Anzeige der Artikel nach Schlagwörtern: SitetoSite

Site-to-Site IPsec VPNs

Site-to-Site-VPNs werden verwendet, um Netzwerke ber ein anderes, nicht vertrauenswrdiges Netzwerk wie das Internet zu verbinden. In einem Site-to-Site-VPN senden und empfangen die End-Hosts normalen unverschlsselten TCP/IP-Verkehr ber ein VPN-Endgert. Das VPN-Abschlussgert wird normalerweise als VPN-Gateway bezeichnet. Ein VPN-Gateway-Gert knnte ein Router oder eine Firewall sein.

Das VPN-Gateway kapselt und verschlsselt den ausgehenden Datenverkehr fr den gesamten Verkehr von einem bestimmten Standort. Anschlieend sendet es den Datenverkehr durch einen VPN-Tunnel ber das Internet zu einem VPN-Gateway am Zielstandort. Beim Empfang entfernt das empfangende VPN-Gateway die Header, entschlsselt den Inhalt und leitet das Paket an den Zielhost innerhalb seines privaten Netzwerks weiter.

Site-to-Site-VPNs werden in der Regel mit IP-Sicherheit (IPsec) erstellt und gesichert.

GRE over IPsec

Generic Routing Encapsulation (GRE) ist ein nicht sicheres Site-to-Site VPN-Tunneling-Protokoll. Es kann verschiedene Netzwerkschichtprotokolle kapseln. Es untersttzt auch Multicast- und Broadcast-Verkehr, was erforderlich sein kann, wenn die Organisation Routing-Protokolle fr den Betrieb ber ein VPN bentigt. GRE untersttzt jedoch standardmig keine Verschlsselung und bietet daher keinen sicheren VPN-Tunnel.

Ein Standard-IPsec-VPN (Nicht-GRE) kann nur sichere Tunnel fr Unicast-Verkehr erstellen. Daher werden Routing-Protokolle keine Routing-Informationen ber ein IPsec-VPN austauschen.

Um dieses Problem zu lsen, knnen Sie den Verkehr des Routing-Protokolls mit einem GRE-Paket einkapseln und dann das GRE-Paket in ein IPsec-Paket einkapseln, um es sicher an das Ziel-VPN-Gateway weiterzuleiten.

Die zur Beschreibung der Einkapselung von GRE ber einen IPsec-Tunnel verwendeten Begriffe sind Passagierprotokoll, Trgerprotokoll und Transportprotokoll.

• Passagierprotokoll - Dies ist das ursprngliche Paket, das von GRE gekapselt werden soll. Es knnte ein IPv4- oder IPv6-Paket, ein Routing-Update und mehr sein.
• Trgerprotokoll - GRE ist das Trgerprotokoll, das das ursprngliche Passagierpaket einkapselt.
• Transportprotokoll - Dies ist das Protokoll, das tatschlich zur Weiterleitung des Pakets verwendet wird. Dies kann IPv4 oder IPv6 sein.

Beispielsweise mchten eine Topologie, eine Zweigstelle und ein Hauptquartier OSPF-Routing-Informationen ber ein IPsec-VPN austauschen. IPsec untersttzt jedoch keinen Multicast-Verkehr. Daher wird GRE ber IPsec verwendet, um den Routing-Protokollverkehr ber das IPsec-VPN zu untersttzen. Konkret wrden die OSPF-Pakete (d.h. das Passagierprotokoll) durch GRE (d.h. das Trgerprotokoll) eingekapselt und anschlieend in einem IPsec-VPN-Tunnel eingekapselt werden.

Eine Topologie, ein Branch-Router und ein HQ-Router tauschen daher OSPF-Routing-Informationen ber ein IPsec-VPN aus. Ein Switch ist mit dem Branch-Router verbunden und derBranch-Router ist ber das Internet ber einen IPsec-VPN-GRE-Tunnel mit dem HQ-Router verbunden. Der HQ-Router ist mit einem Switch und der Switch ist mit einem E-Mail-Server verbunden.

Um das ganze Geschehen und die Komplexitt dieses Vorgangs zu erfassen, empfiehlt es sich Wireshark zu benutzen, um den Netzwerkverkehr nachzuverfolgen und zu verstehen. 

Dynamische Mehrpunkt-VPNs

Site-to-Site-IPsec-VPNs und GRE ber IPsec sind ausreichend, wenn es nur wenige Standorte gibt, die sicher miteinander verbunden werden knnen. Sie sind jedoch nicht ausreichend, wenn das Unternehmen viele weitere Standorte hinzufgt. Dies liegt daran, dass jeder Standort statische Konfigurationen zu allen anderen Standorten oder zu einem zentralen Standort erfordern wrde.

Dynamic Multipoint VPN (DMVPN) ist eine Softwarelsung von Cisco fr den Aufbau mehrerer VPNs auf einfache, dynamische und skalierbare Weise. Wie andere VPN-Typen basiert DMVPN auf IPsec, um einen sicheren Transport ber ffentliche Netzwerke, wie z. B. das Internet, zu gewhrleisten.

DMVPN vereinfacht die Konfiguration des VPN-Tunnels und bietet eine flexible Mglichkeit, einen zentralen Standort mit Zweigstellen zu verbinden. Es verwendet eine Hub-and-Spoke-Konfiguration zum Aufbau einer vollstndigen Mesh-Topologie. Spoke-Standorte bauen sichere VPN-Tunnel mit dem Hub-Standort auf.