From 5f8b2433aa6b380373f36a8c6885f5223fab1899 Mon Sep 17 00:00:00 2001 From: Jan Philipp Timme Date: Wed, 24 Oct 2018 15:04:33 +0200 Subject: [PATCH] More fixes --- MA-Inhalt.tex | 13 ++++++------- 1 file changed, 6 insertions(+), 7 deletions(-) diff --git a/MA-Inhalt.tex b/MA-Inhalt.tex index a52b5bf..d996372 100644 --- a/MA-Inhalt.tex +++ b/MA-Inhalt.tex @@ -400,11 +400,11 @@ Die zuvor vorgestellten VPN-Softwarelösungen OpenVPN und Strongswan werden nun Aufgrund des experimentellen Status von Wireguard wird es für den Aufbau eines produktiv eingesetzten VPN-Servers nicht berücksichtigt. \paragraph{Kommunikationsprotokolle:} -OpenVPN kommuniziert über ein eigenes Protokoll auf über UDP (oder in Ausnahmefällen über TCP) auf Port~1194. +OpenVPN kommuniziert mit einem eigenen Protokoll über UDP auf Port~1194. Eine Trennung zwischen Kontrollnachrichten und Datenübertragung erfolgt innerhalb der Software. Strongswan kommuniziert mit kompatiblen Gegenstellen über das IKEv2-Protokoll, welches über UDP auf Port~500 (bei stattfindender \textit{Network Address Translation} (NAT) auf Port~4500) übertragen wird. -Der durch IPsec geschützte Datenverkehr lässt sich daran erkennen, dass in den übertragenen IPv4- beziehungsweise IPv6-Paketen das Protokoll AH oder ESP enthalten ist. +Der durch IPsec geschützte Datenverkehr lässt sich daran erkennen, dass in den übertragenen IPv4- beziehungsweise IPv6-Paketen das Protokoll AH oder ESP eingetragen ist. Für die Freigabe von IPsec-Datenverkehr in einer Firewall sind somit mehrere Regeln notwendig, während die Freigabe von OpenVPN-Verkehr über UDP-Port~1194 übersichtlicher ausfällt. @@ -440,8 +440,7 @@ Sollten Sicherheitslücken innerhalb von beiden Softwareprojekten bekannt werden Bei einem auf OpenVPN gestützten VPN ist es möglich, TLS-Chiffren, Hashfunktionen und Verschlüsselungsalgorithmen vorzugeben, die unabhängig vom eingesetzten Betriebssystem durch OpenVPN verwendet werden. Für ein VPN mit Strongswan auf Basis von IPsec sieht die Situation anders aus: -Wie bereits im vorherigen Abschnitt erläutert wurde, ist Strongswan nicht die einzige VPN-Software, die an der Umsetzung des VPN beteiligt ist. -Auch der Kernel des eingesetzten Betriebssystems wird zur Umsetzung eines solchen VPN benötigt. +Wie bereits in Kapitel~\ref{ssct:strongswan} erläutert wurde, kann Strongswan nur in Kombination mit dem Betriebssystem-Kernels ein IPsec-VPN aufbauen. Die in \ref{req:clientos} und \ref{req:serveros} genannten Betriebssysteme enthalten unterschiedliche Kernel, die jeweils eine individuelle Implementierung von IPsec enthalten. Aus diesem Grund kann nicht garantiert werden, dass die verschiedenen Kernel die aktuellen Empfehlungen \cite[Aktuell aus][]{RFC8221} zeitnah gemeinsam unterstützen. Ebenso sind unterschiedliche Reaktionszeiten auf auftretende Sicherheitslücken zu erwarten, die einen oder mehrere Kernel betreffen. @@ -449,9 +448,9 @@ Insgesamt kann für VPN auf Basis von IPsec nicht garantiert werden, dass ein ei Erschwerend kommt hinzu, dass Strongswan auf Windows keine Unterstützung für die Einrichtung virtueller IP-Adressen bietet, welche bei IPsec-VPNs im Tunnelmodus zum Einsatz kommen \cite[][Abschnitt \enquote{Important notes}]{strongswan:onwindows}. \paragraph{Komplexität:} -Im Betrieb besteht OpenVPN aus einem laufenden Programm, das über eine Konfigurationsdatei alle für den Betrieb notwendigen Informationen erhält. -Eine Konfigurationsdatei für OpenVPN besteht aus einer zeilenweisen Auflistung von Optionen, die das OpenVPN-Programm als Argumente akzeptiert. -Alle Optionen werden in der Manpage von OpenVPN (nach Meinung des Autors) ausführlich und leicht verständlich erklärt und sollten für Einsteiger mit Grundkenntnissen in Bezug auf Netzwerke und Linux kein Hindernis darstellen. +Im Betrieb besteht OpenVPN aus einem Prozess, der über eine Konfigurationsdatei alle für den Betrieb notwendigen Informationen erhält. +Eine Konfigurationsdatei für OpenVPN besteht aus einer Liste von Optionen, die das OpenVPN-Programm als Argumente akzeptiert. +Alle Optionen werden in der Manpage von OpenVPN (nach meiner Meinung) ausführlich und leicht verständlich erklärt und sollten für Einsteiger mit Grundkenntnissen in Bezug auf Netzwerke und Linux kein Hindernis darstellen. Strongswan ist modular aus einer Sammlung von Programmen aufgebaut, die abhängig von einer Sammlung von Konfigurationsdateien (vorgegebene Beispielszenarien enthalten typischerweise Inhalte für vier verschiedene Konfigurationsdateien) zum Einsatz kommen. Zusätzlich ist beim Einsatz von Strongswan immer der Kernel des Betriebssystems involviert, da die Verarbeitung des IPsec-Datenverkehrs im Kernel durchgeführt wird.