iGu'T.fr

Aller au contenu | Aller au menu | Aller à la recherche

Tag - XAuth

Fil des billets

mardi 27 avril 2010

Amélioration du dissector ISAKMP (IKEv1 & IKEv2)

Il y a quelques mois lors d'un troubleshooting sur du VPN IPsec, je me suis rendu compte que le dissector ISAKMP actuelle de Wireshark était assez limité.

Par exemple, les attributs du Mode Config étaient affichés en hexa

wireshark_xauth1.png

Après une recherche sur le bugtracker de Wireshark, je suis tombé sur ce bug #2905 ou il a été constaté le même probleme !
Ce bug datait de 2008 et n'avais pas bouger..
Après quelques heures de boulot, j'ai proposé un patch qui integre l'ensemble des attributs mode Config, Xauth et quelques attributs proprios.. (Cisco Unity)

Capture d'exemple avec les Xauth decodés

C'est quand même beaucoup plus simple pour le troubleshooting...

Lors du developement de ce patch, je me suis rendu compte que le code n'était pas le plus optimisé et pas vraiment le style de Wireshark et qu'il manquait beaucoup d'attribut qui n'avait pas était mise à jour

Par exemple, il y avait beaucoup de proto_tree_add_text qui sont de simples textes qui ne permettent pas de filtrer sur leur contenu.

J'ai donc proposé un second patch (bug #4546) qui ameliore grandement le code et met à jour les attributs.
J'ai aussi proposé quelques petits patch

  • Ajout complet du DPD (Dead Peer Detection) RFC3706 (bug #4542)
  • Ajout de IKEv2 Session Resumption RFC 5723 / Redirect Mechanism for IKEv2 RFC5685 (bug #4619)
  • Amélioration des Attribut Vendor ID (bug #4689 )



Toutes mes modifications (sauf la partie Attribut Vendor ID) sont disponibles dans la version de developement 1.3.4 à télécharger à l'adresse suivante : http://www.wireshark.org/download.html

mercredi 30 décembre 2009

Authentification des clients VPN IPSec (XAuth) avec un routeur NETGEAR

De base, le protocole IPSec n'est pas prévu pour la gestion d'authentification (par login et mot de passe) d'un utilisateur. Il peut etre interresant de mettre en place une authentification, par exemple en cas de vol du portable, il faudrait toujours le login et le mot de passe pour se connecter au réseau interne.

Ce mode d'authentification est disponible uniquement sur les dernieres générations de routeur NETGEAR ProSafe (celle qui dispose de l'interface suivante )
Interface_Connexion_FVS336G.png

à savoir le FVS338, FVX538, FV336G, FVG318, DGFV338, SRXN3205, UTM10, UTM25 ....

Avant tout, il faut déjà avoir configurer son routeur NETGEAR et son client VPN Shrew en suivant ce guide

%

J'ai dans mon cas utilisé un FVS336G (il peux avoir quelques petites differences avec les autres modeles)

Sur routeur, aller dans l'interface d'administration

Dans Users =>Users

NETGEAR_VPN_Add_user.png Cliquer sur Add

NETGEAR_VPN_Add_user2.png
User Name : Le login de l'utilisateur (user)
User Type : Le type de connexion, dans notre cas (IPsec VPN User)
Password : Le mot de passe...
Confirm Password : Le mot de passe saisie une deuxieme fois !
Cliquer sur Apply pour ajouter l'utilisateur

NETGEAR_VPN_List_user.png
Notre utilisateur est ajouté à la liste

Toujours dans l'interface du routeur

Dans VPN => IPSec VPN =>VPN Policies
NETGEAR_VPN_Disable_policies.png
Sélectionner votre Politique de VPN puis cliquer sur disable (il faut désactiver le politique avant de réaliser des modifications sinon on ne peut pas modifier les parametres)

Aller dans l'onglet IKE Policies
NETGEAR_VPN_Edit_IKE.png
Puis cliquer sur Edit pour modifier votre politique IKE

NETGEAR_VPN_Edit_IKE2.png
En bas de la page, dans Extended Authentification
XAuth Configuration Cocher Edge Device
Authentification Type Sélectionner User Database (base de compte interne au routeur)

Retourner dans l'onglet VPN Policies
NETGEAR_VPN_Enable_policies.png
Sélectionner votre Politique de VPN puis cliquer sur enable

La configuration du routeur est terminée, passons à la configuration du client VPN Shrew

Aller dans le gestionnaire de profil VPN de Shrew
Shrew_access_manager.png
Editer le profil de configuration (rappel : il faut se baser sur ce guide avant de mettre en place l'authentification)

Aller dans l'onglet Authentication
Shrew_auth_xauth.png
Authentification Method Sélectionner Mutual PSK + XAuth

Sauvegarder votre configuration (Save)

Puis dans l'Access Manager, Sélectionner le profil edité
Shrew_access_manager.png
Cliquer sur Connect

Shrew_connect_xauth.png
Username Saisir le nom d'utilisateur crée précédement (user)
Password Saisir le mot de passe....
Cliquer sur Connect pour lancer la connexion

Shrew_connected_xauth.png
La connexion est lancée & activée !

Je rajoute en piece jointe, les profils VPN (des différents routeurs) pour le client Shrew.