20070304e NCP Engineering VPN Planung

 Home | News | Hefte | Mediadaten | Online-Artikel | Kommentare | Trends | Wir-ueber-uns | Tipps | Impressum | CeBIT 2012

»manage it« als

E-Paper  11-12 2011
E-Paper  9-10 2011
E-Paper  5-6 2011
E-Paper  3-4 2011
E-Paper  1-2 2011
E-Paper  11-12 2010
E-Paper  9-10 2010
E-Paper  7-8 2010
E-Paper  5-6 2010
 

Planung und Design eines virtuellen privaten Netzes

Gut geplant ist halb gewonnen

Virtual Private Networks (VPN) gehören heute zum guten Ton sicherer IT-Politik. Mit Einsatz der VPN-Technologie ist die Vision vom »mobilen Unternehmen« Realität geworden: Ein offenes und dennoch hochsicheres, unternehmensübergreifendes Datennetz auf Basis des Internet. Doch ein VPN will gut geplant sein. Aspekte wie Wirtschaftlichkeit, Universalität, Flexibilität, Benutzerfreundlichkeit, Management gilt es gründlich abzuwägen. Dieser Artikel soll Ihnen wichtige Entscheidungshilfen für die Planung Ihrer VPN-Investition geben.

usgangspunkt für die Implementierung eines VPN ist die Neuorganisation von Geschäfts- und Entscheidungsprozessen sowie die damit verbundene Dezentralisierung von Arbeitsplätzen. Es gilt nun, diese sensitiven Unternehmensdaten oder gar personenbezogene Daten gegenüber unberechtigten Dritten auf der Übertragungsstrecke zu schützen und den Zugriff auf entfernte Endgeräte (Festplatten beziehungsweise Speicher von PCs, Handhelds, Pocket PCs etc.) sowie das Firmennetz (Backdoor-Angriffe) zu verhindern. Doch »VPN ist nicht gleich VPN« – es gibt unterschiedliche Ansatzpunkte für dessen Realisierung. Im Fokus stehen ganzheitliche Lösungen gegenüber Insellösungen, das heißt eine durchgängige VPN-Infrastruktur für alle externen Datenübertragungen – Wireless LANs am Firmengelände inbegriffen.

Alternative VPN-Methoden und -Technologien

Wenn heute von Virtual Private Network gesprochen wird, dann meint man IP-gestützte VPNs. IP-VPNs werden heute häufig gleichgesetzt mit Internet-VPNs, da diese Methode die derzeit einfachste und preiswerteste und damit verbreitetste Lösung darstellt (im folgenden VPN genannt). Die alternativen, klassischen Technologien Frame Relay und ATM gelten zwar als zuverlässig, sind aber auf der Basis von Mietleitungen sehr teuer und unflexibel. Auf öffentliche Wählnetze und das Internet basierende VPNs hingegen sind flexibel und weltweit zu etablieren. Die Kosten sind bedarfsabhängig oder Flatrate. Faustregel: Im internationalen Datenverkehr liegen die Kosten für IP-Verbindungen etwa 70 Prozent unter denen der Frame Relay- und ATM-Verbindungen

Grundsätzlich werden die traditionellen IP-VPN-Technologien in Layer 2 und Layer 3 VPNs eingeteilt. Zu den Layer 2 VPNs gehören Protokolle wie L2F (Layer-2- Forwarding), L2TP (Layer-2-Tunneling-Protocol) und PPTP (Point-to-Point-Tunneling-Protocol). Für Layer 3 VPNs gilt IPSEC als Standard. Mit den genannten VPN-Technologien lassen sich End-to-Site und Site-to-Site VPNs einrichten. Layer 2 VPN-Standards beschreiben das Tunneling jedoch nicht die Verschlüsselung und die Authentifizierung. Als Folge davon werden zusätzliche Sicherheitsprotokolle benutzt. Beispiele sind EAP/MD5 , EAP/TLS und L2SEC. Grundsätzlich lassen Layer 2 VPNs Nutzdaten der verschiedensten Protokolle (IP;IPX,ATLK, etc.) zu.

Heutiger Standard für den Aufbau von IP-VPNs ist das IPSEC-Protokoll. Es spezifiziert Tunneling sowie Sicherheit und lässt nur Nutzdaten basierend auf IP zu. Eine IPSEC VPN-Architektur ist weitgehend unabhängig von VPN-Komponenten unterschiedlicher Hersteller. Zusätzlich zu den oben genannten Basistechnologien haben einige Hersteller Kombinationen auf den Markt gebracht. Als Beispiel hierfür seien die Microsoft Betriebssysteme genannt. Diese setzen ein Verfahren ein, das grundsätzlich L2TP geschützt von IPSEC nutzt (L2TP over IPSEC).

Alternativ zu den Layer 2- und Layer 3-Verfahren sind in den letzen Jahren VPN-Technologien entstanden, die nicht auf den traditionellen Verfahren basieren. Bekanntestes Beispiel sind SSL-VPNs. Bei dieser Technologie erfolgt die Verschlüsselung und Authentifizierung auf Anwendungsebene. Aufgrund dieser teilweisen Abhängigkeit auf Anwendungsebene  besteht die SSL VPN-Technologie aus mehreren verschiedenen Verfahren, basierend auf dem SSL-Protokoll. SSL VPNs können ausschließlich nur für End-to-Site Verbindungen (RAS) eingesetzt werden und erfordern SSL-fähige Applikationen.

Mit IP-VPN-Technologie können folgende Arten von VPNs aufgebaut werden:

-          Remote Access VPN (Remote Dial In) Zugriff mobiler und stationärer Mitarbeiter auf das Firmennetz

-          Branch Office VPN (Zweigstellenanbindung, Filialvernetzung), entspricht dem Site-to-Site VPN, Datenübertragung zwischen Niederlassungen und der Firmenzentrale.

-          Intranet-VPN

Nur Mitarbeiter des eigenen Unternehmens können auf das zentrale Datennetz zugreifen

-          Extranet-VPN

Eigene Mitarbeiter und ausgewählte Geschäftspartner haben Zugriff auf das zentrale Datennetz.

Planung

Die Entscheidung für die Einführung einer VPN-Lösung darf nicht nur den momentanen Bedarf in Betracht ziehen. Durch die rasante technologische Entwicklung (GSM, GPRS, UMTS, HSDPA, WIMAX, DSL, WLAN, WLAN-Hotspot) muss die Lösung zukunftsgerichtet sein. Genauso wenig darf der Kaufpreis der Hard- und Software alleiniges Entscheidungskriterium sein. Lösungen, die vordergründig mit relativ niedrigen Investitionskosten verbunden sind, erweisen sich im täglichen Betrieb im Regelfall als sehr kostenintensiv. So machen Hard- und Softwarekosten im Laufe eines Remote-Access-Betriebs (Planungszeitraum i.d.R. mindestens 3 Jahre) erfahrungsgemäß nur etwa 10 Prozent der Gesamtkosten aus. Der Löwenanteil sind Personal- und Betriebskosten eines VPN. Bei größeren Remote Access-VPN-Projekten gestalten sich Rollout und Betrieb von Tausenden von Rechnern oft schwieriger als erwartet. Daher reicht es in der Planungsphase nicht aus, nur einige Rechner im Labor oder bei wenigen versierten Usern zu konfigurieren um Erfahrungswerte für den Wirkbetrieb zu sammeln. Ergänzend bieten sich  Besuche von Unternehmen gleicher Größenordnung und Branche an, die bereits alternative VPN-Lösungen unterschiedlicher Hersteller nutzen, um deren Tauglichkeit für den Massenbetrieb einschätzen zu lernen.

Grundsätzliche Entscheidungskriterien für die Auswahl der richtigen VPN-Lösung sind: die Arbeitsweise (mobil oder stationär), die Arbeitsumgebung (Einzelplatz- oder vernetzter PC im LAN), die Kommunikationsbeziehungen (Dial In, Dial Out), die Kommunikationspartner (Mensch – Maschine, Maschine – Maschine) und die Betriebsweise (in Eigenregie oder über Dienstleister – Outsourcing).

Benutzer-Authentifizierung

In VPNs ist es nicht ausreichend, den Zugriff auf das Firmennetz per User-Namen und Passwort zu gestatten. State-of-the-Art Methoden der Authentifizierung sind Einmalpasswort-Tokens, Zertifikate als Softzertifikate, auf Smartcards oder anderen Formfaktoren wie Multi Media Cards (MMC) mit eigenem Kryptochip. Wichtig hierbei ist die transparente Integration beliebiger starker Authentifizierungsmechanismen in die VPN-Komponenten.

High Availability Services

In Remote Access-Projekten werden sehr hohe Anforderungen an die Verfügbarkeit der zentralen Kommunikationskomponenten gestellt. Der Zugriff auf Datenbestände und Ressourcen muss »rund um die Uhr« an 365 Tagen ununterbrochen garantiert sein. Eine VPN-Lösung sollte daher über High Availability Services verfügen, um ein Höchstmaß an Verfügbarkeit und Ausfallsicherheit der zentralen Systeme zu garantieren.

Management

Neben Performance, Skalierbarkeit und Sicherheit in ihren unterschiedlichen Facetten gehört die Administrierbarkeit zu den bedeutsamsten Auswahlkriterien eines Remote Access-VPN.  Fehlende Updates der Komponenten, mangelndes Rechte-Management oder eine versäumte Schlüsselaktualisierung machen auch ein zunächst sicher konzipiertes VPN angreifbar. Alle remote Komponenten (Clients und Gateways) gilt es zu administrieren und zu überwachen. Einrichten, Betrieb und Löschen von Usern müssen von einer einzigen Konsole realisierbar sein. Die Aufgabenstellung eines zentralen VPN-Managements ist vielschichtig. Es reicht über den automatischen Roll-out der Clientsoftware über die Softwareverteilung, den Remote Helpdesk, die Zertifikatsverwaltung sowie die Endpoint Security. Jeder Zugriff auf das Firmennetz muss sich sicherheitstechnisch überprüfen und protokollieren lassen. Dazu gehört auch eine grafisch übersichtliche Aufbereitung aller erfassten Daten für die Administratoren. Weitere Anforderungen an ein VPN Managementtool sind: Verwaltung von Clients unterschiedlicher Betriebssysteme (Linux, Windows XP/2000/CE...), Remote-Management über WAN-Verbindungen (DSL, ISDN, analog), Skalierbarkeit und Mandantenfunktionalität (z.B. strikte Trennungsmöglichkeit von verschiedenen Unternehmensbereichen).

Resümee

Sicherheitslösungen auf Basis der VPN-Technologie müssen sich daran messen lassen, ob sie wirklich in allen Remote Access-Umgebungen eine durchgängige Abdeckung aller dezentralen und zentralen Komponenten und Systeme bieten. Der Aufbau einer unternehmensweiten Sicherheitsarchitektur ist ein kontinuierlicher Prozess. Anpassungen an geänderte Anforderungen oder die sofortige Reaktion auf neue Bedrohungen müssen auf Basis der installierten Sicherheitslösung kurzfristig möglich sein. Vor allem aber muss eine VPN-Lösung in der Lage sein, eine vorhandene heterogene IT-Infrastruktur zu überlagern, um somit bereits getätigte Investitionen zu schützen.

Jörg Hirschmann

___________________________________________________________

Jörg Hirschmann ist Leiter Technik/Services bei der NCP engineering GmbH

Folgen Sie »manage it« auf Google+

Copyright © 2003-2012  ap Verlag GmbH