IPSec zwischen Linux und der NetScreen

Ein VPN an sich ist eine feine Sache wenn man mal nicht Zuhause ist und trotzdem an seine Rechner kommen will. Seit ich die Pfsense laufen hatte, habe ich diese Funktion schätzen gelernt. Meine damalige Implementation war eine simple OpenVPN Lösung.

Da ich nun aber inzwischen eine NetScreen/Juniper SSG5 mein Eigen nenne, muss ich mich den Gegebenheiten anpassen und ein IPSec VPN aufbauen. Da ich mit meinem Laptop auf Reisen bin, habe ich mich für die ‘DialUp’ Variante entschieden, was im eigentlich nichts mit einem Modem zu tun hat, sondern nur mit dem Fakt, dass der Client die Verbindung zur Firewall initiiert.

Die aktuelle Situation sieht wie folgt aus:

• Netscreen: 1.2.3.4
• Roadwarrioir: 172.16.1.2
• Netz hinter Netscreen: 192.168.10.0/24

• User: myuser
• IKE ID: user@host.com
• Group: dialupusers
• Preshared Key: secret

Benutzer und Gruppe

set user "myuser" ike-id u-fqdn "user@host.com" share-limit 1 set user "myuser" type ike set user "myuser" "enable" set user-group "dialupusers" user "myuser"

Auto-IKE VPN und Policy

set ike gateway "dialupvpn" dialup "dialupusers" Aggr outgoing-interface "ethernet0/0" preshare "secret" proposal "pre-g2-3des-sha" set ike gateway "dialupvpn" nat-traversal set ike gateway "dialupvpn" udp-checksum set vpn "dialupvpn" gateway "dialupvpn" no-replay tunnel idletime 0 proposal "g2-esp-3des-sha" set address "Trust" "192.168.10.0/24" 192.168.10.0 255.255.255.0 set policy top from "Untrust" to "Trust" "Dial-Up VPN" "192.168.10.0/24" "ANY" Tunnel vpn "dialupvpn" log

Das war’s dann aber auch schon auf der NetScreen. Mit den Kommandos ‘save’ und ‘exit’ loggen wir uns schließlich aus und schreiten zur Linux-Box, wo bereits die IPSec-Tools installiert wurden. Bei Gentoo sind diese als net-firewall/ipsec-tools verfügbar. Was den Kernel betrifft, sollten folgende Dinge entweder fix eingebaut oder zumindest als Modul verfügbar sein:

• PF_KEY sockets (CONFIG_NET_KEY)
• AH transformation (CONFIG_INET_AH)
• ESP transformation (CONFIG_INET_ESP)
• IPCOMP transformation (CONFIG_INET_IPCOMP)
• DES, SHA1, (etc) from Crypto API

Die Preshared Keys (PSK) der einzelnen Verbindungen werden in der Datei /etc/racoon/psk.txt eingetragen und zugeordnet. /etc/racoon/psk.txt:

# ipv4/ipv6 adresses
1.2.3.4        abc123

In der racoon.conf Datei legen wir die Ziele fest /etc/racoon/racoon.conf:

# Pre-shared key
path pre_shared_key "/etc/racoon/psk.txt";
Remote host
remote 1.2.3.4
{
exchange_mode aggressive;
my_identifier user_fqdn “user@host.com”;
proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group modp1024;
}
}
A sample sainfo section
Create one for each subnet you want to access, etc.
sainfo address 172.16.1.2 any address 192.168.10.0/24 any
{
pfs_group modp1024;
encryption_algorithm 3des;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}

… welche wir dann schliesslich in der ipsec.conf Datei verwenden. /etc/ipsec.conf:

#!/usr/sbin/setkey -f
flush;
spdflush;
outbound
spdadd 192.168.2.0/24 192.168.10.0/24 any
-P out ipsec esp/tunnel/172.16.1.2-1.2.3.4/require;
inbound
spdadd 192.168.10.0/24 192.168.2.0/24 any
-P in ipsec esp/tunnel/1.2.3.4-172.16.1.2/require;

Wenn das erledigt ist, kann die Verbindung gestartet werden. Achtung: Die Verbindung wird nicht gleich beim ersten Paket funktionieren, da zuerst die Authentifizierung erfolgen muss. Ist die Verbindung nach 15 Sekunden noch immer nicht aufgebaut, lohnt sich ein Blick in die Logfiles.