Computernetzwerke

- IPsec einzusetzen.
    Je mehr feste Standorte mit einem VPN zu verbinden sind, desto eher bietet sich eine IPsec-Lösung an, da sie für den Verkehr zwischen zwei festen Punkten im Internet eine bessere Performance bietet, etwa für Remote-Standorte, die auf das gesamte Firmen-LAN zugreifen müssen.

    Abbildung 7.19: Verwaltung von VPN-Verbindungen einer Firma Zertifikate
    Um eine Authentifizierung mithilfe von Zertifikaten durchzuführen, sind zunächst welche zu erzeugen. Ein Zertifikat ist eine Identitätsbescheinigung, die eine digitale Signatur enthält sowie einige Angaben über den Inhaber. Zertifikate werden mit einer Certification Authority (CA) - auch als Stammzertifikat bezeichnet - signiert, um ihre Echtheit zu garantieren. Für VPN-Verbindungen ist es möglich, eigene CA-Signaturen zu erstellen, um damit selbst erstellte Zertifikate signieren zu können, die dann an die Benutzer, die sich per VPN verbinden wollen, verteilt werden.
    Die per Betriebssystem oder auch per Appliance (Router, Firewall) erzeugten CAs und Zertifikate werden meist im PEM-Format oder auch im PKCS #12-Format exportiert, damit sie den Clients zur Verfügung gestellt werden können. Windows 7 verfügt erstmalig über einen integrierten IPsec-Client und benötigt standardmäßig ein ausgestelltes Zertifikat im PKCS #12-Format, um mit einer Appliance ein VPN schalten zu können.
    7.10.3 SSL-Tunnel
    Für den Aufbau einer SSL-basierten VPN-Verbindung ist keine spezielle Client-Software wie bei der Verwendung von IPsec notwendig. Der hauptsächliche Unterschied zwischen IPsec- und SSL-VPNs besteht in der Authentifizierung und der Verschlüsselung. Während IPsec-VPNs eine hohe Flexibilität durch verschiedene Verschlüsselungsstufen und die integrierte Authentifizierung über Zertifikate bieten, können SSL-VPNs übliche Webbrowser verwenden und bieten nur eine Verschlüsselungsoption. Der Vorteil ist aber offensichtlich, denn damit können alle möglichen Endgeräte, die internetfähig sind, einfach mit ihrem jeweiligen Browser auf den SSL-fähigen Webserver per https (statt per http) zugreifen. Ein Zertifikat (siehe vorherigen Abschnitt) ist demnach notwendig.
    Exkurs
    VPNs mit SSL lassen sich einfacher konfigurieren und betreiben als VPNs mit IPsec. Für Anwender, die lediglich einen Zugriff auf ihr Heim- oder Firmennetzwerk benötigen, ist wegen seiner einfacheren Verwaltung und Handhabbarkeit ein VPN mit SSL zu bevorzugen.
    Secure Socket Layer (SSL) arbeitet im Transport Layer (4) und kann standardmäßig nur auf Webinhalte, nicht jedoch auf die Dateiebene eines LANs zugreifen. Abhilfe würde hierfür ein VPN-Server schaffen, den der Anwender dann per Remote File Access nutzen kann. Grundsätzlich kann aber auch mit SSL ein vollwertiges VPN-Verhalten erreicht werden, wenn im Router oder in einer separaten Firewall (UTM-Appliance) ein passendes Regelwerk für den Zugriff auf das dahinter liegende LAN angelegt werden kann.
    7.11 Voice over IP
    Im ersten WAN-Kapitel ist die Entwicklung des analogen leitungsvermittelnden Fernsprechnetzes hin zum digitalen paketvermittelnden Datennetz kurz beschrieben. Mittlerweile ist das Volumen des Datenverkehrs um ein Vielfaches höher als das des Telefonverkehrs. Deshalb erscheint ein Ausbau des Fernsprechnetzes kaum sinnvoll, sondern die Integration desselben neben den Datendiensten in die paketvermittelnden Datennetze. Die Sprachübertragung über IP-Netze wird als Voice over IP (VoIP) oder auch IP-Telefo-nie bezeichnet, was die vorhandenen Telefonnetze letztendlich überflüssig machen wird, wenn die Entwicklung wie angedacht fortschreitet.
    Für neue Telefonanschlüsse wird bereits seit geraumer Zeit von den meisten Betreibern eine VoIP-Verbindung statt einer Telefonleitung geschaltet, wobei die VoIP-Sprachüber-tragung nicht selten schlechter ist als bei einem herkömmlichen Telefonanschluss. Als Argument für VoIP wird oftmals das Einsparungspotenzial genannt, weil nur noch ein IP-Netz und kein parallel arbeitendes Telefonnetz verlegt, eingerichtet und gewartet werden muss.
    7.11.1 Der H.323-Standard
    Die Basis für Voice over IP wurde 1996 mit dem Standard H.323 der ITU-T gelegt. Hier werden die notwendigen Komponenten und Protokoll-Stacks für die Sprachübertragung über IP beschrieben. Als Komponenten werden Terminals, die Endgeräte wie IP-Telefone und PCs mit Mikrofon und Lautsprecher darstellen, definiert sowie Gateways, die als Einheiten zur Protokollumsetzung zwischen einem H.323-Netz