ＩＰＳｅｃによるＶＰＮ構成テスト

　ターボリナックスもＴｕｒｂｏｌｉｎｕｘ　Ｓｅｒｖｅｒ８からＩＰＳｅｃが標準でサポートされたため、以前からＴＬＳ７で何度か試してみてもうまく動作しなかったＩＰＳｅｃを試してみた。

参考にしたのは次のページである。

○Ｔｕｒｂｏｌｉｎｕｘ　Ｓｅｒｖｅｒ８のインストール

ｔｕｒｂｏｌｉｎｕｘ社のホームページにＴＬＳ８のプロモーション版が公開されているので、これをダウンロードしてＣＤＲＯＭに焼く。
ＩＰＳｅｃの本体であるＦｒｅｅＳ／ＷＡＮはこのプロモーション版には含まれていないので、ｔｕｒｂｏｌｉｎｕｘ社かミラーのＦＴＰサイトから freeswan-1.98b-4.i586.rpm をダウンロードしてきて、 rpm -ivh freeswan-1.98b-4.i586.rpm でインストールする。
これで準備完了である。まず、 /etc/ipsec.conf と /etc/ipsec.secrets を編集して、 /etc/rc.d/init.d/ipsec startとすると起動するが、今回は２ステップで動作を確認した。

○ＩＰＳｅｃの確認第一ステップ
　　FreeS/WANによるIPSecの導入と運用を参考にＴＬＳ８をインストールしたＰＣを２台用意し、ＳＧ（セキュリティゲートウェイ）対向の確認を行うべく下図の構成を行う。
ＩＰＳｅｃ確認ステップ１

　次に /etc/ipsec.conf と /etc/ipsec.secrets の設定であるが、簡単な共通鍵方式で試すこととして
　　　　　
　　　　　/etc/ipsec.conf ＳＧ２側　　　　　　　　　　　　　　　　　　　　　　　/etc/ipsec.conf ＳＧ１側

config setup
interfaces="ipsec0=eth0"
klipsdebug=none
plutodebug=none
plutoload=%search
plutostart=%search

conn %default
type=transport
right=192.168.0.5
authby=secret
pfs=no

conn sample
left=192.168.0.9
auto=start

config setup
interfaces="ipsec0=eth1"
klipsdebug=none
plutodebug=none
plutoload=%search
plutostart=%search

conn %default
type=transport
right=192.168.0.9
authby=secret
pfs=no

conn sample
left=192.168.0.5
auto=start

　　　　　/etc/ipsec.secrets ＳＧ１、ＳＧ２共同じ

: PSK "FreeS/WAN Connection"

で、設定を行い、ＳＧ１、ＳＧ２共 /etc/rc.d/init.d/ipsec start で起動する。

　確認は、 telnet で接続することで出来るが、これでは暗号化されているかどうかが分からない。参考にした資料ではパケットをモニターするようにとのことであるが、スイッチングハブを使っている関係もあり、モニターできない。

　そこで、暗号鍵である /etc/ipsec.secrets の内容を変えてみて接続が拒否されるのを確認したり、片方のみＩＰＳｅｃ
を立ち上げた状態で接続が拒否されるのを確認することで良しとした。

○ＩＰＳｅｃの確認第二ステップ
　　第二ステップは、通常のＶＰＮの使用状態、つまり本社と支社間の専用線の代替えである下図の構成である。
ＩＰＳＥＣによるＶＰＮ

　　FreeS/WANによるIPSECサーバの構築の内容に従い次のように /etc/ipsec.conf を編集する。ここでの暗号化も設定が簡単な公開鍵方式を採用し、/etc/ipsec.secrets はステップ１と同じものを使用した。

/etc/ipsec.conf 今回は、ＳＧ１、ＳＧ２共同じ内容で試してみた。

config setup
interfaces="ipsec0=eth1" －－－－－ここはＳＧ１とＳＧ２では異なり、ＳＧ１は eth0である。
klipsdebug=none
plutodebug=none
plutoload=%search
plutostart=%search
uniqueids=yes

conn %default
keyingtries=5
authby=secret

conn sample
left=192.168.0.5
leftnexthop=192.168.0.9
leftsubnet=192.168.1.0/24
right=192.168.0.9
rightnexthop=192.168.0.5
rightsubnet=192.168.2.0/24
auto=add　－－－－－－－－－－－センター側。端末側は start

　これで、端末からＷｅｂＳｅｒｖｅｒに対して、 ping が通るのはもちろんＷｅｂへのアクセスも可能であった。

　ここでも確認のため、暗号鍵を変えてみたが、やはりアクセスできなくなったので良好に動作しているものと判断した。

　また、ＳＧ１、ＳＧ２はルーティングも行うため、それへの設定として turbonetcfg によりルーティングテーブルを編集した。この結果は、ＩＰＳｅｃが無い状態でもping ＷｅｂアクセスともＯＫであった。
　その際の、ルーティングテーブルを以下に示す。

[root@fmv5100 anabuki]# netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
192.168.2.0 192.168.0.9 255.255.255.0 UG 40 0 0 ipsec0
192.168.1.0 * 255.255.255.0 U 40 0 0 eth0
192.168.0.0 * 255.255.255.0 U 40 0 0 eth1
192.168.0.0 * 255.255.255.0 U 40 0 0 ipsec0
loopback * 255.0.0.0 U 40 0 0 lo
default pc98nd.anabuki. 0.0.0.0 UG 40 0 0 eth1

[root@monitor anabuki]# netstat -r
Kernel IP routing table
Destination Gateway Genmask Flags MSS Window irtt Iface
192.168.2.0 * 255.255.255.0 U 40 0 0 eth1
192.168.1.0 fmv5100.anabuki 255.255.255.0 UG 40 0 0 ipsec0
192.168.0.0 * 255.255.255.0 U 40 0 0 eth0
192.168.0.0 * 255.255.255.0 U 40 0 0 ipsec0
loopback * 255.0.0.0 U 40 0 0 lo
default pc98nd.anabuki. 0.0.0.0 UG 40 0 0 eth0

　また、ＳＧ１、ＳＧ２とも中継機能を生かす必要があるので、 echo "1" > /proc/sys/net/ipv4/ip_forward も実行しておく必要がある。

　センター側である fmv5100(192.168.0.5) のＩＰＳｅｃを先に立ち上げておき、端末側である monitor(192.168.0.9) を立ち上げるとＩＰＳｅｃによるトンネルが形成され配下の端末間で通信が可能となる。

　気が付いてこと。

端末と相手ＳＧとの通信は出来ない。
センター側で相手端末のＩＰが分からない場合、ＩＰの代わりに %any と記述すればよいとの説明もあるが、試してみた結果は、ＲＳＡ認証の場合、ＲＳＡ　Keyが無いといって動作しなかった。共有鍵であれば旨くいくのかもしれない。
IPSec の動作状況は、 tail /var/log/message で確認できる。
/etc/ipsec.conf にある right left はどちらでも動作した。同一のファイルを両者にインストールするのがいいようである。

○ＲＳＡ認証
　　ＩＰＳｅｃをインストールした時に生成される /etc/ipsec/secrets は、秘密鍵になっている。そこでこの中にある #pubkey= 以下を /etc/ipsec.conf の rightrsasigkey と　leftrsasigkey に記述するとともに authby=rsasig とする。

○今後試したい事項
　　この状態では、固定地間はＯＫであるが、異動先からのアクセスにはＰＣを２台持っていかなければならないので現実的でない。
　　Ｗｉｎｄｏｗｓマシンから直接本社のＬＡＮにアクセスするような構成の可能性について探っていきたい。

前ページ