Inhaltsverzeichnis
Werbung
Transport-Betrieb
Der Transport-Modus schützt Protokolle höherer Ebenen und wirkt sich nur auf die Daten in den IP-
Paketen aus. Dabei folgt das IP-Paket, das Sicherheitsprotokoll (AH oder ESP) unmittelbar auf den Original-
IP-Header und die Optionen, befindet sich aber noch vor möglichen Protokollen höherer Ebene, die ggf. in
dem Paket enthalten sind (z.B. TCP und UDP).
Bei ESP erfolgt der Schutz nur auf Protokollen höherer Ebene, die im Paket enthalten sind. Der IP-Header
und die Optionen werden bei der Authentifizierung nicht verwendet. Deshalb kann die Ursprungs-IP-Adresse
nicht auf Datenintegrität geprüft werden.
Wird AH für das Sicherheitsprotokoll verwendet, erhöht sich die Sicherheit auf den IP-Header, um die
Integrität des gesamten Pakets zu überprüfen (durch Verwendung von Teilen des ursprünglichen IP-
Headers).
Tunnel-Betrieb
Beim Tunnel-Betrieb wird das gesamte IP-Paket "verpackt", um es sicher zu übertragen. Für Gateway-
Dienste ist der Tunnel-Betrieb erforderlich, um Zugang zu internen Systemen zu gewährleisten. Beim
Tunnel–Betrieb wird im Wesentlichen ein IP-Tunnel mit Authentifizierung und Verschlüsselung
bereitgestellt. Dies ist die am meisten verbreitete Betriebsart. Der Tunnel–Modus wird für die Übertragung
zwischen Gateways und vom Host zum Gateway benutzt. Bei der Kommunikation im Tunnel–Modus
werden zwei Sets von IP-Headern unterschieden:
Externer Header: Der externe IP-Header enthält die IP-Zieladresse des VPN-Gateways.
Interner Header: Der interne IP-Header enthält die IP-Zieladresse des Zielsystems, das sich hinter
dem VPN-Gateway befindet. Das Sicherheitsprotokoll steht hinter dem externen IP-Header und
demnach vor dem internen IP-Header.
5.10.10
Feld IPSec Protocol
Die Protokolle ESP und AH sind erforderlich, um eine Sicherheitszuordnung (Security Association - SA)
herzustellen, die Basis für jedes IPSec-VPN. Eine SA basiert auf der durch die Protokolle AH und ESP
bereitgestellte Authentifizierung. Die wichtigste Funktion der Schlüsselverwaltung ist die Herstellung und
Beibehaltung einer SA zwischen den Systemen. Sobald die SA hergestellt ist, kann die Datenübertragung
beginnen.
AH-Protokoll (Authentication Header)
Das AH-Protokoll (RFC 2402) wurde dazu entwickelt, um die Integrität, Authentifizierung,
Sequenzintegrität (Wiederholungsfestigkeit) und Anerkennung (allerdings nicht für Vertrauliches) zu bieten,
für die ESP entwickelt wurde.
Erweiterte Einrichtung
ZyWALL 1 Internet Security-Gateway
5-21
Werbung
Inhaltsverzeichnis
