VDE_CRYPTCAB(1) General Commands Manual VDE_CRYPTCAB(1)

vde_cryptcab - مدیر کابل رمزنگاری‌شده برای اترنت توزیع‌شده مجازی

vde_cryptcab [ -p portnum ] [ -s socketpath ] [ -c [remote_user@]host[:remote_portnum] ] [ -P pre_shared.key ]| [ -x ] [ -v [v][v][v] ] [ -k ] [ -d ]

برنامهٔ vde_cryptcab یک مدیر کابل توزیع‌شده برای سوییچ‌های VDE است. این ابزار به دو سوییچ VDE در دو ماشین مختلف اجازه می‌دهد تا با استفاده از یک کانال رمزنگاری‌شدهٔ ChaCha با یکدیگر ارتباط برقرار کنند.

هنگامی که در حالت کلاینت (یعنی با گزینهٔ -c) استفاده شود، یک کلید تصادفی ChaCha ایجاد کرده و از scp (1) برای انتقال کلید به سرور راه دور استفاده می‌کند.

در سمت کلاینت، متغیر محیطی SCP_EXTRA_OPTIONS می‌تواند برای افزودن گزینه‌ها به خط فرمان scp تنظیم شود (این ویژگی برای مثال زمانی کاربرد دارد که از dropbear یا کلاینت غیر استاندارد دیگری از ssh برای انتقال کلید ChaCha استفاده شود).

پس از مرحلهٔ دست‌تکانی ۴مرحله‌ای (4-way handshake) برای تأیید اعتبار کلاینت، سرور و کلاینت دیتاگرام‌های VDE را با بسته‌بندی در قالب رمزشناختی‌ها (cryptograms) که از طریق udp به هر میزبان راه دور فرستاده می‌شوند، مبادله می‌کنند.

در سمت سرور، می‌توان دستور زیر را اجرا کرد:


vde_cryptcab -s /tmp/vde2.ctl -p 2100
تا یک سرور cryptcab چندهمتا راه‌اندازی شود که دیتاگرام‌های udp را روی پورت ۲۱۰۰ می‌پذیرد و هر کلاینت راه‌دور احراز هویت‌شده را به پورت متفاوتی از سوییچ متصل می‌کند. در واقع، نمونهٔ جدیدی از vde_plug (1) آغاز به کار کرده و از طریق سوکت یونیکس محلی به سوییچ متصل می‌شود.

دستور


vde_cryptcab -s /tmp/vde2.ctl -c foo@remote.machine.org:2100
یک کلاینت را به سرور راه دور که روی پورت udp شمارهٔ ۲۱۰۰ اجرا می‌شود متصل می‌کند. در این مرحله، در سمت سرور تأیید اعتبار کاربر «foo» الزامی است که معمولاً می‌تواند شامل موارد زیر باشد: احراز هویت مبتنی بر میزبان (host-based)، آزمون رمز عبور (password challenge)، یا احراز هویت با کلید عمومی (public key). برای جزئیات بیشتر به ssh (1) مراجعه کنید.

اگر دو vde_switch به صورت دیمن (daemon) اجرا شده و به رابط‌های tap متصل باشند، یک تونل رمزنگاری‌شدهٔ سطح ۲ (لایه ۲) برقرار می‌شود.

امکان تعیین پورت udp محلی مورد استفاده را فراهم می‌کند. در صورتی که این گزینه مشخص نشود، cryptcab از شماره پورت پیش‌فرض udp یعنی 7667 استفاده خواهد کرد.
اجرای vde_cryptcab در حالت کلاینت، جهت تلاش برای اتصال به host. هر دو پارامتر remote_user و remote_portnum اختیاری هستند. در صورت عدم تعیین، همان کاربری که vde_cryptcab را اجرا کرده برای احراز هویت در سرور استفاده می‌شود، و پورت پیش‌فرض udp یعنی 7667 به کار می‌رود.
سوکت UNIX مورد استفاده توسط برنامه‌های محلی برای پیوستن به VDE را مشخص می‌کند. مقدار پیش‌فرض «/tmp/vde.ctl» است.
در صورت تعیین، vde_cryptcab به جای تولید یک کلید تصادفی و انتقال آن با ssh، در حالت کلید از پیش اشتراک‌گذاشته‌شده (pre-shared key) اجرا خواهد شد. گزینهٔ ارائه‌شده مسیر فایل کلید متقارن از پیش اشتراک‌گذاشته‌شده برای رمزنگاری داده‌ها است. باید از کلید یکسانی در هر دو سمت کلاینت و سرور استفاده شود.
غیرفعال کردن رمزنگاری با کلید متقارن.
ارسال بسته‌های دوره‌ای «keepalive» برای جلوگیری از انقضای زمان سرور (timeout). این گزینه برای زنده نگه داشتن پیوندهای کم‌ترافیک مفید است.
اجرا به صورت دیمن (daemon).
حالت پرجزئیات. (برای جزئیات بیشتر از -vv یا -vvv یا -vvvv استفاده کنید)

بسته‌بندی بسته‌های IP درون لایهٔ نشست+udp باعث می‌شود دیتاگرام‌های واقعی بزرگ‌تر از MTU دستگاه tap شوند. از آنجا که تکه‌تکه‌شدن بسته‌ها (packet fragmentation) باعث اختلال در عملکرد vde_cryptcab می‌شود، مقدار MTU دستگاه tap باید روی عددی کوچک‌تر از MTU رابط واقعی تنظیم گردد. برای تنظیم MTU دستگاه tap خود از ip(8) یا ifconfig(8) استفاده کنید.

غیرفعال کردن صریح رمزنگاری مشکلات امنیتی آشکاری در پی خواهد داشت. توصیه می‌شود در شبکه‌های کنترل‌نشده از حالت بدون رمزنگاری (-x) پرهیز کنید.

پروژهٔ Virtual Distributed Ethernet به هیچ عنوان ارتباطی با www.vde.com (یعنی «Verband der Elektrotechnik, Elektronik und Informationstechnik» یا انجمن فناوری‌های الکتریکی، الکترونیکی و اطلاعاتی آلمان) ندارد.

vde_switch(1), vdeq(1), vde_plug(1), vde_plug2tap(1), scp(1), ssh(1).

پروژهٔ VDE توسط Renzo Davoli <renzo@cs.unibo.it> ایجاد شده است.

ابزار vde_cryptcab یکی از مؤلفه‌های VDE است که توسط Daniele Lacamera <root@danielinux.net> نوشته شده است.

December 6, 2006 Virtual Distributed Ethernet