Как стать автором
Обновить

Релиз pfSense 2.6 / pfSense Plus 22.01

Блог компании Timeweb Cloud Информационная безопасность *Сетевые технологии *

14 февраля вышла новая версия opensource файрвола pfSense - 2.6.0. Одновременно с этим вышла версия pfSense Plus 22.01 - варианта для фирменных железок компании-разработчика Netgate, поддерживающая оборудование на базе процессоров ARM и включающая в себя некоторые дополнительные пакеты и функции.

Подразумевается, что читатель имеет определённый опыт работы с pfSense и не нуждается в подробном разъяснении, что означает тот или иной термин.

Пройдёмся по новым функциям и наиболее заметным багфиксам. Детальный список изменений можно найти на странице релиза.

Читать далее
Всего голосов 8: ↑8 и ↓0 +8
Просмотры 5.8K
Комментарии 5

Умер Дзюнъитиро Хагино

Биографии гиков
29 октября 2007 года умер 純一郎萩野, также известный как Itojun. Ему было 37. Дзюнъитиро активно участвовал в таких проектах как FreeBSD, NetBSD и OpenBSD. Он внёс существенный вклад в реализацию поддержки IPv6, IPsec, а также разнообразных сетевых протоколов. Он же был одним из основных разработчиков KAME.

Фото

R.I.P.
その世界で嬉しいになってください
Читать дальше →
Всего голосов 58: ↑56 и ↓2 +54
Просмотры 1.1K
Комментарии 40

Простой способ сделать IPSec туннель от FreeBSD к Cisco

Чулан
Начнем с того, что в манах, где рекомендуется к установке Racoon упоминается racoon1, который в FreeBSD 7.x теперь называется ipsec-toos.

поэтому

portinstall ipsec-tools

не забываем скомпилировать ядро с поддержкой ipsec:

device crypto

option IPSEC

внимание, с 7.x IPSEC_ESP указывать не нужно!
Читать дальше →
Всего голосов 6: ↑5 и ↓1 +4
Просмотры 1.2K
Комментарии 3

Cisco: Порядок обработки пакетов «в сложных конфигурациях»

Cisco *
Регулярно сталкиваюсь с проблемой вспомнить, в какой последовательности
идет обработка пакета в Cisco, соответственно также регулярно ищу сей документ.

Может быть будет полезен кому-то кроме меня:

Пакет Inside−to−Outside
  1. if IPSec then check input access list
  2. decryption − for CET (Cisco EncryptionTechnology) or IPSec
  3. check input access list
  4. check input rate limits
  5. input accounting
  6. policy routing
  7. routing
  8. redirect to web cache
  9. NAT inside to outside (local to global translation)
  10. crypto (check map and mark for encryption)
  11. check output access list
  12. inspect (Context−based Access Control (CBAC))
  13. TCP intercept
  14. encryption
  15. queueing


Пакет Outside−to−Inside
  1. if IPSec then check input access list
  2. decryption − for CET or IPSec
  3. check input access list
  4. check input rate limits
  5. input accounting
  6. NAT outside to inside (global to local translation)
  7. policy routing
  8. routing
  9. redirect to web cache
  10. crypto (check map and mark for encryption)
  11. check output access list
  12. inspect CBAC
  13. TCP intercept
  14. encryption
  15. queueing


Извлечено из Cisco Document ID: 6209
Всего голосов 4: ↑2 и ↓2 0
Просмотры 10K
Комментарии 3

«Фича» в IPSEC реализации VPN роутеров Draytek

Информационная безопасность *
Draytek — относительно новая в российском сегменте компания, занимающая нишу недорогих компактных роутеров All-in-one. Здесь и здесь можно почитать обзор двух, наиболее популярных моделей роутеров этой компании серий 2820 и 2910 (которые, кстати, позиционируются как «security firewall»). Среди остальных преимуществ данных роутеров, наиболее вкусным является аппаратная поддержка шифрования (AES/DES/3DES) и аутентификации (MD5, SHA-1), так что можно, вроде бы, настроить VPN между точками и спать спокойно. Но не всё так просто, как кажется.
Читать дальше →
Всего голосов 21: ↑18 и ↓3 +15
Просмотры 5.5K
Комментарии 6

В OpenBSD пока не найдено бэкдоров ФБР

Криптография *
Ведущий разработчик OpenBSD, канадский программист и хакер Тэо де Раадт (Theo de Raadt) восстановил события десятилетней давности, когда создавался стек протоколов шифрования IPSec. Он называет имена двух основных разработчиков стека (как сейчас выяснилось, они выполняли заказы для ФБР) и пишет, что написанный ими код до сих пор используется в ключевых модулях системы и не только в IPSec.

За эту неделю участники проекта проверили часть кода и нашли несколько довольно серьёзных багов, которые похожи на неумышленные. Эти дыры закрыты много лет назад, хотя данные факты не афишировались. Никаких других дыр, которые могли быть бэкдорами, не найдено.

С одной стороны, проверена только малая часть кода. С другой стороны, есть основания полагать, что бэкдоров нет вообще. Разбирательство продолжается.
Читать дальше →
Всего голосов 37: ↑26 и ↓11 +15
Просмотры 2.5K
Комментарии 14

FreeBSD и D-Link DI-804HV через IPSEC

Системное администрирование *
Из песочницы
Хочу рассказать об одном из своих первых опытов общения с FreeBSD и настройке IPSEC для связи с D-Link DI-804HV и проблемах, которые возникли при этом. Надеюсь, это поможет народу не наступать на мои грабли.

Так получилось, что когда я пришел на новую работу, то в мою сферу ответственности попал сервер с FreeBSD, который был шлюзом в Интернет — на нем крутился почтовый сервер и файерволл. По предыдущей работе был опыт работы с Линуксами, но FreeBSD до этого в глаза не видел. И вот одна из первых задач на новой работе была настроить соединение с удаленным офисом через инет, для этого туда прикупили железку D-Link DI-804HV. Решено было соединить это все хозяйство через IPSEC.
Читать дальше →
Всего голосов 17: ↑16 и ↓1 +15
Просмотры 16K
Комментарии 8

Еще раз про IPSec, racoon и стереотипное мышление

Системное администрирование *
Поводом для написания этого поста стала прочитанная мною сегодня статья хабраюзера sharptop. Просто начал писать комментарий, но он оказался очень длинным, итак: сказ о том, как мы енота разоблачали.
Читать дальше →
Всего голосов 12: ↑7 и ↓5 +2
Просмотры 8.4K
Комментарии 26

IPsec с AmazonVPC в обход стандартных средств

Облачные вычисления *

Вводная и условия задачи


У нас есть Amazon VPC с несколькими подсетями.
Внутри VPC разбита на несколько подсетей.
Возьмем две из них.
В первой (посеть 10.0.0.0/24), назовоем ее net1, маршрутизацию наружу осуществляет родной Амазоновский Internet Gateway, который для каждой подсети свой. К инстансам в этой сети можно привязывать Elastic IP и они будут работать.
Вторая (подсеть 10.0.1.0/24), пусть будет net2 — полностью закрытая подсеть, доступ из которой к внешним ресурсам возможен только посредством отдельного инстанса с настроенным на нем NATом (назовем его service). Прямого доступа к этой подсети извне, кроме как через какой-либо инстанс из net1, реализовать не получится. Сам service существует так же в net1.
Внутри VPC инстансы обоих подсетей видят друг друга.
Так же, есть офисная сеть, пусть она называется net0 (подсеть 192.168.5.0/24).
Появилась необходимость обеспечить защищенный доступ из офиса к инстансам в net1 и обратно. Это можно сделать нативным для Амазона способом — с помощью Virtual Private Gateway и сопустствующим ему сервисам. Но тут есть одна проблема — маршрутизация осуществляется посредством BGP, которого на пограничном маршрутизаторе офиса нет и не предвидится. На нем есть только чистый IPsec с авторизацией по паролю. В данной ситуации надо действовать через него.
Приходит в голову следующая схема реализации: на инстансе service, который имеет доступ Интернет и ко всем инстансам внутри net1, а так же обладает Elastic IP, развернуть клиента IPSec, соединиться с офисным маршрутизатором и настроить маршрутизацию между сетями.

Читать дальше →
Всего голосов 5: ↑4 и ↓1 +3
Просмотры 2.6K
Комментарии 1

Mikrotik + IPSec + Cisco = Мир, Дружба, Жвачка

Cisco *Сетевые технологии *

Техническая задача: организовать ipip-тоннель между офисами, с шифрованием ipsec, при помощи Mikrotik RB450G и Cisco 2821.


Ньюансы

  • последняя версия софта на микроте (5.20)
  • тип тоннеля на циске IPIP
  • тип трансформы «transport», вместо «tunnel»

Исходные данные

  • Cisco 2821 (OS v12.4)
  • 2. Mikrotik RB450G
  • 3. Реальные внешние IP на обоих устройствах
  • 4. Адрес циски: 77.77.77.226. Подсеть со стороны циски: 10.192.0.0/22
  • 5. Адрес микротика: 88.88.88.2. Подсеть со стороны микротика: 192.168.88.0/24

Предыстория

Столкнулся по работе с необходимостью замены серверов в наших филиалах, на что-нибудь более надёжное, аппаратное.
Связь у нас с центральным офисом осуществляется через тонели с шифрованием ipsec. В центральном офисе у нас, собственно всё на кошкообразных построено, а в большинстве филиалов стоят обычные сервера под FreeBSD, которые цепляются тонелями, с помощью racoon.
Встала задача, в связи с устареванием, выходом из строя самих серверов, начать устанавливать простые, недорогие аппаратные решения.

Братья по-разуму, коллеги и форумы натолкнули меня на изделия Mikrotik, и сразу же я направил к ним письмо следующего содержания:
Читать дальше →
Всего голосов 32: ↑30 и ↓2 +28
Просмотры 131K
Комментарии 29

Технология HP Dynamic VPN. Часть 1

Блог компании Hewlett Packard Enterprise

Введение


Приветствую всех читателей в нашем блоге.

Этот цикл статей будет посвящен нашему замечательному решению под названием HP Dynamic VPN (или HP DVPN).

Это первая статья из цикла, и в ней я постараюсь рассказать о том, что представляет собой решение HP DVPN, а также описать его возможности и сценарии применения. В следующих статьях этого цикла речь пойдет о практической реализации возможностей DVPN и настройке самого оборудования.

Что такое DVPN?


Если кратко, то DVPN – это архитектура, которая позволяет множеству филиалов или региональных офисов (spoke) динамически создавать защищенные IPsec VPN туннели поверх любого IP транспорта для подключения к центральному офису или ЦОД (hub).

Для кого и чем это может быть полезно?

Допустим, есть некая организация, у которой имеется множество филиалов или удаленных офисов, раскиданных по всему городу или даже по всей стране (например, некий банк, или сеть магазинов, примеров таких организаций можно привести очень много). Перед нами стоит задача объединить все эти филиалы между собой с помощью одной транспортной сети, а также обеспечить возможность их подключения к центральному офису или ЦОД, в котором размещаются основные IT-ресурсы этого предприятия.
Читать дальше →
Всего голосов 8: ↑6 и ↓2 +4
Просмотры 14K
Комментарии 42

Mikrotik + IPSec + Cisco. Часть 2. Тоннель на «сером» IP

Cisco *Сетевые технологии *
В продолжение к посту.
В прошлый раз я рассматривал соединение, когда со стороны циски и микрота были реальные IP'ы.
Здесь рассмотрю пример «серого реальника», т.е серый IP, который провайдер маскирует у себя под внешний с безусловной переадресацией (binat).

Техническая задача: организовать ipip-тоннель между офисами, с шифрованием ipsec, при помощи Mikrotik RB450G и Cisco 2821.



Ньюансы

на циске внешний IP, а на микротике серый, который маскируется провайдером под внешний, с безусловной переадресацией (обращения к этому внешнику из интернета редиректятся на интерфейсный, серый «IP»).
Схема:

Читать дальше →
Всего голосов 6: ↑6 и ↓0 +6
Просмотры 46K
Комментарии 1

Декодирование ipsec в Linux

Настройка Linux *Системное администрирование *Серверное администрирование *
Tutorial
Иногда возникает необходимость снять дамп трафика внутри ipsec тоннеля. Я расскажу как это сделать в случае ipsec, поднятом на Linux сервере с PSK аутентификацией при помощи wireshark.

Подробности
Всего голосов 15: ↑14 и ↓1 +13
Просмотры 15K
Комментарии 6

Настраиваем IPSec VPN сервер через strongSwan и On-Demand на iOS

Настройка Linux *
Tutorial
Как же меня достало это сообщение

Всё началось с того что возникла необходимость защитить передаваемые на сервер пользовательские данные. И сделать нужно было так, что бы не заморочивать при этом пользователей корпоративных iPad'ов. Я не смог придумать ничего умнее как использовать IPSexc и VPN On-Demand на iOS. И поднимать я его решил через strongSwan.

Как же я намучился с этим… Как же я возненавидел это сообщение на картинке сверху… В интернете полно статей и готовых примеров, но все они используют авторизацию по логину и паролю.
И теперь я хочу сэконосить время тем кто отважится пройти этот тернистый путь.

Ступить на тернистый путь
Всего голосов 16: ↑13 и ↓3 +10
Просмотры 31K
Комментарии 6

Сети для самых маленьких. Часть седьмая. VPN

Системное администрирование *Сетевые технологии *
Tutorial


Покупка заводов в Сибири была стратегически правильным решением для компании “Лифт ми Ам”. После того, как лифты стали ездить не только вверх, но и вниз, дела компании пошли… нет полетели, вверх. Лифты начали разбирать, как горячие пирожки со стола. Название уже не соответствовало действительности и было принято решение о ребрендинге. (На самом деле их замучила судебная тяжба с Моби).
Итак, под крыло ЛинкМиАп планируется взять заводы в Новосибирске, Томске и Брно. Самое время подумать о том, как это хозяйство подключить к имеющейся сети.

Итак, сегодня рассматриваем
1) Возможные варианты подключения, их плюсы и минусы
2) Site-to-Site VPN на основе GRE и IPSec
3) Большая тема: динамическая многоточечная виртуальная сеть (DMVPN) в теории и на практике.

В традиционном видео лишь ёмкая выжимка из статьи, посвящённая работе и настройке DMVPN.

Читать дальше →
Всего голосов 118: ↑118 и ↓0 +118
Просмотры 564K
Комментарии 43

Racoon vs. OpenSWAN: Настройка IPSEC VPN туннеля HOST-TO-SITE с Cisco и L2TP over IPSEC для Windows, iOS и Android

Информационная безопасность *
Из песочницы
Tutorial
Добрых дел, уважаемые Хабравчане!

В данной статье я хотел бы увлечь вас рассказом о моих приключениях в поисках надежных и безопасных связей IPSec, где поджидает множество удивительных открытий и разочарований, загадок и ответов, историй верной службы и вероломных предательств. Итак, мой дорогой читатель, приготовься, начинаем повествование.

Читателю, которому требуется срочная помощь, а не рассказы о моих несчастьях, приведших к написанию данного топика, рекомендую пролистать до заголовка «Собственно сабж»

Где-то с полгода назад мне понадобилось поднять сервер для платежных терминалов с подключением к платежной системе по IPSec. Мой выбор пал на Debian Squeeze и KAME ipsec-tools, в простонародье racoon. Ох, и не знаю, почему моя душа прикипела к данному приложению. Сначала, поверхностно изучив теорию IPSec, я взялся за практику:

apt-get install racoon

И что же из этого вышло
Всего голосов 13: ↑12 и ↓1 +11
Просмотры 72K
Комментарии 11

Обзор IPSEC демона StrongSwan

Информационная безопасность *
Из песочницы

Введение


На хабре много статей про настройку IPSEC на разных девайсах, но относительно мало про Linux, а StrongSwan представлен поверхностно всего одной статьей.
В своем обзоре я затрону следующие вопросы:
  • Обзор демона StrongSwan;
  • Настройка Remote Access VPN на сертификатах.

Читать дальше →
Всего голосов 7: ↑5 и ↓2 +3
Просмотры 63K
Комментарии 5

StrongSwan. Remote Access VPN с использованием MSCHAPv2-EAP

Информационная безопасность *
Tutorial

О чем пойдет речь?


В данной статье я расскажу о том как настроить на Linux-сервере демон StrongSwan для подключения удаленных пользователей (Remote Access VPN) по протоколу IPSEC IKEv2, а в качестве протокола аутентификации клиентов будет использоваться связка MSCHAPv2-EAP.
Читать далее
Всего голосов 9: ↑7 и ↓2 +5
Просмотры 20K
Комментарии 9

Нагрузочное тестирование проекта ruVPN, технология IPSec VPN-on-Demand для iPhone, iPad

Блог компании ruVPN.net Информационная безопасность *
Неделю назад на сайте ruvpn.net было запущено функциональное бета-тестирование нового сервиса IPSec VPN-on-Demand. О результатах расскажу в конце статьи, а пока немного информации о проекте в целом. Сейчас проходит самый первый этап — IPSec VPN для устройств на базе Apple iOS.

ruVPN

Существует множество подобных решений, какой смысл делать еще одно? Все достаточно просто — аналогичные решения делались специалистами по сетям. Данное решение реализовано специалистами по безопасности сетей и цифровым сертификатам. Был использован опыт работы с очень крупными финансовыми компаниями, детально изучены корпоративные технологии в области информационной безопасности.

Эти знания натолкнули на мысль — а что если взять все лучшее из корпоративного сектора и попробовать внедрить для обычных пользователей? В частности, можно использовать технологии корпоративных VPN при развертывании нового сервиса.
Connect-on-DemandВ итоге можно получить все преимущества подобных решений:
  • автоматическая настройка VPN на устройстве,
  • авторизация на базе цифровых сертификатов,
  • автоматическое подключение VPN при любой сетевой активности устройства (VPN-on-Demand).

Подробности
Всего голосов 35: ↑20 и ↓15 +5
Просмотры 9.6K
Комментарии 76

VPN для обычных пользователей. Реальная необходимость или бесполезная опция?

Блог компании ruVPN.net Информационная безопасность *
На Хабре много статей про виртуальные частные сети (VPN): руководства по самостоятельной настройке, обзор технологии, примеры использования. Все они в той или иной степени рассчитаны на продвинутых пользователей, которые прекрасно осознают угрозы в современном информационном пространстве и целенаправленно выбирают тот или иной способ защиты.

Как же быть обычным пользователям? Что им угрожает? Нужен ли им вообще VPN?


image

Для ответа на эти вопросы достаточно собрать простейший тестовый стенд с точкой доступа Wi-Fi и анализатором трафика. Результат окажется очень занимательным.
Читать дальше →
Всего голосов 53: ↑32 и ↓21 +11
Просмотры 46K
Комментарии 86