Server mit IPsec verbinden

[MikeKellner 10]

..Du sprichst aber hier nicht vom SecuRemote bzw. SecureClient... oder?

 

 

Nein,

 

aus dem Inhalt

 

This document provides solutions for the following four scenarios:

Windows Gateway to Safe@Office in Unrestricted Mode

Traffic is encrypted between the gateways’ subnets (Network A to Network B).

Windows Gateway to Safe@Office in Restricted Mode

Traffic is encrypted between the network behind the Windows gateway and the Safe@Office WAN IP

address (Network A to Safe@Office external IP).

Windows Host to Safe@Office in Unrestricted Mode

Traffic is encrypted between the Windows host and the Safe@Office internal network (Windows machine to

Network B).

Windows Host to Safe@Office in Restricted Mode

Traffic is encrypted between the Windows host and the Safe@Office WAN IP address (Windows machine to

Safe@Office external IP).

[MikeKellner 10]

Kennt jemand ein gutes Client/Server Tutorial?

[IThome 10]

Leider finde ich immer nur Client Server Ansätze, ich will aber Server-Server connecten.

Du willst doch 2 Server miteinander verbinden oder habe ich das falsch verstanden ? 2 Server kannst Du mit Hilfe von RRAS und "Wählen bei Bedarf" - Schnittstellen miteinander (Site-to-Site) verbinden oder auch als Client - Server (RRAS und DFÜ-Client). Bisher habe ich nur Windows-Maschinen untereinander mittels IPSec (ohne L2TP) miteinander verbunden ...

[carlito 10]

@ MikeKellner

 

Also, Site-to-Site VPN mittels L2TP/IPSec über den ISA Server wird genau hier beschrieben:

 

http://www.isaserver.org/tutorials/Configuring_Gateway_to_Gateway_L2TPIPSec_VPNs_Part_1_Configuring_the_Infrastructure.html

http://www.isaserver.org/tutorials/Configuring_Gateway_to_Gateway_L2TPIPSec_VPNs_Part_2_Configuring_the_Infrastructure.html

 

Man kann die ISA Server übrigens auch weglassen. Entspräche das dann deinen Vorstellungen?

[IThome 10]

...jaja, aber es fällt immer wieder der böse Begriff vom L2TP...

Was ist daran auszusetzen ? Oder geht es Dir darum, dass Deine Appliances das nicht können ?

[MikeKellner 10]

Vielleicht habe ich mich ja falsch ausgedrückt.

 

Ich habe zwei Server; jeder Server hat eine feste IP und ist ein Arbeitsgruppen Computer. Jeder Server steht in einem anderen Standort.

Jetzt soll der eine Server eine SQL Datenbank auf dem anderen Server abfragen. Diese Abfragen hätte ich aber gern abgesichert.

Wie würdet ihr das angehen?

[IThome 10]

Ich persönlich mit RRAS und "Wählen bei Bedarf Schnittstellen" , ob Du nun L2TP/IPSec oder PPTP benutzt bleibt ganz Dir überlassen ...

[carlito 10]

So würde ich es auch machen. Erstmal mit PPTP und wenn das klappt mit L2TP/IPSec.

[MikeKellner 10]

OK, überredet

[MikeKellner 10]

@br_ms

 

Willst Du das Paper haben?

[MikeKellner 10]

Bisher habe ich nur Windows-Maschinen untereinander mittels IPSec (ohne L2TP) miteinander verbunden ...

 

Hast Du dazu etwas?

[IThome 10]

Nur meine Lehrunterlagen, ich muss auch dazu sagen, dass sich diese Maschinen immer innerhalb eines Standortes befunden haben. Wenn sie ausserhalb waren, dann mit RRAS oder anderen VPN-Appliances (Watchguard meistens) ...

edit: hab noch was gefunden

http://support.microsoft.com/kb/252735/en-us

http://support.microsoft.com/kb/816514/en-us

Und hier noch was zum Thema ISA/IPSec Site-to-Site ohne L2TP

http://www.microsoft.com/technet/prodtechnol/isa/2004/plan/sitetositevpn.mspx

[br_ms 10]

Was ist daran auszusetzen ? Oder geht es Dir darum, dass Deine Appliances das nicht können ?

 

..nein, grundsätzlich ist mir das völlig egal. die verwendung von l2tp gegenüber ipsec ist von der sicherheit her ein abstieg. beim l2tp bleibt eigendlich nur die tunnelüberwachung auf der strecke, da keine erneuerung des secrets im quick mode erfolgt sondern alle daten innerhalb des tunnels statisch auf der basis des zertifikats oder des pre-shared secrets veschlüsselt werden.

 

es ist einfach eine frage des sicherheitsanspruchs. l2tp oser ssl tunneling ist nicht gleich ipsec. dort bestehen gravierende unterschiede im protokoll.

 

meine eigendlich aussage "ms kann kein ipsec" halte ich erst mal aufrecht, bis mir einer sagen kann wo ich die phase1 parameter key exchange encryption/data integrety und die phase2 parameter für data encryption und data integrety so wie die renegotiate time für die ike security und renegotiate time für die ipsec secutity einstellen kann.

das sind die grundparameter für jeden ipsec-tunnel.

 

die möglichkeiten diese parameter irgendwo einzustellen habe ich bis jetzt nirgendwo bei ms gefunden.

 

evtl. hab ich ja nicht richtig hingeschaut oder was übersehen. sollte dem so sein, dann aufklärung bitte......

[MikeKellner 10]

Wenn ich das mit einem PPTP Tunnel realisiere, wie kann ich den sicherstellen das der Tunnel immer online ist. Wenn ich den Clientserver mit wählen bei Bedarf konfiguriere und der Tunnel zusammenbricht hätte ja der zweite Server keine Möglichkeit den Tunnel zu reconnecten. Gibts eine Möglichkeit, dass der Client beim disconnect sofort den Tunnel neu aufbaut?

[IThome 10]

@MikeKellner

Ja, das geht, Du kannst die Schnittstelle auf persistent stellen und eine Verbindungswiederholung einstellen

@br_ms

Das stellt man in einer IPSec-Policy ein , die Du via MMC-Snapin (IP-Sicherheitsrichtlinienverwaltung) erstellen kannst. Dort lassen sich die Parameter der Phase I und II einstellen ...

Schau mal weiter oben, in dem Artikel steht, wie es auch ohne L2TP funktioniert ...