StrongSwan - Historial de revisións

Xavi: /* Instalación e Configuración de StrongSwan */

2014-07-24T09:00:09Z

Instalación e Configuración de StrongSwan

← Revisión máis antiga		Revisión como estaba o 24 de xullo de 2014 ás 09:00
Liña 53:		Liña 53:

	Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.		Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.
			{{boxinfo\|En Debian e necesario instalar tamén os plugins para ARP e outros que xa non veñen na instalación por defecto. Polo tanto debemos instalar: '''apt-get install libcharon-extra-plugins libstrongswan-extra-plugins'''}}

	=== Firewall ===		=== Firewall ===
	O Servidor StrogSwan debe permitir o acceso aos seguintes portos UDP:		O Servidor StrogSwan debe permitir o acceso aos seguintes portos UDP:

Xavi: /* Instalación e Configuración de StrongSwan */

2014-03-07T09:40:32Z

Instalación e Configuración de StrongSwan

← Revisión máis antiga		Revisión como estaba o 7 de marzo de 2014 ás 09:40
Liña 93:		Liña 93:
	</source>		</source>
	Unha vez instalados os certificados, únicamente faltará configurar o punto de conexión IPSec no ficheiro ''/etc/ipsec.conf''. No noso caso será:		Unha vez instalados os certificados, únicamente faltará configurar o punto de conexión IPSec no ficheiro ''/etc/ipsec.conf''. No noso caso será:
	<source lang='text'>
⚫	config setup

		⚫	config setup
	conn iesrodeira		conn iesrodeira
	left=%defaultroute		left=%defaultroute
	leftsourceip=%config		leftsourceip=%config
Liña 104:		Liña 103:
	rightid="/C=ES/ST=Galiza/O=IES de Rodeira/OU=Departamento de Informatica/CN=vpn.iesrodeira.com/emailAddress=xavi@iesrodeira.com"		rightid="/C=ES/ST=Galiza/O=IES de Rodeira/OU=Departamento de Informatica/CN=vpn.iesrodeira.com/emailAddress=xavi@iesrodeira.com"
	auto=start		auto=start

	</source>

	'''left''' representa o extremo local. ''left=%defaultroute'' indica que a IP local será a IP correspondente a ruta por defecto, ''leftsourceip=%config'' indica que o extremo local collerá a IP que lle indique o servidor VPN, e ''leftcert'' indicará o certificado de cliente a utilizar.		'''left''' representa o extremo local. ''left=%defaultroute'' indica que a IP local será a IP correspondente a ruta por defecto, ''leftsourceip=%config'' indica que o extremo local collerá a IP que lle indique o servidor VPN, e ''leftcert'' indicará o certificado de cliente a utilizar.

Xavi: /* Firewall */

2014-03-01T11:54:56Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 11:54
Liña 62:		Liña 62:
	</source>		</source>

	Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).		Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, insertando reglas RETURN para evitalo, e permitir o tráfico a través do server (cadea FORWARD) hacia a rede coa queremos conectar a VPN.

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Firewall */

2014-03-01T11:54:11Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 11:54
Liña 63:		Liña 63:

	Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).		Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).

	De forma alternativa, se pode especificar a seguinte opción en ''/etc/ipsec.conf'' no cliente:

	<source lang='text'>

	left\|rightfirewall = yes \| no

	whether the left\|right participant is doing forwarding-firewalling (including masquerading)
	using iptables for traffic from left\|rightsubnet, which should be turned off for traffic to the
	other subnet) once the connection is established. May not be used in the same connection description with
	left\|rightupdown. Implemented as a parameter to the default ipsec _updown script. Relevant only
	locally, other end need not agree on it.

	If one or both security gateways are doing forwarding firewalling (possibly including masquerading),
	and this is specified using the firewall parameters, tunnels established with IPsec are exempted from
	it so that packets can flow unchanged through the tunnels. (This means that all subnets connected in this
	manner must have distinct, non-overlapping subnet address blocks.) This is done by the default
	ipsec _updown script.

	In situations calling for more control, it may be preferable for the user to supply his own updown script,
	which makes the appropriate adjustments for his system.
	</source>

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Firewall */

2014-03-01T11:21:35Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 11:21
Liña 63:		Liña 63:

	Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).		Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).

			De forma alternativa, se pode especificar a seguinte opción en ''/etc/ipsec.conf'' no cliente:

			<source lang='text'>

			left\|rightfirewall = yes \| no

			whether the left\|right participant is doing forwarding-firewalling (including masquerading)
			using iptables for traffic from left\|rightsubnet, which should be turned off for traffic to the
			other subnet) once the connection is established. May not be used in the same connection description with
			left\|rightupdown. Implemented as a parameter to the default ipsec _updown script. Relevant only
			locally, other end need not agree on it.

			If one or both security gateways are doing forwarding firewalling (possibly including masquerading),
			and this is specified using the firewall parameters, tunnels established with IPsec are exempted from
			it so that packets can flow unchanged through the tunnels. (This means that all subnets connected in this
			manner must have distinct, non-overlapping subnet address blocks.) This is done by the default
			ipsec _updown script.

			In situations calling for more control, it may be preferable for the user to supply his own updown script,
			which makes the appropriate adjustments for his system.
			</source>

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Firewall */

2014-03-01T11:16:54Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 11:16
Liña 61:		Liña 61:
	ipsec-nat-t 4500/udp # IPsec NAT-Traversal [RFC3947]		ipsec-nat-t 4500/udp # IPsec NAT-Traversal [RFC3947]
	</source>		</source>

			Será tamén necesario vixilar os posibles SNAT e DNAT da rede realizados no servidor VPN, e permitir o tráfico a través do server (cadea FORWARD).

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Configuración da Conexión */

2014-03-01T11:02:17Z

Configuración da Conexión

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 11:02
Liña 160:		Liña 160:
	Image:ConexionVPN.png\|Conectar coa VPN		Image:ConexionVPN.png\|Conectar coa VPN
	</gallery>		</gallery>
			==Comprobación da Conexión==
			Unha vez iniciada a conexión mediante ''/etc/init.d/ipsec start'' no caso de Linux, ou iniciando a conexión VPN no caso de Windows, podemos comprobar a conexión VPN a rede mediante o comando 'ping' a algún equipo da rede interna, ou intentando o acceso a algún servizo interno.

			Ademáis, no servidor e nos clientes Linux, podemos examinar o protocolo de intercambio e verificación de certificados e o establecemento da conexión en ''/var/log/syslog''. Mediante os comandos '''ip xfrm policy''' e '''ip xfrm state''' poderemos verificar o estado do túnel, e por último, podemos examinar a táboa de rutado do túnel IPSec mendiante '''ip route show table 220'''.

Xavi: /* Firewall */

2014-03-01T09:58:48Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 09:58
Liña 54:		Liña 54:
	Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.		Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.
	=== Firewall ===		=== Firewall ===
	O Servidor StrogSwan debe permitir o acceso aos portos UDP		O Servidor StrogSwan debe permitir o acceso aos seguintes portos UDP:

			<source lang='text'>
			bootpc 68/udp
			isakmp 500/udp # IPsec - Internet Security Association and Key Management Protocol
			ipsec-nat-t 4500/udp # IPsec NAT-Traversal [RFC3947]
			</source>

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Firewall */

2014-03-01T09:29:14Z

Firewall

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 09:29
Liña 54:		Liña 54:
	Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.		Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.
	=== Firewall ===		=== Firewall ===
			O Servidor StrogSwan debe permitir o acceso aos portos UDP

	==Cliente VPN==		==Cliente VPN==

Xavi: /* Instalación e Configuración de StrongSwan */

2014-03-01T09:26:00Z

Instalación e Configuración de StrongSwan

← Revisión máis antiga		Revisión como estaba o 1 de marzo de 2014 ás 09:26
Liña 53:		Liña 53:

	Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.		Con '''''/etc/init.d/ipsec start''''' se iniciará o servidor VPN. Normalmente se iniciará automáticamente no arranque do sistema.
			=== Firewall ===

	==Cliente VPN==		==Cliente VPN==
	===Linux===		===Linux===