VPN. Studiengang Informatik Seminar Tun/Tap. Virtuell private Netzwerk

Transkript

1 VPN Virtuell private Netzwerk Seminarbericht Student Zeki Reshid Abteilung Informatik Betreuender Dozent : Dr. Harald Von Fellenberg Zeki Reshid Seite 1 von 15

2 Inhaltsverzeichnis: 1 Einleitung Was ist ein VPN? Definition von VPN...3 Definition 1 : VPN- Anwendungsarten VPN-Typen Intranet- VPN (Site- to- Site) Extranet-VPN (End-to-End) Remote-Access-VPN (End-to-Site) Sicherheit von VPNs Unterscheidung Transportmodus vs. Tunnelmodus Installation Konfigurieren von TUN/TAP Tun Devise al Module eintragen Erzeugen von Key Erstellen ein Konfigurationsfile Test der VPN Verbindung OpenVPN als Damon OpenVPN start-file OpenVPN shutdown-file Symbolische Links in init.d/rcx.d zu den Start / Stop Scripts Neue Technologien Supernet Demo Bespiel: Quellen Anhang :...15 Zeki Reshid Seite 2 von 15

3 1 Einleitung Mit der steigenden Verfügbarkeit eines öffentlich zugänglichen Transport-Netzes, dem Internet, stieg auch die Bedeutung von VPNs stark. Diese Arbeit beschäftigt sich anfangs mit der allgemeinen Definition eines VPNs und seinen Anwendungarten. Danach folgen eine Erklärung der einzelnen VPN-Typen und eine technischere Beschreibung von PNTechnologien. Den Abschluss bildet eine Betrachtung von VPNs in der Praxis. 1.1 Was ist ein VPN? Da es keine einzelne, allgemein gültige Definition gibt, die beschreibt was ein VPN ist, hier eine exemplarische Auswahl von Definitionen: 1.2 Definition von VPN Definition 1 : Ein virtuelles privates Netz (VPN), ist ein Netz von logischen Verbindungen zur Übermittlung von privaten Daten/Informationen bzw. Datenverkehr. Eine logische Verbindung ist eine Netzverbindung zwischen einem Sender und einem Empfänger, bei der der Weg der Information und die Bandbreite dynamisch zugewiesen werden. Definition 2: Ein Virtuelles Privates Netz ist eine Anzahl von Verbindungen, die über ein öffentliches Netzwerk aufgebaut werden, sich aber für den Nutzer wie private Leitungen darstellen. 1.3 VPN- Anwendungsarten Man kann VPNs in folgende Kategorien einteilen: i. Intranet VPN (Site - to- Site) Verbindet zwei Außenstellen einer Firma miteinander. ii. Extranet-VPN (End-to-End) Ermöglicht Zulieferern, Partnern oder eventuell Kunden Zugriff auf das firmeneigene Intranet. Zeki Reshid Seite 3 von 15

4 iii. Remote-Access-VPN (End-to-Site) Durch Einwahl-Verbindung (via POTS oder ISDN) wird Außendienstmitarbeitern oder kleineren Außenstellen der Zugriff auf das Firmen-Netzwerk gewährt. Diese Einteilung deckt die wesentlichen Anwendungsarten von virtuellen privaten Netzwerken ab. Eine nähere Erklärung der oben genannten Typen folgt im Kapitel 2. 2 VPN-Typen 2.1 Intranet- VPN (Site- to- Site) Charakteristisch für diese Art von VPNs ist, dass die Verbindung zwischen zwei Sites besteht. Site bezeichnet hier den Standort von einer Firma. Da Firmen oft geographisch in Außenstellen aufgeteilt sind, die aber auf gemeinsame Dienste der IT zugreifen müssen, ergibt sich die Notwendigkeit für diese Form von VPNs. Abbildung 1 Site to Site Zeki Reshid Seite 4 von 15

5 2.2 Extranet-VPN (End-to-End) Ganz im Gegensatz zum Site- to- Site-VPN, welches zwei Firmenstandorte miteinander verbindet, verbindet das End-to-End-VPN zwei unterschiedliche Firmen oder Hosts, die sich einseitig oder auch gegenseitig Zugriff auf eigene Ressource gewähren. Dies findet vor allem im Business-to-Business-Bereich (B2B) Anwendung. Ein prominentes Beispiel wäre das ENX- Projekt, welches ein europaweites Extranet für die Automobilindustrie ist und die Hersteller und Zulieferer miteinander verbindet. Abbildung 2 End To End 2.3 Remote-Access-VPN (End-to-Site) Mischt man die beiden vorangegangen Formen von VPNs erh alt man ein End-to-Site- VPN. Dabei wird externen Mitarbeiter oder kleinen Außenstellen, die nicht ständigen Zugriff auf die IT benötigen, eine Zugriffsmöglichkeit gegeben. Im Grunde ist dieser Ansatz nicht neu, da dies bereits via Einwahl-Verbindungen existiert. Der wesentliche Unterschied ist jedoch, dass bei der VPN-Variante keine Modem-Pools bereitgestellt werden müssen. Auch kann eventuell bestehende VPN-Hardware (z.b. für ein Site-to-Site-VPN) wieder verwendet werden. Als weiteren Vorteil ist die Verwendung von Verschlüsselung für die Übertragung anzusehen. Zeki Reshid Seite 5 von 15

6 Abbildung 3 End to Site 2.4 Sicherheit von VPNs Ein weiterer wichtiger Aspekt für die Praxis ist die tatsächliche Sicherheit von VPNs. Da die Übertragung der Daten über ein öffentliches Netzwerk erfolgt, muss die Sicherheit entsprechend hoch sein, vor allem wenn sensible Firmen-Daten übertragen werden sollen. Eine möglichst hohe Sicherheit kann vor allem durch folgende Maßnahmen erreicht werden: Austausch von, für die Authentifizierung notwendigen, Passwörter auf sicherem Wege. Hohe Komplexität der verwendeten Passwörter. Am Besten alphanumerische Zeichenfolgen, die zufällig erzeugt werden. Wechsel der zur Verschlüsselung verwendeten Schlüssel in möglichst kurzen Abständen, damit bei einem eventuellen Schlüssel-Diebstahl, der Daten-Diebstahl minimal gehalten wird. Beschränkung der Kommunikation auf das Notwendigste um die Gefahr einer VPN- Kompromittierung zu verringern. Zeki Reshid Seite 6 von 15

7 Da es leider keine absolute Sicherheit gibt, kann die Sicherheit nur bis zu einem bestimmtem Maß gesteigert werden. Beachtet man obige Punkte kann das Maß der Sicherheit auf ein ausreichendes Niveau erhöht werden. Die endgültige Abschätzung, ob das Sicherheits-Niveau ausreicht, kann aber nur bei Betrachtung eines konkreten Bedarfsfalls durchgeführt werden, da unterschiedliche Anwendungsgebiete auch unterschiedliche Sicherheits-Anforderungen haben. 2.5 Unterscheidung Transportmodus vs. Tunnelmodus Beim Transportmodus bleiben die IP-Header der einzelnen Pakete erhalten. Lediglich ein IPSec- Header wird angefügt und der Datenteil verschlüsselt. Dadurch ist es einem Angreifer möglich, die Kommunikation auf die Kommunikationspartner und die Datenmenge hin zu untersuchen. Die Nutzdaten bleiben ihm allerdings verborgen. Ein typischer Anwendungsfall wäre die direkte, verschlüsselte Kommunikation zweier Rechner (End-to-End). Abbildung 4: Kapselung von IP-Paketen beim IPSec-Transportmodus Im Tunnelmodus wird jedes einzelne IP-Paket komplett verschlüsselt und bekommt einen neuen Header. So können auch die ursprünglichen Headerdaten nicht mehr ausspioniert werden. Es kann vom Angreifer nur festgestellt werden, welche VPN-Gateway Rechner kommunizieren. Die Kommunikationspartner hinter den Gateways bleiben jedoch von außen unerkannt. Zeki Reshid Seite 7 von 15

8 Abbildung 5: Kapselung von IP-Paketen beim IPSec-Tunnelmodus Der in beiden Fällen eingefügte IPSec-Header enthält einen Authentication Header (AH) oder einen Encapsulating Security Payload (ESP) Header. In der Praxis kommt zumeist ESP zum Einsatz, da AH keine Verschlüsselung bietet. AH kann z.b. sinnvoll sein, wenn ein gesetzliches Verschlüsselungsverbot herrscht, aber die Integrität und Authentizität gesichert werden soll. 3 Installation 3.1 Installation von openvpn und dazu benötigte Tools. Um einen VPN einrichten zu können, braucht es verschieden Packten die als Opensource verfügbar sind. Link: Die folgende Packte benötigt man um ein VPN Einrichtung zu können: openvpn tar.gz tun-1.1.tar.gz lzo-1.08.tar.gz vtun tar.gz Eine minimale Infrastruktur ist, vorhanden Verbindung zwischen zwei Hosts Abbildung-6 Abbildung 6 Art der Verbindung der Zwei Hosts Zeki Reshid Seite 8 von 15 Bob Oder Irgendein anderer Netz sein kann Alice

9 Open VPN von der Homepage herunterladen und entpacken mit: tar zxvf openvpn tar.gz Stellen sie Fest ob Sie die SUSE Packages openssl-devel und openssl-doc installiert haben, wenn die noch nicht installiert sind dann müssen sie Installieren am einfachsten mit yast. Danach konfigurieren:./configure disable-lzo enable-pthread weiter mit make make install Die Openvpn wird in Verzeichnis: /usr/local/sbin/openvpn Installiert. 3.2 Konfigurieren von TUN/TAP Tun Devise al Module eintragen Damit das Tunnel Device von OpenVPN beim Systemstart als Modul geladen wird muss in /etc/modules.conf bei den Character Devices folgendes eingetragen werden alias char-major tun Erzeugen von Key Erzeugen von Key für beide maschinen die beiden haben dasselbe Key d.h. men erzeugt einmall die Key und kopiert man auf andere maschine mit scp befehl. /usr/local/sbin/openvpn -genkey -secret static.key linux:/usr/local/sbin # more statik.key # # 2048 bit OpenVPN static key Zeki Reshid Seite 9 von 15

10 # -----BEGIN OpenVPN Static key V d30f31f7e65de99b36119f061c0e655 d9456a9875df0d75812dfcb7cf959b8d 3d5995e47356cc3e946abb18cfacf9b2 d415033a03ffe4d8e9061d94395fe8de 7c33f d4fd0f27ddd45 2ec2c204429e b412d84 3daddd67a12defd0301af629f1ba9a4c 8ac2247bd2e1b75f7fdd715d9a61f9ba 47a14f2a1a014ae53658ca64222fa1ab bdc1c5a8533f05ef46de7ca8df94509f a22113a3f9fe0042f1e5e66570f91cfa 595ee69c4bc045be21ce1169d5c2614a 9d38d6c856ad9c8acde3a858e7a9badf d8eda93b310c2d065e2682fdbbf45746 ee89de543dd61d245ccf77f7dbffc6aa 72d8016fb78e481fd3426a1eb7a04cb END OpenVPN Static key V Erstellen ein Konfigurationsfile Hier werden die rechne wie folgt benannt : die erste Rechner heißt Bob und zweite Alice, die Files sind im Verzeichnis /usr/local/sbin/openvpn/openvpn.conf zu speichern Bob mit statische IP Alice mit statische IP # name des Devise # name des Devise dev tun dev tun # portnumer # portnumer port 5000 port 5000 # vie viel Information gezeigt werden # vie viel Information gezeigt werden verb 11 verb 11 # ip von host II(Alice) # ip von host II(Bob) remote remote # IP für VPN devise # IP für VPN devise ifconfig ifconfig #up /usr/local/sbin/openvpn/ip-up.sh #up /usr/local/sbin/openvpn/ip-up.sh secret / secret / usr/local/sbin/openvpn/certificates/static.key usr/local/sbin/openvpn/certificates/static.key auth MD5 auth MD5 ##cipher DES-CBC cipher none #DES-CBC cipher none 3.3 Test der VPN Verbindung Natürlich würde man gerne Testen ob die VPN eirichtung erfolgreich war oder nicht. Zeki Reshid Seite 10 von 15

11 Um die virtuelle Verbindung über den VPN Tunnel zu testen pingt man die virtuelle IP-Adresse des entfernten Hosts an. Command ifconfig sollte neben den vorhandenen eth0 und anderen auch folgendes ausgeben tun0 Link encap:point-to-point Protocol inet addr: P-t-P: Mask: UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1276 Metric:1 RX packets:64 errors:0 dropped:0 overruns:0 frame:0 TX packets:68 errors:0 dropped:0 overruns:0 carrier:0 collisions:0 txqueuelen:10 RX bytes:7001 (6.8 Kb) TX bytes:6632 (6.4 Kb) Mit command ping ping PING ( ) 56(84) bytes of data. 64 bytes from : icmp_seq=1 ttl=64 time=0.130 ms 64 bytes from : icmp_seq=2 ttl=64 time=0.079 ms ~ # ping PING ( ) 56(84) bytes of data. 64 bytes from : icmp_seq=1 ttl=64 time=3.75 ms 64 bytes from : icmp_seq=2 ttl=64 time=3.42 ms 64 bytes from : icmp_seq=3 ttl=64 time=3.46 ms 3.4 OpenVPN als Damon Natürlich würde man gerne manuelle eingaben starten und Stoppen von VPN vermeiden und VPN als deamon haben. Um OpenVPN als Deamon bei Systemstart zu starten muss ein Start und Stopp Script geschrieben werden sowie die symbolischen Links in rc3.d und rc5.d erstellt werden. Die Files kann man im Verzeichnis /etc/openvpn legen OpenVPN start-file openvpn-startup.sh Zeki Reshid Seite 11 von 15

12 openvpn-start.sh #! /bin/bash # #a simple OpenVPN startscript for linux # #openvpn config file directory dir=/usr/local/sbin/openvpn #load the firewall #$dir/firewall.sh #load raoting table #$dir/rauting.sh # load tun/tap kernal module modprobe tun #enable Ip forwarding echo 1 > /proc/sys/net/ipv4/ip_forward /usr/local/sbin/openvpn --cd $dir --daemon --config openvpn.conf OpenVPN shutdown-file openvpn-shutdown.sh #!/bin/bash #stoped all openvpn processes killall -TERM openvpn Symbolische Links in init.d/rcx.d zu den Start / Stop Scripts Die Symbolische Links können wie Folgt erstallt werden. rc3.d ln -s /etc/openvpn/openvpn-startup.sh S20openvpn ln -s /etc/openvpn/openvpn-shutdown.sh K20openvpn rc5.d ln -s /etc/openvpn/openvpn-startup.sh S20openvpn ln -s /etc/openvpn/openvpn-shutdown.sh K20openvpn Zeki Reshid Seite 12 von 15

13 4 Neue Technologien 4.1 Supernet Super net ist ein forschungs- Project von SUN welche basiert auf VPN Technologien einen großen Netz baut mit DNS und noch viel mehr möglichkeiten.. 5 Demo Bespiel: Die Demo Baisiel besteht aus einem Server und ein Client Welche einen VPN tunnel errichtet im anhang findet man dem Programm in C geschrieben. Starten von Server:./mytuned Starten der Client :./mytunel local remote host dann kann man verschiedene verbindungrn darauf bauen z.b ssh ssh L 4774: : dann kann beliebig viel Daten hin und her durch Tunnel übertragen werden. Zeki Reshid Seite 13 von 15

14 6 Quellen [1] Semesterarbeit von Herrn Cyrill Argast, Klasse 5Im Pascal Vogt, Klasse 5Im [2] [3] Programm von Dr. Harald Von Fellenberg [4] verschiedene Papers aus Internet Zeki Reshid Seite 14 von 15

15 7 Anhang : Den Anhang ist als File/CD beigelegt Zeki Reshid Seite 15 von 15