Site2Site VPN S T E F A N K U S I E K B F W L E I P Z I G

Transkript

1 Site2Site VPN S T E F A N K U S I E K B F W L E I P Z I G

2 Übersicht Einleitung IPSec SSL RED Gegenüberstellung

3 Site-to-Site VPN Internet LAN LAN VPN Gateway VPN Gateway Encrypted

4 VPN - Technologien Remote Access PPTP Entwickelt von Microsoft Basiert auf dem PPP-Protokoll In MS-Windows integriert Einfach zu installieren und zu benutzen Geringe Sicherheit, Sitzungsschlüssel basiert auf einem Passwort L2TP (over IPSec) Von Microsoft eingesetzt Tunnelt alle Layer 3 Protokolle wie PPTP Größere Sicherheit als PPTP wenn IPSec Sicherheits-Mechanismen benutzt werden Fügt einen weiteren Komplexitätslevel zu IPSec hinzu Cisco VPN Client / Apple iphone Basierend auf IPSec Remote Access & Site-to-Site SSL Industriestandard für Online-Shops Optimiert für Remote Access Einfach zu installieren und zu benutzen Passiert die meisten Firewalls Auch durch Proxies, benutzt nur einen Port Netzwerkkonfiguration wird automatisch aktualisiert VPN Netzwerke, DNS/WINS/Domäne IPSec Industriestandard für heutige VPNs Optimiert für Site-To-Site VPN Viele alternative Mechanismen Komplexes Protokoll, viele Fehlermöglichkeiten Das Protokoll mit der höchsten Sicherheitsstufe wenn korrekt konfiguriert Zugriff nicht immer von jedem Netzwerk aus möglich wenn Ports von der Firewall blockiert werden

5 Site-to-Site VPN: IPSec

6 IPSec VPN Site to Site IPSec ist ein unabhängiger und offener Standard. Zur IPSec-Architektur gehören zwei Protokolle und zwei Betriebsarten: ESP und AH Transport Mode und Tunneling Mode IP-Pakete werden mit dem Protokoll ESP in anderen IP-Pakete verpackt. Der ESP Tunneling Mode verschlüsselt und authentifiziert einzelne IP-Pakete. Am sichersten und flexibelsten ist der ESP Tunneling Modus. IPSec implementiert zwei Sicherheitsfunktionen auf IP-Ebene: Authentifizierung Verschlüsselung Dies benötigt ein Protokoll auf höherem Level (IKE, Internet Key Exchange) für das Setup der IP-Level Services (ESP, AH) Drei Protokolle werden in einer IPsec Implementierung genutzt: IKE, Internet Key Exchange Handelt Verbindungsparameter aus, einschließlich Schlüssel ESP, Encapsulating Security Payload Verschlüsselt und/oder authentifiziert Daten AH, Authentication Header Bietet einen Paket Authentifizierungs-Service StrongSwan die derzeit stabilste Linux-Implementierung von IPSec.

7 IPSec VPN ESP ist ein Protokoll Typ auf derselben Ebene wie TCP, UDP und ICMP. Der originale IP Header wird nicht verändert Das komplette originale IP Paket ist verschlüsselt und authentifiziert. IP-Pakete werden in anderen IP-Paketen gekapselt IP Header TCP or UDP Header Packet Data Neuer IP Header ESP Header mnhjbfv09werrrnoim37qtw ESP Trailer Auth Verschlüsselt Authentifiziert

8 IPSec VPN - Parameter Parameter eines IPSec Tunnels (Security Association, SA) aushandeln: ISAKMP (IKE) Parameter (für Phase 1) Symmetrische Verschlüsselungs-Algorithmen DES, 3DES(168bit), AES(128/192/256bit), Blowfish(128bit), Twofish(128bit), Serpent(128bit) Authentifizierungs-Algorithmen MD5 (128bit), SHA-1 (160bit), SHA2-256 (256bit), SHA2-384 (384bit), SHA2-512 (512bit) SA Lebenszeit 60s 86400s, Standardwert = 7800 Sekunden. IPSec Parameter (für Phase 2) Symmetrische Verschlüsselungs-Algorithmen Null, DES, 3DES(168bit), AES(128/192/256bit), Blowfish(128bit), Twofish(128bit), Serpent (128bit) Authentifizierungs-Algorithmen MD5 (128bit), SHA-1 (160bit), SHA2-256 (256bit), SHA2-384 (384bit), SHA2-512 (512bit) SA Lebenszeit 60s 86400s, Standardwert = 3600 Sekunden. Perfect Forward Secrecy - PFS group (Schlüssel werden nicht aus Daten der Phase 1 abgeleitet!) DH-Groups 1,2,5,14,15,16 - MODP768..MODP4096 Länge der verwendeten Zufallszahlen Strenge Richtlinien Akzeptiert nur die in der Policy definierten Parameter Datenkomprimierung Ein-/Ausschalten IPCOMP

9 Beispieltopologie X LINKS /24 Y Internet /8 Z RECHTS /24 HQ Branch LocalLAN RemoteLAN XP ASG ASG XP

10 Konfiguration IPSec Connection Policy Remote Gateway Local Interface Local Networks Remote Gateway IP Remote Networks Authentication Type VPN ID Remote Gateway IPSec Policy IKE-Parameter IPSec-Parameter Strenge Richtlinien Datenkomprimierung

11 Konfiguration des Remote Gateways 2 Beschreibender Name des Remote Gateway Art/Typ des Gateways Respond Only (VPN ID = ANY) Initiate Connection Art der Authentifizierung Preshared Key RSA Key Local X509 Certificate Remote X509 Certificate VPN Kennung der Remote Site Remote Networks interne Netzwerke auf der Gegenseite Textfeld für weiteren Kommentar Erweiterte Optionen zur Ermittlung der maximalen Paketgröße und zur Vermeidung von Paketverlusten bei hoher Leitungsauslastung XAUTH ermöglicht eine zusätzliche Authentisierung bei der Gegenstelle (nicht ASG)

12 Konfiguration der IPSec Connection 3 Beschreibender Name der VPN Verbindung Auswahl der Gegenstelle bei Remote Gateway Auswahl des lokalen Interfaces auf dem die IPSec Verbindung nach außen aufgebaut wird Auswahl der IPSec Policy Local Networks Auswahl der internen Netzwerke Optional: Einrichtung von automatischen Paketfiltern für die zuvor eingetragenen Netzwerke. Komplette Transparenz. (Kein Logging!) Optional: Strict routing beim Routing in das VPN werden Source und Destination Adressen mit den Definitionen innerhalb der VPN Konfiguration verglichen.

13 Site-to-Site VPN: SSL / TLS

14 SSL / TLS VPN Robustes VPN per SSL zwischen zwei ASGs Einfaches Client/Server Setup Basiert auf OpenVPN aktuellste SSL Version (TLS) Bewährte Technologie Verwendet für viele Internet Anwendungen Bietet sichere und stabile Authentifizierung und Verschlüsselung mittels Zertifikaten Bietet ähnliche Möglichkeiten wie IPsec Verbindungen Einfache Installation und Konfiguration

15 Konfiguration SSL/TLS VPN Szenario: Konfigurations-Schritte: Die Kommunikation zweier Standorte über ein unsicheres Netzwerk muss per SSL abgesichert werden 1. Überprüfung/Änderung der erweiterten Einstellungen 2. Server Konfiguration 3. Client Konfiguration Export/Import LocalLAN HQ (Server) Branch (Client) RemoteLAN 4. Regeln definieren / Security Policy 5. Verbindung testen

16 Konfiguration Server Auswahl von Protokoll, Port und Interface Optional: Änderung des lokalen Hostnamen für SSL Verbindungen Konfiguration der virtuellen IP Adressen für alle Clients Erlaubt es einem Benutzer sich gleichzeitig von verschiedenen IP-Adresse aus anzumelden. Kryptographische Einstellungen: Verschlüsselungs- und Authentifizierungsalgorithmen Schlüssellänge Server Zertifikat Schlüssel Lebensdauer Optional: Komprimierung einschalten NOTIZ: Die Globalen Einstellungen gelten für alle Site-to-Site und Remote Access Verbindungen.

17 Konfigurationsdatei download Auswahl Client / Server Optional: Änderung der virtuellen Client IP Adresse Lokale Netzwerke innerhalb des VPN Remote Netzwerke innerhalb des VPN Optional: Automatische Paketfilterregeln Download der Client Konfiguration

18 Konfiguration Client Auswahl Client / Server Laden der Konfigurationsdatei Optional: Eingabe Passwort Optional: Benutzung eines Proxy Servers, Authentifizierung am Proxy ist möglich. Optional: Änderung des Server Hostname / Eingabe der IP Optional: Automatische Paketfilterregeln Verbindung wird automatisch vom Client zum Server aufgebaut

19 Astaro Branch Office Security Remote Ethernet Device

20 VPN über RED Astaro Branch Office Security ermöglicht Ihnen die Anbindung von Zweigstellen und HomeOffice-Standorten ohne großen Konfigurationsaufwand vor Ort Die Kombination aus zentralem Astaro Security Gateway und Astaro RED Security Gateway vor Ort reduziert den Aufwand auf wenige Schritte. Das Astaro RED Gateway verbindet sich automatisch mit dem Astaro Provisioning Dienst und erhält darüber alle notwendigen Daten um das zentrale Astaro Security Gateway zu erreichen. Die Konfiguration des Astaro RED Gateways erfolgt durch das zentrale ASG. Voraussetzung für den Einsatz des Astaro RED Gateways ist ein Router in der Zweigstelle, der per DHCP eine IP-Adresse, das Default-Gateway und DNS-Einstellungen an das Astaro RED Gateway verteilt. Ethernet Tunnel mit Symmetrische AES256 Verschlüsselung und SSL SHA1-HMAC Authentifizierung Maximale Bandbreite 30MBit/s Failover mit UMTS-Stick

21 Konfiguration RED In fünf einfachen Schritten ist eine Zweigstelle per Astaro RED Gateway angebunden: 1. ASG: RED Support aktivieren 2. ASG: Das Astaro RED Gateway anlegen und optional die Konfiguration von DHCP, DNS-Proxy und IP- Netzwerk des Astaro RED im ASG aktivieren. 3. Astaro RED: Das Gateway mit dem Router in der Zweigstelle verbinden. Der lokale Router muss Datenverkehr auf Port 3400 TCP/UDP in Richtung Internet zulassen. 4. Astaro RED: Das Gateway verbindet sich mit dem Astaro Provisioning Dienst und erhält alle notwendigen Daten um das zentrale Astaro Security Gateway zu erreichen. 5. Astaro RED: Das Gateway errichtet einen VPN-Tunnel zum zentralen ASG und erhält alle weiteren Daten zum die lokal angeschlossenen Geräte mit dem ASG zu verbinden.

22 Erweiterungen RED Das Astaro RED erstellt einen Layer 2 Tunnel und routet sämtliche Daten über diesen Tunnel zum zentralen Astaro Security Gateway Der Tunnel nutzt UDP/TCP Port Die gesamte Konfiguration erfolgt im zentralen ASG. Dort wird per DHCP-Server festgelegt, welche IP-Adressen die angeschlossenen Geräte am Astaro RED Gateway erhalten. Aus Sicht des ASG ist ein RED Gateway einfach ein zusätzliches Netzwerk-Interface, das über die gleichen Mechanismen (Paketfilter, Proxies, NAT) gesteuert werden kann wie jedes andere Interface auch. Seit Version 8 des ASG werden zwei verschiedene Modi des RED Gateways unterstützt: Full Tunnel: Das Astaro RED Gateway leitet sämtlichen Datenverkehr der angeschlossenen Geräte zum zentralen Astaro Security Gateway Split Tunnel: Nur Daten in das lokalen Netzwerk des RED Gateways werden durch den Tunnel geleitet. Sämtlicher Internet-Datenverkehr und geroutete Daten werden direkt über den Router der Zweigstelle gesendet. Weitere Informationen finden sich in der Astaro KnowledgeBase. Full-Tunnel Split-Tunnel

23 Vergleich???

24 Danke Probieren Sie es selbst mit der Demoversion oder in einem unserer Bootcamps