Manual_ IP _ IPsec - MikroTik Wiki

17/05/2016

M anual: IP / IPsec - M ikr oTik W iki

Manual: IP / IPsec De MikroTik Wiki < Manual: IP

Conteúdo 1 Resumo Resumo 2 cabeçalho de autenticação (AH) 2.1 O modo modo de transporte 2.2 O 2.2 O modo de túnel 3 encapsular Security Security Payload 3.1 O modo modo de transporte 3.2 O modo de túnel tú nel 3.3 Os algoritmos algoritmos de criptografia 3.4 criptografia criptografia de hardware 4 Protocolo Inter net net Key Exchange 4.1 Grupos Diffie-Hellman Diffie-Hellman 4.2 IKE tráfego 4.3 Procedimento de Configuração 5 modo de configuração 6 Usuários XAUTH 7 configuração ponto 8 Chaves 9 política 9.1 Estatísticas Política 10 grupos de d e políticas 11 Configurações Configurações da proposta 12 Manual Manual de SA 13 Instalada Instalada SA 13,1 Flushing SAs 14 Peers remoto 14.1 Fechando todas as conexões IPsec 15 Estatísticas 16 Exemplos de Aplicação 16,1 Simples Mutual PSK XAuth Configuração 16,2 configuração Road Warrior com o Modo Conf 16.2.1 IpSec servidor de configuração 16.2.2 Apple iOS (iPhone / iPad) Cliente 16.2.3 Android Notes Client 16.2.4 RouterOS Cliente Configuração 16.2.5 Shrew Cliente Configuração 16,3 configuração Road Warrior com autenticação RSA 16.3.1 Criando Certificados 16.3.2 IPSec servidor de configuração 16.3.3 Cliente IPSec Configuração 16.3.4 CRL Testing 16,4 site para site IpSec Tunnel 16.4.1 IP Connectivity 16.4.2 configuração do ponto IPsec 16.4.3 Política e proposta 16.4.4 NAT e Fasttrack Bypass 16,5 IPSec / L2TP por trás NAT 16.5.1 IP Connectivity 16.5.2 L2TP Configuração 16.5.3 a configuração do ipsec 16,6 Permitir somente IPSec Ecapsulated Tráfego 16.6.1 IPSec Policy Matcher 16.6.2 Usando política IPSec genérico 16.7 Ligação com Shrew cliente e permitindo apenas o tráfego criptografado

Aplica-se a RouterOS: v6.0 +

Resumo Sub-menu: / ip ipsec pacote exigido: segurança Normas: RFC 4301

http://w iki.mi kr otik.com /w iki/M anual:IP/IPsec

1/21

17/05/2016

M anual: IP / IPsec - M ikr oTik W iki

Internet Protocol Security (IPSec) é um conjunto de protocolos definidos pela Internet Engineering Task

Force (IETF) Garantir um intercâmbio de pacotes através de redes desprotegidas IP / IPv6 como a Internet. IpSec conjunto de protocolos podem ser divididos em grupos seguintes: Cabeçalho de autenticação (AH) RFC 4302 Encapsular Security Payload (ESP) RFC 4303 Internet Key Exchange (IKE) protocolos. Dinamicamente gera e distribui chaves criptográficas para

AH e ESP.

Cabeçalho de autenticação (AH) AH é um protocolo que fornece a autenticação de todo ou parte do conteúdo de um datagrama através da adição de um cabeçalho que é calculado com base nos valores do datagrama. O partes do datagrama são usados para o cálculo, e a colocação do cabeçalho, depende se o modo de túnel ou transporte é utilizado. A presença do cabeçalho AH permite verificar a integridade da mensagem, mas não a cifrar. Assim, AH fornece autenticação, mas não privacidade. Outro protocolo (ESP) é considerado superior, que fornece privacidade de dados e também o seu próprio método de autenticação. RouterOS suporta os seguintes algoritmos de autenticação para AH: SHA1 MD5

O modo de transporte

No modo de transporte AH cabeçalho é inserido, após o cabeçalho IP. dados de IP e cabeçalho é usado para calcular o valor de autenticação. campos de IP que podem mudar durante o trânsito, como TTL e contagem de saltos, são definidas para valores zero antes da autenticação.

O modo de túnel

No modo túnel originais pacote IP é encapsulado dentro de um novo pacote IP. Todos Todos os pacotes IP original for autenticado.

Encapsular Security Payload Encapsular Security Payload (ESP) usa criptografia de chave compartilhada para proporcionar privacidade de dados. ESP também suporta o seu próprio esquema de autenticação como aquele usado em AH, ou pode ser usado em conjunto com AH. Nota: Usando ah e esp juntos fornece autenticação dupla que adiciona uma carga adicional de CPU e não

fornece quaisquer vantagens significativas de segurança. Sugerimos para mudar apenas para ESP.

ESP pacotes seus campos de uma forma muito diferente do que AH. Em vez de ter apenas um cabeçalho, ele divide seus campos em três componentes: ESP Cabeçalho - vem antes de os dados criptografados e sua colocação depende de ESP é usado em

modo de transporte ou modo de túnel.

ESP Trailer - Esta seção é colocado após os dados criptografados. Ele contém preenchimento que é

usada para alinhar os dados codificados. ESP autenticação dos dados - Este campo contém um Integrity Check Value (ICV), calculado de forma semelhante à forma como o protocolo AH funciona, pois quando recurso de autenticação opcional do ESP é usado.

O modo de transporte

http://w iki.mi kr otik.com /w iki/M anual:IP/IPsec

2/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki

No modo de transporte ESP cabeçalho é inserido, após o cabeçalho IP original. valor reboque e autenticação ESP é adicionado ao fim do pacote. Neste modo, apenas payload IP é criptografado e autenticado, o cabeçalho IP não é garantido. O modo de túnel

No modo túnel originais pacote IP é encapsulado dentro de um novo pacote IP garantindo assim carga IP e cabeçalho IP.

algoritmos de criptografia

RouterOS ESP suporta vários algoritmos de criptografia e autenticação. Autenticação: SHA1 MD5 criptografia: DES - 56-bit algoritmo de criptografia DES-CBC; 3DES - 168-bit algoritmo de criptografia DES; AES - 128, 192 e 256 bits chave de algoritmo de criptografia AES-CBC; Blowfish - adicionados desde v4.5 Twofish - adicionados desde v4.5 Camellia - 128, 192 e encriptação Camellia chave de 256-bit algoritmo adicionados desde v4.5

criptografia de hardware

criptografia de hardware permite fazer processo de criptografia mais rápido usando mecanismo de criptografia embutida dentro da CPU. AES é o único algoritmo que irá ser acelerada no hardware. Lista de RouterBoards com suporte de hardware ativada: RB1000 RB1100AHx2 Todas as placas da série CloudCoureRouter RB850Gx2 Para RB1000 comparação com o apoio HW habilitado pode encaminhar até 550Mbps tráfego criptografado. Quando o suporte de HW é desativado ele pode encaminhar apenas 150Mbps tráfego criptografado em modo AES-128. Alguns conselhos de configuração sobre como obter o rendimento máximo IPSec em RB1100AHx2 multicore: Evite usar ether12 e ether13. Uma vez que estas portas estão pci-x serão mais lentos. o encaminhamento mais rápido é a partir dos portos de chips interruptor (Ether1-ether10) para ether11 (directamente ligados à CPU) e vice-versa. Definir fila de hardware em todas as interfaces / Set fila interface [procurar] fila = somente de hardware‐fila

Desativar RPS: / Recursos do sistema IRQ rps disable [procurar]

Atribuir um núcleo da CPU para ether11 e outro núcleo da CPU para tudo o resto. Encaminhamento ao longo ether11 requer mais CPU é por isso que nós estamos dando um núcleo apenas para essa interface (em IRQ ether11 configuração é listado como ether12 tx, rx e erro). / Irq de recursos do sistema definir [encontrar] cpu = 1 definir [procurar users = "eth12 tx"] cpu = 0 definir [procurar users = "eth12 rx"] cpu = 0 definir [procurar users = "Erro eth12"] cpu = 0

rastreamento de conexão desativar Com todas as recomendações acima, é possível transmitir a 820Mbps (pacotes 1470byte duas correntes). http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

3/21

17/05/2016


Com 700Mbps rastreamento de conexões ativadas (1470 byte pacotes duas correntes).

Protocolo Internet Key Exchange A Internet Key Exchange (IKE) é um protocolo que fornece material de entrada autenticado para a Internet Security Association e um quadro Key Management Protocol (ISAKMP). Existem também outros programas de troca de chaves que trabalham com ISAKMP, mas IKE é o mais amplamente utilizado. Juntos, eles fornecem meios para a autenticação dos exércitos e gestão automática de associações de segurança (SA). Na maioria das vezes IKE daemon não está fazendo nada. Há duas situações possíveis quando é activado: Há algum tráfego capturado por uma regra de política que precisa para se tornar criptografada ou autenticada, mas a política não tem nenhum SAs. A política notifica IKE daemon sobre isso, e IKE daemon inicia conexão de host remoto. IKE daemon responde a conexão remota. Em ambos os casos, os pares estabelecer ligação e executar 2 fases: Fase 1 - Os pares acordar algoritmos que vão usar nos seguintes mensagens IKE e autenticar. O material

de chave usada para derivar chaves para todos os SAs e proteger sequência de troca ISAKMP entre hosts é gerado também. Esta fase deve corresponder seguintes definições: Método de autenticação grupo DH algoritmo de criptografia modo de câmbio alorithm de hash NAT-T DPD e vida útil (opcional) Fase 2 - Os pares estabelecer uma ou mais SAs que serão usados pelo IPsec para criptografar dados.

Todos os SAs estabelecidas pela IKE daemon terão valores da vida (quer limitar o tempo, após o qual SA se tornará inválida, ou quantidade de dados que podem ser criptografados por esta SA, ou ambos). Esta fase deve corresponder seguintes definições: protocolo IPSec mode (túnel ou transporte) Método de autenticação PFS grupo (DH) tempo de vida Nota: Existem

dois valores ao longo da vida - moles e duros. Quando SA atinge o treshold vida suave, o daemon IKE recebe um aviso e começa outra troca de fase 2 para substituir esse SA com um fresco. Se SA atinge vida dura, ele é descartado.

Aviso: Fase 1 não é re-introduzidos se DPD é desativado quando vigência expira, apenas a fase 2 é re-

introduzidos. Para forçar a fase 1 re-key, permitir DPD.

IKE pode, opcionalmente, fornecer um Perfect Forward Secrecy (PFS), que é uma propriedade de trocas de chaves, que, por sua vez, significa para IKE que comprometer a chave de longa duração da fase 1 não permitirá a ganhar facilmente o acesso a todos os dados de IPsec que está protegida por SCV estabelecidos por esta fase 1. isso significa um material de chave adicional é gerado para cada fase 2. Geração de material de entrada é computacionalmente muito caro. gratia exemplifica, a utilização do grupo modp8192 pode levar vários segundos, mesmo no computador muito rápido. Ele geralmente ocorre uma vez por fase 1 de câmbio, o que acontece apenas uma vez entre qualquer par de acolhimento e, em seguida, é mantido por longo tempo. PFS adiciona esta operação dispendiosa também para cada troca de fase 2. Grupos Diffie-Hellman

Diffie-Hellman (DH) protocolo de troca de chaves permite que duas partes, sem qualquer segredo compartilhado inicial para criar uma forma segura. A seguir Modular exponencial (MODP) e Elliptic Curve (EC2N) Diffie-Hellman (também conhecido como "Oakley") Grupos são suportados: Diffie-Hellman Grupo Grupo 1 grupo 2 grupo 3 grupo 4 grupo 5 http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

Nome grupo MODP 768 bit 1024 bits MODP grupo grupo EC2N em GP (2 ^ 155) grupo EC2N em GP (2 ^ 185) 1536 bits de MODP grupo

Referência RFC 2409 RFC 2409 RFC 2409 RFC 2409 RFC 3526 4/21

17/05/2016


grupo 14 grupo 15 grupo 16 grupo 17

2048 bits MODP grupo 3072 bits de MODP grupo 4096 bits MODP grupo 6144 bits de MODP grupo

RFC 3526 RFC 3526 RFC 3526 RFC 3526

IKE tráfego

Para evitar problemas com pacotes IKE acertar alguma regra SPD e exigem para criptografá-lo com ainda não estabelecida SA (que este pacote, talvez, está tentando estabelecer), localmente originou pacotes com UDP porta de origem 500 não são processados com SPD. Da mesma maneira que os pacotes com UDP porta de destino 500 que são para ser entregue localmente não são processados na verificação de política de entrada.

Procedimento de configuração

Para chegar IPsec para trabalhar com chaveamento automático usando IKE-ISAKMP você terá que configurar proposta entradas (opcional) política, pares e. Aviso: O IPsec é muito sensível às mudanças de tempo. Se

ambas as extremidades do túnel IPsec não são igualmente sincronização de tempo (por exemplo, diferentes servidores NTP não actualização em tempo com a mesma hora), túneis vai quebrar e terá de ser estabelecida novamente.

modo de Configuração Sub-menu: / ip IPSec modo‐config

Nota: Se

o cliente RouterOS é iniciador, ele sempre irá enviar CISCO extensão unidade e RouterOS suporta apenas split-incluem desde esta extensão.

Propriedade address‐piscina (

padrão:)

nenhum | cadeia ;

address‐prefix‐length (

Padrão:) comentário ( Nome (

inteiro [1..32] ;

Descrição

Nome do pool de endereços a partir do qual resposta vai tentar atribuir um endereço se o modo-config está habilitado. comprimento do prefixo (máscara de rede) do endereço atribuído a partir da piscina.

cadeia ; padrão:)

cadeia ; padrão:)

envie‐dns ( sim | split‐incluem (

padrão:)

não ; padrão: yes )

lista de prefixo ip ;

Se a enviar a configuração DNS Lista de sub-redes em formato CIDR, que a túnel. Sub-redes será enviado para o ponto usando a extensão do Cisco Unity, peer remoto irá criar políticas dinâmicas específicas.

Usuários xAUTH Sub-menu: / ip ipsec usuário

Lista de usuários XAUTH permitidos Propriedade endereço ( IP ;

Nome (

cadeia

password (

http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

padrão:)

; padrão:)

Descrição

Endereço de IP atribuído para o cliente. Se não definir o endereço dinâmico é usado alocados a partir do endereço-pool definido no menu do modo de configuração . Nome de usuário

cadeia ; padrão:) 5/21

17/05/2016


configuração ponto Sub-menu: / ip ponto IPsec

Definições de configuração de pares são usados para estabelecer conexões entre daemons IKE ( fase 1 de configuração). Esta ligação será, em seguida, usada para negociar chaves e algoritmos para o SAS. A partir do lado v6rc12 responder agora usa o tipo de câmbio iniciador para a seleção de configuração de pares. Isso significa que você pode configurar vários pontos IPSec com o mesmo endereço, mas diferentes modos de câmbio ou métodos de criptografia. Nota: os modos de câmbio principais e l2tp-main são tratados da mesma, de modo que estes modos não podem ser utilizados selecione configuração entre vários pares.

Propriedade endereço ( IP /

0.0.0.0/0 )

IPv6 Prefixo ; padrão:

auth‐method ( pre-chave compartilhada | RSA-assinatura ; padrão: pré-chave compartilhada )

certificado (

comentário (

cadeia

cadeia

; padrão:)

; padrão:)

dh‐grupo (

ec2n155 | ec2n185 | modp1024 | modp1536 | modp2048 | modp3072 | modp4096 | modp6144 | modp768 ; padrão: modp1024 ) deficientes ( sim |

)

DPD‐intervalo (

Padrão: 2m )

não ; padrão: nenhum

tempo | disable-dpd ;

DPD‐máximo‐falhas (

Padrão: 5 )

inteiro: 1..100 ;

enc‐algoritmo (

Descrição

Se o endereço do peer remoto corresponde a esse prefixo, em seguida, a configuração ponto é usado em autenticação e criação de Fase 1 . Se vários endereços de pares coincidir com várias entradas de configuração, o mais específico (ou seja, aquele com a maior máscara de rede) será usado. Método de autenticação: pre‐de chave compartilhada - autenticar por uma senha

string (secreta) compartilhado entre os pares RSA‐signature - autenticar usando um par de certificados RSA RSA‐key - autenticar usando uma chave RSA importado em chave IPSec menu. pré‐compartilhada‐key‐xauth -. PSK mútua + xauth nome de usuário / senha passiva parâmetro identifica lado do servidor / cliente RSA‐signature‐hybrid -. autenticação de certificado de responder com iniciador Xauth passiva parâmetro identifica lado do servidor / cliente Nome de um certificado listado na tabela de certificado (assinatura de pacotes, o certificado deve ter a chave privada). Aplicável se o método de autenticação de assinatura RSA (método-auth = rsa-assinatura) é usado. Breve descrição do par. Grupo Diffie-Hellman (força de codificação)

Se por pares é usado para coincidir com prefixo de ponto remoto. Intervalo de detecção de ponto morto. Se definido para Disable‐DPD , não será usada detecção de ponto morto. O número máximo de falhas até que ponto é considerado morto. Aplicável se DPD está habilitado.

3DES | AES-128 | AES192 | AES-256 | blowfish | camellia-128 | camellia-192 | camellia-256 | des ; padrão: AES-128 )

Lista de algoritmos de criptografia que será usado pelo peer.

‐mode de câmbio ( agressiva | base de | principal | main-l2tp ; padrão: principal )

Diferentes ISAKMP fase 1 modos de câmbio de acordo com a RFC 2408 . Não use outros modos, em seguida, principal a menos que você saiba o que está fazendo. Main-l2tp modo relaxa secção RFC2409 5.4, para permitir-chave précompartilhada de autenticação em modo principal.

gerar‐política ( não | porta-override | porta-estrita ; padrão: nenhum )

Permitir que este ponto para estabelecer SA de políticas nãoexistentes. Tais políticas são criadas dinamicamente para a vida do SA. Políticas automático permite, por exemplo, para criar IPsec garantidos L2TP túneis, ou qualquer outra configuração


6/21

17/05/2016


onde o endereço IP do ponto remoto não é conhecido no momento da configuração. não - não geram políticas porta‐override - gerar políticas e forçar a política de usar

qualquer porta (comportamento antigo)

port‐estrita - portos de uso de proposta de pares, que

deve coincidir com a política de pares hash algoritmo ( md5 | sha1 | sha256 | sha512 ; padrão: SHA1 ) chave (

cadeia

; padrão:)

Algoritmo de hash. SHA (Secure Hash Algorithm) é mais forte, mas mais lento. MD5 utiliza chave de 128 bits, chave sha1160bit. Nome da chave a partir do menu de chave . Aplicável se-método auth = rsa-chave.

lifebytes ( Integer: 0..4294967295 ;

Fase 1 vida: especifica quanto bytes podem ser transferidos antes SA é descartado. Se definido como 0 , SA não será descartado devido a byte contagem excesso.

tempo de vida (

Fase 1 vida: especifica por quanto tempo a SA será válido.

Padrão: 0 )

tempo ; padrão: 1d )

modo de configuração ( nenhum | pedido somente | cadeia ; padrão: nenhum )

Nome dos parâmetros do modo de configuração do modo de configuração do menu . Quando o parâmetro é definido o modo de configuração está habilitada. iniciador pares sobre phase1 enviará pedido modo de configuração e definir o endereço IP atribuído e DNS. respondedor irá atribuir um endereço IP se o endereço pool é especificada, enviará também os endereços de servidor DNS e split-incluem sub-redes (se definido).

my‐id (

Auto )

auto | fqdn | user-fqdn ; Padrão:

Este parâmetro define IKE ID para o modo especificado. É possível definir manualmente dois modos FQDN e USER_FQDN. FQDN - nome de domínio totalmente qualificado USER_FQDN - especifica uma cadeia de nome de

usuário totalmente qualificado, por exemplo, "[email protected]"; auto endereço IP é usado como ID. nat‐travessia ( sim |

nenhum )

passiva ( sim |

não ; padrão:

não ; padrão: nenhum )

política‐modelo‐group (

; padrão:) port (

nenhum | cadeia

integer: 0..65535 ; Padrão: 500 )

proposta de verificação ( pedido |

exata | obedecer | rigorosa ; padrão: obey )

‐certificado remoto (


cadeia ;

padrão:)

mecanismo de uso Linux NAT-T para resolver a incompatibilidade IPsec com roteadores NAT no meio destes pares IPsec. Isso só pode ser usado com o protocolo ESP (AH não é suportado pelo design, como ele assina o pacote completo, incluindo cabeçalho IP, que é alterado pelo NAT, tornando assinatura AH inválido). O método encapsula o tráfego IPsec ESP em fluxos UDP, a fim de superar algumas questões menores que fizeram ESP incompatível com NAT. Quando o modo passivo está habilitado irá esperar por peer remoto para iniciar a ligação IKE. modo passivo habilitado também indica que ponto é responder xauth e modo passivo deficientes - iniciador xauth. Se a política de gerar-se habilitado, cheques de resposta contra modelos de um mesmo grupo . Se nenhum do jogo modelos, Phase2 SA não será estabelecida. porta de comunicação utilizada para o tráfego IPsec. Fase 2 vida lógica de seleção: alegação - tomar mais curto espaço de tempo de vida propostos e configurados e notificar iniciador sobre ele exata - requer vidas para ser o mesmo obedecer - aceitar tudo o que é enviado por um iniciador estrita - se tempo de vida proposto é maior do que o padrão, então rejeitar a proposta de outra forma aceito vida proposto

Nome de um certificado (listados na tabela de certificado ) para autenticar o lado remoto (validando pacotes, nenhuma chave privada necessário). Aplicável se o método RSA autenticação de assinatura é utilizada. Se em certificado remoto não for especificado, em seguida, recebeu certificado do peer remoto é 7/21

17/05/2016


utilizado e comparados com CA no armazenamento de certificados . CA adequada deve ser importado no armazenamento de certificados. segredo (

cadeia

; padrão:)

cadeia secreta (em autenticação de chave pré-compartilhada caso é usado). Se ele começa com '0x', ele é analisado como um valor hexadecimal

envie‐initial‐contact ( sim |

padrão: yes )

xauth‐login (

cadeia

não ;

Especifica se deve enviar "contato inicial" IKE pacotes ou aguardar lado remoto, este pacote deve provocar a remoção de idade pares SAs para o endereço fonte de corrente. Normalmente, guerreiro da estrada setups clientes são iniciadores e este parâmetro deve ser definido para não.

; padrão:)

xauth por palavra‐passe (

padrão:)

iniciador (cliente) nome de usuário XAuth

cadeia ;

iniciador (cliente) password XAuth

Nota: IPSec informações fases é apagada, quando / ip IPSec configuração ponto é modificado em tempo real,

no entanto pacotes estão sendo criptografado / descriptografado por causa instalada-sa (por exemplo remotos peers informação é apagada, quando a configuração de pares for modificado.

Chaves Sub-menu: / ip ipsec chave

Esta lista submenu todos importados chaves públicas / privadas, que podem ser usados para autenticação de pares. Submenu também tem vários comandos para trabalhar com chaves. Por exemplo imprimir abaixo mostra duas chaves de 1024 bits importados, uma pública e uma privada. [Admin @ Poetik] / ip ipsec tecla> impressão Bandeiras: P ‐‐chave privada, R ‐ RSA # Nome da chave‐SIZE 0 PR priv de 1024 bits 1 R pub de 1024 bits

comandos Propriedade export‐pub‐chave (

importação (

chave pública exportação para arquivo de uma das chaves privadas existentes.

de nome de arquivo;

key ) gerar‐chave (

Descrição

key-size; nome

)

de nome de arquivo, nome

Gerar chave privada. Tem dois parâmetros, o nome do recémgerado tamanho da chave e chave 1024,2048 e 4096. )

chave Importar do arquivo.

Política Sub-menu: / ip IPSec política

Política tabela é utilizada para determinar se as definições de segurança deverá ser aplicado a um pacote. Propriedade ação (

descartar | criptografar | nenhum ; padrão: criptografar )

Descrição

Especifica o que fazer com pacotes combinados pela política. nenhum - passar o pacote inalterado descartar - ignorar o pacote criptografar - aplicar transformações especificadas nesta

política e é SA comentário (

cadeia

deficientes ( sim |


; padrão:)


Breve descrição da política Se a política é usado para corresponder pacotes. 8/21

17/05/2016


) dst‐address ( / prefixo IPv6

0.0.0.0/32 )

IP ; padrão:

dst‐port ( integer: 0..65535 | qualquer ; padrão: qualquer ) grupo (

cadeia ; padrão: padrão

ipsec‐protocolos (

nível (

exigir )

)

endereço de destino a ser correspondido em pacotes. Porto de destino a ser correspondido em pacotes. Se definido como qualquer todas as portas serão combinados Nome do grupo de políticas a que este modelo é atribuído.

ah | esp ; padrão: esp )

requer | única | uso ; padrão:

Especifica qual a combinação de autenticação de cabeçalho e protocolos encapsular Security Payload você deseja aplicar ao tráfego combinado Especifica o que fazer se algumas das SAs para esta política não pode ser encontrado: usar - pule esta transformação, não deixe cair pacote e não

adquirem SA de IKE daemon exigem - drop de pacotes e adquirir SA único pacote de queda e adquirir uma SA único que só é usado com esta política particular Manual‐sa (

nenhum )

cadeia | nenhum ; padrão:

prioridade (

inteiro: -2147483646..2147483647 ; Padrão: 0 ) proposta (

cadeia ; padrão: padrão )

protocolo (

tudo | egp | GGP | icmp | igmp | ... ; padrão: todos ) sa‐dst‐address (

Padrão: :: ) sa‐src‐address (

Padrão: :: ) src‐address (

0.0.0.0/32 )

classificador política de ordenação (inteiro assinado). número maior significa maior prioridade. Nome do modelo de proposta que será enviada por IKE daemon para estabelecer SAs para esta política. protocolo de pacote IP para corresponder.

endereço IP / IPv6 ;

SA destino endereço IP / IPv6 (peer remoto).

endereço IP / IPv6 ;

fonte SA endereço IP / IPv6 (peer local).

ip / prefixo IPv6 ; padrão:

src‐port ( qualquer | inteiro: 0..65535 ; padrão: qualquer ) template ( sim |

Nome do manual do SA molde

não ; padrão: nenhum )

Fonte prefixo IP Porta de origem do pacote Cria um modelo e atribui a determinado grupo de políticas Seguintes parâmetros são usados por modelo: src-address, dst-address - Requerida sub-rede deve corresponder em ambos os sentidos (por exemplo 0.0.0.0/0 para permitir que todos) Protocol - Protocolo de igualar, se definido para todos, então qualquer protocolo é aceito proposta - parâmetros SA utilizados para este modelo.

túnel ( sim |


)

Especifica se pretende utilizar o modo de túnel

Nota: Todos

os pacotes são IPIP encapsulado em modo túnel, e src-address do seu novo cabeçalho IP e dstaddress são definidas para valores sa-src-address e sa-dst-address desta política. Se você não usar o modo de túnel (id est você usa o modo de transporte), então apenas pacotes cuja fonte e destino endereços são os mesmos que sa-src-address e sa-dst-address pode ser processado por esta política. O modo de transporte só pode trabalhar com pacotes que se originam no e são destinadas para os pontos IPsec (hosts que estabeleceram associações de segurança). Para criptografar o tráfego entre redes (ou uma rede e um host) você tem que usar o modo de túnel.

Estatísticas de política


9/21

17/05/2016


Comando / ip política IPSec estatísticas de impressão irá mostrar o status atual da política. Os parâmetros adicionais somente leitura será impressa.

Propriedade in‐aceito ( in‐caiu (

Descrição

inteiro )

Quantos pacotes de entrada foram passados pela política sem uma tentativa de decifrar.

inteiro )

Quantos pacotes de entrada foram retiradas pela política sem uma tentativa para descriptografar

em transformadas ( fora aceito ( out‐caiu (

número inteiro

)

inteiro )

inteiro )

Quantos pacotes de entrada foram descriptografado (ESP) e / ou verificada (AH) pela política Quantos pacotes de saída foram aprovadas pela política sem uma tentativa para criptografar. Quantos pacotes de saída foram retiradas pela política sem uma tentativa para criptografar.

fora transformada (

inteiro )

pH2‐state (

expirado | no-phase2 | estabelecida )

Como muitos pacotes de saída foram criptografados (ESP) e / ou verificada (AH) pela política. Indicação do progresso de criação de chave.

Grupos de política Sub-menu: / ip ipsec grupo de políticas

Propriedade Nome (

Descrição

cadeia ; padrão:)

comentário (

cadeia ; padrão:)

configurações da proposta Sub-menu: / ip proposta IPSec

Informações proposta que será enviada por IKE daemon para estabelecer SAs para esta política ( Fase 2 ). Propostas configurados são definidas em configuração da política .

Propriedade auth‐algoritmos ( md5 | sha1 | nula | sha256 | sha512 ; padrão: SHA1 ) comentário (

cadeia

deficientes ( sim |

)

; padrão:)


Descrição

algoritmos permitidos de autorização. sha1 é mais forte, mas mais lento algoritmo. Breve descrição de um item. Se item é desativado.

enc‐algorithms (

algoritmos permitidos e comprimentos de chave a ser usado para SAs.

tempo de vida (

Quanto tempo de usar SA antes de jogá-lo para fora.

null|des|3des|aes-128cbc|aes-128-cbc|aes-128gcm|aes-192cbc|aes-192-ctr|aes-192-gcm|aes-256cbc|aes-256-ctr|aes-256 gcm|blowfish|camellia-128|camellia192|camellia-256|twofish ; Padrão: AES128-CBC )

Nome (

cadeia

tempo ; padrão: 30m )

; padrão:)

PFS‐grupo (

ec2n155 | ec2n185 | modp1024 | modp1536 | modp2048 | modp3072 | modp4096 | modp6144 | modp768 | nenhum ; padrão: modp1024 )

Nome do modelo proposta, que serão identificados em outras partes da configuração do IPsec. grupo Diffie-Helman usado para Perfect Forward Secrecy.

manual SA http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

10/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki Sub-menu: / ip IPSec manual de‐sa

Menu é usado para configurar SAs manualmente. Criado modelo SA, em seguida, pode ser utilizado na política de configuração. Propriedade

Descrição

ah‐algoritmo (

in / out in, out = md5 | nula | sha1 ; padrão: nulo

algoritmo de criptografia autenticação de cabeçalho.

ah‐chave (

Incoming-autenticação-key /-autenticação-chave de saída

)

corda / string ; padrão:)

ah‐spi (

0x100..FFFFFFFF / 0x100..FFFFFFFF ; padrão: 0x100 )

Incoming-SA-SPI / saída-SA-SPI

deficientes ( sim |

Define se item é ignorado ou usado

)


esp‐auth‐algoritmo (

in / out in, out = md5 | nula | sha1 ; padrão: nulo

Encapsular Payload algoritmo de criptografia de autenticação de segurança

esp‐auth‐key (

Incoming-autenticação-key / -Authentication-chave de saída

)


esp‐enc‐algorithm (

in / out in, out = 3des | AES-128 | AES-192 | AES256 | des | ... ; padrão: nulo )

Incoming-criptografia de algoritmo

esp‐enc‐key (

Incoming-criptografia de chave / criptografia de chave de saída


esp‐spi (

0x100..FFFFFFFF / 0x100..FFFFFFFF ; padrão: 0x100 )

Incoming-SA-SPI / saída-SA-SPI

tempo de vida (

Tempo de vida deste SA

Nome (

cadeia

tempo ; padrão: 0s

)

; padrão:)

Nome do item para referência de políticas

instalado SA Sub-menu: / ip IPSec instalado‐sa

Esta facilidade fornece informações sobre associações de segurança instalados, incluindo as chaves.

Propriedade AH ( sim |

Descrição

não )

ESP ( sim |

não )

adicione‐vida (

tempo / hora

)

tempo de vida acrescentado para a SA em formato suave / hard período após o qual ike tentará estabelecer novo SA - soft período após o qual SA é eliminada - hard

somaHorario (

tempo

)

auth‐algoritmo ( sha1 | auth‐key (

cadeia

Data e hora em que esta SA foi adicionado. md5

)

Mostra algoritmo de autenticação actualmente utilizada

)

corrente de bytes (

Mostra chave de autenticação usados 64-bit inteiro

)

Mostra o número de bytes visto por este SA.

des | 3des | aes ...

)

Mostra algoritmo de criptografia utilizado actualmente

dst‐address ( IP ) enc‐algorithm ( PFS ( sim |

não )

repetição ( spi (

inteiro )

cadeia )

src‐address ( IP ) Estado (


cadeia

)

Mostra o estado atual da SA ( "maduro", "morrer" etc)

11/21

17/05/2016


Flushing SAs

Às vezes, depois / as negociações incompletas incorretos teve lugar, é necessário para liberar manualmente a tabela SA instalado de forma que a SA pode ser renegociado. Esta opção é fornecida pelo ip ipsec‐sa instalado / descarga de comando. Esse comando aceita apenas uma propriedade: Propriedade sa‐tipo (

Descrição

ah | todos | esp ; padrão: todos )

Especifica SA tipos para lavar: ah - excluir somente AH protocolo SAs esp - excluir apenas SAs protocolo ESP tudo - apaga tanto ESP e AH protocolos SAs

Peers remotos Sub-menu: / IP IPsec remoto‐peers

Este submenu fornece várias estatísticas sobre os pares remotos que actualmente estabeleceram fase 1 conexões com este router. Note que se pares não aparecer aqui, isso não significa que nenhum tráfego IPsec está sendo trocado com ele. Leia apenas imóveis: Propriedade ‐local endereço ( IP / remote‐address ( side (

Descrição

endereço IPv6 )

ip / endereço IPv6 )

iniciador | respondedor )

Estado (

cadeia

estabelecida (

endereço ISAKMP SA local no roteador usado pelo peer ip / endereço IPv6 remoto de pares Mostra de que lado iniciou a negociação Phase1.

)

Estado da fase 1 negociação com os pares. Por exemplo, quando phase1 e fase 2 são negociados ele irá mostrar o estado "estabelecido".

tempo

)

Quanto tempo pares estão em estado estabelecido.

Fechar todas as conexões IPsec

Menu tem um comando para fechar rapidamente todas as conexões IPsec estabelecidas. Este comando irá limpar todas as SAs instalado (Phase2) e remover todas as entradas do menu de controle remoto de pares (Fase 1). Uso: / IP IPsec remoto‐peers matá‐conexões

estatística Sub-menu: / ip estatísticas IPSec

Este menu mostra várias estatísticas IPSec Propriedade em erros (

Descrição

inteiro )

Todos os erros de entrada que não sejam compensadas por outros contadores.

em‐buffer‐errors (

inteiros )

Nenhum buffer livre.

em‐header‐errors (

inteiros )

de erro de cabeçalho

in‐não‐estados (

inteiro )

em‐state‐Protocol‐errors (


Nenhum estado é encontrado ou seja, quer de entrada SPI, endereço ou protocolo IPsec em SA está errado inteiros

)

protocolo de transformação de erro específica, por exemplo SA 12/21

17/05/2016


chave está errado ou acelerador de hardware é incapaz de lidar com quantidade de pacotes. em‐state‐mode‐erros (

inteiros )

em‐estado‐sequência de erros ( ‐in‐estado expirado (

Estado tem incompatíveis opção, por exemplo tipo UDP encapsulamento é incompatível. Estado é inválido

inteiros

)

inteiro ) inteiro )

devoluções Política

inteiros

)

inteiros )

out‐bundle‐erros (

inteiros )

erro de geração Bundle

inteiro )

erro de verificação de Bundle

inteiro )

Nenhum estado é encontrado

out‐state‐protocol‐erros (

inteiros

de modo out‐estado‐errors (

‐out‐estado expirado (

‐out‐política mortos (

protocolo de transformação erro específico )

inteiros )

inteiro )

‐out‐política bloqueada (

)

inteiros

out‐state‐sequência de erros (

out‐políticos erros (

erros de política Todos os erros de saída que não sejam compensadas por outros contadores

out‐bundle‐check‐erros ( out‐não‐estados (

Nenhum modelo de correspondência para os estados, por exemplo Inbound SAs estão corretas, mas regra SP está errado. possível causa é incompatível sa-fonte ou endereço sa-destino. Nenhuma política é encontrada para os estados, por exemplo Inbound SAs estão corretas, mas nenhuma SP é encontrado

dentro da diretiva‐errors ( out‐erros (

)

inteiro )

in‐política‐bloqueado (

Número de sequência está fora da janela Estado expirou

inteiros

em‐template‐descasamentos (

in‐não‐políticas (

inteiros )

inteiro )

em‐estado‐descasamentos ( ‐in‐estado inválido (

modo de transformação de erro específica

inteiro )

modo de transformação de erro específica erros de sequência, por exemplo, o número de sequência de estouro Estado expirou devoluções Política

inteiro )

Política está morto

inteiros )

um erro de política

Exemplos de aplicação Simples Mutual PSK XAuth Configuração

Config server side: / Ip ponto IPsec adicionar o endereço = 2.2.2.1 auth‐method = pré‐compartilhada‐key‐xauth secret = "123" passivo = yes / User ipsec ip adicionar a senha name = test = 345

configuração do lado do cliente: / Ip ponto IPsec adicionar o endereço = 2.2.2.2 auth‐method = pré‐chave compartilhada‐xauth secret = "123" \ xauth‐login = test xauth‐password = 345

Nota: No

lado do servidor é obrigatório para definir

passiva para sim quando XAuth é usado.

configuração Road Warrior com o Modo Conf


13/21

17/05/2016


Considere configuração onde trabalhador precisa acessar outros colegas de trabalho (workstations) e servidor escritório local remotamente. Office tem duas sub-redes: 192.168.55.0/24 para estações de trabalho 192.168.66.0/24 rede que não deve ser acessível por clientes roadwarrior 10.5.8.0/24 para servidores E o acesso a essas redes deverão ser seguras.

Normalmente em configurações roadwarrior como este é impossível saber de qual usuário endereço vai ligar, por isso precisamos de configurar gerar‐política parâmetro no lado do servidor. No entanto, isto leva a outros problemas, o cliente pode gerar qualquer política e acessar qualquer rede no escritório. Mesmo definir 0.0.0.0/0 e negar o acesso à Internet para os trabalhadores de escritório. Modo Conf , grupo de políticas e de política modelos nos permitirá superar esses problemas.

IpSec servidor de configuração

No primeiro, precisa de um pool do qual RoadWarrior irá receberá um endereço. Normalmente no escritório de configurar o servidor DHCP para estações de trabalho locais, o mesmo pool de DHCP pode ser usado. Piscina / ip add name = ipsec‐RW varia = 192.168.77.2‐192.168.77.254

Em seguida é preciso configurar as definições a enviar para o cliente utilizando o Modo Conf. / Ip IPSec modo‐config adicionar o endereço‐pool = ipsec‐RW name = RW‐cfg split‐include = \ 10.5.8.0/24,192.168.55.0/24

Como você pode ver que especificado a partir do qual reunir para dar endereço e duas sub-redes permitidos. Agora, para permitir que o endereço de origem / destino apenas específicos nas políticas geradas usaremos grupo de políticas e criar modelos de política: / Grupo de políticas IPSec ip add name = RoadWarrior / Política IPSec ip adicionar dst‐address = 192.168.77.0 / 24 group = RoadWarrior src‐address = 10.5.8.0 / 24 \ template = yes adicionar dst‐address = 10.5.8.0 / 24 group = RoadWarrior src‐address = 192.168.77.0 / 24 \ template = yes adicionar dst‐address = 192.168.77.0 / 24 group = RoadWarrior src‐address = 192.168.55.0 / 24 \ template = yes

Agora é só adicionar usuários xauth e pares com habilitado Modo Conf e grupo de políticas. / User ipsec ip


14/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki adicionar a senha name = user1 = 123 adicionar a senha name = user2 = 234 / Ip ponto IPsec adicionar auth‐method = pré‐compartilhada‐key‐xauth gerar‐policy = porta‐estrito modo de config = RW‐cfg \ política‐template‐group = RoadWarrior secret = 123 passiva = yes

Apple iOS (iPhone / iPad) Cliente

Para dispositivos iOS para ser capaz de se conectar, proposta são necessárias alterações: não funciona com o algoritmo de criptografia 3DES, AES-128/256 obras algoritmo de autenticação deve ser sha1 Grupo PFS deve ser nenhum tempo de vida deve ser de 8 horas Exemplo de configuração proposta válida para dispositivos iOS: / Proposta ipsec ip conjunto padrão ENC‐algoritmos = AES‐128‐CBC, AES‐256‐CBC lifetime = 8h \ PFS‐group = none

Nota: O

iPhone não trabalhar com split-incluem 0.0.0.0/0. Se você definir 0.0.0.0/0 para o tráfego de clientes mais antigos não serão enviados através do túnel, para iOS mais recentes clientes do túnel não será estabelecida.

Android Notes Client

dispositivos Android está tentando adicionar a política com destino 0.0.0.0/0, então você tem que se certificar de que modelo de política correta é adicionado. No nosso caso, precisamos adicionar: / Política IPSec ip adicionar grupo = RoadWarrior src‐address = 192.168.77.0 / 24 dst‐address = 0.0.0.0 / 0 template = yes

RouterOS Cliente Configuração / Ip ponto IPsec adicionar o endereço = 2.2.2.2 auth‐method = pré‐compartilhada‐key‐xauth gerar‐policy = porta‐estrito segredo = 1 xauth‐login = user1 xauth‐password = 123 modo de config = pedido somente

Shrew Cliente Configuração n: Versão: 2 n: rede de ike‐port: 500 n: rede de mtu‐size: 1380 n: rede de Natt‐port: 4500 n: rede de Natt‐rate: 15 n: rede‐frag‐size: 540 n: rede‐dpd habilitar: 0 n: cliente‐banner‐enable: 0 n: rede de notificar a activar: 0 n: cliente‐wins‐utilizados: 0 n: cliente‐wins‐auto: 1 n: cliente‐dns utilizados: 1 n: cliente‐dns‐auto: 0 n: cliente‐splitdns‐utilizados: 1 n: cliente‐splitdns‐auto: 0 n: phase1‐dhgroup: 2 n: phase1 de vida seg‐: 86400 n: phase1 de vida kbytes‐: 0 n: fornecedor de chkpt habilitar: 0 n: phase2 de vida seg‐: 300 n: phase2 de vida kbytes‐: 0 n:‐política pregado: 1 n: policy‐list‐auto: 1 n: cliente‐addr‐auto: 1 s: rede de host: 2.2.2.2 s: cliente‐auto‐mode: puxe s: cliente‐iface: virtual s:‐natt‐modo de rede: disable s: rede‐frag‐mode: disable s: auth‐método: mútua‐PSK‐xauth s: ident‐client‐tipo: endereço s: ident‐server‐tipo: endereço b: auth‐mútuo‐PSK: MTIz s: phase1 de troca: main


15/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki s: s: s: s: s: N: s:

phase1‐cifra: 3des phase1‐de hash: md5 phase2‐transform: ESP‐3des phase2‐hmac: sha1 ipcomp‐transform: desativado phase2‐pfsgroup: 2 a política de nível: require

configuração Road Warrior com autenticação RSA Criação de Certificados

Todos os certificados podem ser criados no servidor RouterOS utilizando gerenciador de certificados.

Veja o

exemplo >>

IPSec servidor de configuração

/ Grupo de políticas IPSec ip add name = test / Ip ponto IPsec adicionar auth‐method = certificado de troca‐mode = servidor RSA‐signature = principal \ gerar‐policy = porta‐override passiva = yes política‐template‐group = teste remoto em certificado = none / Política IPSec ip adicionar dst‐address = 172.16.1.0 / 24 group = teste de src‐address = 172.16.2.0 / 24 template = yes

IPSec Cliente Configuração CRL Testing

Agora vamos dizer que client2 não deve ser capaz de se conectar mais. Precisamos de revogar o seu certificado para que ele seja excluído da lista CRL. /certificado client2‐renúncia emitida

Aviso R bandeira, o que significa que o certificado foi revogado [Admin @ PE0] / certificado> print Bandeiras: K ‐‐chave privada, D ‐ dsa, L ‐ crl, C ‐ smart‐card‐chave, A ‐ autoridade, I ‐ emitido, R ‐ revogada, E ‐ expirado, T ‐ confiável # NOME IMPRESSÃO DIGITAL common‐name 0 Klat Myca Myca 7fa636e6576495fe78f1a4 ... 1 KIT servidor servidor cf0650a291bf4685f2fbd3 ... 2 KI client1 client1 26233de30e89b203b946ab ... 3 KR client2 client2 cf172b62201befaf8d8966 ...

Agora, se você matar atual conexão client2 não vai ser capaz de estabelecer phase1. Site para site IpSec Tunnel

Considere a instalação, conforme ilustrado abaixo


16/21

17/05/2016


Dois roteadores de escritórios remotos estão ligados à Internet e do escritório estações de trabalho por trás de routers são NATed. Cada escritório tem a sua própria sub-rede local, 10.1.202.0/24 para Office1 e 10.1.101.0/24 para Office2. Ambos os escritórios remotos precisa túnel seguro às redes locais por trás de routers.

Conectividade IP

Em ambos os roteadores Ether1 é usado como porta WAN e ether2 é usado para conectar as estações de trabalho. Também regras NAT são definidos tu masquerade redes locais. router Office1: /endereço de IP adicionar o endereço = 192.168.90.1 / 24 interface = Ether1 adicionar o endereço = 10.1.202.1 / 24 interface = ether2 / Ip route Adicionar Gateway = 192.168.90.254 / Nat firewall ip adicionar cadeia = srcnat out‐interface = ação Ether1 = masquerade

router Office2: /endereço de IP adicionar o endereço = 192.168.80.1 / 24 interface = Ether1 adicionar o endereço = 10.1.101.1 / 24 interface = ether2 / Ip route Adicionar Gateway = 192.168.80.254 / Nat firewall ip adicionar cadeia = srcnat out‐interface = ação Ether1 = masquerade

de configuração do ponto IPsec

O próximo passo é adicionar a configuração do par. Precisamos especificar o endereço de pares e porto e préchave compartilhada. Outros parâmetros são deixados para os valores padrão. router Office1: / Ip ponto IPsec adicionar o endereço = 192.168.80.1 / 32 port = 500 auth‐method = pré‐chave de segredo compartilhado = "teste"

router Office2: / Ip ponto IPsec adicionar o endereço = 192.168.90.1 / 32 port = 500 auth‐method = pré‐chave de segredo compartilhado = "teste"

Política e proposta


17/21

17/05/2016


É importante que proposta de autenticação e criptografia algoritmos jogo em ambos os roteadores. Neste exemplo, podemos usar predefinida proposta "default" [Admin @ MikroTik] / IP proposta ipsec> print Bandeiras: X ‐ disabled 0 name = "default" auth‐algoritmos = SHA1 ENC‐algoritmos = 3des lifetime = 30m PFS‐group = modp1024

Como já temos proposta como um próximo passo que precisamos política IPSec correta. Queremos criptografar o tráfego proveniente forma 10.1.202.0/24 para 10.1.101.0/24 e vice-versa. router Office1: / Política IPSec ip adicionar src‐address = 10.1.202.0 / 24 src‐port = qualquer dst‐address = 10.1.101.0 / 24 dst‐port = qualquer \ sa‐src‐address = 192.168.90.1 sa‐dst‐address = 192.168.80.1 \ túnel = yes action = proposta criptografar = default

router Office2: / Política IPSec ip adicionar src‐address = 10.1.101.0 / 24 src‐port = qualquer dst‐address = 10.1.202.0 / 24 dst‐port = qualquer \ sa‐src‐address = 192.168.80.1 sa‐dst‐address = 192.168.90.1 \ túnel = yes action = proposta criptografar = default

Note que nós configurado o modo de túnel, em vez de transporte, como este é local para criptografia site. NAT e Fasttrack Bypass

Neste ponto, se você vai tentar estabelecer túnel IPsec não vai funcionar, os pacotes serão rejeitados. Isso ocorre porque ambos os roteadores têm regras NAT que está mudando de endereço de origem após o pacote é criptografado. Router remoto recebe pacote criptografado, mas é incapaz de decifrá-lo, pois endereço de origem não corresponde ao endereço especificado na configuração política. Para mais informações consulte fluxo de pacotes exemplo IPSec . Para corrigir isso, precisamos criar regras NAT manual. router Office1: / Nat firewall ip adicionar cadeia = ação srcnat = aceitar o lugar, antes = 0 \ src‐address = 10.1.202.0 / 24 dst‐address = 10.1.101.0 / 24

router Office2: / Nat firewall ip adicionar cadeia = ação srcnat = aceitar o lugar, antes = 0 \ src‐address = 10.1.101.0 / 24 dst‐address = 10.1.202.0 / 24

É muito importante essa regra de bypass é colocado no topo de todas as outras regras de NAT. Outra questão é se você tiver fasttrack habilitado, pacote ignora políticas IPSec. Então, nós precisamos adicionar aceitar regra antes fasttrack / Filtro de firewall ip adicionar cadeia = acção forward = aceitar src‐address = 10.1.101.0 / 24 dst‐address adicionar cadeia = acção forward = aceitar src‐address = 10.1.202.0 / 24 dst‐address

o = o =

lugar, antes 10.1.202.0 / lugar, antes 10.1.101.0 /

= 1 24 connection‐state = estabelecida, relacionada = 1 24 connection‐state = estabelecida, relacionada

Nota: Se você já tentou estabelecer túnel antes de regra de bypass NAT foi adicionado, você tem que limpar a

tabela de conexão de conexão existente ou reiniciar os routers

IPSec / L2TP por trás NAT

Considere a instalação, conforme ilustrado abaixo


18/21

17/05/2016


Cliente precisa de conexão segura com o escritório com endereço público 1.1.1.1, mas o servidor não sabe qual será o endereço de origem a partir do qual o cliente se conecta. É assim chamado configuração estradaguerreiro. Nosso cliente também será localizado atrás do roteador com NAT habilitado. Para o roteador RouterOS de configuração será usado como o dispositivo cliente atrás de NAT (que pode ser qualquer dispositivo: Windows PC, Smartphone, PC Linux, etc.)

Conectividade IP

No servidor: /endereço de IP adicionar o endereço = 1.1.1.1 / 24 interface = Ether1 / Ip route Adicionar Gateway = 1.1.1.2

No roteador clientes: /endereço de IP adicionar o endereço = 2.2.2.2 / 24 interface = Ether1 adicionar o endereço = 10.5.8.0 / 24 interface = ether2 / Ip route Adicionar Gateway = 2.2.2.1 / Net firewall ip adicionar cadeia = ação srcnat = masquerade out‐interface = Ether1

No cliente: /endereço de IP adicionar o endereço = 10.5.8.120 / 24 interface = Ether1

L2TP Configuração

No servidor: / Interface l2tp‐servidor conjunto ativado = yes profil = default Piscina / ip add name = l2tp‐pool varia = 192.168.1.2‐192.168.1.20 / Profile ppp conjunto padrão local de morada = 192.168.1.1 remote‐address = l2tp‐pool / Secret ppp add name = senha l2tp‐test = test123456

No cliente: http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

19/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki / Interface l2tp‐client adicionar conectar‐to = 1.1.1.1 disabled = nenhum nome = password l2tp‐out1 = user password = l2tp‐teste

a configuração do ipsec

No lado do servidor: / Proposta ipsec ip definir [procurar default = yes] ENC‐algoritmos = 3des, AES‐128, AES‐192, AES‐256 / Ip ponto IPsec adicionar gerar‐policy = yes hash algoritmo = sha1 nat‐traversal = yes secret = test123456

RouterOS como cliente: / Proposta ipsec ip definir [procurar default = yes] ENC‐algoritmos = AES‐128 / Ip ponto IPsec adicionar o endereço = 1.1.1.1 / 32 hash algoritmo = sha1 nat‐traversal = yes secret = test123456 / Política IPSec ip adicionar dst‐address = 1.1.1.1 / 32 protocol = udp sa‐dst‐address = 1.1.1.1 \ sa‐src‐address = 10.5.8.120 src‐address = 10.5.8.120 / 32

Note-se que nat‐travessia está habilitado. Esta opção é necessária porque conexão IPsec será estabelecida através do roteador NAT outra forma IPsec não será capaz de estabelecer phase2. Atenção: Apenas uma conexão L2TP / IPSec pode ser estabelecida através do NAT. O que significa que

apenas um cliente pode se conectar à Sever localizado atrás do mesmo roteador.

Só permitir IPSec Ecapsulated Tráfego

Há algumas situações em que por razões de segurança que você gostaria de deixar cair o acesso de / para redes específicas se os pacotes de entrada / saída não são criptografadas. Por exemplo, se temos uma configuração L2TP / IPSec que gostaríamos de deixar cair tentativas de conexão L2TP não criptografados. Existem várias maneiras de como conseguir isso: Usando de correspondência política IPSec no firewall; Usando a política IPSec genérico com action = queda e menor prioridade (pode ser usado nas configurações Road Warrior, onde políticas dinâmicas são geradas); Ao definir DSCP ou prioridade no mangle e combinando os mesmos valores no firewall após decapsulation. Política IPSec Matcher

Vamos começar por regras típicas, aceite estabelecida, relacionado, aceitar protocolo ESP e aceito UDP 500 e 4500 exigido por IPsec. / Filtro de firewall ip adicionar cadeia = comentário input = estabelecida, relacionadas connection‐state = \ estabelecidos, relacionados in‐interface = WAN adicionar comentário chain = input = ESP disabled = yes in‐interface = protocolo de WAN = ipsec‐esp adicionar comentário chain = input = "UDP 500,4500" disabled = yes dst‐port = 500,4500 \ in‐interface = WAN protocol = udp src‐port = 500,4500

Agora vamos configurar correspondência de política IPSec para aceitar todos os pacotes que combinavam com qualquer uma das políticas IPSec e soltar o resto adicionar cadeia = input comment = "correspondência de política IPSec" in‐interface = WAN \ ipsec‐policy = no, o IPSec adicionar action = cadeia de queda = input comment = "drop all" = log WAN na interface = yes

matcher política IPSec tem dois parâmetros de direção, de políticas. Usamos direção de entrada e de política IPSec. opção política IPSec permite-nos para inspecionar pacotes após decapsulation, por exemplo, se queremos permitir apenas Gre encapsulados maço de endereço de origem específica e soltar o resto que poderia configurar seguintes regras http://wiki.mikrotik.com/wiki/Manual:IP/IPsec

20/21

17/05/2016

Manual: IP / IPsec - MikroTik Wiki adicionar cadeia = input comment = "correspondência de política IPSec" in‐interface = WAN \ ipsec‐policy = no, o protocolo IPSec = gre src = address = 192.168.33.1 adicionar action = cadeia de queda = input comment = "drop all" = log WAN na interface = yes

Usando política IPSec genérico

O truque deste método é adicionar política padrão com gota de ação. Vamos supor que estamos executando servidor L2TP / IPSec 1.1.1.1 com endereço público e queremos deixar todos L2TP não criptografado: / Política IPSec ip adicionar src‐address = 1.1.1.1 dst‐address = 0.0.0.0 / 0 sa‐src‐address = 1.1.1.1 \ protocol = udp src‐port = 1701 túnel = yes action = queda

Agora roteador irá soltar qualquer L2TP tráfego de entrada não criptografado, mas depois de L2TP bem sucedida / IPSec política dinâmica ligação é criada com prioridade mais alta do que em regra estática padrão e pacotes que combinem com esta regra dinâmica pode ser encaminhado. [Admin @ rack2_10g1] / ip política IPSec> print Bandeiras: T ‐ modelo, X ‐ deficientes, D ‐ dinâmico, I ‐ inativo, * ‐ padrão 0 T grupo * = padrão src‐address = :: / 0 dst‐address = :: / 0 protocolo = all proposta = modelo padrão = yes 1 src‐address = 1.1.1.1 / 32 src‐port = 1701 dst‐address = 0.0.0.0 / 0 dst‐port = qualquer protocolo = udp nível action = descarte = única ipsec‐protocolos = esp túnel = yes sa‐src‐address = 1.1.1.1 sa‐dst‐address = 0.0.0.0 proposta = default manual de‐sa = nenhum priority = 0

2 D src‐address = 1.1.1.1 / 32 src‐port = 1701 dst‐address = 10.5.130.71 / 32 dst‐port = qualquer protocolo = ação udp = nível criptografar = requerem ipsec‐protocolos = esp túnel = no sa‐src‐address = 1.1.1.1 sa‐dst‐address = 10.5.130.71 priority = 2

Conectando-se com Shrew cliente e permitindo apenas o tráfego criptografado

Veja o exemplo aqui

[ Top | Voltar ao conteúdo ]

Retirado de " http://wiki.mikrotik.com/index.php?title=Manual:IP/IPsec&oldid=28323 " Categorias : Manual VPN

Esta página foi modificada pela última vez em 20 de Abril de 2016, em 17:12. Esta página foi acessada 600,789 vezes.


21/21

Manual_ IP _ IPsec - MikroTik Wiki

Recommend Documents