VPN - Virtuelle Private Netzwerke

Transkript

1 Manfred Lipp VPN - Virtuelle Private Netzwerke Aufbau und Sicherheit ^ - ADDISON-WESLEY An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam

2 Vorwort 15 Aufbau 16 Danksagung 17 Virtuelle private Netzwerke Was ist ein VPN? Geschichte und Technologien Warum VPNs? Rahmenbedingungen für den Einsatz DerVPN-Markt IP-VPNs und das Internet Entwicklungen und Ausblicke 33 VPN-Typen Remote-Access-VPN Branch-Office-VPN Extranet-VPN VPN-Service-Provider IP-VPN-Dienste Layer-2-VPN-Dienste Intranet-VPN Virtual Local Area Network (VLAN) VLANsnachIEEE802.1q IP-Tunneling 52 Anforderungen an VPNs Sicherheit Datenvertraulichkeit Schlüsselmanagement Paket-Authentifizierung Datenintegrität Benutzer-Authentifizierung Benutzer-Autorisierung Schutz vor Sabotage Schutz vor unerlaubtem Eindringen 57

3 3.2 Verfügbarkeit Die Verfügbarkeit von Wählverbindungen Die Verfügbarkeit von permanenten Verbindungen Die Verfügbarkeit von IP-VPNs Performance Die Performance von Wählverbindungen Die Performance von permanenten Verbindungen Die Performance von IP-VPNs Quality-of-Service (QoS) Einführung in QoS-Konzepte Quality-of-Service bei Wählverbindungen Quality-of-Service bei permanenten Verbindungen Quality-of-Service im IP-Protokoll Die IP-Differentiated-Services-Architektur (DiffServ) Differentiated Services in IP-VPNs Skalierbarkeit und Migrationsfähigkeit Integration in existierende Netze Management Sicherheit Koexistenz zu traditionellen WAN-Strukturen Adressmanagement Interoperabilität 85 Sicherheitstechnologie Sicherheit in VPNs Sicherheit in Unternehmensdatennetzen Die Sicherheit von virtuellen privaten Netzen Datenvertraulichkeit Sicherheit in der Netzwerkschicht mit IP Security Benutzer-Authentifizierung Die Grundlagen der Kryptographie Geschichtliches Datenvertraulichkeit Verschleierung und Verschlüsselung Die Kunst der Kryptoanalyse 99

4 4.2.5 Einführung in die Kryptographie Verschlüsselungsverfahren Symmetrische Verschlüsselungsverfahren Der Data Encryption Standard (DES) Ein Überblick über DES Die DES-Schlüsseltransformation Die DES-Funktion Die DES-Entschlüsselung Triple-DES Cipher Block Chaining (CBC) Die Funktionsweise von CBC Ausblick: Der Advanced Encryption Standard AES-Software-Implementierung AES-Hardware-Implementierung AES-Geschwindigkeit und Optimierungsmöglichkeiten »And the winner is... Rijndael« Asymmetrische Verschlüsselungsverfahren Die kurze Geschichte der Public-Key-Kryptographie Das Grundprinzip der Public-Key-Kryptographie Mathematische Grundlagen Das Diffie-Hellman-Verfahren Das RSA-Verfahren Zufallszahlen Hashfunktionen Algorithmen KeyedHashing Hash-based Message Authentication Code (HMAC) 143 Authentifizierung Möglichkeiten der Authentifizierung Starke und schwache Authentifizierung Wissensbasierende Authentifizierung Besitzbasierende Authentifizierung Kombinationsverfahren Biometrik Verfahren mit Einmal-Token 148

5 5.2 Digitale Signaturen und digitale Zertifikate Funktionsweise von digitalen Signaturen Digitale Zertifikate nach ITU-X.509-Standard Authentifizierungssysteme und -protokolle PAPundCHAP RADIUS LDAP Chipkarten Public Key Infrastructure (PKI) Vertrauensmodelle Die Certificate Authority (CA) Die Registration Authority (RA) Zertifikat-Management Die Qual der Wahl: Öffentliche oder private Zertifikate Das Signaturgesetz und die EU-Richtlinie Tunneling-Technologien im Überblick Tunneling-Modelle Das Intra-Provider-Modell Das Provider-Enterprise-Modell Das Ende-zu-Ende-Modell Tunneling-Protokolle Layer-2-Tunneling-Protokolle Layer-3-Tunneling-Protokolle Multi Protocol Label Switching (MPLS) Standardisierte Tunneling-Protokolle IP Security Protocol (IPSec) im Tunnel-Modus Layer 2 Tunneling Protocol (L2TP) Nicht standardisierte Protokolle Layer 2 Forwarding (L2F) Point-to-Point Tunneling Protocol (PPTP) Verschachtelte Tunneling-Protokolle Welches Protokoll für welchen Zweck? Gegenüberstellung Auswahlkriterien 184

6 7 Das IP-Security-Protokoll (IPSec) IP Security im Überblick Paketintegrität Paketauthentifizierung Paketvertraulichkeit Verkehrsflussvertraulichkeit Schutz vor wiederholtem Senden von Paketen (Replay-Angriff) Schutz vor weiteren Denial-of-Service-Angriffen Kryptographische Verfahren in IPSec Datenverschlüsselung in IPSec Integritätsprüfung und Authentifizierung in IPSec Schutz vor Replay-Angriffen Die IPSec-Standardisierung Die IPSec-Architektur Die aktuelle IPSec-Standardisierung Die IPSec-Sicherheitsassoziation Die IPSec-Security-Policy Die Security Policy in IPSec Die IPSec-Selektoren IPSec-Betriebsmodi Tunnelmodus Transportmodus IPSec-Einsatzszenarien Gateway-zu-Gateway Host-zu-Gateway Host-zu-Host IPSec-Protokolle Die Paketverarbeitung in IPSec Das Authentication-Header-Protokoll (AH) Das Encapsulating-Security-Payload-Protokoll (ESP) IPSec-Implementierungen Betriebssystemebene, IPSec-Stack Bump-in-the-Stack (BITS) Betrachtungen zur IPSec-Performance Zukünftige Entwicklungen 219

7 8 Das Internet-Key-Exchange-Protokoll Das Henne-Ei-Problem ISAKMP Die Sicherheit von ISAKMP DerlSAKMP-Header Der generische ISAKMP-Nutzdaten-Header ISAKMP-Nutzdaten Die Sicherheitsassoziation-Payload Die Proposal Payload Die Transform Payload Key Exchange Payload Identification Payload Certificate Payload Certificate Request Payload Hash, Signature und Nonce Payload Notification Payload Delete Payload Vendor ID Payload Die ISAKMP-Phasen Die ISAKMP-Austauschvorgänge Das Oakley Key Determination Protocol Die Oakley-Gruppe DieOakley-Gruppen2bis Der Aufbau von IKE Perfect Forwarding Secrecy Die Attribute einer IPSec-Sicherheitsassoziation Die Attribute einer ISAKMP-Sicherheitsassoziation IKE-Sicherheitsverfahren Die Schlüsselerzeugung in IKE IKE-Authentifizierung Der IKE Main Mode Authentifizierung mit Pre-Shared Key Authentifizierung mit digitaler Signatur Authentifizierung mit Public-Key-Verschlüsselung (RSA) 261

8 8.6.4 Authentifizierung mit revidierter Public-Key- Verschlüsselung (RSA) Der IKE Aggressive Mode Authentifizierung mit Pre-Shared-Secret Authentifizierung mit digitaler Signatur Authentifizierung mit standardisierter und revidierter Public-Key-Verschlüsselung Der IKE Quick Mode Die Performance von IKE IKE und Hardwarebeschleuniger Das Layer 2 Tunneling Protocol Das Point-to-Point Protocol (PPP) PPP-Remote-Access PPP-Komponenten PPP-Steuerungsprotokolle und -Dienste PPP-Verbindungsaufbau PPP-Tunneling mit L2TP Virtueller Remote Access mit L2TP PPP-Session-Verteilung in L2TP Die Rolle des LAC (L2TP Access Concentrator) Die Rolle des LNS (L2TP Network Server) Betrachtungen zur Performance von L2TP L2TP-Tunneling-Modelle L2TP-Paketformate L2TP Attribute Value Pairs (AVP) Auf- und Abbau von Tunneln und Calls in L2TP L2TP-Benutzer-Authentifizierung Die Sicherheit von L2TP IPSec secured L2TP VPN-Design Ein VPN ist auch nur ein Netzwerk Die Planung Die Ist-Aufnahme Technische Aspekte Betriebswirtschaftliche Aspekte Sicherheit 315

9 10.4 Der Sollzustand Der unvermeidliche (?) Bruch Randbedingungen Technische Aspekte Betriebswirtschaftliche Aspekte Die Übergangsphase Die Sicherheitsstrategie Auswahl der VPN-Technologie VPN-Typ Tunneling-Protokolle Ermitteln der QoS-Parameter Die Realisierung Routing im VPN Remote Access Kleine Außenstellen und Heimbüros Skalierbarkeit Redundanz und Ausfallsicherheit Durchsatz und Quality-of-Service Sicherheitsstrategie und Firewalls Authentifizierungsverfahren Die Auswahl von Service Providern Service Level Agreements Beispiele Remote-Access-VPN Branch-Office-VPN IP-VPN-Service eines ISP Auswahl der VPN-Komponenten VPN, Feature oder dediziert? Performance Eigene Messungen Veröffentlichte Testberichte Beurteilungskriterien Die Herstellerauswahl Die Auswahl der VPN-Komponenten Das Beispielnetzwerk Allgemein 372

10 Leistung Schnittstellen Tunneling-Protokolle Sicherheit Authentifizierung Quality-of-Service und Profile Management, Accounting, Logging VPN-Routing 11.5 Die Auswahl von VPN-Clientsof tware 12 Fallstudien 12.1 Studie 1: Die Software AG Zum Unternehmen Das Projekt Projektablauf und Realisierung 12.2 Studie 2: Der Blutspendedienst des DRK Zu den Unternehmen Das Projekt Projektablauf und Realisierung 12.3 VPN-Dienste von Service Providern 12.4 Studie 3: Die VIAG Interkom Anhang Zum Unternehmen Der IP-VPN-Dienst Infrastruktur Remote-Access-VPN Branch-to-Branch-VPN Weiterführende Literatur Links 14 Stichwortverzeichnis und weitere Funktionen