Follow Techotopia on Twitter

On-line Guides
All Guides
eBook Store
iOS / Android
Linux for Beginners
Office Productivity
Linux Installation
Linux Security
Linux Utilities
Linux Virtualization
Linux Kernel
System/Network Admin
Programming
Scripting Languages
Development Tools
Web Development
GUI Toolkits/Desktop
Databases
Mail Systems
openSolaris
Eclipse Documentation
Techotopia.com
Virtuatopia.com

How To Guides
Virtualization
General System Admin
Linux Security
Linux Filesystems
Web Servers
Graphics & Desktop
PC Hardware
Windows
Problem Solutions
Privacy Policy

  




 

 

Linuxtopia - Red Hat Enterprise Linux - Guide de securite - Configuration de r�seau � r�seau via IPsec

6.5. Configuration de r�seau � r�seau via IPsec

IPsec peut �galement �tre configur� de mani�re � connecter un r�seau entier (comme un LAN ou un WAN) � un r�seau distant gr�ce � une connexion de r�seau � r�seau. Une connexion de r�seau � r�seau n�cessite la configuration de routeurs IPsec sur chaque extr�mit� des r�seaux connect�s afin de manipuler et transf�rer les informations d'un noeud sur un LAN � un noeud sur un LAN distant. La Figure 6-1 illustre une connexion tunnel�e de r�seau � r�seau avec IPsec.

Figure 6-1. Une connexion tunnel�e de r�seau � r�seau avec IPsec

Le diagramme repr�sente deux LAN diff�rents s�par�s par l'internet. Ces LAN utilisent des routeurs IPsec pour l'authentification et mettent en oeuvre une connexion � l'aide d'un tunnel s�curis� � travers l'internet. Les paquets qui sont intercept�s en transit, n�cessiteront un d�cryptage force brute afin de briser le chiffre qui prot�ge les paquets entre ces LAN. Le processus de communication depuis un noeud sur la plage d'IP 192.168.1.0/24 � un autre noeud sur 192.168.2.0/24 est compl�tement transparent aux noeuds car le traitement, cryptage/d�cryptage et routage de ces paquets IPsec sont compl�tement effectu�s par le routeur IPsec.

Parmi les informations n�cessaires � une connexion de r�seau � r�seau figurent�:

  • Les adresses IP accessibles de l'ext�rieur des routeurs IPsec d�di�s

  • Les plages d'adresses r�seau du LAN/WAN servies par les routeurs IPsec (comme 192.168.0.0/24 or 10.0.1.0/24)

  • Les adresses IP des p�riph�riques de passerelle qui dirigent les donn�es depuis les noeuds du r�seau sur l'internet

  • Un nom unique pour identifier la connexion IPsec et la diff�rencier d'autres p�riph�riques ou connexions (par exemple, ipsec0)

  • Une cl� fixe ou g�n�r�e automatiquement par racoon

  • Une cl� d'authentification pr�-partag�e qui est utilis�e pour �tablir la connexion et effectuer l'�change des cl�s de cryptage lors de la session.

Par exemple, imaginons que le LAN A (lana.example.com) et le LAN B (lanb.example.com) souhaitent se connecter � l'un et l'autre � travers un tunnel IPsec. L'adresse r�seau du LAN A est pr�sente dans la gamme 192.168.1.0/24, alors que le LAN B utilise la gamme 192.168.2.0/24. L'adresse IP de la passerelle est 192.168.1.254 pour le LAN A et 192.168.2.254 pour le LAN B. Les routeurs IPsec sont s�par�s de chaque passerelle du LAN et utilisent deux p�riph�riques r�seau�: eth0 est attribu� une adresse IP statique accessible de l'ext�rieur qui permet d'acc�der � l'internet, alors que eth1 agit en tant que point de routage pour traiter et transmettre les paquets du LAN d'un noeud de r�seau aux noeuds de r�seau distant.

La connexion IPsec entre chaque r�seau utilise une cl� pr�-partag�e ayant la valeur r3dh4tl1nux et les administrateurs de A et B acceptent de laisser racoon g�n�rer et partager automatiquement une cl� d'authentification entre chaque routeur IPsec. L'administrateur du LAN A d�cide de nommer la connexion IPsec ipsec0, alors que l'administrateur du LAN B nomme la connexion IPsec ipsec1.

L'extrait ci-dessous est un exemple de fichier ifcfg pour une connexion IPsec de r�seau � r�seau pour le LAN A. Le nom unique pour l'identification de la connexion �tant ipsec1, le fichier cr�� se nomme logiquement /etc/sysconfig/network-scripts/ifcfg-ipsec1.

TYPE=IPSEC
ONBOOT=yes
IKE_METHOD=PSK
SRCGW=192.168.1.254
DSTGW=192.168.2.254
SRCNET=192.168.1.0/24
DSTNET=192.168.2.0/24
DST=X.X.X.X

La connexion est configur�e de mani�re � �tre lanc�e au d�marrage (ONBOOT=yes) et utilise la m�thode de cl�s pr�-partag�es d'authentification (IKE_METHOD=PSK). L'administrateur du LAN A saisit la passerelle de destination qui est la passerelle du LAN B (DSTGW=192.168.2.254) ainsi que la passerelle source qui est l'adresse IP de la passerelle du LAN A (SRCGW=192.168.1.254). L'administrateur saisit ensuite le r�seau de destination qui est la gamme de r�seau du LAN B (DSTNET=192.168.2.0/24) ainsi que le r�seau source (SRCNET=192.168.1.0/24). L'administrateur saisit finalement l'adresse IP de destination qui est l'adresse IP accessible de l'ext�rieur du LAN B (X.X.X.X).

L'extrait suivant repr�sente un fichier de cl�s pr�-partag�es nomm� /etc/sysconfig/network-scripts/keys-ipsecX (o� X a la valeur 0 pour le LAN A et la valeur 1 pour le LAN B) que les deux r�seaux utilisent pour s'authentifier l'un aupr�s de l'autre. Le contenu de ce fichier devrait �tre identique et ne devrait pouvoir �tre lu et �crit que par le super-utilisateur.

IKE_PSK=r3dh4tl1nux

ImportantImportant
 

Pour changer le fichier keys-ipsecX de mani�re � ce que seul le super-utilisateur puisse lire et modifier ce fichier, ex�cutez la commande suivante apr�s avoir cr�� le fichier en question�:

chmod 600 /etc/sysconfig/network-scripts/keys-ipsec1

Pour changer la cl� d'authentification, �ditez le fichier keys-ipsecX sur les deux routeurs IPsec. Les deux cl�s doivent �tre identiques pour une meilleure connectivit�.

L'extrait suivant repr�sente le fichier de configuration /etc/racoon/racoon.conf pour la connexion IPsec. Notez que la ligne include en bas du fichier est automatiquement g�n�r�e et appara�t seulement si le tunnel IPsec est en cours d'ex�cution.

# Racoon IKE daemon configuration file.
# See 'man racoon.conf' for a description of the format and entries.

path include "/etc/racoon";
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

sainfo anonymous
{
	pfs_group 2;
	lifetime time 1 hour ;
	encryption_algorithm 3des, blowfish 448, rijndael ;
	authentication_algorithm hmac_sha1, hmac_md5 ;
	compression_algorithm deflate ;
}
include "/etc/racoon/X.X.X.X.conf"

L'extrait ci-dessous correspond au fichier de configuration pour la connexion � un r�seau distant. Le fichier porte le nom X.X.X.X.conf (remplacez l'�l�ment X.X.X.X par l'adresse IP du routeur IPsec distant). Notez que ce fichier est automatiquement g�n�r� une fois que le tunnel IPsec est activ� et ne devrait pas �tre directement �dit�.

;
remote X.X.X.X
{
        exchange_mode aggressive, main;
        my_identifier address;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2 ;
        }
}

Avant de lancer la connexion IPsec, la redirection d'IP devrait �tre activ�e dans le noyau. En tant que super-utilisateur, dans une invite de shell, activez la redirection d'IP�:

  1. �ditez /etc/sysctl.conf et r�glez net.ipv4.ip_forward sur 1.

  2. Ex�cutez la commande suivante afin d'activer le changement�:

    sysctl -p /etc/sysctl.conf

Pour lancer la connexion IPsec, red�marrez les routeurs IPsec ou ex�cutez la commande suivante en tant que super-utilisateur sur chaque routeur�:

/sbin/ifup ipsec0

Les connexions sont activ�es et les deux LAN A et B peuvent communiquer entre eux. Les routes sont cr��es automatiquement via le script d'initialisation appel� en ex�cutant ifup sur la connexion IPsec. Pour afficher une liste de routes pour le r�seau, ex�cutez la commande suivante�:

/sbin/ip route list

Pour tester la connexion IPsec, ex�cutez l'utilitaire tcpdump sur le p�riph�rique routable de l'ext�rieur (eth0 dans cet exemple) afin d'afficher les paquets du r�seau �tant transf�r�s entre les h�tes (ou r�seaux) et v�rifiez qu'ils sont bien crypt�s via IPsec. Par exemple, pour v�rifier la connectivit� IPsec du LAN A, saisissez la commande suivante�:

tcpdump -n -i eth0 host lana.example.com

Le paquet doit inclure un en-t�te AH et devrait �tre affich� en tant que paquet ESP. ESP signifie qu'il est crypt�. Par exemple (les obliques inverses repr�sentent la continuit� d'une ligne)�:

12:24:26.155529 lanb.example.com > lana.example.com: AH(spi=0x021c9834,seq=0x358): \
	  lanb.example.com > lana.example.com: ESP(spi=0x00c887ad,seq=0x358) (DF) \
	  (ipip-proto-4)

 
 
  Published under the terms of the GNU General Public License Design by Interspire