Astaro Security Gateway Administrationshandbuch Seite 536

15.4 IPsec
IPsec-Modi
IPsec kann entweder im Transportmodus oder im Tunnelmodus arbeiten. Eine
Host-zu-Host-Verbindung kann grundsätzlich jeden Modus verwenden. Wenn es
sich bei einem der beiden Tunnelendpunkte jedoch um ein Astaro Security
Gateway handelt, muss der Tunnelmodus verwendet werden. Die IPsec-VPN-
Verbindungen auf dieser ASG arbeiten immer im Tunnelmodus.
Im Transportmodus wird das zu bearbeitende IP-Paket nicht in ein anderes IP-
Paket eingepackt. Der ursprüngliche IP-Header wird beibehalten und das übrige
Paket wird entweder im Klartext (AH) oder verschlüsselt (ESP) gesendet. Nun
kann entweder das komplette Paket mit AH authentifiziert oder die Payload mit
Hilfe von ESP verschlüsselt und authentifiziert werden. In beiden Fällen wird der
Original-Header in Klartext über das WAN geschickt.
Im Tunnelmodus wird das komplette Paket – Header und Payload – in ein neues IP-
Paket gekapselt. Ein IP-Header wird vorne an das IP-Paket angehängt, wobei die
Zieladresse auf den empfangenden Tunnelendpunkt gesetzt wird. Die IP-
Adressen des gekapselten Paketes bleiben unverändert. Das Originalpaket kann
dann mit AH authentifiziert oder mit ESP authentifiziert und verschlüsselt werden.
IPsec-Protokolle
IPsec verwendet für die sichere Kommunikation auf IP-Ebene zwei Protokolle:
Authentication Header (AH): Ein Protokoll für die Authentifizierung von
l
Absendern eines Pakets sowie zur Überprüfung der Integrität des
Paketinhalts.
Encapsulating Security Payload (ESP): Ein Protokoll für die
l
Verschlüsselung des gesamten Pakets sowie für die Authentifizierung seines
Inhalts.
Das Authentication-Header-Protokoll (AH) überprüft die Authentizität und die
Integrität des Paketinhalts. Des Weiteren überprüft es, ob die Sender- und
Empfänger-IP-Adressen während der Übertragung geändert wurden. Die
Authentifizierung des Pakets erfolgt anhand einer Prüfsumme, die mittels eines
Hash-based Message Authentication Codes (HMAC) in Verbindung mit einem
536 ASG V8 Administrationshandbuch
15 Fernzugriff