Changes between Version 4 and Version 5 of Realisations/2006-2007/Projet/Entreprise2/Client1

Timestamp:

Apr 20, 2007, 7:00:11 PM (19 years ago)

Author:

alladoum

Comment:

--

Realisations/2006-2007/Projet/Entreprise2/Client1

@@ -39 +39 @@
 # 3des-cbc,cle de 192 bits (24o)
 # hmac-md5,cle de 128 bits(16o)
+flush;
 
 ## de client1 vers serveur1
@@ -47 +48 @@
 add 10.40.0.9 10.40.0.13 ah  2000 -m transport -A hmac-md5 "1234567890123456";
 add 10.40.0.9 10.40.0.13 esp  2001 -m transport -E 3des-cbc "123456789012345678901234";
-EOF
-
-$ cat >> /etc/ipsec.conf << EOF
+
 # Definition des SPD
-flush;
 spdflush;
 spdadd 10.40.0.13 10.40.0.9 any -P out ipsec
-esp/transport/10.40.0.13-10.40.0.9/require
-ah/transport/10.40.0.13-10.40.0.9/require;
+esp/transport/10.40.0.13-10.40.0.9/use
+ah/transport/10.40.0.13-10.40.0.9/use;
+# politique en entree
+spdadd 10.0.0.9 10.40.0.13 any -P in ipsec
+ah/transport/10.40.0.9-10.40.0.13/use
+esp/transport/10.0.0.9-10.0.0.13/use;
 EOF
 }}}
@@ -62 +64 @@
 $ setkey -v -f /etc/ipsec.conf
 }}}
-   -> Editez dans /etc/rc.conf en ajoutant la ligne
+   -> Si vous entrez 
+{{{
+$ setkey -D -P
+}}}
+la création des SA et SP devraient vous produire un affichage à peu près similaire à 
+{{{
+[root@SERVEUR1 ~]# setkey -P -D
+10.0.0.13[any] 10.40.0.9[any] any
+        in ipsec
+        ah/transport/10.40.0.13-10.40.0.9/use
+        esp/transport/10.0.0.13-10.0.0.9/use
+        created: Apr 20 18:10:44 2007  lastused: Apr 20 18:10:44 2007
+        lifetime: 0(s) validtime: 0(s)
+        spid=16393 seq=1 pid=7761
+        refcnt=1
+10.40.0.9[any] 10.0.0.13[any] any
+        out ipsec
+        ah/transport/10.40.0.9-10.40.0.13/use
+        esp/transport/10.0.0.9-10.0.0.13/use
+        created: Apr 20 18:10:44 2007  lastused: Apr 20 18:10:44 2007
+        lifetime: 0(s) validtime: 0(s)
+        spid=16392 seq=0 pid=7761
+        refcnt=1
+}}}
+   -> Pour automatiser cette procédure au démarrage de la machine, éditez dans /etc/rc.conf en ajoutant :
 {{{
 ipsec_enable="YES"
@@ -71 +97 @@
 
    * Configurer Racoon
- 
+[[BR]]
+
+   -> Créer psk.txt initiant l'échange de clé partagé
+{{{
+$ cat > psk.txt << EOF
+10.40.0.9       mot_de_passe_t3$T
+EOF
+}}}
+L'adresse IP est celle de la cible (ici Serveur1), suivi du mot de passe.
+   -> Créer racoon.conf. Vous pouvez vous inspirer de l'exemple fourni par défaut avec Racoon, ou bien utiliser (en le modifiant) celui-ci:
+{{{
+$ cat > racoon.conf << EOF
+#  $File: /home/chris/PRes/Postes_Rackables/ipsec_client1/racoon.conf $
+#  $MD5: 2922df40b60a8f1eb7116f90a485f84a $
+#  $By Christophe Alladoum <christophe[dot]alladoum[at]gmail[dot]com>$
+#  $Last-Modified: Fri Apr 20 18:28:11 2007$
+
+#
+# Configuration de RACOON cote client
+#
+
+path include "/chemin/absolu/vers/ce/repertoire" ;
+
+path pre_shared_key "/chemin/absolu/vers/psk.txt" ;
+# path pre_shared_key "/root/ipsec_client1/psk.txt" ;
+# path certificate "/usr/local/etc/cert" ;
+
+# "log" indique le niveau de debug
+# choix : notify, debug, debug2
+# log debug;
+
+padding
+{
+        maximum_length 20;      # maximum padding length.
+        randomize off;          # enable randomize length.
+        strict_check off;       # enable strict check.
+        exclusive_tail off;     # extract last one octet.
+}
+
+# Interfaces a ecouter (IPv4 et/ou v6)
+# Si aucune, ecoute sur toutes les interfaces de la machine
+listen
+{
+        # pour le client IPv4
+        isakmp 10.40.0.13 [500];
+        # pour le client IPv6
+        # isakmp ::1 [7000];
+}
+
+# Temporisateurs d echange de cle
+timer
+{
+        counter 5;              # maximum trying count to send.
+        interval 20 sec;        # maximum interval to resend.
+        persend 1;              # the number of packets per a send.
+
+        # Temps max. pour chaque phase
+        phase1 2 min;
+        phase2 4 min;
+}
+
+# Cas du client1
+remote 10.40.0.9
+{
+        exchange_mode aggressive,main;
+        doi ipsec_doi;
+        situation identity_only;
+
+        nonce_size 16;
+        lifetime time 60 min;   # sec,min,hour
+        initial_contact on;
+        support_proxy on;
+        proposal_check obey;    # obey, strict or claim
+
+        proposal {
+                encryption_algorithm blowfish;
+                hash_algorithm sha1;
+                authentication_method pre_shared_key ;
+                dh_group 5 ;
+        }
+}
+
+# Cas du client1
+sainfo anonymous
+{
+        pfs_group 5;
+        lifetime time 48 hour;
+        encryption_algorithm 3des, cast128, blowfish 448, des;
+        authentication_algorithm hmac_md5, hmac_sha1;
+        compression_algorithm deflate ;
+}
+EOF
+}}}
+   -> A présent, lancez:
+{{{
+$ /usr/local/sbin/racoon -l /var/log/racoon.log -f /chemin/vers/racoon.conf
+}}}
+Un fichier de log (utile pour le debug) sera crée à l'adresse /var/log/racoon.log
+   -> ''' Votre Racoon est lancé  !! '''
 [[BR]]
 ----