Linux IPsec - více SA pro stejnou protistranu

[PeBo]

Problém je následující: mám několik IPsec policy (s různým rozsahem adres, protokolem, apod.), které definují různé virtuální sítě, ovšem které vedou na stejný fyzický transport, tedy na stejný pár IP adres. Normálně použijí všechny tyto sítě stejné SA (to, které se použije, je vybráno podle IP adres). Potřeboval bych, aby bylo možné určit více SA (s různými parametry, např. klíči) pro stejný pár IP adres a příslušné SA by bylo vybráno třeba podle SPI (nebo nějakým jiným způsobem podle příslušné policy).

Existuje řešení tohoto problému?

[Reklama]

[PCnity]

Hello,

Pokial pouzivas OpenSwan/StrongSwan, pouzi miesto len klasickych left=x.x.x.x a right=y.y.y.y este aj leftid=@idxxx a ricghtid=@idyyy Tak isto pridefinovani x509 alebo PSK pouzijes mena a nie IP adresy.

Aj ked v tom neveidim zmysel, mozes mat medzi dvoma hostami viacero SA a idetifikuju sa podla mien ktore mozu byt uplne vymyslene.

Normalne by bestpractice odporucal pouzit hostname, nie je to vsak vobec podmienka. Moze to byt @mickeymouse1 napriklad

[PCnity]

conn XXXX
        rightid=@PrveID
        right=IP
        rightsubnet=Subnet
        leftid=@InyNazov
        left=IP
        leftsubnet=Subnet
        pfs=yes
        esp=aes256-sha1
        ike=aes256-sha1-modp2048!
        authby=secret
        keyingtries=0
        keylife=8640s
        ikelifetime=10000s
        disablearrivalcheck=no
        auto=start

a potom definujes podla toho PSK:

@PrveID   @InyNazov   : PSK "xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx"

[PeBo]

Hello,

Pokial pouzivas OpenSwan/StrongSwan, pouzi miesto len klasickych left=x.x.x.x a right=y.y.y.y este aj leftid=@idxxx a ricghtid=@idyyy Tak isto pridefinovani x509 alebo PSK pouzijes mena a nie IP adresy.

Díky za odpověď. O to tady ale nejde. Identifikace stran v IKE je něco jiného. Já se ptám, zda jádro danou věc podporuje (nebo ev. zda ji může nějak podporovat). Výběr příslušného SA dělá jádro při routování, jakékoli IKE "pouze" připravuje půdu pro tento výběr.

[PCnity]

A ako vizera ten setup teraz? Ak som spravne pochopil dotaz, ide len o to mat pre rovanky par IP adries viacero SA. Cize hoci aj ine PSK, ine P1 parametre, etc... V com je problem?

[Reklama]