Re: lug-bg: Linux 2.6 and ipsec over tcp

["Doncho N. Gunchev" <mr700@xxxxxxxxxxxx>]

On 2004 11 26 (Friday) 14:14, Vesselin Kolev wrote:
> Doncho N. Gunchev wrote:
> 
> >    Здравейте,
> >    интересува ме има ли поддръжка на ipsec over tcp (към CISCO)
> >за Linux 2.6 и документация по въпроса. 
> >    Благодаря предварително.
> >
> >  
> >
> Отговорът е "не" (поне за Swan, но съм сигурен, че това важи и за 
> "native" IPsec в 2.6). Причината е, че IPsec реализацията в Linux спазва 
> IETF документите по темата IPsec и за транспортна схема се използва UDP, 
> а не TCP. Само SSL базираните решения за VPN използват TCP заради 
> реализацията на SSLv3, но това е далеч от IPsec.
> 
> Да не говорим, че транспортната схема сама по себе си вече не е IPsec, 
> защото при нея няма AH. Тя е компромис, който се използва за пренос през 
> NAT (NAT Traversal) и противоречи на основната концепция в IPsec за 
> удостоверяване и на двете страни участващи в изграждането на сигурната 
> връзка.
> 
>   Поздрави
>     Весо
> 

    Благодаря за бързия отговор. Явно в случая CISCO лекичко не са
спазили стандарта. Единствения проект, който намерих, споменаващ
ipsec over tcp е vpnc (http://www.unix-ag.uni-kl.de/~massar/vpnc/), а там
пише:
Known Bugs / TODO
    * rekeying is not supported (default rekey-intervall is 8 hours)
    * certificate support (Pre-Shared-Key + XAUTH is known to be insecure!)
    * hybrid auth support
    * IPSec over TCP 

-- 
Regards,
  Doncho N. Gunchev    Registered Linux User #291323 at counter.li.org
  GPG-Key-ID: 1024D/DA454F79                        http://pgp.mit.edu
  Key fingerprint = 684F 688B C508 C609 0371  5E0F A089 CB15 DA45 4F79
============================================================================
A mail-list of Linux Users Group - Bulgaria (bulgarian linuxers).
http://www.linux-bulgaria.org - Hosted by Internet Group Ltd. - Stara Zagora
To unsubscribe: http://www.linux-bulgaria.org/public/mail_list.html
============================================================================