Das Konzept des virtuellen privaten Netzes

Die lokalen Unternehmensnetzwerke (LAN oder RLE) sind Organisationsinterne Netzwerke, d. h. dass die Verbindungen zwischen Maschinen der Organisation gehören. Diese Netzwerke sind zunehmend an Internet angeschlossen, über Zusammenschaltungsausstattungen. Es kommt häufig vor, dass Unternehmen das Bedürfnis verspüren mit Filialen, Kunden oder sogar Mitarbeitern zu kommunizieren, die geographische entfernt sind, und dies über Internet

Allerdings sind die Daten die über Internet übertragen werden sehr viel anfälliger als solche die in einem Organisationsinterem Netz verkehren, denn der gewählte Weg ist nicht im Vorab bestimmt. Das bedeutet, dass die Daten eine öffentliche Netzinfrastruktur benutzen, die verschiedenen Anbietern gehört. So ist es nicht unmöglich, dass das Netz unterwegs abgehört wird - von einem neugierigen Benutzer, oder sogar umgelenkt. Es ist also unter diesen Umständen nicht vorstellbar sensible Informationen für die Organisation oder das Unternehmen zu übertragen.

Die erste Lösung um dieses Bedürfnis nach sicherer Kommunikation zu befriedigen, besteht darin voneinander entfernte Netze mit spezialisierten Verbindungen zu verbinden. Allerdings können die meisten Unternehmen es sich nicht leisten, zwei voneinader entfernte Ortsnetze mit einer Spezialleitung zu verbinden, und es ist manchmal notwendig Internet als Übertragungsmittel zu benutzen.

Ein guter Kompromiß ist die Benutzung von Internet als Übertragungsmittel, unter Verwendung eines Protokolls zur"encapsulation" (auf Englisch tunneling, daher manchmal der unrichtige Gebrauch des Begriffs"tunnelisation"), d.h. Verkapselung der zu übertragenden Daten in Zahlen. Man spricht in dem Fall von einem virtuellen privaten Netz (geschrieben RPV oder VPN, Akronym von Virtual Private Network) um dieses künstlich geschaffene Netz zu bezeichnen.
Dieses Netz wird virtuell genannt da es zwei "materielle" Netze (Ortsnetze) mit einer nicht zuverlässigen Verbindung (Internet) verbindet, und privat da nur die Computer der Ortsnetze auf beiden Seiten des VPN die Daten "sehen" können.

Das VPN-System ermöglicht es also eine geschützte Verbindung zu niedrigen Kosten herzustellen, abgesehen von der Umsetzung der Endausstattungen. Andererseits kann es keine Servicequalität sicherstellen, die mit der einer gepachteten Leitung vergleichbar ist, da das materielle Netz öffentlich, und damit nicht garantiert ist.

Funktionsweise eines VPN

Ein virtuelles privates Netz basiert auf einem Protokoll, genannt Tunneling Protokoll (tunneling), d.h. ein Protokoll welches die Daten, die von einem Ende des VPN zu anderen übertragen werden, mit cryptographischen Algorithmen absichert.

Der Begriff "tunnel" wird verwendet um die Tatsache zu symbolisieren, dass die Daten zwischen dem Eingang und dem Ausgang chiffriert (verschlüsselt) werden und damit unverständlich sind für alle Personen die sich zwischen den beiden Enden des VPN befinden, so als ob die Daten durch einen Tunnel geleitet würden. Im Falle eines VPN welches zwischen zwei Maschinen erstellt ist, nennt man VPN Client das Element, mit dem man Seitens des Benutzers (Client) die Daten ver- und entschlüsseln kann, und Server VPN (oder allgemeiner entfernter Zugangsserver) das Daten ver- und entschlüsselnde Element Seitens der Organisation.

Wenn also ein Benutzer Zugang zu dem virtuellen privaten Netz braucht so wird seine Anfrage in Klarschrift dem Überführungssystem übermittelt, welches sich ins entfernte Netz über eine öffentliche Netzinfrastruktur einlogt, und dann die Anfrage in verschlüsselter Form weiterleitet. Der entfernte Computer liefert dann die Daten dem VPN-Server aus seinem Ortsnetz, welches eine verschlüsselte Antwort übermittelt. Bei Empfang auf dem Client VPN des Benutzers, werden die Daten entschlüsselt und dann an den Benutzer weiter geleitet.... l

Die Tunneling-Protokolle

Die wichtigsten Tunneling-Protokolle sind folgende :

• PPTP (Point-to-Point Tunneling Protocol) ist ein Protokoll von Niveau 2 entwickelt durch Microsoft, 3Com, Ascend, US Robotics und ECI Telematics.
• L2F (Layer Two Forwarding) ist ein Protokoll von Niveau 2 entwickelt durch Cisco, Northern Telecom und Shiva. Es ist heutzutage zu gut wie veraltet
• L2TP (Layer Two Tunneling Protocol) ist das Ergebnis der Arbeiten von IETF (RFC 2661) um die Funktionalitäten von PPTP und L2F zu vereinen. Es handelt sich so um ein Protokoll von Niveau 2 basierend auf PPP.
• IPSec ist ein Protokoll von Niveau 3, Ergebnis der Arbeiten vonIETF, das es ermöglicht verschlüsselte Daten über IP-Netze zu transportieren.

Das Protokoll PPTP

Das Prinzip des PPTP-Protokolls (Point To Point Tunneling Protocol) besteht darin Raster unter dem Protokoll PPP zu schaffen und diese in einem Datagramme IP zu verkapseln.

In dieser Anschlußart sind die entfernten Maschinen der zwei Ortsnetze über eine Punkt zu Punkt- Verbindung verbunden (inbegriffen ein Verschlüsselungs- und Authentifizierungssystem, und das Paket durchquert ein Datagramme IP.

Auf diese Weise werden die Daten des Ortsnetzes (sowie die Adressen der Maschinen in der Kopfzeile der Nachricht) in einer PPP - Nachricht verkapselt, die selber in einer IP-Nachricht verkapselt ist.

Das L2TP-Protokoll

Das L2TP-Protokoll ist ein Tunneling-Standardprotokoll (standardisiert in einem RFC) dem PPTP sehr nahe. So verkapselt das L2TP-Protokoll PPP-Protokoll-Raster, welche selber andere Protokolle verkapseln (wie IP, IPX oder NetBIOS).

Das IPSec-Protokoll

IPSec ist ein vonIETF definiertes Protokoll das es ermöglicht die Austausche auf der Ebene der Netzschicht zu sichern. Es handelt sich tatsächlich um ein Protokoll das Verbesserungen hinsichtlich der Sicherheit des IP-Protokoll mit sich bringt um so die Vertraulichkeit, die Vollständigkeit und die Authentifizierung der Austausche zu garantieren.

Das IPSec-Protokoll basiert auf drei Modulen :

• IP Authentification Header (AH) betrifft die Vollständigkeit, die Authentifizierung und den Schutz gegen Abspiel. der zu verschlüsselnden Paket
• Encapsulating Security Payload (ESP) definiert die Verschlüsselung der Pakete. ESP liefert die Vertraulichkeit, die Vollständigkeit, die Authentifizierung und den Schutz gegen Abspiel.
• Security Assocation (SA) definiert den Tausch der Schlüssel und der Sicherheitsparameter. Die SA sammeln so alle Informationen über die Behandlung der IP-Pakete (die Protokolle AH und/oder ESP, Tunneling oder Transport Modus, die von den Protokollen verwendeten Sicherheitsalgorithmen, die verwendeten Schlüssel,...). Der Austausch der Schlüssel wird entweder manuel vorgenommen, oder mit dem Austausch-Protokoll IKE (meistens), bei dem sich die beiden Parteien über die SA verständigen können.