IPsec-VPN – Übersicht

Im Folgenden sind einige der IPsec-VPN-Topologien aufgeführt, die vom Betriebssystem Junos unterstützt werden:

• Site-to-Site-VPNs: Verbindet zwei Standorte in einer Organisation miteinander und ermöglicht eine sichere Kommunikation zwischen den Standorten.

• Hub-and-Spoke-VPNs: Verbindet Zweigstellen mit der Unternehmenszentrale in einem Unternehmensnetzwerk. Sie können diese Topologie auch verwenden, um Spokes miteinander zu verbinden, indem Sie Datenverkehr über den Hub senden.

• VPNs für Remote-Zugriff: Ermöglicht es Benutzern, die zu Hause oder auf Reisen arbeiten, sich mit der Unternehmenszentrale und ihren Ressourcen zu verbinden. Diese Topologie wird manchmal auch als .end-to-site tunnel

Tabelle 2 fasst die Unterschiede zwischen richtlinienbasierten VPNs und routenbasierten VPNs zusammen.

Ein IPsec-VPN-Tunnel besteht aus der Einrichtung des Tunnels und der angewendeten Sicherheit. Während des Tunnelaufbaus richten die Peers Sicherheitszuordnungen (Security Associations, SAs) ein, die die Parameter für die Sicherung des Datenverkehrs untereinander definieren. (Siehe IPsec – Übersicht.) Nachdem der Tunnel eingerichtet wurde, schützt IPsec den zwischen den beiden Tunnelendpunkten gesendeten Datenverkehr durch Anwendung der Sicherheitsparameter, die von den Sicherheitszuordnungen während der Tunneleinrichtung definiert wurden. In der Junos OS-Implementierung wird IPsec im Tunnelmodus angewendet, der die Protokolle Encapsulating Security Payload (ESP) und Authentication Header (AH) unterstützt.

Dieses Thema umfasst die folgenden Abschnitte:

Paketverarbeitung im Tunnelmodus

IPsec arbeitet in einem von zwei Modi: Transport oder Tunnel. Wenn beide Enden des Tunnels Hosts sind, können Sie beide Modi verwenden. Wenn es sich bei mindestens einem der Endpunkte eines Tunnels um ein Sicherheitsgateway handelt, z. B. ein Junos OS-Router oder eine Firewall, müssen Sie den Tunnelmodus verwenden. Geräte von Juniper Networks werden für IPsec-Tunnel immer im Tunnelmodus betrieben.

Im Tunnelmodus wird das gesamte ursprüngliche IP-Paket – Nutzlast und Header – in eine andere IP-Nutzlast gekapselt und ein neuer Header wird angehängt, wie in gezeigt.Abbildung 1 Das gesamte ursprüngliche Paket kann verschlüsselt, authentifiziert oder beides sein. Mit dem AH-Protokoll (Authentication Header) werden auch der AH und neue Header authentifiziert. Mit dem ESP-Protokoll (Encapsulating Security Payload) kann auch der ESP-Header authentifiziert werden.

Abbildung 1: Tunnel-Modus

In einem Site-to-Site-VPN sind die Quell- und Zieladressen, die im neuen Header verwendet werden, die IP-Adressen der ausgehenden Schnittstelle. Siehe .Abbildung 2

Abbildung 2: Site-to-Site-VPN im Tunnelmodus

In einem DFÜ-VPN gibt es kein Tunnelgateway am VPN-DFÜ-Client-Ende des Tunnels. Der Tunnel erstreckt sich direkt auf den Client selbst (siehe ).Abbildung 3 In diesem Fall haben bei Paketen, die vom DFÜ-Client gesendet werden, sowohl der neue Header als auch der gekapselte ursprüngliche Header dieselbe IP-Adresse: die des Computers des Clients.

Einige VPN-Clients, wie z.B. die Netscreen-Remote, verwenden eine virtuelle innere IP-Adresse (auch "Sticky Address" genannt). Netscreen-Remote ermöglicht es Ihnen, die virtuelle IP-Adresse zu definieren. In solchen Fällen ist die virtuelle innere IP-Adresse die Quell-IP-Adresse im ursprünglichen Paket-Header des Datenverkehrs, der vom Client stammt, und die IP-Adresse, die der ISP dem DFÜ-Client dynamisch zuweist, ist die Quell-IP-Adresse im äußeren Header.

Abbildung 3: DFÜ-VPN im Tunnelmodus

In den Geräten SRX5400, SRX5600 und SRX5800 bietet IKE Tunnelmanagement für IPsec und authentifiziert Endentitäten. IKE führt einen Diffie-Hellman-Schlüsselaustausch (DH) durch, um einen IPsec-Tunnel zwischen Netzwerkgeräten zu erzeugen. Die von IKE generierten IPsec-Tunnel werden verwendet, um den Benutzerdatenverkehr zwischen den Netzwerkgeräten auf der IP-Ebene zu verschlüsseln, zu entschlüsseln und zu authentifizieren.

Das VPN wird erstellt, indem die IKE- und IPsec-Arbeitsauslastung auf die verschiedenen Services Processing Units (SPUs) der Plattform verteilt wird. Bei Site-to-Site-Tunneln wird die SPU mit der geringsten Auslastung als Anker-SPU ausgewählt. Wenn mehrere SPUs die gleiche kleinste Last haben, kann jede von ihnen als Anker-SPU ausgewählt werden. Hier entspricht die Last der Anzahl der Site-to-Site-Gateways oder manuellen VPN-Tunnel, die auf einer SPU verankert sind. Bei dynamischen Tunneln verwenden die neu eingerichteten dynamischen Tunnel einen Round-Robin-Algorithmus zur Auswahl der SPU.

Bei IPsec wird die Arbeitsauslastung durch denselben Algorithmus verteilt, der auch die IKE verteilt. Die Phase-2-Sicherheitszuordnung für ein bestimmtes VPN-Tunnel-Endpunktpaar gehört ausschließlich einer bestimmten SPU, und alle IPsec-Pakete, die zu dieser Phase-2-Sicherheitszuordnung gehören, werden zur IPsec-Verarbeitung an die Verankerungs-SPU dieser Sicherheitszuordnung weitergeleitet.

Mehrere IPsec-Sitzungen (Phase 2 SA) können über eine oder mehrere IKE-Sitzungen ausgeführt werden. Die SPU, die für die Verankerung der IPsec-Sitzung ausgewählt wird, basiert auf der SPU, die die zugrunde liegende IKE-Sitzung verankert. Daher werden alle IPsec-Sitzungen, die über ein einzelnes IKE-Gateway ausgeführt werden, von derselben SPU bedient und haben keinen Lastenausgleich über mehrere SPUs.

Tabelle 3 zeigt ein Beispiel für eine SRX5000 Linie mit drei SPUs, die sieben IPsec-Tunnel über drei IKE-Gateways ausführen.

Die drei SPUs haben die gleiche Last von jeweils einem IKE-Gateway. Wenn ein neues IKE-Gateway erstellt wird, können SPU0, SPU1 oder SPU2 ausgewählt werden, um das IKE-Gateway und seine IPsec-Sitzungen zu verankern.

Das Einrichten und Beenden vorhandener IPsec-Tunnel wirkt sich nicht auf die zugrunde liegende IKE-Sitzung oder vorhandene IPsec-Tunnel aus.

Verwenden Sie den folgenden Befehl, um die aktuelle Anzahl der Tunnel pro SPU anzuzeigen:show show security ike tunnel-map.

Verwenden Sie die Option des Befehls, um die Ankerpunkte der einzelnen Gateways anzuzeigen:summary show security ike tunnel-map summary.

In einem SRX5400-, SRX5600- oder SRX5800-Gehäusecluster können Sie neue SPCs auf den Geräten einfügen, ohne den Datenverkehr in den vorhandenen IKE- oder IPsec-VPN-Tunneln zu beeinträchtigen oder zu unterbrechen. Wenn Sie in jedem Gehäuse des Clusters eine neue SPC einfügen, sind die vorhandenen Tunnel nicht betroffen, und der Datenverkehr fließt ohne Unterbrechung weiter.

Ab Junos OS Version 19.4R1 können Sie auf allen SRX5000-Line-Chassis-Clustern eine neue SRX5K-SPC3 (SPC3)- oder SRX5K-SPC-4-15-320 (SPC2)-Karte in ein vorhandenes Gehäuse mit SPC3-Karte einsetzen. Sie können die Karten nur in einen höheren Steckplatz als die vorhandene SPC3-Karte im Gehäuse einsetzen. Sie müssen den Knoten nach dem Einsetzen von SPC3 neu starten, um die Karte zu aktivieren. Nach Abschluss des Neustarts des Knotens werden IPsec-Tunnel auf die Karten verteilt.

Vorhandene Tunnel können jedoch nicht die Rechenleistung der Service Processing Units (SPUs) in den neuen SPCs nutzen. Eine neue SPU kann neu eingerichtete Site-to-Site- und dynamische Tunnel verankern. Es kann jedoch nicht garantiert werden, dass neu konfigurierte Tunnel auf einer neuen SPU verankert werden.

Site-to-Site-Tunnel werden auf der Grundlage eines Lastausgleichsalgorithmus auf verschiedenen SPUs verankert. Der Lastenausgleichsalgorithmus ist abhängig von der Anzahl der Datenflussthreads, die jede SPU verwendet. Tunnel, die zu denselben lokalen und Remote-Gateway-IP-Adressen gehören, sind in derselben SPU in unterschiedlichen Datenfluss-RT-Threads verankert, die von der SPU verwendet werden. Als Anker-SPU wird die SPU mit der geringsten Last gewählt. Jede SPU verwaltet die Anzahl der Flow-RT-Threads, die in dieser bestimmten SPU gehostet werden. Die Anzahl der Flow-RT-Threads, die auf jeder SPU gehostet werden, hängt vom Typ der SPU ab.

Tunnellastfaktor = Anzahl der auf der SPU verankerten Tunnel / Gesamtzahl der von der SPU verwendeten RT-Threads im Fluss.

Dynamische Tunnel werden auf der Grundlage eines Round-Robin-Algorithmus auf verschiedenen SPUs verankert. Es kann nicht garantiert werden, dass neu konfigurierte dynamische Tunnel auf der neuen SPC verankert werden.

Ab Junos OS Version 18.2R2 und 18.4R1 werden alle vorhandenen IPsec-VPN-Funktionen, die derzeit nur auf SRX5K-SPC3 (SPC3) unterstützt werden, auf SRX5400-, SRX5600- und SRX5800-Geräten unterstützt, wenn SRX5K-SPC-4-15-320 (SPC2)- und SPC3-Karten installiert sind und auf dem Gerät in einem Chassis-Cluster-Modus oder in einem Standalone-Modus betrieben werden.

Wenn sowohl SPC2- als auch SPC3-Karten installiert sind, können Sie die Tunnelzuordnung auf verschiedenen SPUs mit dem Befehl überprüfen.show security ipsec tunnel-distribution

Verwenden Sie den Befehl , um die Tunnelzuordnung auf verschiedenen SPUs anzuzeigen, in die nur eine SPC2-Karte eingelegt ist.show security ike tunnel-map Der Befehl ist in einer Umgebung, in der SPC2- und SPC3-Karten installiert sind, nicht gültig.show security ike tunnel-map

Einsetzen der SPC3-Karte: Richtlinien und Einschränkungen:

• Wenn in einem Chassis-Cluster einer der Knoten über 1 SPC3-Karte und der andere Knoten über 2 SPC3-Karten verfügt, wird das Failover auf den Knoten mit 1 SPC3-Karte nicht unterstützt.

• Sie müssen SPC3 oder SPC2 in ein vorhandenes Gehäuse in einem höheren Steckplatz einsetzen als ein aktuelles SPC3 in einem niedrigeren Steckplatz.

• Damit SPC3 ISHU funktioniert, müssen Sie die neue SPC3-Karte in die höhere Steckplatznummer einsetzen.

• Bei SRX5800 Chassis-Cluster dürfen Sie die SPC3-Karte aufgrund der Begrenzung der Strom- und Wärmeverteilung nicht in den höchsten Steckplatz (Steckplatz Nr. 11) einsetzen.

• Wir unterstützen die SPC3-Hot-Removal nicht.

fasst die SRX5000 Zeile mit SPC2- oder SPC3-Karte zusammen, die Folgendes unterstützt oder verarbeitet:Tabelle 4kmdiked

SRX5000 Verbindung mit der SRX5K-SPC3-Karte (Services Processing Card), SRX-Midrange-Plattformen (Firewalls der Serien SRX4100, SRX4200, SRX1500 und SRX4600) und der virtuellen vSRX-Firewall ist ein Paket als Software der Steuerungsebene erforderlich , um IPsec-VPN-Funktionen zu installieren und zu aktivieren.junos-ike

• In SRX5000 Zeile mit RE3 wird das Paket standardmäßig in den Junos OS-Versionen 20.1R2, 20.2R2, 20.3R2, 20.4R1 und höher installiert.junos-ike Daher wird der Prozess standardmäßig auf der Routing-Engine und nicht auf dem IPsec Key Management Daemon (kmd) ausgeführt.ikedikemd Die SRX5000-Reihe mit SRX5K-SPC3 lagert die kryptografischen Vorgänge auf die Hardware-Kryptografie-Engine aus.

• Die SRX-Midrange-Plattformen, die Firewalls der Serien SRX1500, SRX4100, SRX4200 und SRX4600 abdecken, lagern die kryptografischen DH-, RSA- und ECDSA-Vorgänge auf die Hardware-Kryptografie-Engine mit Geräten aus, auf denen Software ausgeführt wird .junos-ike Diese Funktion ist ab Junos OS Version 23.2R1 verfügbar, auf denen Geräte installiert sind .junos-ike Geräte, auf denen weiterhin Legacy-Software ausgeführt wird (kmd-Prozess), unterstützen diese Funktion nicht.iked

• In der virtuellen vSRX-Firewall lagert der CPU-Thread der Datenebene die DH-, RSA- und ECDSA-Vorgänge aus. Die Hardwarebeschleunigung ist auf diesen Geräten nicht verfügbar. Diese Funktion ist ab Junos OS Version 23.2R1 mit dem auf dem Gerät installierten Paket verfügbar.junos-ike

Das beschreibt die Hardwarebeschleunigungsunterstützung für verschiedene Verschlüsselungen:Tabelle 5

Verwenden Sie den folgenden Befehl, um das Junos IKE-Paket auf Ihrer Firewall der SRX-Serie zu installieren:

Um process zu verwenden , um IPsec-VPN-Funktionen auf SRX5000 Leitung ohne SPC3-Karte zu aktivieren, müssen Sie den Befehl ausführen.kmdrequest system software delete junos-ike Starten Sie das Gerät nach dem Ausführen des Befehls neu.

Um das installierte Paket zu überprüfen, verwenden Sie den folgenden Befehl:junos-ike

Die beiden Prozesse unterstützen IPsec-VPN-Funktionen auf Firewalls der SRX-Serie.ikedikemd Eine einzelne Instanz der Routing-Engine, die jeweils auf dieser ausgeführt wird.ikedikemd

Standardmäßig wird das Paket in Junos OS Version 19.4R1 und höher für SRX5K-SPC3 mit RE3 installiert.junos-ike Sowohl die als auch die Prozesse, die auf der Routing-Engine ausgeführt werden, sind mit diesem Paket verfügbar.ikedikemd Bei SRX5K-SPC3 mit RE2 ist dies ein optionales Paket und muss explizit installiert werden.

Um den Prozess in der Routine Engine neu zu starten , verwenden Sie den Befehl.ikemdrestart ike-config-management

Um den Prozess in der Routing-Engine neu zu starten , verwenden Sie den Befehl.ikedrestart ike-key-management

zeigt die Details der Junos OS-Versionen, in denen das Paket eingeführt wird.Tabelle 6junos-ike

Um IPsec-VPN-Funktionen mit dem Legacy-Prozess auf SRX5000 Leitung ohne SRX5K-SPC3-Karte auszuführen, müssen Sie den Befehl ausführen und das Gerät neu starten.kmdrequest system software delete junos-ike

Bei Firewalls der SRX-Serie ist standardmäßig mit einem Fenstergrößenwert von 64 aktiviert.anti-replay-window

Bei der SRX-Serie 5000 mit installierten SPC3-Karten können Sie die Größe im Bereich von 64 bis 8192 (Potenz 2) konfigurieren.anti-replay-window Um die Fenstergröße zu konfigurieren, verwenden Sie die neue Option.anti-replay-window-size Ein eingehendes Paket wird basierend auf dem konfigurierten Wert für einen Replay-Angriff validiert.anti-replay-window-size

Sie können auf zwei verschiedenen Ebenen konfigurieren :replay-window-size

• – Wird auf der Hierarchieebene [] konfiguriert.Global leveledit security ipsec

  Hier einige Zahlen zum Generationswechsel:

• – Wird auf der Hierarchieebene [] konfiguriert.VPN objectedit security ipsec vpn vpn-name ike

  Hier einige Zahlen zum Generationswechsel:

Wenn Anti-Replay auf beiden Ebenen konfiguriert ist, hat die für eine VPN-Objektebene konfigurierte Fenstergröße Vorrang vor der auf globaler Ebene konfigurierten Fenstergröße. Wenn Anti-Replay nicht konfiguriert ist, beträgt die Fenstergröße standardmäßig 64.

Um die Option für das Anti-Wiedergabe-Fenster für ein VPN-Objekt zu deaktivieren, verwenden Sie den Befehl auf der Hierarchieebene [].set no-anti-replayedit security ipsec vpn vpn-name ike Sie können Anti-Replay nicht auf globaler Ebene deaktivieren.

Sie können nicht sowohl als auch für ein VPN-Objekt konfigurieren.anti-replay-window-sizeno-anti-replay

Wenn Sie zwei VPN-Tunnel erstellen, die an einem Gerät enden, können Sie ein Routenpaar so einrichten, dass das Gerät den Datenverkehr, der einen Tunnel verlässt, an den anderen Tunnel weiterleitet. Außerdem müssen Sie eine Richtlinie erstellen, damit der Datenverkehr von einem Tunnel zum anderen weitergeleitet werden kann. Eine solche Anordnung wird als Hub-and-Spoke-VPN bezeichnet. (Siehe Abbildung 4.)

Sie können auch mehrere VPNs konfigurieren und den Datenverkehr zwischen zwei beliebigen Tunneln weiterleiten.

Die Firewalls der SRX-Serie unterstützen nur die routenbasierte Hub-and-Spoke-Funktion.

Abbildung 4: Mehrere Tunnel in einer Hub-and-Spoke-VPN-Konfiguration