Inhaltsverzeichnis
Werbung
Vigor2710-Serie - ADSL2/2+ Firewall-Router
Start-IP-Adresse
4.9.3 IPSec Grundeinstellungen
4.9.3 IPSec Grundeinstellungen
In den IPSec Grundeinstellungen besteht die Konfiguration aus zwei wesentlichen
Teilen.
IPSec umfasst zwei Phasen:
Phase 1: Aushandlung von IKE-Parametern wie Verschlüsselung, Hash, Diffie-
Hellman-Parameterwerte und Gültigkeitsdauer, um den nachfolgenden IKE-
Austausch zu schützen, Authentifizierung beider Peers mit Pre-Shared Key oder
digitaler Signatur (x.509). Der Peer, der die Verhandlung initiiert, schlägt dem
entfernten Peer alle seine Verfahren vor, und der entfernte Peer versucht, eine
Übereinstimmung höchster Priorität zu finden. Schließlich wird ein sicherer
Tunnel für IKE Phase 2 eingerichtet.
Phase 2: Aushandlung von IPSec-Sicherheitsmethoden wie AH (Authentication
Header) oder ESP (Encapsulating Security Payload) für den nachfolgenden IKE-
Austauch und gegenseitige Prüfung des Aufbaus eines sicheren Tunnels.
Es werden für IPSec zwei Kapselungsmethoden verwendet: Transport und Tunnel.
Der Transport-Modus fügt die AH-/ESP-Daten hinzu und benutzt die ursprünglichen
IP-Header, um nur die Nutzdaten zu kapseln. Dies ist nur beim lokalen Paket möglich,
z.B. L2TP über IPSec. Der Tunnel-Modus fügt nicht nur die AH-/ESP-Daten hinzu,
sondern verwendet außerdem einen neuen IP-Header (Tunneled IP Header), um das
gesamte ursprüngliche IP-Paket zu kapseln.
AH (Authentication Header) bietet Datenauthentifizierung und Integrität für IP-Pakete,
die zwischen den VPN-Peers ausgetauscht werden. Zu diesem Zweck wird eine
verschlüsselte Einweg-Hash-Funktion auf das Paket angewendet, um einen Message
Digest zu erstellen. Dieser Digest wird in den AH integriert und mit den Paketen
zusammen übertragen. Auf der Empfängerseite wendet der Peer die gleiche Einweg-
Hash-Funktion auf das Paket an und vergleicht den Wert mit dem Wert im
empfangenen AH.
ESP (Encapsulating Security Payload) ist ein Sicherheitsprotokoll, dass Vertraulichkeit
und Datenschutz mit optionaler Authentifizierung und Replay-Erkennung bietet.
147
des Peers für die gegenseitige Authentifizierung ein.
Geben Sie für die PPP-Einwahlverbindung eine Start-IP
ein. Wählen Sie eine IP-Adresse aus dem lokalen privaten
Netzwerk. Wenn zum Beispiel das lokale private
Netzwerk 192.168.1.0/255.255.255.0 ist, können Sie
192.168.1.200 als Start-IP-Adresse wählen.
Benutzerhandbuch Vigor2710-Serie
Werbung
Inhaltsverzeichnis
