188 lines
6.4 KiB
TeX
188 lines
6.4 KiB
TeX
\section{Einleitung}
|
|
|
|
\begin{frame}{Situation von IPv4 und IPv6}
|
|
Allgemein:
|
|
\begin{itemize}
|
|
\item Öffentliche IPv4-Adressen sind fast vollständig erschöpft
|
|
\begin{itemize}
|
|
\item Internetanbieter setzen stellenweise auf Carrier-grade NAT
|
|
\end{itemize}
|
|
\item Immer mehr Internetanschlüsse werden auch mit IPv6 versorgt
|
|
\end{itemize}
|
|
In der Abteilung Informatik:
|
|
\begin{itemize}
|
|
\item IPv6 wird seit wenigen Jahren erprobt
|
|
\item Seit Anfang 2018 über natives IPv6-Routing versorgt
|
|
\item Existierende Dienste werden um IPv6 erweitert
|
|
\end{itemize}
|
|
\ \newline
|
|
$\rightarrow$ Ein IPv6-fähiger VPN-Dienst soll den existierenden IPv4-VPN-Dienst ablösen.
|
|
\end{frame}
|
|
|
|
|
|
\begin{frame}{Definition: \textit{Virtual Private Network} (VPN)}
|
|
|
|
\begin{itemize}
|
|
\item \textit{Virtual}: Es existiert nur logisch, nicht physisch
|
|
\item \textit{Private}: Nur die VPN-Teilnehmer wissen davon
|
|
\item \textit{Network}: VPN-Teilnehmer werden direkt über das Netzwerk verbunden
|
|
\end{itemize}
|
|
|
|
\begin{block}{\textbf{Beispiel} Pen-\&-Paper-Rollenspiel}
|
|
Spielteilnehmer tauschen Informationen über Zettel aus, als säßen sie gemeinsam an einem Tisch. \\
|
|
Die Zettel werden aber im Umschlag per Post zwischen den Teilnehmern transportiert.
|
|
\end{block}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Wie funktioniert ein VPN?}
|
|
\begin{figure}[ht]
|
|
\centering
|
|
\includegraphics[trim=75 610 135 75,clip,width=\textwidth]{img/VPN-Skizze.pdf}
|
|
\caption{Beispielszenario: VPN-Verbindung zwischen Alice und Bob}
|
|
\end{figure}
|
|
\end{frame}
|
|
|
|
|
|
\section{Arbeitsauftrag}
|
|
|
|
\begin{frame}{Arbeitsauftrag}
|
|
Ein IPv6-fähiger VPN-Dienst soll konzipiert und umgesetzt werden, um den existierenden IPv4-VPN-Dienst abzulösen.
|
|
\end{frame}
|
|
|
|
\begin{frame}{Anforderungen (1/3)}
|
|
\begin{itemize}
|
|
\item \textbf{Dual-Stack-Betrieb}: Erreichbar über IPv6 und IPv4, Unterstützung von IPv6 und IPv4 innerhalb des VPNs
|
|
\item \textbf{VPN-interner Datenverkehr}: Interne Abteilungsnetze sollen über VPN erreichbar sein, VPN-Clients dürfen nicht mit anderen VPN-Clients kommunizieren
|
|
\item \textbf{VPN-externer Datenverkehr}: Authentisierte, vertrauliche Kommunikation zwischen VPN-Clients und -Server
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Anforderungen (2/3)}
|
|
\begin{itemize}
|
|
\item \textbf{Benutzer}: Beschäftigte und Studierende der Abteilung Informatik, Kapazität für 50-500 Benutzer
|
|
\item \textbf{Betrieb des VPN-Servers}: Debian~9 (oder höher) wird als Serverbetriebssystem vorgegeben
|
|
\item \textbf{Betrieb der VPN-Clients}: Moderne Versionen von Linux, MacOS und Windows sollen unterstützt werden
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Anforderungen (3/3)}
|
|
\begin{itemize}
|
|
\item \textbf{Betriebsprotokoll}: VPN-Dienst soll im Regelbetrieb DSGVO-konform protokollieren
|
|
\item \textbf{Finanzieller Rahmen}: Es steht kein Geld zur Verfügung
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Überblick: Netzwerk der Abteilung Informatik}
|
|
\begin{figure}[ht]
|
|
\centering
|
|
\includegraphics[width=\textwidth]{img/Netzwerktopologie_simpelv2_with_addresses.pdf}
|
|
\caption{Topologie des Abteilungsnetzes (vereinfachte Skizze)}
|
|
\end{figure}
|
|
\end{frame}
|
|
|
|
|
|
\section{Konzept}
|
|
|
|
\begin{frame}{Joah \dots ähm \dots also \dots jo.}
|
|
Client-Server-Architektur, weil \dots \\
|
|
Authentisierung von Benutzern mit Zertifikaten, weil Passwörter weniger sicher sind usw. \dots \\
|
|
Authentisierung des Servers mit Zertifikat, weil \dots \\
|
|
Einrichtung einer eigenen CA auf separatem Server, weil \dots \\
|
|
IP-Adressen für VPN-Clients: NAT für IPV4, weil \dots \\
|
|
IP-Adressen für VPN-Clients: Öffentliches Netz für IPv6, weil \dots \\
|
|
Tunnel auf OSI-Schicht~3, weil \dots \\
|
|
Moderne Verschlüsselung der Kommunikation (inkl. PFS) , weil \dots \\
|
|
Konzepte des IT-Teams berücksichtigen für einfache Wartung und Pflege \\
|
|
Benutzerverwaltung durch Ausstellung und Widerrufen von Zertifikaten möglich \\
|
|
Automatische Aktualisierung der CRL auf VPN-Server, weil \dots
|
|
\end{frame}
|
|
|
|
\begin{frame}{VPN-Konzept}
|
|
\begin{figure}[ht]
|
|
\centering
|
|
\includegraphics[width=\textwidth]{img/VPN-Service-Concept.pdf}
|
|
\caption{Installationskonzept für den VPN-Dienst}
|
|
\end{figure}
|
|
\end{frame}
|
|
|
|
|
|
\section{VPN-Software}
|
|
|
|
\begin{frame}{VPN-Software}
|
|
Als Serverbetriebssystem wurde Debian~9 (oder höher) vorgegeben. \\
|
|
$\rightarrow$ Debian-Paketquellen werden bevorzugt. \\
|
|
\ \\
|
|
Folgende Kandidaten wurden in der Arbeit näher betrachtet:
|
|
\begin{itemize}
|
|
\item OpenVPN
|
|
\item IPsec mit StrongSwan
|
|
\item Wireguard (zur Zeit experimentell, mehr dazu im Ausblick)
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{OpenVPN}
|
|
OpenVPN wurde gegenüber IPsec mit StrongSwan gewählt.
|
|
|
|
Läuft im Userspace und verwendet OpenSSL.
|
|
Erhältlich für alle drei Plattformen.
|
|
Konfiguration für Einsteiger leicht nachvollziehbar.
|
|
|
|
IPsec mit StrongSwan fiel raus, weil: \\
|
|
Kompliziert, wenn man Wert auf StrongSwan legt.
|
|
Nicht vollständig quelloffen, da IPsec im Kernel stattfindet.
|
|
Flexibilität ermöglicht unsichere Konfiguration
|
|
\end{frame}
|
|
|
|
\begin{frame}{Warum OpenVPN? (Warum EasyRSA?)}
|
|
\begin{itemize}
|
|
\item Im Vergleich zu IPsec einfacher zu konfigurieren
|
|
\item Vollständig quelloffen
|
|
\item Plattformübergreifend identische Konfiguration und Usability (CLI)
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
|
|
\section{Installation und Konfiguration}
|
|
|
|
\begin{frame}{Mehr \dots}
|
|
\begin{itemize}
|
|
\item Fest vorgegebene Kryptografie, um weniger Komplexität und Fehleranfälligkeit zu erhalten
|
|
\item Nur korrekte Konfiguration führt zu einer dann auch vertraulichen Sitzung
|
|
\item Kontrollkanal und Datenkanal müssen gleichermaßen geschützt werden, um Vertraulichkeit zu gewährleisten
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{VPN-Installationsplan}
|
|
\begin{figure}[ht]
|
|
\centering
|
|
\includegraphics[width=\textwidth]{img/OpenVPN-Deployment.pdf}
|
|
\caption{Installation des IPv6-VPN mit OpenVPN und EasyRSA}
|
|
\label{fig:vpn_service_concept}
|
|
\end{figure}
|
|
\end{frame}
|
|
|
|
|
|
\section{Fazit/Ausblick}
|
|
|
|
\begin{frame}{Fazit}
|
|
\begin{itemize}
|
|
\item Neuer IPv6-VPN-Dienst steht und kann benutzt werden
|
|
\item Sollte lange genug halten, bis neue Technik kommt
|
|
\item Erweiterbarkeit in Hinblick auf lokale Firewall, Routing neuer Netze möglich
|
|
\item Bei kaputter Krypto einmal alles austauschen, sollte aber sehr unwahrscheinlich sein.
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Ausblick}
|
|
\begin{itemize}
|
|
\item OpenVPN~3 ist in Entwicklung
|
|
\item Mit Wireguard kann man sehr viel Spaß haben
|
|
\end{itemize}
|
|
\end{frame}
|
|
|
|
\begin{frame}{Kurzer Überblick zum Schluss: Wireguard}
|
|
Noch experimentell, aber klares Design, wenig Code, einfache Benutzung.
|
|
Könnte die Zukunft sein. (Mehr dazu als Ausblick hinten dran)
|
|
\end{frame}
|
|
|
|
% The end. |