Remote Access Virtual Private Networks 2000, Cisco Systems, Inc. 1
Remote Access Telefon/Fax WWW Banking E-mail Analog (?) ISDN xdsl... 2
VPNs... Strong encryption, authentication Router, Firewalls, Endsysteme 3
Begriffe Kryptographie Die Wissenschaft der Sicherung oder Verbergung von Informationen. Plaintext Die ursprüngliche Information. Encryption Der Vorgang der Verschlüsselung einer Information. Ciphertext Die verschlüsselte Information. Decryption Der Vorgang der Entschlüsselung einer Information. 4
Begriffe Cipher oder kryptographischer Algorithmus Die mathematische Funktion, die zur Ver- und Entschlüsselung benutzt wird. One way hash function Eine mathematische Funktion, die aus einer Information variabler Länge (Plaintext) ein Ergebnis definierter Länge erzeugt, den Hash. Der Hash kann auch als eine hochwertige Prüfsumme verstanden werden. Wichtig! Die ursprüngliche Information kann nicht aus dem Ergebnis wiederhergestellt werden. 5
Verschlüsselungsverfahren Symmetrisches oder Secret Key Verfahren Schlüssel für Encryption und Decryption sind gleich. Konventionelle Kryptographie - wird seit den frühen Anfängen der Kryptographie benutzt. Wird weiterhin gebraucht. Wird weiterentwickelt, um leistungsfähiger zu werden. Asymmetrisches oder Public Key Verfahren Schlüssel für Encryption und Decryption sind verschieden, aber mathematisch miteinander verknüpft. Erst seit 1976 verfügbar. Wird meist in Verbindung mit symmetrischen Verfahren eingesetzt. 6
Verschlüsselungsalgorithmen Symmetrische Algorithmen DES (56 bit) Triple-DES (3x56 bit = 168 bit) CAST (128 bit) IDEA (128 bit) Asymmetrische Algorithmen RSA Diffie-Hellmann (DH) Eine Verschlüsselung mit einer Schlüssellänge ab 128 bit (symmetrisch) wird allgemein als strong encryption bezeichnet. 7
IPSec: Der Standard für VPN- Verschlüsselung Internet Encrypted IP Internal Network Standards compliance IPSec AH/ESP Encapsulated Tunnels IKE Management interoperable Cisco IOS, Firewalls, and other IPSec-compliant systems Client support Windows 95/ 98 and Windows NT 4.x (Cisco provided software) Windows 2000 (Microsoft/Cisco partnership) 8
IPSEC Protokollarchitektur IPSEC ist eine Kombination von drei wesentlichen Protokollen (Services) Authentifikation: Authentication Header (AH) und Encapsulating Security Payload (ESP) Integrität / Vertaulichkeit: Encapsulating Security Payload (ESP) Rahmen: Internet Key Exchange (IKE) 9
IPSec Modes Tunnel Mode IP HDR Data New IP HDR IPsec HDR IP HDR Data May Be Encrypted IP HDR Data Transport Mode IP HDR IPsec HDR Data May Be Encrypted 10
Authentication Header IP HDR Data Transport Mode IP HDR AH Data Authenticated except for mutable fields Tunnel Mode New IP HDR AH IP HDR Data Authenticated except for mutable fields in New IP Header 11
ESP Encapsulating Security Payload Verschlüsselung der Nutzdaten Transport der Nutzdaten über IP Authentifikation der Datenquelle 12
Encapsulating Security Payload IP HDR Data Transport Mode IP HDR ESP HDR Data ESP Trailer ESP Auth Encrypted Authenticated Tunnel Mode New IP HDR ESP HDR IP HDR Data Encrypted Authenticated ESP Trailer ESP Auth 13
IKE Internet Key Exchange Protokoll Aushandlung von Protokollparametern Austausch von Public Keys Authentifikation beider Partner Schlüsselmanagement während der gesamten Sitzung 14
IKE / IPSEC Funktionsabläufe Relevante Daten empfangen Main Mode IKE Negotiation Quick Mode Negotiation Aufbau des IPSec Tunnels IKE IPSec Data 15
Security Association (SA) Router Vereinbarung zw. zwei IPSec- Endsystemen über eine Security Policy: Verschlüsselungsalgorithmus Authentifikationsalgorithmus Gemeinsame Session Keys SA lifetime Unidirektional! Duplex-Kommunikation erfordert zwei SA s Firewall 16
IKE and IPSec 6. Use IPSec SA: Encrypt/Authenticate as Specified Sender s Router IPSec 7. Use Return IPSec Security Association IPSec Rcvr s Router 1. Negotiate Policy for IKE SA IKE 2. Exchange Diffie-Hellman Numbers (Main Mode) 3. Exchange Certificates and Check CRL 4. Device Authentication: Signed Random Numbers IKE IKE Tunnel 5. Negotiate IPSec Parameters (Transform- Sets and Crypto ACLs) and Generate Secret Key Material for Both Sessions (Quick Mode) 17
Secure IPSEC Tunnel between two routers using pre-shared secret Configuration on Router c1750-1 1. Define the domain name ip domain-name cisco.com 2. Define the hostname hostname c1750-1 3. Define the name server ip name-server 172.16.2.132 4. Configure ISAKMP Policy crypto isakmp policy 9 auth pre-share exit 18
Secure IPSEC Tunnel between two routers using pre-shared secret 5. Configure Pre-Shared Key and associate with the peer crypto isakmp key cisco address 30.0.0.2 6. Configure IPSEC supported Transforms crypto ipsec transform-set basic-des esp-des esp-md5-hmac 7. Create an Access list access-list 102 permit ip 10.0.0.0 0.0.0.255 172.1.1.0 0.0.0.255 19
Secure IPSEC Tunnel between two routers using pre-shared secret 8. Define a Crypto Map crypto map c1750-2 20 ipsec-isakmp set peer 30.0.0.2 set transform-set basic-des match address 102 exit 9. Apply the crypto map to the interface interface ethernet0/0 ip address 10.0.0.2 255.255.255.0 crypto map c1750-2 20
Secure IPSEC Tunnel between two routers using pre-shared secret Configuration on Router c1750-2 1. Define the domain name ip domain-name cisco.com 2. Define the hostname hostname c1750-2 3. Define the name server ip name-server 172.16.2.132 4. Configure ISAKMP Policy crypto isakmp policy 5 auth pre-share exit 21
Secure IPSEC Tunnel between two routers using pre-shared secret 5. Configure Pre-Shared Key and associate with the peer crypto isakmp key cisco address 30.0.0.1 6. Configure IPSEC supported Transforms crypto ipsec transform-set branch esp-des esp-md5-hmac 7. Create an Access list access-list 102 permit ip 172.1.1.0 0.0.0.255 10.0.0.0 0.0.0.255 22
Secure IPSEC Tunnel between two routers using pre-shared secret 8. Define a Crypto Map crypto map c1750-1 20 ipsec-isakmp set peer 30.0.0.1 set transform-set branch match address 102 exit 9. Apply the crypto map to the interface interface ethernet0/0 ip address 172.1.1.1 255.255.255.0 crypto map c1750-1 23
Cisco IOS-VPN & Firewall-VPN Cisco IOS mit VPN-Erweiterung Cisco 800/1600/1700/ 2500/2600/3600/7200 Cisco Firewallsysteme Cisco Secure PIX-Firewall 24
Cisco VPN 3000 Concentrator Hardware Broadband performance Scalable encryption Redundant, hot swap SEPs mit stateful SEP failover Chassis failover Redundant power supplies Scalable Encryption Processor (SEP) 25
Cisco VPN 3000 Concentrator Hardware 3005 3015 3030 3060 Simultaneous Tunnels 100 100 1500 5000 Encrypted Throughput 4Mbps 4Mbps 50Mbps 100Mbps Encryption Method Software Software Hardware Hardware Expansion Slots 0 4 3 2 SEP (Enc.) Modules 0 0 1 2 Redundant SEP N/A N/A Option Option System Memory 32 Mb 64 Mb 128 Mb 256 Mb Hardware Specs 1U, Fixed 2U, Scalable 2U, Scalable 2U, Scalable Redundant Power No Option Option Option Client License Unlimited Unlimited Unlimited Unlimited 26
HTML Based Management 27
VPN 3000 Client 28
Fragen??? 29
1998 Cisco Systems, Inc. www.cisco.com 30