6.4. Configuration d'h�te � h�te via IPsec

Le protocole IPsec peut �tre configur� de sorte � connecter un bureau ou un poste de travail � un autre au moyen d'une connexion d'h�te � h�te. Ce type de connexion utilise le r�seau auquel chaque h�te est connect� pour cr�er un tunnel s�curis� entre eux. Les pr�-requis d'une connexion d'h�te � h�te sont minimaux, tout comme la configuration d'IPsec sur chaque h�te. Pour cr�er une connexion IPsec, tout ce dont les h�tes ont besoin est une connexion d�di�e � un r�seau porteur (comme l'internet) et Red Hat Enterprise Linux.

La premi�re �tape dans la cr�ation d'une connexion consiste � recueillir des informations sur le syst�me et sur le r�seau s'appliquant � chaque poste de travail. Pour une connexion d'h�te � h�te, les informations suivantes sont n�cessaires�:

• L'adresse IP des deux h�tes

• Un nom unique pour identifier la connexion IPsec et la diff�rencier d'autres p�riph�riques ou connexions (par exemple, ipsec0)

• Une cl� fixe ou g�n�r�e automatiquement par racoon

• Une cl� d'authentification pr�-partag�e qui est utilis�e pour �tablir la connexion et effectuer l'�change des cl�s de cryptage lors de la session.

Par exemple, imaginez que le poste de travail A et le poste de travail B souhaitent se connecter � l'un et l'autre gr�ce � un tunnel IPsec. Ils souhaitent utiliser une cl� pr�-partag�e avec la valeur foobarbaz et les utilisateurs acceptent de laisser racoon g�n�rer automatiquement et partager une cl� d'authentification entre chaque h�te. Les deux utilisateurs h�tes d�cident de nommer leurs connexions ipsec0.

L'extrait ci-dessous est un exemple de fichier ifcfg pour une connexion IPsec d'h�te � h�te d'un poste de travail A � un poste de travail B (le nom unique pour l'identification de la connexion est ipsec0, le fichier cr�� se nomme donc /etc/sysconfig/network-scripts/ifcfg-ipsec0)�:

DST=X.X.X.X
TYPE=IPSEC
ONBOOT=yes
IKE_METHOD=PSK

Le poste de travail A devrait remplacer X.X.X.X par l'adresse IP du poste de travail B, alors que ce dernier devrait remplacer X.X.X.X par l'adresse IP du poste de travail A. La connexion est d�finie de mani�re � �tre lanc�e au d�marrage (ONBOOT=yes) et utilise la m�thode de cl� pr�-partag�e d'authentification (IKE_METHOD=PSK).

L'extrait suivant repr�sente un fichier de cl�s pr�-partag�es (nomm� /etc/sysconfig/network-scripts/keys-ipsec0) que les deux postes de travail utilisent pour s'authentifier l'un aupr�s de l'autre. Le contenu de ce fichier devrait �tre identique sur les deux postes et ne devrait pouvoir �tre lu et �crit que par le super-utilisateur (root).

IKE_PSK=foobarbaz

	Important
	Pour changer le fichier keys-ipsec0 de mani�re � ce que seul le super-utilisateur puisse lire et modifier ce fichier, ex�cutez la commande suivante apr�s avoir cr�� le fichier en question�: chmod 600 /etc/sysconfig/network-scripts/keys-ipsec0

Pour changer la cl� d'authentification, �ditez le fichier keys-ipsec0 sur les deux postes de travail. Les deux cl�s doivent �tre identiques pour une meilleure connectivit�.

L'extrait ci-dessous correspond au fichier de configuration pour la premi�re phase de connexion � un h�te distant. Le fichier porte le nom X.X.X.X.conf (X.X.X.X est remplac� par l'adresse IP du routeur IPsec distant). Notez que ce fichier est automatiquement g�n�r� une fois que le tunnel IPsec est activ� et ne devrait pas �tre directement �dit�.

;
remote X.X.X.X
{
        exchange_mode aggressive, main;
        my_identifier address;
        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key;
                dh_group 2 ;
        }
}

Le fichier de configuration par d�faut de la phase 1 cr�� lorsqu'une connexion IPsec est initialis�e, contient les instructions suivantes utilis�es par l'impl�mentation Red Hat Enterprise Linux d'IPsec�:

Les fichiers /etc/racoon/racoon.conf devraient �tre identiques sur tous les noeuds IPsec � part l'instruction include "/etc/racoon/X.X.X.X.conf". Cette derni�re (et le fichier auquel elle fait r�f�rence) est g�n�r�e lorsque le tunnel IPsec est activ�. Pour le poste de travail A, X.X.X.X dans l'instruction include repr�sente l'adresse IP du poste de travail B. Le cas contraire est vrai pour le poste de travail B. L'exemple suivant repr�sente un fichier racoon.conf typique lorsque la connexion IPsec est activ�e.

# Racoon IKE daemon configuration file.
# See 'man racoon.conf' for a description of the format and entries.

path include "/etc/racoon";
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

sainfo anonymous
{
	pfs_group 2;
	lifetime time 1 hour ;
	encryption_algorithm 3des, blowfish 448, rijndael ;
	authentication_algorithm hmac_sha1, hmac_md5 ;
	compression_algorithm deflate ;
}
include "/etc/racoon/X.X.X.X.conf"

Ce fichier racoon.conf par d�faut inclut les chemins d�finis pour la configuration IPsec, les fichiers de cl�s pr�-partag�es et les certificats. Les champs de sainfo anonymous d�crivent la SA de la deuxi�me phase entre les noeuds IPsec — la nature de la connexion IPsec (y compris les algorithmes de cryptage support�s utilis�s) et la m�thode d'�change de cl�s. La liste suivante d�finit les champs de la deuxi�me phase�:

Pour lancer la connexion, red�marrez le poste de travail ou ex�cutez la commande suivante en tant que super-utilisateur sur chaque h�te�:

/sbin/ifup ipsec0

Pour tester la connexion IPsec, ex�cutez l'utilitaire tcpdump afin d'afficher les paquets r�seau transf�r�s entre les h�tes (ou les r�seaux) et v�rifiez qu'ils sont bien crypt�s via IPsec. Le paquet devrait inclure un en-t�te AH et devrait appara�tre comme paquet ESP. ESP signifie qu'il est crypt�. Par exemple�:

17:13:20.617872 pinky.example.com > ijin.example.com: \
	    AH(spi=0x0aaa749f,seq=0x335): ESP(spi=0x0ec0441e,seq=0x335) (DF)