Release Notes. NCP Secure Enterprise VPN Server. 1. Neue Leistungsmerkmale und Erweiterungen. 2. Fehlerbehebung und Änderungen

Transkript

1 NCP Secure Enterprise VPN Server Service Release 8.11 rev (Linux 32/64) March Neue Leistungsmerkmale und Erweiterungen Keine 2. Fehlerbehebung und Änderungen OCSP War der OCSP-Responder nicht erreichbar, konnte kein Client eine Verbindung herstellen, obwohl Im Fehlerfall zulassen konfiguriert war. SNMP Fehlerhafte GETNEXT-Funktion korrigiert. Zertifikatsüberprüfung Innerhalb der Zertifikatsüberprüfung, die innerhalb der Domain-Gruppen konfiguriert wird, wurde ein Fehler behoben. Load Balancing Im Bereich des Load Balancing wurde ein Fehler behoben, der auf Linux-Betriebssystemen einen Absturz des wsupd-dienstes verursachen konnte. 3. Bekannte Einschränkungen Keine Seite 1 von 16

2 Service Release 8.11 rev 5620 (Linux 32/64) August Neue Leistungsmerkmale und Erweiterungen Multi-Prozessor-/Core-Unterstützung Unterstützung moderner Multi-Core-Architekturen zur besseren Ausnutzung aktueller Hardware und Steigerung des VPN-Datendurchsatzes. ECC-Unterstützung (ECC: Elliptic Curve Cryptography) Unterstützung von Zertifikaten deren Signatur anstatt auf dem RSA-Algorithmus auf sog. elliptischen Kurven basiert. Adressierung des Gateways Secure Server können vom HA Server über IPv6 adressiert werden. Voraussetzungen: HA Server (Linux): Version 3.04 ab rev 3933 Secure Enterprise Server (Linux): Version 8.11 ab rev 5620 Server Plug-in (SEM): Version 8.11 ab Build 48 Priorisierung der Clients NCP Secure Enterprise VPN Server, die im Load Balancing Modus eines HA Servers in Betrieb sind, können vom HA Server (bzw. durch das Secure Enterprise Management) für die Bereitstellung eines VPN-Tunnels gemäß Benutzer-Priorisierung konfiguriert werden. Dies ist dann wichtig, wenn beispielsweise die Kapazitäten der HA-Server ausgelastet sind, bzw. nicht ausreichend viele Lizenzen für alle Clients vorhanden sind. Nur Benutzer mit einer entsprechend hohen Priorität erhalten dann Zugang. Setzen der Priorität in der Server-Konfiguration: Server-seitig wird die Benutzer-Priorität in der HA Server-Konfiguration festgelegt. Dies erfolgt zentral in deren Vorlage des jeweiligen HA Servers für alle an ihn angebundenen Gateways. Die Benutzer-Priorität, die dort für die Benutzer (einer Domain-Gruppe) definiert wird, sagt aus, dass der VPN-Zugang nur den Clients gestattet wird, die mindestens eine ebenso hohe Priorität genießen. Eine hohe Priorität wird durch eine niedrige Ordnungszahl ausgedrückt. Zugang erhalten die Benutzer mit der höchsten, der ersten Priorität mit "1", abgestuft bis zur "255", der niedrigsten Priorität. Die Standardeinstellung ist "0", bedeutet, dass die Funktionalität des priorisierten Zugangs ausgeschaltet ist. Alle VPN-Benutzer haben Zugang. Wird die Funktionalität der Benutzer-Priorität gesetzt, so werden alle VPN-Benutzer vom Gateway ausgesperrt, die eine niedrigere als die hier angegebene Priorität genießen. Höchste Priorität ist die erste, "1". Wird am Server der Level für die Benutzer-Priorität z. B. auf "5" gesetzt, so werden alle Benutzer ausgesperrt, die eine niedrigere Priorität (6 bis 255) genießen. Dies erfolgt unmittelbar mit Festsetzen der Benutzer-Priorität am Server. VPN-Verbindungen von Clients, die zu diesem Zeitpunkt bestehen, werden getrennt, sofern die Clients nicht der gesetzen Priorisierung gerecht werden. Erneute Verbindungsversuche dieser Clients werden abgelehnt. Zu Trennung und Ablehnung einer VPN- Verbindung erhalten die Clients eine entsprechende Meldung. Die Benutzer-Priorität in der Client-Konfiguration zuweisen: Welche Priorität ein Benutzer genießt, kann nur in der RADIUS- oder LDAP-Konfiguration für den jeweiligen Client definiert werden. Seite 2 von 16

3 Eine hohe Priorität wird durch eine niedrige Ordnungszahl ausgedrückt. Zugang erhalten die Benutzer mit der höchsten, der ersten Priorität mit "1", usw. abgestuft bis zur "255", der niedrigsten Priorität. Zur Beachtung: Der voreingestellte Standardwert für die Benutzer-Priorität am Client ist "0". Diese Einstellung bewirkt, das die zentralseitig definierte Zugangsbeschränkung für Clients mit der Benutzer- Priorität "0" nicht gilt. Diese Clients erhalten unabhängig von der zentralseitigen Priorisierung immer VPN-Zugang. Text in der Oberfläche (Domain-Gruppen): Sobald die Funktionalität der Benutzer-Priorität eingesetzt wird, werden alle VPN-Benutzer vom Gateway ausgesperrt, die eine niedrigere als hier am HA Server angegebene Priorität (oder keine) genießen. Höchste Priorität ist die erste, "1". Aktuell bestehende VPN-Tunnel-Verbindungen von Benutzern einer niedrigeren (oder keiner) Priorität werden sofort getrennt. "0" schaltet die Funktionalität der priorisierten Tunnel-Nutzung aus. 2. Fehlerbehebung und Änderungen Eine Fehlersituation in Verbindung mit LDAP-Attributen mit einer Länge von 256 Zeichen wurde behoben. 3. Bekannte Einschränkungen IKEv2-Authentisierung Innerhalb der IKEv2-Authentisierung ist die EAP-TLS Methode momentan zwar konfigurierbar jedoch noch nicht implementiert. Seite 3 von 16

4 Service Release 8.10 Revision 4324 (Linux 32/64) Mai 2013 Voraussetzungen NCP Secure Enterprise VPN Server für Linux im HA-Verbund Soll der Server unter Linux (Version 8.10) mit den High Availability Services eingesetzt werden, so ist ein HA Server der Version 3.03 oder höher nötig. Beachten Sie bei einer Aktualisierung der Server-Komponenten: Zunächst muss das Update für den Enterprise VPN Server für Linux auf Version 8.10 durchgeführt werden! Erst danach kann das Update für den HA Server unter Linux auf die Version 3.03 erfolgen. Linux Distributionen Diese Version ist nur für folgenden Linux Distributionen in den Ausführungen für 32- und 64-bit freigegeben: 1. SuSE Linux Enterprise Server 11 SP2 2. CentOS Ubuntu Server Precise Pangolin LTS 4. Debian GNU/Linux Squeeze Fehlerbehebung VPN-Verbindungsabbruch nach Rekeying IKE-Phase 2 Nach der für die Phase 2 eingestellten Rekeying-Zeit erfolgte statt des Re-Keyings ein Verbindungsabbruch. Dieser Fehler ist nun behoben. Seite 4 von 16

5 Service Release 8.10 Build 049 (Linux 32/64) Dezember 2012 Voraussetzungen NCP Secure Enterprise VPN Server für Linux im HA-Verbund Soll der Server unter Linux (Version 8.10) mit den High Availability Services eingesetzt werden, so ist ein HA Server der Version 3.03 oder höher nötig. Beachten Sie bei einer Aktualisierung der Server-Komponenten: Zunächst muss das Update für den Enterprise VPN Server für Linux auf Version 8.10 durchgeführt werden! Erst danach kann das Update für den HA Server unter Linux auf die Version 3.03 erfolgen. Linux Distributionen Diese Version ist nur für folgenden Linux Distributionen in den Ausführungen für 32- und 64-bit freigegeben: 1. opensuse opensuse SuSE Linux Enterprise Server SuSE Linux Enterprise Server 11 SP2 5. CentOS Ubuntu Server Lucid Lynx LTS 7. Ubuntu Server Precise Pangolin LTS 8. Debian GNU/Linux Lenny 9. Debian GNU/Linux Squeeze 1. Neue Leistungsmerkmale und Erweiterungen In diesem Release sind folgende neue Leistungsmerkmale enthalten: Verschlüsselungsalgorithmus AES-CTR Der Verschlüsselungsalgorithmus AES-CTR wurde nach RFC 3686 in den Varianten AES-CTR 128 Bit, AES-CTR 192 Bit und AES-CTR 256 Bit implementiert. AES-CTR kann in diesen Varianten sowohl für die IKE-Richtline (Web-Interface: IKE-Richtlinien / Verschlüsselung) als auch für die IPsec-Richtlinie (Web-Interface: IPsec-Richtlinien / Transformation) genutzt werden, sofern IKEv2 eingesetzt wird. Download des extrahierten Server-Zertifikats Die zur Authentisierung des Servers gegenüber dem Client eingesetzte PKCS#12-Datei (Web-Interface: Konfiguration / Server-Zertifikate / PKCS#12-Dateiname) enthält sowohl das Aussteller- als auch das Server-Zertifikat. Für besondere Anwendungen kann das Server-Zertifikat aus der PKCS#12-Datei extrahiert werden. Dazu wird der Button neben dem Feld für den Dateinamen gedrückt. Daraufhin erfolgt die Extraktion des Server-Zertifikats, welches als crt-datei anschließend an einem separaten Ort gespeichert, und dessen Inhalt (via Explorer) betrachtet werden kann. Seite 5 von 16

6 2. Änderungen Keine 3. Bekannte Einschränkungen Keine 4. Hinweise zum NCP Secure Enterprise VPN Server Weitere Informationen zum letzten Stand der Entwicklung der NCP-Produkte erhalten Sie auf der Website: Weitere Unterstützung bei Fragen zum NCP Secure Enterprise VPN Server, erhalten Sie über die Mail-Adressen auf folgender Seite: Seite 6 von 16

7 1. Neue Leistungsmerkmale und Erweiterungen der Version 8.10 Build 029 In diesem Release sind folgende neue Leistungsmerkmale enthalten: IKEv1 / IKEv2 Verbindungen über IPsec native und IPsec over L2TP können nur entgegengenommen werden, wenn der Schlüsselaustausch über die Protokolle IKEv1 oder IKEv2 erfolgt. Werden diese Schlüsselaustausch-Protokolle nicht eingesetzt, können nur Verbindungen über L2Sec oder L2TP hergestellt werden. In der Standardeinstellung sind beide Protokolle aktiviert. IKEv2 inkl. MobIKE IKEv2 inkl. MobIKE Implementierung in den Gateway-Unterbau. Die folgenden EAP-Typen werden damit unterstützt: EAP-MD5-Challenge EAP-TLS EAP-MSCHAP-V2 Seamless Roaming Seamless Roaming stellt dem Anwender eine Always-On Funktionalität zur Verfügung. Dabei werden folgende Medien unterstützt: LAN, WLAN, UMTS. Der NCP Secure Client (für Windows ab Version 9.30) schaltet bei Verwendung von Seamless Roaming selbsttätig auf ein schnelleres, verfügbares Medium um. Anwendungen die zur Datenkommunikation den VPN-Tunnel nutzen, werden von der Medienumschaltung nicht beeinträchtigt. Seamless Roaming Nur eine VPN-Verbindung pro Benutzer Mit dieser Option (im HA Server) kann verhindert werden, dass mehrere VPN-Tunnel von einem Client, der Seamless Roaming nutzt, parallel bestehen bleiben können. Ist die Option Nur eine VPN-Verbindung pro Benutzer unter Allgemein gesetzt (Standardwert), sendet das Gateway, an welchem sich der Client gerade anmeldet, eine Nachricht an alle anderen Gateways im LB-Verbund. Für diesen Client eventuell noch vorhandene Tunnel an den anderen Gateways werden daraufhin abgebaut. Voraussetzungen: HA Server (Linux): Version 3.03 ab Build xxx Secure Enterprise VPN Server (Linux): Version 8.10 ab Build xxx Server Plug-in (SEM): ab Build 15 Endpoint Security nur für NCP Clients durchführen Wird diese Funktion aktiviert, so werden nur NCP Clients gemäß der vorgegebenen Sicherheitsrichtlinien für die Endpoint Security geprüft. Andere Clients, die die NCP Endpoint Security nicht unterstützen, können dennoch das gleiche Link-Profil benutzen, ohne dass ihr Verbindungsaufbau abgewiesen wird. Dies ist insbesondere dann von Vorteil, wenn neben NCP Clients im Mischbetrieb zum Beispiel auch ipads und deren integrierter VPN Client eingesetzt werden. Wird diese Funktion nicht aktiviert, so werden die Clients anderer Hersteller, die die NCP Endpoint Security nicht unterstützten oder die Sicherheits-Richtlinien nicht erfüllen, immer in die Quarantänezone umgeleitet. Seite 7 von 16

8 Vergabe der IP-Adressen über einen DHCP-Server Das VPN Gateway kann jedem Client, der sich zu ihm verbindet, automatisch eine freie IP-Adresse für eine Session aus einem Pool zuweisen oder diese Aufgabe der IP-Adressvergabe an einen DHCP Server übergeben. Pro Domain-Gruppe kann dazu ein DHCP Server (mit IP-Adresse und DHCP Source IP- Adresse) angegeben werden. FIPS inside Der Secure Enterprise VPN Server integriert kryptografische Algorithmen nach FIPS-Standard. Das eingebettete Kryptografiemodul, das diese Algorithmen beinhaltet, ist nach FIPS zertifiziert (Zertifikat #1051). Die FIPS-Kompatibilität ist immer gegeben, wenn einer der folgenden Algorithmen für Aufbau und Verschlüsselung der IPsec-Verbindung genutzt werden: Diffie Hellman-Gruppe: Gruppe 2 bis 14 (DH Länge von 1024 Bit bis 2048 Bit) Hash-Algorithmen: SHA1, SHA 256, SHA 384 oder SHA 512 Bit Verschlüsselungsalgorithmen: AES mit 128, 192 oder 256 Bit oder Triple DES IF-MAP Das Gesamtziel des ESUKOM Vorhabens ist die Konzeption und Entwicklung einer Echtzeit- Sicherheitslösung für Unternehmensnetze, die basierend auf der Konsolidierung von Metadaten arbeitet. Dabei soll insbesondere der durch mobile Endgeräte wie Smartphones erzeugten Bedrohungslage Rechnung getragen werden. ESUKOM setzt auf die Integration vorhandener Sicherheitslösungen (kommerziell und Open Source) basierend auf einem einheitlichen Metadatenformat gemäß der IF-MAP- Spezifikation der Trusted Computing Group (TCG). Derzeit kann der IF-MAP Server der Fachhochschule Hannover kostenfrei für Tests genutzt werden. Die URL lautet Realtime Enforcement durch das IF-MAP Protokoll Anhand von IF-MAP Protokoll Events kann beim Server eine Aktion ausgelöst werden, die entweder die Filtergruppe umschaltet oder die Verbindung trennt. Hierfür sind in den Domain-Gruppen IF-MAP Events Rules zu konfigurieren. Single Sign-on for SSL VPN Single Sign-on kann immer dann eingesetzt werden, wenn die Web Server-Anwendung die gleichen Zugangsdaten benötigt wie der SSL VPN Client. Die zentrale Verwaltung von Benutzername und Passwort kann dazu unter anderem über Active Directory, RADIUS oder LDAP erfolgen. Je nach Anwendung kann zwischen Single Sign-on mit HTTP-Authentisierung (Basic (RFC2617), HTTP Digest (RFC2617) und NTLM (Microsoft)) oder Single Sign-on nach der Post Form-Methode unterschieden werden. Single Sign-on mit Web-Applicationen wurde mit Outlook Web Access (OWA) 2003, 2007 und 2010, RDP Client und CITRIX Webinterface 4.5, 5.1 getestet. Single Sign-on mit Port Forwarding wird nur von Anwendungen unterstützt, die Parameter (wie Benutzername und Passwort) in ihrer Kommandozeile entgegennehmen können. Virtual Private Desktop Der Virtual Private Desktop ist ein vom Basis-Betriebssystem abgekoppelter Arbeitsbereich, der dem Anwender für eine SSL VPN-Session zur Verfügung gestellt wird. Anwendungen, die in diesem Bereich gestartet werden, werden vom Basis-Betriebssystem entkoppelt. Innerhalb des Virtual Private Desktop gespeicherte Daten, beispielsweise Dateianhänge empfangender s, werden in einem Container AES-verschlüsselt gespeichert. Bei Beendigung der SSL VPN-Session werden alle im Container abgelegten Dateien gelöscht. Seite 8 von 16

9 Nur NCP VPN Clients zulassen Möchten Clients fremder Hersteller eine Verbindung zu diesem Gateway aufbauen, so wird der Verbindungsaufbau abgewiesen. Dies bewirkt, dass nur Verbindungen, die von NCP VPN Clients aufgebaut werden, zugelassen werden. Diese Option kann gruppenbasiert oder global geschaltet werden. Automatische Thin Client-Authentisierung am Proxy Sofern auf Anwenderseite ein Proxy für den Zugriff in das Internet Verwendung findet und dieser Proxy an Microsoft Active Directory angebunden ist, kann eine bestehende Domänenanmeldung des Anwenders an seinem Windows-System vom Thin Client auf den Proxy durchgereicht werden. Damit erfolgt die Authentisierung des Thin Clients am Proxy automatisch. 2. Änderungen Änderung der Rechtestruktur innerhalb des Webservers zur Darstellung des Konfigurations-Web-Interfaces Die Vorlagen für Webdokumente können nicht mehr über eine direkte Pfadeingabe eingesehen werden, ohne sich am Server anzumelden. Vor dieser Änderung war es möglich das HTML-Gerüst ohne jegliche Konfiguration anzuzeigen. Der Webserver wird nun unter dem Benutzer ncpuser und der Gruppe ncpuser ausgeführt; Webdokumente sind ausschließlich für ncpuser lesbar. 3. Bekannte Einschränkungen Fehler beim Download wenn Endpoint Policies (EP) vom Secure Enterprise Management (SEM Version früher als 3.0) auf den Secure Enterprise VPN Server (SES) 8.10 herunter geladen werden Der Download von Endpoint Policies auf einen SES v8.10 schlägt fehl, wenn die SEM-Version älter als 3.0 ist und der Server nicht vom SEM gemanagt wird. Hintergrund: Der SEM v2.x überträgt Pakete einer inkorrekten Länge. Der SES v8.10 ignoriert Pakete einer falschen Länge. Das Secure Enterprise Management der Version 3.0 wurde dahingehend korrigiert, dass korrekte Paketlängen übertragen werden. 4. Hinweise zum NCP Secure Enterprise VPN Server Weitere Informationen zum letzten Stand der Entwicklung der NCP-Produkte erhalten Sie auf der Website: Weitere Unterstützung bei Fragen zum NCP Secure Enterprise VPN Server, erhalten Sie über die Mail-Adressen auf folgender Seite: Mail: Seite 9 von 16

10 5. Leistungsmerkmale Betriebssysteme 32-Bit Betriebssysteme Linux Kernel 2.6 from Bit Betriebssysteme Linux Kernel 2.6 from Linux Distributionen Siehe Voraussetzungen, Seite 1 Empfohlene Systemvoraussetzungen Rechner CPU: Pentium III (oder höher) 150 MHz oder vergleichbarer x86 Prozessor, 512 MB Arbeitsspeicher (Mindestausstattung ), pro 250 gleichzeitig nutzbarer Tunnel 64 MB Arbeitsspeicher. Taktung: pro 150 MHz bei einer Single Core CPU kann ein Datendurchsatz von ca. 4,5 Mbit/s realisiert werden (incl. symmetrischer Verschlüsselung), pro 150 MHz bei einer Dual/Quad Core CPU kann ein Datendurchsatz von ca. 9 Mbit/Sek. realisiert werden (incl. symmetrischer Verschlüsselung) Systemvoraussetzungen bei gleichzeitigen SSL VPN Sessions 10 Concurrent User (CU) CPU: Intel Pentium III 700 MHz oder vergleichbarer x86 Prozessor, 512 MB Arbeitsspeicher 50 Concurrent User CPU: Intel Pentium VI 1,5 GHz oder vergleichbarer x86 Prozessor, 512 MB Arbeitsspeicher 100 Concurrent User CPU: Intel Dual Core 1,83 GHz oder vergleichbarer x86 Prozessor, 1024 MB Arbeitsspeicher 200 Concurrent User CPU: Intel Dual Core 2,66 GHz oder vergleichbarer x86 Prozessor, 1024 MB Arbeitsspeicher Es gibt Einschränkungen bei mobilen Endgeräten wie Tablet PCs (z.b. unter IOS, Android), Smartphones, PDAs etc., abhängig vom jeweiligen Endgerätetyp. Die angegebenen Werte sind Richtgrößen, die stark vom Benutzerverhalten bzw. den Anwendungen beeinflusst werden. Wenn mit vielen gleichzeitigen Dateitransfers (Datei Up- und Download) zu rechnen ist, empfehlen wir den oben angegebenen Speicherwert um den Faktor 1,5 zu erhöhen. Netzwerkprotokolle IP (Internet Protocol), VLAN-Support Seite 10 von 16

11 Management Konfiguration und Verwaltung erfolgen über das NCP Secure Enterprise Management mittels VPN Server Plug-in oder über das Web-Interface des Servers Network Access Control (Endpoint Security) Endpoint Policy Enforcement für kommende Datenverbindungen Überprüfung vordefinierter, sicherheitsrelevanter Client-Parameter Maßnahmen bei Soll-/Ist-Abweichungen im IPsec VPN: Disconnect oder Verbleib in die Quarantänezone mit Handlungsanweisungen Meldungen in Messagebox oder Starten externer Anwendungen (z.b. Virenscanner- Update) Protokollierung in Logfiles Maßnahmen bei Soll-/Ist-Abweichungen im SSL VPN: Granulare Abstufung der Zugriffsberechtigungen auf bestimmte Applikationen entsprechend vorgegebener Sicherheitslevels. Dynamische Umschaltung der Filterregeln nach Vorgabe der Endpoint Security (8.10) Endpoint Security nur für NCP Clients durchführen (8.10) Unterstützung von IF-MAP (Interface for Metadata Access Points) (8.10) Realtime Enforcement durch das IF-MAP-Protokoll Dynamic DNS (DynDNS) Verbindungsaufbau via Internet mit dynamischen IP-Adressen Registrierung der jeweils aktuellen IP-Adresse bei einem externen Dynamic DNS- Provider Die Etablierung des VPN-Tunnels erfolgt dann über Namenszuordnung o Voraussetzung: VPN Client unterstützt DNS-Auflösung - wie NCP Secure Clients Erweiterung des Domain Name Servers (DNS), Erreichbarkeit des VPN-Clients unter einem (festen) Namen trotz wechselnder IP-Adresse Periodische Updates das DNS Server mit Benutzername und IP_Adresse des aktuell verbundenen Clients Multi Company Support Gruppenfähigkeit: max. können 256 Domänen-Gruppen konfiguriert werden, die sich zum Beispiel unterscheiden in: Authentisierung, Weiterleitung, Filtergruppen, IP-Pools, Bandbreitenbegrenzung etc. Benutzerverwaltung Lokale Benutzerverwaltung (bis zu 750 Benutzer) externe Authentiserung über: OTP-Server RADIUS LDAP LDAP über SSL-Unterstützung Novell NDS MS Active Directory Services RADIUS-, LDAP- und SEM-Weiterleitung Statistik und Protokollierung Detaillierte Statistik Logging-Funktionalität Versenden von SYSLOG-Meldungen Seite 11 von 16

12 Client/Benutzer Authentifizierungsverfahren OTP-Token Benutzer- und Hardware-Zertifikate (IPsec) nach X.509 v.3 Benutzername und Password (XAUTH) Externe Authentisierung mit LDAP Bind Zertifikate (X.509 v.3) Server-Zertifikate Es können Zertifikate verwendet werden die über folgende Schnittstellen bereitgestellt werden PKCS#11 Interface für Verschlüsselungs-Tokens (USB und Smart Cards); PKCS#12 Interface für Private Schlüssel in Soft Zertifikaten Erstellen und Verteilen der Server-Zertifikate mit dem PKI Enrollment Plug-in Übertragung der SubCA-Zertifikate SNMP-Abfrage der Server-Zertifikate Revocation Lists Revocation: EPRL (End-entity Public-key Certificate Revocation List, vorm. CRL) CARL (Certification Authority Revocation List, vorm. ARL) Online Check Automatische Downloads der Sperrlisten von der CA in bestimmten Zeitintervallen Überprüfung der Zertifikate mittels OCSP oder OCSP over http gegenüber der CA IPsec VPN und SSL VPN - Verbuindungen Übertragungsmedien LAN Direktbetrieb am WAN: Unterstützung von max. 120 ISDN B-Kanälen (SO, S2M) Line Management DPD mit konfigurierbarem Zeitintervall Short Hold Mode Kanalbündelung (dynamisch im ISDN) mit frei konfigurierbarem Schwellwert Timeout (zeit- und gebührengesteuert) Point-to-Point Protokolle PPP over ISDN PPP over GSM PPP over PSTN PPP over Ethernet LCP, IPCP, MLP, CCP, PAP, CHAP, ECP Pooladressenverwaltung Reservierung einer IP-Adresse aus einem Pool innerhalb einer definierten Haltedauer (Lease Time) Lockruf Direktanwahl des dezentralen VPN Gateways über ISDN, "Anklopfen im D-Kanal" Seite 12 von 16

13 Virtual Private Networking mit IPsec IPsec (Layer 3 Tunneling), RFC-konform MTU Size Fragmentation und Reassembly DPD (Dead Peer Detection) NAT-Traversal (NAT-T) IPsec Modes: Tunnel Mode, Transport Mode Seamless Rekeying PFS (Perfect Forward Secrecy) Automatische Rück-Routen-Ermittlung (ARRE) (8.10) Unterstützung für Seamless Roaming im NCP Secure Enterprise Client. Internet Society / RFCs und Drafts RFC (IPsec) RFC 3947 (NAT-T negotiations) RFC 3948 (UDP encapsulation) IP Security Architecture ESP ISAKMP/Oakley IKE (v1 und v2) (8.10) IKEv2 inkl. MobIKE. EAP Protokoll-Unterstützung: EAP-MD5-Challenge EAP-TLS EAP-MSCHAP-V2 XAUTH IKECFG DPD NAT Traversal (NATT) UDP encapsulation IPCOMP (8.10) FIPS inside Der Secure Enterprise VPN Server integriert kryptografische Algorithmen nach FIPS-Standard. Das eingebettete Kryptografiemodul, das diese Algorithmen beinhaltet, ist nach FIPS zertifiziert (Zertifikat #1051). Die FIPS-Kompatibilität ist immer gegeben, wenn einer der folgenden Algorithmen für Aufbau und Verschlüsselung der IPsec-Verbindung genutzt werden: Diffie Hellman-Gruppe: Gruppe 2 bis 14 (DH Länge von 1024 Bit bis 2048 Bit) Hash-Algorithmen: SHA1, SHA 256, SHA 384 oder SHA 512 Bit Verschlüsselungsalgorithmen: AES mit 128, 192 oder 256 Bit oder Triple DES Verschlüsselung Symmetrische Verfahren: AES 128,192,256 Bits; Blowfish 128,448 Bits; Triple-DES 112,168 Bits Dynamische Verfahren für den Schlüsselaustausch: RSA bis 4096 Bits Diffie-Hellman Groups 1,2,5,14; Hash Algorithmen: (MD5), SHA1, SHA 256, SHA 384, SHA 512 Firewall Stateful Packet Inspection IP-NAT (Network Address Translation) Port Filtering LAN-Adapterschutz Seite 13 von 16

14 VPN Path Finder NCP VPN Path Finder Technology, Fallback IPsec /HTTPS (Port 443) wenn Port 500 bzw. UDP Encapsulation nicht möglich ist (Voraussetzung: NCP Secure Enterprise VPN Server 8.0) Authentisierungsverfahren IKE (Aggressive und Main Mode), Quick Mode IKEv2 XAUTH für erweiterte User-Authentisierung Unterstützung von Zertifikaten in einer PKI: Soft-Zertifikate, Smart Cards und USB Tokens Pre-Shared Keys One-Time Passwords und Challenge Response Systeme RSA SecurID Ready IP Address Allocation DHCP (Dynamic Host Control Protocol) over IPsec DNS: Anwahl des zentralen Gateways mit wechselnder öffentlicher IP-Adresse durch Abfrage der IP-Adresse über einen DNS-Server IKE-Config-Mode für die dynamische Zuteilung einer virtuellen Adresse an die Clients aus dem internen Adressbereich (private IP), (8.10) oder IP Addressvergabe über DHCP Datenkompression IPCOMP (lzs) Deflate Andere Fuktionaltät VPN via L2TP over IPsec für Android und IPsec für Apple ios SSL-VPN Protokolle SSLv1 SSLv2 TLSv1 (Application-Layer Tunneling) Web Proxy Zugriff auf interne Web-Anwendungen und Microsoft Netzlaufwerke über ein Web-Interface. Voraussetzungen am Endgerät: SSL-fähiger Web-Browser mit Java Script-Funktionalität (8.10) Single Sign-on (SSO) für SSL VPN SSO Unterstützung in Web Proxy. Authentisierung mit Single Sign-on: Die Web Server Anwendung muss die gleichen Zugriffsdaten benötigen wie der SSL VPN Client; dabei werden Benutzernamen und Passwörter zentral verwaltet von: Active Directory, RADIUS oder LDAP. Unterstützung von HTTP-Authentisierungsprotokollen (Basic (RFC2617), HTTP Digest (RFC1617) und NTLM (Microsoft)) oder nach der Post Form-Methode. Unterstützte Web-Applikationen: Vordefinierte Konfigurationsdateien für SSO für Outlook Web Access (OWA) 2003, 2007 und 2010, CITRIX Webinterface 4.5 und 5.1. Benutzerspezifische Anwendungskonfigurationen. Seite 14 von 16

15 Secure Remote File Access: Up- und Download, Erstellen und Löschen von Verzeichnissen, entspricht in etwa den Funktionalitäten des Datei-Explorers unter Windows. Voraussetzungen am Endgerät: siehe Web Proxy SSO-Funktionaliät Benutzername und Passwort für Network Sharing kann ersetzt werden durch SSL Benutzername und Passwort. Port Forwarding: Zugriff auf Client-/Server-Anwendungen (TCP/IP). Voraussetzungen am Endgerät: SSL-fähiger Web-Browser mit Java Script-Funktionalität, Java Runtime Environment (>= V1.5) oder ActiveX, SSL Thin Client für Windows 7 (32/64 Bit), Windows Vista (32/64 Bit), Windows XP (32/64 Bit) Unterstützung für Port-Weiterleitung unter Mac OS X (8.10) SSO-Unterstützung anwendungsabhängig. Wird nur unterstützt von Anwendungen, Benutzername und Passwort als Kommandozeilenparameter übernehmen können. PortableLAN: Transparenter Zugriff auf das Firmennetz. Voraussetzungen am Endgerät: SSL-fähiger Web-Browser mit Java Script-Funktionalität, Java Runtime Environment (>= V5.0) oder ActiveX Control, PortableLAN Client für Windows 7 (32/64 Bit), Windows Vista (32/64 Bit), Windows XP (32/64 Bit) (8.10) Virtual Private Desktop Der Virtual Private Desktop ist ein vom Basis-Betriebssystem abgekoppelter Arbeitsbereich, der dem Anwender für eine SSL VPN-Session zur Verfügung gestellt wird. Anwendungen die in diesem Bereich gestartet werden, werden vom Basis-Betriebssystem entkoppelt. Voraussetzungen am Endgerät: Microsoft Windows 7 (32/64 bit), Windows Vista (32/64 bit), Windows XP (32/64 bit) Applikationen, die unter dem Virtual Private Desktop unterstützt werden: Microsoft Word, Excel, Powerpoint, Outlook und Outlook Web Access, Adobe Acrobat Reader und Flashplayer, Foxit Reader, SSH (putty) und WinZip. Eine detailierte Aufstellung von unterstützten Betriebssystemen und Anwendungen ist auf Anfrage verfügbar. Cache Protection für Internet Explorer V.6, 7 und 8: Alle übertragenen Daten werden nach dem Verbindungsabbau automatisch am Endgerät gelöscht. Voraussetzungen am Endgerät: SSL-fähiger Web-Browser mit Java Script-Funktionalität, Java Runtime Environment (>= V5.0), SSL Thin Client für Windows 7 (32/64 Bit), Windows Vista (32/64 Bit) oder Windows XP (32/64 Bit) Security Features Beschränkung der Cipher Suite (nur AES256-SHA oder DES-CBC3-SHA oder AES128- SHA) Vermeidung von Cross Site Scripting Other Features Erweiterte SSL VPN-Unterstützung für alle mobile Endgeräte Seite 15 von 16

16 Configuration and User Interface (SSL VPN Start Page) Die SSL VPN-Startseite kann mit firmenspezifischen Texten und Grafiken gestaltet werden Platzhalter vereinfachen die Handhabung komplexer Konfigurationen Seite 16 von 16