The Cable Guy – Februar 2005

Von The Cable Guy

Alle verfügbaren Cable Guy-Kolumnen finden Sie hier.

Auf dieser Seite

	Einleitung
	Berechnung der Gewichtung von IPSec-Filtern
	Mehrere Einträge mit gleicher Gewichtung
	In Konflikt stehende IPSec-Filter
	Beispiele zu IPSec-Filtern
	Zusätzliche Informationen

Einleitung

IPSec (Internet Protocol Security) ist eine Sammlung offener Standards, mit der anhand von Kryptografiediensten eine private und sichere Kommunikation über IP-Netzwerke (Internet Protocol) erreicht werden kann. Einen Überblick zu IPSec und dessen Unterstützung unter Microsoft® Windows Server™ 2003 finden Sie im Whitepaper Internet Protocol Security for Microsoft Windows Server 2003.

Um IPSec unter Windows® zu nutzen, muss eine IPSec-Richtlinie erstellt und zugewiesen werden. Eine IPSec-Richtlinie ist ein Satz von Konfigurationsregeln, die folgendes definieren:

Jede Regel verbindet eine IP-Filterliste (der betroffene Netzwerkverkehr) mit einer Filteraktion (was soll mit dem Netzwerkverkehr passieren). Sie können zum Beispiel eine IPSec-Richtlinie mit den folgenden drei Regeln definieren:

Mit dieser einfachen Richtlinie erreichen Sie folgendes:

Es gibt keine fest vorgegebene Reihenfolge für IPSec-Richtlinien. In unserer Beispielrichtlinie werden die Regeln nur als A, B und C bezeichnet, damit wir sie unterscheiden können. Trotzdem muss es natürlich eine Möglichkeit geben, um Netzwerkverkehr, der von mehreren Richtlinien betroffen ist, zu verarbeiten. Bei unserer Beispielrichtlinie ist zum Beispiel ein von einem Computer im gleichen Subnetz eingehendes Paket sowohl von Regel A (von jede IP-Adresse) als auch von Regel B (von jeder Adresse mit dem Prefix des Intranets) betroffen. Ein solche Paket kann natürlich nicht gleichzeitig blockiert (Regel A) und zugelassen (Regel B) sein.

Um die auf eingehenden und ausgehenden Netzwerkverkehr anzuwendende Regel festzulegen - und somit auch die entsprechenden Aktionen - leitet der IPSec-Richtlinienagent eine IPSec-Filterliste aus den Regeln der zugewiesenen IPSec-Richtlinie ab. Diese IPSec-Filterliste unterscheidet sich von der IP-Filterliste, die in der IPSec-Richtlinie konfiguriert ist (bitte achten Sie auf den Unterschied in der Namensgebung: IPSec-Filterliste und IP-Filterliste). Sie ist das Ergebnis der gesamten Richtlinienkonfiguration und beschreibt den genauen Satz des betroffenen Netzwerkverkehrs und dessen Handhabung.

Von Regel C unserer Beispielrichtlinie leitet der IPSec-Richtlinienagent zum Beispiel für einen Computer mit nur einer IP-Adresse die folgenden sechs Einträge für die IPSec-Filterliste ab:

Nachdem der Richtlinienagent die komplette IPSec-Filterliste erstellt hat, übermittelt er diese an den IPSec-Treiber - der IPSec-Komponente, die den gesamten aus- und eingehenden Netzwerkverkehr verarbeitet.

Mit dem Snap-In IP-Sicherheitsmonitor können Sie sich die gesamte IPSec-Filterliste anzeigen lassen (unter Windows XP und Windows Server 2003). Gehen Sie hierzu folgendermaßen vor:

Um die IPSec-Filterliste anzuzeigen, müssen Sie die Knoten Hauptmodus und Schnellmodus öffnen. Im Knoten Hauptmodus können Sie unter Spezialfilter die Filter der IPSec-Filterliste finden, für die Sicherheit erforderlich ist. Unter dem Knoten Schnellmodus finden Sie unter Spezialfilter alle Filter der IPSec-Filterliste. In der folgenden Abbildung sehen Sie ein Beispiel hierfür.

Außerdem gibt es unter den Knoten Hauptmodus und Schnellmodus jeweils einen Knoten Standardfilter. Standardfilter werden von den IP-Filtern abgeleitet, die die Option Eigene IP-Adresse als Quell- oder Zieladresse verwenden. Sie werden auf Grundlage der IP-Adresse des Computers zu Spezialfiltern erweitert.

Zum Seitenanfang

Berechnung der Gewichtung von IPSec-Filtern

Die IPSec-Filterliste wird auf Basis eines vom IPSec-Richtlinienagenten berechneten Gewichtungswertes sortiert - der Eintrag mit dem höchsten Wert steht hierbei ganz oben. Wenn ein aus- oder eingehendes Paket verarbeitet wird, dann sucht der IPSec-Treiber in der IPSec-Filterliste nach dem ersten Eintrag, bei dem Adresse, Port und IP-Protokolltyp dem Paket entsprechen. Die für diesen Eintrag definierte Aktion (zulassen, blockieren oder gesichert) wird dann angewandt.

Die Hauptparameter, mit deren Hilfe die Gewichtung berechnet wird, sind:

Diese Parameter können bei der Erstellung von IP-Filtern definiert werden.

Die Gewichtung basiert darauf, wie spezifisch der ursprünglich definierte IP-Filter ist. Sehr spezifische IP-Filter führen zu IPSec-Filtern mit hoher Gewichtung. Die höchste Gewichtung erreicht ein IP-Filter, in dem alle sieben oben genannten Parameter definiert wurden.

Für unser Beispiel bedeutet das: Ein eingehendes Paket von einem Computer aus dem gleichen Subnetz entspricht Regel A (von jeder IP-Adresse) und Regel B (von einer Adresse mit dem im Subnetz verwendeten Prefix). Da der von Regel B abgeleitete IPSec-Filter spezifischer ist als der von Regel A abgeleitete, wird ein eingehendes Paket nach Regel B verarbeitet (zugelassen).

In der folgenden Tabelle sehen Sie die vom Richtlinienagent berechnete Gewichtung von IPSec-Filtern.

Außerdem haben die folgenden Punkte Auswirkungen auf die Gewichtung:

Die Verarbeitung von Netzwerkverkehr durch IPSec (es wird immer der IPSec-Filter verwendet, der dem Netzwerkverkehr am genausten beschreibt) entspricht der Arbeitsweise von Routingtabellen. Eine Routingtabelle enthält eine Liste mit Einträgen für bestimmte Ziele. Einige Ziele sind sehr genau definiert und andere eher allgemein. Eine Hostroute ist zum Beispiel eine Route zu einer eindeutigen IP-Adresse. Eine Standardroute ist eine Route, die für jede IP-Adresse gilt. Bei der Weiterleitung eines IP-Pakets sucht ein IP-Router den Eintrag aus seiner Routingtabelle, der die Zieladresse am genausten beschreibt.

Zum Seitenanfang

Mehrere Einträge mit gleicher Gewichtung

In einigen Fällen haben verschiedene IPSec-Filter die gleiche Gewichtung. Dies passiert zum Beispiel, wenn zwei Filter die gleichen Parameter verwenden, aber für unterschiedliche Arten von Netzwerkverkehr gültig sind. Aber auch hier entspricht ein Paket in den meisten Fällen nur einem einzigen IPSec-Filter.

Zum Seitenanfang

In Konflikt stehende IPSec-Filter

Solche Filter enthalten die gleichen Werte für Adresse, Port und IP-Protokoll, definieren aber unterschiedliche Filteraktionen. Ein Filter könnte den Netzwerkverkehr zum Beispiel zulassen, und der andere blockiert ihn. In diesem Fall wird der restriktivste Filter angewandt. Die Filteraktion "Blockieren" ist restriktiver als "Sicher", die wiederum restriktiver als "Zulassen" ist.

Zum Seitenanfang

Beispiele zu IPSec-Filtern

Um zu zeigen, wie die IPSec-Filterliste festgelegt wird, möchten wir unsere weiter oben besprochene Beispielrichtlinie um die folgenden Informationen erweitern:

Auf Basis dieser Konfiguration berechnet der Richtlinienagent die in der folgenden Tabelle zu sehende IPSec-Filterliste.

Wir können aus diesem Beispiel folgendes ableiten:

Zum Seitenanfang

Zusätzliche Informationen

Weitere Informationen zu IPSec unter Windows finden Sie unter:

Zum Seitenanfang