Exercícios IPsec e LDAP

1. Exercícios IPsec e LDAP Aluno:

2. IPsec: Configuração da Rede HOST A HOST B 10.32.1.45 10.26.128.253 10.26.128.1 10.32.1.1 10.26.128.0 255.255.128.0 192.168.0.0 255.255.0.0

3. Políticas Básicas • Sem IPsec • Client (Respond Only) • Implementa IPsec apenas se exigido pelo Servidor. • Secure Server (Require Security) • Efetua apenas comunicação IPsec. • Rejeita conexões com clientes que não suportam IPsec. • Server (Request Security) • Solicita sempre comunicação IPsec. • Aceita conexões sem segurança se o cliente não suportar IPsec.

4. Política 1: ICMP • Objetivo: • Evitar ataques ICMP com spoofing. • Política: Para o HOST B: • Apenas mensagens ICMP vindas da subrede 10.26.128.0/17 em modo IPsec AH são aceitas. • Se o solicitante não suporta IPsec, então a comunicação é Rejeitada

5. Política 1: ICMP 2 REGRAS ICMP REDE_A HOST_B HOST_B REDE_A ICMP REDE A HOST B ICMP 10.32.1.45 ICMP (AH) 10.26.128.0

6. Descrição da Política: HOST B • Regra: • Tunel: • Tipo de Rede: • Método de Autenticação: • Filtro: • IP Origem: • IP Destino: • Protocolo: • Porta Origem: • Porta Destino: • Simétrico?: • Ação: • Tipo: • Aceita comunicação sem IPsec?: • Protocolo IPsec: • Protocolo de Integridade: • Protocolo de Criptografia:

7. Pergunta: • Que política Básica deve ser configurada no HOST A para que ele possa enviar as mensagens de ping? Explique por que algumas políticas não funcionam. • RESPOSTA: • Sem IPsec: • Cliente: • Request Security: • Require Security:

8. Cuidado com as Políticas Default ... Não cria IPsec na Pergunta só uso IPsec se você pedir. aceito suas perguntas sem IPsec Cliente Cliente aceito suas perguntas sem IPsec só respondo com IPsec se você pedir Comunicação sem IPsec

9. Cuidado com as Políticas Default (?)... Cria IPsec na Resposta se o Cliente Suportar só uso IPsec se você pedir. aceito suas perguntas sem IPsec Request Security Cliente aceito suas perguntas sem IPsec eu só falo em IPsec Cria IPsec na Resposta se o Cliente Suportar

10. Cuidado com as Políticas Default ... Cria IPsec na Pergunta aceito suas perguntas sem IPsec Request Security Request Security eu só falo em IPsec aceito suas perguntas sem IPsec eu só falo em IPsec Comunicação com IPsec

11. Cuidado com as Políticas Default ... Cria IPsec na Pergunta só aceito peguntas em IPsec Request Security Require Security eu só falo em IPsec aceito suas perguntas sem IPsec eu só falo em IPsec Comunicação com IPsec

12. Cuidado com as Políticas Default ... Cria IPsec na Pergunta só aceito peguntas em IPsec Request Security Require Security eu só falo em IPsec só aceito perguntas em IPsec eu só falo em IPsec Comunicação com IPsec

13. Alterações de Políticas • Quando uma comunicação IPsec é bem sucedida, cria-se uma SA. SA (ESP, DES, SHA) SA (ESP, DES, SHA) • As SA continuam, mesmo se as políticas são modificadas. Deve-se aguardar um tempo para que as S.A. sejam desfeitas e então a nova política tenha efeito. • Durante este perído, a criação de políticas incompatíveis com SA já estabelecidas faz com que a comunicação não funcione.

14. Tempo de Vida das Chaves • FASE 1: • Criação de uma SA Temporária • Cria um canal seguro para Negociação da SA Definitiva. • FASE 2: • Criação de uma SA Permanente • Cria o canal seguro para transmissão dos dados. • Parâmetros de Tempo de Vida: • verifica mudanças de política a cada 180 minutos • refaz a autenticação a cada 480 minutos • pode reutilizar a masterkey para gerar novas chaves de sessão em comunicações seguras com o mesmo computador.

15. Política 2: Acesso HTTP • Objetivo: • Possibilitar que usuários da Intranet possam estabelecer comunicação em modo seguro, com criptografia de dados. • Política: Para o HOST B: • Apenas o acesso da subrede 10.26.128.0/17 em modo IPsec ESP é permitido. • Se o solicitante não suporta IPsec, então a comunicação não é Permitida. • Se o solicitante pertencer a uma outra subrede, então a comunicação é bloqueada.

16. Observações • Se a política não funcionar, verifique: • No cliente: • IPse está sendo solicitado? Com que parâmetros: • Protocolo (AH ou ESP) • Protocolo de Criptografia (DES, 3DES) • Protocolo de Hashing (SHA1, MD5) • No servidor: • O servidor é capaz de responder a uma requisição IPsec? Com que parâmetros? • Verifique se pelo menos uma política (incluindo os protocolos de criptografia) é comum ao cliente e ao servidor.

17. Observações • Lembre-se que existe uma regra Default na sua política: • Ela se aplica a qualquer protocolo. • Ela exige que se use IPsec. • Ela tenta efetuar a criptografia em vários modos: • ESP (3DES,SHA1) e ESP (3DES,MD5) • ESP (DES,SHA1) e ESP (DES,MD5) • AH(SHA1) • AH(MD5) • Se o cliente requisitar modo ESP, é a regra dinâmica que responde, e não a regra de ICMP, que se aplica apenas a AH.

18. Política 2: Acesso HTTP 2 REGRAS HTTP REDE_A HOST_B HOST_B REDE_A HTTP REDE A HTTP HOST B HTTP (ESP) 10.32.1.45 HTTP 10.26.128.0

19. Descrição da Política: HOST B • Regra: • Tunel: • Tipo de Rede: • Método de Autenticação: • Filtro: • IP Origem: • IP Destino: • Protocolo: • Porta Origem: • Porta Destino: • Simétrico?: • Ação: • Tipo: • Aceita comunicação sem IPsec?: • Protocolo IPsec: • Protocolo de Integridade: • Protocolo de Criptografia:

20. Pergunta: • Que política Básica deve ser configurada nos Hosts clientes para que eles possam acessar ao servidor de Intranet? • RESPOSTA:

21. Política 3: VPN sobre rede Insegura • Cenário: ESP (túnel, obrigatório) AH (obrigatório) 10.26.128.253 10.32.1.45 AH (obrigatório) 10.26.128.0 255.255.128.0 192.168.0.0 255.255.0.0

22. Observação: Políticas com Tunelamento • Regras de tunelamento NÃO são simétricas pois os endpoints são diferentes. • Neste caso, é necessário criar explicitamente um regra para enviar e outra para receber pacotes pelo túnel, em cada um dos gateways VPN. R_A R_A IP_EB IP_EA R_B IP_EB IP_EA R_B IP_EA IP_EA R_B R_A IP_EA IP_EA R_B R_A A B Rede B Rede A IP_IA IP_EA IP_EB IP_IB

23. Política 3: Acesso VPN • Objetivos da Política: • Permitir que duas redes da organização troquem informação em modo seguro. • A informação deve ser criptograda enquanto estiver transitando entre as duas redes. • Apenas os hosts pertencentes as subredes 10.16.128.0/17 e 192.168.0.0/16 podem utilizar o canal VPN. • Deve-se evitar que computadores pertencentes a outras redes utilizem o canal VPN através de técnicas de spoofing.

24. Políticas para o HOST A

25. Descrição da Política: HOST A • Regra: • Tunel: • Tipo de Rede: • Método de Autenticação: • Filtro: • IP Origem: • IP Destino: • Protocolo: • Porta Origem: • Porta Destino: • Simétrico?: • Ação: • Tipo: • Aceita comunicação sem IPsec?: • Protocolo IPsec: • Protocolo de Integridade: • Protocolo de Criptografia:

26. Políticas para o HOST B

27. Descrição da Política: HOST B • Regra: • Tunel: • Tipo de Rede: • Método de Autenticação: • Filtro: • IP Origem: • IP Destino: • Protocolo: • Porta Origem: • Porta Destino: • Simétrico?: • Ação: • Tipo: • Aceita comunicação sem IPsec?: • Protocolo IPsec: • Protocolo de Integridade: • Protocolo de Criptografia:

28. Políticas para os Clientes

29. Descrição da Política: Clientes • Regra: • Tunel: • Tipo de Rede: • Método de Autenticação: • Filtro: • IP Origem: • IP Destino: • Protocolo: • Porta Origem: • Porta Destino: • Simétrico?: • Ação: • Tipo: • Aceita comunicação sem IPsec?: • Protocolo IPsec: • Protocolo de Integridade: • Protocolo de Criptografia:

30. Observações • Limitações do VPN IPsec no Windows 2000 • Os tuneis não podem ser criados para protocolos ou portas específicas. • APENAS TUNEIS ESTÁTICOS ENTRE DOIS ENDEREÇOS IP SÃO SUPORTADOS.