70-685 Windows 7 Support in Unternehmen.pdf - Gattner

Lektion 1: Grundlagen von VPN-Clientverbindungen 235
auf IPSec-Verschlüsselung aufbauen (L2TP), höhere Leistung, weil die Verbindung schneller
aufgebaut wird.
Prüfungstipp
Für die Prüfung 70-685 müssen Sie wissen, was VPN-Reconnect ist und dass nur IKEv2-
VPNs dieses Feature unterstützen.
IKEv2-VPNs setzen eine PKI voraus. In einem IKEv2-VPN muss der Server dem Client ein
Serverauthentifizierungszertifikat vorweisen, und der Client muss in der Lage sein, dieses
Zertifikat zu überprüfen. Damit diese Überprüfung vorgenommen werden kann, muss das
Stammzertifikat der Zertifizierungsstelle, die das Serverauthentifizierungszertifikat ausgestellt
hat, im Zertifikatspeicher Vertrauenswürdige Stammzertifizierungsstellen des Clientcomputers
installiert sein.
Was Leistung und Sicherheit betrifft, ist IKEv2 der bevorzugte VPN-Typ. Sie sollten ihn
bereitstellen, sofern die Betriebssystemvoraussetzungen für ein solches VPN erfüllt sind.
Diese Anforderungen sind Windows 7 für den VPN-Client und Windows Server 2008 R2
auf dem VPN-Server.
Grundlagen von SSTP
SSTP-VPNs wurden in Windows Server 2008 eingeführt. Sie können von Clients benutzt
werden, die unter Windows Vista SP1 oder neuer laufen. Dieser VPN-Typ basiert auf demselben
HTTP-über-SSL-Protokoll, das für sichere Websites verwendet wird. Das wichtigste
Feature eines SSTP-VPNs ist, dass es die gesamte Kommunikation über TCP-Port 443 abwickelt.
Dieser Port wird auf den meisten Firewalls für sicheren Webverkehr offen gehalten.
Weil die meisten Firewalls nicht umkonfiguriert werden müssen, um SSTP-Kommunikation
abzuwickeln, können SSTP-VPN-Clients durch die meisten NAT-Geräte (Network Address
Translation), Firewalls und Webproxys hindurch Verbindungen aufbauen. Andere VPN-
Typen können solche Netzwerkgeräte oft nicht durchlaufen. Ein SSTP-VPN ist daher ein
außergewöhnlich flexibles Remotezugriff-VPN, das in mehr Netzwerkkonstellationen
implementiert werden kann als andere VPNs.
Wie IKEv2- und PPTP-VPNs, aber anders als L2TP-basierte VPNs erfordern SSTP-VPNs
in der Standardeinstellung keine Clientcomputerauthentifizierung (dies kann aber durch eine
Konfigurationsänderung erzwungen werden). Wie bei einem sicheren Webserver muss der
SSTP-VPN-Server dem anfordernden Client aber am Anfang der Kommunikationssitzung
ein Computerzertifikat vorweisen. Der VPN-Client muss dann in der Lage sein, das Computerzertifikat
des Servers zu überprüfen. Damit diese Überprüfung vorgenommen werden
kann, muss das Stammzertifikat der Zertifizierungsstelle, die das Serverauthentifizierungszertifikat
ausgestellt hat, im Zertifikatspeicher Vertrauenswürdige Stammzertifizierungsstellen
des VPN-Clientcomputers installiert sein.
Hinweis Zertifikatprüfung in SSTP-VPNs
In einer PKI kann ein Administrator ein Zertifikat sperren, das einem Benutzer, Computer
oder Dienst ausgestellt wurde. Eine Zertifizierungsstelle veröffentlicht die Listen der gesperrten
Zertifikate in einer offiziellen Zertifikatsperrliste (Certificate Revocation List,
CRL). Bei SSTP-VPN-Verbindungen muss der Client standardmäßig überprüfen, dass das