Kapitel 4 Infrastruktur und Integration 43
•
Das Zertikat der Zertizierungsinstanz, die das Zertikat des Servers signiert hat, muss auf
dem Gerät installiert sein. Handelt es sich dabei nicht um ein Root-Zertikat, müssen Sie den
übrigen Teil der Zertikatkette (Chain of Trust) installieren, damit das Zertikat als vertrau-
enswürdig gilt. Vergewissern Sie sich, wenn Clientzertikate verwendet werden, dass das
vertrauenswürdige Zertikat der Zertizierungsinstanz, die das Zertikat des Clients signierte,
auf dem VPN-Server installiert ist. Vergewissern Sie sich bei der auf Zertikaten basierenden
Identizierung, dass der Server so konguriert ist, dass er die Gruppe des Benutzers basierend
auf den jeweiligen Feldern im Clientzertikat identiziert.
Wichtig: Die Zertikate und Zertizierungsinstanzen müssen gültig sein (sie dürfen z. B. nicht
abgelaufen sein). Das Senden einer Zertikatkette durch den Server wird nicht unterstützt.
IPSec-Einstellungen und -Beschreibungen
IPSec umfasst verschiedene Einstellungen, die verwendet werden können, um die Art der
Implementierung zu denieren:
•
Mode: Tunnel-Modus.
•
IKE Exchange Modes: „Aggressive Mode“ für die Authentizierung mit Pre-Shared-Schlüssel und
für die Hybrid-Authentizierung oder „Main Mode“ für die Zertikatauthentizierung.
•
Encryption Algorithms: 3DES, AES-128 oder AES256.
•
Authentication Algorithms: HMAC-MD5 oder HMAC-SHA1.
•
Die-Hellman Groups: „Group 2“ ist für die Authentizierung mit Pre-Shared-Schlüssel
und für die Hybrid-Authentizierung erforderlich. Group 2 mit 3DES und AES-128 für die
Zertikatauthentizierung. Group 2 oder 5 mit AES-256.
•
PFS (Perfect Forward Secrecy): Für Phase 2 des IKE-Protokolls gilt: Wird PFS verwendet,
muss die Die-Hellman-Gruppe mit der in Phase 1 des IKE-Protokolls verwendeten Gruppe
identisch sein.
•
Mode Conguration: Muss aktiviert sein.
•
Dead Peer Detection: Empfohlen.
•
Standard NAT Transversal: Unterstützt und kann aktiviert werden (IPSec over TCP wird nicht
unterstützt).
•
Load Balancing: Unterstützt und kann aktiviert werden.
•
Re-keying of Phase 1: Derzeit nicht unterstützt. Es wird empfohlen, das Re-keying-Intervall für
die erneute Aushandlung der Schlüssel auf eine Stunde einzustellen.
•
ASA Address Mask: Stellen Sie sicher, dass alle Masken des Geräte-Adresspools entweder nicht
festgelegt oder auf 255.255.255.255 eingestellt sind. Beispiel:
asa(config-webvpn)# ip local pool vpn_users 10.0.0.1-10.0.0.254 mask
255.255.255.255.
Wenn Sie die empfohlene Adressmaske verwenden, werden unter Umständen einige der von
der VPN-Konguration angenommenen Routen ignoriert. Dies kann vermieden werden, indem
Sie sicherstellen, dass die Routingtabelle alle erforderlichen Routen enthält, und indem Sie vor
der Implementierung sicherstellen, dass die Teilnetzadressen zugänglich sind.
•
Application Version: Die Softwareversion des Clients wird an den Server gesendet, sodass
der Server Verbindungen basierend auf der Softwareversion des Geräts akzeptieren oder
ablehnen kann.
•
Banner: Das Banner wird, sofern es auf dem Server konguriert ist, auf dem Gerät angezeigt,
und der Benutzer muss es akzeptieren oder die Verbindung trennen.
•
Split Tunnel: Unterstützt.
