Remote Access. Virtual Private Networks. 2000, Cisco Systems, Inc.

Transkript

1 Remote Access Virtual Private Networks 2000, Cisco Systems, Inc. 1

2 Remote Access Telefon/Fax WWW Banking Analog (?) ISDN xdsl... 2

3 VPNs... Strong encryption, authentication Router, Firewalls, Endsysteme 3

4 Begriffe Kryptographie Die Wissenschaft der Sicherung oder Verbergung von Informationen. Plaintext Die ursprüngliche Information. Encryption Der Vorgang der Verschlüsselung einer Information. Ciphertext Die verschlüsselte Information. Decryption Der Vorgang der Entschlüsselung einer Information. 4

5 Begriffe Cipher oder kryptographischer Algorithmus Die mathematische Funktion, die zur Ver- und Entschlüsselung benutzt wird. One way hash function Eine mathematische Funktion, die aus einer Information variabler Länge (Plaintext) ein Ergebnis definierter Länge erzeugt, den Hash. Der Hash kann auch als eine hochwertige Prüfsumme verstanden werden. Wichtig! Die ursprüngliche Information kann nicht aus dem Ergebnis wiederhergestellt werden. 5

6 Verschlüsselungsverfahren Symmetrisches oder Secret Key Verfahren Schlüssel für Encryption und Decryption sind gleich. Konventionelle Kryptographie - wird seit den frühen Anfängen der Kryptographie benutzt. Wird weiterhin gebraucht. Wird weiterentwickelt, um leistungsfähiger zu werden. Asymmetrisches oder Public Key Verfahren Schlüssel für Encryption und Decryption sind verschieden, aber mathematisch miteinander verknüpft. Erst seit 1976 verfügbar. Wird meist in Verbindung mit symmetrischen Verfahren eingesetzt. 6

7 Verschlüsselungsalgorithmen Symmetrische Algorithmen DES (56 bit) Triple-DES (3x56 bit = 168 bit) CAST (128 bit) IDEA (128 bit) Asymmetrische Algorithmen RSA Diffie-Hellmann (DH) Eine Verschlüsselung mit einer Schlüssellänge ab 128 bit (symmetrisch) wird allgemein als strong encryption bezeichnet. 7

8 IPSec: Der Standard für VPN- Verschlüsselung Internet Encrypted IP Internal Network Standards compliance IPSec AH/ESP Encapsulated Tunnels IKE Management interoperable Cisco IOS, Firewalls, and other IPSec-compliant systems Client support Windows 95/ 98 and Windows NT 4.x (Cisco provided software) Windows 2000 (Microsoft/Cisco partnership) 8

9 IPSEC Protokollarchitektur IPSEC ist eine Kombination von drei wesentlichen Protokollen (Services) Authentifikation: Authentication Header (AH) und Encapsulating Security Payload (ESP) Integrität / Vertaulichkeit: Encapsulating Security Payload (ESP) Rahmen: Internet Key Exchange (IKE) 9

10 IPSec Modes Tunnel Mode IP HDR Data New IP HDR IPsec HDR IP HDR Data May Be Encrypted IP HDR Data Transport Mode IP HDR IPsec HDR Data May Be Encrypted 10

11 Authentication Header IP HDR Data Transport Mode IP HDR AH Data Authenticated except for mutable fields Tunnel Mode New IP HDR AH IP HDR Data Authenticated except for mutable fields in New IP Header 11

12 ESP Encapsulating Security Payload Verschlüsselung der Nutzdaten Transport der Nutzdaten über IP Authentifikation der Datenquelle 12

13 Encapsulating Security Payload IP HDR Data Transport Mode IP HDR ESP HDR Data ESP Trailer ESP Auth Encrypted Authenticated Tunnel Mode New IP HDR ESP HDR IP HDR Data Encrypted Authenticated ESP Trailer ESP Auth 13

14 IKE Internet Key Exchange Protokoll Aushandlung von Protokollparametern Austausch von Public Keys Authentifikation beider Partner Schlüsselmanagement während der gesamten Sitzung 14

15 IKE / IPSEC Funktionsabläufe Relevante Daten empfangen Main Mode IKE Negotiation Quick Mode Negotiation Aufbau des IPSec Tunnels IKE IPSec Data 15

16 Security Association (SA) Router Vereinbarung zw. zwei IPSec- Endsystemen über eine Security Policy: Verschlüsselungsalgorithmus Authentifikationsalgorithmus Gemeinsame Session Keys SA lifetime Unidirektional! Duplex-Kommunikation erfordert zwei SA s Firewall 16

17 IKE and IPSec 6. Use IPSec SA: Encrypt/Authenticate as Specified Sender s Router IPSec 7. Use Return IPSec Security Association IPSec Rcvr s Router 1. Negotiate Policy for IKE SA IKE 2. Exchange Diffie-Hellman Numbers (Main Mode) 3. Exchange Certificates and Check CRL 4. Device Authentication: Signed Random Numbers IKE IKE Tunnel 5. Negotiate IPSec Parameters (Transform- Sets and Crypto ACLs) and Generate Secret Key Material for Both Sessions (Quick Mode) 17

18 Secure IPSEC Tunnel between two routers using pre-shared secret Configuration on Router c Define the domain name ip domain-name cisco.com 2. Define the hostname hostname c Define the name server ip name-server Configure ISAKMP Policy crypto isakmp policy 9 auth pre-share exit 18

19 Secure IPSEC Tunnel between two routers using pre-shared secret 5. Configure Pre-Shared Key and associate with the peer crypto isakmp key cisco address Configure IPSEC supported Transforms crypto ipsec transform-set basic-des esp-des esp-md5-hmac 7. Create an Access list access-list 102 permit ip

20 Secure IPSEC Tunnel between two routers using pre-shared secret 8. Define a Crypto Map crypto map c ipsec-isakmp set peer set transform-set basic-des match address 102 exit 9. Apply the crypto map to the interface interface ethernet0/0 ip address crypto map c

21 Secure IPSEC Tunnel between two routers using pre-shared secret Configuration on Router c Define the domain name ip domain-name cisco.com 2. Define the hostname hostname c Define the name server ip name-server Configure ISAKMP Policy crypto isakmp policy 5 auth pre-share exit 21

22 Secure IPSEC Tunnel between two routers using pre-shared secret 5. Configure Pre-Shared Key and associate with the peer crypto isakmp key cisco address Configure IPSEC supported Transforms crypto ipsec transform-set branch esp-des esp-md5-hmac 7. Create an Access list access-list 102 permit ip

23 Secure IPSEC Tunnel between two routers using pre-shared secret 8. Define a Crypto Map crypto map c ipsec-isakmp set peer set transform-set branch match address 102 exit 9. Apply the crypto map to the interface interface ethernet0/0 ip address crypto map c

24 Cisco IOS-VPN & Firewall-VPN Cisco IOS mit VPN-Erweiterung Cisco 800/1600/1700/ 2500/2600/3600/7200 Cisco Firewallsysteme Cisco Secure PIX-Firewall 24

25 Cisco VPN 3000 Concentrator Hardware Broadband performance Scalable encryption Redundant, hot swap SEPs mit stateful SEP failover Chassis failover Redundant power supplies Scalable Encryption Processor (SEP) 25

26 Cisco VPN 3000 Concentrator Hardware Simultaneous Tunnels Encrypted Throughput 4Mbps 4Mbps 50Mbps 100Mbps Encryption Method Software Software Hardware Hardware Expansion Slots SEP (Enc.) Modules Redundant SEP N/A N/A Option Option System Memory 32 Mb 64 Mb 128 Mb 256 Mb Hardware Specs 1U, Fixed 2U, Scalable 2U, Scalable 2U, Scalable Redundant Power No Option Option Option Client License Unlimited Unlimited Unlimited Unlimited 26

27 HTML Based Management 27

28 VPN 3000 Client 28

29 Fragen??? 29

30 1998 Cisco Systems, Inc. 30