[port139ml:01861] Mac OS X と Windows 2000 で IPsec

[Hideaki Ihara <hideaki@xxxxxxxxxxxxx>]

Port139 伊原です。

On Fri, 10 Jan 2003 18:44:23 +0900
vm_converter <vm_converter@xxxxxxx> wrote:

>○/etc/racoon 以下をいじる系
>・Mac OS XでIPsec
>http://homepage1.nifty.com/glass/tom_neko/web/web_ipsec.html

上記と、みやもとさんが書かれた記事↓を参照したらできました :-)

http://www.atmarkit.co.jp/flinux/special/ipsec2/ipsec02a.html

例えば、Windows 2000（192.168.0.5）と事前共有鍵（文字列 key）
を利用して接続するには...Mac OS X は 192.168.0.2．

まず kame.conf を作る。参照 URL の記述そのまま;）

spdflush;
spdadd 192.168.0.5 192.168.0.2 any -P in ipsec esp/transport//require;
spdadd 192.168.0.2 192.168.0.5 any -P out ipsec esp/transport//require;

/etc/racoon/psk.txt に通信先(W2K)のIPアドレスと事前共有鍵を
登録しておく。例えば文字列“key”を設定。

例)
192.168.0.5    key

/etc/racoon/racoon.conf に通信先(W2K)の項目を定義。
＃ひょっとすると dh_group 2 の記述は不要かもしれません....
＃相手が FreeS/WAN ならいるかも、記述があっても W2K とは繋がる
＃ので結果おーらい？

remote 192.168.1.5
{
        exchange_mode main,aggressive;

        lifetime time 28800 sec;        # sec,min,hour
        initial_contact off;

        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key ;
                dh_group 2 ;
        }
}

ここまでの設定で SA は確立できるんですけど、実際の通信がうまく
いきませんでした(T_T)
＃ESP パケットは流れるんですけど、駄目なんですよね...

そこで、/etc/racoon/racoon.conf の remote anonymous の項目を

remote anonymous
{
        exchange_mode main,aggressive;
        nonce_size 16;
        lifetime time 1 min;        # sec,min,hour
        initial_contact on;

        proposal {
                encryption_algorithm 3des;
                hash_algorithm sha1;
                authentication_method pre_shared_key ;
                dh_group 2 ;
        }
}

としたら双方向で IPsec を使って通信できるようになりました :-)
＃設定値が正しい自信はありませんのであしからず:p

ただし、ちょっと SA の再確立？で動きがおかしい気が(^^;;
最初の通信がうまくできても、時間が経ってから通信を再開しよう
とすると SA は確立できるけど実際の通信ができない...

IPsec-SA expired: とか system.log に出てるのでタイムアウトの
設定辺りがおかしいのだとは思いますが、よくわからない(T_T)
＃kame の勉強しなきゃ・・・

---
セミナー受講者募集中！
< http://www.port139.co.jp/seminar/seminar_030122.htm >
WinSyslog,EventReporter 販売中: http://adiscon.port139.co.jp/

Hideaki Ihara <hideaki@xxxxxxxxxxxxx>
Port139 URL: http://www.port139.co.jp/
PGP PUBLIC KEY: http://www.port139.co.jp/pgp/