IPSec dla ruchu w sieci LAN: podstawowe uwagi?

To kontynuacja mojego szyfrowania absolutnie wszystkiego ... pytania.

Ważne : nie chodzi o bardziej typową konfigurację IPSec, w której chcesz szyfrować ruch między dwiema sieciami LAN.

Moim podstawowym celem jest szyfrowanie całego ruchu w sieci LAN małej firmy. Jednym z rozwiązań może być IPSec. Właśnie zacząłem uczyć się o IPSec i zanim zdecyduję się na jego użycie i głębsze zanurzenie, chciałbym uzyskać przegląd tego, jak to może wyglądać.

• Czy istnieje dobre wsparcie dla wielu platform? Musi działać na klientach Linux, MacOS X i Windows, serwerach Linux i nie powinien wymagać drogiego sprzętu sieciowego.

• Czy mogę włączyć IPSec dla całego komputera (aby nie było żadnego innego ruchu przychodzącego / wychodzącego), lub dla interfejsu sieciowego, czy jest to określone przez ustawienia zapory ogniowej dla poszczególnych portów / ...?

• Czy mogę łatwo zablokować pakiety IP inne niż IPSec? A także ruch IPSec „zła Mallory'ego”, który jest podpisany przez jakiś klucz, ale nie nasz? Moją ideą jest uniemożliwienie takiego ruchu IP w sieci LAN.

• Dla ruchu wewnętrznego LAN: wybrałbym „ESP z uwierzytelnieniem (bez AH)”, AES-256, w „Trybie transportu”. Czy to rozsądna decyzja?

• W przypadku ruchu w sieci LAN: jak działa z bramą internetową? Chciałbym użyć

  • „Tryb tunelu”, aby utworzyć tunel IPSec z każdej maszyny do bramy? Czy mógłbym również użyć
  • „Tryb transportu” do bramy? Pytam dlatego, że brama musiałaby być w stanie odszyfrować pakiety pochodzące z sieci LAN, więc do tego potrzebne będą klucze. Czy to możliwe, jeśli adres docelowy nie jest adresem bramy? Czy w takim przypadku musiałbym użyć proxy?

• Czy jest jeszcze coś, co powinienem rozważyć?

Naprawdę potrzebuję tylko szybkiego przeglądu tych rzeczy, niezbyt szczegółowych instrukcji.

• Czy istnieje dobre wsparcie dla wielu platform? Musi działać na klientach Linux, MacOS X i Windows, serwerach Linux i nie powinien wymagać drogiego sprzętu sieciowego.

Nie mam z tym naprawdę dużego doświadczenia, ponieważ mam głównie systemy Linux, ale dostałem je głównie na komputerze z systemem Windows 2000 (to było jakiś czas temu). Wystąpił problem polegający na tym, że IPsec nie renegocjował nowego klucza sesji po przesłaniu pewnej liczby bajtów (ma to nastąpić automatycznie), więc po pewnym czasie połączenie zostało zerwane i nigdy nie mogłem sobie pozwolić na kopanie w nim dalej. Prawdopodobnie w dzisiejszych czasach działa znacznie lepiej.

• Czy mogę włączyć IPSec dla całego komputera (aby nie było żadnego innego ruchu przychodzącego / wychodzącego), lub dla interfejsu sieciowego, czy jest to określone przez ustawienia zapory ogniowej dla poszczególnych portów / ...?

Jak to działa jest (lub raczej, jak ja udało się uzyskać to działa), należy określić, że maszyna foo musi używać tylko IPsec do maszyn bar , baz i yow . Każdy ruch zi do tych maszyn jest teraz bezpieczny i równie godny zaufania, jak te maszyny. Każdy inny ruch nie jest IPsec i działa normalnie.

• Czy mogę łatwo zablokować pakiety IP inne niż IPSec? A także ruch IPSec „zła Mallory'ego”, który jest podpisany przez jakiś klucz, ale nie nasz? Moją ideą jest uniemożliwienie takiego ruchu IP w sieci LAN.

Ruch IPsec jest dozwolony tylko dla tych „ zasad ” IPsec , które zdefiniujesz, więc żaden losowy komputer nie może wysłać pakietu IPsec - musi istnieć polityka IPsec pasująca do tych pakietów.

• Dla ruchu wewnętrznego LAN: wybrałbym „ESP z uwierzytelnieniem (bez AH)”, AES-256, w „Trybie transportu”. Czy to rozsądna decyzja?

Tak. Mówi się o całkowitym porzuceniu AH, ponieważ jest nadmiarowe - możesz używać ESP z szyfrowaniem NULL z tym samym efektem.

• W przypadku ruchu w sieci LAN: jak działa z bramą internetową? Chciałbym użyć
  • „Tryb tunelu”, aby utworzyć tunel IPSec z każdej maszyny do bramy? Czy mógłbym również użyć

Wybrałbym tę opcję. W tej chwili sam nie kontroluję bramy, a ruch i tak zostanie zaszyfrowany poza moją siecią, więc tak naprawdę nie widzę pilnej potrzeby.

Ruch internetowy do hostów, które nie używają protokołu IPsec, należy postrzegać jako potencjalnie przechwycony - szyfrowanie w lokalnej sieci LAN nie ma sensu, gdy dostawca usług internetowych lub dostawca usług internetowych może odbierać te same pakiety w postaci niezaszyfrowanej.

• „Tryb transportu” do bramy? Pytam dlatego, że brama musiałaby być w stanie odszyfrować pakiety pochodzące z sieci LAN, więc do tego potrzebne będą klucze. Czy to możliwe, jeśli adres docelowy nie jest adresem bramy? Czy w takim przypadku musiałbym użyć proxy?

Jak rozumiem, to nie działa - potrzebujesz proxy.

• Czy jest jeszcze coś, co powinienem rozważyć?

Sprawdź, czy możesz użyć czegoś sensownego, takiego jak klucze OpenPGP zamiast certyfikatów X.509. Używam X.509, ponieważ była to jedyna rzecz obsługiwana przez demona kluczowania IPsec, którego użyłem po raz pierwszy, i nie miałam dość energii, aby zająć się ponownym wykonaniem tego wszystkiego. Ale kiedyś powinienem i zrobię to.

PS Me i współpracownik przeprowadzili wykład na temat IPsec w 2007 r. Pomocne może być wyjaśnienie niektórych pojęć.

Brzmi to trochę jak przesada. Nie mogę powiedzieć, że słyszałem o nikim, kto szyfruje cały ruch w swojej sieci LAN. Jaka jest Twoja motywacja do prowadzenia pojazdu?

IPSec doskonale nadaje się do łączenia się z niezaufanymi sieciami (np. Web DMZ itp.) Oraz wewnątrz sieci oddzielonych zaporami ogniowymi. Aplikacje korzystające z protokołów RPC (np. Microsoft AD itp.) Lubią korzystać z wysokich efemerycznych zakresów portów, co nie przeszkadza w zaporach ogniowych. W sieci LAN twoje korzyści zależą od wielu czynników.

To nie jest srebrna kula i niekoniecznie uprości bezpieczeństwo sieci. Pomoże Ci to obsługiwać usługi w Internecie lub innych niezaufanych sieciach bez dokonywania dużych inwestycji w sprzęt sieciowy.

Jeśli robisz to jako ćwiczenie lub naukę, to w porządku, ale nic, co napisałeś do tego momentu, nie stanowi przekonującego argumentu, aby zrobić to, o czym mówisz.