Capítulo 3. Configuração de uma VPN com IPsec
No Red Hat Enterprise Linux 8, uma rede privada virtual (VPN) pode ser configurada usando o protocolo IPsec, que é suportado pela aplicação Libreswan.
3.1. Libreswan como uma implementação da VPN IPsec
No Red Hat Enterprise Linux 8, uma Rede Privada Virtual (VPN) pode ser configurada usando o protocolo IPsec, que é suportado pela aplicação Libreswan. Libreswan é uma continuação da aplicação Openswan, e muitos exemplos da documentação Openswan são intercambiáveis com Libreswan.
O protocolo IPsec para uma VPN é configurado usando o protocolo Internet Key Exchange (IKE). Os termos IPsec e IKE são utilizados de forma intercambiável. Uma VPN IPsec também é chamada de IKE VPN, IKEv2 VPN, XAUTH VPN, Cisco VPN ou IKE/IPsec VPN. Uma variante de uma VPN IPsec que também usa o Protocolo de Tunelamento de Nível 2 (L2TP) é normalmente chamada de VPN L2TP/IPsec, que requer a aplicação do canal opcional xl2tpd.
Libreswan é uma implementação open-source, espaço do usuário IKE. IKE v1 e v2 são implementados como um daemon em nível de usuário. O protocolo IKE também é criptografado. O protocolo IPsec é implementado pelo kernel Linux, e Libreswan configura o kernel para adicionar e remover configurações de túneis VPN.
O protocolo IKE utiliza as portas UDP 500 e 4500. O protocolo IPsec consiste em dois protocolos:
-
Encapsulated Security Payload (
ESP), que tem o protocolo número 50. -
Cabeçalho Autenticado (
AH), que tem o protocolo número 51.
O protocolo AH não é recomendado para uso. Recomenda-se aos usuários do AH que migrem para ESP com criptografia nula.
O protocolo IPsec oferece dois modos de operação:
-
Tunnel Mode(o padrão) -
Transport Mode.
Você pode configurar o kernel com IPsec sem o IKE. Isto é chamado Manual Keying. Você também pode configurar a digitação manual usando os comandos ip xfrm, no entanto, isto é fortemente desencorajado por razões de segurança. Libreswan faz interface com o kernel Linux usando o netlink. A criptografia e descriptografia de pacotes acontecem no kernel Linux.
Libreswan utiliza a biblioteca criptográfica Network Security Services (NSS). Tanto Libreswan quanto NSS estão certificados para uso com a Federal Information Processing Standard (FIPS) Publicação 140-2.
IKE/IPsec VPNs, implementadas por Libreswan e pelo kernel Linux, é a única tecnologia VPN recomendada para uso no Red Hat Enterprise Linux 8. Não utilize nenhuma outra tecnologia VPN sem compreender os riscos de fazê-lo.
No Red Hat Enterprise Linux 8, Libreswan segue system-wide cryptographic policies por default. Isto assegura que Libreswan usa configurações seguras para os modelos de ameaça atuais, incluindo IKEv2 como um protocolo default. Veja Usando políticas de criptografia em todo o sistema para mais informações.
Libreswan não usa os termos "fonte" e "destino" ou "servidor" e "cliente" porque IKE/IPsec são protocolos peer to peer. Em vez disso, usa os termos "esquerda" e "direita" para se referir aos pontos finais (os anfitriões). Isto também permite utilizar a mesma configuração em ambos os pontos finais na maioria dos casos. Entretanto, os administradores geralmente optam por usar sempre "esquerda" para o host local e "direita" para o host remoto.
