ISA Server 2004 - Das Handbuch für Installation und Administration

 

10 Remotezugriff und VPN (S. 269-270)

Dieses Kapitel beschäftigt sich mit den Themen Remotezugriff und VPN (Virtual Private Network). Immer häufiger ergibt sich für Unternehmen das Bedürfnis oder auch die Notwendigkeit, nicht nur vom lokalen Standort auf Daten und Applikationen zuzugreifen. Beispiele dafür sind Benutzer, die von einem Arbeitsplatz von zu Hause arbeiten, Mitarbeiter, die von unterwegs aus, z.B. bei einem Kunden, mit einem mobilen Gerät wie einem Notebook oder PDA auf Daten zugreifen, oder auch Mitarbeiter eines Partnerunternehmens, die auf bestimmte Teile von Ressourcen zugreifen dürfen.

Zur Erfüllung dieser Ansprüche eigent sich der Einsatz eines VPN. Das VPN ist quasi eine Erweiterung des bestehenden Firmennetzwerks, so dass auch externen Clients Zugriff, z.B. über das Internet, auf dieselben Ressourcen wie den internen Clients gewährt werden kann. Nachdem die VPN-Verbindung aufgebaut worden ist, besitzt der Benutzer im Rahmen seiner Berechtigungen Zugriff auf das interne Netzwerk. Bestenfalls anhand der Zugriffsgeschwindigkeit bemerkt der Benutzer, dass er sich nicht direkt im internen Netzwerk befindet. Clients, die eine solche VPNVerbindung herstellen, werden als Remote VPN-Clients bezeichnet.

Für die Zugriffssteuerung sind nicht nur die Berechtigungen des Benutzers an den Netzwerkressourcen, sondern auch die Richtlinieneinstellungen des ISA Server wichtig.

Bevor es an die Konfiguration des ISA Server geht, werden als Einführung oder Wiederholung die verschiedenen Typen von VPNs vorgestellt.

10.1 VPN-Typen

Beim Einsatz einer VPN-Verbindung wird über das Internet ein sicherer Tunnel zwischen dem Client und dem Server aufgebaut, so dass der Client auf die Ressourcen des internen Netzwerks zugreifen kann. Eine VPN-Verbindung besitzt eine Reihe von Vorteilen:

• Verwenden Sie eine DSL-Flatrate, entstehen für die Einwahl keine weiteren Kosten.
• In der Regel ist eine VPN-Verbindung deutlich schneller als eine Internetanbindung über eine Telefonleitung.
• Die VPN-Verbindung kann von jedem beliebigen Ort aus, an dem eine Internetverbindung verfügbar ist, aufgebaut werden. Selbst mit einem PocketPC kann eine VPN-Verbindung hergestellt werden.

Für die Einrichtung des VPN-Zugriffs können Sie verschiedene Typen von VPNs verwenden. Anhand dieser Erläuterungen sollen Sie ermitteln können, welchen Typ Sie am besten einsetzen. Bei allen VPN-Verbindungen handelt es sich um so genannte Tunneling-Protokolle. Dabei werden Daten in verschlüsselter Form von einem Ende des Tunnels zum anderen übertragen. Eine Seite des Tunnels bildet das Firmennetzwerk, die andere Seite der Standort des Benutzers. Als Verbindungsnetzwerk zwischen diesen beiden Enden wird in aller Regel das Internet verwendet.

Für die Übertragung des Pakets wird ein spezieller Header am Paket verwendet. In diesen Header werden Datenrahmen mit Hilfe des jeweiligen VPN-Protokolls gekapselt. Sobald das Paket am Endpunkt des Tunnels angelangt ist, wird das Paket wieder entkapselt, d.h. der Header entfernt. Der verbleibende Datenrahmen wird an das entsprechende Zielgerät weitergeleitet. Die verschiedenen Tunneling- Protokolle, die der ISA Server anbietet, werden im Folgenden vorgestellt.

Die praktische Umsetzung der Konfiguration am ISA Server wird danach erläutert.

10.1.1 Point-To-Point Tunneling Protocol (PPTP)

Die Abkürzung PPTP steht für Point-to-Point Tunneling Protocol. Beim Einsatz dieses Protokolls kann der Datenverkehr verschiedener Netzwerkprotokolle (TCP/IP, IPX/SPX usw.) für die Übertragung in einen IP-Header gekapselt werden, so dass die Übertragung verschlüsselt ist. Die Übertragung erfolgt über ein IP-basierendes Netzwerk. Das verschlüsselte Paket kann über ein internes Netzwerk oder auch über das Internet versendet werden. Es wird bei Verbindungen von Router-zu-Router-VPNs sowie Benutzer-zu-Router-VPNs eingesetzt.

PPTP besitzt die folgenden Features:

• Benutzerauthentifizierung über Windows, RADIUS und EAP
• Datenverschlüsselung mit MPPE (Microsoft Point-to-Point Encryption,
• Schlüssellänge 40, 56 oder 128 Bit)
• Dynamische IP-Zuweisung
• Datenkomprimierung

Sobald eine erfolgreiche Authentifizierung des Benutzers erfolgt ist, werden die Daten verschlüsselt. Dies liegt darin begründet, dass der für die Verschlüsselung des Datenverkehrs erforderliche gemeinsame Schlüssel aus einem Hash abgeleitet wird, der auf dem Kennwort des Benutzers basiert. Je sicherer dieses Kennwort ist, desto sicherer ist letztendlich auch die PPTP-Verbindung.