IPSec-Hochverfügbarkeit mit Openswan und Kernel 2.6

von Ulrich Weber (Astaro AG)

Donnerstag, 23.06.2005, UG1: Thoma, 11:00-12:00 Uhr

Im Rahmen einer Diplomarbeit bei der Firma Astaro AG, Karlsruhe, hat der Referent das IPSec-Paket Openswan für Hochverfügbarkeit auf Kernel 2.6 erweitert. Hierbei werden in einem High-Availability-System die IKE- und IPSec-SAs zwischen Master und Slave synchronisiert.

Neben der Synchronisation der eigentlichen SAs sind bei IPSec weitere Protokoll- eigenschaften wichtig. IPSec besitzt Sequenznummern, um sich vor Replay Attacken zu schützen. Diese müssen in bestimmten Abständen ebenfalls auf dem HA-System synchronisiert werden, damit im Übernahmefall immer gültige Sequenznummern erzeugt und erwartet werden. Auch für Dead Peer Detection (DPD) ist eine zusätzliche Abstimmung nötig. Die Kommunikation zwischen Openswan und Kernel 2.6 (native IPSec) erfolgt über Netlink. Diese Netlink/XFRM Schnittstelle wurde erweitert, um ESP- und AH-Sequenznummern auslesen und ändern zu können.

In dem Vortrag stellt der Referent vor, welchen Problemen er bei der Umsetzung von HA IPSec mit Openswan begegnet ist und wie er sie lösen konnte.

Über den Autor Ulrich Weber:

Ulrich Weber ist Software-Entwickler bei der Astaro AG in Karlsruhe. Dort entwickelte er eine Hochverfügbarkeitslösung für IPSec mit Openswan und Kernel 2.6. Sein Informatik-Studium an der FH Furtwangen im tiefen Schwarzwald hat er inzwischen erfolgreich abgeschlossen. Zu Linux fand er über Suse Linux 5.1, das ihm auf einem P100 als ISDN-Router diente. Suse wurde später durch Slackware abgelöst, wieder später folgte Debian, was zur Zeit seine bevorzugte Distribution ist. Wenn er nicht vor dem Computer sitzt, ist er radfahren, schwimmen oder die Sonne genießen...