Intranator Administrator Handbuch - Intra2net AG

vorgegeben, wird diese beim Verbindungsaufbau verwendet. Baut die Gegenseite die
Verbindung auf, akzeptiert der Intranator die eingestellte und alle stärkeren Gruppen. Ist
die PFS-Gruppe auf Keine gestellt, werden Verbindungen ohne PFS aufgebaut. Baut die
Gegenseite die Verbindung auf, werden Verbindungen mit und ohne PFS akzeptiert.
Alle angebotenen Algorithmen bieten aus heutiger Sicht eine ausreichende Stärke. Nicht
mehr empfohlene Algorithmen wie z.B. einfaches DES mit 64 Bit werden vom Intranator
gar nicht erst angeboten. Allerdings wurden in letzter Zeit in der kryptographischen Forschung
einige mögliche Schwachstellen von vor allem MD5 als auch SHA diskutiert. Wir
empfehlen daher, so bald wie möglich auf eine der stärkeren SHA2-Varianten (256, 384
und 512 Bit) umzusteigen.
29.6. Einschränkungen
Intranator Administrator Handbuch
Bei der Entwicklung von IPSec war Voraussetzung, dass keinerlei Information unverschlüsselt
oder an nicht autorisierte Gegenstellen versendet werden darf. Leider bringt dies auch
einige Einschränkungen in Verbindung mit dynamischen IP-Adressen mit sich:
Alle Informationen werden verschlüsselt übertragen, also auch die Kennung einer Station.
Da bei dynamischen IPs weder anhand der IP-Adresse noch anhand der Kennung entschieden
werden kann, welcher Schlüssel zur Entschlüsselung verwendet werden soll, müssen
alle diese Gegenstellen denselben Schlüssel verwenden.
Zum Glück gilt diese Einschränkung nur für das Pre-Shared Key Verfahren; beim Einsatz
von Public Key Verfahren kann jede Gegenstelle einen eigenen Schlüssel haben. Durch
die Trennung von Public und Private Key ist dies möglich, ohne dass Daten gefährdet
werden. Wir empfehlen daher ausschließlich das Public Key Verfahren zu verwenden.
29.7. Kompatibilität mit anderen IPSec-Gegenstellen
IPSec ist standardisiert und der Intranator kann grundsätzlich mit allen standardkonformen
Gegenstellen Verbindungen aufbauen. Allerdings erlaubt der IPSec-Standard sehr viele
Wahlmöglichkeiten und Optionen, die teilweise auf beiden Seiten identisch eingestellt
oder implementiert sein müssen. Daher können wir eine Kompatibilität nicht generell
garantieren.
Viele einfachere Geräte (z.B. kleine Router) unterstützen ausschließlich eine Authentifizierung
mit Pre-Shared Keys. Wegen den im vorherigen Abschnitt beschriebenen Einschränkungen
können wir dazu nur dann raten, wenn beide Seiten über feste IP-Adressen verfügen.
Sind keine festen IP-Adressen verfügbar, sollten Sie Router verwenden, die Public Key
unterstützen. Die Konfiguration einiger dieser Router wird in den folgenden Kapiteln
vorgestellt.
194