IPSEC Mikrotik(server) + WinXP(client)

Mikrotik  v 6.21 (server)

/ip ipsec proposal
set [ find default=yes ] enc-algorithms=3des auth-algorithms=sha1

/ip pool
add name=vpn_pool ranges=192.168.4.200-192.168.4.254

/interface l2tp-server server

set default-profile=profile_l2tp enabled=yes ipsec-secret=243211 use-ipsec=yes

(ipser peer  создается автоматический)

/ip address

add address=10.10.10.1/30 interface=ether4 network=10.10.10.0

/ip firewall filter

add chain=input dst-address=10.10.10.1 dst-port=500,1701 in-interface=ether4 \

    protocol=udp src-address=10.10.10.2

add chain=input dst-address=10.10.10.1 in-interface=ether4 protocol=ipsec-esp \

    src-address=10.10.10.2

WinXP(client)

https://kb.iweb.com/entries/22387228-Configuring-new-VPN-L2TP-IPSec-connections-on-Windows-XP

Ссылки

http://wiki.mikrotik.com/wiki/L2TP_%2B_IPSEC_between_Mikrotik_router_and_a_PC

http://wiki.mikrotik.com/wiki/MikroTik_RouterOS_and_Windows_XP_IPSec/L2TP

http://nixman.info/?p=2308

Что показывает AT+CREG?

AT+CREG?
+CREG: 0,3

<stat>: network registration state
For <stat> = 1 or 5 (i.e the Wireless CPU® is registered on a
network) the next parameter couple is returned if <mode> = 2
For <stat> = 3 (i.e. the network registration is denied) and if the
customer application has enabled, the denied network
registration cause with the +WBHV command, only the
<rejectCause> parameter is returned with the meaning as
explained in <rejectCause> mode
0 not registered, ME is not currently searching for a new
operator
1 registered, home network
2 not registered, ME currently searching for a new operator
3 registration denied
4 unknown
5 registered, roaming

Фазы (этапы) IPSec

1. Определение трафика подлежащего шифрованию.
Чаще всего используеются так называемые crypto acl.

2. Первая фаза IKE. 
2.1. Аутентификация обоих концов туннеля.
2.2. Создается IKE SA которая используется для защиты процесса IKE.
2.3. Выполняется алгоритм Диффи-Хелмана, который гарантирует, что на каждом конце туннеля будет использоватся одинаковый shared secret, без пересылания этого shared secret.
2.4. Создается туннель для работы второй фазы IKE.


Первая фаза IKE может проходить в двух режимах:
- Main mode
проходит в три этапа:
- согласование используемых алгоритмов
- обе стороны используеют алгоритм Диффи-Хелмана для определения ключей
- используя ключи стороны аутентифицируют друг-друга.
- Aggressive mode
Все что посылается в Main mode в три этапа, посылается в одном пакете. Основная проблема, что стороны обмениваются информацией до того как безопасное соединение будет установлено.

3. Вторая фаза IKE.
Основаня задача этого этапа подготовить IPSec SA которые будут использоватся непосредственно для шифрования трафика. Сюда входит согласование параметров и собственно установка.
IPSec может переходить из фазы 4 к фазе 4 и назад в нескольких случаях:

- каждая SA имеет определенное время жизни (например 1 час в Checkpoint), соостветственно по истечении этого часа необходимо пересоздать SA. 
При этом для создания новой SA используется тот же shared secret, что и раньше.
- использование perfect forward secrecy (PFS). Алгоритм PFS гарантирует, что при создании новой SA предыдущий shared secret использоватся не будет, более того не будет никакой корреляции между старым и новым shared secret. Для реализации PFS используется алгоритм Диффи-Хелмана в quick mode.

Quick mode: для ренерации новой SA используется текущая SA (нет отброса на первую фазу IKE).


4. Нормальная работа.
На этой фазе туннель работает в нормальном режиме шифруя и расшифровывая трафик.

5. Закрытие туннеля.
Может быть принудительным (clear SA) либо по истечении тайм-аута.

http://techoover.blogspot.ru/2007/09/ipsec.html

Keyboard Shortcuts for Bash

 Command Shell for Ubuntu, Debian, Suse, Redhat, Linux, etc

Ctrl + A	Go to the beginning of the line you are currently typing on
Ctrl + E	Go to the end of the line you are currently typing on
Ctrl + L	Clears the Screen, similar to the clear command
Ctrl + U	Clears the line before the cursor position. If you are at the end of the line, clears the entire line.
Ctrl + H	Same as backspace
Ctrl + R	Let’s you search through previously used commands
Ctrl + C	Kill whatever you are running
Ctrl + F	Move cursor one character to the right
Ctrl + B	Move cursor one character to the left
Ctrl + W	Delete the word before the cursor
Ctrl + K	Clear the line after the cursor
Ctrl + T	Swap the last two characters before the cursor
Esc + T	Swap the last two words before the cursor
Alt + F	Move cursor forward one word on the current line
Alt + B	Move cursor backward one word on the current line
Tab	Auto-complete files and folder names

Редактирование /.ssh/known_hosts

sed -i 3d /home/user/.ssh/known_hosts
где 3 цифра в конце строки
Offending key in /home/user/.ssh/known_hosts:3

IPSEC cisco VPN restart/reload

clear crypto sa peer x.x.x.x will keep the phase 1 and rebuild phase 2, 
clear crypto isakmp id with the id from 
clear crypto sa will reset the whole tunnel

Port knocking over ICMP

Debian

icmp 113 байт (случайные данные)+8 байт (icmp заголовок)+ 20 байт (ip заголовок) ttl для пакета более 88 сек.

# Если пришёл icmp пакет длиной не 141 байт, то добавляем его ip в таблицу BLOCK для блокировки
iptables -A INPUT -p icmp --icmp-type echo-request -m length ! --length 141 -m recent --name BLOCK --set
# Если пришел icmp пакет длиной 141 байт и временем жизни более 65, то добавляем его ip в таблицу OPEN
iptables -A INPUT -p icmp --icmp-type echo-request -m length   --length 141 -m ttl --ttl-gt 65 -m recent --name OPEN  --set
# Разрешаем доступ к порту SSH (22) для ip из таблицы OPEN в течении 20 секунд после добавления в таблицу
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --name OPEN  --rcheck --seconds 30 -j ACCEPT
# Блокируем доступ к порту SSH (22) для ip из таблицы BLOCK в течении 60 секунд после добавления в таблицу
iptables -A INPUT -p tcp --dport 22 -m recent                      --name BLOCK --rcheck --seconds 60 -j DROP


Проверка...

C:\Users\User>ping 192.168.2.5 -n 1 -l 113 -i 89
Обмен пакетами с 192.168.2.5 по с 113 байтами данных:
Превышен интервал ожидания для запроса.
Статистика Ping для 192.168.2.5:
    Пакетов: отправлено = 1, получено = 0, потеряно = 1
    (100% потерь)

C:\Users\User>

**** Списки, создаваемые модулем recent из iptables не сохраняются при перезагрузке и хранятся в папке /proc/net/xt_recent/* (см. man iptables)

http://virtualpath.blogspot.ru/2011/04/iptables-mail-http.html

Mikrotik

http://habrahabr.ru/post/186488/