Einfache VPN Theorie. Von Valentin Lätt (

Transkript

1 Einfache VPN Theorie Von Valentin Lätt (

2 Einführung Der Ausdruck VPN ist fast jedem bekannt, der sich mindestens einmal grob mit der Materie der Netzwerktechnik auseinandergesetzt hat. Das erweiterte Wissen scheint den meisten jedoch ein bisschen zu umfangreich und kompliziert zu sein und so wird das Thema VPN erst mal auf die lange Bank geschoben. Sobald man sich einmal einige Stunden intensiv mit dem Thema auseinandergesetzt hat wird man bemerken, dass es sich zwar um umfangreiche Materie handelt, die Realisierung meistens jedoch ziemlich bald durchgeführt ist. Und sobald ein VPN einmal steht wird man schon bald die vielen Vorteile sehen und diese auch auskosten können. Definition von VPN VPN - Virtual Private Network bedeutet so viel wie virtuelles privates Netzwerk. Das kommt daher, dass sich eingewählte Clients physikalisch nicht wirklich innerhalb des Netzwerks befinden, logisch jedoch schon. Somit sind diese virtuell mit dem Netzwerk verbunden. Eine VPN Verbindung kann über verschiedene Medien erfolgen. So können sich Clients beispielsweise über ein Telefonnetz, Satellitenverbindungen oder über das Internet einwählen. Je nach örtlichen und technischen Gegebenheiten und nicht zuletzt dem Verwendungszweck entsprechend, machen verschiedene Varianten mehr oder weniger Sinn. Kosten von VPN Die Kosten von VPN Netzwerken variieren nach dem eingesetzten Übertragungsmedium sehr stark. Falls die Telefonleitung als Medium verwendet wird, müssen die benötigten Multiplexleitungen bei einem Provider gemietet und entsprechende Kommunikationskarten in die Einwahlserver eingebaut werden. Ebenfalls ziemlich Kostenintensiv sind sogenannte VPN-Tokens und entsprechende Serverlizenzen, mit welchen eine sicherere Authentifizierung am VPN Server möglich ist. Diese Tokens beinhalten einen Chiffrierungschip, eine Batterie und ein kleines LCD. Mittels dem Chip wird alle 60 Sekunden ein neuer sechsstelliger Code errechnet. Dieser Code wird auf dem LCD angezeigt. Wenn sich nun ein Mitarbeiter am VPN Server anmelden möchte, muss er erst diesen Code, einen Benutzernamen und ein Passwort zur Authentifizierung eingeben. Dieses Verfahren wird auch von Banken erfolgreich zur Identifizierung für E-Banking Accounts eingesetzt. Die Authentifizierung mittels beispielsweise eines Zertifikats oder einem PSK - Pre Shared Key ist zwar um einiges kostensparender, jedoch kann das Zertifikat oder der Key in fremde Hände gelangen oder abhandenkommen. VPN Seite 2 von 5 V 1.0

3 Einsatzbereiche von VPN Verschlüsselte VPN Verbindungen können firmenintern zur Übertragung von Informationen über unsichere Netzwerke verwendet werden. So können beispielsweise über das Internet verschiedene Geschäftsstellen miteinander verbunden werden. Dies verhindert, dass nicht in jedem Standort ein Server mit allen Daten eingerichtet und einzeln gepflegt werden muss. Wenn an einem Standort viele Mitarbeiter arbeiten, können die Datenbanken von Active-Directory Systemen zentral verwaltet und auf alle Geschäftsstellenserver repliziert werden. Ausserdem können Zugriffe auf Datenbanksysteme von allen Geschäftsstellen auf die zentrale Datenbank erfolgen. So sind alle Mitarbeiter zu jeder Zeit auf demselben Stand. Eine weitere Möglichkeit ist das verbinden von Mobilen Endgeräten mit dem Firmeninternen Netz. Dies bezweckt, dass beispielsweise mobile Verkäufer von überall auf der Welt ins Firmennetzwerk zugreifen können mit ihrem Notebook. Provider Nutzen VPN auch um Traffic einzelner Dienste zu trennen und über verschiedene Provider zu peeren. So kann der Traffic immer auf dem kostensparendsten Weg transportiert werden und die Uptime durch automatisches ändern der Verbindung bei Verbindungsabbruch erhöht werden. Dieser VPN Traffic wird meisten unverschlüsselt versendet, da der Traffic ohne eine VPN Verbindung so oder so einsehbar wäre und eine Verschlüsslung bei grossen Datenmengen einiges an Prozessorleistung erfordern kann. Darstellung Grob dargestellt sieht man auf diesen Grafiken, wie ein sicherer VPN Tunnel über das Internet zwei private Netzwerke verbindet. Die Verbindung zwischen Router und Rechner ist unverschlüsselt und läuft noch nicht über den Tunnel. Der Tunnel wird über die beiden Router aufgebaut. Die beiden Router sind somit VPN Endpunkte. VPN sind sehr sicher könnte man denken. Fakt ist aber, dass jeder, welcher Zugang zum Traffic hat, in welchem sich die VPN Pakete befinden, diese auch einsehen kann. VPN sind also nicht sicher? - Ebenfalls falsch: Die VPN Verbindungen sind grundsätzlich ohne weitere Massnahmen nicht sehr sicher. Durch komplexe Verschlüsslungs- und Authentifizierungsverfahren können diese jedoch sehr sicher gemacht werden. Das heisst, ein VPN ist erst dann sicher, wenn es auch so konfiguriert ist. Es gibt zwei verschiedene Wege VPN Verkehr abzusichern: Zum einen das verschlüsseln der Pakete, welche sich im VPN Tunnel befinden und zum anderen das sichern der Authentifizierung zum herstellen der Verbindung. Beide sind wichtige Bestandteile der Absicherung eines VPN Tunnels. VPN Seite 3 von 5 V 1.0

4 Sollte eines der beiden Sicherungsverfahren nicht genügend Schutz bieten ist der VPN Tunnel gefährdet vor Angriffen. In einigen Ländern ist mit Verschlüsslungen jedoch Vorsicht geboten. Es dürfen zum Beispiel in den USA oder Deutschland keine extrem starken Verschlüsslungen eingesetzt werden, da diese gegen das Kriegswaffengesetz verstossen können. Bei internationalen Netzwerken ist die Verschlüsslung dementsprechend zu wählen. Weder der Sender noch der Empfänger eines Pakets, welches durch einen VPN Tunnel transportiert wurde bemerkt, ob es durch einen VPN Tunnel gesendet oder gar verschlüsselt wurde. Je nach Methode können jedoch nicht alle Protokolle über einen VPN Tunnel gesendet werden. VPN Endpunkte Als VPN Endpunkte können sowohl Spezielle dedizierte, sogenannte VPN Konzentratoren (unten abgebildet) aber auch Internet-Router, Firewalls oder normale Server verwendet werden. Eine VPN Verbindung kann auch von einem (beispielsweise) Windows Server 2008 Rechner, welcher mit IIS ein Intranet veröffentlicht, nebenbei betrieben werden. Der Ressourcenverbrauch für eine Side-to-Side Verbindung ist allgemein nicht sehr gross. Einrichtung und Konfiguration eines VPN Um zwei Standorte mittels eines VPN Netzwerks zu verbinden und einen Side-to-Side (auch Branch- Office genannt) VPN Tunnel zu erstellen müssen beide Router oder VPN Endpunkte mit denselben Einstellungen konfiguriert werden. Diese bauen den Tunnel eigenständig auf, sobald eine Verbindung hergestellt werden soll zu einem Rechner welcher sich im jeweils entfernten Netzwerk befindet. Als Konfigurationsbeispiel wird hier ein Heimnetzwerk mit einem Verwaltungsnetzwerk eines anderen Standortes per VPN verbunden. Als VPN-Gateway agieren in diesem Fall die beiden Firewallrouter (Eingesetztes OS: Mono wall > Normale Server Hardware), welche den jeweiligen Standort direkt ans Internet anbinden. Der Internetzugang erfolgt direkt über den entsprechenden Router und wird nicht über das VPN geführt. Im Beispielszenario wird sowohl die Verbindungsauthentifizierung, als auch die VPN Pakete verschlüsselt übertragen. Konfiguration des VPN Gateways am Heimnetzwerk VPN Seite 4 von 5 V 1.0

5 Konfiguration des VPN Gateways am Zweitstandort Sobald nun von einem der beiden Netzwerke ein Zugriff in das jeweils entfernte Netz erfolgt wird die Verbindung aufgebaut und der Traffic verschlüsselt über das Internet übertragen. Die Verbindung wird 10 Minuten im Standby Modus aufrecht erhalten. Danach wird die Verbindung beendet und wartet im on demand (Auf Anfrage) Status, bis eine Verbindung aufgebaut werden muss. Im Stand-by Status ist steht eine aktive Verbindung zwischen den Standorten, im on-demand Status wird alle 10 Minuten eine Kontaktanfrage durchgeführt um festzustellen, ob der Zielhost noch verfügbar ist. Quellangaben Bilder: Google -> Herstellerseite von Checkpoint und Fortinet. VPN Seite 5 von 5 V 1.0