
Quello che serve a me e` unire le due reti come fossero una, o, meglio
ancora, far fare al firewall Linux il gateway tra le due reti (192.168.0
e 192.168.1) in modo da controllare anche chi va dove.
Grazie.
-- 
Alessandro Pellizzari

 oppure aggiornare il kernel alla 2.6 e usate ipsec-tools.
Puoi usare freeswan. .... (lavoravo in symxxxx e facevamo queste vpn con 
linux come test, forse non esisteva nemmeno il 2.6).
C'e' solo una cosa che non e' compatibile tra il vpn100 e freeswan, che 
e' stata disabilitata in freeswan per ragioni di sicurezza, ma 
sinceramente non mi ricordo piu' cosa fosse. Quindi, in pratica devi 
disabilitare questa cosa sul VPN100 e tutto e' a posto (*).
Se hai comprato il vpn appliance hai diritto ad almeno un anno di 
supporto. Chiamali.
p.s.: non ho un vpn1000 sotto mano e non posso aiutarti di piu'. Quando 
trovi cosa disabilitare scrivi di cosa si tratta?
-- 
il capitano dei carabinieri chiede a un appuntato: "quanto fa 1+1"
l'appuntato: "3"
I colleghi in coro "gli dia un'altra chance. Gli dia un'altra chance!"
Il capitano ci riprova. Quanto fa "2+1".
l'appuntato: "3"
I colleghi in coro "gli dia un'altra chance, gli dia un'altra chance!"

 e 192.168.1) in modo da controllare anche chi va dove.
Cioe' una "gateway to gateway", quindi non dovresti avere problemi.
Potrai usare solo 3des per la cifratura. Se fosse indispensabile l'
uso di des [1] dovresti usare necessariamente KAME.
Fabio
[1] ma perche' mai?

 citi ipsec-tools.
si ma, fcredimi, esiste una funzione del VPN100 che non e' supportata in 
(open/free)swan.
Non mi ricordo il nome, e' una sorta di chiave arbitaria dove tu immetti 
i dati manualmente.


 i dati manualmente.
Non vedo perche' non dovrei crederci: accade relativamente spesso che
diverse implementazioni di ipsec o di IKE abbiano caratteristiche che
sono implementate diversamente o che sono icompatibili. Basta trovare
il subset di caratteritiche comuni che consentano l'interoperabilita'
tra i due. Non vorrei che, in questo caso, si trattasse semplicemente
del supporto per l'algoritmo des.
In ogni caso ho speso due secondi (vabbe', saranno stati 45) per fare
un giretto sulla pagina sull'interoperabilita' di freeswan e ho visto
che c'e' una possibile confusione sull'interpretazione d'un parametro
di configurazione in alcuni prodotti symantec:
http://www.freeswan.org/freeswan_snaps/CURRENT-SNAP/doc/interop.html
Forse era quello che ricordavi tu.
Fabio

 Potrai usare solo 3des per la cifratura.
Non c'era una patch per supportare anche il single des (bleah)?

 Non c'era una patch per supportare anche il single des (bleah)?
C'era una patch per freeswan, ma non ho idea se sia applicabile
anche agli ultimi open/strong e se sia ancora mantenuta.
Fabio

 uso di des [1] dovresti usare necessariamente KAME.
Nessun problema. Il Symantec supporta 3DES/MD5, quindi ho messo qui il
2.6.13 e attivato quei due protocolli.
Grazie a tutti per le risposte e i consigli.
Bye.
-- 
Alessandro Pellizzari

Alessandro Pellizzari wrote:

Devo configurare anchě'io una vpn.
Mi hanno consigliato openvpn.
Siccome anch'io affronto per la prima volta l'argomento potrresti darmi una
mano?
Magari per non disturbare il ng posso contattarti via mail.

 Magari per non disturbare il ng posso contattarti via mail.
Mi spiace, ma come regola ho che se ho tempo e trovo il msg sul
newsgroup (e so rispondere) rispondo, mentre per la consulenza via
e-mail si rientra nell'assistenza (e quindi la fatturo :P)
Se hai dubbi chiedili qui che c'e` anche piu` gente esperta.
Bye.
-- 
Alessandro Pellizzari

 e-mail si rientra nell'assistenza (e quindi la fatturo :P)
Non c'e' piu' lo spirito di una volta..........adesso si fattura tutto.