Exercícios IPsec e LDAP Aluno:

IPsec: Configuração da Rede HOST A HOST B 10.32.1.45 10.26.128.253 10.26.128.1 10.32.1.1 10.26.128.0 255.255.128.0 192.168.0.0 255.255.0.0

Secure Server (Require Security) Políticas Básicas Sem IPsec Client (Respond Only) Implementa IPsec apenas se exigido pelo Servidor. Secure Server (Require Security) Efetua apenas comunicação IPsec. Rejeita conexões com clientes que não suportam IPsec. Server (Request Security) Solicita sempre comunicação IPsec. Aceita conexões sem segurança se o cliente não suportar IPsec.

Política: Para o HOST B: Política 1: ICMP Objetivo: Evitar ataques ICMP com spoofing. Política: Para o HOST B: Apenas mensagens ICMP vindas da subrede 10.26.128.0/17 em modo IPsec AH são aceitas. Se o solicitante não suporta IPsec, então a comunicação é Rejeitada

Política 1: ICMP 2 REGRAS REDE_A HOST_B ICMP HOST_B REDE_A ICMP REDE A 10.32.1.45 ICMP (AH) 10.26.128.0

Descrição da Política: HOST B Regra: Tunel: Tipo de Rede: Método de Autenticação: Filtro: IP Origem: IP Destino: Protocolo: Porta Origem: Porta Destino: Simétrico?: Ação: Tipo: Aceita comunicação sem IPsec?: Protocolo IPsec: Protocolo de Integridade: Protocolo de Criptografia:

Pergunta: Que política Básica deve ser configurada no HOST A para que ele possa enviar as mensagens de ping? Explique por que algumas políticas não funcionam. RESPOSTA: Sem IPsec: Cliente: Request Security: Require Security:

Cuidado com as Políticas Default ... Não cria IPsec na Pergunta só uso IPsec se você pedir. aceito suas perguntas sem IPsec Cliente Cliente aceito suas perguntas sem IPsec só respondo com IPsec se você pedir Comunicação sem IPsec

Cuidado com as Políticas Default (?)... Cria IPsec na Resposta se o Cliente Suportar só uso IPsec se você pedir. aceito suas perguntas sem IPsec Request Security Cliente aceito suas perguntas sem IPsec eu só falo em IPsec Cria IPsec na Resposta se o Cliente Suportar

Cuidado com as Políticas Default ... Cria IPsec na Pergunta Request Security aceito suas perguntas sem IPsec eu só falo em IPsec Request Security aceito suas perguntas sem IPsec eu só falo em IPsec Comunicação com IPsec

Cuidado com as Políticas Default ... Cria IPsec na Pergunta Request Security só aceito peguntas em IPsec eu só falo em IPsec Require Security aceito suas perguntas sem IPsec eu só falo em IPsec Comunicação com IPsec

Cuidado com as Políticas Default ... Cria IPsec na Pergunta Request Security só aceito peguntas em IPsec eu só falo em IPsec Require Security só aceito perguntas em IPsec eu só falo em IPsec Comunicação com IPsec

Alterações de Políticas Quando uma comunicação IPsec é bem sucedida, cria-se uma SA. SA (ESP, DES, SHA) SA (ESP, DES, SHA) As SA continuam, mesmo se as políticas são modificadas. Deve-se aguardar um tempo para que as S.A. sejam desfeitas e então a nova política tenha efeito. Durante este perído, a criação de políticas incompatíveis com SA já estabelecidas faz com que a comunicação não funcione.

Tempo de Vida das Chaves FASE 1: Criação de uma SA Temporária Cria um canal seguro para Negociação da SA Definitiva. FASE 2: Criação de uma SA Permanente Cria o canal seguro para transmissão dos dados. Parâmetros de Tempo de Vida: verifica mudanças de política a cada 180 minutos refaz a autenticação a cada 480 minutos pode reutilizar a masterkey para gerar novas chaves de sessão em comunicações seguras com o mesmo computador.

Política 2: Acesso HTTP Objetivo: Possibilitar que usuários da Intranet possam estabelecer comunicação em modo seguro, com criptografia de dados. Política: Para o HOST B: Apenas o acesso da subrede 10.26.128.0/17 em modo IPsec ESP é permitido. Se o solicitante não suporta IPsec, então a comunicação não é Permitida. Se o solicitante pertencer a uma outra subrede, então a comunicação é bloqueada.

Se a política não funcionar, verifique: No cliente: Observações Se a política não funcionar, verifique: No cliente: IPse está sendo solicitado? Com que parâmetros: Protocolo (AH ou ESP) Protocolo de Criptografia (DES, 3DES) Protocolo de Hashing (SHA1, MD5) No servidor: O servidor é capaz de responder a uma requisição IPsec? Com que parâmetros? Verifique se pelo menos uma política (incluindo os protocolos de criptografia) é comum ao cliente e ao servidor.

Observações Lembre-se que existe uma regra Default na sua política: Ela se aplica a qualquer protocolo. Ela exige que se use IPsec. Ela tenta efetuar a criptografia em vários modos: ESP (3DES,SHA1) e ESP (3DES,MD5) ESP (DES,SHA1) e ESP (DES,MD5) AH(SHA1) AH(MD5) Se o cliente requisitar modo ESP, é a regra dinâmica que responde, e não a regra de ICMP, que se aplica apenas a AH.

Política 2: Acesso HTTP 2 REGRAS REDE_A HOST_B HTTP HOST_B REDE_A HTTP HTTP (ESP) 10.32.1.45 HTTP 10.26.128.0

Descrição da Política: HOST B Regra: Tunel: Tipo de Rede: Método de Autenticação: Filtro: IP Origem: IP Destino: Protocolo: Porta Origem: Porta Destino: Simétrico?: Ação: Tipo: Aceita comunicação sem IPsec?: Protocolo IPsec: Protocolo de Integridade: Protocolo de Criptografia:

Pergunta: Que política Básica deve ser configurada nos Hosts clientes para que eles possam acessar ao servidor de Intranet? RESPOSTA:

Política 3: VPN sobre rede Insegura Cenário: ESP (túnel, obrigatório) AH (obrigatório) 10.26.128.253 10.32.1.45 AH (obrigatório) 10.26.128.0 255.255.128.0 192.168.0.0 255.255.0.0

Observação: Políticas com Tunelamento Regras de tunelamento NÃO são simétricas pois os endpoints são diferentes. Neste caso, é necessário criar explicitamente um regra para enviar e outra para receber pacotes pelo túnel, em cada um dos gateways VPN. IP_EB IP_EA R_B R_A IP_EB IP_EA R_B R_A IP_EA IP_EA R_B R_A IP_EA IP_EA R_B R_A A B Rede B Rede A IP_IA IP_EA IP_EB IP_IB

Objetivos da Política: Política 3: Acesso VPN Objetivos da Política: Permitir que duas redes da organização troquem informação em modo seguro. A informação deve ser criptograda enquanto estiver transitando entre as duas redes. Apenas os hosts pertencentes as subredes 10.16.128.0/17 e 192.168.0.0/16 podem utilizar o canal VPN. Deve-se evitar que computadores pertencentes a outras redes utilizem o canal VPN através de técnicas de spoofing.

Políticas para o HOST A

Descrição da Política: HOST A Regra: Tunel: Tipo de Rede: Método de Autenticação: Filtro: IP Origem: IP Destino: Protocolo: Porta Origem: Porta Destino: Simétrico?: Ação: Tipo: Aceita comunicação sem IPsec?: Protocolo IPsec: Protocolo de Integridade: Protocolo de Criptografia:

Políticas para o HOST B

Descrição da Política: HOST B Regra: Tunel: Tipo de Rede: Método de Autenticação: Filtro: IP Origem: IP Destino: Protocolo: Porta Origem: Porta Destino: Simétrico?: Ação: Tipo: Aceita comunicação sem IPsec?: Protocolo IPsec: Protocolo de Integridade: Protocolo de Criptografia:

Políticas para os Clientes

Descrição da Política: Clientes Regra: Tunel: Tipo de Rede: Método de Autenticação: Filtro: IP Origem: IP Destino: Protocolo: Porta Origem: Porta Destino: Simétrico?: Ação: Tipo: Aceita comunicação sem IPsec?: Protocolo IPsec: Protocolo de Integridade: Protocolo de Criptografia:

Limitações do VPN IPsec no Windows 2000 Observações Limitações do VPN IPsec no Windows 2000 Os tuneis não podem ser criados para protocolos ou portas específicas. APENAS TUNEIS ESTÁTICOS ENTRE DOIS ENDEREÇOS IP SÃO SUPORTADOS.