Anytun - Secure Anycast Tunneling

Transkript

1 Anytun - Secure Anycast Tunneling Christian Pointner Mai 2015 Christian Pointner 1 / 21

2 Überblick 1 Open Source VPN Lösungen 2 Warum Anytun? 3 SATP und (u)anytun 4 Verwendungs-Szenarien 5 Zukunft Christian Pointner 2 / 21

3 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

4 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

5 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

6 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

7 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

8 OpenVPN eines der ältesten SSL/TLS basierten VPNs viele Features Multi-Platform große Community wird von Coverity regelmäßig geprüft Firma die Support bietet Christian Pointner 3 / 21

9 tinc neueres Projekt - weniger Legacy Code basiert auf SSL/TLS unterstützt automatisches Meshing (P2P) kleinere Community Multi-Platform (weniger als OpenVPN) Christian Pointner 4 / 21

10 tinc neueres Projekt - weniger Legacy Code basiert auf SSL/TLS unterstützt automatisches Meshing (P2P) kleinere Community Multi-Platform (weniger als OpenVPN) Christian Pointner 4 / 21

11 tinc neueres Projekt - weniger Legacy Code basiert auf SSL/TLS unterstützt automatisches Meshing (P2P) kleinere Community Multi-Platform (weniger als OpenVPN) Christian Pointner 4 / 21

12 tinc neueres Projekt - weniger Legacy Code basiert auf SSL/TLS unterstützt automatisches Meshing (P2P) kleinere Community Multi-Platform (weniger als OpenVPN) Christian Pointner 4 / 21

13 tinc neueres Projekt - weniger Legacy Code basiert auf SSL/TLS unterstützt automatisches Meshing (P2P) kleinere Community Multi-Platform (weniger als OpenVPN) Christian Pointner 4 / 21

14 strongswan IPsec Implementierung für Linux basiert auf frees/wan unterstützt IKEv1 und IKEv2 getestet mit vielen verschiedenen IPsec Implementierungen Christian Pointner 5 / 21

15 strongswan IPsec Implementierung für Linux basiert auf frees/wan unterstützt IKEv1 und IKEv2 getestet mit vielen verschiedenen IPsec Implementierungen Christian Pointner 5 / 21

16 strongswan IPsec Implementierung für Linux basiert auf frees/wan unterstützt IKEv1 und IKEv2 getestet mit vielen verschiedenen IPsec Implementierungen Christian Pointner 5 / 21

17 strongswan IPsec Implementierung für Linux basiert auf frees/wan unterstützt IKEv1 und IKEv2 getestet mit vielen verschiedenen IPsec Implementierungen Christian Pointner 5 / 21

18 ipsec-tools Key Exchange Daemons/Tools für IPsec im Linux Kernel raccoon: unterstützt nur IKEv1 setkey: für statisches keying Christian Pointner 6 / 21

19 ipsec-tools Key Exchange Daemons/Tools für IPsec im Linux Kernel raccoon: unterstützt nur IKEv1 setkey: für statisches keying Christian Pointner 6 / 21

20 ipsec-tools Key Exchange Daemons/Tools für IPsec im Linux Kernel raccoon: unterstützt nur IKEv1 setkey: für statisches keying Christian Pointner 6 / 21

21 Überblick 1 Open Source VPN Lösungen 2 Warum Anytun? 3 SATP und (u)anytun 4 Verwendungs-Szenarien 5 Zukunft Christian Pointner 7 / 21

22 Warum Anytun OpenVPN und tinc basieren auf SSL/TLS Angriffe gegen SSL/TLS treffen eventuell auch das VPN kein standardisiertes Protokoll IPsec kann nicht mit Anycast umgehen (keine Replay Protection oder hoher Synchronisationsaufwand) NAT Transversal ist in IPsec umständlich und schwierig Anycast bietet viele Vorteile bei Load Balancing und Redundanz ein Protokoll das Anycast unterstüzt kann in vielen Szenarien eingesetzt werden. Christian Pointner 8 / 21

23 Warum Anytun OpenVPN und tinc basieren auf SSL/TLS Angriffe gegen SSL/TLS treffen eventuell auch das VPN kein standardisiertes Protokoll IPsec kann nicht mit Anycast umgehen (keine Replay Protection oder hoher Synchronisationsaufwand) NAT Transversal ist in IPsec umständlich und schwierig Anycast bietet viele Vorteile bei Load Balancing und Redundanz ein Protokoll das Anycast unterstüzt kann in vielen Szenarien eingesetzt werden. Christian Pointner 8 / 21

24 Warum Anytun OpenVPN und tinc basieren auf SSL/TLS Angriffe gegen SSL/TLS treffen eventuell auch das VPN kein standardisiertes Protokoll IPsec kann nicht mit Anycast umgehen (keine Replay Protection oder hoher Synchronisationsaufwand) NAT Transversal ist in IPsec umständlich und schwierig Anycast bietet viele Vorteile bei Load Balancing und Redundanz ein Protokoll das Anycast unterstüzt kann in vielen Szenarien eingesetzt werden. Christian Pointner 8 / 21

25 Überblick 1 Open Source VPN Lösungen 2 Warum Anytun? 3 SATP und (u)anytun 4 Verwendungs-Szenarien 5 Zukunft Christian Pointner 9 / 21

26 SATP Name des Protokolls: Secure Anycast Tunneling Protocol dokumentiert als Internet Draft spezifiziert nur die Payload Kommunikation und das NAT Transversal agnostisch gegenüber dem Key Exchange Protokoll Christian Pointner 10 / 21

27 SATP Name des Protokolls: Secure Anycast Tunneling Protocol dokumentiert als Internet Draft spezifiziert nur die Payload Kommunikation und das NAT Transversal agnostisch gegenüber dem Key Exchange Protokoll Christian Pointner 10 / 21

28 SATP Name des Protokolls: Secure Anycast Tunneling Protocol dokumentiert als Internet Draft spezifiziert nur die Payload Kommunikation und das NAT Transversal agnostisch gegenüber dem Key Exchange Protokoll Christian Pointner 10 / 21

29 SATP Name des Protokolls: Secure Anycast Tunneling Protocol dokumentiert als Internet Draft spezifiziert nur die Payload Kommunikation und das NAT Transversal agnostisch gegenüber dem Key Exchange Protokoll Christian Pointner 10 / 21

30 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

31 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

32 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

33 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

34 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

35 SATP Details Ähnlich zu IPsec/ESP und GRE geringer Overhead (10 Byte + MAC) über UDP oder direkt auf IP unterstützt jedes Ethertype Protocol als Payload (Ethernet, IPv4, IPv6,...) verschiedene Anycast Sender können identifiziert werden somit funktioniert die Replay Protection auch ohne viel Synchronisationsaufwand Crypto basiert auf srtp (RFC 3711) Christian Pointner 11 / 21

36 Anytun erste Implementierung von SATP unterstützt Cluster Synchronisation geschrieben in C++ / Boost (Multi-Threaded) läuft unter Linux, Windows, FreeBSD Christian Pointner 12 / 21

37 Anytun erste Implementierung von SATP unterstützt Cluster Synchronisation geschrieben in C++ / Boost (Multi-Threaded) läuft unter Linux, Windows, FreeBSD Christian Pointner 12 / 21

38 Anytun erste Implementierung von SATP unterstützt Cluster Synchronisation geschrieben in C++ / Boost (Multi-Threaded) läuft unter Linux, Windows, FreeBSD Christian Pointner 12 / 21

39 Anytun erste Implementierung von SATP unterstützt Cluster Synchronisation geschrieben in C++ / Boost (Multi-Threaded) läuft unter Linux, Windows, FreeBSD Christian Pointner 12 / 21

40 uanytun kleine Implementierung von SATP keine Cluster Synchronisation geschrieben in C mit wenig Abhängigkeiten (nur Crypto) läuft unter Linux, FreeBSD und OpenBSD Christian Pointner 13 / 21

41 uanytun kleine Implementierung von SATP keine Cluster Synchronisation geschrieben in C mit wenig Abhängigkeiten (nur Crypto) läuft unter Linux, FreeBSD und OpenBSD Christian Pointner 13 / 21

42 uanytun kleine Implementierung von SATP keine Cluster Synchronisation geschrieben in C mit wenig Abhängigkeiten (nur Crypto) läuft unter Linux, FreeBSD und OpenBSD Christian Pointner 13 / 21

43 uanytun kleine Implementierung von SATP keine Cluster Synchronisation geschrieben in C mit wenig Abhängigkeiten (nur Crypto) läuft unter Linux, FreeBSD und OpenBSD Christian Pointner 13 / 21

44 Überblick 1 Open Source VPN Lösungen 2 Warum Anytun? 3 SATP und (u)anytun 4 Verwendungs-Szenarien 5 Zukunft Christian Pointner 14 / 21

45 Anycast VPN Cluster Christian Pointner 15 / 21

46 Secure Anycast Service/Application Christian Pointner 16 / 21

47 Mulit-Path Interconnect Christian Pointner 17 / 21

48 Überblick 1 Open Source VPN Lösungen 2 Warum Anytun? 3 SATP und (u)anytun 4 Verwendungs-Szenarien 5 Zukunft Christian Pointner 18 / 21

49 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

50 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

51 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

52 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

53 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

54 RAIL Redundant Array of Inexpensive Links SATP Pakete werden mehrmals über verschiedene Pfade gesendet Empfänger verwirft alle doppelten Pakete Redundanz und oder gesteigerte Bandbreite erste Test Implementierung in uanytun funktioniert ohne Key Exchange sehr umständlich zu verwenden :( Christian Pointner 19 / 21

55 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

56 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

57 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

58 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

59 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

60 Key-Exchange, RFC,... zurzeit untstützt Anytun und uanytun nur statische Keys :( Interface für externes Keyexchange um Inbound Daten schicken zu können Interface um Keys im Daemon zu installieren Update der Crypto Primitives in SATP RFC für SATP Threading Modell von Anytun... Christian Pointner 20 / 21

61 Vielen Dank für ihre Aufmerksamkeit! Christian Pointner 21 / 21