VPN- Konzept Landkreis Schwandorf. Referent: Thomas Feige Tech. Leiter Kommunales Behördennetz

Transkript

1 Referent: Thomas Feige Tech. Leiter Kommunales Behördennetz

2 Wie alles begann. Vorüberlegungen Erstellung eines Pflichtenheftes Von der Theorie zur Praxis

3 Geschichte des KomBN im Landkreis Schwandorf Aufbau begann im Herbst 2001 Umsetzung des klassischen LivingData Modells Anbindung der Gemeinden mittels ISDN-Wählleitungen zu geringe Bandbreite Kosten je Zeiteinheit

4 Pilotprojekt zur VPN Anbindung Auslöser: KomBN MasterGroup Treffen November 2002 Vorstellung BYBN 2003 Alternative Anbindungsarten Präsentation VPN-Konzept der Fa. LivingData Antrag zum Pilotprojekt: VPN-Anbindung von Außenstellen und mobilen Benutzern an das Kommunale Behördennetz

5 Vorüberlegungen Bedarfsanalyse Definition von Zielen Sicherheitsrichtlinien des BYBN 2003 Erstellung Pflichtenheft

6 Vorüberlegungen - Bedarfsanalyse Mobile Benutzer Ein einzelner Benutzer benötigt Zugriff auf Ressourcen im Lokalen Netzwerk. Der Standort des Benutzers ist variabel LAN to LAN Kopplung Mehrere Benutzer an einem festen Standort benötigen Ressourcen innerhalb des Landratsamtes

7 Vorüberlegungen Definition von Zielen 1. Die Sicherheit und Verfügbarkeit darf nicht schlechter sein als bei einer Fest- oder Wählverbindung 2. Die Gesamtkosten müssen gering gehalten werden 3. Das Konzept muss universell anwendbar sein

8 Vorüberlegungen Sicherheitsrichtlinien der CERT BayITSRL-02 - Betrieb eines Internetzugangs BayITSRL-04 - Betrieb von IP-basierenden Virtuellen Privaten Netzen (IP-VPN) BayITSRL-05 - Telearbeits-, Heimarbeits-, und mobile Arbeitsplätze

9 Pflichtenheft Vorgaben der Bayern CERT sind einzuhalten Geringe Kosten Hohe Verfügbarkeit der Anbindung an das KomBN/BYBN Universell einsetzbar Erweiterbarkeit Sehr hoher Sicherheitstandart Zentrale Administration aller Standorte Umstellung aller bestehender Verbindungen

10 Pflichtenheft Vorgaben der Bayern CERT IP-VPN IPSec - Die Produkte müssen (für die IPSec Eigenschaften) eine Zertifizierung nach ITSEC, mindestens E3, oder nach Common Criteria (CC), mindestens EAL-4, besitzen. Internetzugang Firewall - Die Produkte müssen (für die Firewall Eigenschaften) eine Zertifizierung nach ITSEC, mindestens E3, oder nach Common Criteria (CC), mindestens EAL-4, besitzen. - Bei der Nutzung von Web-Diensten im Internet ausgehender Internetverkehr ist ein Proxy in einer DMZ einzurichten. Vorgaben für die Produktauswahl Aufbau einer DMZ

11 Pflichtenheft Vorgaben der Bayern CERT oder Anbindung Telearbeitsplätze - Personal Firewall - Die Telearbeitsplatzrechner sind mit einer Personal Firewall auszustatten, welche die Nutzung eines direkten Internetzugangs über einen lokalen POP verhindert, solange der Mitarbeiter mit dem Behördennetznetz verbunden ist. - Dateiverschlüsselung - Personenbezogene Daten sind auf den Telearbeitsplatzrechnern lokal zu verschlüsseln. - IP-VPN - Der Telearbeittsplatz erhält einen Zugang über einen sicheren Tunnel über das Internet. Hierbei ist die Sicherheitsrichtlinie für IP-VPNs (BayITSRL-04) zu beachten. - Zertifizierte verschlüsselte Client-Server Kommunikation Einsatz von Citrix Metaframe Soll der Citrix Server aus dem Internet erreichbar sein?

12 Pflichtenheft Geringe Kosten Kostenfaktoren: Hard- und Software Leitungen Wartung Skalierbare bzw. modulare Hardware ADSL Anschlüsse optimale Bandbreitennutzung fixe und damit kalkulierbare Kosten

13 Pflichtenheft Hohe Verfügbarkeit Die Verfügbarkeit ist abhängig von: Hardware Leitungen Unwichtig: Internet Wichtig: KomBN und BYBN Hohe qualitative Anforderungen an die Hardware automatische Backupverbindungen für das KomBN und BYBN

14 Pflichtenheft Universell einsetzbar Verschiedene Systemumgebungen Verschiedener Bedarf an Bandbreite und Diensten Verschiedenes technisches Know-How vor Ort Modulare Hardware skalierbare Fernwartung Einhaltung der Standards Unabhängig von anderen Systemen z.b. zentraler Firewall

15 Pflichtenheft Erweiterbarkeit Anbindung neuer Standorte Umstellung bestehender Verbindungen Anbindung an Netzwerke vertrauter Dritter Performance der Hardware unabhängig von Lizenzkosten Einhaltung der RFC s

16 Pflichtenheft Sehr hoher Sicherheitstandart Sicherheit im Lokalen Netzwerk Absicherung des Tunnels Lage und Absicherung der Tunnelendpunkte Zertifizierung der Komponenten Sichere Konfiguration Gleichstellung mit einer Wählverbindung

17 Pflichtenheft Zentrale Administration Installation Einfache Konfigurationsänderungen Überwachung der Verfügbarkeit Protokollierung von Sicherheitsvorfällen Einheitliche Hardware Protokollierung der Geräte am Standort notwendig zentrale Benachrichtigung für Sicherheitsvorfälle

18 Pflichtenheft Umstellung bestehender Anbindungen AKDB KommunaNet Sämtliche Dienste müssen weiterlaufen paralleler Testbetrieb

19 Umsetzung der Theorie in die Praxis Auswahl der benötigten Leitungen Auswahl der benötigten Hardware Einbindung in die bestehende Netzwerkumgebung

20 Auswahl der benötigten Leitungen Zentrale feste IP-Adresse Bandbreite abhängig von den Verbindungen Außenstelle feste oder dynamische IP-Adresse Bandbreite abhängig vom lokalen Bedarf Volumentarif oder Flatrate Mobile Benutzer Bandbreitenbedarf für eine ICA-Verbindung

21 Auswahl der benötigten Hardware Softwarelösungen OpenSource Systeme Hardware Appliances Es gibt kein Produkt das alle Anforderungen erfüllen kann Lösung: Cisco SAFE Konzept

22 Cisco SAFE Konzept Auswahl der benötigten Hardware Jedes Gerät trägt zur Sicherheit bei Jedes Gerät soll das machen, wofür es entwickelt wurde Aber alles kann Cisco auch nicht! OpenSource Lösung Monitoring Funktionen Proxy Dienste Benachrichtigungsdienste

23 Auswahl der benötigten Hardware Verwendete Komponenten Cisco Router 836 Cisco Router 1760VPN Verwendungszweck: Aufbau VPN-Tunnel Aufbau ISDN Backup Leitung

24 Auswahl der benötigten Hardware Verwendete Komponenten Cisco Pix 501 Verwendungszweck: Schutz des lokalen Netzwerkes bei dezentralem Internetzugang

25 Auswahl der benötigten Hardware Verwendete Komponenten KomBN-Proxy Verwendungszweck: Proxy-Server http/ -monitoring Alarmierung Auswertung URL- und SpamFilter

26 Auswahl der benötigten Hardware Verwendete Komponenten VPN Concentrator Citrix Secure Gateway Verwendungszweck: VPN Einwahl einzelner Arbeitsplätze

27 Einbindung in die bestehende Netzwerkumgebung Zentrale Technik Außenstelle, LAN-to-LAN Kopplung Außenstelle, dezentralem Internetzugang Anbindung mobiler Benutzer

28 Zentrale Technik BYBN www Intranet Formular - Gateway mail / radius BT Ignite dns Company Connect Internet backup Citrix Secure Gateway Intranetzone Firewall intern DMZ Firewall extern VPN - Tunnel Mailsystem VPN-Gateway Laptop Aussendienst Applikations Serv er LRA Schwandorf VPN-Concentrator ISDN-Einwahl AfoD Einwahl Gemeinden oder Außenstellen Aussenstelle Nabburg Verschiedene Anbindungsmöglichkeiten: - Modem -ISDN - T-DSL

29 Realisierung in den Außenstellen VPN LAN-to-LAN Kopplung : Arbeitsplatz Arbeitsplatz Internet VPN - Tunnel Arbeitsplatz Arbeitsplatz KomBN - Proxy Linux-system - Protokollierung - Benachrichtigung - http-proxy/url Filter Kom BN-Gatew ay Cisco 836 IP / FW / VPN ISDN - Backup KomBN Lokales Netzwerk

30 Realisierung in den Außenstellen Dezentraler Internetzugang Arbeitsplatz Internet Arbeitsplatz VPN - Tunnel Arbeitsplatz KomBN - Firew all Cisco PIX 6.3 Kom BN-Gatew ay Cisco 836 IP / FW / VPN ISDN - Backup Arbeitsplatz Lokales Netzw erk KomBN - Proxy Linux-system - Protokollierung - Benachrichtigung - http-proxy/url Filter KomBN

31 Anbindung mobiler Mitarbeiter SSL- Citrix Metaframe Citrix Secure Gateway Company Connect Internet VPN - Tunnel Intranetzone Firewall intern VPN-Concentrator Einwahl Verschiedene Anbindungsmöglichkeiten: - Modem -ISDN - T-DSL Mailsystem Applikations Server Notebook Aussendienst LRA Schwandorf

32 Zusammenfassung Hohe Verfügbarkeit nur mit Backupleitung möglich Unterscheidung zwischen Netzwerkkopplung und Anbindung einzelner Arbeitsplätze Die Sicherheitsrichtlinien der Bayern CERT, für IP-VPN und Internetanbindungen, müssen eingehalten werden Durch Einsatz von Standardprotokollen maximale Flexibilität und Zukunftssicherheit

33 Fragen?