diff --git a/ru_RU.KOI8-R/articles/checkpoint/article.sgml b/ru_RU.KOI8-R/articles/checkpoint/article.sgml new file mode 100644 index 0000000000..2da3aa4ebb --- /dev/null +++ b/ru_RU.KOI8-R/articles/checkpoint/article.sgml @@ -0,0 +1,454 @@ +<!-- + The FreeBSD Russian Documentation Project + + $FreeBSDru: frdp/doc/ru_RU.KOI8-R/articles/checkpoint/article.sgml,v 1.2 2004/01/10 08:44:33 andy Exp $ + + Original revision: 1.18 +--> + +<!-- Copyright (c) 2001 The FreeBSD Documentation Project + + Redistribution and use in source (SGML DocBook) and 'compiled' forms + (SGML, HTML, PDF, PostScript, RTF and so forth) with or without + modification, are permitted provided that the following conditions + are met: + + 1. Redistributions of source code (SGML DocBook) must retain the above + copyright notice, this list of conditions and the following + disclaimer as the first lines of this file unmodified. + + 2. Redistributions in compiled form (transformed to other DTDs, + converted to PDF, PostScript, RTF and other formats) must reproduce + the above copyright notice, this list of conditions and the + following disclaimer in the documentation and/or other materials + provided with the distribution. + + THIS DOCUMENTATION IS PROVIDED BY THE FREEBSD DOCUMENTATION PROJECT "AS + IS" AND ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, + THE IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR + PURPOSE ARE DISCLAIMED. IN NO EVENT SHALL NIK CLAYTON BE LIABLE FOR ANY + DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL + DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS + OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION) + HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, + STRICT LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN + ANY WAY OUT OF THE USE OF THIS DOCUMENTATION, EVEN IF ADVISED OF THE + POSSIBILITY OF SUCH DAMAGE. +--> + +<!DOCTYPE article PUBLIC "-//FreeBSD//DTD DocBook V4.1-Based Extension//EN" [ +<!ENTITY % man PUBLIC "-//FreeBSD//ENTITIES DocBook Manual Page Entities//EN"> +%man; +<!ENTITY legalnotice SYSTEM "../../share/sgml/legalnotice.sgml"> + +<!ENTITY % trademarks PUBLIC "-//FreeBSD//ENTITIES DocBook Trademark Entities//EN"> +%trademarks; +]> + +<article> + <articleinfo> + <title>���������� FreeBSD IPsec � Check Point <trademark + class='registered'>VPN-1</trademark>/<trademark + class='registered'>Firewall-1</trademark></title> + + <authorgroup> + <author> + <firstname>Jon</firstname> + + <surname>Orbeton</surname> + + <affiliation> + <address><email>jono@securityreports.com</email></address> + </affiliation> + </author> + + <author> + <firstname>Matt</firstname> + + <surname>Hite</surname> + + <affiliation> + <address><email>mhite@hotmail.com</email></address> + </affiliation> + </author> + </authorgroup> + + <pubdate>$FreeBSD$</pubdate> + + <copyright> + <year>2001, 2002, 2003</year> + + <holder role="mailto:jono@securityreports.com">Jon Orbeton</holder> + </copyright> + + &legalnotice; + + <legalnotice id="trademarks" role="trademarks"> + &tm-attrib.freebsd; + &tm-attrib.check-point; + &tm-attrib.general; + </legalnotice> + + <abstract> + <para>� ���� ��������� �����������, ��� ��������� + <acronym>VPN</acronym>-�������������� ����� FreeBSD � + <trademark class='registered'>VPN-1</trademark>/ + <trademark class='registered'>Firewall-1</trademark> �������� + Check Point. � ������ ��������� ����������� ������ ����� ����������, + �� � ��� �� ���������� ����������, ����������� ��� VPN-1/Firewall-1 � + ��� ���������� � FreeBSD. ��� ����������� � ����������� ����� ���� + ������ ��� ����������� ��������.</para> + </abstract> + </articleinfo> + + <sect1 id="prerequisites"> + <title>�������� ������</title> + + <para>����� �������� ����� ������������ ����� � �����, � ������� �ģ� ���� + � ���� ���������.</para> + + <mediaobject> + <imageobject> + <imagedata fileref="networks"> + </imageobject> + + <textobject> + <literallayout class="monospaced"> ������� ��������� ������� ��������� + 208.229.100.6 216.218.197.2 + | | + +--> Firewall-1 <--> Internet <--> FreeBSD GW <--+ + | | +���� ��� ������� FW-1 ���������� ���� +199.208.192.0/24 192.168.10.0/24</literallayout> + </textobject> + + <textobject> + <phrase>���� FW-1 � ���� FreeBSD</phrase> + </textobject> + </mediaobject> + + <para>���� <acronym>GW</acronym> �� ������ FreeBSD ��������� � �������� + ����������� ������ � <acronym>NAT</acronym>-���������� ��� + <quote>���������� �����.</quote></para> + + <para>���� FreeBSD ������ ���� ��������� � ���������� IPsec. ��� ��������� + IPsec � ����� ���� ����������� ��������� ��������� ����:</para> + + <programlisting>options IPSEC +options IPSEC_ESP +options IPSEC_DEBUG</programlisting> + + <para>��� ��������� ���������� �� ���������� �������������� ����, + ���������� � <ulink + url="http://www.FreeBSD.org/doc/en_US.ISO8859-1/books/handbook/kernelconfig.html"> + ����������� �� FreeBSD</ulink>. ����������, ��������, ��� ����� ������� + <trademark class='registered'>Firewall-1</trademark> � + <acronym>GW</acronym> � FreeBSD ������ ���� ��������� ���������� + <acronym>IP</acronym> protocol 50 (<acronym>ESP</acronym>) � + <acronym>UDP</acronym> port <literal>500</literal>.</para> + + <para>����� ����, ��� ��������� ������ ������� ������ ���� ���������� + ����� <application>racoon</application>. + <application>Racoon</application> �������� ������ ��������� ������ + FreeBSD � ��������� � ������� <filename + role="package">security/racoon</filename>. ���� ������������ + <application>racoon</application> ����� ������ ���� � ���� + ���������.</para> + </sect1> + + <sect1 id="object"> + <title>��������� ������� �������� � Firewall-1</title> + + <para>������� � ��������� �������� Firewall-1. �������� �������� ������� + Policy Editor �� ������� ���������� Firewall-1 � �������� ����� ������� + ������ (Network Object) ���� <quote>Workstation</quote>, ������� ����� + ������������ ������ <acronym>GW</acronym> � FreeBSD.</para> + + <programlisting>General Tab: + Set name and IP address + +VPN Tab: + Encryption Schemes Defined: IKE ---> Edit + +IKE Properties: + Key Negotiation Encryption Methods: 3DES + +Authentication Method: + Pre-Shared Secret ---> Edit</programlisting> + + <para>�������� Firewall Object � ���������� ������� ��������� ������. (�� + ����������� ��� �� ������ �������.)</para> + + <programlisting>Support Aggressive Mode: Checked +Supports Subnets: Checked</programlisting> + + <para>����� ��������� ���������� ������ � ����������� �������� ������� + Firewall-1, ������� ���� ������ � ����� + <filename>/usr/local/etc/racoon/psk.txt</filename> � ������� FreeBSD �� + <acronym>GW</acronym>. ������ ����� <filename>psk.txt</filename> + �����:</para> + + <programlisting>208.229.100.6 rUac0wtoo?</programlisting> + </sect1> + + <sect1 id="rulecfg"> + <title>������������ VPN-������� � Firewall-1</title> + + <para>������ �������� � Firewall-1 �������, ���������� ���������� ����� + ������� <acronym>GW</acronym> � FreeBSD � �����, ����ݣ���� Firewall-1. + � ���� ������� ������ ���� ������ ������� �������, �����ۣ���� � ������ + ����� <acronym>VPN</acronym>.</para> + + <programlisting>Source | Destination | Service | Action | Track +------------------------------------------------------------------------ +FreeBSD GW | FW-1 Protected Net | VPN services | Encrypt | Long +FW-1 Protected Net| FreeBSD GW | | |</programlisting> + + <para><quote>VPN-���������</quote> �������� ����� ������� (�� ���� + <command>telnet</command>, <acronym>SSH</acronym>, + <acronym>NTP</acronym> � ��� �����), � ������� �����ۣ� ������ ���̣����� + ����� ����� <acronym>VPN</acronym>. ������ ����������� ��� ��������� + ��������; �����, ������������ ����� <acronym>VPN</acronym>, ���������� + ������������ ������������� ���������. ���������� ������� ����� ����� + ������ ���� ������ ������, ���� ����� �� ������ �� ����� �������� ������� + ��� �������.</para> + + <para>����� ��������� ������� ���������� ������ ����� ������� + <acronym>GW</acronym> � FreeBSD � �����, ����ݣ���� Firewall-1, + ����������� ��������� <quote>Action Encrypt</quote>.</para> + + <programlisting>Encryption Schemes Defined: IKE ---> Edit +Transform: Encryption + Data Integrity (ESP) +Encryption Algorithm: 3DES +Data Integrity: MD5 +Allowed Peer Gateway: Any or Firewall Object +Use Perfect Forward Secrecy: Checked</programlisting> + + <para>������������� ���������� Perfect Forward Secrecy + (<acronym>PFS</acronym>) �������� ��������������. ��������� + <acronym>PFS</acronym> ������� �ݣ ���� ������� ������������ �� ������ + ���������� ������, ������ �����ģ� � ���������� �������� �� + <acronym>CPU</acronym>. ���� <acronym>PFS</acronym> �� ������������, + �� ��������� ���� ���� � ��������������� ������� + <literal>pfs_group 1</literal> � ����� + <filename>racoon.conf</filename> �� ������ <acronym>GW</acronym> � + FreeBSD. ������ ����� <filename>racoon.conf</filename> ��� � ���� + ������.</para> + </sect1> + + <sect1 id="policy"> + <title>������������ �������� <acronym>VPN</acronym> �� FreeBSD</title> + + <para>�� ���� ����� ������ ���� ������ �������� <acronym>VPN</acronym> �� + ������ <acronym>GW</acronym> � FreeBSD. ��� ������� ��������� ������� + &man.setkey.8;.</para> + + <para>���� ������ ������ ������� ���������� ����������, ������� ���������� + &man.setkey.8; � ��������� ���� ������� �������� + <acronym>VPN</acronym>.</para> + + <programlisting># +# /etc/vpn1-ipsec.sh +# +# IP addresses +# +# External Interface External Interface +# 208.229.100.6 216.218.197.2 +# | | +# +--> Firewall-1 <--> Internet <--> FreeBSD GW <--+ +# | | +# FW-1 Protected Nets Internal Nets +# 199.208.192.0/24 192.168.10.0/24 +# +# Flush the policy +# +setkey -FP +setkey -F +# +# Configure the Policy +# +setkey -c << END +spdadd 216.218.197.2/32 199.208.192.0/24 any -P out ipsec +esp/tunnel/216.218.197.2-208.229.100.6/require; +spdadd 199.208.192.0/24 216.218.197.2/32 any -P in ipsec +esp/tunnel/208.229.100.6-216.218.197.2/require; +END +#</programlisting> + + <para>��������� ������� &man.setkey.8;:</para> + + <screen>&prompt.root; <userinput>sh /etc/vpn1-ipsec.sh</userinput></screen> + </sect1> + + <sect1 id="racoon"> + <title>������������ <application>Racoon</application> �� FreeBSD</title> + + <para>��� ����������� ������������ ������ IPsec �� ������ + <acronym>GW</acronym> � FreeBSD, ���������� ���������� � ���������������� + ���� <filename role="package">security/racoon</filename>.</para> + + <para>����� ���������� ���� ������������ <application>racoon</application>, + ������� �������� ��� ������������� � ���������, ���������� � ���� + ���������. ����������, ����� ��� �������������� � �������� ������������ + ���������, ��� ��������� ��������� ��� ����������.</para> + + <programlisting># racoon.conf for use with Check Point VPN-1/Firewall-1 +# +# search this file for pre_shared_key with various ID key. +# + path pre_shared_key "/usr/local/etc/racoon/psk.txt" ; + log debug; +# +# "padding" defines some parameter of padding. You should not touch these. +# + padding + { + maximum_length 20; # maximum padding length. + randomize off; # enable randomize length. + strict_check off; # enable strict check. + exclusive_tail off; # extract last one octet. + } + + listen + { + #isakmp ::1 [7000]; + #isakmp 0.0.0.0 [500]; + #admin [7002]; # administrative port by kmpstat. + #strict_address; # required all addresses must be bound. + } +# +# Specification of default various timers. +# + timer + { +# +# These values can be changed per remote node. +# + counter 5; # maximum trying count to send. + interval 20 sec; # maximum interval to resend. + persend 1; # the number of packets per a send. +# +# timer for waiting to complete each phase. +# + phase1 30 sec; + phase2 15 sec; + } + + remote anonymous + { + exchange_mode aggressive,main; # For Firewall-1 Aggressive mode + + #my_identifier address; + #my_identifier user_fqdn ""; + #my_identifier address ""; + #peers_identifier address ""; + #certificate_type x509 "" ""; + + nonce_size 16; + lifetime time 10 min; # sec,min,hour + lifetime byte 5 MB; # B,KB,GB + initial_contact on; + support_mip6 on; + proposal_check obey; # obey, strict or claim + + proposal { + encryption_algorithm 3des; + hash_algorithm md5; + authentication_method pre_shared_key; + dh_group 2 ; + } + } + + sainfo anonymous + { + pfs_group 1; + lifetime time 10 min; + lifetime byte 50000 KB; + encryption_algorithm 3des; + authentication_algorithm hmac_md5; + compression_algorithm deflate ; + }</programlisting> + + <para>���������, ��� ���� + <filename>/usr/local/etc/racoon/psk.txt</filename> �������� ��� �� ����� + ������� ��������� ������, ��� ������������ ��� ������ ������� + <quote>��������� ������� �������� � Firewall-1</quote> ����� ���������, + � ����� ����� ������� <literal>600</literal>.</para> + + <screen>&prompt.root; <userinput>chmod 600 /usr/local/etc/racoon/psk.txt</userinput></screen> + </sect1> + + <sect1 id="startingvpn"> + <title>������ <acronym>VPN</acronym> � ������</title> + + <para>������ �� ������ � ������� <application>racoon</application> � + ������������ ������� <acronym>VPN</acronym>. ��� ����� ������� �������� + Log Viewer �� Firewall-1 � ������� ������ ���������������� ��� ��������� + �������, ����������� � ������ <acronym>GW</acronym> � FreeBSD. ��� ����� + ����� ����������� �������� ������� <application>racoon</application> ��� + ������ ������� &man.tail.1;:</para> + + <screen>&prompt.root; <userinput>tail -f /var/log/racoon.log</userinput></screen> + + <para>��������� <application>racoon</application> ����������� ��������� + �������:</para> + + <screen>&prompt.root; <userinput>/usr/local/sbin/racoon -f /usr/local/etc/racoon/racoon.conf</userinput></screen> + + <para>����� ������� <application>racoon</application> ��������� ����������� + �� &man.telnet.1; � ����� � ����, ����ݣ���� Firewall-1.</para> + + <screen>&prompt.root; <userinput>telnet -s 192.168.10.3 199.208.192.66 22</userinput></screen> + + <para>�� ���� ������� ����������� ������� ����������� � &man.ssh.1;-����� + ������ <hostid role="ipaddr">199.208.192.66</hostid>, ���, ��� ��������� + � ����, ����ݣ���� Firewall-1. �������� <option>-s</option> ������ + ������������� ��������� � ��������� ����������. ���, � ���������, ����� + ��� ������������� �� ������ <acronym>GW</acronym> � FreeBSD ���������� + <acronym>NAT</acronym> � <acronym>IPFW</acronym>. ������������� + <literal>-s</literal> � ����� ������� ���������� ������ �� �������� + <acronym>NAT</acronym> ��������� ������ ����� ���������������.</para> + + <para>��� �������� ������ ������� <application>racoon</application> ������ + � ���� ��������� <filename>racoon.log</filename> ���������:</para> + + <programlisting>pfkey UPDATE succeeded: ESP/Tunnel 216.218.197.2->208.229.100.6 +pk_recvupdate(): IPSec-SA established: ESP/Tunnel 216.218.197.2->208.229.100.6 +get pfkey ADD message IPsec-SA established: ESP/Tunnel 208.229.100.6->216.218.197.2</programlisting> + + <para>����� ����, ��� ����� ������� ����� �����ۣ� (��� �������� ��������� + ������), ����� ������ �������� &man.ssh.1;. ���� �ӣ ������ ���������, + � �������� Log Viewer �� Firewall-1 ����� ������������� ��� ��������� + <quote>Key Install</quote>.</para> + + <programlisting>Action | Source | Dest. | Info. +Key Install | 216.218.197.2 | 208.229.100.6 | IKE Log: Phase 1 (aggressive) completion. +Key Install | 216.218.197.2 | 208.229.100.6 | scheme: IKE methods</programlisting> + + <para>� �������������� ������� ��������� �������� ����� ��������� + ���:</para> + + <programlisting>IKE Log: Phase 1 (aggressive) completion. 3DES/MD5/Pre shared secrets Negotiation Id: +scheme: IKE methods: Combined ESP: 3DES + MD5 + PFS (phase 2 completion) for host:</programlisting> + </sect1> + + <sect1 id="References"> + <title>������</title> + + <itemizedlist> + <listitem> + <para><ulink url="http://www.FreeBSD.org/handbook/ipsec.html"> + ����������� FreeBSD: IPsec</ulink></para> + </listitem> + + <listitem> + <para><ulink url="http://www.kame.net">������ KAME</ulink></para> + </listitem> + + <listitem> + <para><ulink url="http://www.x-itec.de/projects/tuts/ipsec-howto.txt"> + ������� HOWTO �� FreeBSD IPsec </ulink></para> + </listitem> + </itemizedlist> + </sect1> +</article>