А зачем это напрягать извилины, если всегда есть стандартные решения? В IT, скажем, это либо yelling, либо buying some sort of software (c)...

(Reply) (Thread)

ну, если бы люди имели полезную привычку напрягать извилины и обращать внимание, сколь зачастую чудовищны и неоптимальны привычные и традиционные решения, да и вообще имели бы более открытый склад ума, мы бы таки увидели настоящий технический прогресс вместо той чудовищной эволюции костылей и подпорок, которая сейчас его олицетворяет. но глаз настолько замылен, что мало кто понимает, что что-то очень серьезно не так.

(Reply) (Parent) (Thread)

кстати, в случае с безопасностью эти методы просто не работают. хуже того, приводят к полному.. как это по-русски.. clusterfuck?

(Reply) (Parent) (Thread) (Expand)

Вопрос был задан некорректно. IPSec в режиме транспорта ведь не шифрует весь траффик, а только данные -- заголовки пакетов остаются голыми. Для тотального шифрования, чтобы было непонятно не только что идет, но и от кого и куда, надо применять туннель.

(Reply) (Thread)

transport практичнее, о чем и речь. от кого и куда - пес то с ним на данном этапе.

(Reply) (Parent) (Thread) (Expand)

Заголовки каких пакетов остаются голыми? Пакетов протокола номер 6 или номер 50?

(Reply) (Parent) (Thread) (Expand)

ну, да, красноглазость и ограниченность цыцководов заебывает не меньше, чем красноглазость и ограниченность любых других специалистов.

ты ответ уже нашел, в смысле винды, а "вообще" есть такое вот дело: http://www.sandelman.ca/SSW/freeswan/oeid/draft-richardson-ipsec-opportunistic.html

(Reply) (Thread)

красноглазость и ограниченность цыцководов
Вы не тех цыцководов курите. :) Сися знает не только VPDN. :)

(Reply) (Parent) (Thread) (Expand)

Ну под юниксами как это сделать - как-то знание более очевидное..

(Reply) (Parent) (Thread)

О. «Раз пошла такая пьянка...» Арк, я когда-то что-то где-то читал про Trusted Solaris и Trusted Networking в этом Trusted Solaris'е. И сложилось у меня такое ощущение происходящего, что там в NIC'и встроена какая-то криптография (IPSec плох, если у тебя что-то, отличное от IP). Ты можешь это как-нибудь прокомментировать (желательно со сцылками на ХардТваре)?

(Reply) (Thread)

Нет, это тоже только IP. Я сам никогда толком не щупал, но теперь это все есть в Solaris 10 и можно поиграться. Так как все это придумано во времена Калесса Незабвенного, то кроме generic DES accelerators вряд ли можно было что-то ожидать. О том, как там все устроено у меня представление достаточно смутное, а местами и вовсе неправильное - до сегодняшнего для я вообще думал, что это BSO (rfc1108) или ESO (егойное расширение), ан нет, там CIPSO, несколько другая штука. Это labeling, а собственно криптография там по-моему уже давно ipsec, кажется была какая-то своя во время оно - тогда чего только не было, SKIP там всякий и прочее, канувшее в Лету.. Надо бы пробел в образовании заполнить, да.

(Reply) (Parent) (Thread)

Надо бы с HP-UX Security Conatinment поиграться.

(Reply) (Parent) (Thread)

надо всё-таки стенд поднять да сделать. уже просто из спортивного интернета (потому как если есть доступ в сеть вся эта схема разваливается из-за возможности схлопотать вирусню, которой пофигу что там у тебя - она уже поверх будет работать и тырить инфу. ;-)

(Reply) (Thread)

надо выяснять, кому надо ходить в интернет и зачем и придумывать комплекс административно-технических мер. вплоть до opera в vmware, если так уж приспичило с того же компа ;-) (тоже проламывается, но видали ли такой вирус?)

(Reply) (Parent) (Thread) (Expand)

http://slashdot.org/~cronscript/journal/131319 в виде "Optional in Windows is defined as: Attempt an IPsec connection, if it is unsuccessful then use plaintext." плох. Ибо у aim возможна подставка mac адреса. Ну и будет оно к кракеру бегать как plaintext.

(Reply) (Thread)

что в opportunistic mode одна из основных задач - аутентикация хоста - не решается. Но по крайней мере, примерно понятно, куда копать, назначить маску для enforced ipsec где-то там наверняка можно.

(Reply) (Parent) (Thread)

А есть ли какие-нибудь стандартные (или широко распространенные) способоы делать mesh в IPSec без необходимости постоянно держать валидные SA каждого на каждого? Ну или хотя бы без необходимости постоянного IKE каждого с каждым?

(Reply) (Thread)

a) agressive mode IKE это быстро
b) PSK? ;-)))

(Reply) (Parent) (Thread) (Expand)

Вот несколько дней с твоего поста прошло, и я что-то начал себя ловить на том, что я начал обращать внимания на одну и ту же картинку. Человек что-то спрашивает - неважно, что. Чаще всего, вполне толково спрашивает. И получает ворох ответов:

1) Это можно сделать, только совсем не так, у тебя задача не такая, вот если задачу поменять, то всё легко делается!
2) Дурацкий вопрос. Подобные вещи вообще никому не нужны!
3) Автор, ты ещё читаешь? Я тебе повторяю: вали отсюда, то, что ты хочешь, никому не нужно, и вообще неправильно.
4) А под линуксом можно это написать за день! Наверное.
и т.д.

Достало - страсть... С другой стороны, понял, почему я интуитивно редко иду в публичные места за советами.

(Reply) (Thread)

Ну люди , с другой стороны, действительно очень часто ставят задачу неверно.

(Reply) (Parent) (Thread) (Expand)

Кстати, раз уж ты в Мск, ты б у Lleo нашёлся, наконец?

(Reply) (Thread)

Дойду на днях - есть специальные пожелания по поводу даты?

(Reply) (Parent) (Thread) (Expand)

он может раз сказать, он может два сказать...
действительно, запредельно идиотская песня.

(Reply) (Thread)

меня гложут сомнения:

1) что стек/подсистему IPsec в винде тестировали на сотнях-тысячах туннеелей
2) что удастся внятно описать политику шифрования (с учетом наличия адресатов за пределами LAN)

(Reply) (Thread)

но думаю что они не такие идиоты, чтобы с этим возникали серьезные проблемы. то есть в общем случае если сервер тянет 1.5K одновременных соединений без ipsec, 1K с ipsec скорее всего тоже потянет - ну так, грубые прикидки из общих соображений.

(Reply) (Parent) (Thread) (Expand)