TCP/IP-Grundlagen für Microsoft Windows
Kapitel 13 – Internet Protocol Security (IPsec) und Paketfilterung
Zusammenfassung In diesem Kapitel wird die Unterstützung von IPsec (Internet Protocol Security) und IP-Paketfilterung unter den Betriebssystemen Microsoft® Windows Server™ 2003 und Windows® XP beschrieben. IPsec ermöglicht kryptografischen Schutz für Nutzlasten von IP-Paketen. Mit der Paketfilterung kann festgelegt werden, welche Typen von Paketen empfangen oder verworfen werden. Ein Netzwerkadministrator muss mit IPsec, der Paketfilterung und deren Auswirkungen auf den IP-Netzwerkverkehr vertraut sein, um die Netzwerksicherheit zu konfigurieren und Verbindungsprobleme zu beheben. Auf dieser Seite
ZielsetzungNach dem Lesen dieses Kapitels werden Sie zu Folgendem in der Lage sein:
Übersicht über IPsec und PaketfilterungDas Internet wurde ursprünglich für die nicht geschützte Kommunikation miteinander verbundener Computer entworfen. Heute jedoch stellt das Internet eine feindliche Netzwerkumgebung dar. Mit dem Internet verbundene Computer müssen vor böswilligen Benutzern und Programmen geschützt werden, die versuchen, die Ressourcen auf dem Computer unbrauchbar zu machen, zu steuern oder unberechtigt auf diese zuzugreifen. Auch private Intranets können von böswilligen Benutzern oder Programmen betroffen sein. Sowohl im Internet als auch in einem privaten Intranet sollten vertrauliche Daten vor dem Versenden kryptografisch geschützt werden. In manchen Fällen sind Sie von Rechts wegen dazu verpflichtet, im Netzwerk gesendete Daten kryptografisch zu schützen. Um Datenverkehr zu schützen oder unerwünschten Datenverkehr zu verhindern, stellen Windows Server 2003 und Windows XP die folgenden Technologien bereit:
In diesem Kapitel werden diese beiden Technologien und deren Unterstützung unter Windows Server 2003 und Windows XP beschrieben. IPSecDie ursprünglichen Standards der TCP/IP-Protokollsuite wurden nicht zum Schutz von IP-Paketen entwickelt. In der Standardeinstellung können IP-Pakete einfach interpretiert, geändert, wiedergegeben und gefälscht werden. Ohne Schutz von IP-Paketnutzlasten sind sowohl öffentliche als auch private Netzwerke anfällig für nicht autorisierte Überwachung und nicht autorisierten Zugriff. Während interne Angriffe das Ergebnis einer minimalen oder nicht vorhandenen Intranetsicherheit sein können, sind die Gefahren für ein privates Netzwerk von außen sowohl auf Verbindungen mit dem Internet als auch mit Extranets zurückzuführen. Für den Zugriff auf Netzwerkressourcen erforderliche Kennwörter, beispielsweise Berechtigungen für einen freigegebenen Ordner, bieten keinen Schutz für im Netzwerk übertragene Daten. IPsec ist die langfristige Lösung für geschützte, IP-basierte Netzwerke auf Grundlage von Standards. Das Framework stellt in privaten Netzwerken und im Internet die wichtigste Verteidigungslinie gegen Angriffe dar und verbindet einfache Bereitstellung mit einem leistungsfähigen Sicherheitssystem. IPsec verfolgt zwei Ziele:
Beide Ziele werden mithilfe von kryptografiebasierten Datenschutzdiensten, Sicherheitsprotokollen und dynamischer Schlüsselverwaltung erreicht. Diese Grundlagen bieten die erforderliche Leistungsfähigkeit und Flexibilität zum Schutz der Kommunikation zwischen privaten Netzwerkcomputern, Domänen, Sites, Remotesites, Extranets und DFÜ-Clients. Darüber hinaus können Sie IPsec verwenden, um den Empfang oder die Übertragung bestimmer Typen von Datenverkehr zu sperren. IPsec basiert auf einem End-to-End-Sicherheitsmodell. Lediglich Computer, die Daten senden oder empfangen, müssen IPsec unterstützen. Auf diesen Computern werden Sicherheitsmaßnahmen ergriffen unter der Annahme, dass das Kommunikationsmedium nicht geschützt ist. Computer, die lediglich Daten von der Quelle zum Ziel weiterleiten, müssen IPsec nicht unterstützen. Sie müssen jedoch in der Lage sein, IPsec-Datenverkehr weiterzuleiten. Sicherheitseigenschaften der durch IPsec geschützten KommunikationIPsec stellt die folgenden Sicherheitseigenschaften zum Schutz der Kommunikation bereit:
IPsec-ProtokolleIPsec stellt Sicherheitsdienste bereit, indem die Nutzlast eines IP-Pakets mit einem zusätzlichen Header oder Nachspann versehen wird. Dieser Header oder Nachspann enthält die Informationen für Datenursprungsauthentifizierung, Datenintegrität, Vertraulichkeit der Daten und zum Schutz vor Replay-Angriffen. Die folgenden IPsec-Header stehen zur Verfügung:
Durch den AH- bzw. ESP-Header und den jeweiligen Nachspann wird das IP-Paket in ein geschütztes Paket umgewandelt. Die Sicherheitsparameter zum Schutz des Datenverkehrs umfassen beispielsweise die Verwendung von AH oder ESP sowie Verschlüsselungstypen und Authentifizierungsalgorithmen. Um den verwendeten Satz von Sicherheitsparametern auszuhandeln, nutzen IPsec-Peers das IKE-(Internet Key Exchange-)Protokoll. IPsec-ModiIPsec unterstützt zwei Modi, durch die die Umwandlung des ursprünglichen IP-Pakets in ein geschütztes Paket beschrieben wird: den Transportmodus und den Tunnelmodus. TransportmodusIm Transportmodus wird eine IP-Nutzlast mithilfe eines AH- oder ESP-Headers geschützt. Typische IP-Nutzlasten sind TCP-Segmente (die einen TCP-Header und TCP-Segmentdaten enthalten), UDP-Nachrichten (die einen UDP-Header und UDP-Nachrichtendaten enthalten) und ICMP-Nachrichten (die einen ICMP-Header und ICMP-Nachrichtendaten enthalten). AH bietet im Transportmodus Datenursprungsauthentifizierung, Datenintegrität und Anti-Replay für das gesamte Paket (sowohl für den IP-Header als auch die mit dem Paket übertragene Datennutzlast, mit Ausnahme von Feldern im IP-Header, die bei der Übertragung geändert werden müssen). Diese Art des Datenschutzes bietet keine Vertraulichkeit, d. h., die Daten werden nicht verschlüsselt. Die Daten können gelesen, jedoch nicht ohne weiteres geändert oder imitiert werden. AH verwendet für die Paketintegrität Schlüsselhashalgorithmen. Wenn beispielsweise Computer A Daten an Computer B sendet, werden der IP-Header, der AH-Header und die IP-Nutzlast durch Datenintegrität und Datenursprungsauthentifizierung geschützt. Computer B kann sicherstellen, dass Computer A das Paket tatsächlich gesendet hat und das Paket während der Übertragung nicht geändert wurde. AH wird im IP-Header mit der IP-Protokoll-ID 51 gekennzeichnet. Sie können AH eigenständig oder in Kombination mit ESP verwenden. Der AH-Header enthält ein Feld für den Sicherheitsparameterindex (SPI), das IPsec zusammen mit der Zieladresse und dem Sicherheitsprotokoll (AH oder ESP) verwendet, um die korrekte Sicherheitszuordnung (SA – Security Association) für die Kommunikation zu kennzeichnen. Beim Empfänger verwendet IPsec den SPI-Wert, um zu ermitteln, mit welcher SA das Paket gekennzeichnet ist. Um Replay-Angriffe zu verhindern, enthält der AH-Header ein Feld für die Sequenznummer. Ein Feld für Authentifikationsdaten im AH-Header enthält den Integritätsprüfwert (ICV – Integrity Check Value), auch bekannt als Nachrichtenauthentifizierungscode, der sowohl zum Überprüfen der Datenintegrität als auch der Datenursprungsauthentifizierung verwendet wird. Der Empfänger berechnet den ICV und vergleicht diesen Wert mit dem ICV im AH-Header (der vom Sender berechnet wird), um die Integrität zu überprüfen. Der ICV wird über den IP-Header, den AH-Header und die IP-Nutzlast berechnet. AH authentifiziert das gesamte Paket zwecks Datenintegrität und Datenursprungsauthentifizierung, mit Ausnahme einiger Felder im IP-Header, die möglicherweise während der Übertragung geändert werden (beispielsweise die Felder für die Gültigkeitsdauer und die Prüfsumme). In Abbildung 13-1 wird das ursprüngliche IP-Paket dargestellt, und wie dieses durch AH im Transportmodus geschützt wird. ESP im Transportmodus bietet (neben Datenursprungsauthentifizierung, Datenintegrität und Anti-Replay) Vertraulichkeit für eine IP-Paketnutzlast. ESP im Transportmodus authentifiziert nicht das gesamte Paket. Nur die IP-Nutzlast (und nicht der IP-Header) wird geschützt. Sie können ESP eigenständig oder in Kombination mit AH verwenden. Beispiel: Computer A sendet Daten an Computer B. Die IP-Nutzlast wird verschlüsselt und authentifiziert. Beim Empfang der Daten überprüft IPsec die Datenintegrität und Datenursprungsauthentifizierung und entschlüsselt die Nutzlast. ESP wird im IP-Header mit der IP-Protokoll-ID 50 gekennzeichnet. ESP besteht aus einem ESP-Header, der vor der IP-Nutzlast eingefügt wird, und einem ESP- und Authentifizierungsdatennachspann, der hinter der IP-Nutzlast eingefügt wird. Ebenso wie der AH-Header enthält der ESP-Header Felder für SPI und Sequenznummer. Das Feld für die Authentifikationsdaten im ESP-Nachspann dient der Nachrichtenauthentifizierung sowie der Integrität des ESP-Headers, der Nutzlastdaten und des ESP-Nachspanns. In Abbildung 13-2 wird das ursprüngliche IP-Paket dargestellt, und wie dieses durch ESP geschützt wird. Im authentifizierten Bereich des Pakets wird angegeben, welcher Teil des Pakets zwecks Datenintegrität und Datenursprungsauthentifizierung geschützt wird. Im verschlüsselten Teil des Pakets wird angegeben, welche Informationen vertraulich sind. Der IP-Header ist weder authentifiziert noch vor Änderungen geschützt. Um Datenintegrität und Datenursprungsauthentifizierung für den IP-Header zu gewährleisten, müssen Sie ESP und AH verwenden. TunnelmodusIm Tunnelmodus wird das gesamte IP-Paket geschützt, indem es als AH- oder ESP-Nutzlast behandelt wird. Ein IP-Paket wird im Tunnelmodus mit einem AH- oder ESP-Header und einem zusätzlichen IP-Header gekapselt. Die IP-Adressen des äußeren IP-Headers sind die Tunnelendpunkte, und die IP-Adressen des gekapselten IP-Headers sind die ursprüngliche Quelladresse und endgültige Zieladresse. Wie in Abbildung 13-3 dargestellt, kapselt der AH-Tunnelmodus ein IP-Paket mit einem AH-Header und einem IP-Header und authentifiziert das gesamte Paket zwecks Datenintegrität und Datenursprungsauthentifizierung. Wie in Abbildung 13-4 dargestellt, kapselt der ESP-Tunnelmodus ein IP-Paket mit einem ESP-Header, einem IP-Header und einem ESP-Authentifizierungsnachspann. Da dem Paket zum Tunneln ein neuer Header hinzugefügt wird, werden alle Daten hinter dem nun im getunnelten Paket gekapselten ESP-Header authentifiziert (mit Ausnahme des ESP-Felds für die Authentifikationsdaten). Der ursprüngliche Header wird hinter den ESP-Header platziert. Vor der Verschlüsselung wird an das gesamte Paket ein ESP-Nachspann angefügt. Alle Daten hinter dem ESP-Header werden verschlüsselt. Diese Daten umfassen den ursprünglichen Header, der nun Teil des Datenbereichs des Pakets ist, jedoch nicht das ESP-Feld für die Authentifikationsdaten. Die gesamte ESP-Nutzlast wird anschließend in einen neuen, nicht verschlüsselten IP-Header gekapselt. Die Informationen im neuen IP-Header werden nur verwendet, um das Paket an den Tunnelendpunkt weiterzuleiten. Beim Senden des Pakets über ein öffentliches Netzwerk wird das Paket zur IP-Adresse des Tunnelservers für das Empfangsintranet weitergeleitet. In den meisten Fällen wird das Paket an einen Intranetcomputer gesendet. Der Tunnelserver entschlüsselt das Paket, löscht den ESP-Header und verwendet den ursprünglichen IP-Header, um das Paket an den Zielintranetcomputer weiterzuleiten. Im Tunnelmodus können Sie ESP mit AH kombinieren und sowohl Vertraulichkeit für das getunnelte IP-Paket als auch Datenintegrität und Datenursprungsauthentifizierung für das gesamte Paket gewährleisten. AushandlungsphasenBevor zwei Computer geschützte Daten austauschen können, müssen diese einen Vertrag aushandeln. In diesem Vertrag, Sicherheitszuordnung (SA) genannt, wird festgehalten, auf welche Weise Informationen geschützt werden. Eine SA ist eine Kombination aus ausgehandeltem Verschlüsselungsschlüssel, Sicherheitsprotokoll und SPI. Die Sicherheitszuordnung definiert das Sicherheitssystem, mit dem die Kommunikation zwischen Sender und Empfänger geschützt wird. Der SPI ist ein eindeutiger Identifizierungswert in der SA, der der Unterscheidung zwischen mehreren SAs auf dem Empfangscomputer dient. Beispielsweise können mehrere SAs vorhanden sein, wenn ein Computer den IPsec-Schutz verwendet und gleichzeitig mit mehreren Computern kommuniziert. Diese Situation tritt häufig auf, wenn es sich bei dem Computer um einen Dateiserver oder RAS-Server für mehrere Clients handelt. In diesen Situationen ermittelt der Empfangscomputer mit dem SPI, welche SA für die Verarbeitung eingehender Pakete verwendet wird. Um diesen Vertrag zwischen zwei Computern auszuhandeln, hat die IETF IKE als Standardmethode zum Ermitteln von SAs und Schlüsseln definiert. IKE führt die folgenden Aufgaben durch:
Dieser Prozess dient nicht nur dem Schutz der Kommunikation zwischen Computern, sondern schützt auch Remotecomputer, die geschützten Zugriff auf ein Unternehmensnetzwerk anfordern. Darüber hinaus funktioniert dieser Prozess immer, wenn ein Sicherheitsgateway eine Aushandlung für den endgültigen Zielcomputer durchführt. Phase I oder HauptmodusaushandlungUm eine erfolgreiche und geschützte Kommunikation sicherzustellen, führt IKE seine Aufgabe in zwei Phasen durch. IKE stellt während jeder Phase die Vertraulichkeit und Authentifizierung durch Verschlüsselungs- und Authentifizierungsalgorithmen sicher, die die beiden Computer während der Sicherheitsaushandlungen festlegen. Da der Vorgang in zwei Phasen verläuft, können Schlüssel rasch erstellt werden. Während der ersten Phase richten die beiden Computer einen geschützten, authentifizierten Kanal ein. Diese Phase heißt Phase I-SA oder Hauptmodus-SA. Die Identitäten der zwei Computer werden während dieses Austauschs durch IKE automatisch geschützt. Für die Hauptmodusaushandlung werden die folgenden Schritten durchgeführt:
Der Initiator bietet dem Empfänger eine potenzielle SA an. Das Angebot kann vom Responder nicht geändert werden. Für den Fall, dass das Angebot geändert wird, lehnt der Initiator die Nachricht des Responders ab. Der Responder sendet entweder eine Antwort zum Akzeptieren des Angebots oder stellt Alternativen bereit. Phase II oder SchnellmodusaushandlungIn dieser Phase werden von den IPsec-Peers die SAs ausgehandelt, um die eigentlichen gesendeten Daten zu schützen. Für die Schnellmodusaushandlung werden die folgenden Schritte durchgeführt:
Die Hauptmodus-SA dient dem Schutz der Schnellmodusaushandlung von Sicherheitseinstellungen und Schlüsselmaterial (zum Zweck des Datenschutzes). Die in der ersten Phase durchgeführten Aufgaben dienen dem Schutz der Identitäten der Computer. In der zweite Phase wird vor dem Senden der Daten das Schlüsselmaterial durch Aktualisierung geschützt. IKE kann eine Schlüsselaustauschnutzlast für einen weiteren DH-Austausch unterstützen, wenn eine erneute Schlüsselerstellung erforderlich ist. Andernfalls wird das Schlüsselmaterial des im Hauptmodus abgeschlossenen DH-Austauschs von IKE aktualisiert. IPsec-RichtlinieneinstellungenEine IPsec-Richtlinie besteht aus den folgenden Elementen:
IPsec-Richtlinien können auf lokale Computer, Domänen, Sites oder Organisationseinheiten jedes Gruppenrichtlinienobjekts im Active Directory®-Verzeichnisdienst angewendet werden. Grundlage der IPsec-Richtlinien sollten die Datenschutzrichtlinien im Unternehmen sein. Eine Richtlinie kann mehrere Regeln enthalten, sodass diese mehrere Typen von Datenverkehr steuern kann. IPsec-Richtlinien können an zwei Speicherorten gespeichert werden:
Mit Windows Server 2003 und Windows XP werden Standardrichtlinien bereitgestellt, die Sie als Beispielvorlagen für eigene benutzerdefinierte Richtlinien verwenden können. Allgemeine IPsec-RichtlinieneinstellungenDie allgemeinen Einstellungen für eine IPsec-Richtlinie werden (unter Computerkonfiguration-Windows-Einstellungen-Sicherheitseinstellungen-IP-Sicherheitsrichtlinien) im Snap-In Gruppenrichtlinie vorgenommen. Klicken Sie mit der rechten Maustaste auf die IPsec-Richtlinie, wählen Sie Eigenschaften aus, und klicken Sie auf die Registerkarte Allgemein. Nehmen Sie anschließend die folgenden Einstellungen vor:
In Abbildung 13-5 wird die Registerkarte Allgemein für die standardmäßige IPsec-Richtlinie Server (Sicherheit anfordern) dargestellt.  Abbildung 13-5: Registerkarte "Allgemein" in den Eigenschaften einer IPsec-Richtlinie Wenn Sie auf Einstellungen klicken, können Sie die folgenden Einstellungen vornehmen:
Die Standardeinstellungen für den Schlüsselaustausch sind so konfiguriert, dass die meisten IPsec-Bereitstellungen unterstützt werden. Solange Sie keine speziellen Sicherheitsanforderungen haben, sollten Sie diese Standardeinstellungen nicht ändern. In Abbildung 13-6 wird die Registerkarte Einstellungen für den Schlüsselaustausch für die IPsec-Standardrichtlinie Server (Sicherheit anfordern) dargestellt.  Abbildung 13-6: Dialogfeld "Einstellungen für den Schlüsselaustausch" RegelnEine IPsec-Richtlinie besteht aus einer oder mehreren Regeln, durch die das Verhalten von IPsec festgelegt wird. IPsec-Regeln werden in den Eigenschaften einer IPsec-Richtlinie auf der Registerkarte Regeln konfiguriert. Für jede IPsec-Regel können Sie die folgenden Einstellungen vornehmen:
In Abbildung 13-7 werden die Eigenschaften einer Regel für die IPsec-Standardrichtlinie Server (Sicherheit anfordern) dargestellt.  Abbildung 13-7: Eigenschaften einer IPsec-Regel Die Regeln für eine Richtlinie werden auf Grundlage des Namens der für die einzelnen Regeln ausgewählten Filterliste in umgekehrter alphabetischer Reihenfolge angezeigt. Sie können keine Reihenfolge festlegen, in der die Regeln in einer Richtlinie angewendet werden. Die Windows-Implementierung von IPsec leitet automatisch einen Satz von IPsec-Filtern ab, die den IP-Datenverkehr und die für diesen IP-Verkehr auszuführende, in IPsec konfigurierte Aktion festlegen. IPsec-Filter werden absteigend sortiert. Dabei steht der Filter, der den IP-Datenverkehr am genauesten beschreibt, an erster Stelle. Beispielsweise steht ein IPsec-Filter, in dem einzelne IP-Addressen und TCP-Ports angegeben werden, in der Reihenfolge vor einem IPsec-Filter, in dem alle Adressen eines Subnetzes angegeben sind. StandardantwortregelDie Standardantwortregel, die für alle Richtlinien verwendet werden kann, verfügt über die Filterliste <Dynamisch> und die Filteraktion Standardantwort, wenn die Liste von Regeln in den IP-Sicherheitsrichtlinien angezeigt wird. Die Standardantwortregel kann nicht gelöscht werden, Sie können sie jedoch deaktivieren. Sie ist für alle Standardrichtlinien aktiviert, und Sie können sie beim Erstellen von IPsec-Richtlinien aktivieren. Durch die Standardantwortregel wird sichergestellt, dass der Computer auf Anfragen nach geschützter Kommunikation antwortet. Wenn eine aktive Richtlinie für einen Computer, der geschützte Kommunikation anfordert, über keine Regel verfügt, wird die Standardantwortregel angewendet, und die Einstellungen für den Datenschutz werden ausgehandelt. Beispielsweise wird die Standardantwortregel verwendet, wenn Computer A mit Computer B geschützt kommuniziert und Computer B über keinen Filter für von Computer A eingehenden Datenverkehr verfügt. Sie können die Authentifizierungsmethoden und den Verbindungstyp für die Standardantwortregel konfigurieren. Wenn für die Filterliste <Dynamisch> angezeigt wird, weist dies darauf hin, dass die Filterliste nicht konfiguriert ist, die Filter jedoch beim Empfang der IKE-Aushandlungspakete automatisch erstellt werden. Die Filteraktion Standardantwort weist darauf hin, dass Sie die Aktion des Filters (Zulassen, Sperren oder Sicherheit aushandeln) nicht konfigurieren können. Sie können jedoch die folgenden Einstellungen vornehmen:
FilterlisteEine IP-Filterliste löst eine Filteraktion auf Grundlage einer Übereinstimmung mit der Quelle, dem Ziel und dem Typ des IP-Datenverkehrs aus. Mit diesem Typ der IP-Paketfilterung kann ein Netzwerkadministrator präzise definieren, welcher Teil des IP-Datenverkehrs zugelassen, gesperrt oder geschützt werden soll. Jede IP-Filterliste enthält einen oder mehrere Filter, die IP-Adressen und Datenverkehrstypen definieren. Sie können eine IP-Filterliste für mehrere Typen von IP-Datenverkehr verwenden. Für geschützte Pakete müssen Sie sowohl einen eingehenden als auch einen ausgehenden Filter zwischen den in der Filterliste angegebenen Computern konfigurieren. Eingehende Filter werden auf eingehenden Datenverkehr angewendet und ermöglichen dem empfangenden Computer, auf Anfragen nach geschützter Kommunikation zu antworten oder Datenverkehr mit der IP-Filterliste zu vergleichen. Ausgehende Filter werden auf Datenverkehr angewendet, der vom Computer an ein anderes Ziel gesendet wird, und lösen vor dem Senden des Datenverkehrs eine Sicherheitsaushandlung aus. Beispiel: Computer A fordert den Austausch geschützter Daten mit Computer B an. In diesem Fall müssen die folgenden Bedingungen erfüllt sein:
Jeder Peer muss über das jeweilige Gegenstück zu einem Filter verfügen. Beispiel:
FiltereinstellungenJeder Filter definiert eine bestimmte Untermenge von eingehendem oder ausgehendem Netzwerkverkehr. Für jeden Datenverkehr, auf den die entsprechende Regel angewendet wird, muss ein Filter vorhanden sein. Ein Filter kann die folgenden Einstellungen enthalten:
In Abbildung 13-8 wird die Filterliste ICMP-Datenverkehr insgesamt für die IPsec-Standardrichtlinie Server (Sicherheit anfordern) dargestellt.  Abbildung 13-8: Beispiel für eine IP-Filterliste FilteraktionMit einer Filteraktion wird definiert, wie Datenverkehr durch die Windows-Implementierung von IPsec behandelt werden muss. In Abbildung 13-9 wird die Filteraktion Sicherheit erforderlich für die IPsec-Standardrichtlinie Server (Sicherheit anfordern) dargestellt.  Abbildung 13-9: Eine IPsec-Filteraktion Sie können eine Filteraktion für die folgenden Aufgaben konfigurieren:
IPsec-SicherheitsmethodenDurch die einzelnen Sicherheitsmethoden werden die Sicherheitsanforderungen jeder Kommunikation definiert, auf die die entsprechende Regel angewendet wird. Indem Sie mehrere Sicherheitsmethoden erstellen, erhöhen Sie die Wahrscheinlichkeit, dass für zwei Computer eine gemeinsame Sicherheitsmethode gefunden wird. Die IKE-Komponente liest die Liste der Sicherheitsmethoden in absteigender Reihenfolge und sendet eine Liste zulässiger Sicherheitsmethoden an den anderen Peer. Die erste gemeinsame Methode wird ausgewählt. Typischerweise befinden sich die Methoden mit der größten kryptografischen Sicherheit am Anfang der Liste, und die Methoden mit der geringsten kryptografischen Sicherheit am Ende der Liste. Die folgenden Sicherheitsmethoden sind vordefiniert:
In Abbildung 13-10 wird die Registerkarte Neue Sicherheitsmethode dargestellt. Diese Registerkarte wird angezeigt, wenn Sie zu einer Filteraktion eine Sicherheitsmethode hinzufügen.  Abbildung 13-10: Registerkarte "Neue Sicherheitsmethode" Benutzerdefinierte SicherheitsmethodenWenn die Einstellung Verschlüsselung und Integrität oder Nur Integrität nicht Ihren Sicherheitsanforderungen entspricht, können Sie benutzerdefinierte Sicherheitsmethoden angeben. Beispielsweise können Sie mit benutzerdefinierten Sicherheitsmethoden Verschlüsselung und Adressintegrität, leistungsfähigere Algorithmen oder Schlüsselgültigkeitsdauern angeben. Bei der Konfiguration benutzerdefinierter Sicherheitsmethoden können Sie folgende Angaben machen:
In Abbildung 13-11 wird das Dialogfeld Einstellungen für Sicherheitsmethoden anpassen dargestellt. Dieses Dialogfeld wird angezeigt, wenn Sie zu einer Filteraktion eine benutzerdefinierte Sicherheitsmethode hinzufügen.  Abbildung 13-11: Dialogfeld "Einstellungen für Sicherheitsmethoden anpassen" AuthentifizierungDurch jede IPsec-Regel wird eine Liste mit Authentifizierungmethoden definiert. Durch die einzelnen Authentifizierungsmethoden werden die Anforderungen für die Überprüfung von Identitäten bei geschützter Kommunikation definiert, auf die die entsprechende Regel angewendet wird. Die beiden Peers müssen über mindestens eine gemeinsame Authentifizierungsmethode verfügen, andernfalls schlägt die Kommunikation fehl. Indem Sie mehrere Authentifizierungsmethoden erstellen, erhöhen Sie die Wahrscheinlichkeit, dass für zwei Computer eine gemeinsame Methode gefunden wird. Für zwei kommunizierende Computer kann nur eine Authentifizierungsmethode verwendet werden, unabhängig davon, wie viele Authentifizierungsmethoden Sie konfigurieren. Wenn mehrere Regeln vorhanden sind, die auf dasselbe Paar von Computern angewendet werden, müssen Sie die Listen mit Authentifizierungsmethoden in diesen Regeln so konfigurieren, dass die Computer dieselbe Methode verwenden können. Beispiel: Eine Regel für zwei kommunizierende Computer gibt nur Kerberos zur Authentifizierung an und filtert lediglich TCP-Daten, während eine andere Regel zur Authentifizierung nur Zertifikate angibt und nur UDP-Daten filtert. In diesem Fall schlägt die Authentifizierung fehl. Die folgenden Authentifizierungsmethoden werden von IPsec unterstützt:
TunnelendpunktIPsec-Tunnel dienen dem Schutz vollständiger IP-Pakete. Sie können den Tunnel so konfigurieren, dass der Datenverkehr entweder zwischen zwei IP-Adressen oder zwei IP-Subnetzen geschützt wird. Wenn Sie den Tunnel zwischen zwei Computern anstatt zwischen zwei Routern (Gateways) konfigurieren, stimmt die IP-Adresse außerhalb der AH- oder ESP-Nutzlast mit der IP-Adresse innerhalb der AH- oder ESP-Nutzlast überein. IPsec kann für Szenarios, in denen das Layer-Two-Tunneling-Protokoll (L2TP) nicht verwendet werden kann, ein Tunneling auf Schicht 3 durchführen. Wenn Sie für Remotekommunikation L2TP verwenden, müssen Sie keinen Tunnel konfigurieren, da die Windows XP-Komponenten für das virtuelle private Netzwerk (VPN) von Client und Server automatisch die entsprechenden Regeln zum Schutz von L2TP-Datenverkehr erstellen. Um mithilfe von IPsec einen Layer 3-Tunnel zu erstellen, verwenden Sie IP-Sicherheitsrichtlinien oder Gruppenrichtlinien, um für die entsprechende Richtlinie die folgenden zwei Regeln zu konfigurieren und zu aktivieren:
Für jede Regel müssen Sie außerdem Filteraktionen, Authentifizierungsmethoden und andere Einstellungen angeben. VerbindungstypFür jede IPsec-Regel müssen Sie definieren, auf welche Verbindungstypen auf dem Computer die Regel angewendet wird. Zu den Verbindungstypen gehören alle Netzwerkverbindungen auf dem Computer, für den die IPsec-Richtlinie konfiguriert wird. Jede Regel verfügt über eine Verbindungstypeinstellung:
IPsec für IPv6-DatenverkehrDas IPv6-Protokoll für Windows Server 2003 und Windows XP ...
PaketfilterungFür die Paketfilterung unterstützen Computer, auf denen Windows Server 2003 oder Windows XP ausgeführt wird, neben den IPsec-Filteraktionen auch die folgenden Features:
Auf Computern, auf denen Windows Server 2003 mit Routing und RAS ausgeführt wird, können Sie auch die folgenden Features verwenden:
Windows-FirewallEine Firewall ist eine schützende Grenze zwischen einem Computer oder Netzwerk und der Außenwelt. Die Windows-Firewall ist eine statusbehaftete Hostfirewall für IPv4- und IPv6-Datenverkehr unter Windows XP mit Service Pack 2 (SP2) und Windows Server 2003 mit Service Pack 1 (SP1). Dieses Feature lässt eingehenden Datenverkehr nur zu, wenn dieser entweder als Antwort auf eine Anfrage des Computers gesendet wurde oder erwartet wird (d. h., nicht angeforderter Datenverkehr, der als zulässig angegeben wurde). Die Windows-Firewall bietet Schutz vor böswilligen Benutzern und Programmen, die den Computer mithilfe von nicht angefordertem Datenverkehr angreifen. Mit Ausnahme einiger ICMP-Nachrichten (Internet Control Message Protocol) wird sämtlicher ausgehender Datenverkehr von der Windows-Firewall zugelassen. Die Windows-Firewall wurde für beliebige Netzwerkverbindungen entwickelt. Dazu zählen auch Internetverbindungen sowie Verbindungen mit kleinen Büro- oder Heimnetzwerken oder Netzwerken privater Unternehmen. Eine Netzwerkfirewall, ein Netzwerkproxy und andere Sicherheitssysteme in einem Unternehmen bieten Netzwerkcomputern im Intranet einen gewissen Schutz vor Internetangriffen. Wenn für Intranetverbindungen keine Hostfirewalls, wie z. B. die Windows-Firewall, eingesetzt werden, sind die Computer jedoch weiterhin anfällig für bösartige Programme, die über tragbare Computer in das Intranet gelangen. Nehmen Sie z. B. an, dass ein Mitarbeiter einen Firmenlaptop mit einem Heimnetzwerk verbindet, das über keine geeigneten Schutzmaßnahmen verfügt. Da der Firmenlaptop über keine für die Netzwerkverbindung konfigurierte Hostfirewall verfügt, wird der Laptop mit einem bösartigen Programm infiziert (beispielsweise einem Virus oder Wurm), das sich über nicht angeforderten Datenverkehr auf anderen Computern verbreitet. Der Mitarbeiter bringt den Laptop zurück ins Büro, verbindet ihn mit dem Unternehmensintranet und umgeht auf diese Weise die Sicherheitssysteme an der Intranetgrenze. Während der Laptop mit dem Intranet verbunden ist, beginnt das bösartige Programm, andere Computer zu infizieren. Wenn die Windows-Firewall andererseits standardmäßig aktiviert ist, wird der Laptop während der Verbindung mit dem Heimnetzwerk unter Umständen nicht mit dem bösartigen Programm infiziert. Selbst wenn der Laptop infiziert wird, kann eine Infizierung der Computer im lokalen Intranet während der Verbindung zwischen Laptop und Intranet mit einer aktivierten Windows-Firewall verhindert werden. Wenn auf den Computern unter Windows XP mit SP2 oder Windows Server 2003 mit SP1 clientbasierte Programme ausgeführt werden, wird die Kommunikation durch eine aktivierte Windows-Firewall nicht beeinträchtigt. Webzugriff, E-Mail, Gruppenrichtlinien und Verwaltungsagenten, die Aktualisierungen von einem Verwaltungsserver anfordern, sind Beispiele für clientbasierte Programme. Für clientbasierte Programme wird die Kommunikation stets vom Clientcomputer initiiert, und die Firewall lässt den gesamten Antwortverkehr von einem Server zu, da dieser angeforderter, eingehender Datenverkehr ist. Unter Windows XP mit SP2 ist die Windows-Firewall in der Standardeinstellung für alle Netzwerkverbindungen aktiviert. Ausnahmen können Sie in der Systemsteuerung über die Option Windows-Firewall konfigurieren. Sie können diese Option auch im Windows-Sicherheitscenter auswählen, das mit SP2 eingeführt wurde. Unter Windows Server 2003 mit SP1 ist die Windows-Firewall in der Standardeinstellung deaktiviert. In Abbildung 13-12 wird das Dialogfeld Windows-Firewall dargestellt, das unter Windows XP mit SP2 eingeführt wurde.  Abbildung 13-12: Dialogfeld "Windows-Firewall" unter Windows XP mit SP2 Das Dialogfeld Windows-Firewall verfügt über die folgenden Registerkarten:
Funktionsweise der Windows-FirewallDie Windows-Firewall ist eine statusbehaftete Hostfirewall für eingehenden Datenverkehr. Die Windows-Firewall dient einem anderen Zweck als eine Routerfirewall, die an der Grenze zwischen dem privaten Netzwerk und dem Internet bereitgestellt wird. Eine Routerfirewall schützt den Datenverkehr, der an den Router als Zwischenstopp zwischen Quelle und Ziel des Datenverkehrs gesendet wird. Die Windows-Firewall ist jedoch eine Firewall für Datenverkehr, der für den Computer bestimmt ist, auf dem die Windows-Firewall ausgeführt wird. Die Windows-Firewall funktioniert nach folgendem Schema:
In der Ausnahmenliste wird der Datenverkehr mithilfe von IP-Adressen, TCP-Ports und UDP-Ports angegeben. Datenverkehr kann nicht auf Grundlage des Felds IP-Protokoll im IP-Header angegeben werden. Die Liste mit zulässigem Datenverkehr wird auf zwei Arten aufgefüllt:
Internetverbindungsfirewall (ICF – Internet Connection Firewall)ICF ist eine statusbehaftete Hostfirewall für IPv4-Datenverkehr, die unter Windows XP ohne Service Packs, Windows XP mit SP1 und Windows Server 2003 ohne Service Packs bereitgestellt wird. Sie sollten ICF für die Internetverbindung auf jedem Computer aktivieren, auf dem eines dieser Betriebssysteme ausgeführt wird und der direkt mit dem Internet verbunden ist. Wenn ICF für eine Netzwerkverbindung aktiviert ist, wird das Netzwerkverbindungssymbol in den Netzwerkverbindungen mit einem Schloss gekennzeichnet und dem Status Aktiviert, mit Firewall angezeigt. In Abbildung 13-13 wird ein Beispiel dargestellt, in dem ICF für eine Netzwerkverbindung namens Internet aktiviert ist.  Abbildung 13-13: Beispiel für eine Netzwerkverbindung, für die ICF aktiviert wurde Sie können ICF im Ordner Netzwerkverbindungen manuell aktivieren, indem Sie folgendermaßen vorgehen:
Sie können erweiterte ICF-Einstellungen konfigurieren, indem Sie im Eigenschaftendialogfeld einer Netzwerkverbindung auf der Registerkarte Erweitert auf Einstellungen klicken. In Abbildung 13-14 wird das ICF-Dialogfeld Erweiterte Einstellungen dargestellt.  Abbildung 13-14: Dialogfeld "Erweiterte Einstellungen" zum Konfigurieren von ICF Das Dialogfeld Erweiterte Einstellungen verfügt über die folgenden Registerkarten:
TCP/IP-FilterungTCP/IP für Windows Server 2003 und Windows XP unterstützt TCP/IP-Filterung. Mit der TCP/IP-Filterung können Sie für jede IP-Schnittstelle angeben, welche Typen von IP-Datenverkehr, der auf einem Computer eingeht, verarbeitet werden. Auf einem Computer eingehender IP-Datenverkehr wird auch lokaler Hostdatenverkehr oder einem lokalen Ziel zugeordneter Datenverkehr genannt. Dieser Datenverkehr umfasst alle Pakete, die an eine der Schnittstelle zugewiesene Unicastadresse, an einen beliebigen Typ von IP-Broadcastadresse oder an eine vom Host abgehörte IP-Multicastadresse gesendet werden. Durch dieses Feature wird der Datenverkehr isoliert, den Internet- und Intranetserver ohne weitere TCP/IP-Filterung verarbeiten, die von Routing und RAS oder anderen TCP/IP-Anwendungen bzw. -Diensten bereitgestellt wird. In der Standardeinstellung ist die TCP/IP-Filterung deaktiviert. Sie können die TCP/IP-Filterung für alle Adapter mithilfe eines einzelnen Kontrollkästchens aktivieren oder deaktivieren. Auf diese Weise können Sie Verbindungsprobleme beheben, die möglicherweise mit der Filterung in Zusammenhang stehen. Zu restriktive Filter können dazu führen, dass erwartete Verbindungstypen nicht zugelassen werden. Wenn Sie beispielsweise eine Liste mit UDP-Ports angeben, die UDP-Port 520 nicht enthält, ist der Computer nicht in der Lage, RIP-(Routing Information Protocol-)Ankündigungen zu empfangen. Diese Einschränkung kann die Funktion eines Computers als RIP-Router oder automatischen RIP-Host beeinträchtigen, wenn der RIP-Listenerdienst verwendet wird. Die Verarbeitung eines Pakets wird zugelassen, wenn eines der folgenden Kriterien erfüllt ist:
ICMP-Datenverkehr kann mit der TCP/IP-Filterung nicht gefiltert werden. Wenn eine ICMP-Filterung erforderlich ist, müssen Sie über Routing und RAS IP-Paketfilter konfigurieren. Um die TCP/IP-Filterung für eine Netzwerkverbindung zu konfigurieren, gehen Sie folgendermaßen vor:
In Abbildung 13-15 wird das Dialogfeld TCP/IP-Filterung dargestellt.  Abbildung 13-15: Dialogfeld "TCP/IP-Filterung" Paketfilterung mit Routing und RASWenn Sie Routing und RAS verwenden, gibt es zwei Möglichkeiten, IPv4-Datenverkehr zu filtern:
BasisfirewallSie können mit der Basisfirewall das Netzwerk vor nicht angefordertem, öffentlichem Netzwerkverkehr, z. B. vor Internetdatenverkehr, schützen. Die Basisfirewall kann für beliebige öffentliche Schnittstellen aktiviert werden, einschließlich der Schnittstellen für die Netzwerkadressübersetzung. Um die Basisfirewall für eine öffentliche Schnittstelle zu aktivieren, gehen Sie folgendermaßen vor:
In Abbildung 13-16 wird das Dialogfeld Eigenschaften der Netzwerkadressübersetzung dargestellt.  Abbildung 13-16: Dialogfeld "Eigenschaften der Netzwerkadressübersetzung" IP-PaketfilterungIndem Sie für Routing und RAS IP-Paketfilterung verwenden, können Sie den empfangenen und gesendeten IPv4-Verkehr präzise definieren. Zum Verwenden der IP-Paketfilterung müssen Sie eine Reihe von Definitionen, sogenannte Filter, erstellen. Durch diese Filter werden für den Router die Typen von Datenverkehr definiert, die an den einzelnen Schnittstellen zugelassen oder verworfen werden. Filter können für eingehenden und ausgehenden Datenverkehr definiert werden.
Da Sie für jede Schnittstelle sowohl Eingabe- als auch Ausgabefilter konfigurieren, kann es vorkommen, dass widersprüchliche Filter erstellt werden. Beispielsweise kann der Filter für eine Schnittstelle eingehenden Datenverkehr zulassen, der von einer anderen Schnittstelle nicht gesendet werden kann, da dies vom entsprechenden Ausgabefilter nicht zugelassen wird. Dies hat letzlich zur Folge, dass der Datenverkehr vom Router, auf dem Windows Server 2003 ausgeführt wird, nicht weitergeleitet wird. Sie können die Paketfilterung auch implementieren, um eingehenden und ausgehenden Datenverkehr für eine Teilmenge des Datenverkehrs auf einem Computer zu filtern, auf dem Windows Server 2003 ausgeführt wird, der jedoch nicht als Router konfiguriert ist. Sie sollten Paketfilter mit Bedacht implementieren und zu restriktive Filter vermeiden. Andernfalls kann die Funktion anderer Protokolle auf dem Computer beeinträchtigt werden. Beispiel: Auf einem Windows Server 2003-Computer wird IIS als Webserver ausgeführt und die Paketfilter sind so definiert, dass nur Webverkehr zulässig ist. In diesem Fall können Sie den ping-Befehl (der die ICMP-Meldungen "Echo" und "Echo-Antwort" verwendet) nicht für grundlegende IP-Problembehandlung verwenden. Wenn der Webserver ein automatischer RIP-Host ist, verhindern die Filter, dass der automatische RIP-Prozess RIP-Ankündigungen empfängt. Gehen Sie folgendermaßen vor, um IP-Paketfilter für eine Schnittstelle zu konfigurieren:
In Abbildung 13-17 wird ein Beispiel für das Hinzufügen eines IP-Paketfilters dargestellt.  Abbildung 13-17: Dialogfeld "IP-Filter hinzufügen" Sie können für einen IP-Paketfilter die folgenden Einstellungen vornehmen:
IPv6-PaketfilterungSie können die Paketfilterung für IPv6-Datenverkehr mithilfe einer der folgenden Firewalls durchführen:
IPv6-BasisfirewallIPv6 für Windows Server 2003 ohne installierte Service Packs unterstützt eine Basisfirewall für IPv6-Schnittstellen. Wenn diese aktiviert wird, verwirft IPv6 eingehende TCP-SYN-Segmente und alle eingehenden nicht angeforderten UDP-Nachrichten. Diese Firewall ist in der Standardeinstellung für alle Schnittstellen deaktiviert und kann mithilfe des Befehls netsh interface ipv6 set interface interface=NameOderIndex firewall=enabled aktiviert werden. Die IPv6-Basisfirewall steht in keinem Zusammenhang mit der Basisfirewall von Routing und RAS. IPv6-ICFDas erweiterte Netzwerkpaket für Windows XP wird von Microsoft als kostenloser Download für Windows XP mit SP1 zur Verfügung gestellt. Zu diesem Download gehört auch die statusbehaftete IPv6-Firewall IPv6-ICF. Sie können mit IPv6-ICF zulässigen Internetdatenverkehr dynamisch einschränken. Im Unterschied zu IPv6-ICF filtert ICF unter Windows XP IPv4-Datenverkehr. IPv6-ICF führt die folgenden Aufgaben durch:
IPv6-ICF kann mithilfe von Befehlen im Kontext von netsh firewall konfiguriert werden. Sie können IPv6-ICF mithilfe von Netsh-Befehlen konfigurieren, sodass spezifische Typen von ICMPv6-Datenverkehr oder Datenverkehr für bestimmte TCP- oder UDP-Ports zugelassen werden. Windows-FirewallDie Windows-Firewall unter Windows XP mit SP2 und Windows Server 2003 mit SP1 unterstützt IPv6-Datenverkehr und ersetzt sowohl die IPv6-Basisfirewall als auch IPv6-ICF. IPv4- und IPv6-Datenverkehr verfügen über dieselben Einstellungen für erwarteten Datenverkehr. Wenn Sie beispielsweise Datenverkehr über die Datei- und Druckerfreigabe zulassen, wird sowohl IPv4-basierter als auch IPv6-basierter, nicht angeforderter, eingehender Datenverkehr über die Datei- und Druckerfreigabe zugelassen. KapitelzusammenfassungDieses Kapitel enthält die folgenden Schlüsselinformationen:
KapitelglossarAH – Siehe Authentifizierungsheader. Authentifizierungsheader – Header, der zwischen IP-Header und Nutzlast platziert wird und Sicherheitsdienste für Datenintegrität, Datenursprungsauthentifizierung und Anti-Replay bereitstellt. Basisfirewall – Statusbehaftete IPv4-Firewall von Routing und RAS für öffentliche Schnittstellen. Encapsulating Security Payload – Header und Nachspann, die um eine IP-Paketnutzlast platziert werden und Sicherheitsdienste für Vertraulichkeit (Verschlüsselung), Datenintegrität, Datenursprungsauthentifizierung und Anti-Replay bereitstellen. ESP – Siehe Encapsulating Security Payload. ICF – Siehe Internetverbindungsfirewall. IKE – Siehe Internet Key Exchange. Internetverbindungsfirewall – Statusbehaftete IPv4-Firewall, die in Windows XP ohne Service Packs, Windows XP mit SP1 und Windows Server 2003 ohne Service Packs integriert ist. Internet Key Exchange – Protokoll zur Authentifizierung und für den Schlüsselaustausch zwischen IPsec-Peers. IP-Filter – Beschreibung des Netzwerkverkehrs, einschließlich Quelladresse, Quellmaske, Zieladresse, Zielmaske, Protokoll, Quellport und Zielport. IP-Paketfilterung – Funktion von Routing und RAS, mit der Sie für jede Schnittstelle den genauen Satz eingehender und ausgehender IPv4-Pakete angeben können, der zugelassen bzw. verworfen wird. IPsec-Richtlinien – Sammlung von Regeln und Einstellungen, die zum Konfigurieren von IPsec-Diensten erstellt wird. Regel – Liste von IP-Filtern und Sammlung von Sicherheitsaktionen, die ausgeführt werden, wenn ein Paket einem Filter entspricht. SA – Siehe Sicherheitszuordnung. Sicherheitsparameterindex (SPI) – Ein eindeutiger, kennzeichnender Wert in einer SA, der der Unterscheidung zwischen mehreren Sicherheitszuordnungen auf dem empfangenden Computer dient. Beispielsweise werden für die IPsec-Kommunikation zwischen zwei Computern für jeden Computer zwei SAs verwendet. Eine SA wird für eingehenden Datenverkehr, die andere für ausgehenden Datenverkehr verwendet. Da die Quell- und Zieladressen für beide SAs übereinstimmen, unterscheidet der SPI zwischen eingehender und ausgehender SA Sicherheitszuordnung (SA – Security Association) – Kombination aus einer gegenseitig zu vereinbarenden Richtlinie und Schlüsseln, die die Sicherheitsdienste, Mechanismen und Schlüssel zum Schutz der Kommunikation zwischen Peers definiert. Eine Hauptmodus-SA dient dem Schutz einer oder mehrerer Schnellmodusaushandlungen. Eine Schnellmodus-SA dient dem Schutz des Datenverkehrs, den diese in eine Richtung zwischen IPsec-Peers überträgt. SPI – Siehe Sicherheitsparameterindex. TCP/IP-Filterung – Funktion der Komponente Internetprotokoll (TCP/IP) von Windows Server 2003 und Windows XP, mit der Sie für jede Schnittstelle genau festlegen können, welche Typen von eingehendem und einem lokalen Ziel zugeordnetem IPv4-Datenverkehr verarbeitet werden. Windows-Firewall – In Windows XP mit SP2 und Windows Server 2003 mit SP1 integrierte statusbehaftete IPv4- und IPv6-Firewall.
|
In diesem Beitrag
|
