Commentare: 21:45 venerdì, aprile 24 2009
Si perche' non e' la stessa cosa che su linux!
Mac OS X e' uno UNIX BSD e non e' quindi dotato degli stessi strumenti di Linux con cui in precedenza ero riuscito a far andare tutto.
Su MacOS X (e in genere ho visto anche su FreeBSD e OpenBSD) esiste un programma denominato racoon che si occupa delle connessioni IPSec, in abbinata con altri programmi come setkey che svolgono funzioni specifiche.
Attraverso il tool network, pero', non e' possibile configurare connessioni IPSec standard, solamente L2TP su IPSec, che non e' pero' pienamente supportato dal Sonicwall 4060 che ho a lavoro.
Ho scelto quindi di utilizzare IPSecuritas, un programma freeware, che permette di gestire le connessioni ipsec con una semplice interfaccina grafica.
L'impresa non e' stata semplice, stavo per desistere molte volte e cedere alla spesa dei 120 euro di VPN Tracker di Equinux, che si era rivelato funzionante al primo colpo... ma oggi ci sono riuscito!
La mia configurazione di ipsecuritas per usare la connessione IPSec GroupVPN del SonicWall e':
Generale
Dispositivo IPSec: ip.sonicwall.remoto.lavoro
Lato Locale: Modalita' Host, Indirizzo IP lasciato vuoto
Lato Remoto: Modalita' Rete, Indirizzo di Rete 10.0.0.0/16
Fase 1
Tempo di vita: 28800 Secondi
Gruppo DH: 1024 (2)
Criptazione: 3DES
Autenticazione: SHA-1
Exchange Mode: Aggressive
Proposal Check: Claim
Nonce Size: 16
Fase 2
Tempo di vita: 28800 Secondi
Gruppo PFS: Nessuno
Crittografia: 3DES
Autenticazione: HMAC SHA-1
ID
Identificativo: Indirizzo
Identificativo: FQDN 0006B1XXXXXX <- Lo trovate nella scheda VPN -> Settings -> Unique Firewall Identifier
Metodo di: XAuth PSK
Chiave Prescambiata: quella che trovate nella configurazione della WAN GroupVPN -> Security Policy -> Shared Secret
Username: il vostro username (anche vuoto, vi verra' chiesto alla connessione)
DNS
Se volete qui potete configurare i DNS per la vostra rete di lavoro
Opzioni
Qui viene la parte piu' complicata su cui mi sono giocato tutto:
Selezionate:
IPSec DOI
SIT_IDENTITY_ONLY
Contatto Iniziale
Supporta Proxy
Richiedi Certificato
Verifica Certificato
Spedisci Certificato
SA Unici
Frammentazione IKE
NAT-T: Disattiva
Per chi volesse usare invece racoon da solo (tipo su FreeBSD) puo' usare questa configurazione:
log notify;
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";
padding
{
maximum_length 20;
randomize on;
strict_check off;
exclusive_tail on;
}
timer
{
counter 5;
interval 5 seconds;
persend 1;
phase1 15 seconds;
phase2 15 seconds;
}
# Connection "SonicWall"
remote ip.sonicwall.remoto.lavoro
{
verify_cert on;
verify_identifier off;
initial_contact on;
passive off;
support_proxy on;
generate_policy off;
verify_cert on;
send_cert on;
send_cr on;
mode_cfg off;
ike_frag on;
doi ipsec_doi;
situation identity_only;
nat_traversal off;
exchange_mode aggressive;
proposal_check claim;
nonce_size 16;
my_identifier address;
peers_identifier fqdn "0006B1XXXXXX";
xauth_login "nomeutente";
proposal
{
lifetime time 28800 seconds;
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method xauth_psk_client;
dh_group modp1024;
}
}
sainfo subnet 192.168.1.14/32 any subnet 10.0.0.0/16 any
{
lifetime time 28800 seconds;
encryption_algorithm 3des;
authentication_algorithm hmac_sha1;
compression_algorithm deflate;
}
listen
{
isakmp 192.168.1.14 [500];
isakmp_natt 192.168.1.14 [4500];
adminsock "/tmp/admin.sock";
}
Alla facciazza dei 100 e passa euro di VPN Tracker!
