VTun VPN VPN – Virtual Private Network Tunnelointi Autentikointi

Esitys aiheesta: "VTun VPN VPN – Virtual Private Network Tunnelointi Autentikointi"— Esityksen transkriptio:

1 VTun VPN VPN – Virtual Private Network Tunnelointi Autentikointi
Salaus kiinteä kaapeliyhteys kiinteä kaista operaattorilta, yksityisyys operaattorin lupauksen varassa, kallis VPN-yhteys julkisen verkon yli, käyttäjän hallinnassa yrityskäytössä työaseman etäyhteys julkisen verkon yli yrityksen verkkoon sisäverkkojen yhdistäminen julkisen verkon yli langattomat lähiverkot liikenne tunneloidaan salaavan protokollan sisään IETF standardeja IPsec, PPTP ja L2TP VTun ominaisuudet, asennus ja testaus

2 VTun käyttökohteet Yhteydet julkisen verkon yli
kahden työaseman välillä työaseman ja lähiverkon välillä lähiverkkojen välillä Suojatut yhteydet sisäverkossa Langattomat lähiverkot

3 Toimintaperiaate Avoimen lähdekoodin sovellus
Kehitetty Linuxiin, mutta toimii FreeBSD:ssä, sen eri klooneissa ja Solariksessa Toimii käyttäjätasolla Tukee eri tunnelointityyppejä Sarjaliikenne - PPP (Point to Point Protocol) Ethernetin päällä ajettavia protokollia: IP, IPX, Appletalk, Bridge Unixin pipe-tunneli

4 Toimintaperiaate ( jatkuu)
VTun-prokollaa voidaan ajaa joko TCP:n tai UDP:n päällä Yhteys muodostetaan asiakas- ja palvelinsovelluksen välille

5 Ominaisuudet Liikenteen rajoitus Datan pakkaus
voidaan määritellä molempiin suuntiin erikseen. pienin nopeus 8 kbit/s, seuraavat portaat 16, 32, 64, 128, 258 jne… Datan pakkaus zlib – tehokas, tukee ainoastaan TCP-liikennettä lzo – nopea, tukee TCP- ja UDP-liikennettä

6 Ominaisuudet (jatkuu)
Autentikointi haastevastaus-menetelmällä, 128 avain MD5-hash-funktiolla salasanasta Salaus 128-bittisellä Blowfish-salausalgoritmilla ECB-moodissa

7 Tietoturva Ongelmia pakettien muuntaminen uudelleenlähetys
salauksen purku liikennettä seuraamalla matalan entropian salasana Paketit tunnelissa on salattu Blowfish-lohkosalaimella ECB-moodissa, jossa yksi lohko selkotekstiä koodataan yhdeksi lohkoksi salattua tekstiä, jotka sitten lähetetään peräkkäin. ECB-moodin hyviä puolia ovat salauksen yksinkertaisuus ja nopeus. Ongelmana kuitenkin on, että lohkon syöte ei satunnaistu, toistuvat rakenteet eivät peity, heikkous koodikirjahyökkäyksiä vastaan sekä se, että lohkojen järjestystä voidaan vaihtaa ja niitä voidaan poistaa tai lisätä huomaamatta. Clientin autentikointi serverille tapahtuu haaste-vastaus menetelmällä, joka perustuu käyttäjän salasanaan. Jos VTun-sovelluksessa on otettu SSL-salaus käyttöön, serveri muodostaa haasteeksi 16-bittisen satunnaisluvun, jonka se salaa käyttämällä salausavaimena MD5-funktiolla luotua tiivistettä käyttäjän salasanasta. Jos salaus ei ole käytössä, autentikointi suoritetaan pelkällä XOR-funktio salasanasta ja haasteesta

8 Vaihtoehdot IPsec (IP Security Architecture) FeeS/Wan
IETF standardi, RFC 2401 FeeS/Wan PPTP (Point to Point Tunneling Protocol, RFC2637) L2F ( Layer 2 Forwarding, Cisco, RFC2341) L2TP (Layer 2 Tunneling Protocol) Yksi yleisimmistä tavoista muodostaa VPN-yhteys on IPsec (IP Security Architecture). Se on IETF:n stardardi ja siihen liittyviä RFC-dokumentteja on julkaistu useita. IPsec:n perusteet määritelty RFC 2401 dokumentissa [1]. IPsec on joukko protokollia, jotka tarjoavat salauksen, osapuolten todennuksen ja tiedon eheyden varmistamisen. IPsec on määritelty pakolliseksi IPv6 internet-protokollaan, mutta sitä voidaan käyttää myös IPv4:n kanssa. IPsec sisältyy myös uudenpiin Microsoft Windows-versioihin sekä kaupallisiin Unix-toteutuksiin. Yleisin Linux-toteutus on FreeS/WAN sekä siitä johdetut Openswan- ja Strongswan-toteutukset. Muita julkisesti standardoituja tunnelointiprotokollia ovat L2TP: käyttää salaukseen IPsec-protokollaa, L2F: Ciscon kehittämä protokolla, joka käyttää salaukseen PPP:n (Poin-to-Point) ECP (Encryption Protocol) –protokollaa sekä PPTP: joka käyttää salaukseen MPPE (Microsoft Poin-to-Point) protokollaa.

9 Vaihtoehdot ( jatkuu ) Avoimen lähdekoodin VPN-sovelluksia
Amrita VPN CIPE FreeS/WAN HTun l2tpd OpenS/WAN OpeVPN Poptop GVPE Yavipin tinc Amrita Amrita on helppokäyttöinen VPN-ratkaisu joka toimii GNU/Linux alustalla. Asennus tapahtuu käyttäjätasolla, joten kerneliä ei tarvitse kääntää. Salaukseen ja autentikointiin käytetään SSL-kirjastoa. CIPE CIPE - Crypto IP Encapsulation, oma kevyt ja yksinkertainen protokolla. Siinä on kiinnitetty erityishuomiota reititysominaisuuksiin. FreeS/WAN IPsec:n perustuva VPN-ratkaisu HTun Muodostaa poin-to-point virtuaalisen IP-verkon päälle. Käyttää porttia 80. l2tpd 2-kerroksen tunnelointiprotokolla Linuxiin. OpenS/WAN Avoimen lähdekoodin VPN-toteutus IPsec:llä Linuxiin. OpenVPN OpenVPN on monipuolinen SSLVPN-ratkaisu. Poptop Avoimen lähdekoodin VPN-toteutus Linuxiin Windows-pohjaisesta PPTP protokollasta. GVPE Osa GNU-projektia. Luo virtuaalisen Ethernet-verkon. Yavipin Poin-to-point Linux-VPN. tinc Tunneloiva ja salaava VPN-ratkaisu

10 Asennus Tarvittavat paketit VTun 2.6-4, tunnelointisovellus
zlib 1g –dev 1: , sisältää LibSSL –dev paketin liikenteen salaukseen tun –source 1.1-7, virtuaalinen verkkolaite

11 Asennus ( jatkuu ) VTun-asennus
tar xvzf vtun-2.6.tar.gz (VTun-paketin purku) cd vtun (siirrytään asennushakemistoon) ./configure --disable Zlib --disable lzo (paketin configurointi ilman Zlib- ja lzo-kirjastoa) make install (paketin kääntö ja asennus)

12 Asennus ( jatkuu ) TUN-ajurin asennus OpenSSL-kirjasto
tar xvzf tun-1.1.tar.gz (VTun-paketin purku) cd tun-1.1 (siirrytään asennushakemistoon) ./configure (paketin configurointi ilman Zlib- ja lzo-kirjastoa) make install (paketin kääntö ja asennus) modpro tun (TUN-ajurin lataus) OpenSSL-kirjasto apt-get install libssl-dev (SSL-kirjaston asennus)

13 Konfigurointi Client – lähiverkot9 options {
port 5000; (kuunnellaan porttia 5000) ifconfig /sbin/ifconfig (polku ifconfig-komennolle) } default { (yleiset asetukset) compress no; (ei käytetä pakkausta) speed no; (ei rajoiteta nopeutta) jukka { (yhteyden nimi) passwd linuxharkka; (yhteyden salasana) up { ifconfig ”%% pointopoint mtu 1450”; };

14 Konfigurointi Palvelin – lähiverkot4 options {
port 5000; (kuunnellaan porttia 5000) ifconfig /sbin/ifconfig (polku ifconfig-komennolle) } default { (yleiset asetukset) compress no; (ei käytetä pakkausta) speed no; (ei rajoiteta nopeutta) jukka { (yhteyden nimi) passwd linuxharkka; (yhteyden salasana) typet tun; (IP-tunneli) proto udp; (protokollana UDP) encrypt yes; (käytetään salausta) keepalive yes; (lähetetään määrävälein paketteja, jotta verkon ylläpitäjä ei sulje yhteyttä) up { ifconfig ”%% pointopoint mtu 1450”; };

15 VTun käynnistäminen VTun-palvelin Client-sovellus
Komento: vtund –s Client-sovellus Komento: vtund jukka Käytössä olevat verkkorajapinnat komento: ifconfig

16 VTun testaaminen Liikennettä ping-ohjelmalla
Liikenteen kuuntelu tcpdump-ohjelmalla Liikenteen seuranta lähiverkot8-koneella Komennolla: tcpdump dst host

17 Ylläpito Määrittelytiedostoa muokkaamalla
Pakkaukseen ja nopeuden rajoittamiseen liittyvät määrittelyt Salasanan vaihto Uudet yhteydet

18 Yhteenveto Yksinkertainen ja edullinen Toimii useilla eri alustoilla
Palvelut salaus pakkaus siirtonopeuden rajoittaminen Tietoturvassa heikkouksia