|
ru.unix.bsd
- RU.UNIX.BSD ------------------------------------------------------------------
From : Slawa Olhovchenkov 2:5030/500 28 May 2005 13:27:54
To : Valentin Nechayev
Subject : ipsec по ханбуку
--------------------------------------------------------------------------------
28 May 05, Valentin Nechayev writes to Slawa Olhovchenkov:
SO>> Hа самом деле там возможна еще вот такая конструкция:
SO>> spdadd 0.0.0.0/0 0.0.0.0/0 ipencap -P out ipsec esp/transport//require;
SO>> которой достаточно одной на все туннели, если некриптованных нету.
VN> Слишком специфическое условие ("некриптованных нету"), как по мне.
Значит вычеркиваем.
SO>> Далее, из замеченного. у racoon насколько я понял поддержка
SO>> кончается,
SO>> да и работает он не очень, насколько я понял из отзывов. Hеплохо бы
SO>> добавить описание того, как работать на статических ключах.
VN> racoon глюкала та ещё.
Значит вписываем.
VN> Вообще чем дальше тем хуже у меня впечатление от IPSec. IKE - ни
VN> нормальных
VN> стандартов (кое-как продвигают в RFC устаревшие на ходу варианты), ни
VN> нормальных реализаций (racoon глюкала, isakmpd настроить требуется
VN> умище как у Ленина). В ядре - линейность списка SPD (требуемая по RFC,
VN> к сожалению) и отсутствие нумерации правил у setkey; вечные проблемы с MTU,
VN> всплывающие в самой неподходящей позе и не леченные хронически;
Есть вполне неплохой вариант ifconfig gif0 mtu 1500.
VN> прямые дефекты реализации вроде того как я описывал - transport вокруг
VN> GRE туннеля убивает туннель при любом реальном ключе...
Последнее напомни?
VN> Hе выглядит эта технология как рабочая. Увы.
А что делать?! Везде она...
SO>> И не хватает замечания о том, что "/require;" означает что весь
SO>> некриптованный трафик между указанными в директиве адресами будет молча
SO>> дропаться.
VN> setkey это описывает, кажется. А бумажке в handbook я давно не верю.
Hу будет хоть одна нормальная бумажка
SO>> Кстати, куда нынче попадает трафик из ipsec? В файрвол или в ядро?
VN> Ты думаешь, они сами знают? :(
Так может тут знают.
... И какой-то Win95 будет мне указывать, когда комп выключать?!
--- GoldED+/BSD 1.1.5
* Origin: (2:5030/500)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
