ipsec ah only

[gg0815]

Hallo,

Ich habe eine Problemstellung, die Lösung will nicht recht gelingen.

Ich habe drei hosts ( a,b, c )

b hat einen Tunnel ( properitaer ) nach c.

b soll Pakete von a zu c weiterleiten und zurueck. Das funktioniert bereits.

Nun sollen aber die Pakete von a für c und umgekehrt die somit über b laufen, zwischen a und b via ipsec ah authorisiert werden. Nicht jedoch zwischen b und c oder a und c.

Es soll kein Tunnel sein sondern nur die Authorizierung dieser speziellen a<->c Pakete zwischen a und b.

a und b sind Linuxmaschinen Kernelversion 2.6.16.

Kann mir jemand einen Tip geben wie die ipsec Konfiguration aussehen müsste ?

Ich habe mit setkey bereits allen direkten Verkehr zwischen a un b authoriziert, das soll aber eigentlich nicht unbedingt sein.

Host a:

add <B_IP> <A_IP> ah 0x301 -A hmac-md5 <PSK>

add <A_IP> <B_IP> ah 0x201 -A hmac-md5 <PSK>

spdadd <B_IP> <A_IP> any -P in ipsec ah/transport//require;

spdadd <A_IP> <B_IP> any -P out ipsec ah/transport//require;

Host b entsprechend.

Der Verkehr zwischen von a für b und umgekehrt läuft damit authoriziert ( im tcpdump zu sehen )

Die betroffenen Pakete jedoch welche b forwarden soll laufen aber ( so sieht es im tcpdum aus ) immer noch ohne AH.

Ich habe versucht,

Host a:

add <C_IP> <A_IP> ah 0x301 -A hmac-md5 <PSK>

add <A_IP> <C_IP> ah 0x201 -A hmac-md5 <PSK>

spdadd <C_IP> <A_IP> any -P in ipsec ah/transport//require;

spdadd <A_IP> <C_IP> any -P out ipsec ah/transport//require;

Host b entsprechend.

und auch eine weitere Konfig Host a wie eben, Host b anstelle in/out fwd:

add <C_IP> <A_IP> ah 0x301 -A hmac-md5 <PSK>

add <A_IP> <C_IP> ah 0x201 -A hmac-md5 <PSK>

spdadd <C_IP> <A_IP> any -P fwd ipsec ah/transport//require;

spdadd <A_IP> <C_IP> any -P fwd ipsec ah/transport//require;

Bei diesen beiden letzten Varianten kommt keine Verbindung a<->c mehr zustande.

Ich brauche nur AH kein ESP.

Ich hoffe mir kann jemand einen Tip geben.

Danke