[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]
Documentation/network/ipsec/index.list: 1.69 -> 1.70
以下のページの更新をしました。ツッコミをお願いします。
Documentation/network/ipsec/index.list: 1.69 -> 1.70
金曜日までに異議がなければ、 commit します。
対応する原文の差分は
http://cvsweb.netbsd.org/bsdweb.cgi/htdocs/Documentation/network/ipsec/index.list.diff?r1=1.69&r2=1.70
です。
変更は主に
- NetBSD 1.5 以前に関する記述の削除
- <PKGSRC>security/racoon を racoon に変更
です。
このほか、原文の
> note that racoon cannot negotiate keys with itself
が
> racoon 自身は、鍵の交渉をできないことに注意
となっていたところを
> racoon は自分自身とは鍵の交渉をできないことに注意
に修正しました。
更新後のものを
http://www.na.rim.or.jp/%7Ekano/tmp/ipsec/index.list
http://www.na.rim.or.jp/%7Ekano/tmp/ipsec/
に置いてあります。
--- index.list.orig Wed Dec 29 21:58:00 2004
+++ index.list Wed Dec 29 22:10:44 2004
@@ -2,7 +2,7 @@
<html>
<head>
-<!-- Copyright (c) 1994-2003
+<!-- Copyright (c) 1994-2004
The NetBSD Foundation, Inc. ALL RIGHTS RESERVED. -->
<link rev="made" href="mailto:www@jp.NetBSD.org">
<link rel="shortcut icon" href="../../../../favicon.ico" origlink="/favicon.ico" type="image/x-icon">
@@ -35,9 +35,8 @@
<SECTION>IPsec FAQ
<ENTRY>getting_started はじめましょう
-IPsec (IP security protocol) のコードは1999年6月にNetBSD
-のディストリビューションにマージされました。
-IPsecは、NetBSD 1.5 以降に含まれています。
+
+IPsec (IP security protocol) は、 NetBSD 配布物の一部として含まれており、
IPsecが提供するパケット毎の認証/機密性は、IPsecを使用して通信するpeer間通信を保護します。
IPsecは IPv6とIPv4で利用可能です。
<p>
@@ -51,24 +50,6 @@
カーネルに切り替えても、ユーザーランドの再コンパイルは必要ありません。
<p>
-1.5 より前のシステムでの状況は、下記のとおりです:
-<ul>
- <li>NetBSD 1.4.xを利用しているなら、<a href="http://www.kame.net/">かめプロジェクト</a>の
- webpageを見てIPv6サポートのパッチを入手するとよいでしょう。
- かめプロジェクトでは IPv6/IPsec パッチを単一の tar.gz ファイルで配っています。
- IPsecはIPv4とIPv6両方で使用可能です。
- <li>1999年11月以前のNetBSD-currentを利用しているなら、IPsecを使用するには
- カーネル設定ファイル(<tt>GENERIC.v6</tt>)が必要です。
- <li>1999年11月21日以降のNetBSD-currentを利用しているなら、標準ではコメントアウトされた
- IPsecをサポートする<tt>GENERIC</tt>カーネル設定ファイルが含まれています。
- <li>2000 年 6 月より前には、 crypto ソースコードは別途配布されていました。
- 最近のツリーにアップグレードするか、 <A HREF=oldtree.html>
- 古いシステムでのツリーの構築方法</A>を見てください。
- 2000 年 6 月よりあとの NetBSD-current では、
- crypto ソースコードは基本ツリー中に統合されています。
-</ul>
-
-<p>
<STRONG>注意:</STRONG>
私たちは、 "IP security" という用語は、 IP ファイアウォール、
@@ -208,8 +189,9 @@
また、ユーザーランドの再構築は不要です。
<p>
-さらに、 <PKGSRC>security/racoon や <PKGSRC>security/isakmpd
-をインストールするのもよいかもしれません。
+さらに、 NetBSD 附属の racoon(8) を使ったり、
+<PKGSRC>security/isakmpd をインストールしたりするのもよいかもしれません。
+
<ENTRY>sample_esp 設定例: ホスト間の暗号化
もしマニュアルで設定した鍵でホスト間の暗号化(トランスポートモード)を行うなら、
@@ -446,13 +428,12 @@
カーネルの IPsec 部がどのように動作しているか知るために有用です。
<ol>
- <li>20000923a より新しい <PKGSRC>security/racoon を構築・インストールします。
- <li><tt>/usr/pkg/share/examples/racoon/racoon.conf.sample</tt> を
+ <li><tt>/usr/share/examples/racoon/racoon.conf.sample</tt> を
<tt>/etc/racoon/racoon.conf</tt> にコピーします。
必要に応じて <tt>racoon.conf</tt> 中のパラメーターを修正します。
両端で同一の設定を使うことが、 *非常に* 重要です -
両者の racoon.conf の差異がないようにしなければいけません。
- <li><PKGSRC>security/racoon は、 IPsec 鍵の交渉をする際、カーネルの
+ <li> racoon は、 IPsec 鍵の交渉をする際、カーネルの
IPsec ポリシーの設定に従います。
したがって、 setkey(8) を使い、カーネルの IPsec ポリシーを
設定しなければなりません。
@@ -490,26 +471,26 @@
B# chmod 600 /etc/racoon/psk.txt
</pre>
- <li><tt>/usr/pkg/sbin/racoon</tt> を実行します。
+ <li><tt>racoon</tt> を実行します。
デバッグトレースを見たい場合は、下記のような引数を取ります:
<pre>
-# /usr/pkg/sbin/racoon -f /etc/racoon/racoon.conf -d 0xffffffff
+# racoon -f /etc/racoon/racoon.conf -d 0xffffffff
</pre>
<li>A と B の間でパケットを交換してみてください。
- <PKGSRC>security/racoon のメッセージがコンソールに出て、
+ racoon のメッセージがコンソールに出て、
鍵が確立されます。
<pre>
A# ping -n B
(しばらくしてから、応答が見られるでしょう)
^C
A# setkey -D
-(<PKGSRC>security/racoon で交換された鍵が見られるでしょう)
+(racoon で交換された鍵が見られるでしょう)
</pre>
</ol>
-<PKGSRC>security/racoon は、ポリシー定義に基づいて鍵を交渉します。
+racoon は、ポリシー定義に基づいて鍵を交渉します。
ポリシー定義を変更することで、これ以外のケースに対しても容易に設定できます。
次の例は、下記の状況向けに鍵を設定するものです:
<ul>
@@ -519,7 +500,7 @@
B は、 A と接触したいクライアント。
<ol>
<li>A でのポリシー設定は、ローカルトラフィックに対しては AH を使いません
- (<PKGSRC>security/racoon 自身は、鍵の交渉をできないことに注意) 。
+ (racoon は自分自身とは鍵の交渉をできないことに注意)。
ポリシーの順序はたいへん重要です。
この順序を変えると、この設定は機能しなくなるでしょう。
<pre>
@@ -565,23 +546,10 @@
ipf(4) はパケットをふるいにかけ、また、 IPsec ポリシーの作用は本質的に
パケットフィルターと同じものです。
したがって、これらの実装は機能的に衝突します。
-<p>
-
-NetBSD 1.5 においては、 ipf(4) と IPsec トンネルモードの作用は協調しません。
-どうか、単一のノードに対して、 (「 NAT と IPsec ゲートウェイを一台で」
-というように) ipf(4) フィルタリングルールと IPsec トンネルモードの作用を
-設定したりしないでください。
-この問題は、 ipf(4) が IPsec トンネルでカプセル化されたパケットと
-カプセル解除されたパケットの両方を監視するためで、
-それゆえ有効なフィルタールールを明確にすることができなくなっています。
-<p>
-
-2001 年 2 月から、 NetBSD-current において、 ipf(4)/IPsec 相互の影響は、下記のように整理されました:
-<ul>
-<li>ipf(4) は、ネイティブのワイヤーフォーマットのパケットのみを監視します。
+ipf(4)/IPsec 相互の影響は、以下のとおりとなっています:
+ipf(4) は、ネイティブのワイヤーフォーマットのパケットのみを監視します。
ipf(4) は、入ってくるパケットは IPsec の処理前のものを、
出てゆくパケットは IPsec の処理後のものを監視します。
-</ul>
<p>
この処理順序のもとでも、以下のことを知っておいてください:
@@ -596,8 +564,6 @@
これらのパケットには、 ipf.conf(5) でインターフェース名ディレクティブを
使って見分けるようにする必要があるかもしれません。
</ul>
-
-この改良は NetBSD 1.6 と 1.5.1 (とそれ以降) で使えるようになります。
<p>
下記の図は、新しい処理順序をまとめたものです。
@@ -806,8 +772,8 @@
(連絡先 - <a href="http://www.NetBSD.org/cgi-bin/feedback.cgi">英語</a>,
<a href="mailto:www@JP.NetBSD.org">日本語:
www@JP.NetBSD.org</a>)<br>
- $NetBSD: index.list,v 1.69 2004/03/20 21:39:48 snj Exp $<br>
- <a href="../../../Misc/disclaimer.html">Copyright © 1994-2003
+ $NetBSD: index.list,v 1.70 2004/08/28 00:13:48 hubertf Exp $<br>
+ <a href="../../../Misc/disclaimer.html">Copyright © 1994-2004
The NetBSD Foundation, Inc. ALL RIGHTS RESERVED.</a>
</small>
</address>