Werbung
1. Perfect Forward Secrecy(PFS), auf Deutsch etwa perfekte vorwärts gerichtete Geheimhaltung, ist
in der Kryptographie eine Eigenschaft bestimmter Schlüsselaustauschprotokolle. Diese verwenden
zuvor ausgetauschte Langzeitschlüssel, um für jede zu verschlüsselnde Sitzung einen neuen geheimen
Sitzungsschlüssel zu vereinbaren. Ein Protokoll hat Perfect Forward Secrecy nicht, damit die verwendeten
Sitzungsschlüssel nach der Beendigung der Sitzung nicht mehr aus den geheimen Langzeitschlüsseln
rekonstruiert werden können. Damit kann eine aufgezeichnete verschlüsselte Kommunikation auch
bei Kenntnis des Langzeitschlüssels nicht nachträglich entschlüsselt werden. Hier können Sie
zwischen mehreren Gruppen wählen, die mit Diffie Hellman Schlüsseln arbeiten. Group 1 hat z.B
eine Verschlüsselung von 768 Bits, Group2 hat 1024 Bits und Group 5 nutzt 1536 Bits usw.
2. Die Gültigkeitsdauer der SA (Security Association) können Sie unter „IPsec SA Lifetime" eintragen. Eine
Security Association fasst IP‑Pakete zusammen, anhand von einem SPI (Security Parameter Index), der IP‑
Ziel‑Adresse und dem Security Protocol Identifier. Eine SA gilt jeweils nur für EINE Richtung, daher werden
immer zwei SAs genutzt.
3. Bei „IPsec SA Idletime" legen Sie fest, ob SA´s, die mit inaktiven Peers verknüpft sind, gelöscht werden
können bevor die globale Lebensdauer abgelaufen ist. Die 0 bedeutet, dass die Funktion deaktiviert ist.
•
Tunnel Advance
Nach Aktivieren dieser Funktion, stehen Ihnen folgende Möglichkeiten zur Verfügung:
1. Stellen Sie bei „Tunnel Start Mode" ein, wie der Tunnel gestartet werden soll. Die Standardeinstellung ist
immer automatisch.
2. Im Feld „Local Send Cert Mode" legen Sie fest, wann ein Zertifikat für den lokalen Bereich gesendet werden
soll. Die Standardeinstellung ist, dass das Zertifikat immer gesendet werden soll (Send cert always).
3. Bei „Remote Send Cert Mode" legen Sie fest, wann ein Zertifikat für den Bereich der Gegenstelle gesendet
werden soll. Die Standardeinstellung ist, dass das Zertifikat immer gesendet werden soll (Send cert
always).
image
4. Mit „ICMP Detect" können Sie die Funktion für den ICMP Watchdog aktivieren oder deaktivieren.
5. Geben Sie bei „ICMP Detection Server" die Adresse eines Servers an, der nur durch den Tunnel erreichbar
ist.
6. Bei „ICMP Detection Local IP" wird die Router Interface IP des lokalen Subnetzes eingetragen.
7. Legen Sie bei „ICMP Detection Interval" das Intervall fest in dem das ICMP Paket gesendet werden soll.
8. „ICMP Detection Timeout" ist die Zeit nach der das ICMP Pakte verworfen wird. Tragen Sie hier einen Wert
von 1 bis 60 Sec. ein.
9. „ICMP Detection Max Retries" sind die maximalen Versuche nach einem fehlgeschlagenen ICMP Ping, die
Sie hier eintragen können.
6.1.4 IPsec Status
Wenn der oder die IPsec Tunnel erfolgreich aufgebaut wurden, dann sieht man folgendes in der Status‑Übersicht.
Welotec GmbH
Zum Hagenbach 7
48366 Laer
www.welotec.com
info@welotec.com
+49 2554 9130 00
Page 162
Werbung
