(gelöst) ipsec hin verschlüsselt zurück offen?

[winterk]

Ich habe hier ein recht interressantes Phänomen:
Ich wollte eine IPsec-Verbindung zwischen meinem Laptop und meinem Server einrichten.
Dazu wollte ich Openswan benutzen. Pakete installiert alles konfiguriert und der Ping geht.
Soweit so gut. als ich aber mal auf meinem Laptop mit Ethereal nachgesehen habe, zeigte sich,
das der Server (Debian Etch) die Antwort einmal verschlüsselt schickt und 2mal unverschlüsselt!
Also egal von wo es ausgeht, immer sendet der Server das Paket 3 mal. Einmal verschlüsselt
und 2 mal unverschlüsselt.
Die Verbindung habe ich mit PreSharedKey eingerichtet, der Einfachheit halber.
Hat jemand irgendeine Idee?

[uljanow]

Der IPSEC-Stack vom 2.6-Kernel packt authorisierte Pakete wieder unverschlüsselt aufs Netzwerk-Interface. Schätze mal, dass das daran liegt. Um sicher zu sein, könnte man in der mangle table die esp Pakete markieren und dann in der filter table alle nicht markierten Pakete loggen.

Code: Alles auswählen

iptables -t mangle -A PREROUTING -i eth+ -p esp -j MARK --set-mark 1
iptables -I INPUT -i eth+ -m mark ! --mark 1 -j LOG --log-prefix "non-ipsec-packet: "
iptables -I OUTPUT -i eth+ -m mark ! --mark 1 -j LOG --log-prefix "non-ipsec-packet: "
iptables -I FORWARD -i eth+ -m mark ! --mark 1 -j LOG --log-prefix "non-ipsec-packet: "

[winterk]

Erst mal Danke für die schnelle Antwort
Die Idee mit dem Stack ist nicht schlecht, werde ich morgen mal überprüfen
und mich dann wieder melden.
Da ich aber nicht wirklich irgendwelche Erfahrung mit IPtables habe werde
ich einfach die beiden an einen Hub hängen und dann einen dritten Rechner
an dem Hub mal lauschen lassen.
Der darf dann ja nur verschlüsselte Pakete sehen...
Ich bin gespannt...

[winterk]

Deine Vermutung war richtig.
Bin jetzt mal vorgegangen wie in meiner letzten Nachricht und wireshark
hat nur verschlüsselte Pakete gezeigt.

Also vielen Dank für die Hilfe