Inhaltsverzeichnis
Werbung
Glossar
die Encapsulating-Security-Payload (ESP), die Security Association (SA)
und der Internet Key Exchange (IKE).
Zu Beginn der Kommunikation klären die an der Kommunikation beteilig-
ten Rechner das benutzte Verfahren und dessen Implikationen:
Transport Mode oder Tunnel Mode.
Im Transport Mode wird in jedes IP-Datagramm zwischen IP-Header
und TCP- bzw. UDP-Header ein IPsec-Header eingesetzt. Da dadurch
der IP-Header unverändert bleibt, ist dieser Modus nur für eine Host- zu-
Host-Verbindung geeignet.
Im Tunnel Mode wird dem gesamten IP-Datagramm ein IPsec-Header
und ein neuer IP-Header vorangestellt. D. h. das ursprüngliche Data-
gramm wird insgesamt verschlüsselt in der Payload des neuen Data-
gramms untergebracht.
Der Tunnel Mode findet beim VPN Anwendung: Die Geräte an den Tun-
nelenden sorgen für die Ver- bzw. Entschlüsselung der Datagramme, auf
der Tunnelstrecke, d. h. auf dem Übertragungsweg über ein öffentliches
Netz bleiben die eigentlichen Datagramme vollständig geschützt.
D
NAT (Network Address Translation)
Bei der Network Address Translation (NAT) - oft auch als IP-Masquera-
ding bezeichnet - wird hinter einem einzigen Gerät, dem sog. NAT-Rou-
ter, ein ganzes Netzwerk „versteckt". Die internen Rechner im lokalen
Netz bleiben mit ihren IP-Adressen verborgen, wenn Sie nach außen über
die NAT-Router kommunizieren. Für die Kommunikationspartner außen
erscheint nur die NAT-Router mit ihrer eigenen IP-Adresse.
Damit interne Rechner dennoch direkt mit externen Rechnern (im Inter-
net) kommunizieren können, muss die NAT-Box die IP-Datagramme ver-
ändern, die von internen Rechnern nach außen und von außen zu einem
internen Rechner gehen.
Wird ein IP-Datagramm aus dem internen Netz nach außen versendet,
verändert die NAT-Router den IP- und den TCP-Header des Data-
gramms. Sie tauscht die Quell-IP-Adresse und den Quell-Port aus gegen
die eigene offizielle IP-Adresse und einen eigenen, bisher unbenutzen
Port. Dazu führt sie eine Tabelle, die die Zuordnung der ursprünglichen
mit den neuen Werten herstellt.
Beim Empfang eines Antwort-Datagramms erkennt die NAT-Router an-
hand des angegebenen Zielports, dass das Datagramm eigentlich für ei-
nen internen Rechner bestimmt ist. Mit Hilfe der Tabelle tauscht die NAT-
Router die Ziel-IP-Adresse und den Ziel-Port aus und schickt das Data-
gramm weiter ins interne Netz.
RR-EPL
Release 1.0 01/06
201
Werbung
Inhaltsverzeichnis
