VPN – Virtual Privat Network

VPN – Einführung

Im Laufe der Zeit sind die Sicherheitsansprüche an die Datenkommunikation über größere Entfernungen zunehmend angestiegen. Virtual Private Network ist dahingehend eine Variante, um diesen Sicherheits-anforderungen zu entgegnen. Die Gewährleistung dieser Anforderungen soll mittels Authentifizierung, Verschlüsselung und Tunneling erfolgen. Des Weiteren soll durch Einsatz von IPSec eine Sicherheitserhöhung im Datenverkehr erlangt werden. Aus wirtschaftlichen Gründen ist zudem zu sagen, dass durch VPNs eine Kostenreduzierung ( im Gegensatz zu teuren Leasing Lines ) für den User/das Unternehmen erlangt werden kann.

Im folgenden soll ein Einblick in die Thematik Virtual Privat Network gegeben werden. Schwerpunkte hierbei sind die VPN-Technologie, das Tunneling und die Funktion von IPSec. Einzelne Anwendungen zu dieser Thematik ( zur Wissenserweiterung ) erfolgten ausschließlich in einem Windows 2000 Netzwerk.

Definition VPN

Was ist eigentlich ein Virtual Private Network (VPN)?
Der Begriff VPN ist in der Fachpresse weit verbreitet, jedoch wird dieser nur selten näher erläutert oder sogar definiert. Dies kann auch damit zusammenhängen, dass zu dem Begriff VPN eine Vielzahl von unterschiedlichen Definitionen existieren.

Eine dieser Definition unter vielen lautet:

Bestimmte Knoten eines öffentlichen Netzwerkes (z.B. das Internet), die sich untereinander mit Hilfe von Verschlüsselungstechnologien und anderen Sicherheitsmechanismen verständigen. Die so übertragenen Nachrichten können somit nicht von Unbefugten abgefangen werden. Durch diese Knoten wird in einem öffentlichen Netzwerk quasi ein Privatnetzwerk integriert. Virtuelle Private Netzwerke (VPNs) werden z.B. von Firmen mit mehreren Standorten zur Sicherung des Datenverkehrs zwischen den einzelnen Standorten verendet.
Virtual Private Network lässt zudem auch ganz eigene Schlüsse zu, wenn die einzelnen Begriffskomponenten betrachtet werden.
Im deutschen Duden ist dazu folgendes zu finden:

Virtual – dem Wesen nach geltend, möglich, scheinbar
Private – nicht öffentlich, persönlich, vertraulich
Network – Datenkommunikationssystem für Übermittlung und Übertragung von Signalen

Durch die Zusammenfassung der einzelnen Erklärungen entsteht etwa Folgendes:
Ein Virtual Private Network ist ein scheinbar, persönliches bzw. vertrauliches Datenkommunikationssystem, das den Austausch von Daten zwischen mehreren unabhängigen Geräten über große Distanzen ermöglicht.

Für einen ersten Eindruck reicht diese Definition aus, ist aber doch noch etwas ungenau. Ein Private Network wird auch als Intranet bezeichnet. Dieses Netzwerk steht nur einer bestimmten Anzahl von Personen zur Verfügung. Virtual meint in diesem Zusammenhang, dass dieses Netzwerk nicht ganz privat ist. Viel mehr werden Datenleitungen verwendet, die für Dritte zugänglich sind. In den meisten Fällen wird dafür das Internet genutzt. Diese öffentlichen Leitungen dienen jedoch nur zur Verbindung von Teilnehmern oder ganzen Teilnetzen.
Aus den vorhergehenden Erklärungen wird eine Definition abgeleitet, die den Begriff VPN definieren soll:
Ein Virtual Private Network ist ein Netzwerk, das aus mindestens zwei Teilnetzwerken (bzw. Teilnehmern) besteht, die über öffentliche Leitungen (z.B. dem Internet) miteinander verbunden sind und bei dem die Vertraulichkeit, Integrität und Authentizität der Daten bei der Datenkommunikation gewährleistet werden soll.

VPN Anforderungen

Es werden spezifische VPN-Technologien für die unterschiedlichen Anforderungen verwendet. Aus diesem Grund ergibt sich ein sehr vielseitiges Einsatzgebiet.
Einige wichtige Anforderungen werden nachfolgend näher erläutert:

Sicherheit

Bei dem Einsatz von VPNs ist Sicherheit einer der zentralen Punkte, da die Kommunikation von Sender und Empfänger über öffentliche Leitungen (Netzwerk) realisiert wird. Angreifern stehen somit viele Möglichkeiten zur Verfügung, den Datenstrom abzuhören und sogar zu verändern. Aus diesen Gründen müssen in VPNs Mechanismen existieren, die die Sicherheit bei dem Datentransport übernehmen und gewährleisten.

Performance

Für eine Gewährleistung der Sicherheit der zu übersendenden Datenpakete werden aufwendige Verschlüsselungsverfahren benötigt. Eine Verschlüsselung breitbandiger Strecken in Echtzeit kann da zum Problem werden. Zudem stellt eine Verwaltung von vielen gleichzeitig genutzten VPN-Verbindung eine hohe Anforderung an die VPN-Hardware.

Migrationsfähigkeit und Skalierbarkeit

Bei Entscheidungen für die VPN-Technologie ist zu berücksichtigen, dass diese auf offene Standards basieren. Dadurch ist man nicht an Komponenten eines einzigen Herstellers gebunden, sondern hat freie Produktwahl für eventuelle Erweiterungen des VPNs. Es ist auch darauf zu achten, dass die VPN-Lösung und deren einzelner Komponenten zu späteren Zeitpunkten erweiterbar sind ( Updates… ).
Die Wahl der eingesetzten VPN-Lösung ist zudem von entscheidender Bedeutung im Hinblick auf Gewährleistung einer langfristigen Skalierbarkeit bezüglich der Benutzerzahlen und Bandbreiten.

Integration in existierende Netze

Hierbei ist zu beachten, dass sich die VPN-Lösung in die vorhandene Netzwerk-Infrastruktur integrieren lässt. Ebenso muss sich die VPN-Lösung in das Sicherheitskonzept des vorhandenen Netzwerkes eingliedern lassen um somit die Authentifizierung und Verschlüsselung zu gewährleisten. Des Weiteren ist es wichtig, dass der Administrationsaufwand auch bei wachsender Anzahl an Benutzern und Sites, die in das VPN eingebunden werden müssen, vertretbar bleibt.

Verfügbarkeit

Um keine Nachteile im Datenverkehr zu erlangen, sollte die Verfügbarkeit eines VPNs mit der einer herkömmlichen und zu ersetzenden WAN-Infrastruktur gleichgesetzt werden können.

VPN – Abhören der Daten

Dies ist keine aktive Bedrohung, denn der Angreifer behindert die Kommunikation nicht. Er erlangt durch Belauschen Informationen aus dem Netzwerk. Diese Bedrohung wird auch als sniffen bezeichnet und ist nur sehr schwierig zu entdecken.

Der Angreifer kann so unverschlüsselte Daten im Klartext lesen und somit Passwörter oder Dokumente herausfiltern und rekonstruieren. Dem Angreifer stehen heutzutage für das Sniffen eine Vielzahl von Tools zur Verfügung (oftmals als legale Freeware), da diese von Administratoren selbst (für Netzwerküberwachung) genutzt werden. Oft sind diese Tools sogar schon im Betriebssystem integriert (Netzwerkmonitor bei Windows NT, TCPdump für Linux). Die vorrangige Hürde für einen Angreifer liegt darin, dass dieser einen physikalischen Zugang zum Netzwerk benötigt ( WLAN, Hub… ).

VPN Datenmanipulation

Bei der Datenmanipulation ist der Angreifer gewillt, Daten des Netzwerkverkehrs zu löschen, zu verändern oder falsche Informationen in den Verkehr einzuspielen. Weiter kann er versuchen, Daten wiederholt in das System einzuspielen. Ein praktischer Fall wäre, eine Überweisungsänderung beim Online-Banking zu seinen Gunsten abzuändern.

Einige dieser Bedrohungen für Datenmanipulation sind:
– IP-Spoofing
– Man-in-the-Middle-Angriff
– Session Hijacking
– Missbrauch des Source-Routing
– Missbrauch der Routing-Protokolle

Eine genauere Erläuterung dieser Bedrohungen erfolgt im Anhang Teil A „Datenmanipulation – Bedrohungen“.

Verhindern von Diensten

Das Verhindern von Diensten wird auch als „Denial of Service“ ( DoS ) bezeichnet. Hierbei ist das Ziel des Angreifers die Störung und das Verhindern des Informationsflusses im ausgewählten System. Dies soll mittels Überlastung des Systems oder über Abtrennung einzelner Netzwerkkomponenten erfolgen. Dem Angreifer kommen in der Hinsicht Fehler und Sicherheitslücken in Betriebssystemen und Software zu Gute. Dadurch können ganze Systeme übernommen oder sogar zum Absturz gebracht werden.

VPN Funktionen

Mit diesem Punkt soll ein Einblick in die Sicherheitsmechanismen verschafft werden.
Folgende Funktionen werden hierbei betrachtet:

– Datenvertraulichkeit
– Datenintegrität
– Schlüsselmanagement
– Paket-Authentifizierung
– Benutzer-Authentifizierung
– Benutzer-Authorisierung

Im Folgenden werden einige dieser Mechanismen näher beleuchtet:

Datenvertraulichkeit

Datenvertraulichkeit bedeutet, dass Unbefugten der Zugang zu den versendeten Daten verwehrt wird. Demzufolge darf der Klartext der Daten nicht „gelesen“ oder kopiert werden. Zudem soll gewährleistet werden, dass die Netzwerkbeziehung von Sender und Empfänger ( Quell- und Zieladresse/port… ) unerkannt bleibt. Die Vertraulichkeit soll mittels Verschlüsselung der zu sendenden Datenpakete erreicht werden. Soll zusätzlich die ganze Verkehrsbeziehung geschützt werden, wird dies durch Tunneling realisiert. Für die Verschlüsselung kommen verschiedene Verfahren wie DES oder 3DES zum Einsatz. Aus Gründen der Interoperabilität wird meist das Verschlüsselungsverfahren durch die eingesetzte VPN-Technologie/Lösung vorgegeben.

Datenintegrität

Hierbei muss sichergestellt werden, dass keine Veränderungen der Daten auf deren Transportwegen erfolgen. Die Datenintegrität und die Paket-Authentifizierung werden oftmals mittels ein und dem selben Verfahren realisiert.

Schlüsselmanagement

Die Aufgabe des Schlüsselmanagement besteht darin, dass eine Prüfung und rechtzeitige Erneuerung der Schlüssel ( zur Verschlüsselung ) mittels Integritätsprüfung und deren automatischer Verteilung erfolgt. Die Schlüssel für die Datenverschlüsselung müssen oft erzeugt werden, da diese nur eine geringe Lebensdauer besitzen. Demzufolge kann nicht auf manuelle Verfahren zurückgegriffen werden. Stattdessen kommt für die Erzeugung und Verteilung ein Schlüsselmanagement zum Einsatz. Für die Verschlüsselung und Schlüsselvergabe werden asymmetrische Verfahren eingesetzt, d.h. für Vor- und Entschlüsselung werden unterschiedliche Schlüssel verwendet. Hierbei gibt es zudem einen öffentlichen Schlüssel, den so genannten Public Key. Daher wird das Verfahren auch als Public Key Verfahren bezeichnet.

Paket-Authentifizierung

Jedes einzeln eintreffende Datenpaket muss authentifiziert werden. Diese Prüfung gewährleistet, dass das ankommende Datenpaket unverfälscht vom authentischen Absender übersendet wurde. Somit soll ausgeschlossen werden, dass das Paket von Dritten durch eine gefälschte Absenderadresse zugesendet wird. Für die Prüfsummenberechnung werden spezielle symmetrische Verschlüsselungsverfahren, so genannte Keyed-Hash-Algorithmen (MD5 SHA…) verwendet. Dabei ist der Schlüssel für die Verschlüsselung nur dem Sender und Empfänger bekannt und somit für Dritte nicht berechenbar.

Benutzerauthentifizierung

Bei Kommunikationsbeginn erfolgt eine Identitätsfeststellung mittels Authentifizierung der Kommunikationspartner. Somit soll gewährleistet werden, dass der Absender auch wirklich derjenige ist, welcher er zu sein vorgibt. Hierfür kommen Verfahren zum Einsatz, welche zum einen über einfache Passwortabfragemechanismen bis hin zu Vergabe von Zugriffs-Zertifikaten (Public-Key-Mechanismen) realisiert werden können.

Um diese Sicherheitsanforderungen zu erfüllen, kommen folgenden Kern-Mechanismen in VPNs zum Einsatz:
– Authentifizierung (Authentication)
– Verschlüsselung (Encryption)

VPN Authentifizierung

Man unterscheidet in dieser Hinsicht zwischen der Paketauthentifizierung und der User-Authentifizierung. Die Paket-Authentifizierung kommt z.B. bei IPSec ( durch AH und ESP ) und bei Email-Verschlüsselungsverfahren mittels Einweg-Hash-Funktionen ( MD5, SHA,… ) zum Einsatz. Die dabei entstehenden Prüfsummen werden durch symmetrische Verfahren verschlüsselt.

Für die Schlüsselverteilung der benötigten Schlüssel definiert IPSec das IKE-Protokoll. Dieses Protokoll setzt für die User-Authentifizierung Verfahren wie X.509 oder Radius ein. Die Layer 2-Protokolle (L2TP, L2F) nutzen für die User-Authentifizierung hingegen Passwort-Verfahren wie PAP und CHAP, welche durch das PPP-Protokoll zur Verfügung stehen. Für PPTP wird durch Microsoft selbst des Weiteren das MS-CHAP-Verfahren definiert.

VPN Verschlüsselung

Wegen ihrer hohen Geschwindigkeit werden in der Praxis für die Verschlüsselungen symmetrische Verschlüsselungsverfahren eingesetzt. Für die Verschlüsselung bei IPSec kommt ESP zum Einsatz, welches über verschiedene Verfahren ( DES, 3DES, IDEA, Cast, Blowfish ) realisiert werden kann. Das PPTP ( Layer-2 ) definiert zudem ein eigenes Verschlüsselungsverfahren, welches als MPPE bezeichnet wird. Zu beachten ist jedoch, dass die Sicherheit der Verschlüsselung von der Schlüssellänge abhängt. Vor dem Hintergrund stetig steigender Rechnerleistungen und darauf möglichen Brute-Force-Attacken sind 40 bzw. 56 Bit-Schlüssel ( wie in DES, MPPE eingesetzt ) kaum noch als sicher zu bezeichnen.

Ein 3. und entscheidender Kernmechanismus ist das Tunneling.
Auf diesen Mechanismus werde ich im Punkt 5.1 Tunneling genauer eingehen.

Remote – Access VPN

Diese VPN-Architektur kann auch als End-to-Site oder Host-to-Network bezeichnet werden. Bei dieser Topologie wird gewährleistet, dass sich Mitarbeiter, die zuhause arbeiten ( Home-Office ) oder als Außendienstmitarbeiter tätig sind, über einen Internet Service Provider (ISP) in das Firmennetzwerk einwählen können. Somit hat der Remote-Access User von seinem lokalen System Zugriff auf das Netzwerk.

Die Einwahl eines Remote-Access Users erfolgt über eine PPP-Wählverbindung.
Diese wird zu dem lokalen ISP hergestellt/aufgebaut und von dort über das Internet zum Firmennetzwerk weitergeleitet. Dadurch benötigt der User keine eigene Terminierung der Wählverbindungen mehr, denn diese Aufgabe übernehmen die ISPs vor Ort. Um eine sichere Datenübertragung zu erlangen, werden die Daten in einem Tunnel transportiert. Dieser Tunnel muss im so genannten VPN-Konzentrator beim User terminiert werden.
Für den Tunnelaufbau seitens des Remote-Client ( User ) gibt es 2 Möglichkeiten:
– Eine Client-Software wird beim Client direkt installiert. Diese Software ist verantwortlich für den Tunnelaufbau zum VPN- Konzentrator.
– Die Initiierung des Tunnels erfolgt im Remote Access Concentrator ( RAC ) des ISPs. ( hierfür keine Client-Software nötig )

Intranet VPN

VPNs sind nicht nur für die sichere Kommunikation über das Internet nutzbar.
Genauso gut lassen sich VPNs auch in einem lokalen „öffentlichen“ Intranet einsetzen. Heutzutage stellt Betriebsspionage ein großes Risiko für jede Firma dar. Um diesen eventuellen Schaden zu entgehen, lassen sich mittels VPN hochempfindliche Daten und ganze Teilnetze somit vor unautorisiertem Zugriff schützen. Diese Art der Intranet-VPNs sind die sogenannten VLANs. VLANs dienen dazu, das z.B. Arbeitsgruppen unternehmensintern voneinander getrennt und ihnen somit eine „eigene“ Netzwerkstruktur zur Verfügung gestellt werden.

Branch-Office VPN

Man kann hierbei auch von Network-to-Network oder Site-to-Site Topologie sprechen. Wie der Name Networt-to-Network schon aussagt, werden bei dieser Topologie zwei Intranets (lokale Netzwerke) miteinander verbunden.

In diesem Fall sind die Intranets firmenintern, d.h. Anbindung einzelner Firmenstandorte. Eine herkömmliche Anbindung (Verbindung) von firmeninternen Standorten kann mittels Leasing Lines (gemietete Standleitung) ermöglicht werden. Dies ist jedoch eine sehr kostenintensive Variante. Für eine effektive Kostenreduzierung bietet sich in diesem Fall die Branch-Office-VPN an.
Die einzelnen Teilnetze eines Unternehmens werden mittels VPN-Gateways über das Internet verbunden. Hierbei entfallen die Kosten für Standleitungen, da für die Verbindung der einzelnen Teilnetze das Internet genutzt wird. Damit es zu einen sicheren Datentransport kommt, wird zwischen den VPN-Gateways ein Kommunikationstunnel aufgebaut.

Extranet VPN

Diese Variante kann auch als Network-to-Network oder Site-to-Site bezeichnet werden. Die Struktur dieser Topologe ähnelt der Branch-Office VPN. Der Unterschied liegt im Teilnehmerumfeld, d.h. nicht wie bei Branch-Office sind firmeninterne sondern externe Teilnehmer ( Teilnetze ) Bestandteile dieser Topologie. Ein Unternehmen gewährt ausgewählten Geschäftspartnern, Zulieferern oder Kunden Zugriff auf bestimmte Bereiche des unternehmensinternen Netzwerkes.

Es erfolgt eine Zugriffsbeschränkung mittels einer Firewall. Somit kann das Unternehmen mit diesem Partner eine sichere Datenkommunikation bestreiten und empfindliche/vertrauliche Daten austauschen.

VPN Tunneling

Tunneling ist ein Konzept, mit dem Beliebige Datenpakete über ein ( unsicheres ) Transitnetz im Huckepackverfahren sicher weitergeleitet werden können.Als Analogie sei hier die Überbrückung der Straße von Dover (Englischer Kanal) durch einen Eisenbahntunnel zwischen Frankreich und England angeführt. Fahrzeuge, die auf die Insel möchten, werden auf der französischen Seite (Tunneleingang) auf die Bahn verladen und auf der englischen Seite (Tunnelausgang) wieder entladen.

Ähnlich wie getunnelte IP-Pakete, können die Fahrzeuge Geschwindigkeit und Richtung nicht mehr selbst bestimmen [VPN-BA].Das ganze Originaldatenpaket wird als Payload ( Nutzlast ) von einem Quell-Rechner über ein anderes Protokoll verschickt. Dieser auch als Encapsulation bezeichnete Vorgang erzeugt einen zusätzlichen Protokollkopf ( Header ), welcher dem Originalpaket vorangestellt wird. Im Tunneltransport übernimmt der zusätzliche Header ( mit Quell- und Zieladresse ) die Weiterleitung. Am Tunnelende wird dann dieser zusätzliche IP-Header wieder vom Originaldatenpaket getrennt. Somit ist der Standort des Tunnelanfangs und des Tunnelendes eindeutig definiert.

Modelle im Tunneling

Intra-Provider-Modell

Bei diesem Modell liegt der Anfangs- und Endpunkt beim Service Provider. Der Kunde ist hierbei nicht in das Tunneling involviert. Da die notwendigen Gateways durch den Service Provider betrieben, wird beim Kunden selbst keine spezielle Hard- und Software benötigt. Das Einsatzgebiet liegt hauptsächlich bei Remote-Access-VPNs zu finden.

Provider-Enterprise-Modell

Dieses Modell ist dadurch gekennzeichnet, dass sowohl die Service Provider als auch Endkunden in das Tunneling involviert sind. Der Tunnelanfang befindet sich im POP (Point of Presence) des Providers und das Tunnelende im Gateway des Kunden. Der Kunde ist hierbei für die spezielle Hard- und Software des VPN-Gateways zuständig ist. Das primäre Einsatzgebiet sind Remote-Access-VPNs aber auch in Branch-Office-VPNs.

Ende-zu-Ende-Modell

Dieser Ansatz benötigt eine spezielle Client-Software. Der Tunnel wird hier ausschließlich vom Kunden aufgebaut, d.h. der Provider ist nicht in das Tunneling involviert. Der Remote-Access-Client wählt sich in POPs der Service Provider ein und eine spezielle VPN-Clientsoftware im Endgerät des Kunden baut dann den Tunnel zum gewünschten VPN-Gateway im Firmennetzwerk auf.

Sicherheits – Protokoll – Übersicht

Im Laufe der Zeit sind die Sicherheitsansprüche an zu übersendende Daten immer weiter angewachsen. Da das TCP/IP-Protokoll keine Sicherheit im internetbezogenen Datenverkehr bietet, wurde das OSI Referenzmodell um weitere Sicherheitsprotokolle erweitert.

In der Sicherungsschicht (Layer-2) sind außer L2TP des Weiteren die Tunneling-Protokolle PPTP und L2F angesiedelt. IPSec arbeitet zum einen in der IP Vermittlungsschicht (Layer-3) mittels AH und ESP und zum anderen in der Applikationsschicht (Layer-7) mittels IKE.

Die nachfolgenden Schwerpunkte der Arbeit befassen sich genau mit diesen eben erwähnten Sicherheitsprotokollen. Es soll somit ein Einblick in diese Protokolle erfolgen und deren Funktionsweisen näher vermittelt werden.

VPN Allgemein

Der Begriff Layer-2 bezieht sich auf die Schicht 2 des OSI-Referenzmodells. Layer-2-Tunnel-Techniken haben gegenüber dem Layer-3-Verfahren den Vorteil, dass sie multiprotokollfähig sind. Das heißt, dass sie neben IP auch IPX und NetBios unterstützen. Ein weiterer Vorteil ist die bessere Wartung und Betreuung

Einen Layer-2-Tunnel kann man sich als ein virtuelles Kabel vorstellen, dass sich auf jeder IP-Plattform aufbauen lässt. Man kann über Layert-2-Tunnel auch dann kommunizieren, wenn andere Protokolle zum Einsatz kommen. Um aber einen solchen Tunnel aufbauen zu können, benötigt man spezielle IP-Header, ein UDP (User Datagram Protocol) oder TCP (Transmission Control Protocol) Kopffeld sowie einen Header, der für das Tunneling-Verfahren spezifisch ist. So gut sich Layer-2 auch für Fernzugriffe eignet, hat es doch einige Nachteile:
– Datenintegrität nur teilweise gewährleistet
– Ein relativ schwaches Authentifizierungsverfahren (CHAP)
– fehlende Sicherheitsfunktionen

Im Layer-2 gibt es folgende Tunneling-Protokolle:
– PPTP (Point-to-Point-Tunneling-Protocol, Microsoft Standard)
– L2F (Layer -2-Forwarding, kein Standard)
– L2TP (Layer-2-Tunneling-Protocol, Standard nach IETF)

Ein Vergleich der drei folgenden Protokolle ist im Anhang Teil C „Vergleich Layer 2 Protokolle“ hinterlegt.

Layer 2 Forwarding ( L2F )

Das Layer-2 Forwarding ( L2F ) wurde etwa gleichzeitig wie das PPTP Verfahren gemeinsam von den Firmen Cisco, Northern Telekom und Shiva entwickelt. Inzwischen hat L2F zugunsten von L2PT und PPTP an Bedeutung verloren. Die PPTP-Technologie wird bevorzugt für den Zugriff eines Außendienstmitarbeiters bzw. eines Heimarbeitsplatzes über ein öffentliches Netz in das firmeneigene Intranet verwendet, da nur ein Kanal pro Tunnel besteht. Eigenschaften wie Vertraulichkeit und Wartungsmöglichkeiten sind bereits in der Verbindung existent. Genau wie das PPTP-Verfahren ermöglicht L2F den Aufbau eines VPN über ein öffentliches Netz.

( z.B. Internet ) Hierbei wird ein Tunnel zwischen dem Arbeitsplatzrechner und einem Server im unternehmenseigenen Lokal-Area-Network aufgebaut. Dabei hat es eine größere Protokollfreiheit als PPTP ( da L2F nicht nur an Internet-Protokoll ( IP ) gebunden ). Somit ist das Anwendungsspektrum wesentlich breiter als bei PPTP. Für L2F wird eine Wählverbindung bis zum Point-of-Present ( POP ) eines Internet-Service-Provider ( ISP ) benötigt. Bei dieser kostengünstigen Variante muss der Endnutzer bei einer Einwahl nur die Ortstarife bezahlen. Ein weiterer Vorteil besteht darin, dass L2F mehr als eine Verbindung gleichzeitig unterstützt. L2F enthält diese Eigenschaft, indem in der aufgebauten Tunnelverbindung mehrere logische Kanäle geschaltet werden können. Von Interesse ist dies eher für kleinere Netzwerke, die nur mit einer Wählverbindung, wie z. B. ISDN oder über das analoge Telefon, ans öffentliche Netz angebunden sind. Für einen ISP werden somit wenige bzw. nur eine Verbindung zum Gateway des Unternehmens benötigt. Der L2F-Tunnel besteht nur zwischen POP und dem Gateway ( Router, Firewall, VPN-Gateway ) und dem Netzzugangs-Server ( NAS ) des Unternehmens. Die Client-Authentifizierung wird, genau wie bei PPTP, mittels PPP realisiert. Zudem kann RADIUS zur Authentifizierung eingesetzt werden. Um eine Verbindung zum Unternehmen herzustellen, muss bei L2F eine Authentifizierung an zwei Schnittstellen erfolgen: zuerst bei der POP-Einwahl des Internet-Service-Anbieters ( ISP ), dann beim Gateway des Unternehmens. Der Austausch der Datenpakete wird bei L2F durch den virtuellen Tunnel zwischen den Endpunkten einer PPP-Verbindung realisiert. L2F arbeitet bei diesem Vorgang auf einer unteren Protokollebene. Beim Gateway ( Tunnelende ) des Unternehmens, der Schnittstelle zum lokalen Netzwerk, wird nach Prüfung das Layer-2-Frame entgegengenommen, und weiterverarbeitet. Hierbei ist die Eigenschaft des L2F als Layer-2 Protokoll von Vorteil, da es nicht nur IP sondern auch andere Protokolle wie z.B. IPX oder NetBUI transportieren kann.

Point to Point Tunneling Protokoll (PPTP)

Das Point-to-Point-Tunneling-Protokoll wurde von einer Reihe von Firmen
( Microsoft, 3Com, ECI Telemetics, US Robotics ) und deren Zusammenarbeit entwickelt. Es handelt sich bei diesem Protokoll um eine Weiterentwicklung des Point-to-Point-Protokolls ( PPP ). Somit wurde es in den Betriebssystemen Windows NT und Windows 95 ( Update ) zuerst eingesetzt und in den folgenden Betriebssystemen standardmäßig mit implementiert. Damit soll gewährleistet werden, dass sich ein Anwender/User ( Client ) von jedem Punkt im Internet mit einem Remote-Access-Server ( RAS ) verbinden kann ( somit Zugriff auf dessen Netzwerk erlangt ). Durch das PPP-Protokoll ist es möglich andere Protokolle wie IP, IPX und NetBUI zu transportieren. Demzufolge sind auch die Authentifizierungsmechanismen des PPP ( PAP, CHAP, MS-CHAP ) im PPTP integriert. Zudem ist für die Vertraulichkeit des Datentransportes die Microsoft-Point-to-Point-Encryption ( MPPE) entwickelt worden. Das MPPE mit dem RC4-Algorithmus.Es ist jedoch in Hinsicht der Sicherheit durch einen nur 40Bit langen Schlüssel als bedenklich einzustufen.

PPTP wird durch einige markante Merkmale charakterisiert:
– Bevor eine PPP-Verbindung aufgebaut werden kann, muss von einem Eingangskonzentrator ( PAC ) und einem Endpunkt (PNS) eine entsprechende virtuelle TCP-Verbindung aufgebaut werden( Kontrollverbindung ).
– PPTP-Tunnel kann nur auf Anforderung vom Endgerät ( Dial-In ) initiiert werden.
– Zwischen Eingangskonzentrator ( PAC ) und Ausstiegspunkt ( PNS ) kann jeweils nur ein Tunnel aufgebaut werden, der eine Kontrollverbindung besitzt.
– Über eine logische PPP-Verbindung kann protokollunabhängig kommuniziert
werden. PPP unterstützte Protokolle sind: z.B. IP, IPX, NetBUI.
– Zur Authentifizierung wird auf die PPP unterstützenden Mechanismen
zurückgegriffen: das Password Authentification Protokoll ( PAP ) und das Challenge Handshake Authentification Protokoll ( CHAP ) sowie die Microsoft Variante MS-CHAP.
Bei dem Tunneltransport werden die Datenpakete und die Kontrollinformationen getrennt über das Netz geleitet ( Lösung wird als out-band-Verfahren bezeichnet ). Eine Analogie findet sich im ISDN, denn da übernimmt die Kontrollübermittlung der Kanal D und die Daten werden mittels Kanal B gesendet. Der Tunneleinstieg wird am Point-of-Present ( POP ) mittels PPTP-Access-Concentrator ( PAC ) und der Tunnelausgang durch den PPTP-Network-Server ( PNS ) definiert. Der User wählt sich bei dem Remote-Access-Concentrator ( RAC – entspricht dem Tunneleingang PAC ) des Providers ein. Durch diese Einwahl wird eine PPP-Session zwischen User und RAC des Providers erzeugt ( Datenpaket wird mit PPP-Header verankert ). Daraufhin initiiert der User eine PPTP-Session, wobei die PPP-Datenpaket mit einem modifizierten GRE-Header und durch einen zusätzlichen IP-Header ( enthält IP-Adresse des Tunnelendpunktes als Zieladresse ) zusammengesetzt werden. Diese Modifizierung erfolgt nur bis zum Endpunkt des Tunnels, d.h. alle zusätzliche Protokoll-Header werden zu diesem Zeitpunkt wieder entfernt. Für den Tunnelaufbau/abbau und die Kollisionskontrolle kommen verschiedene Mechanismen zum Einsatz.

L2TP

Dieses Protokoll ist bei etlichen Herstellern im Einsatz, da deren Produkte auf Basis von L2TP arbeiten. Maßgeblich verantwortlich für die Entwicklung von L2TP ist Cisco. Aus diesem Grund ist dieses Protokoll auch als Industriestandard anerkannt. Der Einsatz in der Bürokommunikation und seiner Verbreitung wird weiter zunehmen, da es ab Windows 2000 Bestandteil des Windowsbetriebssystems ist. Es handelt sich um ein reines Tunneling-Protokoll auf PPP-Ebene. L2TP ist eine Mischform der beiden vorangegangenen Protokolle L2F und PPTP. Es verknüpft die Leistungsfähigkeit des L2F-Protokolls mit den Vorteilen des PPTP-Protokolls.
L2TP wir durch markante Merkmale charakterisiert:

– Vor dem Aufbau einer PPP-Verbindung muss von einem Eingangskonzentrator ( LAC ) und einem Ausstiegspunkt ( LNS ) eine entsprechende Kontrollverbindung errichtet werden( In-band-Lösung ).
– Ein L2TP-Tunnel kann entweder auf eine Anforderung von einem Endgerät
( Dial-In ) oder als Mandanten-Tunnel ( Dial-Ou ) initiiert werden. Weiterhin ist
der L2TP-Tunnel für den Nutzer des Endgerätes transparent und erfordert keine zusätzlichen Installationen außer der ISDN/PSTN Einwahlmöglichkeit zum POP.
– Zwischen Eingangskonzentrator ( LAC ) und Ausstiegspunkt ( LNS ) können mehrere Tunnel aufgebaut werden, die ihre eigenen Kontrollverbindungen besitzen. Außerdem können über einen L2TP-Tunnel mehrere logische PPP-Verbindungen aufgebaut werden.
– Zur Authentifizierung kann auf die von PPP unterstützten Verfahren zurückgegriffen werden: Password Authentification Protocol ( PAP ) und das Challenge Handshake Authentification Protocol ( CHAP ).

Ein PPP-Frame wird per DFÜ ( Datenfernübertragung ) zu dem LAC ( L2TP-Access-Concentrator ) des Providers übertragen. Von da aus baut der LAC einen L2TP-Tunnel zum LNS ( L2TP-Network-Server ) auf ( Verlängerung der PPP-Verbindung ), wo die PPP-Verbindung dann terminiert wird. Der LAC des Providers kann hierbei mehrere logische PPP-Verbindungen gleichzeitig über ein und dem selben L2TP-Tunnel leiten ( durch in-band-Lösung möglich ). Dem eigentlichen Originaldatenpaket werden vier weitere Protokoll-Header vorangestellt:

– L2TPTunnel-Header – bestimmt Eingang ( LAC ) und Ausgang ( LNS )
– UDP-Header – enthält Absender und Empfängerport ( 1701 )
– L2TP-Header – enthält Tunnel-ID und Session-ID
– PPP-Header – enthält Angabe des Protokolltyps

Da mehrere logische PPP-Verbindungen über ein L2TP-Tunnel möglich sind, muss eine Eindeutigkeit der Datenübertragung zu gewährleisten. Dies erfolgt durch die Session-Identifikation ( Session-ID ) und die Tunnel-Identifikation ( Tunnel-ID ) im L2TP-Header. Im Gegensatz zum PPTP werden die Daten- und Kontrollnachrichten über ein und die selbe Verbindung realisiert. Die Kontrollnachrichten sind hierbei für den Tunnelauf- bzw. -abbau sowie die Tunnelwartung zuständig. Um eine möglichst hohe Übertragungsgeschwindigkeit zu erlangen, wird die Protokollverwaltung durch ein spezielles Kompressionsverfahren realisiert. Zudem hält eine aktive Flusskontrolle den Netzwerkverkehr gering und soll Kollisionen weitgehend vermeiden. L2TP stehen für den Tunnelaufbau zwei Mechanismen zur Verfügung.

Compulsary Tunneling

Dieser Tunneling-Mechanismus wurde vom Vorgänger-Protokoll L2F vererbt. Der L2TP-Tunnel beginnt hier im LAC ( L2TP Access Concentrator )des Service Providers, welcher den Tunnel aufbaut. Dieser endet im LNS ( L2TP Network Server) im Unternehmensnetzwerk des Kunden. Dieses Modell setzt jedoch die Kooperation des ISP voraus, welcher L2TP unterstützen muss.
Die Bezeichnung Compulsory Tunneling wird aus dem Zwang des Client abgeleitet. Die Daten müssen hierbei über einen Tunnel geschickt wedern, welcher vom Provider aufgebaut wird. Der Client kann demzufolge nicht selbst entscheiden, ob ein Tunnel zum Unternehmensnetzwerk aufgebaut wird oder nicht, da dieser allein vom LAC gesteuert wird. Das Tunneling ist somit transparent für den Client. Der Service Provider kann somit seinen Kunden garantieren, dass dessen Clients jedes Mal, wenn sie sich anmelden, auf jeden Fall zu einem entsprechend eingerichteten LNS getunnelt werden und keinen direkten Zugriff auf das Provider-Netzwerk oder das Internet haben. Der Kunde behält hier also eine gewisse Kontrolle über dessen Remote Clients. Des Weiteren wird dem Administrator im Netzwerk die Arbeit erheblich erleichtert, da keine zusätzliche Konfiguration der Remote Clients mehr nötig ist. Die Entscheidung des LAC beim Provider, wohin die Pakete getunnelt werden müssen ( wohin Tunnel aufzubauen ist ), erkennt er an bestimmten Kennzeichen des eingehenden Calls, wie z.B. der angerufenen Nummer ( DNIS ) oder einer Benutzer-ID.

Voluntary Tunneling

L2TP kann aber auch im Ende-zu-Ende-Modell eingesetzt werden. Dieser Mechanismus ist L2TP vom Vorgänger-Protokoll PPTP vererbt worden. In diesem Modell ist die LAC-Funktionalität vom Remote-Access-Concentrator ( RAC ) des Service Providers auf den Client verlagert. Man spricht hierbei auch von einem so genannten „Virtual LAC“. Dieser baut den L2TP-Tunnel zum LNS auf.

Der Client selbst übernimmt hierfür das Tunneling. Er verfügt daher über die L2TP-Fähigkeit und entscheidet ob er einen Tunnel aufbaut oder nicht. Die Carrier und Provider sind in diesem Modell nicht mehr ins Tunneling involviert, da der Tunnel bereits beim Client initiiert wird. Der Tunnel ist hier transparent für den Provider. Er überträgt nur die IP-Pakete zwischen Client und LNS und muss folglich auch über keinerlei L2TP-Infrastruktur mehr verfügen. Jedoch ist nun L2TP-Support beim Client erforderlich. Dieses Modell wird in der Praxis nur selten eingesetzt, da die Kunden in der Regel möchten, dass die Clients zwangsweise zum Netzwerk getunnelt werden, um eine bessere Kontrolle über deren Zugang zum Intranet und Internet zu erlangen.

Layer Technik Allgemein

Der Begriff Layer-3 bezieht sich auf die Schicht 3 des OSI-Referenzmodells und arbeitet somit eine Schicht höher als die Layer-2-Protokolle. Die Layer-3-Tunnelprotokolle übernehmen den Transport eines anderen Protokolls und verwalten den Tunnel.

Im Gegensatz zu Layer-2 sind die Layer-3 Protokolle nicht multiprotokollfähig. Sie unterstützen nur ein bestimmtes Protokoll. Bei IPSec ist es das Internet Protokoll (IP). Das IPsec Protokoll nimmt eine besondere Stellung ein, da es für eine sichere Kommunikation im Internet sorgt. Die Sicherheit soll durch Verschlüsselung, Datenintegrität und Authentifizierung gewährleistet werden.

Im Layer-3 gibt es folgende Protokolle:

IP in IP (ältestes Protokoll, nur Transport von IP im Tunnel, keine Sicherheit – nicht relevant für diese Arbeit) GRE (Generic -Routing-Encapsulating Protokoll, keine ausreichende Sicherheit) IPsec (Standard nach IETF)

Generetic Routing Encapsulating (GRE)

Generetic Routing Encapsulating (GRE) wurde 1994 als erster Standard für sichere Tunneling Verbindungen heraus gegeben. Dieses Protokoll ist durch die IETF mittels RCF 1701 und RCF 1702 hinterlegt. Die Protokollidee dient als Grundlage und Vorbild für weitere folgende Protokolle wie z.B. PPTP (Layer-2 Technik), und auch auf IPSec hat GRE Einfluss genommen.

Das GRE Paket ist in drei Teile unterteilt:

– GRE-Header
– Netzwerk-Protokollkopf (Delivery Header)
– Payload

Der GRE-Header enthält die gesamten Informationen für die Tunnel- und Verschlüsselungsalgorithmen. Im Netzwerk-Protokollkopf wird dagegen das Ziel außerhalb des Tunnels gespeichert und Payload ist nichts anderes als die zu sendenden Nutzdaten. Für die Nutzdaten kann nahezu jedes beliebige Paket aus höheren Protokollschichten verwendet werden. Die am meisten verbreitete Implementierung des GRE-Protokolls findet zwischen zwei Routern ( point-to-point ) statt, die manuell konfiguriert werden müssen. Deshalb wird das GRE-Protokoll als Tunneltechnik langfristig an Bedeutung verlieren.

IPSec Grundlagen

Das IPsec Protokoll ist ein Layer-3-Tunneling Protokoll und wurde von der IETF (Internet Engineering Task Force) zum Standard anerkannt. Dieses wurde speziell dafür entwickelt, um die Sicherheitslücke in den IP -Netzen zu schliessen. Es garantiert eine sehr gute Sicherheit. Ursprünglich wurde es für die Version IPv6 entwickelt und wurde dann an die Version IPv4 angepasst. Dieses Internet- Protokoll garantiert die Integrität und Vertraulichkeit der Daten sowie die Authentifizierung.

IPSec selbst ist ein Standard, der verschiedene Protokolle für die Datensicherheit verwendet.
Folgende Ziele sollen damit erreicht werden:
– Authentizität der Gesprächspartner
– Integrität der übertragenen Daten
– Vertraulichkeit der übertragenen Daten
– Schutz gegen Replay Angriffe
– Schlüssel Management
Die Datenintegrität und die Authentifizierung werden mittels eines Authentication-Headers ( AH ) erreicht. Der AH schützt die Daten vor Verfälschung.
Möchte man jedoch die Verschlüsselung der Daten erlangen, wird ein Encapsulation-Security-Payload Protokoll ( ESP ) eingefügt.

IPSec arbeitet mit verschiedenen Sicherheitsprotokollen:
– Authentication Header ( AH )
Dieser Header enthält die Informationen, ob das Datenpaket während der Übertragung verändert wurde und ob der Absender identisch ist.
( siehe 5.3.3.3.4 )
– Encapsulation-Security-Payload ( ESP )
Verschlüsselt die Daten und schützt vor unbefugten
Zugriffen ( siehe 5.3.3.3.5 )
– Internet Key Exchange Protocol ( IKE )
Dieses ist das Verhandlungsprotokoll. Mit diesem ist die Kommunikation zwischen zwei Seiten möglich um sich auf das Verschlüsselungsverfahren zu einigen ( siehe 5.3.4 )

Unterstützt die VPN-Lösung keine Verschlüsselung, so werden die Daten nur getunnelt aber nicht verschlüsselt. IPsec stützt sich auf ein paar standardisierte Verschlüsselungsverfahren ab, wie z.B. Diffie – Hellman und DES.
Die Sicherheitsmechanismen von IPSec sind sehr ausgefeilt und sind daher besonders für den Transport von vertraulichen Daten geeignet. Diese Sicherheit wird jedoch durch einen erheblichen Konfigurationsaufwand erkauft. Weitere Schwierigkeiten treten bei der Kompatibilität der Geräte verschiedener Hersteller untereinander auf. Ein automatisierter Tunnelaufbau ist erst dann möglich, wenn weltweit die gleichen Authentifizierungsmethoden angewandt werden.

Für die sichere Datenübertragung stehen IPSec zwei Modi zur Verfügung. Dies ist zum einen der Transport Modus und zum anderen der Tunnel Modus.

VPN Transportmodus

Beim Transport Mode bleibt der ursprüngliche IP-Header erhalten. Es werden lediglich der AH oder ESP Header nach dem IP-Header eingefügt. Dadurch kann ein Angreifer feststellen, welche Rechner miteinander kommunizieren, da die Source- und Destination-Adresse für jedermann lesbar im Datenpaket enthalten sind. In diesem Modus wird nur die Nutzlast des transportierenden Paketes verschlüsselt. Es handelt sich um eine so genante Kapselung der Datenpakete.

Da nur die Nutzdaten verschlüsselt werden, ist dieser Transportmodus nicht so sicher wie der Tunnelmodus. Jedoch hat der Transportmodus auch seine Vorteile, denn da das IP-Paket nur geringfügig verändert wird, bleibt die benötigte Rechenzeit für das Paket gering. Dies kann bei einigen Anwendungen zwingend notwendig sein wie z.B. bei Echtzeitanwendungen ( IP-Telefonie über Internet ).

Tunnelmodus

Der Tunnel Mode wird vor allem von Security Gateways verwendet. Das sind Gateways, die den gesamten Datenverkehr verschlüsseln. Vom internen Netzwerk wird das Paket an den Security Gateway geschickt, dieser schickt das Paket im Tunnel Mode über das Internet an den Security Gateway am anderen Standort, dort wird es entschlüsselt und an den Zielrechner gesendet. Das zu versendende Datenpaket wird in ein IP-Datenpaket eingekapselt, welches über das TCP/IP-Netz übertragen wird. Die Nutzdaten des IP-Datenpaketes sind demzufolge das zu versendende Datenpaket.

Der Tunnelmodus hat auch einen enormen Vorteil gegenüber dem Transportmodus. Im Tunnelmodus bleibt die Identität der Source- und Destination-Adresse verborgen. Einem Angreifer ist es nicht möglich, die Identität der Kommunikationspartner zu erlangen. Er hat keine Möglichkeit, direkt an das Original Datenpaket zu gelangen. Ihm wird nur der Anfangs- und Endpunkt des Tunnels offenbart.

Authentication Header ( AH )

Der Authentication Header ( AH ) ist für die Authentizität eines Datenpaketes zuständig, d.h. es wird überprüft, dass das Datenpaket beim Datentransport nicht unbefugt verändert wurde. Es wird damit sichergestellt, dass der Absender des Datenpaketes derjenige ist, welcher im IP-Header angegeben ist. Dies wird durch eine kryptografische Prüfsumme erreicht. Der AH enthält alle nötigen Informationen für die Authentifikation und wird vor den eigentlichen Datenteil des Datenpaketes platziert.

IKE kann auf vier verschiedene Authenitfikatonsmethoden zurückgreifen, um sicherzustellen, dass der Kommunikationspartner auch wirklich der gewünschte Partner ist.

– Authentifikation mit Pre-Shared-Key
– Authentifikation mit Digitaler Signatur
– Authentifikation mit Public-Key-Verschlüsselung
– Authentifikation mit Public-Key-Verschlüsselung (Verbesserte Methode )

Während des IKE Vorganges werden mehrere Schlüssel erzeugt ( durch automatische Schlüsselverbindung ). Es werden hierfür (für das Erzeugen der Schlüssel ) folgende Parameter benutzt:

– Einige Parameter aus den ersten vier Datenpaketen ( Austauschdaten
In zukünftiger Verbindung )
– Die Wahl der Authentisierungsmethode ergibt je nach dem einen anderen
Parameter
– Parameter, welche mittels Diffie Hellman erzeugt werden

Der Schlüssel für Die Verschlüsselung und der Authentifizierungsschlüssel für die eigentliche Nutzdatenübertragung werden dann aus diesen Parametern abgeleitet.

ISAKMP/Oakley Protokoll

IKE basiert auf zwei Protokollen. Zum Einen ist dies ISAKMP ( Internet Security Association and Key Management Protocol ) und zum Anderen Oakley ( Name des Entwicklers ). ISAKMP ist verantwortlich für die Rahmenbedingungen der Authentifikation und den Schlüsselaustausch. Es können verschieden Verfahren benützt werden, welche die Rahmenvorstellung von ISAKMP berücksichtigen.
Realisierung von ISAKMP erfolgt in zwei Phasen:

Phase 1

Hiebei wird ISAKMP-SA erzeugt. Diese Security Associtaton ist für die Verschlüsselung der ISAKMP-Datenpakete selbst zuständig.

Phase 2

Dazu wird die IPSec-SA erzeugt, die auf die Nutzdaten angewandt wird.

Dem IKE stehen für die konkrete Ausführung der 2 Phasen folgende 3 Modi zur Verfügung:

Das Oakley-Protokoll ist ein Schlüsselaustauschprotokoll, welches auf der Grundlage von ISKAMP und Diffie-Hellman einen authentifizierten Schlüsselaustausch ermöglicht. Oakley benutzt die Austauschszenarien von ISKAMP. Zudem wird es in Gruppen ( Oakley-Gruppen ) eingeteilt, welche die Umgebung für den Schlüsselaustausch festlegen.

Beim Verbindungsaufbau zwischen zwei Gateways mittels IPSec wird die Phase 1 nur einmal realisiert. Die Phase 2 hingegen kann mehrmals für das Regenerieren der Schlüssel, welche in der IPSec-SA angewandt wird, wiederholt werden.

Übersicht der Hard- und Software-Lösung

Für die Implementierung der VPN stehen verschiedene Varianten zur Verfügung.
Art der VPN-Implementierung ist abhängig von der Netzwerkstruktur und der Unternehmensphilosophie ( bzw. Sicherheitspolitik ). Ein VPN sollt sich leicht in die vorhandene Netzwerkstruktur einbinden lassen. Wenn das Netzwerk auf Servern aufbaut, kommt eher eine Softwarelösung in Frage. Bei einer hohen Anforderung an den Datendurchsatz ist eher empfehlenswert eine Hardwarelösung empfehlenswert.
Somit gibt es unterschiedliche Lösungen für die verschiedenen Anforderungen.

– Hardware Based VPN
– Router Based VPN
– Software Based VPN
– Firewall Based VPN

Hardware Based VPN

Wenn hohe Bandbreiten benötigt werden, könnte die Hardwarelösung in Betracht gezogen werden. Eine solche setzt sich im wesentlichem aus einem Router mit ganz speziell für die Verschlüsselung optimierten Prozessoren und der Hardware zusammen. Laut Herstellerangabe soll dadurch ein hoher und stark verschlüsselter Datendurchsatz gewährleistet werden. Diese Systeme besitzen Komponenten, die für ein VPN benötigt werden. Viele Hersteller entwickeln jedoch ihre eigenen Standard bzw. eine eigene VPN-Infrastruktur. Infolge dessen kann es schwierig sein, Produkte anderer Hersteller ( wie z.B. Firewall ) in die VPN einzubinden, sodass beispielsweise eine Einwahl mobiler Clients bei einigen Produkten weder berücksichtigt noch unterstützt.

Der Anwendungsbereich der Hardwarelösung liegt eher im Network-to-Network Bereich. Hierfür wird die VPN-Hardware als Brücke zwischen dem Netzwerk-Router und dem Internet implementiert. Dies bedeutet, dass zusätzliche Hardware in die Netzwerkstruktur eingebunden und installiert werden muss. Daraus ergibt sich ein Nachteil, denn bei Ausfall der VPN-Lösung fällt ebenfalls die Internetverbindung aus.

Router Based VPN

Router sind in vielen Unternehmen die Schnittstelle zum Internet.
Logische Konsequenz ist es demnach diesen Router für eine VPN-Lösung zu nutzen. Viele Hersteller von Routern haben deshalb meist schon VPN-Funktionen in das Betriebssystem implementiert. Die relativ simple Installation ist hat den Vorteil, dass die Netzwerkstruktur unverändert bestehen bleibt und demzufolge keine neuen Geräte gebraucht werden. Die Software und das Betriebssystem Routers sind vom selben Hersteller.

Damit gibt es weder bei der Anpassung noch bei der Konfiguration Probleme. Die VPN besteht aus Verschlüsselungs- und Tunnelmechanismen. Oft ist sogar zusätzlich noch eine Firewall inkludiert. Verschlüsselung, Tunneling und eventuelle Firewall werden durch die Software implementiert. Dies hat jedoch eine zusätzliche Belastung des Prozessors zur Folge ( Leistungsfähigkeit des Router nur auf Routing selbst ausgelegt ). Um diese Überlastung zu vermeiden, bieten einige Hersteller auch Zusatzkarten für die Router an. Diese Karten sind speziell für die Verschlüsselung ausgelegt tragen somit zur Entlastung des Prozessors bei. Man muss bedenken, dass eine Überlastung des Routers nicht nur die VPN-Lösung sondern sämtlichen Datenverkehr, der über diesen Router verarbeitet wird, betrifft. Die Konsequenz daraus kann sein, dass ein leistungsfähigerer Router benötigt wird, und so wird schnell aus der günstigen VPN-Lösung einer weitaus kostenintensivere. Deshalb sollte man das VPN im Probelauf testen, um die Belastung für das Netzwerk und die Router festzustellen.

Software Based VPN

Diese Lösungen arbeiten zusätzlich zu anderen Diensten auf dafür bereitgestellten Servern, auf denen diese installiert werden und infolge einer Vielzahl von Optionen und Funktionen für das VPN anbieten. Durch zahlreiche Assistenten und Hilfen wird die Installation und Administration erleichtert. In den meisten Fällen fungiert die Softwarelösung als Unterstützung für die gängigen Standards, sodass eine gute Eingliederung in die vorhandene Netzwerkstruktur gewährleistet werden kann. Die Sicherheit und Qualität einer solchen Software hängt oft vom darunter liegenden Betriebssystem ab. Wenn das Betriebsystem Schwachstellen und Sicherheitslücken aufweist, kann sich dies auch auf die Sicherheit des VPN auswirken.

Demzufolge ist es wichtig, nicht nur die VPN-Software sondern auch Betriebsystem auf dem neusten Stand zu halten. Die Softwarelösung hat im Gegensatz zur Hardwarelösung den Nachteil, dass die Bandbreite von der Rechenleistung des Servers abhängig ist. Stellt der Server auch noch andere Dienste für das Netzwerk zu Verfügung, könnte sich dies unter Umständen negativ auf den gesamten Netzwerkverkehr auswirken. Die Softwarelösungen sind in unterschiedlichen Preisklassen vertreten. Je nach Options- und Funktionsumfang der Software steigt damit auch der Preis. Einige Produkte sind sogar als Freeware mit eingeschränkten Funktionen erhältlich. Bei diesen Produkten gibt es jedoch äußerst selten eine Hotline oder sogar Support, sodass Probleme nur in Eigeninitiative gelöst werden können.

Firewall Based VPN

Viele Unternehmen leiten ihren gesamten externen Datenverkehr zu einer Firewall, mit der diese VPN-Lösung demzufolge arbeitet. Aus diesem Grund bieten viele Hersteller eine VPN-Lösung für ihre Firewalls an. Durch die Installation von Zusatzsoftware oder sogar durch einfache Erweiterung mit einem neuen Lizenzschlüssel werden die Funktionen des VPN auf der Firewall aktiviert. Die Konfiguration erfolgt mittels dem Management der Firewall ( weitere VPN-Funktionen installiert ). Die bestehende Netzwerkstruktur bleibt in der Regel unverändert. Firewalls sind oft redundant angeordnet, d.h. wenn eine Firewall ausfällt übernimmt automatisch eine weitere deren Arbeit. Eine VPN-Verbindung kann zwar nicht so einfach übernommen, aber wieder eingerichtet werden.

Diese VPN-Lösung ist auch eine Softwarelösung und das bedeutet es kann bei zu hoher Belastung und großen Bandbreiten zu Performanceproblemen kommen, welche durch Zusatzkarten durch die Hersteller gelöst werden sollen.

Kleinbetriebe

Meist sollen in Kleinbetrieben lediglich Mitarbeiter im Außendienst oder Homeoffice auf das Firmennetzwerk und dessen Ressourcen zugreifen können oder einzelne Filialen an die Zentrale angeschlossen werden. Aus diesem Grund sind die Anforderungen an ein VPN nicht enorm hoch. Die verwendete Verbindung erfolgt hierbei über analoge, ISDN oder DSL Modems. Die dabei genutzte Bandbreite der Verbindung ist auch für einfache VPN Produkte kein Problem.

Für Kleinbetriebe ist es demzufolge naheliegend Router mit integrierter Firewall zum Einsatz zu bringen. Diese erlauben einfache und unkomplizierte Administration, welche durchaus auch von „Nichtexperten“ durchgeführt werden kann. Außerdem sind diese Router preislichgesehen für Kleinbetrieben eine recht günstige Variante. Bei der Nutzung einer Standleitung oder fixen IP-Adresse für den Standort des Betriebes sollte man auf keinen Fall auf eine Firewall verzichten, um Denial-of-Service Attacken entgegen zu wirken. Durch die Kombination mit VPN erlangt der Berieb eine Sicherheitserhöhung in dessen Datenverkehr. Eine weitere Möglichkeit wäre, die VPN-Lösung zum Provider auszulagern. Dies hat zur Folge, dass der Tunnelaufbau erst beim Provider initialisiert wird. Das hat den großen Vorteil das die Administration des VPN-Tunnels und dessen Sicherheit beim Provider liegen. Der Provider nutzt dafür hochwertige VPN-Produkte um die Sicherheit auch zu gewährleisten. Der Nachteil in dieser Lösung liegt leider darin, dass man nicht so flexibel ist da Veränderungen der VPN-Lösung nur vom Provider selbst vorgenommen werden(kann einige Zeit bis zur Realisierung dauern). Deswegen ist eine vorausschauende Planung der VPN-Lösung unbedingt erforderlich, um eine geeignete Lösung zu finden.

Mittelständiges Unternehmen

Mittelständige Unternehmen besitzen höhere Anforderungen an ein VPN, da sie mehr Mitarbeiter bzw. Standorte vereinen und höhere Bandbreiten zur Verfügung haben. Hersteller wie z.B. Small and Home-Office bieten hierfür leistungsfähige Produkte für größere Unternehmensstrukturen an. Dies Produkte beinhalten zudem auch noch weitere nützliche Funktionen ( z.B. Virenscanner, Paketfilter … ) und sind für größere Anzahl von Benutzern vorgesehen. Reiche jedoch diese Produkte nicht mehr aus, müssen professionelle VPN-Lösungen verwendet werden. Bei einfachen Strukturen des Netzwerkes bieten sich Firewall oder Router basierende VPN Lösungen an.

Dies hat den Vorteil das vorhandene Netzwerkstruktur nicht verändert werden muss. Ei höheren Leistungsanforderungen sollte das VPN getrennt von Router und Firewall beiten, da sonst der Rest des Netzwerkes negativ beeinflusst werden könnte. Bei mittelständigen Unternehmen ist es sehr wichtig, dass der Überblick über Datenverkehr und User nicht verloren geht. Um eine Vereinfachung der Administration zu ermöglichen sollte eine unternehmensweite gemeinsame Sicherheitspolitik betrieben werden. Somit lassen sich z.B. Benutzergruppen bilden, welche standortübergreifend die selben Richtlinien besitzen.

VPN – Fazit und Ausblick

Zusammenfassend ist zu sagen, dass im Laufe der letzten Jahre die Anzahl von VPNs sich enorm erhöht hat. Der Grund dafür liegt zum Einen darin, dass Unternehmen global mit vielen Außendienstmitarbeitern/Tochterfirmen/Lieferanten zusammenarbeiten und somit eine Kommunikation untereinander benötigen ( VPNs sollen teure Leasing Lines ersetzten ). Ein weiterer und wohl auch der wichtigste Grund ist die Sicherheit der Datenkommunikation. VPN ist in dieser Hinsicht eine Sicherheitserhöhung im Gegensatz zur “ normalen “ Datenkommunikation über das Internet. Unternehmen versuchen für sich eine “ beste “ Lösung zu finden, d.h. eine Lösung die kosteneffektiv und sicher ist. Aus diesem Grund wird sich die Verbreitung von VPN auch weiter durchsetzen.

Die zukünftige Entwicklung im Internet wird vor allem in dem Bereich der Erhöhung der Bandbreite und deren Verfügbarkeit stattfinden. Zudem sind Quality of Service Anforderungen in konventionellen VPN-Lösungen im Internet nicht realisierbar. Hierfür kommt Multiprotocl Label Switching ( MPLS ) zum Einsatz, welches virtuelle Pfande ( Label Switched Path ) für eine sichere Tunnelübertragung nutz.

VPNs sind jedoch keinesfalls die ultimative Lösung für alle Sicherheitsaspekte. So schützt VPN die Daten nur im Tunnel und nicht auf den Wegen dahin/davon. Auch ein Virenschutz ist nicht durch die VPNs gegeben. Es ist vielmehr eine wirksame Kontrolle des gesamten Netzwerkverkehrs ( mit allen VPN-beteiligten Netzwerken ) nötig.

Nichtsdestotrotz sieht die Zukunft von Virtual Private Networks sehr gut aus. Zudem prognostizieren Wirtschafts-Institute für VPNs große Wachstumsraten in der Zukunft.

IP-Spoofing

Bei dieser Angriffsmethode werden falsche IP-Nummern verwendet, um dem angegriffenen System eine falsche Identität vorzuspielen. Bei vielen Protokollen der TCP/IP-Familie erfolgt die Authentisierung der Kommunikationspartner nur über die IP-Adresse. Diese kann jedoch leicht gefälscht werden. Nutzt man zudem noch aus, dass die von den Rechnern zur Synchronisation genutzten Sequenznummern ( beim Aufbau einer TCP/IP-Verbindung ) leicht zu erraten sind, so ist es möglich, dass Pakete mit jeder beliebigen Absenderadresse verschickt werden können. Leider sind auch die in Schicht 2 des OSI-Modells eingesetzten Adressen wie Ethernet- oder Hardware-Adressen leicht zu fälschen ( bieten somit für Authentisierung keine zuverlässige Grundlage ).

Man-in-the-Middle-Angriff

Beim Man-in-the-Middle-Angriff sitzt der Angreifer zwischen dem Teilnehmern A und B. Er nimmt die Daten von A auf, manipuliert sie und gibt sie an B weiter. Da er sich durch Vortäuschen einer falschen IP-Adresse als B ausgibt, erhält er auch die Antworten von B zurück.

Session Hijacking

Diese Bedrohung versucht nicht wie beim Spoofing eine Verbindung aufzubauen, sondern übernimmt eine bereits bestehende Verbindung. Ein Angreifer muss zuerst einen Rechner im Netzwerk übernehmen um den Datenverkehr mithören zu können. Nachdem der Angreifer die Sequenznummern der beiden kommunizierenden Rechnern A und B erfahren hat, kann dieser Pakete erzeugen ( die von A oder B zu kommen scheinen ). Um die Übernahme zu vervollständigen, muss der Angreifer diesen Rechner oder die zugehörige Leitung überlasten ( somit kein weiterer Datenverkehr möglich ).

Missbrauch des Source-Routing

Es besteht die Möglichkeit in einem IP-Paket mittels des Source Routing Eintrages dessen Weg durch das Netz vorzugeben, so dass die eigentlichen Routing-Tabellen der Router einfach übergangen werden. Der Angreifer kann das z.B. so ausnutzen, dass seine Datenpakete unkontrollierte Wege benutzen, d.h. er nutzt die nicht durch die Routingeinträge vorgesehenen sicheren Wege (z.B. über die Firewall).

Missbrauch der Routing-Protokolle

Die Route zwischen zwei Netzen kann sich ändern. Es ist es mittels RIP-Paketen (Routing Information Protocol) möglich, diese Änderungen an die angeschlossenen Hosts zu übermitteln ( damit werden Routing-Tabellen angepasst ). Da es möglich ist, falsche RIP-Pakete in das System einzuspielen, kann man ähnlich wie beim Missbrauch des Source-Routing ungeschützte Wege durch das Netzwerk vorgeben.