Probleme mit IPSec und linux 2.6.6

[SmiGo]

Hallo.

Ich habe Probleme beim Einrichten meines VPNs unter Linux 2.6.6

Ich möchte mein WLAN absichern. Dazu habe ich einen extra Rechner
genommen, der als VPN Gateway dient. Dieser soll alle Verbindungen
die nicht über ESP kommen verbieten. Der Access Point ist an diesem
Rechner an einer Netzwerkkarte angeschlossen. Die Zweite NIC geht ins
Netzwerk.
Ich möchte zuerst mal versuchen, die Schlüssel manuell zu setzen.(zu
Übungszwecken, ich werde das ganze danach mit racoon versuchen, und
dann auf x509 Zertifikate umsteigen. Es geht mir erst mal nur um das
allgemeine Verständnis).
IP's:
Client: 192.168.116.2
VPN-Gateway: 192.168.116.1 (Zum WLAN) und 192.168.115.253(zum
internen Netzwerk)


Ich benutze folgendes Skript auf dem Client(WLAN Rechner):

#!/usr/local/sbin/setkey -f

flush;
spdflush;



add 192.168.116.1 192.168.116.2 esp 0x200 -m tunnel -E 3des-cbc
0x78bab1a6380fa764e4be09da2e13d65076d503cf3089ea82 -A hmac-md5
0xbf9a08
1e7ebdd4fa824c822ed94f5226;
add 192.168.116.2 192.168.116.1 esp 0x200 -m tunnel -E 3des-cbc
0x78bab1a6380fa764e4be09da2e13d65076d503cf3089ea82 -A hmac-md5
0xbf9a08
1e7ebdd4fa824c822ed94f5226;

spdadd 192.168.116.2 192.168.116.1 any -P out ipsec

esp/tunnel/192.168.116.2-192.168.116.1/require;

spdadd 192.168.116.1 192.168.116.2 any -P in ipsec

esp/tunnel/192.168.116.1-192.168.116.2/require;



spdadd 192.168.115.0/24 192.168.116.2 any -P in ipsec

esp/tunnel/192.168.116.1-192.168.116.2/require;

spdadd 192.168.116.2 192.168.115.0/24 any -P out ipsec

esp/tunnel/192.168.116.2-192.168.116.1/require;



Auf dem VPN-Gateway nehme ich das gleiche Skript, nur habe ich "in"
und "out" vertauscht.
Danach starte ich dieses Skript, und schaue mir die Verbindung mit
ethereal an.
Wenn ich jetzt vom Client zum VPN-Gateway pinge, dann schickt der den
echo-request verschlüsselt. Das echo-reply kommt jedoch weiterhin
unverschlüsselt über das Netz.
Das kann ja nicht Sinn der Übung sein. Wenn ich dann die Filterregeln
auf dem Gateway setze, so das nur ESP Pakete erlaubt sind, dann kommt
das echo-reply auch nicht mehr zurück. Also läuft die Verschlüsselung
nur unidirektional.

Könnte mir mal jemand sagen was ich da falsch mache, oder habe ich da
ein grundlegendes Verständnissproblem?

Vielen Dank im vorraus.

mfg Felix Bueltmann

[Zerwas]

Hallo,

ich habe eben deine Problemstellung gelesen.

Ich habe derzeit das selbe Problem und bin ebenfalls auf der Suche.

Hast du schon eine Lösung gefunden. Leider bekomme ich ebenfalls keine Antwort auf diese Frage.


Falls du einen Hinweis hast, wäre es sehr freundlich mir einen Tipp zu geben.

mfg

Christian Ihm

[PTSA]

Leider habe ich momentan keine wirkliche Hilfe zu dem speziellen IPSec Problem unter Kernel 2.6.x parat. Alternativ kann ich aber speziell für den WLAN-Einsatz OpenVPN sehr empfehlen. Schön flexibel, deutlich freundlicher zu konfigurieren als IPSec.

ptsa

[Zerwas]

Hallo,

wenn du mit Ethereal oder sonstiges auf dem VPN-Gateway selber mitsnifferst kannst du immer die verpackten wie ankommenden decodierten Pakete sehen.
Ich bin mittlerweile der Überzeugung, dass die NEtzwerkkarte das Paket decodiert und unverschlüsselt weiterleitet und man dieses sehen kann.

Wenn du allerdings auf dem Router, welcher beide Seiten verbindet snifferst siehst du nur esp-Pakete.

Gruß