Petra VPN 2.7. Guida Utente

Petra VPN 2.7 Guida Utente

Petra VPN 2.7: Guida Utente Copyright 1996, 2001 Link s.r.l. (http://www.link.it) Questo documento contiene informazioni di proprietà riservata, protette da copyright. Tutti i diritti sono riservati. Non è permesso riprodurre e/o distribuire copie di questo documento senza preventiva ed esplicita autorizzazione di Link SRL. Link SRL non fornisce garanzie di nessun tipo circa le informazioni contenute in questo documento, comprese e non sole, le garanzie implicite di commerciabilità e uso per scopi specifici. Link SRL non è responsabile per gli errori contenuti in questo documento o per i danni accidentali conseguenti all uso di questo materiale. Tutti i nomi dei prodotti menzionati in questo documento sono posseduti dai rispettivi proprietari.

Sommario Introduzione... 4 1. Come realizzare una VPN tra due Server Petra... 5 1.1. Configurazione del primo Server Petra (10.0.1.1)... 5 1.2. Configurazione del secondo Server Petra (10.0.2.1)... 12 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet... 18 2.1. Configurazione del Petra Gateway (10.0.1.1)... 18 2.2. Configurazione del PC Client... 21 3

Introduzione Scopo di questo documento è mettere rapidamente il lettore in condizione di configurare una Rete Virtuale Privata, usando il modulo VPN per i prodotti Petra Internet Presence o Petra Internet Firewall. Il documento descrive i seguenti due scenari: come realizzare una VPN tra due server Petra; come collegarsi in VPN alla propria rete interna da una postazione in Internet. Per ulteriori informazioni sul modulo VPN si rimanda alla sezione VPN della Guida di Riferimento di Petra Windows Client. 4

Capitolo 1. Come realizzare una VPN tra due Server Petra Il nostro scopo è quello stabilire una rete privata virtuale (VPN) che permetta alle reti interne di comunicare in maniera sicura attraverso la rete Internet. La configurazione da realizzare è descritta nella figura che segue. Nota: nel nostro esempio usiamo gli indirizzi privati 10.0.0.1 e 10.0.2.1; in generale questi indirizzi saranno indirizzi Internet pubblici. Nelle prossime due sezioni descriviamo i passi necessari per la configurazione dei due VPN gateway in figura. 1.1. Configurazione del primo Server Petra (10.0.1.1) Dopo essersi collegati al server 10.0.1.1 con il Petra Windows Client, selezionare Security->Vpn:Keys 5

Capitolo 1. Come realizzare una VPN tra due Server Petra Bisogna ora generare una chiave di tipo FullRSA della lunghezza desiderata. Per fare questo è necessario: 1. premere Add; 2. Scegliere un nome per la chiave che verrà generata, ad esempio torino; 3. Selezionare il tipo di chiave FullRSA; 4. Selezionare dal campo Length la lunghezza della chiave (si consiglia maggiore di 768 bit); 5. premere Apply per confermare l operazione. Nota: su macchine lente e/o molto utilizzate la generazione di una chiave di tipo FullRSA può richiedere anche qualche minuto. Il sistema, per ogni chiave di tipo FullRSA, genera automaticamente anche una chiave di tipo Pub RSA. Per comodità è possibile generare le chiavi da utilizzare nei vari nodi della VPN sullo stesso server, provvedendo in seguito all esportazione delle stesse sui server remoti. Nel nostro caso possiamo procedere a generare una seconda chiave (napoli) che copieremo in seguito sul server con indirizzo IP 10.0.2.1. 6

Capitolo 1. Come realizzare una VPN tra due Server Petra Generate le chiavi, spostiamoci sul pannello General per assegnare la chiave torino appena creata al server Petra. 1. Scegliere da RSA Key la chiave che si intende utilizzare, nel nostro esempio torino.fullrsa; 2. quindi premere il pulsante Apply per confermare l operazione; 7

Capitolo 1. Come realizzare una VPN tra due Server Petra A questo punto è necessario esportare le chiavi da utilizzare sui secure gateway remoti. Nel nostro caso è sufficiente procedere con l esportazione delle seguenti chiavi: torino.pubrsa, necessaria per consentire ad altri secure gateway di stabilire comunicazioni sicure con il nostro server; napoli.fullrsa, che dovrà essere utilizzata sul secure gateway con IP 10.0.2.1 nel pannello Vpn->General come chiave RSA del server. Per fare questo sarà sufficiente selezionare le chiavi che si intendono esportare e premere il pulsante: Premere il pulsante Apply per confermare l operazione; 8

Capitolo 1. Come realizzare una VPN tra due Server Petra A questo punto si rende necessario copiare le chiavi appena esportate sui secure gateway di destinazione. Le procedure sono diverse, a seconda se si dispone o meno di un collegamento di rete con il server Petra remoto. 1. In caso si abbia il collegamento di rete si può procedere come segue: a. loggarsi come root sul proprio server Petra; b. posizionarsi nella directory /opt/petra/data/vpn/external-keys; c. utilizzando il comando scp, già presente sul sistema Petra, copiare i file desiderati nella directory /opt/petra/data/vpn/external-keys del Petra server remoto. La figura seguente riassume i passi da compiere: 9

Capitolo 1. Come realizzare una VPN tra due Server Petra 2. Nel caso in cui non si disponga del collegamento di rete, possiamo copiare le chiavi su un supporto fisico, quale un floppy disk. a. loggarsi come root al server Petra; b. posizionarsi nella directory /opt/petra/data/vpn/external-keys; c. inserire un floppy disk nel drive a dischetti; d. copiare le chiavi desiderate sul dischetto utilizzando il comando mcopy, già presente sul sistema Petra. La figura seguente riassume i passi da compiere: Vedremo in seguito come importare sui server remoti le chiavi appena copiate. Siamo ora in grado di poter configurare un collegamento andando nella sezione Vpn->Nodes. Nota: nel caso in cui dovessimo collegare il nostro server a secure gateway remoti di cui non possediamo ancora le chiavi pubbliche, dovremmo prima importare tale chiavi con la procedura descritta più avanti. 10

Capitolo 1. Come realizzare una VPN tra due Server Petra Occupiamoci ora della creazione della connessione con il server Petra remoto (IP 10.0.2.1), spostandoci nel pannello Vpn->Nodes. Procediamo come descritto di seguito: 1. clicchiamo su Add per aggiungere una nuova connessione; 2. inseriamo in Name il nome scelto per questa connessione (es. napoli); 3. selezioniamo in Key la chiave di crittografia che vogliamo utilizzare per questa connessione (deve corrispondere alla parte pubblica della chiave RSA utilizzata dal secure gateway remoto). Nel nostro caso useremo napoli.pubrsa; 4. Specifichiamo in IP Address l indirizzo IP del secure gateway con il quale vogliamo stabilire la connessione sicura (nel nostro caso 10.0.2.1); 5. abilitiamo il pulsante Enable nella sezione Node Gateway e aggiungiamo le reti per il quale il server remoto funge da secure gateway: 11

Capitolo 1. Come realizzare una VPN tra due Server Petra 6. abilitiamo quindi il pulsante Enable nella sezione Local Gateway ed indichiamo le reti per le quali il nostro server funge da secure gateway: 7. Premiamo Apply per confermare i dati. Terminata l operazione, il pannello Nodes si presenterà come nella figura seguente. Una volta configurato il server Petra remoto, sarà sufficiente premere Up per stabilire il canale di comunicazione sicuro. 12

Capitolo 1. Come realizzare una VPN tra due Server Petra 1.2. Configurazione del secondo Server Petra (10.0.2.1) Dopo essersi collegati al server 10.0.2.1 con il Petra Windows Client, dovremo, come prima cosa importare le chiavi esportate. Se le chiavi sono state trasferite tramite floppy disk sarà necessario compiere i seguenti passi: 1. loggarsi come root al server Petra; 2. copiare le chiavi nella directory /opt/petra/data/vpn/external-keys con il comando mcopy, come segue: mcopy a:napoli.fullrsa /opt/petra/data/vpn/external-keys/ mcopy a:torino.pubrsa /opt/petra/data/vpn/external-keys/ 13

Capitolo 1. Come realizzare una VPN tra due Server Petra Nota: dopo la copia può essere necessario premere Reset per visualizzare nel Petra Client le chiavi appena copiate nella directory specificata. Fatto questo, possiamo procedere ad importare le chiavi, come di seguito descritto. 1. selezionare la chiave che si intende importare tra quelle elencate nella finestra External Keys; 2. premere il pulsante: per spostare la chiave tra quelle gestite dal server Petra; 3. una volta terminato di importare tutte le chiavi necessarie, confermare l operazione premendo il pulsante Apply. Verifichiamo che la chiave sia stata importata correttamente assicurandoci che compaia nella lista delle Internal Keys. 14

Capitolo 1. Come realizzare una VPN tra due Server Petra Per maggior sicurezza controlliamo che compaia anche nel pannello Keys: 15

Capitolo 1. Come realizzare una VPN tra due Server Petra Dobbiamo quindi assegnare al server Petra la chiave FullRSA appena importata. Per fare questo operiamo come già visto in precedenza: 1. selezioniamo da RSA Key la chiave fullrsa che si intede utilizzare (napoli.fullrsa); 2. confermiamo l operazione premendo Apply. Non resta ora che configurare nel pannello Vpn->Nodes una connessione speculare a quella creata sul precedente server Petra, quindi utilizzando i dati seguenti: 1. Name, torino (la scelta è libera); 2. Key, torino.pubrsa (parte pubblica della chiave RSA utilizzata sul server Petra remoto); 3. IP Address, 10.0.1.1 (indirizzo IP pubblico del server Petra remoto); 4. abilitiamo Node Gateway inserendo l indirizzo della rete remota alla quale si vuole accedere (192.168.1.0/255.255.255.0); 5. abilitiamo Local Gateway inserendo l indirizzo della rete che il nostro server permette di raggiungere (192.168.2.0/255.255.255.0). 16

Capitolo 1. Come realizzare una VPN tra due Server Petra Spostando il servizio in UP verrà quindi stabilito tra i due nodi un canale di comunicazione protetto ed autenticato. 17

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet È possibile configurare il server Petra in modo tale che funga da secure gateway per client IPSec con indirizzo IP assegnato dinamicamente. Questa è la situazione tipica di PC client che si collegano ad Internet tramite un qualunque Internet Provider e hanno bisogno di accedere alle risorse all interno della LAN aziendale. La configurazione da realizzare è descritta nella figura che segue. Nota: Nel nostro esempio usiamo l indirizzo privato 10.0.1.1; in generale questi indirizzi saranno indirizzi Internet pubblici. In questi casi è necessario utilizzare chiavi condivise tra più utenti, quindi dovrà essere generata un unica chiave, poi comunicata a tutti coloro che vorranno collegarsi al secure gateway. La seguente sezione illustra come configurare il server Petra e un PC Client utilizzando il software SSH Sentinel (versione 1.3 per Windows), il quale permette di creare connessioni VPN da macchine Windows. Il software può essere scaricato direttamente dal sito del produttore: http://www.ssh.com/products/sentinel/pilot/ (http://www.ssh.com/products/sentinel/pilot/). 2.1. Configurazione del Petra Gateway (10.0.1.1) Come prima cosa, se non è stato già fatto, è necessario creare una chiave di tipo FullRSA e assegnarla al nostro server Petra. Per farlo è necessario: 1. selezionare Security->Vpn:Keys; 2. premere Add; 3. scegliere un nome per la chiave che verrà generata, ad esempio napoli; 4. selezionare il tipo di chiave FullRSA; 18

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 5. selezionare dal campo Length la lunghezza della chiave (si consiglia maggiore di 768 bit); 6. premere Apply per confermare l operazione. Per assegnare la chiave generata al server petra è necessario: 1. selezionare Security->Vpn:General; 2. scegliere da RSA Key la chiave nel nostro esempio napoli.fullrsa; 3. quindi premere il pulsante Apply per confermare l operazione. Fatto ciò, è necessario creare una chiave di tipo shared dal pannello Vpn->Keys: 1. premere Add, quindi indicare in Name un nome da attribuire alla chiave (ad esempio psk); 2. come Type scegliere Shared; 3. premere Set Passphrase e digitare due volte la password prescelta come chiave condivisa; 4. premere Apply per confermare l operazione. Spostiamoci ora nel pannello Vpn->Nodes per abilitare la connessione al server dai client IPSec con indirizzo IP dinamico. 19

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 1. premere Add; 2. immettere in Name il nome con il quale volete indicare questa connessione (es. tutti); 3. selezionare psk.shared nel campo key; 4. in IP Address indicare il valore 0.0.0.0; 5. abilitare quindi il pulsante Enable nella sezione Local Gateway ed indicare le reti per le quali il nostro server funge da secure gateway: 6. confermare l operazione premendo Apply. A questo punto non resta che premere Up per attivare il servizio IPSec. Il server Petra è pronto ad accettare connessioni dai PC in Internet che possegano la chiave condivisa. 20

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 2.2. Configurazione del PC Client Per configurare il PC client si consiglia di usare il software SSH Sentinel. In questo capitolo verranno indicati i passi da seguire per creare una chiave e successivamente una nuova connessione. Per maggiori dettagli consultare la guida utente del prodotto. Aprire il Policy Editor che si trova all interno del gruppo di programmi SSH Sentinel: creare una chiave di tipo PSK necessaria per autenticarsi nei confronti del server Petra. Ovviamente la chiave creata dovrà essere identica a quella creata precedentemente sul server Petra. Per fare questo: 1. selezionare la sezione Key Managment, quindi selezionare My Keys e fare doppio click sulla voce Add... per far partire la procedura guidata che vi aiuterà nella generazione della chiave; 2. selezionare Create a preshared key e fare click su Avanti; 21

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 3. inserire quindi un identificativo per la nuova chiave nel campo Name, quindi digitare due volte la chiave nei campi Shared secret e Confirm shared secret; 4. quindi confermare facendo click sul pulsante Fine; 5. ricordarsi di attivare le modifiche facendo click sul pulsante Applica del Policy Editor; creare una nuova connessione VPN. Per fare questo è necessario: 1. posizionarsi nella sezione Security Policy, scegliere VPN Connections, quindi fare doppio click sulla voce Add... per far partire la procedura guidata che vi aiuterà nella creazione della connessione VPN; 22

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 2. indicare nel campo Gateway IP address l indirizzo IP del server Petra (10.0.1.1), assicurarsi che nel campo Authentication Key sia selezionata la chiave creata precedentemente e selezionare il campo Use legacy proposal; premere [...] per accedere al Network Editor dove si potrà definire la rete privata alla quale si vuole accedere: 3. selezionare New nel Network Editor per definire un nuovo indirizzo di rete; nel campo Network name 23

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet inserire un identificativo a piacere (es. petra-lan), mentre nei campi IP address e Subnet mask inserire rispettivamente l indirizzo di rete e la relativa maschera di sottorete (es 192.168.1.0 e 255.255.255.0); selezionare OK per chiudere il Network editor e ritornare alla precedente schermata di definizione della VPN: 4. selezionare quindi dal menù Remote Network la rete appena creata (es. petra-lan), quindi confermare la scelta premendo OK: 5. nuovamente, per rendere effettive le modifiche, confermate con il pulsante Applica del Policy Editor; assicurarsi che la connessione sia stata creata correttamente, per fare questo seguire i seguenti passi: 24

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 1. fare doppio click sulla connessione VPN appena creata. Le proprietà dovranno apparire come segue: 2. verificate inoltre, premendo Settings della sezione IPSec / IKE proposal, che le scelte relative siano esattamente quelle elencate di seguito: 25

Capitolo 2. Come collegarsi in VPN alla propria rete interna da una postazione in Internet 3. confermate premendo OK e chiudete il Policy Editor dopo aver attivato le modifiche facendo click sul pulsante Applica del Policy Editor. È ora possibile collegarsi al server Petra tramite un canale di comunicazione sicuro IPsec. Per attivare la VPN selezionare, con il tasto destro del mouse, l icona del programma SSH Sentinel sulla barra degli strumenti e selezionare dal menù Select VPN la connessione al server Petra. 26