Petra VPN 3.1. Guida Utente

Transcript

1 Petra VPN 3.1 Guida Utente

2 Petra VPN 3.1: Guida Utente Copyright 1996, 2004 Link s.r.l. ( Questo documento contiene informazioni di proprietà riservata, protette da copyright. Tutti i diritti sono riservati. Non è permesso riprodurre e/o distribuire copie di questo documento senza preventiva ed esplicita autorizzazione di Link SRL. Link SRL non fornisce garanzie di nessun tipo circa le informazioni contenute in questo documento, comprese e non sole, le garanzie implicite di commerciabilità e uso per scopi specifici. Link SRL non è responsabile per gli errori contenuti in questo documento o per i danni accidentali conseguenti all uso di questo materiale. Tutti i nomi dei prodotti menzionati in questo documento sono posseduti dai rispettivi proprietari.

3 Sommario Introduzione Introduzione alle VPN e IPSEC La soluzione Petra Scenario ExtraNet Configurazione del primo Server Petra (Torino) Configurazione del secondo Server Petra (Napoli) Configurazione della Politica VPNService sui nodi Scenario RoadWarrior Configurazione del Petra Gateway Configurazione della Politica VPNService sul Gateway Configurazione del PC Client

4 Introduzione Scopo di questo documento è mettere rapidamente il lettore in condizione di configurare una Rete Virtuale Privata, usando il modulo VPN per i prodotti Petra Internet Presence o Petra Internet Firewall. Verrà fatta una breve introduzione alle VPN e ad IPSEC e verranno poi presentati alcuni tipici scenari utilizzo di Petra VPN: scenario ExtraNet (sedi remote) scenario RoadWarrior (mobil client) Verranno poi presentate le modalità di configurazione del client Windows (SSH Sentinel) e di manutenzione del prodotto (arresto/avvio del servizio o di una specifica VPN). La gestione del modulo VPN avviene attraverso la medesima interfaccia di amministrazione del prodotto al quale viene abbinato (Petra Internet Firewall o Petra Internet Presence) raggiungibile tramite browser alla url 4

5 Capitolo 1. Introduzione alle VPN e IPSEC Una VPN (Virtual Private Network) è una rete sicura (come se fosse privata) realizzata in parte su una rete insicura (Internet). Ciò è reso possibile dalla cifratura del traffico che viaggia sulla parte insicura della rete, come mostrato in figura. IPSEC invece ha due utilizzi: 1. Presentare sistemi remoti come se fossero locali: sedi remote (extranet) mobile computing (road warrior) 2. Proteggere applicazioni che non hanno meccanismi propri (cifratura di liv 4): (imap,imaps; http,https; custom,customs; ecc...) entrambe le parti devono essere d accordo 1.1. La soluzione Petra 5

6 Capitolo 1. Introduzione alle VPN e IPSEC Il modulo VPN Petra è basato sul protocollo IPSEC ed è usato sia per cifrare le comunicazioni e/o realizzare tunnel tra due o più reti private che per accedere da client mobili ad una rete privata. 6

7 Capitolo 2. Scenario ExtraNet Il nostro scopo è quello stabilire una rete privata virtuale (VPN) fra due server Petra (ad esempio uno a Torino e uno a Napoli) che permetta alle reti interne di comunicare in maniera sicura attraverso la rete Internet. La configurazione da realizzare è descritta nella figura che segue. Nota: nel nostro esempio usiamo gli indirizzi privati e ; in generale questi indirizzi saranno indirizzi Internet pubblici. Nelle prossime due sezioni descriviamo i passi necessari per la configurazione dei due VPN gateway in figura Configurazione del primo Server Petra (Torino) Vediamo adesso i passi di configurazione necessari sui nodi, cominciando da quello di Torino: 1. generare il certificato per il nodo di Torino nel seguente modo: selezionare il pannello Sicurezza > Certificati e premere il pulsante Aggiungi per aggiungere un nuovo certificato: 7

8 Capitolo 2. Scenario ExtraNet se nessuna Certification Authority è stata registrata, il sistema ne richiederà la registrazione; immettere quindi i dati richiesti e premere il pulsante Conferma; sarà adesso possibile aggiungere un certificato, utilizzando come CA Password la password impostata per la CA appena creata; inserire i restanti dati e premere il pulsante Conferma; si consiglia di utilizzare come Common Name il nome del server, completo del nome di dominio. 8

9 Capitolo 2. Scenario ExtraNet 2. aggiungere nello stesso modo il certificato per Napoli; 3. terminata la procedura i certificati compariranno nel pannello Sicurezza > Certificati; 9

10 Capitolo 2. Scenario ExtraNet 4. da questo pannello selezionare il link Esporta relativo al certificato di Napoli per esportare il certificato in formato p12. Sarà necessario inserire una password per proteggere l archivio. 5. selezionare il pannello Sicurezza > Certificati e selezionare il certificato appena creato ("napoli"); verranno visualizzati tutti i dati del certificato; prendere nota, per esempio copiandolo negli appunti (scelta consigliata), del valore Subject che sarà necessario al passo successivo; 6. selezionare il pannello Sicurezza > Vpn > Elenco dei nodi e premere il pulsante Aggiungi per creare la Vpn; inserire quindi i seguenti dati: 10

11 Capitolo 2. Scenario ExtraNet Nome: un nome arbitrario per la Vpn; Abilitato: da selezionare per attivare la Vpn; Indirizzo IP: indirizzo IP pubblico del nodo di Napoli; Algoritmo di cifratura: l algoritmo con cui verrà cifrato il traffico nella vpn (deve essere lo stesso per i entrambi i nodi); Key: impostare il tipo x509 ed inserire il valore Subject del certificato "napoli" prelevato al passo precedente, per esempio incollandolo dagli appunti (scelta consigliata); Remote Gateway: inserire le reti private (IP e netmask) collegate al gateway remoto; Local Gateway: inserire le reti private (IP e netmask) collegate al gateway locale; 7. a questo punto la Vpn sarà visibile nel pannello Sicurezza > Vpn. Da qui sarà anche possibile modificarne i dati e lo stato (on/off ). 11

12 Capitolo 2. Scenario ExtraNet 2.2. Configurazione del secondo Server Petra (Napoli) Vediamo adesso i passi di configurazione necessari sul nodo di Napoli: Nota: è necessario disporre del Subject del certificato del primo Server Petra (Torino); copiarlo preventivamente in un file di testo o accedere parallelamente alla sua interfaccia di amministrazione. 1. selezionare il pannello Sicurezza > Certificati e premere il pulsante Importa per importare il certificato del nodo di Napoli precedentemente esportato in formato p12: premere il pulsante Browse, selezionare il file contenete il certificato e premere Ok; nel campo Nome inserire un nome arbitrario per il certificato, (in questo caso napoli); nel campo Password archivio inserire la password di archivio impostata in fase di export; nella sezione Certification Authority esterna selezionare Nuova ed inserire un identificativo per la CA che verrà importata insieme al certificato; premere il pulsante Conferma; 2. selezionare il pannello Sicurezza > Vpn e premere il pulsante Aggiungi per creare la Vpn; inserire quindi i seguenti dati: Nome: un nome arbitrario per la Vpn; 12

13 Capitolo 2. Scenario ExtraNet Abilitato: da selezionare per attivare la Vpn; Indirizzo IP: indirizzo IP pubblico del nodo di Torino; Algoritmo di cifratura: l algoritmo con cui verrà cifrato il traffico nella vpn (deve essere lo stesso per i entrambi i nodi); Key: impostare il tipo x509 ed inserire il valore Subject del certificato "torino"; Remote Gateway: inserire le reti private (IP e netmask) collegate al gateway remoto; Local Gateway: inserire le reti private (IP e netmask) collegate al gateway locale; 3. a questo punto la Vpn sarà visibile nel pannello Sicurezza > Vpn. Da qui sarà anche possibile modificarne i dati e lo stato (on/off ). 13

14 Capitolo 2. Scenario ExtraNet 2.3. Configurazione della Politica VPNService sui nodi L ultimo passo di configurazione, da effettuare su entrambi i nodi, è quello di configurare le politiche in modo da permettere il traffico IPSEC. Basterà per questo portarsi nel pannello Firewall > Politiche ed impostare la politica VPNService su on. Per una politica di sicurezza più stringente è possibile impostare come Sorgente della politica l indirizzo IP del Gateway remoto. Infine riconfigurare il Firewall per attivare le nuove politiche premendo il pulsante Riconfigura nel pannello Firewall > Generale. Nota: la politica VPNService è già presente nelle configurazioni predefinite. Se non fosse in uso una configurazione predefinita sarà necessario creare la politica (vedere il manuale Petra Firewall). 14

15 Capitolo 3. Scenario RoadWarrior È possibile configurare il server Petra in modo tale che funga da secure gateway per client IPSec con indirizzo IP assegnato dinamicamente. Questa è la situazione tipica di PC client che si collegano ad Internet tramite un qualunque Internet Provider e hanno bisogno di accedere alle risorse all interno della LAN aziendale. La configurazione da realizzare è descritta nella figura che segue. Nota: Nel nostro esempio usiamo l indirizzo privato ; in generale questi indirizzi saranno indirizzi Internet pubblici. In questi casi è necessario utilizzare chiavi condivise tra più utenti, quindi dovrà essere generata un unica chiave, poi comunicata a tutti coloro che vorranno collegarsi al secure gateway. La seguente sezione illustra come configurare il server Petra e un PC Client utilizzando il software SSH Sentinel (versione 1.3 per Windows), il quale permette di creare connessioni VPN da macchine Windows. Il software può essere scaricato direttamente dal sito del produttore: ( Configurazione del Petra Gateway In questa sezione si dà per scontato che sia stata creata una CA e che esista già un certificato per il nodo costituito dal Petra Gateway (vedi la Sezione 2.1). Procedere quindi nel modo seguente: 1. selezionare il pannello Sicurezza > Certificati e premere il pulsante Aggiungi per creare un nuovo certificato da utilizzare sul PC client; inserire quindi i dati richiesti e premere il pulsante Conferma; 15

16 Capitolo 3. Scenario RoadWarrior 2. selezionare il pannello Sicurezza > Certificati: verranno visualizzati i certificati presenti sul nodo, compreso quello appena generato; 3. da questo pannello selezionare il link Esporta del certificato mobile per esportare il certificato in formato p12. Sarà necessario inserire la password della CA ed inserire una password arbitraria necessaria poi per importare il certificato; 4. selezionare il pannello Sicurezza > Certificati e selezionare il certificato appena creato; verranno visualizzati tutti i dati del certificato; prendere nota, per esempio copiandolo negli appunti (scelta 16

17 Capitolo 3. Scenario RoadWarrior consigliata), del valore Subject che sarà necessario al passo successivo; 5. selezionare il pannello Sicurezza > Vpn e premere il pulsante Aggiungi per creare la Vpn; inserire quindi i seguenti dati: Nome: un nome arbitrario per la Vpn; Abilitato: da selezionare per attivare la Vpn; Indirizzo IP: un IP generico ( ) che identifica i client mobili; Algoritmo di cifratura: l algoritmo con cui verrà cifrato il traffico nella vpn (deve essere lo stesso per i entrambi i nodi); Nat Traversal: se si desidera abilitare il Nat Traversal selezionare questa opzione; Key: impostare il tipo x509 ed inserire il valore Subject del certificato prelevato al passo precedente, per esempio incollandolo dagli appunti (scelta consigliata); Remote Gateway: lasciare vuoto; in questo scenario non si accede a reti remote ma si permette l accesso alla rete locale specificata in Local Gateway; Local Gateway: inserire le reti private (IP e netmask) collegate al gateway locale; 17

18 Capitolo 3. Scenario RoadWarrior 6. a questo punto la Vpn sarà visibile nel pannello Sicurezza > Vpn. Da qui sarà anche possibile modificarne i dati e lo stato (on/off ). 7. Se si desidera configurare il Nat Traversal selezionare il pannello Sicurezza > Vpn > Configurazione avanzata ed inserire le reti private dalle quali accettare connessioni; 18

19 Capitolo 3. Scenario RoadWarrior 3.2. Configurazione della Politica VPNService sul Gateway L ultimo passo di configurazione da effettuare è quello di configurare le politiche in modo da permettere il traffico IPSEC. Basterà per questo portarsi nel pannello Firewall > Politiche ed impostare la politica VPNService su on. Infine riconfigurare il Firewall per attivare le nuove politiche premendo il pulsante Riconfigura nel pannello Firewall > Generale. Nota: la politica VPNService è già presente nelle configurazioni predefinite. Se non fosse in uso una configurazione predefinita sarà necessario creare la politica (vedere il manuale Petra Firewall) Configurazione del PC Client In questo capitolo verranno indicati i passi da seguire per importare la chiave e successivamente creare una nuova connessione IPSEC sul PC Client. Nell esempio si fa riferimento al software SSH Sentinel; per maggiori dettagli consultare la guida utente del prodotto. Per importare il certificato procedere nel modo seguente: 1. aprire il Policy Editor che si trova all interno del gruppo di programmi SSH Sentinel ed è richiamabile mediante il menù di SSH Sentinel selezionando la voce Run Policy Editor; 19

20 Capitolo 3. Scenario RoadWarrior 2. selezionare il menù Key Management > Trusted Certificates > Certification Authorities e premere il pulsante Add; 20

21 Capitolo 3. Scenario RoadWarrior impostare il tipo file PCKS #12 certificate file (*.pbx, *.p12) e selezionare il file contenente il certificato esportato (mobile); quindi premere Apri; inserire la password di archivio (utilizzata nell export) e premere Ok; verrà chiesta conferma per l importazione del certificato; per verificare che il certificato sia quello corretto è possibile visualizzarne i dettagli premendo su View; verrà chiesta conferma per l importazione del certificato della CA; per verificare che il certificato sia quello corretto è possibile visualizzarne i dettagli premendo su View; 3. dopo l import il sistema mostra la nuova CA e il novo certificato, col nome host.dominio del nodo che ha eseguito l export 21

22 Capitolo 3. Scenario RoadWarrior 4. dal Policy Editor selezionare il menù Security Policy > VPN Connections e premere il pulsante Add; inserire quindi i seguenti valori: Gateway IP address: IP pubblico del Gateway; Remote network: premere il pulsante sulla destra e quindi il pulsante New per creare l oggetto "Rete Privata" con i dati della Rete Privata del Gateway; 22

23 Capitolo 3. Scenario RoadWarrior Authentication key: selezionare il certificato importato; Selezionare il pulsante Properties; 23

24 Capitolo 3. Scenario RoadWarrior dal nuovo menù selezionare il pulsante Settings della sezione IPSec/IKE proposal e settare 3DES come Encryption Algorithm nella sezione IKE proposal e IPSec proposal; 24

25 Capitolo 3. Scenario RoadWarrior 5. confermare i dati fino a ritornare al menù Vpn Connection, che mostra la nuova VPN. Quindi premere il pulsante Applica per aggiornare la Policy. 25

26 Capitolo 3. Scenario RoadWarrior 6. Nat Traversal: per attivare il Nat Traversal è necessario: spuntare la casella Acquire virtual IP address; accedere al pannello di configurazione relativo premendo il pulsante Settings...; selezionare la configurazione manuale; inserire l IP desiderato; Nota: la netmask ha due limitazioni non può essere ; 26

27 Capitolo 3. Scenario RoadWarrior non può essere più grande di quella indicata sul server (ad esempio se sul server si usa una netmask , sul client non si può usare una netmask ); 7. attivare infine la Vpn tramite il menù di SSH Sentinel: portarsi su Select VPN e selezionare la VPN appena creata; 27

28