IPsecHub+. Сложные сценарии

Всем привет! На связи Николай Едомский, руководитель группы сетевых инженеров в ЕДИНОМ ЦУПИС. Представляю вашему вниманию четвертую статью из цикла " IPsecHub+ ". В прошлой статье мы рассмотрели схему построения IPsec-концентратора на основе так называемой эскалаторной топологии. А сейчас мы рассмотрим примеры более сложных сценариев, когда нужно выполнять регуляторные требования, пристыковать филиалы с пересекающимся адресным пространством, ну и тому подобное.

https://habr.com/ru/companies/1cupis/articles/895498/

IPsecHub+. Эскалаторная топология

Всем привет! На связи Николай Едомский, руководитель группы сетевых инженеров в ЕДИНОМ ЦУПИС. Представляю вашему вниманию третью статью из цикла " IPsecHub+ ". В предыдущей статье мы пришли к выводу, что желательно максимально сократить количество сущностей , которые участвуют в процессе добавления или удаления нового филиала. Прежде всего, это нужно для максимального упрощения автоматизации процесса. Я думаю, вы согласитесь, что делать автоматизацию для Linux-машин - это одно, а для Linux-машин и какого-нибудь NGFW типа Fortigate - это совсем другое. Особенно если учесть, что этот NGFW обслуживает не только сервис стыковки по IPsec, а вообще всю компанию, и последствие ошибки в скриптах автоматизации - это не только падение IPsec-сегмента, но и других сервисов.

https://habr.com/ru/companies/1cupis/articles/894118/

Ich setze gerade (das erste mal seit über 15 Jahren) wieder eine #IPSec-Infrastruktur auf. Grund: FRITZ!Boxen bieten #Wireguard nur an, wenn man ein MyFritz-Konto einrichtet und das ist dann anscheinend nur für Inbound-Verbindungen gedacht. Ich will aber Outbound eine Verbindung in mein Infra-#VPN damit ich die USB-Festplatte die an der FRITZ!Box hängt von dem NAS bei mir zu Hause aus zwecks Backup pollen kann.

Was man im #Urlaub halt so macht…

Move your firewall into the cloud on AWS: https://blog.ipfire.org/post/launching-ipfire-on-aws. IPFire is available on AWS and can protect your servers and comfortably connect them to your office via a VPN #AWS #cloud #firewall #ipsec #openvpn

#strongSwan VPN Client (An easy to use #IKEv2/#IPsec -based #VPN client.)
https://f-droid.org/packages/org.strongswan.android/
https://github.com/strongswan/strongswan
#android

#SysadminLife pondering…

Given
- Remote #Debian/#Ubuntu server
- can‘t be accessed from internet
- behind (CG-)NATv4, no IPv6
- can reach any outside tcp/udp port

- A network under my full control
- Firewall can do: #IPSec, #Wireguard, #OpenVPN, #Tailscale/#Headscale Client
- I can self host any opensource service/container, and expose it

Challenge
- Make services on that server accessible TO my network
- server MUST NOT reach ONTO my network
- No 3rd party service dependence

IPFire uses top-of-the-art cryptography for its IPsec VPN tunnels. Therefore it is faster & more secure than many of its competitors #ipsec #ellipticcurves

Лучшие бесплатные VPN для ПК и смартфона 2025 (которые работают)

В последние несколько лет на территории РФ ужесточилась фильтрация интернет-трафика средствами ТСПУ. Сотни сайтов и интернет-сервисов внесены в чёрные списки и заблокированы. Получить доступ к ним можно только через VPN. Однако самые популярные VPN тоже подверглись блокировке. Ограничения можно обойти через канал на собственном зарубежном сервере, купив там самый дешёвый хостинг за пару долларов или уже готовый VPS с установленным VPN (такие объявления есть на Авито ). Если своего сервера нет, то остаётся только прибегнуть к услугам сторонних VPN-сервисов, которые ещё не заблокированы. Лучшие бесплатные VPN из выживших перечислены ниже. Примечание . Эту статью Хабр наверняка заблокирует для пользователей из РФ, в исполнение запрета Роскомнадзора на информацию об обходе блокировок, так что лучше сразу после публикации сохранить её.

https://habr.com/ru/articles/881878/

This thread really helped me a lot!
https://github.com/strongswan/strongswan/issues/2230#issuecomment-2400447833
#Linux #IPsec #VPN

Une #cyberattaque de grande ampleur aurait visé #Conforama, exposant les données de 9 millions de clients.

#cybbersec #cyber #hack ##hacker #IPSec #piratage #pirate

https://econostrum.info/cyberattaque-conforama-9-millions-menaces/

From this week's Linux Update newsletter: Koen Vervloesem shows you how to operate a VPN and manage clients with WireGuard Easy's user-friendly web interface
https://www.linux-magazine.com/Issues/2025/290/WireGuard-Easy
#VPN #security #WireGuard #OpenSource #OpenVPN #IPsec #FOSS

BSD Router Project - дистрибутив предназначен для создания компактных программных маршрутизаторов, поддерживающих протоколы маршрутизации RIP, OSPF, BGP и PIM. Управление производится в режиме командной строки через CLI-интерфейс, напоминающий интерфейс Cisco IOS. Дистрибутив доступен в сборках для архитектуры x86_64 (размер установочного образа 190 МБ).
Основные характеристики дистрибутива:
В комплект входят два пакета с реализацией протоколов маршрутизации: FRRouting (форк Quagga) с поддержкой BGP, RIP, RIPng (IPv6), OSPF v2, OSPF v3 (IPv6), ISIS и BIRD с поддержкой BGP, RIP, RIPng (IPv6), OSPF v2 и OSPF v3 (IPv6).
Дистрибутив адаптирован для параллельного использования нескольких обособленных таблиц маршрутизации (FIB), привязанных к реальным и виртуальным интерфейсам.
Для мониторинга и управления может использоваться SNMP (bsnmp-ucd).
Поддерживается экспорт данных о трафике в форме потоков Netflow.
Для оценки производительности сети в состав входят утилиты NetPIPE, iperf, netblast, netsend и netreceive. Для накопления статистики о трафике используется ng_netflow.
Поддержка создания отказоустойчивых маршрутизаторов из двух серверов - в штатном режиме нагрузка может быть распределена на оба сервера, но в случае сбоя первый маршрутизатор может взять на себя нагрузку второго, а второй - первого (применяется привязка к активному серверу виртуального MAC-адреса). Реализация основана на использовании протоколов VRRP (Virtual Router Redundancy Protocol) и CARP (Common Address Redundancy Protocol), реализованный при помощи пакета ucarp.
Поддержка PPTP, PPPoE и L2TP при помощи mpd (Multi-link PPP daemon).
Поддержка ограничения пропускной способности при помощи IPFW + dummynet или ng_car.
Для Ethernet поддерживается работа с VLAN (802.1q), агрегация линков и использование сетевых мостов (802.1w, Rapid Spanning Tree Protocol).
Для мониторинга применяется пакет monit.
Поддержка VPN: GRE, GIF, IPSec (IKEv1 и IKEv2 со strongswan), OpenVPN и Wireguard.
Поддержка NAT64 с использованием демона tayga и встроенная поддержка туннелей IPv6-to-IPv4.
Возможность установки дополнительных программ, используя пакетный менеджер pkgng.
Использование в качестве DHCP-сервера dnsmasq, а в качестве агента доставки почты - ssmtp.
Поддержка управления через SSH, последовательный порт, telnet и локальную консоль. Для упрощения администрирования в комплект входит утилита tmux (BSD-аналог screen).
Загрузочные образы сгенерированы на основе FreeBSD при помощи скриптов из NanoBSD.
Механизм обновления системы основывается на создании двух разделов на Flash-накопителе: новая версия загружается во второй раздел, который после перезагрузки становится активным, а другой раздел ожидает появления очередного обновления (разделы меняются местами). В случае выявления проблем с установленным обновлением возможен откат на прошлое состояние системы.
Для проверки целостности системы для каждого файла сохраняется контрольная сумма sha256.

#BSDRouterProject #FreeBSD #Routing #Networking #OSPF #BGP #VRRP #Firewall #NAT64 #OpenVPN #Wireguard #NetFlow #CLI #CompactRouter #NanoBSD #IPv6 #SNMP #L2TP #ipsec

https://pocketnet.app/pureaceton?ref=PDQmXtWJfd8f6fMtwaxzCuqvLpoN3KbS4o