IPSec untuk lalu lintas LAN: Pertimbangan dasar?

Ini adalah tindak lanjut dari Enkripsi saya sepenuhnya ... pertanyaan.

Penting : Ini bukan tentang pengaturan IPSec yang lebih umum, di mana Anda ingin mengenkripsi lalu lintas antara dua LAN.

Tujuan dasar saya adalah mengenkripsi semua lalu lintas di dalam LAN perusahaan kecil. Salah satu solusinya bisa IPSec. Saya baru saja mulai belajar tentang IPSec, dan sebelum saya memutuskan untuk menggunakannya dan menyelam lebih dalam, saya ingin mendapatkan gambaran tentang bagaimana ini bisa terlihat.

• Apakah ada dukungan lintas platform yang baik? Ini harus bekerja pada Linux, MacOS X dan klien Windows, server Linux, dan seharusnya tidak memerlukan perangkat keras jaringan yang mahal.

• Bisakah saya mengaktifkan IPSec untuk seluruh mesin (sehingga tidak ada lalu lintas masuk / keluar), atau untuk antarmuka jaringan, atau apakah ditentukan oleh pengaturan firewall untuk masing-masing port / ...?

• Bisakah saya dengan mudah melarang paket IP non-IPSec? Dan juga lalu lintas IPSec "Mallory's evil" yang ditandatangani oleh beberapa kunci, tetapi bukan milik kita? Konsepsi ideal saya adalah membuat tidak mungkin untuk memiliki lalu lintas IP semacam itu di LAN.

• Untuk lalu lintas internal LAN: Saya akan memilih "ESP dengan otentikasi (tanpa AH)", AES-256, dalam "Moda transportasi". Apakah ini keputusan yang masuk akal?

• Untuk lalu lintas LAN-Internet: Bagaimana cara kerjanya dengan gateway internet? Apakah saya akan menggunakan

  • "Mode terowongan" untuk membuat terowongan IPSec dari setiap mesin ke gateway? Atau bisa juga saya gunakan
  • "Transport mode" ke gateway? Alasan saya bertanya adalah, bahwa gateway harus dapat mendekripsi paket yang berasal dari LAN, sehingga perlu kunci untuk melakukan itu. Apakah itu mungkin, jika alamat tujuan bukan alamat gateway? Atau haruskah saya menggunakan proxy dalam kasus ini?

• Apakah ada hal lain yang harus saya pertimbangkan?

Saya benar-benar hanya perlu tinjauan singkat tentang hal-hal ini, bukan instruksi yang sangat rinci.

• Apakah ada dukungan lintas platform yang baik? Ini harus bekerja pada Linux, MacOS X dan klien Windows, server Linux, dan seharusnya tidak memerlukan perangkat keras jaringan yang mahal.

Saya benar-benar tidak punya banyak pengalaman dengan ini, karena saya terutama memiliki sistem Linux, tetapi saya memang sebagian besar bekerja pada mesin Windows 2000 (ini beberapa waktu yang lalu). Itu memiliki masalah bahwa IPsec gagal untuk menegosiasikan ulang kunci sesi baru setelah beberapa byte telah ditransfer (ini seharusnya terjadi secara otomatis), sehingga koneksi turun setelah beberapa saat, dan saya tidak pernah repot untuk menggali ke dalamnya lebih lanjut. Ini mungkin bekerja jauh lebih baik saat ini.

• Bisakah saya mengaktifkan IPSec untuk seluruh mesin (sehingga tidak ada lalu lintas masuk / keluar), atau untuk antarmuka jaringan, atau apakah ditentukan oleh pengaturan firewall untuk masing-masing port / ...?

Cara kerjanya adalah (atau, lebih tepatnya, bagaimana saya berhasil membuatnya bekerja), Anda mendefinisikan bahwa foo mesin harus menggunakan hanya IPsec ke bilah mesin , baz , dan yow . Setiap lalu lintas dari dan ke mesin-mesin ini sekarang aman dan dapat dipercaya seperti mesin-mesin itu. Lalu lintas lainnya bukan IPsec dan berfungsi normal.

• Bisakah saya dengan mudah melarang paket IP non-IPSec? Dan juga lalu lintas IPSec "Mallory's evil" yang ditandatangani oleh beberapa kunci, tetapi bukan milik kita? Konsepsi ideal saya adalah membuat tidak mungkin untuk memiliki lalu lintas IP semacam itu di LAN.

Lalu lintas IPsec hanya diperbolehkan untuk " kebijakan " IPsec yang Anda tetapkan, sehingga mesin acak mana pun tidak dapat mengirim paket IPsec - harus ada kebijakan IPsec yang cocok dengan paket-paket itu.

• Untuk lalu lintas internal LAN: Saya akan memilih "ESP dengan otentikasi (tanpa AH)", AES-256, dalam "Moda transportasi". Apakah ini keputusan yang masuk akal?

Ya. Ada pembicaraan tentang meninggalkan AH sepenuhnya karena berlebihan - Anda dapat menggunakan ESP dengan enkripsi NULL dengan efek yang sama.

• Untuk lalu lintas LAN-Internet: Bagaimana cara kerjanya dengan gateway internet? Apakah saya akan menggunakan
  • "Mode terowongan" untuk membuat terowongan IPSec dari setiap mesin ke gateway? Atau bisa juga saya gunakan

Saya akan memilih opsi ini. Karena saya sendiri tidak mengontrol gateway, dan lalu lintas akan tidak terenkripsi di luar jaringan saya, jadi saya tidak benar-benar melihat kebutuhan yang mendesak.

Lalu lintas internet ke host yang tidak menggunakan IPsec harus dilihat sebagai mungkin dicegat - ada sedikit gunanya mengenkripsi pada LAN lokal ketika ISP Anda atau ISP ISP Anda dapat mendengarkan paket yang sama tidak terenkripsi.

• "Transport mode" ke gateway? Alasan saya bertanya adalah, bahwa gateway harus dapat mendekripsi paket yang berasal dari LAN, sehingga perlu kunci untuk melakukan itu. Apakah itu mungkin, jika alamat tujuan bukan alamat gateway? Atau haruskah saya menggunakan proxy dalam kasus ini?

Seperti yang saya pahami, itu tidak berfungsi - Anda akan memerlukan proxy.

• Apakah ada hal lain yang harus saya pertimbangkan?

Lihat apakah Anda dapat menggunakan sesuatu yang masuk akal seperti kunci OpenPGP alih-alih sertifikat X.509. Saya menggunakan X.509 karena itu adalah satu-satunya hal yang didukung oleh daemon keying IPsec yang pertama kali saya gunakan, dan saya belum punya energi untuk melihat untuk mengulang semuanya. Tetapi saya harus, dan saya akan, suatu hari nanti.

PS Me dan rekanan mengadakan kuliah tentang IPsec pada 2007, mungkin bisa membantu untuk mengklarifikasi beberapa konsep.

Ini kedengarannya agak berlebihan. Saya tidak bisa mengatakan bahwa saya pernah mendengar ada orang yang mengenkripsi semua lalu lintas di LAN mereka. Apa motivasi Anda mengemudi untuk melakukan ini?

IPSec bagus untuk menghubungkan ke jaringan yang tidak terpercaya (mis. DMZs Web, dll) dan di dalam dan jaringan yang dipisahkan dengan firewall. Aplikasi yang menggunakan protokol RPC (mis. Microsoft AD, dll) suka menggunakan rentang port sementara yang tinggi, yang tidak cocok dengan firewall. Di dalam LAN, manfaat Anda bergantung pada sejumlah faktor.

Ini bukan peluru perak, dan itu tidak akan selalu menyederhanakan keamanan jaringan. Ini akan membantu Anda untuk mengoperasikan layanan di internet atau jaringan tidak tepercaya lainnya tanpa melakukan investasi besar dalam peralatan jaringan.

Jika Anda melakukan ini sebagai latihan atau pengalaman belajar, itu baik-baik saja, tetapi tidak ada yang Anda posting hingga saat ini membuat argumen yang meyakinkan untuk melakukan apa yang Anda bicarakan.