Ipsec

وضعك مزري ...

ال IPSec خاصية تفعل على الأجهزه ... بمعنى ... استخدامه ينحصر بعمل Secure Communication بين عدة أجهزه من خلال Preshared Key أو Certificate ....

ميزة ال IPSec أنه يضمن لك عزل تام للأجهزة المفعل عليها ال IPSec ولا يستطيع أحد رؤية الأجهزه أو الوصول لها لا من خلا Sharing ولا Ping ولا يحزنون ما لم تقم بالتعريف عن نفسك باستخدام Preshared Key أو Certificate كما ذكرت سابقا.

أما مسألة أين يطبق ال IPSec ... ببساطه على أي جهاز تريد أن تضمن أمان الاتصال به ... سواء كان الاتصال خلال نفس ال LAN أو من VLAN أخرى أو WAN أو حتى Over Internet.

أنا أيضا اعمل على هذا الموضوع لحماية الشبكة عندى واغلب الشروح التى وجدتها لم تستوفى الموضوع بالشكل الذى أريده ولم يتبقى امامى إلا دروس cbt nuggets لعلى اجد فيها شرح وافى للمسألة .

والله المستعان

صباحاً حوالي الساعة 5 كنت أفرك عيني من التعب وأنا أقرأ ثم قلت لأجرب الـ policies الافتراضية الموجودة فعملت assign للـ Server policy على السيرفر و Client (respond only) على الـ Client فانقطع الاتصال بعد أن عملت release/renew للـ IP :)

الطريقة لم تعمل لا على Kerberos ولا باستخدام preshared key :(

طبعاً قمت بفتح البورتات والبروتوكولات المطلوبة في ISA لكن لم تحل المشكلة :(

هو أنا كل ما أبحث عنه هو كيفية استثمار IPSec لمنع Cain من عمل sniffing لكل شئ من السيرفر (أنا ملزم بتثبيته من فوق فوق فوق <_<) خليك معي شوي وبطل تطلع لفوق..

فكيف أقوم بهذا بأبسط صورة ممكنة التعقيد غير مطلوب :(

يبدو أن الموضوع كبير ! <_<

X لا تنسانى حينما تعرف كيف تطبقها عندك بـ lan

لم اجرب هذين الاثنين وانما قمت بعمل rules بما يناسبنى بناء على ما تعلمته ، لهذا ساخبرك بما اعتقده لعله يساعدك راجع الـ IP filter list و filter action داخل الـ secure server .

كذلك من تجربتى بعد تطبيقه على جهازين شعرت ببطء ملحوظ فى الشبكة وفى تصفح الانترنت .

والله اعلم

بالنسبة للـARP Spoofing من خلال برامج كـCain: الحل المثالي في هذه الحالة هو استخدام Dynamic ARP Inspection (DAI) مع DHCP Snooping لبناء قاعدة بيانات ديناميكية لـDAI تحتوي على IP to switch port mapping. ادخل هذا الرابط لكيفية التطبيق: http://www.cisco.com/en/US/docs/switches/l...e/swdynarp.html

بالنسبة للـIPSec ممكن تطبقه وتحل المشكلة بالتشفير لكن سيظهر بطئ على الشبكة، وهذا البطئ سببه التشفير في الأجهزة ويعتمد على قوة معادلة التشفير. ممكن تشتري بطاقة هاردوير تقوم بالتشفير بالهاردوير على السيرفرات المرغوبة لكن لا أنصحك لأنه صداع على الفاضي وخاصة DAI يحل لك المشكلة بطريقة أخرى على مستوى الشبكة دون تطبيقها على مستوى الأجهزة.

الـIPSec يكون إما Transport Mode أو Tunnel Mode. في كلا الحالتين يجب تفعيل IPSec على الأجهزة التي ترغب بالتشفير. لكن في الحالة الأولى الخادمات التي ليس لها علاقة، مثل تصفح موقعل Google لن تعمل إلا إذا كانت Google مفعلة الخاصية علشانك (طبعا صعب الحدوث وشبه مستحيل) أو أنك تخرج Google من دائر التشفير وبالتالي تكون الحوارات قابلة للتجسس من خلال ِARP Spoofing بـCain أو غيره. اما الحالة الثانية تستخدم IPSec Gateway وميزته أنك إذا أردت تدخل Google مثلا بطريقة مشفرة في الـLAN فالترافك يمر على الـIPSec Gateway بطريقة مشفرة، وثم يقوم بفك التشفير وثم إرساله إلى شبكة الإنترنت دون تشفير ليسهل للعالم الخارجي التواصل.

ببساطة شديدة التشفير في الـTransport Mode يتم على البكت نفسه الذي أنت ترسله. بينما الـTunnel Mode التشفير لا يتم على البكت الأساسي، إنما يتم تغليف البكت الأساسي في بكت آخر (بكت تابع للـTunnel - ممكن يكون GRE أو غيره) وثم يتم تشفير البكت الخارجي والذي يحتوي البكت الأساسي في بطنه.

لهذا السبب تفعيل الـIPSec policy على جهاز واحد سيؤدي إلى عدم القدرة على الإتصال مع أي جهاز آخر عبر الشبكة. حتى يعمل الـIPSec أقل شيء لازم تفعيله على جهازين. فالقضية هي تشفير وفك تشفير.

الأساسيات سهلة نسبيا، والشيء الوحيد الذي سيتشعب معك هو عندما تدخل مع IKE والتخاطب الآلي الدوري لإيجاد كلمات السر لبناء وهدم الـsecurity association بالـDiffie-Hellman و phase 1 و phase 2.

ربما ستكون صدمة بالنسبة لك لكن صدقني في النهاية القضية بسيطة جدا فنحن في النهاية نتعامل مع واجهة رسومية أو أوامر دون أي علم بالمعادلات الحسابية للتشفير. لكن مثلما قلت لك جرب تطبق DAI + DHCP Snooping قبل الـIPSec فهو افضل في مثل هذه الحالة.

شكراً لك أخي eech55 لكن عندي سؤال هل طريقة DAI مقتصرة على سويتشات سيسكو في التنفيذ؟

لا شكر على واجب. Cisco تقدمها لكنها ليست محتركة فـ Juniper توفرها أيضا. http://www.juniper.net/techpubs/en_US/juno...-same-vlan.html

آلية عمل DِAI ببساطة هو deep inspection داخل أي ARP Reply packet و معاينة الـIP address داخل الـPayload. وثم يسأل السوتش نفسه السؤال التالي: هل هذا الـIP موجود على هذا المنفذ الذي من خلاله استقبلت البكت فعلا أم أن الجهاز على هذا المنفذ يخدعني؟ وحتى يحصل على الجواب توجد طريقتين:

- انشئ قاعدة بيانات لكل منفذ بطريقة يدوية (صعبة في بيئة DHCP وتجلب الصداع)

- استخدم DHCP Snooping للحصول على هذه المعلومة.

ومع الـDHCP Snooping ببساطة السوتش يقوم بمعاينة الـDHCP بكتس ومن خلالها يقوم بمعرفة كل منفذ استقر على أي IP address بطريقة ديناميكية.

وهذه الآليات لا أتوقع أن عليها patent حتى تكون مقتصرة على أي شركة. الآليات كلها جزء من الـdeep inspection لكن بخواص محدودة لتوفير حماية في مجال محدد.

أههه

أكس هل وصلت إلى شئ !!

المشكلة أخي eech55 أن السويتش المستخدم ASUS حتى manual جيد له لم أجد.

@نور:

لم أتابع بعد يا نور، هذه فترة امتحانات لكن قريباً إن شاء الله.

Xacker كتب:

المشكلة أخي eech55 أن السويتش المستخدم ASUS حتى manual جيد له لم أجد.

لم أتعامل مع ASUS switches قط. لكن أعطني اسم الموديل وعدد المنافذ والسرعات، وسأجوجلها لك وفي نفس الوقت أعتبر نفسي مستفيدا بالتعلم.

اذا كانت البيئة صغيرة ممكن تستخدم static ARP entries في أجهزة الشبكات التي تتعامل مع بعضها البعض. ميزة الـstatic ARP انها لا تتغير بالـGratuitous ARP (والذي هو ARP Reply دون request مسبق أو ARP Request لكن محتواه ARP announcement) التي يرسلها Cain

Cain أيضا في نفس الوقت يقوم بإرسال ICMP redirection، لذا عليك التأكد أن هذه الخاصية غير مفعلة على أجهزة المستخدمين والشبكات.

أيضا من طرق الـsniffing أن الـمخترق يقوم بإرسال frames مع random source mac address حتى يتملئ الـmac address table في السوتش وبالتالي المدخلات القديمة ستُنسى على حساب المدخلات الجديدة الـrandom التي تسبب ادخالها المخترق وبالتالي سيعمل الوتس كـHub يسهل على الsniffing. لحل هذه المشكلة إذهب إلى السوتش وعين حد أقصى لعدد الـmac address التي يمكن تعلمها من كل منفذ. اختار رقم 1 أو 2 جيد في معظم الحالات، لكن اذا كان المنفذ يعتبر trunk أو مشبوكا بسوتش آخر حينها يجب أن يكون أكثر.

اذا كان الـASUS سوتش لا يدعم هذه الخواص أو بعضها (بالرغم أنها طرق بسيطة وممكن للمخترق المبتدئ تنفيذها) ففي نظري 1) اشتري سوتش آخر 2) كمل مسيرة الـIPSec.

سبب التعديل: رد غير مكتمل متسرب