Tunneling Protokolle für VPN

Zu den wichtigsten Protokollen zum Aufbau eines VPN-Tunnels gehören, neben den bereits erwähnten IPsec und PPTP, auch die Protokolle L2F und L2TP. Alle Protokolle haben verschiedene Vor- und Nachteile, die nachfolgend gegenübergestellt und in einer Tabelle zusammengefasst werden.
Es sei aber bereits an dieser Stelle gesagt:
unter Sicherheitsgesichtspunkten gibt es keine Alternative zu IPsec!

PPTP

PPTP (Point To Point Tunneling Protocol) wurde ursprünglich von Microsoft und Ascend entwickelt und ist aufgrund seiner Integration in Windows weit verbreitet. Es handelt sich hierbei um eine Erweiterung des Point to Point Protokolls (PPP). PPTP ermöglicht nicht nur die Übertragung von IP-Paketen, sondern auch von IPX- und NetBUI-Paketen. Die einzelnen Pakete werden in eine modifizierte Form des Generic Routing Encapsulation Protocol Version 2 (GREv2) verpackt und zum Network Access Server (NAS) des ISP transportiert. Je Kommunikationspaar kann nur ein Tunnel aufgebaut werden.
Zur Authentisierung dient PAP/ CHAP; eine Authentisierung der Tunnelenden ist jedoch nicht vorgesehen. In PPTP sind keine Key-Management-Protokolle implementiert.
Die Datenverschlüsselung erfolgt nach dem RC4-Verfahren mit Schlüssellängen von 40, 56 oder 128 Bit. Eine Paket-Integritätsrüfung ist nicht implementiert.
PPTP ist nicht standardisiert, der Internet Draft (draft-ietf-pppext-pptp-00) ist Anfang 1997 "expired".
In die Schlagzeilen ist PPTP geraten, da verschiedene Berichte über Implementierungsdefizite bei der Schlüsselverwaltung veröffentlich wurden!

L2F

L2F steht für Layer 2 Forwarding und wurde von Cisco, Nortel und Shiva entwickelt. Die sog. Multiplex-ID L2F-Header erlaubt den gleichzeitigen Betrieb mehrerer Tunnel. Die und Client-ID erlaubt mehrere parallele Verbindungen innerhalb jeden Tunnels. Unterstützt werden Punkt-zu-Punkt und Punkt-zu-Mehrpunkt-Verbindungen. Neben PPP kann man mit L2F auch SLIP tunneln. Die Authentisierung erfolgt über ein Challenge-Handshake-Verfahren.
L2F kann über unterschiedliche Paketnetze transportiert werden wie z.B. X.25, Frame Relay oder ATM.
Es erfolgt keine Verschlüsselung der Daten!
Der zugehörige RFC 2341 hat den Stand "historic"!

L2TP

L2TP vereint die Vorteile von PPTP und L2F. Eine Tunnel-ID im L2TP-Header erlaubt den Betrieb multipler Tunnels. NAT (Network Address Translation) wird unterstützt. Der L2TP-Tunnel wird aufgebaut zwischen den NAS des ISP und dem VPN-Knoten (beim Anwender).
L2TP erlaubt eine Authentisierung auf der Basis von CHAP/ PAP.
Es ist keine Verschlüsselung definiert.
L2TP ist ein Proposed Standard nach IETF (RFC 2661).
Im "Proposed Standard" RFC 3193 ("Securing L2TP using IPsec") ist eine Methode beschrieben, um L2TP und IPsec zu kombinieren und L2TP dadurch mit der fehlenden Verschlüsselung zu versehen.

IPsec

IPsec steht für IP Security Protocol. Als Erweiterung/ Ergänzungvon/ zu IP ist es ein Layer-3-Tunneling-Protokoll. IPsec war ursprünglich für IP Version 6 geplant (RFCs 1825, 1826, 1827, 1828 und 1829), ist heute jedoch (auch) vollständig für IPv4 standardisiert. Es erlaubt (derzeit) jedoch nur die Verschlüsselung von IP-Paketen, überträgt keine Multicasts und unterstützt - bewusst! - nur statisches Routing.
IPsec wird in den RFCs 2401 bis 2412 beschrieben, die die o.g. RFCs abgelöst haben. Alle RFCs haben den Status Proposed Standard. Eine Aufstellung der wichtigsten RFCs finden Sie auf meiner IPsec-Seite

Wesentliche Ziele im "Pflichtenheft" der IPsec-Definition waren, dass

Die Datenintegrität und die Authentisierung des Datenursprungs wird mittels des Authentication Headers (AH) erreicht. Der AH-Header schützt die Daten und einige Header-Teile des zu übertragenden IP-Pakets vor Verfälschung. Dazu wird mittels bekannter Hash-Funktionen wie MD-5 (Message Digest) oder SHA-1 (Secure Hashing Algorithmus) eine Prüfsumme aus der IP-Payload gebildet und im AH-Header an den Empfänger übertragen. Nur wenn dieser dieselbe Prüfsumme aus dem empfangenen Paket errechnet ist sichergestellt, dass die Nachricht während der Übertragung nicht verändert wurde und auch nur von dem Absender stammen kann, da nur dieser den geheimen Schlüssel für das gewählte Authentisierungsverfahren kennt. Während es für SHA-1 Berichte über (theoretische) Security-Schwächen gibt, gilt MD-5 als in jeder Beziehung unangreifbar. Dieser Vorteil wird jedoch - wie so oft - über eine deutlich geringere Geschwindigkeit erkauft.
Die Verschlüsselung der Daten (Encapsulating Security Payload - ESP) erfolgt mit einem beliebigen Schlüssel (z.B. Triple-DES, AES).
Da IPsec einerseits ein Höchstmaß an Sicherheit bietet und andererseits der Bedarf, neben IP auch andere Protokolle (wie IPX, NetBUI) zu tunneln abnimmt, wird es die o.g. Layer-2-Protokolle langfristig als VPN-Standard-Protokoll ablösen.
Ausführlichere Informationen zu IPsec und dessen Arbeitsweise finden Sie auf meiner IPsec-Seite.

Andere Verfahren

Als neueste Tunneltechnik wird neuerdings auch SSL (Secure Socket Layer) genutzt - weitere Infos hierzu gibt's auf meiner SSL-Seite. Aber auch hier darauf hingewiesen, dass es IPsec nicht (ganz) das Wasser reichen kann!


Haben Sie sich schon in meinem Gästebuch eingetragen?
Bei Fragen oder Problemen posten Sie
bitte in meinem Forum oder schicken Sie mir eine E-Mail!
Homepage [zurück zur TCP/IP-Seite]

(Diese Seite wurde erstellt am 4.1.2002,
der letzte Update fand statt am 22.11.2004)


Dieses Angebot ist erreichbar über http://www.tcp-ip-info.de, http://www.trojaner-und-sicherheit.de, http://www.internet-und-sicherheit.de und http://www.tcp-ip.de.gg