Newbie delle VPN ha bisogno di un grosso aiuto (lungo)

[CabALiSt]

Salve a tutti, innanzitutto un paio di premesse:

Ho terminato da poco un corso CISCO presso una netacad alla fine del quale era previsto uno stage di 3 settimane (15 gg
lavorativi) presso una delle aziende che avevano aderito all'iniziativa. Sono stato assegnato presso un ISP locale, non uno dei "grossi" tipo infostrada o telecom, cmq molto importante qui nella mia regione. Al nostro primo incontro (circa 10 gg fà), per definire cosa avrei fatto nella loro azienda in queste 3 settimane, mi parlarono di lavorare ai backups della loro server farm e di VPN. Sulle VPN in particolare mi dissero che avevano in cantiere un progetto sulle VPN per poter fornire il servizio ai loro clienti. Per come me ne parlarono pensavo che tra un backup e l'altro mi avrebbero fatto vedere come si configurava una VPN.... mi sbagliavo di grosso.... Cmq sia, nel frattempo mi sono certificato CCNA (il corso mi preparava per questa certificazione) e da 3 giorni ho iniziato lo stage.

Il problema è nato dal primo giorno, ovvero al momento di assegnarmi le mansioni che avrei dovuto svolgere. In pratica mi sono stati tolti i backups e mi è stato chiesto di presentare un progetto generale sulle VPN da presentare alla parte amministrativa dell'azienda e alla parte tecnica strutturato in modo che i tecnici leggessero contenuto tecnico e l'amministrazione contenuto più semplice e di facile comprensione. Sul momento ero contento di quel compito ma adesso mi rendo conto che forse avrei dovuto preoccuparmi fin da subito.... Perchè? Per 3 motivi principali:

1) Partivo senza la benchè minima conoscenza in materia di VPNs.

2) Da quello che mi hanno detto in questa azienda, dalle risposte che hanno dato alle mie domande e da quello che ho potuto saggiare nell'ambiente le cose sono 2: o ne capiscono meno di me in materia o mi stanno mettendo alla prova, tra l'altro loro stessi affermano che non ne hanno sviluppate e che non ne capiscono molto, dunque non sono solo mie supposizioni ma potrebbero anche essere balle...

3) Non ho nessun supporto, ne qualcuno che ne capisca, ne un router ne un libro sull'argomento, ho solo un pc e una connessione ad internet. Mi è anche stato fatto capire che non c'è speranza di averne se non presentando prima il progetto.

Andando a fondo mi è stato richiesto di:

1) Stendere un documento per l'amministrazione sulle vpn in generale che fosse facilmente comprensibile

2) Stendere un documento tecnico particolareggiato da presentare all'area tecnica

3) Discutere i protocolli e gli standars (questo punto a posteriori mi ha stranizzato dato che non esistono degli standards nelle vpn da quello che ho potuto studiare...)

4) Proporre 4 casistiche di offerta:

a) connessione punto-punto tra 2 sedi mediante adsl 256/128
b) connessione punto-punto tra 2 sedi mediante adsl 640/128
c) connessione punto-punto tra 2 sedi mediante adsl 1280/512 2048/512 o hdsl
d) connessione punto-multipunto tra una sede e 10 hosts connessi a internet tramite dial-up o adsl (vpn software praticamente)

5) Sviluppare un sistema di backup per le linee principali su isdn. (almeno questo lo so fare)

Ci sarebbero altri 3 punti che non ricordo precisamente ma non sono molto importanti.
Altre richieste riguardano le macchine da utilizzare per le 4 offerte, non devono essere necessariamente CISCO (<- leggi devo usare quasi obbligatoriamente anche altri tipi di routers).
Un altro problema è sorto rispetto al tunnelling, io avevo proposto ipsec e l2tp over ipsec dopo un pò di studi ma loro mi hanno parlato anche di pptp.... su questo punto però se porto motivazioni valide credo di poterla spuntare...

In definitiva i miei problemi principali sono: scegliere i metodi di tunneling e studiarli; scegliere gli apparati (che dovrei anche essere in grado di configurare per sommi capi...); fare il tutto in 12 giorni lavorativi....

Come ho già detto per il tunneling la mia scelta era caduta su IPSec e L2TP, ma onestamente oltre a IPSec non so cosa scegliere.. mi servirebbe un protocollo tipo GRE o L2TP per poter eventualmente far viaggiare traffico non IP ma non so cosa scegliere per ignoranza e anche per paura di non trovare documentazione adatta oltre alle RFC (sono troppo grandi e tecniche per poterle studiare per bene in pochi giorni) come mi è già successo per L2TP. In questi 3 giorni mi sono fatto una cultura di massima sulle VPN in generale (trusteed, secured e hybrid) e sono riuscito a studiare abbastanza a fondo (senza entrare negli algoritmi) la suite IPSec (ike, ah e esp), ma adesso sono ad un punto morto...

Se poteste aiutarmi su qualsiasi punto di cui sopra sarebbe per me di grandissimo aiuto, anche solo qualche buon link (non ho la fobia dei tasti search ne dei motori di ricerca... relamente non trovo documenti adatti!), magari in italiano o qualche dritta sui tunnels più usati e interoperabili tra le varie case...

Grazie in anticipo a chi contribuirà a risollevarmi un pò e scusate per il thread lunghetto...

Ciauz.

[gohan]

però.... se loro propongono di usare il PPtP (tunnel non cifrato) al posto di IPSec, sono messi maluccio in termini di conoscenze sulla sicurezza......
Intanto di posso dare questo link intento per avere qualche semplice esempio.
Visto che fornirete VPN per connettere più sedi di un'azienda, sarebbe bene che la cifratura sia fatta almeno con algoritmo 3DES o meglio AES, valutate poi se reputate necessaria l'autenticazione dei pacchetti tramite SHA o MD5 (che appesantirebbe un po' la comunicazione).
Il tuo sembra un bel progettino! Forza e coraggio!

PS se vuoi vengo a darti una mano così mi tolgo un po' di ruggine!

[CabALiSt]

Beh, grazie per la proposta ma mi sà che siamo un pò lontanucci, però se proprio vuoi potresti aiutarmi mediante i potenti mezzi messici a disposizione da HWUpgrade.

Mi sembra di aver capito che di sei piuttosto ferrato in materia di sicurezza, mi potresti dare una mano a fissare IPSec in testa?

Ho studiato un pò ma non sono sicuro di avere fissato bene le fasi di creazione del tunnel mediante IKE.

Se non ho capito male:

il peer remoto invia le proprie policies al locale, il locale le confronta con le proprie, se trova una corrispondenza inizia la creazione dell'intero da xxxBits tramite algoritmo DH, invia il numero al remoto, il rmoto a sua volta crea un numero e lo invia al locale utilizzando la stessa policy. In base al numero ricevuto i due creano una propria chiave privata e da questa una pubblica si scambiano la pubblica e da questa ricavano la shared che useranno per l'auth tramite md5 o sha o per DES (3des etc) e la criptano. Finito questo passaggio in base al tipo di autenticazione scelta scambiano i certificati (RSA Signatures), si autenticano tramite shared preimpostate (pre-shared keys) o si inviano degli "pseudo-numeri"criptati con RSA che decriptano ne prendono l''hash ricavato lo reinviano sempre criptato, se lo decriptano confrontano l'hash con l'hash del nonce che avevano prima spedito e se coincide si autenticano. Ovviamente conoscono l'uno la chiave pubblica dell'altro (RSA Encrypted Nonces).

Fatto questo la prima fase per la creazione del tunnel ISAKMP è conclusa e si passa alla negoziazione della SA per IPSec. Questa seconda fase non mi è proprio chiarissima... Come prima si accordano sulla policy da usare ma non ho capito se fanno qualche ulteriore verifica o se scambiano ulteriori chiavi e come.

Spero di essere stato chiaro...

Poi volevo farti altre 2 domande:

1) des lo conosco bene o male, AES in quale tunnel è utilizzato?

2) Non credo di poter presentare solo ipsec. Qui usano molto windows e sopratutto i loro clienti usano molto windows e hanno forse paura di problemi di compatibilità con i clients e così via...almeno credo, l'unica altra motivazione che potrebbero avere per avermi parlato di pptp o l2tp potrebbe essere un problema legato al protocollo di lev3... o no? Cmq vorrei sapere cos'altro mi conviene affiancare ad ipsec.. ci sono una marea di tunnel e non ho il tmepo di studiarli tutti... GRE, L2TP, PPTP, L2F... consigli?

Grazie tantissimo cmq anche per il solo link...

Spero vivamente in una risposta.

Ciauz.

[gohan]

IPSec è ormai standard su tutti i SO e va sia con DES, 3DES che AES.

[CabALiSt]

Qualche Link utile su L2TP?

Ciauz.

[gohan]

no... mi spiace.... non l'ho mai approfondito.
Anzi se ne trovi tu.....