Instrukcja do wiczenia Virtual Private Network Remigiusz Górecki Paweª Topa Dariusz bik 11 stycznia 2009 Data wykonania Skªad Grupy Ocena Podczas wykonywania wiczenia odznaczaj wykonane podpunkty Przygotowanie parametów opisuj cych sie W wiczeniu nale»y zestawi sie w której rol routera peªni sprz towy rewall FireBoxII rmy WatchGuard. Interfejs External rewalla b dzie podª czony na zewn trz i b dzie posiadaª zadany przez prowadz cego numer IP. Sie wewn trzna (Trusted) b dzie posiada adresy nierutowalne, które b d podmieniane przez rewall dla poª cze«wychodz cych na zewn trz. W sieci Trusted znajduje si pojedynczy komputer sªu» cy do konguracji rewalla zwany komputerem administratora. W sieci Optional znajdowa si b dzie komputer peªni cy rol serwera WWW. Trzeci z komputerów (kongurowany automatycznie z serwera DHCP) b dzie peªniª rol zewn trznego klienta. Dane pocz tkowe (uzupeªnia prowadz cy zaj cia): 1
interfejs External adres IP 192.168.5. maska podsieci 255.255.255.0 default gw 192.168.5.1 DNS 192.168.5.10 siec Trusted adres IP 10.0.0.0 maska podsieci 255.255.0.0 siec Optional adres IP 192.168.6. maska podsieci 255.255.255.240 1 Przygotuj niezb dne numery IP, maski podsieci dla wszystkich interfejsów rewalla oraz komputerów znajduj cych si w podsieciach Trusted oraz Optional Sie Trusted interfejs Firwalla maska podsieci adres podsieci adres rozgªoszeniowy komputer administratora maska podsieci adres podsieci adres rozgªoszeniowy default geateway server DNS Sie Optional interfejs Firwalla maska podsieci adres podsieci adres rozgªoszeniowy serwer WWW maska podsieci adres podsieci adres rozgªoszeniowy default geateway server DNS Zestawianie poª cze«sprz tu: Upewnij si u prowadz cego, na których komputerach w stanowisku dost pny jest system Windows 2003 Serwer. 1 interfejs zewn trzny (External) rewall'a (14 port panelu krosowniczego) podª cz na zewn trz (pierwszy port panelu krosowniczego); 2 interfejs wewn trzny (Trusted) rewall'a (13 port panelu krosowniczego) podª cz do pierwszego segmentu koncentratora; 3 interfejs opcjonalny (Optional) rewall'a (12 port panelu krosowniczego) podª cz do drugiego segmentu koncentratora; 4 pierwszy z komputerów podª cz jako serwer WWW do sieci Optional; 5 drugi z komputerów podª cz jako komputer administratora do sieci wewn trznej Trusted; 6 trzeci z komputerów podª cz jako komputer zewn trzny do 4 gniazda panelu krosowniczego. Konguracja sieci i uruchamianie serwisów Uruchom komputery i przeprowad¹ ich konguracj : 1 na komputerze peªni cym rol serwera WWW: 2
a uruchom system operacyjny Linux, b za pomoc polecenia ifconfig przeprowad¹ konguracj interfejsu sieciowego, c za pomoc polecenia route ustal bram domy±lna (default gateway), d uzupeªnij serwera nazw (DNS) w pliku /etc/resolv.conf, e przygotuj stron WWW tworz c plik index.html w katalogu /var/www/html, f uruchom serwer WWW; 2 na komputerze administratora w sieci Trusted: a uruchom system Windows 2k, b aby unikn koniktów ustaw now nazw sieciow komputera. W tym celu z menu Start wybieramy Settings/Control Panel/System/Network Identication/Properties a nast pnie w polu Computer Name wpisujemy dowoln, now nazw, c zmie«konguracj karty sieciowej. W tym celu z menu Start wybieramy Settings/Control Panel/Network and Dial-up Cennections nast pnie wybieramy wªa±ciw kart sieciow (poniewa» jest ich kilka wªa- ±ciw mo»na rozpozna po tym,»e sygnalizuje podª czenie kabla sieciowego) i wybieramy menu Properties dla tej karty. W zakªadce General zaznaczamy Internet protocol TCP/IP i z menu kontekstowego wybieramy wªa±ciwo±ci Properties. Karta sieciowa ma by skongurowana statycznie w tym celu zaznaczamy pole Use the following IP address i wpisujemy numery IP przeznaczone dla tego komputera. W analogiczny sposób post pujemy ustalaj c adres serwera nazw (DNS). Pozostaªe karty sieciowe nale»y wyª czy, wybieraj c dla nich menu kontekstowego Disable; 3 na komputerze zewn trznym: a uruchom system Windows 2k, b zmie«nazw komputera, c zmie«konguracj karty sieciowej. Numery IP jak równie» numery serwera(ów) nazw powinny by uzyskiwane automatycznie z serwera DHCP, d wyª cz pozostaªe karty sieciowe; 4 zwerykuj poprawno± ustawie«serwera WWW wydaj c polecenia: ifconfig, netstat -rn oraz netstat -at; 5 zwerykuj poprawno± konguracji pozostaªych komputerów wydaj c polecenie ipconfig /all; 6 wezwij prowadz cego celem zbadania poprawno±ci konguracji. Uruchomienie i podstawowa konguracja rewalla 1 Poª cz komputer administratora kablem szeregowym z wyprowadzeniem Console rewall'a na górnym panelu. Obja±nienie: Na górnym panelu wyprowadzone s porty szeregowe, zaczynaj c od lewej strony, odpowiednio lewego, ±rodkowego i prawego komputera na stanowisko. Kolejne dwa porty to wyprowadzenia portów Serial i Console rewall'a.) 2 Uruchom program zarz dzaj cy rewall'em Start/Programs/Watch Guard/Control Center. 3 Wybierz czarodzieja konguracji (Quick setup). a wybierz tryb konguracji Routed Mode; b program konguracyjny mo»e zapyta o komutera na którym jest uruchomiony, nale»y dostarczy niezb dnych danych; c ustal konguracj interfejsu External podaj c jego adres IP oraz mask sieci, podaj tak»e adres bramy domy±lnej posªuguj c si wypeªnion wcze±niej tabelk ; d ustal konguracj interfejsów Trusted"i Optional (adres IP i maska podsieci) wedªug danych z tabeli wypeªnianej w cz ±ci pierwszej instrukcji (Nie konguruj dodatkowych sieci Trusted!); e przy pytaniu dotycz cym serwerów umieszczonych w obszarze Optional nie zapomnij o podaniu numeru IP komputera peªni cego rol serwera WWW; f ustal hasªa od obsªugi rwall'a. Pierwsze z nich jest hasªem umo»liwiaj cym odczyt konguracji i podgl d stanu rewalla, drugie sªu»y do zapisu. Hasªa musz by ró»ne i zawiera przynajmniej 7 znaków; g wybierz sposób inicjalizacji rewalla poprzez interfejs szeregowy (COM1); 3
h podaj programowi konguracyjnemy dowolny nieu»ywany adres z podsieci Trusted na potrzeby transferu nowej konguracji do rewall'a; i po zakaceptowaniu konguracji nale»y wª czy rewall'a. Je±li byª on wcze±niej wª czony nale»y go wyª czy i wª czy ponownie. 4 Po zaªadowaniu konguracji zaczekaj, a» rewall przygotuje si do pracy co jest sygnalizowane kontrolk Armed. 5 Poª cz si z rewallem naciskaj c przycisk Connect w programie Control Center. Nast pnie podaj numer IP interfejsu z sieci Trusted rewall'a. 6 Wybierz narz dzie Policy Manager pozwalaj ce na edycj konguracji, naciskaj c ikon z podobizn katalogu. 7 Program odczyta bie» c konguracj rewall'a i pierwszym jego krokiem jest zapisanie jej do pliku. W otwartym oknie znajduje si lista aktualnie dziaªaj cych reguª ltrowania. Klikaj c dwukrotnie na ikon reguªy otwieramy dialog wªasciwo±ci ltru. W ka»dym przypadku znajduj si tam trzy zakªadki: Incoming Zawiera konguracj poª cze«wchodz cych czyli z zewn trz do naszych sieci. Mo»liwe s trzy ustawienia: Disable reguªa nie jest wª czona (oznacza to wykorzystanie reguª domy±lnych). Enabled and Allowed reguªa wª czona, ogranicza ruch wedªug zdeniowanych przez nas zbiorów nadawców (From) oraz odbiorców (To), podane poª czenia s przepuszczane. W skªad zbiorów mog wchodzi pojedyncze numery IP, bloki adresów, podsieci, interfejsy rewall'a (wraz z podª czonymi do nich sieciami) oraz u»ytkownicy który zostali zautentykowani przez rewall. Enabled ane Deny reguªa wª czona i okre±lone przez nas zbiory poª cze«(from oraz TO) s odrzucane. Outgoing Zawiera konguracj poª cze«wychodz ch na zasadzie analogicznej jak konguracja po- ª cze«wchodz cych. Properties Zawiera denicj poª cze«wchodz cych w skªad ltru. Mo»e zawiera numery portów wraz z typami protokªów itp. 8 Przeanalizuj konguracj : a konguracja interfejsów (menu Network/Conguration); b przeanalizuj domyslne reguªy utworzone przez czarodzieja: i Outgoing domy±lna reguªa dotycz ca poª cze«wychodz cych z naszej sieci, ii lteredhttp reguªa dotycz ca poª cze«http. Zostaªa utworzona automatycznie przez czarodzieja na podstawie podanego przez nas adresu IP serwera WWW zobacz zbiór adresatów poª cze«wchodz cych. Zwró uwag,»e reguªa nie dotyczy poª cze«wychodz cych. 9 Zmiana konguracji: Poniewa» adresy u»ywane w tym laboratorium s pul adresów przeznaczon do prywatnych eksperymentów (patrz dokument RFC 1819) w zwi zku z tym guruj one na li±cie adresów, które domy±lnie nie s akceptowane przez FireBox'a jako adresy zewn trzne. Aby unikn problemów usu«z listy zablokowanych adresów podsieci zaczynaj ce si od 192.168.x.x. a usu«podsieci 192.168.x.x. w tym celu wybierz menu Setup/Blocked sites. Wprawdzie u»ywana przez nas siec 10.0.0.0 równie» jest uj ta przez dokument rfc 1819 i wyst puje na li±cie blokowanych jednak w tym przypadku nie musimy usuwa jej z listy gdy» i tak poª czenia wychodz ce na zewn trz b d miaªy podmienione adresy; b Poniewa» checemy mie mo»liwo± poª czenia z komputerów w sieci Trusted z komputerami wyst puj cymi na zewn trz, a w sieci Trusted posªugujemy si adresami obj tymi dokumentem rfc 1819 konieczna jest translacja adresów. Operacja ta polega na zamianie adresu IP z sieci Trusted na numer interfejsu zewn trznego rewalla. W tym celu z menu nale»y wybra Setup/NAT, a nast pnie usun wszystkie automatycznie zdeniowane reguªy i doda reguª opisuj c zmian adresów z Trusted na External. (Wybierz Add a nast pnie w polu From wybra Trusted za± w polu To wybra External; c wª cz logowanie przychodz cych pakietów dla ltru Filtered-HTTP i Ping. W tym celu nale»y we dialogu wªa±ciwo±ci ltru wybra Logging i pojawiaj cym si oknie zaznacz Enter it in the log dla zakceptowanych poª cze«wchodz cych (domy±lnie logowane s jedynie poª czenia odrzucone); 4
d zmie«konguracj ltru Ping, tak aby dopuszczalne byªy poª czenia z dowolnego ¹ródªa (FROM) do tylko do interfejsów rewall'a (element rebox ) oraz do sieci Optional (musisz poda adres sieci: menu Add Other...); e wprowadzane zmiany nie s automatycznie zapisywane do urz dzenia. Celem zapisania nale»y z menu wybra File/Save/To rebox. Podczas zapisywania program w pierwszej kolejno±ci wykonuje zapis konguracji do pliku, a nast pnie przesyªa go do rewall'a. Podczas zapisu nale»y poda odpowiednie hasªo; f zbadaj dost pno± serwera WWW z sieci Trusted oraz z sieci zewn trznej przez protokóª http oraz ICMP (ping) (wyniki zapisz w tabelce stawiaj c znak plus je±li usªuga jest dost pna). Obserwuj pojawiaj ce si na konsoli (Trac Monitor urz dzenia komunikaty dotycz ce ltrowanych poª cze«: przez http przez ICMP trusted zewn trzny 10 Wezwij prowadz cego celem zwerykowania poprawno±ci konguracji. Konguracja Virtual Private Network 1 w konguracji FireWalla przygotuj u»ytkownika(-ów) dla potrzeb poª cze«vpn. Wybierz menu Setup/Authentication Server a nast pnie w zakªadce Firebox Users wybierz Add. Utworzony u»ytkownik powinien nale»e do grup pptp oraz ipsec; 2 wybierz menu Network/Remote User, z zakªadki PPTP wybierz Add i podaj adres dowolny nieu»ywany adres z podsieci Trusted. Pod tym adresem b dzie widoczny zewn trzny komputer ª cz cy si z rewall'em przez VPN. W tej samej zakªadce zaznacz Activate Remote User oraz Enable Drop From 128 to 40 bit; 3 zapisz konguracj do rewall'a (wymaga to niestety przeªadowania urz dzenia); 4 dodaj reguª dotycz c protokoªu SMB (umo»liwiaj cego wspóªdzielenie zasobów w sieciach Microsoft Networks). W tym celu w menu Edit/Add service wybierz z Packet Filters protokóª SMB, naci±nij Add, pojawi si okno wªa±ciwo±ci ltru. W tym wypadku do zbioru TO dodajemy sie Trusted (musisz poda adres sieci: menu Add Other...). W zbiorze obiektów b d cych ¹ródªem FROM poª czenia umie± grupy pptp_users, oraz ipsec_users. Zapisz ponownie konguracj ; 5 zestaw poª czenie VPN pomi dzy klientem zewn trznym, a FireBox'em. W tym celu z menu Start komputera zewn trznego wybieramy Settings/Control Panel/Network and Dial-up Connections. Nast pnie tworzymy nowe poª czenie (niestety system prosi o zupeªnie niepotrzebn mu konguracj modemu, którego zreszt nie ma zainstalowanego, nale»y poda mu b d¹ co aby sie odczepiª. Anulowanie konguracji modemu niestety nie wchodzi w rachub ). Po szcze±liwym dobrni ciu do mo»liwo±ci wybrania rodzaju nowego urz dzenia wybierz konguracj VPN. Z istotnych ustawie«nale»y poda zewn trzny rewall'a z którym zamierzamy si poª czy ; 6 zestaw poª czenie VPN wybieraj c Enable z menu kontekstowego ikony poª czenia VPN. Podaj nazw i hasªo utworzonego wcze±niej w konguracji rewalla u»ytkownika; 7 zbdaj konguracj sieciow poprzez wydanie polece«ipconfig /all oraz route print; 8 przetestuj dost pno± serwera WWW poprzez protokoªy http i ICMP: http ICMP z sieci trusted z komp. zewn trznego 9 zbadaj dost pno± komputera w sieci Trusted z komputera zewn trznego poprzez protokóª SMB. W tym celu na komputerze zewn trznym uruchom Eksploratora Windows lub Internet Explorera i w polu Address wpisz adres IP komputera z sieci Trusted poprzedzony dwoma znakami \\. Osi galny?:... 10 wezwij prowadz cego celem sprawdzenia poprawno±ci wykonania; 11 rozª cz poª cznie VPN i ponownie sprawd¹ dost pno± komputera w sieci Trusted przez SMB z komputera utrzymuj cego poª czenie VPN. Osi galny?:... 5
Zestawienie poª czenie VPN typu Branch oce (odlegªe biuro) Dane wej±ciowe zewn trzny adres rewalla SOHO (uzupeªnia prowadz cy zaj cia): interfejs SOHO External adres IP 192.168.5. maska podsieci 255.255.255.0 default gw 192.168.5.1 DNS 192.168.5.10 1 Przygotowanie SOHO do pracy: a uruchom SOHO podª cz urz dzenie do zasilania; b wyª cz (polecenie Disable w menu kontekstowym) interfejs komputera peªni cego wcze±niej rol klienta VPN (powoduje to zwrócenie posiadanego wcze±niej adresu IP), c podª cz wspomniany komputer do jednego lokalnych (porty 1-4) interfejsów SOHO; d wª cz interfejs sieciowy komputera; e sprawdz konguracj sieci, je±li komputer nie otrzymaª adresu IP ponownie wyª cz i wª cz interfejs; f uruchom przegl dark WWW i poª cz si z urz dzeniem SOHO o adresie IP 192.168.111.1; g dokonaj konguracji interfejsu zewn trznego External ustalaj c manualn konguracj u»ywaj c adresu z tabeli powy»ej (odsyªacz Network/External); h podª cz port WAN (zewn trzny) urz dzenia SOHO do sieci zewn trznej (porty 13 panelu krosowniczego); 2 Kopiemy tunel jak ka»dy tunel najlepiej kopa z obu stron. Je±li w poni»szym opisie jaka± opcja zostaªa pomieni ta, oznacza to,»e nale»y pozostawi warto±ci domy±lne. a po stronie SOHO wybierz menu VPN/Remote Gateway, nast pnie wybierz Manual SOHO VPN i zaznacz pole Enable IPSec Network; b w polu IPSec Gateway podaj adres IP odlegªego rewalla; c ustal hasªo wpisuj c je w pole shared key (dowolny tekst); d w cz si drugiej (phase 2) ustawie«dodaj tras do sieci Trusted odlegªego rewall'a czyli adres tej sieci wraz z mask ; e po stronie FireBox wybierz z menu Network/Branch oce VPN/Manual IPSec; f w otwartym oknie wybierz Gateways a nast pnie Add. Ustal dowoln nazw reprezenuj c rewall SOHO i podaj jego adress IP. Wprowad¹ hasªo zgodne z hasªem po drugiej stronie. Zatwierdz ustawienia; g wybierz Tunnels a nast pnie Add. Pojawi si lista zawieraj ca list dost pnych Remote Gateways, w naszym przypadku lista b dzie zawiera wyª cznie utworzon w poprzednim podpunkcie konguracj. Podaj dowoln nazw tunelu, które opisywa b dzie tworzone poª czenie; h w oknie gªównym (IPSec Conguration) naci±nij Add celem dodania nowej polityki. Jako ¹ródªo i cel podaj adresy odpowiednio lokalnej sieci Trusted i sieci wyst puj cej za rewall'em SOHO; i w oknie wªa±ciwo±ci ltru SMB do zbioru FROM dodaj adres podsieci wyst puj cej ZA rewall'em SOHO. W tym celu nale»y wybra Add, dotycz ce zbioru FROM, a nast pnie wybra Add other co uruchomi kolejne okno dialogowe pozwalaj ce na wybór pomi dzy konkretnym adresem hosta, sieci, zakresem adresów lub grup u»ytkowników Firebox'a. Podaj adres sieci i zatwierd¹. Zostanie on dodany do zbioru FROM (w tym przypadku); j zapisz zmiany konguracji rewalla; k przetestuj dost pno± serwera WWW poprzez protokoªy http i ICMP: http ICMP z sieci trusted z komp. zewn trznego l zbadaj dost pno± komputera w sieci Trusted z komputera zewn trznego poprzez protokóª SMB. Osi galny?:... m wezwij prowadz cego celem sprawdzenia konguracji. 6