IPSec; kako vzpostaviti taksno lokalno povezavo?

Nekako sem se spravil povezati dva PCja tako, da bi izmenjava podatkov bila enkriptana s pomocjo IPSec (vse to delam kot poizkus in ne kot neko potrebo, da to res rabim).

Dva PCja sta povezana oba direktno na router, komunikacija deluje bp. Potem pa sem na serverju nastavil, da dovoljuje komunikacijo z drugim PCjem samo, ce je ta varna (uporablja IPSec). Nastavljeno je tako, da to zahteva za TCP na vseh portih.

No, in tu se ustavi. :)) Komunikacija ni uspesna.

Sumim, da je nekaj nepravilno nastavljeno na client PCju. Recimo, nastavljeno imam, da je destination IP 192.168.123.245, kar je IP od clinet PCja. V tem primeru povezava ne dela. Ce nastavim drugacen IP, recimo 192.168.123.246 (ta IP ni nikjer v omrezju), povezava dela normalno.
Iz tega nekako sklepam, da je na serverju pravilno nasvatljeno, za kater PC veljajo ta pravila.

Kot sem ze zgoraj napisal, sem nastavil tako, da se komunikacija dovoli samo, ce je varna. V nasprotnem primeru se zavrne.
To sem tudi preizkusil. Ce v Filter Action izberem, da se dovoli ne-varna povezava, lepo dela. Ce pa nastavim, da je povezava lahko samo varna, pa ne deluje.

Filter Addressing
Filter Protocol
Filter Actionl

Nekaj casa sem tudi gledal Network Monitor, kjer lahko potem gledas, kaj se prenasa po omrezju. Gledal sem za paketi ESP, vendar jih nisem nasel. Bi moral mogoce gledati za cem drugim?

Torej, kaj je narobe nastavljeno, da ne dela? A je potrebno na clinet PCjih kaj nastaviti, da poskusajo oz. da se odzovejo na IPSec?


by Miha

Karkoli ti ze pocnes na routerju, to nima nobene zveze, ker le-ta niti ne vidi paketkov med dvema portoma na LAN strani.

Namesto routerja z n porti si predstavljaj, da imas router z WAN portom ter LAN portom, ki je povezan na switch, ti pa imas na switch prikljucena 2 racunalnika.

Tisti 4 porti na LAN strani routerja niso nic drugega kot 4-portni switch, ki je z routerjem povezan direktno namesto preko petega porta.

Samo v informacijo, da ne bos mislil, da ti router karkoli blokira.

Cez IPSec lahko posiljas katerikoli IP promet. Torej TCP, UDP, GRE, ...

Ampak osnove tega, kako deluje IPSec bos moral pa kje drugje poiskat. Je tega cisto prevec, da bi tukaj razlagal.

Pa se ena informacija: win2k implementacija je obupna za nastavljanje. Jaz je nisem nikoli postekal. Je bolj prakticno gor obesit kaksen VPN client, recimo Safenet-ovega.

Namesti si certifikat ali ključ za vsak računalnik posebej, pa seveda da sta ti dva certifikata med samo trusted. Pa za ipsec deluje konzola samo da pingaš s ipsec-om. Pa preveri da delujeat med sabo, če ju povežeš s cros kablom...

Ma zdele sm dobil en Warning message.

Zdej, jst imam domeno in WinXP ni v domeni. Sm zdej spermenil avthentikacijo iz Kerberos na nek string. In dela. :))))

Nc, grem zdele mal out, pa bom pol zvecer naprej tole delal. :))


by Miha