Newsgroup: it.comp.reti.cisco
Titolo: Proteggere una WLAN con una VPN

Salve a tutti e buona giornata,
avrei bisogno di un consiglio: ho messo un AccessPoint nella mia LAN (lo so
che dovrei metterla fuori del firewall, ma per ora non mi e' possibile) e
mi piacerebbe proteggere la WLAN non solo tramite il WEP ma anche tramite
una VPN... Tale VPN dovrebbe servire a crittare tutto il traffico che
viaggia all'interno della LAN (quindi da un PC al router, o da un PC ad un
altro PC della LAN), il traffico destinato alla rete dovrebbe viaggiare
crittato fino al router e da li in poi andare in chiaro. Non so se questa
cosa sia fattibile, ma credo sia una soluzione al problema dello sniffing
wireless. Ho letto parecchi documenti su cisco ma tutti trattano di come
configurare X router per una VPN remota e non ho trovato nulla per il
problema che mi si pone :).
La mia domanda e' quindi: posso crittare tutto il traffico della LAN? E se
si... Dove posso trovare qualche configurazione "sample" per far qualche
test? Ovviamente se esistono soluzioni migliori al problema, sarei
felicissimo di poterle leggere, vi ringrazio molto, a presto.
Bonzo

 felicissimo di poterle leggere, vi ringrazio molto, a presto.
devi avere tutti os abilitati ipsec, stabilire una policy comune, che
cripti il traffico lan (anche se non cripti quello che passa sulla wlan e
poi va su internet e' lo stesso direi ...).
inoltre anche sul router configuri una vpn host2lan.
un mayhem che pensava di farlo a casa .. in ipv6 :)
-- 
 Lo scetticismo e' l'inizio della fede. OW 
 Cisco  FAQ: 
http://mayhem.oltrelinux.com/icrc
 SPP  wpage: 
http://www.spippolatori.org
 Key on 
pgp.mit.edu
 ID B88FE057

"crittare tutto il traffico della LAN" non mi sembra mlto gestibile..
non ti conviene pensare a WPA ?
dai un'occhiata a questi due:
http://www.cisco.com/warp/public/102/wlan/WPAOverview.pdf
http://misitano.com/pubs/wlan.html
~mm


 
http://misitano.com/pubs/wlan.html
Ciao marco e grazie, avevo preso in considerazione l'idea della VPN invece
che del WPA perche' il traffico della wlan non e' eccessivo (quindi
l'overhead sarebbe basso) e perche' sarebbe stata un'occasione per dare uno
sguardo alle VPN che non conosco affatto. Ho letto comunque il tuo paper e
credo che qualche prova la faro' lo stesso.
Grazie tante.
Bonzo

 inoltre anche sul router configuri una vpn host2lan.
Ciao mayo, grazie della disponibilita', ho configurato una macchina con
linux e sembra andare, ora tocca al router (l'importante e' che tutte le
connessioni da e per la wlan viaggino crittate... Non e' per paranoia ma in
una sola settimana ho beccato due tipi che sniffano ;p).
Qualcuno ha una reference, un link, o degli esempi su come creare una vpn
host-to-host? Perche' ho girato tutto il sito cisco e trovo solo
configurazioni per VPN remote, nulla del genere host-to-host... E visto che
ancora non ci so mettere mano non ho idea di come procedere :).
Grazie di nuovo a tutti.
Bonzo

 configurazioni per VPN remote, nulla del genere host-to-host...
non puoi fare VPN host to host con il VPN client cisco...
e dubito tu voglia mettere ogni host dietro un router/PIX/vpn3000
~mm

 e dubito tu voglia mettere ogni host dietro un router/PIX/vpn3000
Ciao marco e grazie della risposta, quello che vorrei fare sarebbe una vpn
host-to-host non con il cisco vpn client ma configurando ogni OS (racoon su
linux, vpn su windows e crypto map sul router), il pc linux e' configurato,
il problema e' il router che non so come configurare (in pratica dovrebbe
decrittare il traffico a lui destinato e in caso inoltrarlo in rete), dici
che non si puo' fare?
Grazie ancora.
Bonzo

 dici che non si puo' fare?
non dico nulla! ricordati solo la RFC1925 che dice "With sufficient thrust,
pigs fly just fine. However, this is not necessarily a good idea."
~mm

 thrust, pigs fly just fine. However, this is not necessarily a good idea."
hihihihi, sei stato veramente gentilissimo e ti ringrazio, do uno sguardo al
link e faccio anche qualche prova col WPA.
grazie di nuovo :)
Bonzo

 che non si puo' fare?
il problema suona cosi'.
tu devi criptare il traffico tra il router ed il pc.
questo significa che cripta il telnet dal pc al router, ma non la
navigazione, non il traffico che dal pc poi passa per il router per andare
su internet.
essere preoccupato di uno che ti sniffa sul wifi roba che
poi fai passare in chiaro su internet probabilemnte e' un controsenso.
quindi dovresti fare una cosa del genere sul router:
crypto isakmp policy 5
 encr 3des
 authentication pre-share
 group 2
crypto isakmp key cisco address ip_pc1 (etc etc, oppure per tutti) 
!
crypto ipsec transform-set ESP-3DES-AH-MD5 ah-md5-hmac esp-3des
!
crypto map VPN local-address Ethernet0/0
crypto map VPN 253 ipsec-isakmp
 set peer ip_pc1
 set transform-set ESP-3DES-AH-MD5
 match address 153
access-l 153 permit ip lan 0.0.0.255 lan 0.0.0.255
e' sicuramente da provare, ma io partirei con una cosa del genere :))
un mayhem che maledice la telecom


 tu devi criptare il traffico tra il router ed il pc.
uhm, mi sa che é peggio di cosí. perche sicuramente deve crittar da PC a
router, ma anche da PC a PC, non vorrei dover passare dal router per
stampare o copiare un file sul PC accanto a me... quindi se abbiamo n PC,
ogni PC dovrebbe avere n (+1, per il router) tunnel attivi. bello come
esercizio (ma allora tanto vale come dicevi tu di farlo in IPv6
l'esercizio), ma *a me* continua a sembrare un po un macello..
~mm

On Fri, 23 Apr 2004 15:13:36 +0200, marco misitano, blowfihing me, wrote:
mi permetto di quotare barbaramente e riassumere dall'inizio, visto che
con il ns. amico ho parlato pure su irc.
*volendo* usare ipsec le strade sono queste.
a. ap con supporto ipsec: tutti i client wlan stabiliscono un tunnel tra
se stessi e l'ap, che poi decripta per gli altri. non e' il ns. caso.
b. utilizzo di tutti os con supporto ipsec.
linux con freeswan, w2k, router cisco, openbsd tutti in wlan, tutti che
criptano in ah-md5 ed esp-3des tra loro e gli ip della lan.
il risultato e' che se parli con un altro host della lan cripti e firmi,
altrimenti trasmetti in chiaro. visto che' l'altrimenti e' traffico
internet e' una soluzione accettabile per casa.
non dico che sia la migliore, la piu' performante o la piu' semplice.
ma solo che si tratta di una buona alternativa.
e' chiaro che poi si possono fare ille altre cose, ma era un'idea low-cost
buona tecnologia (ritengo ipsec lo sia) ed affidabile.
un mayhem sudato


> un mayhem sudato
Ciao mayo sudato e marco :),
innanzitutto vi ringrazio per l'aiuto e per le idee che comunque provero'
entrambe, effettivamente non crittare il traffico che va su internet non e'
un problema (semmai leggono le proposte oscene che faccio a mayo in
query ;p), il traffico di rete invece preferirei che girasse crittato, per
via del fatto che magari ci passano dati piu' "confidenziali".
Ho capito perche' marco crede sia un casino, ed effettivamente non e'
comodissimo fare N tunnel dal pcX all'AP, pero' questa era la prima
soluzione che mi era venuta in mente per evitare di far girare in chiaro
tutto il traffico di rete :).
Grazie ancora
Bonzo


La differenza è che in wifi sniffi dell'aria, che al massimo puzza se hai
mangiato prima la tagliata con l'amarone, su internet sniffi dei cavi con
rivestimento in pvc che è cancerogeno :)
Simpatia estrema a parte, il fatto di utilizzare ipsec a 360 gradi lo si può
vedere anche come un sistema per risolvere in una sola botta problemi di
autenticazione e di accessi indesiderati verso internet, senza dover
utilizzare costoso hardware per la gestione di amenità tipo wpa, tki,
certificati, ecc....
Non è tanto il fatto che qualcuno possa sniffare il mio traffico, ma che
possa utilizzare il mio link wireless per rivendicare un attentato o
exploitare il sito dell'fbi (oggi sono catastrofico).
L'alternativa con un grado di sicurezza "quasi" paragonabile è rappresentata
da un costoso access point cisco ben configurato, un server di
autenticazione/certificati e (ancora costose) schede wireless cisco.
Di contro ipsec è piuttosto pesante sia per il server che per i client, ma
trattandosi di una rete domestica possiamo pensare che sia un ostacolo
superabile.
Ciao,
        Tosh.

 exploitare il sito dell'fbi (oggi sono catastrofico).
Ciao Tosh,
ok, ammetto che sei stato effettivamente catastrofico... Ma tutto sommato
se uno viene a sniffare la wlan lo fa perche' vuole un link alla rete, per
fare le sue belle (magari brutte) cose...
Purtroppo non ho un costoso AP cisco ben configurato, ma un modico linksys e
una splendida aironet (che e' cisco ;p), quindi temo che mi manchi un
pezzo ;p.
Con la configurazione proposta da mayo il traffico verso internet non viene
crittato, c'e' una soluzione a questo problema? Cioe', vorrei sapere se
c'e' un modo per crittare tutto quello che esce dalla wlan, incluso il
traffico verso internet (che poi andrebbe decrittato dal router, ma essendo
una home lan, a 11mbit per giunta... Non credo ci saranno grandi problemi
di risorse).
Grazie :)
un Bonzo che emulando mayhem dice che la paranoia gli ha salvato il
fondoschiena piu' di una volta ;p.


Se hai un router o un pix cisco (per il router ti serve l'ios giusto) ti
basta configurare ipsec più o meno come ha suggerito mayehm ed installare un
client vpn sui pc.
Per il traffico internet non dovresti avere problemi, a meno che tu non
abbia una fibra fastweb da 10M, per il traffico di lan dovrai accontentarti
nella velocità in quanto prodotti cisco dal prezzo "abbordabile" hanno
prestazioni ipsec attorno ai 3/4Mbps max.
Puoi sicuramente incrementare le prestazioni se passi a soluzioni linux
(openvpn?), ma non sono certo la persona giusta per darti dei consigli in
merito.
Ciao,
        Tosh.

Grazie Tosh,
dopo aver parlato con un caro amico per almeno mezza giornata, e' venuto
fuori che le due opzioni piu' veloci da realizzare sono:
1. Usare WPA (a patto di avere un AP che lo supporti, e non e' il mio caso)
2. Separare la LAN dalla WLAN tramite un altro router che poi si
preoccupera'
di decrittare il traffico che dalla wlan verra' instradato verso la LAN.
La seconda soluzione e' quella che adottero' dal momento che non e'
difficile
da realizzare e soprattutto evito di crittare tutta la lan, di far lavorare
eccessivamente
il gateway ed evito direttamente tutti i problemi legati al fatto di
crittare anche
il traffico che dalla wlan va verso internet.
Ringrazio tantissimo tutti coloro che mi hanno aiutato in questo thread:
mayhem,
marco, tosh e cata che mi ha aiutato via tel :).
Grazie per la disponibilita'.
Bonzo