Download Guida alla Sicurezza - Fedora Documentation

Bozza
Virtual Private Networks (VPN)
Key_Value01, e decidono di usare racoon per generare automaticamente e condividere una chiave
per l'autenticazione reciproca. Entrambi gli utenti decidono di chiamare ipsec1 le loro connessioni.
Nota
Si consiglia di usare una chiave PSK con una combinazione di lettere maiuscole/minuscole,
numeri e caratteri di punteggiatura. Una chiave PSK facile da scoprire costituisce un rischio alla
sicurezza.
Non è necessario usare, sui due host, lo stesso nome per la connessione. Si potrebbe scegliere
un nome che sia significativo per la propria installazione.
Di seguito si riporta il file di configurazione di IPsec della prima workstation A per una connessione
IPsec host-to host con la workstation B. L'identificativo della connessione usato nell'esempio è
ipsec1, per cui il file di configurazione è /etc/sysconfig/network-scripts/ifcfg-ipsec1:
DST=X.X.X.XTYPE=IPSEC
ONBOOT=no
IKE_METHOD=PSK
Per la workstation A, X.X.X.X è l'indirizzo IP della workstation B. Per la workstation B, X.X.X.X
è l'indirizzo IP della workstation A. La connessione è configurata in modo da non avviarsi al
boot di sistema (ONBOOT=no) ed usa il metodo di autenticazione della chiave pre-condivisa
(IKE_METHOD=PSK).
Di seguito si mostra il contenuto del file della chiave pre-condivisa (denominato /etc/sysconfig/
network-scripts/keys-ipsec1), usato da entrambe le workstation per autenticarsi tra loro. Il suo
contenuto dovrebbe essere identico nelle due workstation, il cui accesso in lettura/scrittura, dovrebbe
essere consentito solo all'utente root.
IKE_PSK=Key_Value01
Importante
Per modificare i permessi al file keys-ipsec1 in modo che solo l'utente root possa leggere o
modificare il file, usare il seguente comando:
[root@myServer ~] # chmod 600 /etc/sysconfig/network-scripts/keys-ipsec1
Per modificare la chiave di autenticazione, editare il file keys-ipsec1 su entrambe le workstation. Le
chiavi di autenticazione devono coincidere perchè la connessione funzioni correttamente.
Il successivo esempio, mostra la configurazione propria alla fase 1 della connessione con l'host
remoto. Il file è denominato X.X.X.X.conf, in cui X.X.X.X è l'indirizzo IP dell'host IPsec remoto.
Notare che questo file è generato automaticamente all'avvio del tunnel IPsec e non dovrebbe essere
eplicitamente modificato.
133