Re: VPN

[voegelas@gmx.net (Andreas Vögele)]

Sven Hartge <lists@ds9.gnuu.de> writes:

> Andreas Vögele <voegelas@gmx.net> wrote:
>
>> Die HOWTOs, die ich gefunden habe, beschreiben nur, wie man einen
>> IPsec-Tunnel aufbaut, vernachlässigen den Paketfilter aber komplett.
>> Funktioniert das Filtern von IPsec mit Linux 2.6.8 überhaupt
>> vernünftig oder benötigt man einen neueren Kernel?
>
> Das funktioniert schon, wegen der hirnkranken Implementation von IPsec
> in 2.6.x ist das aber nicht so einfach wie unter 2.4.x, da man eine
> gehörige Portion Hirnakrobatik betreiben muss, bis man a) die Regeln
> zusammen hat und b) sich auch davon überzeugt hat, das es keine Lücke
> gibt.

Ich wollte mir neulich diese Hirnakrobatik sparen und dachte, dass
dies der geeignete Moment ist, um von eigenen Skripten auf Shorewall
umzusteigen.  In der Shorewall-Dokumentation wird als Voraussetzung
allerdings die Kernelversion 2.6.11 plus Patches genannt.  Den
Debiankernel moechte ich aber behalten.

Wenn ich mal viel Zeit uebrig habe, werde ich mir noch einmal
anschauen, wie man IPsec mit fwmark filtert.  Ich frage mich
allerdings, warum das Filtern unter Linux so viel aufwendiger als
unter BSD mit PF sein muss.