2L03: VPN Verbindungen zwischen RZ und Standorten

Transkript

1 2L03: VPN Verbindungen zwischen RZ und Standorten Referent: Christoph Bronold BKM Dienstleistungs GmbH 2006 BKM Dienstleistungs GmbH VPN Überblick VPN Verbindungen zwischen Standorten VPN Verbindungen zwischen Rechenzentren Zusammenfassung Agenda 2 1

2 VPN Überblick VPN Arten Vorteile von VPNs Einteilung der virtuellen Netzwerke Layer 2 VPN Layer 3 VPN 2006 BKM Dienstleistungs GmbH Site-to-Site VPN Service Provider Netzwerk Zentrale Remote Access VPN VPN Arten 4 2

3 Kosten Erweiterbarkeit Administration www Vorhandene Hardware Vorteile von VPNs 5 Virtuelle Private Netzwerke (VPN) Layer-2 VPN MPLS Core IP Core VPWS VPLS GRE L2TP PPTP EoMPLS AToM Ethernet Layer 2 VPN 6 3

4 Virtuelle Private Netzwerke (VPN) Layer-2 VPN Layer-3 VPN MPLS Core IP Core MPLS Core IP Core VPWS VPLS GRE L2TP PPTP MPLS VPN IPsec GET SSL SSH EoMPLS AToM Ethernet Layer 3 VPN 7 GRE PPTP SSL SSH IPsec GET MPLS VPN Verbindungen zwischen Standorten 8 4

5 L2TPv3 Ethernet over MPLS (EoMPLS) Any Transport over MPLS (AToM) VPLS VPN Verbindungen zwischen Rechenzentren 9 VPN Verbindungen zwischen Standorten GRE PPTP SSL SSH IPsec GET MPLS 2006 BKM Dienstleistungs GmbH 5

6 GRE Tunnel IP Netzwerk Pakete im GRE Tunnel: Data-Link IP Header GRE Daten Generic Routing Encapsulation 11 Entwickelt maßgeblich von Cisco GRE ist im RFC 1701 definiert Vorteile von GRE: Multi-Protokoll Unterstützung Unterstützung von Multicast und dynamische Routing Protokolle Point-to-Point und Point-to-Multipoint Verbindungen mit dynamischer Endpunkterkennung Relative gute Performance Nachteile von GRE: Keine Sicherheitsmechanismen Bei vielen Verbindungen wird die Konfiguration komplexer Generic Routing Encapsulation

7 MS Windows Client MS Windows 2000/2003 Server IP Netzwerk Kontrollinformationen: MS Windows 2000/2003 Server Data-Link IP Header TCP Header PPTP Kontrollinformationen Daten: Data-Link IP Header GRE PPP komprimierte + verschlüsselte Daten Point-to-Point Tunnel Protocol (PPTP) 13 Entwickelt von Microsoft, Ascend Communication und 3COM beteiligt. PPTP ist im RFC 2637 definiert Vorteile: PPTP ist ein Tunnel-Protokoll, das OSI Layer 2 oder 3 Protokolle in PPP, GRE und IP einpackt. PPTP ist in den Microsoft Windows Varianten Windows 98, Windows ME, Windows 2000 (Server und Professional), Windows XP und Windows Server 2003 implementiert sowie in vielen (DSL-)Routern Datenverschlüsselung mit MPPE (Microsoft Point-to-Point Encryption 40 oder 128 Bit), definiert im RFC 2118 Authentifizierung über CHAP mit EAP oder EAP-TLS Point-to-Point Tunnel Protocol (PPTP)

8 OpenVPN Router OpenVPN Server Browser (incl. Java) IP Netzwerk SSL VPN Server Datenpakete: SSL/ Data-Link IP Header TCP Verschlüsselte Daten TLS SSL (Secure Socket Layer) VPN 15 SSL wurde von Netscape entwickelt Vorteile: Keine VPN Client Software nötig, nur Browser (mit Java) Zugriff auf die Server/Daten weltweit möglich über das Internet SSL Server als Open-Source Software erhältlich Verschiedene Verschlüsselungen und Authentifizierungen werden unterstützt Nachteile: Oftmals muss ein Java Applet installiert werden Manuelle Konfiguration der einzelnen Port-Umleitungen SSL (Secure Socket Layer) VPN

9 Clientless Mode Browser-based (clientless) Microsoft Windows or Linux Web-enabled applications, file sharing, Outlook Web Access Gateway performs address or protocol conversion and content parsing and rewriting Thin-Client Mode TCP port forwarding Uses Java Applet Extends application support Telnet, , SSH, Meeting Maker, Sametime Connect Static port-based applications Tunnel Mode Works like clientless IPsec VPN Tunnel client loaded through Java or ActiveX (approximately 500 kb) Application agnostic supports all IP-based applications Scalable Local administrative permissions required for installation Beispiel: Cisco SSL VPN (WebVPN) 17 Mail Server SMT/POP Verbindung (unverschlüsselt) File/Terminal Server Linux Internet (WLAN) SSH2 Tunnel (verschlüsselt) SSH Tunnel Server ssh -L localport:dest_server:dest_port -l username tunnelserver Datenpakete: Data-Link IP Header TCP SSH Verschlüsselte Daten SSH (Secure Shell) VPN

10 SSH entwickelt 1995 von Tatu Ylönen, Gründer der Firma SSH Communications Security Vorteile: Authentifizierung mit RSA-Keys oder Passwort Verschlüsselung mit AES, 3DES, Blowfish, Twofish, CAST, IDEA, Arcfour und SEED Vielfach implementiert (z.b. OpenSSH, Putty, WinSCP) Nachteile: Primär als Telnet/rsh Ersatz entwickelt Nicht für Site-to-Site VPNs gedacht SSH Server mit User Account nötig Umleitung der Ports muss einzeln konfiguriert werden SSH (Secure Shell) VPN 19 IPsec Transport IP Netzwerk IPsec Tunnel Datenintegrität Paketvertraulichkeit (Verschlüsselung) Paketauthentifizierung (vom Absenders) Anti-Replay Service Transport Mode für Ende-zu-Ende Verbindungen Tunnel Mode für alle anderen Verbindungen IP Security (IPsec) Überblick

11 Security Association (SA): Verschlüsselung (DES, 3DES, AES) Hash Algorithmus (MD5, SHA) Authentifizierung (PSK, Signatur, RSA) Gruppe (768 Bit, 1024 Bit) Schlüssel Lebenszeit IP Hdr Daten IPsec Tunel IKE Protokoll Internet Key Exchange (IKE) 23 IPsec wurde für IP Version 6 entwickelt Definiert in einer Reihe von RFC 2401 ff. Vorteile: Datenverschlüsselung Authentifizierung Anti-Replay Integrität Sichere VPN-Verbindung über das Internet Vielfach implementiert in Betriebssystemen und Routern Nachteile: Keine Übertragung von Broadcast und Multicast Pakten Oft nicht einfach zu konfigurieren Vollvermaschung IP Security

12 Group Member GET VPN Group Member IP Netzwerk GET VPN Key Server IPsec: IP Header neu! ESP Header IP Header Daten ESP Trailer ESP Auth GET: IP Header Original ESP Header IP Header Daten ESP Trailer ESP Auth Cisco Group Encrypted Transport (GET) VPN 25 Vorteile: Erweiterung von IPsec mit Group Domain of Interpretation (GDOI), RFC 3547 Tunnel-loser, verschlüsselter Transport von IP Paketen Perodisches Re-Keying per Multicast vom Key Server Kein neuer IP Header: IPsec Tunnel Mode with Address Preservation Verwendung von Standard IP Routing Protokollen Any-to-Any Kommunikation Leich erweiterbar hoch skalierbar Optimal für Quality-of-Service und Multicast Applikationen Cisco Group Encrypted Transport (GET) VPN

13 IP IP IP IP IP Data Link MPLS Data Link MPLS Data Link MPLS Data Link Data Link Routing Switching Routing Ingress LSR Egress LSR Transit LSR P Router Customer Edge CE Router MPLS Netzwerk Customer Edge CE Router Multi-Protocol Label Switching (MPLS) 27 Overlay VPN: Connection-Oriented MPLS VPN: Connectionless Any-to-Any Kommunikation Overlay und MPLS VPNs

14 VPN A VPN B VPN C CE Router Globale Routing Tabelle P Router VPN A Routing Tabelle VPN B Routing Tabelle VPN C Routing Tabelle CE Router VPN A VPN B VPN C VPN Routing and Forwarding Instance (VRF) 29 Entwickelt von IETF, definiert in einer Reihe von RFC's 3031 ff. Transport Netzwerktechnik für die Carrier: Tripple Play (Daten, Sprache, Video/TV) Vorteile: Any-to-Any Kommunikation Quality of Service (DiffServ) Hohe Bandbreiten Übertragung von IP und Ethernet (mit VPLS) Nachteile: Nicht flächendeckend (günstig) erhältlich Multi-Protocol Label Switching (MPLS)

15 VPN Verbindungen zwischen Rechenzentren L2TPv3 Any Transport over MPLS (AToM) Ethernet over MPLS (EoMPLS) VPLS 2006 BKM Dienstleistungs GmbH IP Router RZ 2 ATM, FR RZ 1 Cluster Node 1 VLAN 100 IP Router IP/MPLS Netzwerk Layer 2 Verbindung Für Cluster Heart-beat ATM, FR Cluster Node 2 VLAN 100 Cluster Server benötigen Layer-2 Verbindung Alte WAN Technologien über IP anbinden Problem: VPN Verbindungen zwischen Rechenzentren

16 2 1 ISDN PSTN Voluntary Tunneling PPP L2TP Tunnel L2TP Access Concentrator (LAC) 2 IP Netzwerk PPP L2TP Tunnel L2TP Network Server (LNS) 1 Compulsory Tunneling Pakete im L2TP Tunnel: Data-Link IP Header UDP L2TP PPP Daten Layer 2 Tunneling Protocol (L2TP) 33 L2TP ist für das Provider-Enterprise-Modell (maßgeblich von Cisco) entwickelt worden Definiert im RFC 2661 Vorteile: Multiprotokoll Unterstützung Autorisierung und Adressierung kann von der Zentrale oder vom Service Provider gesteuert werden. Implementiert in Windows 2000, Windows XP, Windows Server 2003 und einigen Routern Skalierbar und sehr einfach zu administrieren Nachteile: Keine eingebaute Security - IPsec soll dafür verwendet werden Entwickelt für das Provider-Enterprise Modell Layer 2 Tunneling Protocol (L2TP)

17 RZ 2 ATM, FR L2TPv3 Tunnel (Pseudowire) IP Netzwerk IP Router Cluster Node 2 VLAN 100 RZ 1 ATM, FR Cluster Node 1 VLAN 100 IP Router Pakete im L2TP Tunnel: Data-Link IP Header L2TP Layer 2 Daten Layer 2 Tunnel Protocol Version 3 (L2TPv3) 35 Vorteile von L2TPv3: L2TPv3 ist ein Industriestandard (RFC 3931) Einfache Installation und Administration L2TPv3 benötigt nur IP als Transport kein MPLS Netzwerk Transport von Layer 2 Protokollen wie z.b.: Ethernet IEEE 802.1q (VLANs) Frame Relay HDLC PPP ATM IPv6 Protocol Demultiplexing Layer 2 Tunnel Protocol Version 3 (L2TPv3)

18 RZ 2 CE Router RZ 1 P Router LDP LDP MPLS Netzwerk Cluster Node 2 VLAN 100 Cluster Node 1 VLAN 100 CE Router Pseudowire Any Transport over MPLS (AToM) 37 Vorteile von Any Transport over MPLS: Transparenter Datentransport (Pseudowire) für den Kunden Funktioniert nur mit einem MPLS Netzwerk Skalierbare Layer-2 VPN Lösung AToM mit QoS und Traffic Engineering kombinierbar Transport von jedem Layer 2 Protokoll wie z.b.: Ethernet VLAN (Ethernet over MPLS EoMPLS) Frame Relay HDLC PPP ATM Any Transport over MPLS (AToM)

19 RZ 1 Pseudowire 1 P Router LDP LDP MPLS Netzwerk CE L3 Switch RZ 2 Cluster Node 2 VLAN 100 Cluster Node 1 VLAN 100 CE L3 Switch Pseudowire 2 L3 Switch Trunk/Etherchannel L3 Switch Ethernet over MPLS (EoMPLS) 39 RZ 3 RZ 1 CE L3 Switch CE L3 Switch LDP LDP MPLS Netzwerk Pseudowires CE L3 Switch Virtual LAN Bridge/Switch RZ 2 RZ 4 Virtual Private LAN Service (VPLS)

20 Vorteile: VPLS = Transparent LAN Service Ethernet-based Multipoint Layer-2 VPN Service Netzwerk simuliert einen Layer 2 Switch Voraussetzung: MPLS Netzwerk Virtual Private LAN Service (VPLS) 41 Zusammenfassung Home-Office/Kleine Unternehmen Mittlere Unternehmen Große Unternehmen Standorte Große Unternehmen Rechenzentren 2006 BKM Dienstleistungs GmbH 20

21 Virtuelle Private Netzwerke (VPN) Layer-2 VPN Layer-3 VPN MPLS Core IP Core IP Core MPLS Core VPWS VPLS GRE L2TP PPTP IPsec GET SSL SSH MPLS VPN EoMPLS AToM Ethernet Layer 3 VPN 43 Windows 2000/2003 Server Windows 2000/2003 Server SOHO Windows 2000 Prof. Windows XP Prof. DSL Router DSL Router T-DSL PPTP Tunnel Verbindung SSL/SSH Zentrale Linux Server: SSL VPN Server SSH Server Mitarbeiter Windows/Linux Browser SSH Home-Office/Kleine Unternehmen

22 Remote Access Server L2 Switch Mitarbeiter ISDN PSTN VPN Konzentrator IPsec/SSL VPN L3 Distribution Switch Firewall Gebäude Stockwerke Server Farm Management ISP Internet Router L2 Switch Zentrale VPN Router mit IPsec Web Server Mitarbeiter Windows 2000 Prof. Windows XP Prof. mit IPsec oder SSL VPN SOHO Mittlere Unternehmen 45 Mitarbeiter ISDN PSTN VPN IPsec RAS ISP Router IPsec Router Zentrale Firewall L3 Distribution Switch Gebäude Stockwerke Server Farm Management ISP A ISP B VPN IPsec Mitarbeiter VPN Router mit IPsec MPLS Router MPLS Netzwerk SOHO Niederlassung Große Unternehmen - Standorte

23 AToM/ EoMPLS RZ 1 Cluster Server Zentrale MPLS Netzwerk RZ 1 Cluster Server VPLS Zentrale Große Unternehmen - Rechenzentren 47 Christoph Bronold Christoph.Bronold@bkm-gmbh.com BKM Dienstleistungs GmbH Hauptstrasse 5 D Holzkirchen