IP alapú hálózatok tervezése és üzemeltetése II. 15/11 1

IP alapú hálózatok tervezése és üzemeltetése II. 15/11 1

IP alapú hálózatok tervezése és üzemeltetése II. Az előző előadás tartalma DNS Bevezető Elnevezési séma Protokol Formátum Rekord tipusok Hogyan működik Forditott keresés DNSSec 2

IP alapú hálózatok tervezése és üzemeltetése II. A mai előadás tartalma Virtuális magán hálózatok L2TP PPP IPSEC VPN átjárók SSL ? 3

IP alapú hálózatok tervezése és üzemeltetése II. Forrás VPN: http://download.microsoft.com/download/9/e/7/9e7f598b-1dfc-4f9f-86f63bfe7f2ee884/VPNoverview.doc http://www.microsoft.com/windows2000/technologies/communications/ vpn/default.asp IPSec: http://www.microsoft.com/windows2000/techinfo/planning/security/ ipsecsteps.asp http://www.microsoft.com/technet/itsolutions/network/security/ ipsecarc.mspx http://www.ipv6-es.com/02/docs/victor villagra.pdf PPP http://www.networksorcery.com/enp/topic/pppsuite.htm 4

IP alapú hálózatok tervezése és üzemeltetése II. Virtuális Magánhálózat Virtual Private Network Magánhálózat kiterjesztése publikus hálózat (Internet) segítségével Elvileg bárhol igénybe vehető Egy kliens részére (pl.: otthon dolgozó embereke) Több kliens részére (pl.: egy vidéki iroda) Konferencia Hotel, Jobb megoldás mint a betárcsázás (drága) Transzparens a kliens(ek) számára Ugyanolyan környezet mint a munkahelyen DHCP, DNS, SMP, Kerberos, Belső weboldalak, Az adatok IP csomagokba ágyazva közlekednek a publikus hálózaton – Alagút (Tunnel) Alkalmazhatunk titkosítást is 5

IP alapú hálózatok tervezése és üzemeltetése II. VPN vs. SSL, TLS IPSec esetében a belépő teljes jogú tagja lesz a hálózatnak IPSec esetén speciális kliens kell (Windows-ban van) Bonyolultabb a menedzselése Linux? SSL VPN SSL VPN – kevés alkalmazás (megoldható SSL tunnel segítségével) 6

IP alapú hálózatok tervezése és üzemeltetése II. VPN megoldás RADIUS RADIUS SSzzerver erver IAS, Radius, Tacacs (AAA) Címtár RADIUS RADIUS KKlien lienss VPN kapu VPN VPN Internet 7

IP alapú hálózatok tervezése és üzemeltetése II. Tipikus VPN alkalmazások Távoli hozzáférés Interneten keresztül Hálózatok összekötése Gépek összekötése 8

IP alapú hálózatok tervezése és üzemeltetése II. VPN példák Karantén ZH íratás Laptop kezelés Mobil felhasználók kezelése 9

IP alapú hálózatok tervezése és üzemeltetése II. VPN szolgáltatások Felhasználó azonosítás Remote Access Dial-Up Service Internet Authentication Service Terminal Access Controller Access System Cím menedzselés Adat titkosítás Kulcs menedzselés Protokollok támogatása (IP, IPX, .) Beágyazási protokollok: Internet Protocol Security Layer 2 Transoport Protocol Point to Point Transport Protocol 10

IP alapú hálózatok tervezése és üzemeltetése II. Beágyazás Egy hálózat adatstruktúráját kihasználva egy másik hálózat adatstruktúráját visszük át Becsomagolás Átvitel Kicsomagolás Távoli Hozzáférési Protokoll LAN Protokollok A két végpont közötti utat alagútnak (Tunnel) nevezzük 11

IP alapú hálózatok tervezése és üzemeltetése II. Beágyazási Protokollok Típusai: Második rétegben működő Kereteket továbbítanak (UDP) Csatorna kiépítésre, fenntartásra külön protokoll (cím kiosztás, ) Harmadik rétegben működő IP csomagokat továbbítanak Manuális beállítás Point-to-Point Tunneling Protocol (PPTP) IP, IPX, NetBEUI forgalom titkosítása és beágyazása IP csomagba IP hálózaton használható Layer Two Tunneling Protocol (L2TP) IP, IPX, NetBEUI forgalom titkosítása és beágyazása olyan protokoll segítségével mely támogatja a pont-pont kapcsolatot IP, X.25, Frame Relay, ATM, hálózatokon használható IPSec tunnel mode IP csomagot vihetünk át titkosítva IP hálózaton 12

IP alapú hálózatok tervezése és üzemeltetése II. Beágyazási protokollok szolgáltatásai Felhasználó azonosítás Point-to-Point Protocol-t szolgáltatásait használják a második rétegben beágyazók A harmadik rétegben beágyazók a Internet Key Exchange (IKE)-t használják – kölcsönös azonosítás, gyakran csak a számítógép digitális bizonyítványát veszik figyelembe!! Dinamikus cím kiosztás Második réteg beágyazók Network Control Protocol (NCP) segítségével osztanak címeket Harmadik réteg beágyazók beállítottnak veszik Adat tömörítés PPP adattömörítési megoldások Adat titkosítás PPP adat titkosítás IKE Microsoft L2TP - IPSec 13

IP alapú hálózatok tervezése és üzemeltetése II. Point-to-Point Protocol 1. Telefonos, pont-pont adatátvitelre tervezték A PPP keret IP, IPX, NetBEUI csomagokat fogadhat be Egy kapcsolat az alábbi fázisokból áll: 1. PPP vonal felépítés (Link Control Protocol – paraméter csere) 2. Felhasználó azonosítás Password Authentication Protocol (PAP) Titkosítatlan jelszó átvitel (a NAS kéri a kliens küldi) Challenge Handshake Authentication Protocol (CHAP) Titkosított (NAS véletlen szám - Kliens MD5 passwd véletlen szám) A szerver tudja a felhasználó jelszavát 14

IP alapú hálózatok tervezése és üzemeltetése II. Point-to-Point Protocol 2. A kapcsolat fázisai: Felhasználó azonosítás folyt. 2. Microsoft Challenge Handshake Authentication Protocol (MSCHAP) Ugyanaz mint a CHAP csak a szerver a jelszó MD4-es kivonatát tárolja és használja Microsoft Challenge Handshake Authentication Protocol v2 (MS-CHAP v2) Ugyanaz mint a MS-CHAP csak a szerver is azonosítva lesz , kölcsönös azonosítás Extensible Authentication Protocol (EAP) Az előző protokollok rögzítettek Itt lehetőség van új modulok használatára, kiválasztására SmartCard, One Time Password, TLS, . PPP csak EAP 802.1X 15

IP alapú hálózatok tervezése és üzemeltetése II. Point-to-Point Protocol 3. A kapcsolat fázisai: 3. PPP visszahívás vezérlés 4. Hálózati réteg protokollok meghívása Network Control Protocol (NCP) 4. Adat IPCP – IP címet ad a felhasználónak átviteli fázis 16

IP alapú hálózatok tervezése és üzemeltetése II. Point-to-Point Tunneling Protocol RFC 2637 (1996) PKI használat nélkül, jelszavas azonosításra tervezték PPP csomagolást és vezérlést használ NAT tűrő Védtelen TCP vezérlő csatorna Nincs üzenet azonosítás (Üzenet folyam van) 17

IP alapú hálózatok tervezése és üzemeltetése II. Layer Two Tunneling Protocol RFC 2661 IP fölött: UDP 1701-es port PPP csomagolás és vezérlés NAT tűrő L2TP/IPSec 18

IP alapú hálózatok tervezése és üzemeltetése II. IPSec RFC 2401, 2402, és 2406 Vég-vég IP alapú adat titkosítás Nem NAT képes (IKE miatt, részleges megoldás van, checksum, ) Részei: Interenet Kulccsere (Internet Key Exchange) UDP 500-as port Paraméter egyeztetés Kulccsere Azonosító fejléc (Authentication Header AH ) Forrás azonosítás, integritás védelem Biztonsági Tartalom Beágyazás (Encapsulating Security Payload ESP) Azonosítás, integritás védelem, titkosítás 19

IP alapú hálózatok tervezése és üzemeltetése II. IPSec módok - Átviteli Átviteli mód (Transport mode) Csak vég-vég kapcsolatoknál használják AH és ESP is használható Az eredeti csomagot bővíti 20

IP alapú hálózatok tervezése és üzemeltetése II. IPSec módok - Alagút Alagút mód (IPSec transfer mode) Ekkor a cél/forrás állomás különbözik a titkosítás vég/forrásállomásától Leggyakrabban ESP-t használnak, de ezek kombinációi is előfordulnak 21

IP alapú hálózatok tervezése és üzemeltetése II. Biztonsági Asszociációk Security Associations (SA) A kommunikáló fele közötti megegyezések a használandó titkosító, azonosító módszerekről Egy irányúak Protokol specifikusak: AH, ESP Sorszám, Élettartam, 22

IP alapú hálózatok tervezése és üzemeltetése II. IPsec AH 23

IP alapú hálózatok tervezése és üzemeltetése II. IPsec ESP 24

IP alapú hálózatok tervezése és üzemeltetése II. A mai előadás tartalma Virtuális magán hálózatok L2TP PPP IPSEC VPN átjárók SSL ? 25