IPSEC Tunnelmodus

[heinzelrumpel 10]

Hi,

 

um eine gesicherte IPSEc Kommunikation zwischen XP Client (192.168.0.3) und einem W2k-Server (192.168.0.2 ) herzustellen, habe ich eine neue IP-Sicherhheitsrichtlinie erstellt.

In den Filtereinstelllungen sind beliebige Protokolle und Ports ausgewählt, welches ausreichen sollte, die gesamte Kommunikation zwischen diesen beiden Rechnern abzusichern. Als Authentifizierungsmethode kommt ein Zertifikat einer Stammertifizierungsstelle zum Einsatz.

Für diesen Tunnelmodus habe ich 2 Filterregeln erstellt, jeweils einmal als Quelle die eigene ip und als Ziel der Remoterechner. Die Spiegelung des Filters ist, wie im Tunnelmodus notwendig, deaktiviert. Zu guter letzt habe ich die neue Richtlinie zugewiesen. Beim Aufruf des ipsecmon zeigt dieser auch an, dass ip sicherheit aktiviert wurde, es werden aber keine Statistiken angezeigt. Ich bin mir nun nicht sicher, ob meine Einstellungen greifen. Eine Kommunikation zwischen beiden Rechner ist möglich, verbinde mich mit einer Remotedesktopverbindung von Xp zu W2k.

 

Wie kann ich sicherstellen, dass die Kommunikation gesichert abläuft?

 

Gruß

 

Heinzelrumpel

[Hr_Rossi 10]

hallo

 

ich kann mir nicht vorstellen, das dieser tunnel modus funkt weil

client und server im selben netz sind

um es herauszufinden solltest du die subnetze trenne muss man auch bei ipsec !!

 

mfg

rossi

[heinzelrumpel 10]

hi,

 

habe den tunnel serverseitig mal herausgenommen und ganz normal auf transportmodus umgestellt. jetzt klappt es auch mit ipsec. mir ist aber noch nicht ganz klar, warum im tunnelmodus verschiedene subnetze da sein müssen. wen ich mich per vpn ipsec einwähle, sind der host und client doch auch im selben netz, trotz tunnelmodus.

 

gruß

 

heinzelrumpel

[Hr_Rossi 10]

hi

 

ganz kurz gesagt:

 

der transport modus verbindet 2 systeme sprich die quelle und zieladresse im ip-header werden nicht verschlüsselt !!

 

der tunnel modus verbindet 2 subnetze sprich auch quell un zieladresse werden verschlüsselt und es kommt zusätzlich noch ein ip overhead zu tragen der ein sogenanntes "security gateway beinhaltet"

 

mfg

rossi

 

p.s.: mehr details

 

http://www4.informatik.uni-erlangen.de/Lehre/SS03/PS_KVBK/talks/ipsec.pdf

[onewayticket 10]

Hallo,

im zweifelsfall sollte man sich den trafic zwischen den maschienen mit einem netzwerkmonitor ansehen.

Kann ich klartext sehen --- kein ipsec

kein klartext dann ipsec

mfg

oneway