Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Тематический каталог: Создание VPN во FreeBSD на базе IPSEC и racoon (freebsd ipsec vpn racoon security tunnel), auto_topic (?), 06-Окт-03, (0) [смотреть все] А какие адреса на реальных физических интерфейсах смотрящих во внутреннюю сеть, fdm (?), 12:05 , 06-Окт-03, (1) // Странный вопрос Что значит на реальных Я ж подробно описал ситуацию На внут, Rabid (?), 15:17 , 06-Окт-03, (2) Вроде бы как все сделал правильно, но не работает Не идет пинг между шлюзами Т, Crow (?), 20:33 , 27-Окт-03, (3) наверняка где-то дефолтовый шлюз забыл он же явно пишет, что не может пакет отр, VVS (?), 14:57 , 28-Окт-03, (4) // Спасибо за ответ Да, действительно забыл шлюз Забыл поставить в etc rc conf р, Crow (?), 19:10 , 28-Окт-03, (5) // Все, разобрался Все работает Еще раз спасибо за ответ , Crow (?), 17:29 , 29-Окт-03, (6) Собствено у меня не получается что-то с раконом он пишет после запуска следующее, Andrew (??), 01:36 , 17-Июн-04, (16) Подскажите плиз как настроить Racoon при такой ситуации WIN-192 168 0 0 24 -- 19, tall (?), 14:56 , 17-Ноя-03, (7) Здравствуйте,Можно использовать статью за базу для модификации, есть несколько д, ArmanT (?), 09:04 , 07-Янв-04, (8) // Можно Да и все что здесь написано просто компиляция прочитанного мной , Andrew (??), 18:18 , 04-Июн-04, (13) у меня все тормознулось на этапе запуска racoon could not parse configuration , jeka (?), 10:59 , 05-Фев-04, (9) Ядро пересобери с опцией options IPSEC_ESP, anonymous (?), 23:56 , 06-Фев-04, (10) Ув автор А не наблюдается ли проблемм если понадобится делать NAT на gateways , driffire (?), 17:50 , 22-Мрт-04, (11) // Не наблюдается Счас семь VPN-ов и наты на два интерфейса глядящих в инет - все , Andrew (??), 18:26 , 04-Июн-04, (15) Неплохо бы еще в rc conf добавлять строку gif_interfaces gif0 Иначе интерфе, B00StER (??), 11:55 , 14-Май-04, (12) // Да Очень дельное замечание И как я позабыл , Andrew (??), 18:21 , 04-Июн-04, (14) мдааа у меня не заработалло хотя сделал все как сказанно только у меня не ipf , Mikhael (?), 14:19 , 24-Июн-04, (17) Еще в виде рекомендации 1 использовать на gifX маски 32 Это интерфейсы типа po, Алексей (??), 09:46 , 20-Июл-04, (18) Статья, если честно, грубо ошибочная в месте описания создания туннеля Это можн, Valentin Nechayev (?), 11:00 , 20-Июл-04, (20) // К чему же тут явный gif А к попыткам автора не данной статьи, а скорее той мяг, Valentin Nechayev (?), 11:02 , 20-Июл-04, (21) Поэтому, рекомендуемый вариант будет следующий поставить gif точно так же как в, Valentin Nechayev (?), 11:03 , 20-Июл-04, (22)   // ты чего думаешь о чем о настройке ИПСЕКА или защите сети так жеж нельзяты пр, jonik (??), 08:33 , 15-Авг-04, (24)   // Нет, внешними, конечно Внутренними - или работать вообще не будет, или как глан, Valentin Nechayev (?), 17:08 , 15-Авг-04, (25)   Вроде все Осталось только заметить, что racoon теряет память и при длительной р, Valentin Nechayev (?), 11:06 , 20-Июл-04, (23) а как быть с racoon2 синтаксис тот же , Bani (?), 15:00 , 25-Сен-06, (26) // а как быть, если FreeBSD находится за NAT что-то у меня не поехало никак это д, junk (?), 19:56 , 23-Июн-07, (27) Кто-нибудь делал такую конфу, но из трех сетей, вместо двух, как здесь Отличий м, veranyon (??), 19:58 , 10-Авг-07, (28) // racoon -FForeground mode 2007-08-11 22 32 07 INFO ipsec-tools 0 6 7 http , veranyon (??), 22:45 , 11-Авг-07, (29) // ну вопервых заменить фразу support_mip6 на support_proxy ну и конечно exchan, akocherov (?), 04:44 , 28-Авг-07, (30) 1,3,4,7,8,9,10,11,12,17,18,20,26,28

Сообщения

[Сортировка по времени | RSS]

	22. "Создание VPN во FreeBSD на базе IPSEC и racoon (freebsd ipse..."	+/–
	Сообщение от Valentin Nechayev (?), 20-Июл-04, 11:03
	Поэтому, рекомендуемый вариант будет следующий: поставить gif точно так же как в статье, обмен ключами - точно так же, но правила в SPD заменить на следующие (для первого шлюза; для второго - аналогично):                                                                                                                      spdadd 10.1.1.1 10.1.2.1 any -P out ipsec esp/transport//require;               spdadd 10.1.2.1 10.1.1.1 any -P in ipsec esp/transport//require;                                                                                                  С точки зрения формата и содержимого пакетов вообще ничего не поменяется (так что менять можно даже на одной из сторон;)), но будет меньше проблем с MTU. Проблема с MTU будет решаться в драйвере gif (который на порядок более прозрачен и в котором это решено), остаётся только выставить там разумное MTU (например, 1440). Другое преимущество этого варианта - возможность поддержки динамического раутинга дополнительных сетей (средствами zebra/quagga/gated/routed/аналогов): IPSEC SPD не содержит маршруты сетей они пишутся вместо этого  в таблицу раутинга, где с ними значительно легче разбираться. В варианте же с туннельным IPSEC требуется продираться через глупости конструкции SPD (принципиально требуемый по RFC последовательный порядок правил и отсутствие возможности вставлять правила в начало/середину).                                                                                                                                                        И вариант с транспортным IPSEC и gif внутри - я проверял и он работает, лучше, чем с туннелем :)
	Ответить | Правка | К родителю #20 | Наверх | Cообщить модератору

	24. "Создание VPN во FreeBSD на базе IPSEC и racoon (freebsd ipse..."	+/–
	Сообщение от jonik (??), 15-Авг-04, 08:33
	ты чего ? думаешь о чем ? о настройке ИПСЕКА или защите сети ? так жеж нельзя ты предлагаешь защищать транспортом траффик между маршрутизаторными внутренними интерфейсами ? если я правильно понял ... так нельзя делать в инете будет видно, твою внутреннюю сеть, потому что в гиф0 будет инкапсулирован внутренний пакет , а потом его тело зашифровано, но заголовок его будет виден !!! если использовать транспортный режим, то правильнее всего шифровать протокол инкапсуляции между внешними интерфейсами (х.х.х.х у.у.у.у) (если зашифруешь весь, то ракун не сможет инициировать обмен ключами, если скажешь не шифровать трафик ракунов, то ракуну будет тяжело понять какую из записей СПД брать и т.д.)
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Создание VPN во FreeBSD на базе IPSEC и racoon (freebsd ipse..."	+/–
	Сообщение от Valentin Nechayev (?), 15-Авг-04, 17:08
	>так жеж нельзя >ты предлагаешь защищать транспортом траффик между маршрутизаторными внутренними интерфейсами ? если я >правильно понял ... Нет, внешними, конечно. Внутренними - или работать вообще не будет, или как гланды автогеном вырезать :) >если использовать транспортный режим, то правильнее всего шифровать протокол инкапсуляции между внешними >интерфейсами (х.х.х.х у.у.у.у) Кто бы спорил - я не буду :) >(если зашифруешь весь, то ракун не сможет инициировать обмен ключами, если скажешь >не шифровать трафик ракунов, то ракуну будет тяжело понять какую из >записей СПД брать и т.д.) Ну, у меня ISAKMP демоны и так договаривались (за счёт use вместо require). Хотя исключить из шифрования порты 22, 443, 500 и прочих отдельными SP перед основным - действительно полезная настройка.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема