FORSCHUNGSZENTRUM JÜLICH GmbH Zentralinstitut für Angewandte Mathematik 52425 Jülich, (02461) 61-6402 Beratung und Betrieb, (02461) 61-6400 Technische Kurzinformation FZJ-ZAM-TKI-0371 W.Anrath, E.Grünter, R.Niederberger 22.01.2002 Virtual Private Networks Einführung Virtual Private Networks, kurz VPNs, minimieren die Gefährdungspotentiale einer Datenübertragung durch unsichere öffentliche Netze. Diese Technologie nutzt kryptografische Verfahren zum Aufbau eines sicheren Zugangs zu einem Firmennetz. Zur Realisierung eines VPNs werden die ursprünglichen IP-Pakete verschlüsselt und in einem neuen IP-Paket durch das INTERNET zu einem Security Gateway übertragen; diese Art der Übertragung ist eine spezielle Variante von sogenannten IP-Tunneln. Das Security Gateway ist im Forschungszentrum Jülich ein Cisco PIX 535 Firewall. Die benötigte VPN-Client-Software ist die Cisco VPN 3000 Client Software, die insbesondere auf Interoperabilität mit dem PIX 535 als Security Gateway optimiert ist. Eine weitere Eigenschaft dieser VPN-Software ist die Zuordnung einer offiziellen Klasse B- Internet-Adresse des Forschungszentrums in dem geschützten IP-Tunnel. Damit sind VPN- Benutzer beim Zugriff auf zentrale Dienste wie WWW und E-Mail internen Benutzern gleichgestellt. Insbesondere bei Nutzung von Internet Call by Call Anschluß von Laptops in Fremdfirmen/Hochschulen/Tagungshotels wird durch die VPN-Software ein Höchstmaß an Sicherheit beim Zugriff auf JuNet-Dienste erreicht. Derzeit ist die Software für die Windows-Varianten 98/Me/2000/XP und LINUX mit Kernelversion 2.2 2.4 verfügbar. Zulassungen/Accounts zur VPN-Benutzung können beim Dispatch beantragt werden. 1
Distribution der VPN-3000 Software Die Distribution der VPN-Software für Windows 98/Me/2000 wird als selbstentpackendes Archiv auf dem System pcsrv \\pcsrv\public\vpn3000 oder auf dem ftp-server ftp.zam.kfa-juelich.de ftp://ftp.zam.kfa-juelich.de/pub/pc/vpn3000 zum Download angeboten. Zur Vorbereitung der Installation sollte die ausführbare Datei vpnclient-win-3.5.rel-k9.exe in ein temporäres Verzeichnis, z.b. c:\temp, gespeichert werden; in diesem temporären Verzeichnis kann vpnclient-win-3.5.rel-k9.exe aufgerufen werden. Die Dateien sollten in das temporäre Verzeichnis c:\temp extrahiert werden. Anschließend stehen die zur Installation benötigten Dateien in diesem Verzeichnis. 2
Installation und Konfiguration auf Windows 98/Me/2000 In einem Explorer-Fenster wird die Datei c:\temp\setup.exe gestartet. Der Installationsassistent installiert die VPN-Software und erweitert das Startmenü. In der Praxis ist es angebracht, zuerst die IP-Konnektivität durch Einwahl bei einem öffentlichen Provider oder mittels LAN-Anschluß herzustellen, und danach explizit die VPN-Verbindung zur Absicherung der Kommunikation zu aktivieren. Die Konfiguration kann nun durch den Aufruf von Start-Button -> Programme -> Cisco Systems VPN Client -> VPN Dialer erfolgen. Es empfiehlt sich, für den VPN Dialer eine Verknüpfung auf dem Desktop einzurichten. Das folgende Menü bietet dem Anwender die Möglichkeiten, VPN-Verbindungen zu aktivieren oder neue VPN-Verbindungen einzurichten. Soll eine IP-Kommunikation mittels VPN gesichert werden, ist aus der Liste der entsprechende Eintrag zu wählen. Durch den CONNECT-Button wird die VPN-Verbindung aufgebaut. Neue VPN-Verbindungen können mittels des New-Button eingerichtet werden. 3
In nächsten Menü legt der Anwender einen beliebigen Namen für die VPN-Verbindung fest. Im nachfolgenden Beispiel ist VPN zum FZJ eingetragen: In einem weiteren Menü muß der vollqualifizierte Name des Security Gateways, hier wingate.zam.kfa-juelich.de, eingetragen werden: 4
Weitere Parameter sind ein Gruppenname und ein Gruppen-Passwort (Preshared Key). Diese beiden Werte erhalten Sie als Information bei der Beantragung Ihres VPN-Accounts im ZAM- Dispatch. Weiterhin erhalten Sie eine BenutzerID und ein Passwort, die Sie zum Verbindungsaufbau ins JuNet benötigen. Preshared Key Die benötigten Parameter sind nun eingetragen; die Verbindung ist fertig eingerichtet: 5
Benutzung der VPN 3000 Software unter Windows 98/Me/2000/XP Grundvoraussetzung ist die IP-Konnektivität zum Security Gateway der jeweiligen Institution. Das Security Gateway ist im Forschungszentrum das Cisco PIX 535 Firewall wingate.zam.kfajuelich.de. Nutzt man beispielsweise Internet Call-by-Call, so ist zuerst die Einwahl bei einem entsprechenden Anbieter durchzuführen und danach die VPN-Verbindung zum Forschungszentrum zu starten. Danach ist gewährleistet, dass die gesamte Kommunikation zum Forschungszentrum verschlüsselt abläuft und zusätzlich der Anwender eine offizielle IP-Adresse aus dem Klasse-B-Netz im Forschungszentrum erhält. Interne Dienste wie Email Weiterleitung oder der Zugriff auf interne WEB-Seiten sind danach ebenfalls möglich. Der Button Connect startet die VPN-Verbindung; beim Herstellen der Verbindung werden Sie nach Ihrer BenutzerID und Ihrem persönlichen Passwort gefragt: : 6
Nach erfolgreichem Verbindungsaufbau enthält die Task-Leiste ein Schloß-Symbol für die Dauer der VPN-Verbindung; über dieses Symbol lässt sich ein Status-Menü aktivieren: 7
Installation und Konfiguration auf SUSE Linux 7.1 / 7.2 Die Linux-Implementierung der CISCO VPN 3000 Client Software wird als komprimiertes tar- Archiv auf dem Server ftp://ftp.zam.kfa-juelich.de/pub/pc/vpn3000 angeboten. Alternativ ist auch der Zugriff auf diese Software über möglich. \\pcsrv\public\vpn3000 ( # smbclient \\pcsrv\public ) Da der Hersteller Cisco Systems Inc. die Installationsprozeduren auf Red Hat Linux abgestimmt hat, enthält das angebotene tar-archiv weitere zusätzliche vom ZAM angepasste Installationsprozeduren für SUSE Linux Version 7.1/7.2 und Version 7.3. Da während des Installationsvorgangs ein Kernelmodul kompiliert wird, müssen die Kernel Source Dateien aus der SUSE-Distribution installiert sein. Der Installationsvorgang: tar -xvf vpnclient-linux-3.5.rel-k9-zam.tar cd vpnclient ;./vpn_install.suse72 # SUSE Version 7.1 / 7.2 / 7.3 # alle Standardvorgaben der Installationsprozedur bestätigen reboot Nach dem Neustart des Systems ist das erforderliche Kernelmodul geladen. Die VPN- Verbindungen zum Forschungszentrum kann mit dem vorbereiteten Profile fzj gestartet werden: vpnclient connect fzj Falls im Shell-Profile nicht umask 022 gesetzt wurde, muss umask 022 ; vpnclient connect fzj ausgeführt werden. (Ansonsten erhält die Datei /etc/resolv.conf eine falsche Einstellung der Zugriffsrechte.) Der Status der VPN-Verbindung kann mit dem Befehl vpnclient stat angezeigt werden. Angezeigt wird eine Verkehrsstatistik sowie die für den VPN-Tunnel verwendete Internetadressen. Zum Beenden der VPN-Verbindung dient der Befehl vpnclient disconnect 8
Optional kann der Preshared-Key in das Profile fzj eingetragen werden: cat >> /etc/ciscosystemsvpnclient/profiles/fzj.pcf GroupPwd={preshared-key} <ctrl/d> Die Zugriffsrechte der Initialisierungs- und Profile-Dateien sind vom Hersteller auf LINUX- Systeme für Einzelbenutzer abgestimmt. Der Zugriffsschutz sollte durch Ausführen von chmod R 755 /etc/ciscosystemsvpnclient verbessert werden. Beispiel VPN-Verbindungsaufbau: # vpnclient connect fzj Cisco Systems VPN Client Version 3.0.8 Copyright (C) 1998-2001 Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Running on: Linux 2.4.4-4GB #1 Wed May 16 00:37:55 GMT 2001 i686 Enter a group password: Initializing the IPSec link. Contacting the security gateway at 134.94.111.185 Authenticating user. User Authentication for fzj... The server has requested the following information to complete the user authentication: Username []: Password []: Contacting the security gateway at 134.94.111.185 Negotiating security policies. Securing communication channel. Your link is secure. IPSec tunnel information. Client address: 134.94.112.1 Server address: 134.94.111.185 Encryption: 168-bit 3-DES Authentication: HMAC-MD5 IP Compression: None NAT passthrough is inactive. 9
Beispiel VPN-Verbindung beenden: # vpnclient disconnect Cisco Systems VPN Client Version 3.0.8 Copyright (C) 1998-2001 Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Running on: Linux 2.4.4-4GB #1 Wed May 16 00:37:55 GMT 2001 i686 Disconnecting the IPSEC link. # Your IPSec link has been disconnected. Beispiel VPN-Statistik: # vpnclient stat Cisco Systems VPN Client Version 3.0.8 Copyright (C) 1998-2001 Cisco Systems, Inc. All Rights Reserved. Client Type(s): Linux Running on: Linux 2.4.4-4GB #1 Wed May 16 00:37:55 GMT 2001 i686 IPSec tunnel information. Client address: 134.94.112.1 Server address: 134.94.111.185 Encryption: 168-bit 3-DES Authentication: HMAC-MD5 IP Compression: None NAT passthrough is inactive. VPN traffic summary. Time connected: 0 day(s), 00:31.04 Bytes out: 307703 Bytes in: 422758 Packets encrypted: 3689 Packets decrypted: 2289 Packets bypassed: 60 Packets discarded: 1 Configured routes Secured Network Destination Netmask Bytes * 134.94.111.185 255.255.255.255 0 * 134.94.0.0 255.255.0.0 526215 Ausblick: IPSEC im Transportmodus Derzeit hält das ZAM für LINUX Anwender mit der FREESWAN IPSEC-Implementierung den Zugang auf dem Firewall für das IPSEC ESP-Protokoll (Encapsulating Security Payload) offen. Diese Variante kann ebenfalls von Windows 2000 Anwendern genutzt werden. Die Installation und Konfiguration dieser Komponenten auf dem jeweiligen Endsystem muss der Administrator durchführen. Weitere Infos dazu sind in der Windows 2000 Dokumentation sowie für LINUX unter http://www.freeswan.org zu finden. 10