VPN zwischen PIX und Linux Server

[Jay_Fisi 10]

Hallo

 

Ich suche ein verständliches Howto, um ein VPN zwischen einer Pix Firewall und einem Firmen-externen Linux Server herzustellen.

Kennt ihr sowas?

 

Bin für jeden Tipp dankbar!

[Wordo 11]

Was wird denn auf der Linux fuer eine VPN-Software eingesetzt?

[Jay_Fisi 10]

Momentan noch keine..... Idealerweise sollte es eine Software sein, die IPSec kann....bin da offen für alles, hauptsache es gibt eine ordentliche Beschreibung, wie das ganze zu realisieren ist.

[Wordo 11]

Mit OpenSWAN z.B.:

 

ipsec.conf:

conn %default

keyingtries=3

ikelifetime=8h

keylife=24h

authby=secret

pfs=yes

left=ip

leftid=

rightid=

auto=start

xauth=no

dpddelay=30

dpdtimeout=120

dpdaction=hold

esp=3des-md5

 

conn easyfairs-noc

leftnexthop=ip

leftsubnet=netz

right=ip

rightnexthop=ip

rightsubnet=netz

pfs=no

 

ipsec.secrets:

ip ip: PSK "sGDTg3x4asdasdaggg455635trdhc45wrshFGHDFGD"

 

PIX:

access-list IPSEC permit ip netz 255.255.255.0 netz 255.255.255.0

crypto ipsec transform-set myset esp-3des esp-md5-hmac

crypto map mymap 10 ipsec-isakmp

crypto map mymap 10 match address IPSEC

crypto map mymap 10 set peer ip

crypto map mymap 10 set transform-set myset

crypto map mymap interface outside

isakmp enable outside

isakmp key ******** address ip netmask 255.255.255.255 no-xauth no-config-mode

isakmp identity address

isakmp policy 10 authentication pre-share

isakmp policy 10 encryption 3des

isakmp policy 10 hash md5

isakmp policy 10 group 2

isakmp policy 10 lifetime 28800

[Jay_Fisi 10]

Danke für deinen Post.

 

So ein richtiges HowTo kennst du jedoch nicht?

[Wordo 11]

Lies dich in die Doku von Openswan ein. Ist echt nicht schwer.

 

Die PIX-Konfiguration ist dann auch mehr oder weniger selbsterklaerend.

[Jay_Fisi 10]

OK Danke, mach ich...

 

Im Zweifelsfall, weiss ich ja wo ich dich finde ;-)

 

Vielen Dank!

[Jay_Fisi 10]

Eine Frage hätte ich noch:

 

Es gibt schon eine VPN auf unserer Pix und zwar ein Site-to-End VPN. Gelten diese Einstellungen auch für ein zweites VPN (Site-to-Site), also das, was ich gerade einrichten will?

Ich meine Sachen wie:

 

 isakmp policy 5 authentication pre-share
isakmp policy 5 encryption 3des
isakmp policy 5 hash md5
isakmp policy 5 group 2
isakmp policy 5 lifetime 28800
crypto map mymap 10 ipsec-isakmp
crypto map mymap 10 match address FREESWAN-VPN
crypto map mymap 10 set peer 123.51.234.123
crypto map mymap 10 set transform-set myset
crypto map mymap interface outside

 

wahrscheinlich benötige ich nur noch eine access-list und muss den key eintragen, oder?

[Wordo 11]

Naja das Peer wird doch ein anderes sein oder nicht?

Auf der PIX waere es eher:

crypto map mymap 20 (statt 10) ...