Auteur Sujet: VPN - PQ strongSwan - Modern Security network  (Lu 936 fois)

0 Membres et 1 Invité sur ce sujet

LAB3W.ORJ

  • Abonné Orange Fibre
  • *
  • Messages: 89
  • Alpes Maritimes (06)
    • ZW3B :-: The Web Com
VPN - PQ strongSwan - Modern Security network
« le: 22 février 2024 à 13:15:44 »
Bonjour,

j’ai installé strongSwan 6.0beta Vici Post-Quantum IKEv2 Daemon - Bien sûr vous pouvez utiliser la version officielle d’aujourd’hui, la version 5.9 sans compiler, mais vous ne pourrez pas chiffrer avec les algorithmes OQS.

Je ne connais pas « stroongSwan VICI » c’est à dire une configuration IPSec sans le fichier « ipsec.conf » (j’ai du retard sûrement) :

Avec ces fichiers donc :

/etc/strongswan.conf
/etc/swanctl/swanctl.conf

Pour commencer, j'ai écris un « mémo d'introduction à strongSwan » sur Debian-FR.org

Je viens de réussir à connecter 3 ordinateurs ensemble et à arriver à attraper des sous-réseaux IPv6, je souhaitais vous le dire et vous le transmettre.

Donc, j'ai stocké « mes fichiers et les commandes » dans un de mes répertoire "public", avant de faire un tuto sur mon site web.

Citer
My files test and commands #strongSwan v6.0.beta -> https://www.zw3b.fr/pub/vpn/strongSwan-v6.0

Pour le moment je n'ai rien de mieux.

1. La config « 1 » est un exemple des fichiers « /etc/strongSwan.conf » (Serveur / Client)
2. La config « 2 » est OK sans sous-réseaux (IPv4 publique to IPv4 publique - le traceroute ne fait pas de saut entre les 2 machines connectées).
3. La config « 3 » est OK de « site » à « site » (ping & services) avec sous réseaux IPv6.
4. La config « 4 » est OK de « site » à « serveur » à « site » : (ping et services) avec sous-réseaux, j’en suis là au 20240313.

Il faudrait essayer d’autres méthodes d’autentification -- EAP (Extensible Authentication Protocol) :)

20240313 : Je vous ajoute mon script « firewall-icmpv6 » où j’ai ajouté la fonction « ipv6_strongswan() » qui permet de laisser passer les requêtes UDP/TCP sur le prefix d’adresses « IPv6 SWAN Site-Local scoped » en plus de l’ICMPv6 (du ping)  :)

Un bout du firewall-ipv6 - checker le network range fe80::/10 et fec0::/10 et le multicast ff00::/8 ;)
#####
# on fixe les regles des adresses IPv6
#####

function ipv6_link_multicast()
{
        echo "   |";
        echo "   + IPv6 - Addrs Link-Local Unicast and Multicast -----------------------";

        # Allow Link-Local addresses
        # network range : fe80:0000:0000:0000:0000:0000:0000:0000-febf:ffff:ffff:ffff:ffff:ffff:ffff:ffff
        echo "   |";
        $IP6TABLE -A INPUT -s fe80::/10 -j ACCEPT
        $IP6TABLE -A FORWARD -s fe80::/10 -d fe80::/10 -j ACCEPT
        $IP6TABLE -A OUTPUT -d fe80::/10 -j ACCEPT
        echo "   +--? "fe80::/10 : ACCEPT;
        echo "   |";
        echo "   "+ IPv6 - Addrs Link-Local : [OK]

        # Allow multicast
        # network range : ff00:0000:0000:0000:0000:0000:0000:0000-ffff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
        echo "   |";
        $IP6TABLE -A INPUT -d ff00::/8 -j ACCEPT
        $IP6TABLE -A FORWARD -s ff00::/8 -d ff00::/8 -j ACCEPT
        $IP6TABLE -A OUTPUT -d ff00::/8 -j ACCEPT
        echo "   +--? "ff00::/8 : ACCEPT;
        echo "   |";
        echo "   "+ IPv6 - Addrs Multicast : [OK]
}

#####
# on fixe les regles des adresses IPv6 secure (VPN/strongSwan)
#####

function ipv6_strongswan()
{
        echo "   |";
        echo "   + IPv6 - Addrs Site-Local Secure Area Network -------------------------";

        # Allow  Secure Area Network addresses
        # network range : fec0:0000:0000:0000:0000:0000:0000:0000-feff:ffff:ffff:ffff:ffff:ffff:ffff:ffff
        echo "   |";
        $IP6TABLE -A INPUT -s fec0::/10 -j ACCEPT
        $IP6TABLE -A FORWARD -s fec0::/10 -d fec0::/10 -j ACCEPT
        $IP6TABLE -A OUTPUT -d fec0::/10 -j ACCEPT
        echo "   +--? "fec0::/10 : ACCEPT;
        echo "   |";
        echo "   "+ IPv6 - Addrs Secure Area Network : [OK]
}

GestióIP : IPv6 subnet calculator


Si çà peut vous intéresser.

Bonne journée.

Romain.


« Modifié: 15 mars 2024 à 19:14:22 par LAB3W.ORJ »

jeannot

  • Abonné Orange Fibre
  • *
  • Messages: 164
  • 64 🏔
VPN - PQ strongSwan - Modern Security network
« Réponse #1 le: 18 mars 2024 à 08:39:46 »
intéressant, merci :)
question rapide : il y a un impact sur les suites de chiffrement post quantum comparé à de l'AES classique (forcément vu que c'est prix en charge en hw par le cpu), mais c'est pour avoir une idée.

LAB3W.ORJ

  • Abonné Orange Fibre
  • *
  • Messages: 89
  • Alpes Maritimes (06)
    • ZW3B :-: The Web Com
VPN - PQ strongSwan - Modern Security network
« Réponse #2 le: 22 mars 2024 à 17:05:42 »
Bonjour, je ne pas vous dire côté hardware, cpu, mémoire.

Par contre, côté Bits transfert réseau c'est bien mieux.

L'algorithme est plus petit, c'est moins lourd.

Au lien d'encoder en 8192 bits chaque paquet, c'est encodé en 1024 pour le falcon.

J'ai fais des test "iperf" ça transfert au maximun des bande passante disponible.

J'ajoute un truc important, c'est que les algos PostQuantique ne sont pas encore accepter sur les OS. Dans win11 le max c'est ecdsa. Il faut donc que l'AC (Authorité) soit en un algo accepté par les OS. Et suivant les clients on s'adapte au meilleur algo reconnu.

Entre Linux, compilé avec les algos OQS (open quantum safe) pas de problem. Il faudrait faire des tiers AC sur les routeurs outdoor (ce qui ne sont pas en datacenter) pour gérer çà - Et les postes wifi de chaque "sites", en choisissant la meilleur connexion eap (par exemple eap-ttls) selon les bornes d'accès.

Romain

jeannot

  • Abonné Orange Fibre
  • *
  • Messages: 164
  • 64 🏔
VPN - PQ strongSwan - Modern Security network
« Réponse #3 le: 25 mars 2024 à 08:45:47 »
merci pour les précisions!

LAB3W.ORJ

  • Abonné Orange Fibre
  • *
  • Messages: 89
  • Alpes Maritimes (06)
    • ZW3B :-: The Web Com
VPN - PQ strongSwan - Modern Security network
« Réponse #4 le: 09 avril 2024 à 15:50:25 »
Bonjour, sans parler d'algorithme pour la cryptographie quantique, la technologie serait un clef stockée dans un photon..

Des informations ci-dessous ;)

La cryptographie quantique avance grâce au record de chercheurs danois

Je pense qu'ils utilisent le protocole BB84 pour la techno de transmission.

Et sûrement en utilisant ce type de matériels pour la distribution de clés quantique (QKD) - compteur de photons SPD_A d'AUREA Technology.

Bonne journée à vous.

Romain