VPN - Allgemein

Authentizität: Identifizierung von autorisierten Nutzern und Quellen

Vertraulichkeit: Durch die Verschlüsselung der Datenpakete

Integrität: Verhinderung von Datenmanipulation

End-to-Site VPN

Site-to-Site VPN

End-to-End VPN

- hat die Aufgabe PPP-Verbindungen über 2 Netzwerke / Stationen aufzubauen

- kann jedes beliebige Netzerk-Protokoll (Layer 3) im PPP-Rahmen transportieren

- bietet selbst keine Verschlüsselung

- diese wird durch IPsec ergänzt

- L2TP Access Concentrator (LAC): Verwaltet die Verbindungen und stellt diese zum LNS her.

- L2TP Network Server (LNS): Ist für das Routing und für die Kontrolle der vom LAC empfanenen Pakete zuständig

Der LAC packt die Frames in L2TP Datenpakete und diese werden dann vom LNS entpackt und verteilt.

- L2TP antwortet in der Regel auf irgendeinem freien Port über 1024

- Um L2TP zu nutzen verwendet man Port-Triggering

- Port-Triggering ermöglicht auf einem bestimmten Port mit eingehenden Datenverkehr das Freischaltet weiterer Ports für eingehenden Datenverkehr

- Bei einer Portfilter-Firewall wäre das eine riesige Lücke da eine erheblich größe Range an Ports geöffnet werden müsste

- Ist eine Erweiterung des Internet Protokolls um Verschlüsselungs- und Authentifizierungsmechanismen

- kann nur IP-Pakete tunneln

- Zugangskontrolle

- Datenintegrität

- Benutzerauthentisierung

- Verschlüsselung

- Schlüsselauthentisierung

- Regeln die Kommunikation von IPsec

- Folgende Parameter sind erforderlich für den Aufbau einer Verbindung:

 - Art der gesicherten Übertragung (Authentifizierung oder Verschlüsselung

 - Verschlüsselungsalogrithmus

 - Schlüssel

 - Gültigkeitsdauer der Schlüssel

- Vertrauensstellungen werden durch den Austausch vorab definierter Schlüssel hergestellt

- Ebenso kann die Vergabe von Zertifikaten über ein Trust-Center / Zertifizierungsstelle erfolgen

- verwendet ein asymmetrisches Verschlüsselungsverfahren

- ist ein Framework aus Richtlinien und keine spezifizierte Technologie

- kann digitale Zertifikate ausstellen, verteilen und prüfen

Digitale Zertifikate: digital signierte elektronische Daten. OpenVPN verwendet Zertifikate im x509-Format. Jeder OpenVPN-Server und Benutzer erhalten Ihr eigenes Zertifikat und eigenen Public Key

Zertifizierungsstelle: stellt das CA-Zertifikat bereit und übernimmt die Signatur der Client- und Serverzertifikate

Registrierungsstelle: dort können Zertifikate beantragt werden. Diese prüft die Richtigkeit der Daten im gewünschten Zertifikat und gibt es an die CA zur Signierung

Zertifikatssperrliste: sofern das Vertrauen eines Zertifikats nicht mehr gegeben ist können die Zertifikate für ungültig erklärt werden. Wenn bspw. ein Mitarbeiter das Unternehmen verlässt  oder der Private Key verloren wurde.

- Client schickt seine SSL-Version und zufällige Daten an den Server

- Der Client autorisiert das Zertifikat (bei beidseitiger Verschlüsselung schickt der Client auch sein Zertifikat mit)

- Wenn diese Überprüfung geklappt hat:

- erstellt der Client das premaster Secret mit und verschlüsselt es mit dem public Key des Servers

- der Server entschlüsselt es mit seinem privaten Schlüssel und erstellt das master Secret

- Mit diesem werden Sitzungsschlüssel erstellt. Dies sind einmalige Schlüssel zur Ver-und Entschlüsselung

- Die fortlaufende Kommunikation wird mithilfe des Sitzungsschlüssels durchgeführt.

- Nach einer gewissen Zeitspanne tauscht OpenVPN den Sitzungsschlüssel aus