Analyse und Vergleich von VPN-Protokollen

3 Gegenüberstellung - Vergleich er besitzt nicht die zugehörige SA, so wird racoon aufgefordert diese auszuhandeln und bereitzustellen. Racoon ist in der Lage mit Zertifikaten und Preshared Keys für die Authentifizierung zu arbeiten. Das Problem dynamischer IP-Adressen besteht bei racoon ebenso wie bei Windows. Sofern der VPN-Server eine feste IP besitzt und sich Clients mit dynamischer IP-Adresse einwählen, stellt dies noch kein Problem dar, haben beide Seiten eine dynamische Adresse, so ist die Verwendung eines Skripts nötig, welches diese über den DynDNS-Namen ermittelt und die Konfigurationsdatei für racoon anhand derer erzeugt. Bei isakmpd besteht im übrigen ebenfalls dieses Problem, lediglich FreeS/WAN beherrscht die Verwendung von Domainnamen. [...]

Linux 2.6 Da für Linux die Möglichkeiten FreeS/WAN, isakmpd und racoon für IPSec zu Wahl stehen, eine komplette Beschreibung dieser drei Möglichkeiten jedoch zu komplex wäre, soll in den Tests racoon mit setkey zum Einsatz kommen. Für Beispiele und Dokumentationen mit FreeS/WAN und isakmpd empfiehlt sich [2]. Das Programm setkey dient der Konfiguration von IPSec im 2.6er Linux Kernel, indem damit die Security Association Datenbank und die Security Policy Datenbank bearbeitet werden. Die Parameter erhält es entweder über die Standardeingabe oder eine Datei. Prinzipiell ist eine IPSec-Verbindung bereits mit setkey auch ohne racoon möglich, dabei werden aber die benötigten Schlüssel manuell erzeugt und ausgetauscht. Racoon ist ein IKEDaemon, der sich um diese Aufgabe automatisch kümmert. Er nutzt das IKE-Protokoll zur Aushandlung der ISAKMP-SA und der darauf folgenden Erzeugung der IPSec-SAs. Muss ein Paket vom Kernel entsprechend der SPD verschlüsselt oder authentifiziert werden und [...]

3 Gegenüberstellung - Vergleich Windows 2000/XP Die IPSec-Konfiguration von Windows 2000 und XP geschieht auf identische Weise. In den Sicherheitsrichtlinien von Windows ist ein Punkt namens IP-Sicherheitsrichtlinien existent, hinter dem sich die IPSec-Konfiguration verbirgt. An dieser Stelle werden einzelne Richtlinien angelegt, wobei nur jeweils eine aktiv sein darf. Dementsprechend müssen in einer solchen Richtlinie die Parameter aller aufzubauenden VPN-Verbindungen definiert werden, indem jeder Tunnel als eine sogenannte IP-Filterliste definiert wird. In dieser werden die kommunizierenden Rechner oder -netze definiert, ob es sich um einen Tunnel handelt, in welcher Kombination und mit welchen Hash- und Verschlüsselungsalgorithmen ESP oder AH genutzt werden und ob Preshared Keys, Zertifikate oder Kerberos als Authentifizierungsmethode eingesetzt wird. Ein Problem bei der IPSec-Konfiguration mit Windows besteht darin, dass keine Domainnamen für die Kommunikationspartner angegeben werden können, sondern nur IP-Adressen. Besitzt nun die Gegenstellen keine festen IPAdressen sondern bekommen bei jeder Einwahl beim ISP eine neue IP, so gestaltet sich die statische Konfiguration über die Sicherheitsrichtlinien recht schwierig bzw. ist unmöglich. Eine Alternative ist die Nutzung von ipsecpol.exe bzw. ipseccmd.exe aus den SupportTools von Windows 2000 bzw. XP. Damit können die Sicherheitsrichtlinien dynamisch erzeugt werden und dementsprechend ist ein Aufruf über ein Skript vorteilhaft, welches vorher die aktuelle IP-Adresse auflösen kann, die sich hinter dem Domainnamen verbirgt. [...]