Windows Server 2008 Sicherheit – Die technische Referenz - Gattner

134 Kapitel 5: Firewall und Netzwerkzugriffsschutz
IPsec-Authentifizierung
Sicherheitszuordnungen werden mit dem IKE-Protokoll (Internet Key Exchange) ausgehandelt,
das wiederum drei andere Protokolle umfasst: ISAKMP, Oakley und SKEME. Über
IKE einigen sich die beiden Hosts, wie Authentifizierungsnachrichten aufgebaut und ausgetauscht
werden. (Die vollständigen Details sind recht komplex und würden den Umfang
dieses Kapitels sprengen.) Die Hosts können sich über eine Reihe unterschiedlicher Methoden
authentifizieren. Unter anderem stehen zur Wahl:
Kerberos Version 5 Falls beide Hosts in derselben Active Directory-Gesamtstruktur
liegen, können Sie Kerberos für die gegenseitige Authentifizierung einsetzen. Kerberos
ist ideal, wenn Sie keine Infrastruktur für öffentliche Schlüssel (Public Key Infrastructure,
PKI) haben und keine Vertrauensstellungen mit Hosts außerhalb Ihrer Gesamtstruktur
eingerichtet wurden.
Digitale Zertifikate Falls die Hosts Zugriff auf eine robuste PKI haben, können digitale
Zertifikate die ideale Authentifizierungsmethode sein. Windows XP und neuere Versionen
der Microsoft-Betriebssysteme unterstützen die automatisierte Verteilung von
Computerzertifikaten, was eines der größten Probleme beim Verwalten einer großen PKI
beseitigt: das Verteilen der Zertifikate. Solange jeder Host ein Zertifikat hat, das von
einer Zertifizierungsstelle (Certificate Authority, CA) signiert wurde, der der andere
Host vertraut, authentifizieren sie sich gegenseitig.
Vorinstallierte Schlüssel Unterstützung für vorinstallierte Schlüssel (engl. preshared
keys) ist nur enthalten, weil der IPsec-Standard es vorschreibt. Diese Methode ist eigentlich
nur sinnvoll, während Sie Ihre IPsec-Richtlinien entwickeln und testen. Jeder Host,
der Teil der Richtlinie ist, muss denselben Schlüssel haben. Genauso wie es unsinnig ist,
wenn mehrere Benutzer dasselbe Kennwort verwenden, ist es auch unsinnig, wenn mehrere
Computer denselben Schlüssel für die Authentifizierung einsetzen.
Weiter unten in diesem Abschnitt wird beschrieben, welche neuen Authentifizierungsfähigkeiten
Windows Server 2008 zur Verfügung stellt.
IPsec-Kommunikationsmodi
IPsec-Kommunikation findet in einem von zwei Modi statt: Transportmodus oder Tunnelmodus.
Der Transportmodus (engl. transport mode) wird verwendet, wenn Sie wollen, dass mehrere
Computer untereinander mit IPsec kommunizieren. In diesem Modus authentifizieren sich
die beiden Hosts in Phase 1 gegenseitig und einigen sich dann auf Signierungs- und Verschlüsselungsverfahren
für den Verkehr. Auch wenn der Name genau das Gegenteil zu behaupten
scheint, wird genau dieser Modus für L2TP-VPNs zwischen Remoteclient und
VPN-Server verwendet.
Der Tunnelmodus (engl. tunnel mode) eignet sich, um Standort-zu-Standort-Verbindungen
zu schützen, die ein nichtvertrauenswürdiges Netzwerk wie das Internet durchlaufen. Anders
ausgedrückt: Die beiden Hosts sind jeweils Gateways, die Verkehr zwischen den Standorten
weiterleiten. Im Gateway wird ausgehender Verkehr verschlüsselt und an das Remotegateway
gesendet, wo er entschlüsselt und über das interne Netzwerk an sein endgültiges Ziel
weitergeleitet wird.