Inhaltsverzeichnis
Werbung
zu den Filialen über die Vermittlungsknoten bestehen, denn der Vermittlungsknoten ist ja aus Sicht der Zentrale noch
erreichbar.
1
Der Vermittlungsknoten erfährt nichts über eine evtl. vorhandene Direktverbindung der Filiale an die Zentrale, er
kann also die Ziele im Netz der Filiale nicht über den Umweg der Zentrale erreichen.
1
Von der Zentrale aus ist über die reguläre VPN-Verbindung, sowohl das Netz des Vermittlungsknotens, als auch das
Netz der Filiale erreichbar. Über eine direkte VPN-Verbindung der Filiale in die Zentrale ist aber nur das Filialnetz
erreichbar. Der Router in der Zentrale kann aufgrund dieser unterschiedlichen Eigenschaften die direkte Verbindung
nicht als Backup für die reguläre Verbindung akzeptieren.
1
Die Filiale kann die reguläre Verbindung zum Vermittlungsknoten nicht mehr aufbauen, weil der Eindeutigkeitsgrundsatz
der IPsec-Regeln keine zweite Verbindung mit gleichem Regelsatz zulässt. Die IPSec-Regeln enthalten neben den
Angaben zur Verschlüsselung auch die sogenannten Netzbeziehungen, also die IP-Adressen der Netzwerke auf beiden
Seiten der Verbindung. Diese Netzbeziehungen dürfen nur einmal im VPN-Regelsatz vorkommen. Im Backupfall
müssten aber zwei Regeln für dieselbe Netzbeziehung existieren – einmal für die Backup-Verbindung und einmal für
die neu aufzubauende Hauptverbindung.
10.12.2 Backup-fähige Netzstruktur
Um auch für diese Anwendungen ein funktionsfähiges Backup aufbauen zu können, müssen die in den folgenden
Abschnitten beschriebenen Aspekte erfüllt sein.
Grundvorraussetzungen
Grundvoraussetzung für die hier beschriebene Backup-Funktion ist die Einrichtung einer "Dynamic VPN"-Verbindung
zwischen Filialen und Vermittlungsknoten sowie die Aktivierung der Funktionen "vereinfachten Einwahl mit Zertifikaten"
und "Gegenstelle die Auswahl des entfernten Netzes erlauben" in den VPN-Gateways der Zentrale.
Hierarchie beim VPN-Verbindungsaufbau
Damit die Filialen im Backup-Fall eine Verbindung zum Netz der Zentrale aufbauen können, muss eine definierte Hierarchie
für den Verbindungsaufbau eingehalten werden. Dabei werden die Verbindungen immer nur von den „unteren" zu den
„oberen" Netzen hergestellt, also von der Filiale zum Vermittlungsknoten, vom Vermittlungsknoten zur Zentrale.
Referenzhandbuch
10 Virtual Private Networks - VPN
667
Werbung
Inhaltsverzeichnis
