VPN Virtual Private Network

Transkript

1 VPN Virtual Private Network

2 DEFINITION Was ist eigentlich ein Virtual Private Network (VPN)?

3 Definition: Was ist eigentlich ein VPN? Übliche Bezeichnung: Virtual Virtuelles Private Privates Network - Netz

4 Definition: Was ist eigentlich ein VPN? Der Begriff VPN ist in der IT weit verbreitet. Es existiert eine Vielzahl von unterschiedlichen Definitionen.

5 Definition: Was ist eigentlich ein VPN? Mögliche Definition: Ein Virtual Private Network ist ein Netzwerk, das aus mindestens zwei Teilnetzwerken (bzw. Teilnehmern) besteht, die über öffentliche Leitungen (z.b. dem Internet) miteinander verbunden sind und bei dem die Vertraulichkeit, Integrität und Authentizität der Daten bei der Datenkommunikation gewährleistet werden soll.

6 VPN Anforderungen Welche Anforderungen werden an das VPN gestellt?

7 VPN Anforderungen: Durch Einsatz bestimmter VPN-Technologien sollen folgende Anforderungen erfüllt werden: Sicherheit Performance Migrationsfähigkeit und Skalierbarkeit Integration in existierende Netze Verfügbarkeit

8 VPN Anforderungen: Sicherheit Eine Zentrale Bedeutung hat Sicherheit weil: Kommunikation durch öffentliche Netzwerke bedeutet die Möglichkeit für den Angreifer, den Datenstrom abzuhören und sogar zu verändern darum: Einsatz der Mechanismen die den Datentransport sicher machen

9 VPN Anforderungen: Performance Einsatz aufwendiger Verschlüsselungsmechanismen auf breitbandigen Strecken in Echtzeit zur Gewährleistung der Sicherheit kann problematisch sein und stellt hohe Anforderungen an die Hardware

10 VPN Anforderungen: Migrationsfähigkeit und Skalierbarkeit Einsatz der offenen Standards zur Meidung der Bindung an einen einzigen Hersteller freie Produktwahl für eventuelle Erweiterungen des VPNs VPN-Lösung und deren einzelner Komponenten sollen zu späteren Zeitpunkten erweiterbar sein (Updates, usw.)

11 VPN Anforderungen: Integration in existierende Netze VPN-Lösung muss sich in die vorhandene Netzwerk-Infrastruktur integrieren lassen Einfache Eingliederung in das Sicherheitskonzept des vorhandenen Netzwerkes um somit die Authentifizierung und Verschlüsselung zu gewährleisten

12 VPN Anforderungen: Verfügbarkeit Um keine Nachteile im Datenverkehr zu erlangen, sollte die Verfügbarkeit eines VPNs mit der einer herkömmlichen und zu ersetzenden WAN-Infrastruktur gleichgesetzt werden können.

13 Sicherheitsproblematik Welche Bedrohungen gibt es? Welche Sicherheit garantiert VPN?

14 Sicherheitsproblematik: Bedrohungen Abhören von Daten Datengewinnung durch das Belauschen des Netzwerks (sniffen) Der Angreifer kann so unverschlüsselte Daten im Klartext lesen und somit Passwörter oder Dokumente herausfiltern und rekonstruieren. physikalischer Zugang zum Netzwerk notwendig (WLAN, Hub.).

15 Sicherheitsproblematik: Bedrohungen Datenmanipulation Angreifer ist gewillt, Daten des Netzwerkverkehrs zu löschen, zu verändern oder falsche Informationen in den Verkehr einzuspielen.

16 Sicherheitsproblematik: Bedrohungen Datenmanipulation Einige dieser Bedrohungen für Datenmanipulation sind: IP-Spoofing Man-in-the-Middle-Angriff Session Hijacking Missbrauch des Source-Routing Missbrauch der Routing-Protokolle

17 Sicherheitsproblematik: Bedrohungen Verhindern von Diensten auch als "Denial of Service" ( DoS ) bezeichnet. Störung und das Verhindern des Informationsflusses im ausgewählten System. (mittels Überlastung des Systems oder über Abtrennung einzelner Netzwerkkomponenten). Systeme können übernommen oder sogar zum Absturz gebracht werden.

18 Sicherheitsproblematik: VPN-Sicherheit Sicherheitsanforderungen VPN - Virtual Private Network Authentizität Vertraulichkeit Integrität

19 Sicherheitsproblematik: VPN-Sicherheit Sicherheitsanforderungen Authentizität bedeutet die Identifizierung von autorisierten Nutzern und die Überprüfung der Daten, dass sie nur aus der der autorisierten Quelle stammen. Vertraulichkeit und Geheimhaltung wird durch Verschlüsselung der Daten hergestellt. Mit der Integrität wird sichergestellt, dass die Daten von Dritten nicht verändert wurden.

20 Sicherheitsproblematik: VPN-Sicherheit Funktionen Datenvertraulichkeit Datenintegrität Schlüsselmanagement Paket-Authentifizierung Benutzer-Authentifizierung Benutzer-Authorisierung

21 Sicherheitsproblematik: VPN-Sicherheit Funktionen > Datenvertraulichkeit Unbefugten wird der Zugang zu den versendeten Daten verwehrt wird Einsatz der Verschlüsselung der zu sendenden Datenpakete (Verfahren wie: DES oder 3DES)

22 Sicherheitsproblematik: VPN-Sicherheit Funktionen > Datenintegrität Sichergestellung, dass keine Veränderungen der Daten auf deren Transportwegen erfolgen Die Datenintegrität und die Paket- Authentifizierung werden oftmals mittels ein und dem selben Verfahren realisiert.

23 Sicherheitsproblematik: VPN-Sicherheit Funktionen > Schlüsselmanagement Prüfung und rechtzeitige Erneuerung der Schlüssel Die Schlüssel für die Datenverschlüsselung müssen oft erzeugt werden

24 Sicherheitsproblematik: VPN-Sicherheit Funktionen > Paket-Authentifizierung Jedes einzeln eintreffende Datenpaket muss authentifiziert werden zur Sicherstellung, dass: ankommendes Datenpaket unverfälscht vom authentischen Absender übersendet wurde Einsatz spezielle symmetrische Verschlüsselungsverfahren, so genannte Keyed-Hash-Algorithmen (MD5 SHA )

25 Sicherheitsproblematik: VPN-Sicherheit Funktionen > Benutzerauthentifizierung Identitätsfeststellung mittels Authentifizierung der Kommunikationspartner. Einsatz von Kern-Mechanismen in VPNs: - Authentifizierung (Authentication) - Verschlüsselung (Encryption)

26 Sicherheitsproblematik: VPN-Sicherheit Authentifizierung Paketauthentifizierung IPSec ( durch AH und ESP ) -Verschlüsselungsverfahren mittels Einweg-Hash-Funktionen ( MD5, SHA,... ) User-Authentifizierung Passwort-Verfahren wie PAP und CHAP

27 Sicherheitsproblematik: VPN-Sicherheit Verschlüsselung Wegen ihrer hohen Geschwindigkeit werden in der Praxis für die Verschlüsselung symmetrische Verschlüsselungsverfahren eingesetzt, z.b.: IPSec (kommt ESP zum Einsatz, realisiert durch ( DES, 3DES, IDEA, Cast, Blowfish ) Das PPTP ( Layer-2 ) definiert durch MPPE

28 VPN Typen Welche VPN Typen gibt es?

29 VPN Typen Vier Kategorien: Remote - Access VPN Intranet VPN Branch-Office VPN Extranet VPN

30 VPN Typen: Kategorien Remote - Access VPN auch als End-to-Site oder Host-to-Network bezeichnet Bei dieser Topologie wird gewährleistet, dass sich Mitarbeiter, die zuhause arbeiten ( Home- Office ) oder als Außendienstmitarbeiter tätig sind, über einen Internet Service Provider (ISP) in das Firmennetzwerk einwählen können. Somit hat der Remote-Access User von seinem lokalen System Zugriff auf das Netzwerk.

31 VPN Typen: Kategorien Remote - Access VPN

32 VPN Typen: Kategorien Intranet VPN Einsatz des VPN auch in einem lokalen "öffentlichen" Netz Intranet Vermeidung der Betriebsspionage Schutz hochempfindlicher Daten und ganzer Teilnetze vor unautorisierten Zugriff (VLAN).

33 VPN Typen: Kategorien Branch-Office VPN auch als Network-to-Network oder Site-to-Site oder Lan-to Lan bezeichnet Verbindung zwei Intranets (firmenintern, d.h. Anbindung einzelner Firmenstandorte.) Zur Kostenreduzierung werden die einzelnen Teilnetze eines Unternehmens mittels VPN- Gateways über das Internet verbunden.

34 VPN Typen: Kategorien Branch-Office VPN

35 VPN Typen: Kategorien Extranet VPN ähnelt der Branch-Office VPN Der Unterschied liegt im Teilnehmerumfeld: externe Teilnehmer ( Teilnetze ) sind Bestandteile dieser Topologie. Gewährung des Zugriffs für Geschäftspartner, Zulieferer oder Kunden auf bestimmte Bereiche des Netzwerkes.

36 VPN Typen: Kategorien Extranet VPN

37 VPN - Technologie Welche Technologie kommt zum Einsatz?

38 VPN Technologie Tunneling Sicherheits-Protokolle

39 VPN Technologie: Tunneling Um eine gesicherte Datenübertragung über das unsichere Internet zu gewährleisten, wird mittels eines Tunneling-Protokolls eine verschlüsselte Verbindung, der VPN-Tunnel, aufgebaut. Man nennt diese virtuellen Verbindungen Tunnel, weil der Inhalt der Daten für Dritte nicht sichtbar ist.

40 VPN Technologie: Tunneling VPN-Tunneling Modelle: Provider-Enterprise-Modell (erzwungener Tunnel) Ende-zu-Ende-Modell (freiwilliger Tunnel)

41 VPN Technologie: Tunneling Modelle > Provider-Enterprise-Modell Sowohl die Service Provider als auch Endkunden sind in das Tunneling involviert Das primäre Einsatzgebiet sind Remote- Access-VPNs aber auch in Branch-Office- VPNs.

42 VPN Technologie: Tunneling Modelle > Ende-zu-Ende-Modell Der Tunnel wird hier ausschließlich vom Kunden aufgebaut Der Remote-Access-Client wählt sich beim Service Provider ein und eine spezielle VPN- Clientsoftware im Endgerät des Kunden baut dann den Tunnel zum gewünschten VPN- Gateway im Firmennetzwerk auf.

43 VPN Technologie: Tunneling Modelle > Ende-zu-Ende-Modell Der Tunnel wird hier ausschließlich vom Kunden aufgebaut Der Remote-Access-Client wählt sich beim Service Provider ein und eine spezielle VPN- Clientsoftware im Endgerät des Kunden baut dann den Tunnel zum gewünschten VPN- Gateway im Firmennetzwerk auf.

44 VPN Technologie: Tunneling Funktionsweise Senden von Daten eines Netzwerks über eine andere Netzwerkstruktur Kapselung der Ausgangsdaten (Pakete) in einen Header Header enthält Routinginformationen für die Versendung über die Netzwerkstruktur Bekannte Tunnelingtechnologien sind: SNA Tunneling und IPX Tunnling (Novell Netware)

45 VPN Technologie: Sicherheits-Protokolle Sicherheitsansprüche an zu übersendende Daten sind immer weiter angewachsen. Da das TCP/IP-Protokoll keine Sicherheit im internetbezogenen Datenverkehr bietet, wurde das OSI Referenzmodell um weitere Sicherheitsprotokolle erweitert.

46 VPN Technologie: Sicherheits-Protokolle L2TP L2F PPTP PPPoE IPSec L2TP over IPSec

47 VPN Technologie: Sicherheits-Protokolle L2TP - Layer-2-Tunneling-Protocol L2TP hat die Aufgabe, PPP- Verbindungen über ein IP-Netzwerk zwischen zwei Netzwerk-Stationen oder zwei eigenständigen Netzwerken herzustellen.

48 VPN Technologie: Sicherheits-Protokolle L2TP - Layer-2-Tunneling-Protocol Schicht 2 Protokoll (OSI Referenzmodell) Verschlüsselung und Komprimierung der übertragenen Daten (MPPE, IPSec) Kapselung der Daten in IP Header Verwendung von UDP Verbindung L2TP Nachrichten zur Tunnelverwaltung

49 VPN Technologie: Sicherheits-Protokolle L2F Layer 2 Forwarding Von Cisco entw. Technologie Server kapseln den DFÜ-Verkehr in PPP- Rahmen um Daten über WAN-Verbindungen an einen L2F-Server(einen Router) übertragen zu können. Der L2F-Server entkapselt die Pakete und leitet sie an das Netzwerk.

50 VPN Technologie: Sicherheits-Protokolle PPTP - Point-to-Point Tunneling Protocol PPTP ist ein VPN-Verfahren für Remote Access. Es baut auf den Remote Access Server für Microsoft Windows inklusive der Authentifizierung auf. Spielt für VPNs in reinen Microsoft- Netzwerken immer noch eine Rolle.

51 VPN Technologie: Sicherheits-Protokolle PPTP - Point-to-Point Tunneling Protocol Schicht 2 Protokoll (OSI Referenzmodell) Verschlüsselung und Komprimierung der übertragenen Daten (MPPE, MPPC) Kapselung der Daten in IP Header (GRE) Verwendung von TCP Verbindung zur Tunnelverwaltung

52 VPN Technologie: Sicherheits-Protokolle PPP - Point-to-Point Protocol Hat die Aufgabe Punkt-zu-Punkt- Verbindungen zu initialisieren, aufrechtzuerhalten und auch wieder zu beenden. Typischerweise handelt sich dabei um Verbindungen in leitungsvermittelnde Netze für die Datenübertragung über Modem- und ISDN-Wählzugänge oder Festverbindungen.

53 VPN Technologie: Sicherheits-Protokolle PPP - Point-to-Point Protocol

54 VPN Technologie: Sicherheits-Protokolle PPPoE- PPP over Ethernet Ist die Verwendung des Netzwerkprotokolls (PPP) über eine Ethernet- Verbindung. Das PPPoE wird heute bei DSL- Anschlüssen in Deutschland verwendet.

55 VPN Technologie: Sicherheits-Protokolle PPPoE im TCP/IP Stack

56 VPN Technologie: Sicherheits-Protokolle IPsec - Security Architecture for IP IPsec ist eine Erweiterung des Internet- Protokolls (IP) um Verschlüsselungs- und Authentifizierungsmechanismen. Damit erhält das Internet-Protokoll die Fähigkeit IP-Pakete kryptografisch gesichert über öffentliche unsichere Netze zu transportieren. Probleme mit NAT (Lösung NAT Traversal)

57 VPN Technologie: Sicherheits-Protokolle IPsec - Security Architecture for IP 3 Schicht Protokoll (OSI Referenzmodell) Verschlüsselt ganze IP Pakete und kapselt diese in IP Header (mittels ausgehandelten Methoden) Arbeitet mit AH (Authentication Header) und ESP (Encapsulation Security Payload)

58 VPN Technologie: Sicherheits-Protokolle IPsec - Security Architecture for IP Schlüsselmanagement durch Internet Key Exchange (IKE) IPSec verwendet Protokolle die Algorithmus unabhängig sind Zwei Betriebsmodi (jeweils für AH und ESP) o Transportmodus (Verschlüsselung + Übertragung) o Tunnelmodus (Verschlüsselung + neuer IP Header)

59 VPN Technologie: Sicherheits-Protokolle Ipsec AH & ESP AH (Authentication Header) Authentifizierung des Absenders und der Daten ESP (Encapsulation Security Payload) Verschlüsselung schützt vor Mitlesen

60 VPN Technologie: Sicherheits-Protokolle IPSec im Transportmodus AH-Paket ESP-Paket ESP Header: nach einem neuem bzw. nach modifizierten IP Header platziert ESP Trailer: Dieser steht am Ende des ursprünglichen IP- Pakets ESP Authentication Feld: Dies steht nach dem ESP Trailer

61 VPN Technologie: Sicherheits-Protokolle IPSec im Tunnelmodus AH-Paket ESP-Paket

62 VPN Technologie: Sicherheits-Protokolle L2TP over IPsec Kombination aus Sicherheitsprotokoll IPsec und dem Tunneling-Protokoll L2TP. Bei Microsoft für Punkt-zu-Punkt-Verbindungen. Dabei wird L2TP durch IPsec getunnelt. Durch die Kombination von L2TP und IPsec haben sich die Schwächen beider Protokolle gegenseitig auf. Kombination L2TP + IPsec = höchste Sicherheit

63 VPN Technologie: Firewalls VPN Gateway auf der Firewall Viele Firmen regeln ihren Datenverkehr über eine Firewall ab Aktivierung durch eine zusätzliche Software, Softwarelösung Konfiguration durch das Management der Firewall, am Netzwerk sind normalerweise keine Änderungen notwendig

64 VPN Gateway außerhalb der Firewall

65 VPN Gateway innerhalb der Firewall

66 VPN in der Praxis Welche VPN-Lösungen werden angeboten?

67 VPN in der Praxis Für die Implementierung der VPN stehen verschiedene Varianten zur Verfügung: Hardware Based VPN Router Based VPN Software Based VPN Firewall Based VPN

68 VPN in der Praxis Varianten Hardware Based VPN hohe Bandbreiten Komponenten: Router mit ganz speziell für die Verschlüsselung optimierten Prozessoren und Hardware Anwendungsbereich der Hardwarelösung liegt eher im Network-to-Network Bereich

69 VPN in der Praxis Varianten Router Based VPN Router sind in vielen Unternehmen die Schnittstelle zum Internet. Viele Hersteller von Routern haben deshalb meist schon VPN-Funktionen in das Betriebssystem implementiert. Die Software und das Betriebssystem Routers sind vom selben Hersteller.

70 VPN in der Praxis Varianten Software Based VPN Diese Lösungen arbeiten zusätzlich zu anderen Diensten auf dafür bereitgestellten Servern Softwarelösung als Unterstützung für die gängigen Standards Die Sicherheit und Qualität einer solchen Software hängt oft vom darunter liegenden Betriebssystem ab.

71 VPN in der Praxis Varianten Firewall Based VPN Viele Unternehmen leiten ihren gesamten externen Datenverkehr zu einer Firewall, mit der diese VPN-Lösung demzufolge arbeitet. Die Konfiguration erfolgt mittels dem Management der Firewall ( weitere VPN- Funktionen installiert ). Die bestehende Netzwerkstruktur bleibt in der Regel unverändert.

72 VPN in der Praxis Aufgaben für Praxiseinheit 1. Suchen Sie im Internet nach weit verbreiteten VPN Lösungen 2. Erstellen einer Kurzübersicht / Vergleich 3. VPN Dienstleister finden im Internet

73 VPN Fazit und Ausblick Wie sieht die Zukunft von VPN aus?

74 VPN Fazit und Ausblick Im Laufe der letzten Jahre hat sich die Anzahl von VPNs hat enorm erhöht. Die Gründe: Unternehmen arbeiten global mit vielen Außendienstmitarbeitern/Tochterfirmen/ Lieferanten zusammen Sicherheit der Datenkommunikation. Kosteneffektivität

75 The End Vielen Dank für Ihre Aufmerksamkeit!