Inhaltsverzeichnis
Werbung
Kombination
Verschlüsselung
Authentifizie-
rung
AES128 CCM 16
SHA256
AES256 CCM 16
SHA512
x: Kombination ist Teil der Default-Chiffre
-: Kombination ist nicht Teil der Default-Chiffre
none: Für die Phase 2 werden keine separaten Schlüssel ausgetauscht. Damit ist Perfect Forward Secrecy (PFS) deakti-
viert.
Anforderungen an die VPN-Gegenstelle
Die VPN-Gegenstelle muss IPsec mit folgender Konfiguration unterstützen, um erfolgreich
eine IPsec-Verbindung aufzubauen:
● Authentifizierung über Gegenstellenzertifikate, CA-Zertifikate oder Pre-Shared Key
● IKEv1 oder IKEv2
● Unterstützung von mindestens einer der folgenden DH-Gruppen: Diffie-Hellman Gruppe
1, 2, 5 und 14 - 18
● 3DES- oder AES-Verschlüsselung
● MD5, SHA1, SHA256, SHA384 oder SHA512
● Tunnel-Modus
Wenn sich die VPN-Gegenstelle hinter einem NAT-Router befindet, dann muss die
Gegenstelle NAT-T unterstützen. Oder aber der NAT-Router muss das IPsec-Protokoll
kennen (IPsec/VPN Passthrough).
NAT-Traversal (NAT-T)
Eventuell befindet sich zwischen dem Gerät und dem VPN-Gateway des entfernten Netzes
ein NAT-Router. Nicht alle NAT-Router lassen IPsec-Telegramme passieren. Daher kann es
erforderlich sein, die IPsec-Telegramme in UDP-Pakete einzukapseln, um den NAT-Router
passieren zu können.
Dead Peer Detection
Voraussetzung ist, dass die VPN-Gegenstelle DPD unterstützt. DPD prüft, ob die
Verbindung noch störungsfrei arbeitet oder ob es eine Unterbrechung auf der Strecke gab.
Ohne DPD muss je nach Konfiguration bis zum Ablauf der SA-Lebensdauer gewartet oder
die Verbindung manuell neu initiiert werden. Um zu prüfen, ob die IPsec-Verbindung noch
störungsfrei arbeitet, sendet das Gerät selber DPD-Anfragen zur VPN-Gegenstelle. Wenn
die VPN-Gegenstelle nicht antwortet, wird nach Ablauf einer bestimmten Zeitspanne die
Verbindung zur VPN-Gegenstelle für ungültig erklärt. Die Einstellungen für DPD
konfigurieren Sie bei der Phase 1.
SCALANCE M-800 Web Based Management
Projektierungshandbuch, 07/2018, C79000-G8900-C330-08
Schl üsselableit
IKEv1
ung
none
none
Phase 1
IKEv2
-
-
-
-
Technische Grundlagen
2.5 Security-Funktionen
Phase 2
IKEv1
IKEv2
x
x
x
x
69
Werbung
Inhaltsverzeichnis
