IPSec用于LAN流量：基本注意事项？

这是我的“ 绝对加密所有...”问题的后续措施。

重要说明：这与更常用的IPSec设置无关，在该设置中您要加密两个LAN之间的通信。

我的基本目标是加密所有流量中的小公司的局域网。一种解决方案是IPSec。我刚刚开始学习IPSec，在决定使用它并进行更深入的研究之前，我想大致了解一下它的外观。

是否有良好的跨平台支持？它必须可以在Linux，MacOS X和Windows客户端，Linux服务器上运行，并且不需要昂贵的网络硬件。
是否可以为整台计算机（因此没有其他传入/传出流量）或网络接口启用IPSec，还是由单个端口/ ...的防火墙设置确定？
我可以轻松禁止非IPSec IP数据包吗？还有由某些密钥而不是我们的密钥签名的“ Mallory邪恶” IPSec流量吗？我的理想构想是使LAN上没有任何此类IP通信成为可能。
对于局域网内部流量：在“传输模式”下，我将选择“带有身份验证的ESP（无AH）”，AES-256。这是一个合理的决定吗？
对于LAN-Internet通信：它如何与Internet网关一起工作？我会用吗
- “隧道模式”以创建从每台计算机到网关的IPSec隧道？或者我也可以使用
- “传输模式”到网关？我问的原因是，网关必须能够解密来自LAN的数据包，因此它将需要密钥来执行此操作。如果目标地址不是网关的地址，那有可能吗？还是在这种情况下我必须使用代理？
还有什么我应该考虑的吗？

我真的只需要快速浏览这些内容，而不是非常详细的说明。

local-area-network encryption ipsec

— 克里斯·勒彻（Chris Lercher）
source

Answers:

是否有良好的跨平台支持？它必须可以在Linux，MacOS X和Windows客户端，Linux服务器上运行，并且不需要昂贵的网络硬件。

我对此并没有太多经验，因为我主要有Linux系统，但是我确实使它主要在Windows 2000机器上工作（这是前一段时间）。有一个问题是，在传输了一定数量的字节后，IPsec无法重新协商新的会话密钥（这应该是自动发生的），因此连接在一段时间后断开了，我再也不会费心去研究它了。进一步。如今，它可能工作得更好。

是否可以为整台计算机（因此没有其他传入/传出流量）或网络接口启用IPSec，还是由单个端口/ ...的防火墙设置确定？

它的工作方式是（或者，更确切地说，是我设法使其工作），您定义了机器foo 必须仅将IPsec用于bar，baz和yow机器。现在，与这些计算机之间的任何通信都将变得安全并且与这些计算机一样值得信赖。其他任何流量都不是IPsec，并且可以正常工作。

我可以轻松禁止非IPSec IP数据包吗？还有由某些密钥而不是我们的密钥签名的“ Mallory的邪恶” IPSec通信吗？我的理想构想是使LAN上没有任何此类IP通信成为可能。

IPsec通信仅适用于您定义的IPsec“ 策略 ”，因此任何随机计算机都无法发送IPsec数据包-必须存在与这些数据包匹配的IPsec策略。

对于局域网内部流量：在“传输模式”下，我将选择“带有身份验证的ESP（无AH）”，AES-256。这是一个合理的决定吗？

是的有人谈论完全放弃AH，因为它是多余的-您可以将ESP与NULL加密一起使用，效果相同。

对于LAN-Internet通信：它如何与Internet网关一起工作？我会用吗

“隧道模式”以创建从每台计算机到网关的IPSec隧道？或者我也可以使用

我会选择此选项。因为这是我自己无法控制的网关，因此无论如何我的网络外部流量都不会被加密，因此我并没有真正的迫切需求。

必须将未使用IPsec的主机的Internet通信视为可能已被拦截-当您的ISP或ISP的ISP可以侦听未加密的相同数据包时，在本地LAN上进行加密毫无意义。

“传输模式”到网关？我问的原因是，网关必须能够解密来自LAN的数据包，因此它将需要密钥来执行此操作。如果目标地址不是网关的地址，那有可能吗？还是在这种情况下我必须使用代理？

据我了解，这行不通-您将需要一个代理。

还有什么我应该考虑的吗？

看看是否可以使用诸如OpenPGP密钥之类的明智替代X.509证书。我使用X.509，因为这是我最初使用的IPsec密钥守护程序唯一支持的功能，而且我还没有精力研究全部重做。但是我应该，将来会。

PS Me和一位同事于2007年举办了有关IPsec的讲座，这可能有助于澄清一些概念。

— 泰迪熊
source

@Teddy：很棒的答案（+++ 1）我也快速浏览了您链接到的PDF-它看起来很像我所需要的！

— 克里斯·勒彻

这听起来有点像过大杀伤力。我不能说我曾经听说过有人在其局域网上加密所有流量。您这样做的动力是什么？

— 乔伊维蒂
source

@joe：我不确定是否真的要这样做。听起来可能很疯狂，但是我真的想简化我的局域网的安全概念。将允许WLAN访问，因此我将不得不采取一些措施来防御攻击。要么是精心设计的IDS设置，要么是我疯狂加密所有内容的疯狂想法。如果您想听所有详细信息，请参阅我的原始问题：-)

— Chris Lercher 2010年

听起来确实很疯狂。我不是IPSEC专家，所以对您没有任何帮助，但是我会关注此帖子，因为它引起了我的兴趣。

— joeqwerty

这根本不是一个疯狂的主意。加密所有内容是许多人考虑的事情，特别是那些安全的环境。AFAIK，这是在IPv6规范中包括IPsec的背后驱动因素之一：因此，所有端点都可以加密所有流量。@chris_l，祝您好运，并希望您决定这样做。请分享结果。

— 杰德·丹尼尔斯

因此，您完全信任局域网中的每个人？即使任何人拥有笔记本电脑或能够破解您的无线设备（或者未加密），也可以随意访问您的LAN？如果您真的信任局域网中的每个人，我可能会问为什么您在与之相连的计算机的控制台上输入密码-大楼中的人是否值得信赖？答案当然是“否”，这就是为什么LAN流量（与其他流量一样）应该被加密的原因。

— Teddy

@Teddy：我不是说我信任或不信任任何人或任何东西。我只说对我来说听起来像是个疯狂的主意。不要推断您的意思，我的回答或评论中没有任何内容，只有好奇心。

— joeqwerty

IPSec非常适合连接到不受信任的网络（例如Web DMZ等）以及与防火墙隔离的内部和网络。使用RPC协议的应用程序（例如Microsoft AD等）喜欢使用临时端口范围大的端口，这不会影响防火墙。在局域网内，您的利益取决于许多因素。

这不是灵丹妙药，也不一定会简化网络安全性。它将帮助您在Internet或其他不受信任的网络上运行服务，而无需在网络设备上进行大量投资。

如果您是在做练习或学习的经历，那很好，但是到目前为止，您所发表的任何内容都没有令人信服的理由去做您在说的事情。

— duffbeer703
source