Intranator Administrator Handbuch - Intra2net AG

Um die Bedienung zu vereinfachen, erzeugt der Intranator normalerweise selbstsignierte
Zertifikate, bei denen der Inhaber (Subject genannt) auch gleichzeitig der Zertifikatsaussteller
(Issuer) ist. Dadurch sind bei der Bedienung keine zusätzlichen Schritte für die Verwendung
von Zertifikaten nötig. Selbstverständlich können aber auch externe Zertifizierungsstellen
verwendet werden.
29.4. IPSec Verbindungen
Ein IPSec Verbindungsaufbau geschieht mit dem Protokoll Internet Key Exchange (IKE) in
zwei Phasen.
Phase 1: Zuerst wird eine gesicherte Verbindung (ISAKMP SA oder IKE SA genannt)
aufgebaut. Diese Verbindung wird über UDP Port 500 aufgebaut. Erkennt das System,
daß eine Seite hinter einem NAT-Router steht, wird auf UDP Port 4500 umgeschaltet. Es
gibt zwei Modi für den Verbindungsaufbau: den Main Mode und den Aggressive Mode.
Der Aggressive Mode beschleunigt den Verbindungsaufbau um einige Zehntelsekunden,
kann aber leichter geknackt werden. Der Intranator unterstützt daher nur den sicheren
Main Mode.
Phase 2: Die zuvor aufgebaute gesicherte Verbindung wird nun genutzt um die
eigentlichen Verbindungsdaten und Sitzungsschlüssel auszuhandeln (Quick Mode). Ist
dies erfolgreich, wird eine sog. IPSec SA konfiguriert und kann dann genutzt werden, um
verschlüsselt Daten zu übertragen.
Beide Phasen der Verbindung haben aus Sicherheitsgründen nur eine begrenzte Lebensdauer
und werden daher regelmäßig aktualisiert.
Aus Sicherheitsgründen und um das Routing zu vereinfachen überprüft jede Seite der
Verbindung, dass nur genau die Pakete durch die Verbindung kommen, die vorher konfiguriert
wurden. Daher ist es wichtig, dass auf beiden Seiten identische Werte für Startund
Zielnetz eines Tunnels angegeben wurden.
Damit die Sicherheitsrichtlinien sehr eng konfiguriert werden können, ist es möglich zwischen
zwei Rechnern beliebig viele verschiedene IPSec Verbindungen aufzubauen.
29.5. Algorithmen
Intranator Administrator Handbuch
Beide Seiten einigen sich beim Verbindungsaufbau über die für Verschlüsselung und
Datensignierung zu verwendenden kryptographischen Algorithmen. Die Algorithmen sind
für jede Phase separat einstellbar. Im Intranator können im Menü Dienste > VPN > Verschlüsselung
Profile mit Algorithmen konfiguriert werden.
Eine Verschlüsselungsmethode besteht dabei aus je einem Algorithmus für Verschlüsselung,
für Hashing (Signatur) und einer Diffie Hellman Gruppe für den Aufbau einer gesicherten
Verbindung. Die meisten Algorithmen werden in verschiedenen Längen angeboten. Die
Länge wird in Bit angegeben und der Algorithmus ist desto stärker, je mehr Bit verwendet
werden. Allerdings steigt mit der Bitzahl auch der nötige Rechenaufwand.
Für beide Phasen wird nun eine Liste von möglichen Methoden hinterlegt. Diese Liste
wird in der eingestellten Reihenfolge der Gegenstelle angeboten, die dann die oberste,
von ihr auch unterstütze Methode verwendet.
Auch die Verwendung von Perfect Forward Secrecy (PFS) in Phase 2 wird im Intranator
über die Verschlüsselungsprofile konfiguriert. Ist auf dem Intranator eine PFS-Gruppe
193