IPsec und Sicherheitszuordnungen

Eine IPsec-Sicherheitszuordnung (SA) legt die Sicherheitseigenschaften fest, die von miteinander kommunizierenden Hosts erkannt werden. Eine einzelne SA schützt Daten in eine Richtung. Der Schutz gilt entweder für einen bestimmten Host oder eine Gruppenadresse (multicast). Da eine Kommunikation entweder Peer-to-Peer oder Client-Server abläuft, müssen zwei SAs vorhanden sein, um den Datenverkehr in beide Richtungen zu schützen.

Eine IPsec-SA ist durch drei Elemente eindeutig gekennzeichnet:

• Das Sicherheitsprotokoll (AH oder ESP)

• Die IP-Zieladresse

• Den Security Parameter Index (SPI)

Der SPI, eine zufällige 32-Bit-Zahl, wird mit einem AH- oder ESP-Paket übertragen. Auf den Manpages ipsecah(7P) und ipsecesp(7P) finden Sie ausführliche Informationen zum Schutzumfang durch AH und ESP. Zur Authentifizierung eines Pakets wird eine Integrität-Prüfsumme eingesetzt. Schlägt die Authentifizierung fehl, wird das Paket verworfen.

Sicherheitszuordnungen werden in einer Sicherheitszuordnung-Datenbank (SADB) gespeichert. In berechtigten Anwendungen kann die Datenbank mithilfe einer Socket-basierten Administrationsschnittstelle, PF_KEY, verwaltet werden. Beispielsweise können die IKE-Anwendung und der Befehl ipseckeys die Socket-Schnittstelle PF_KEY verwenden.

• Eine ausführliche Beschreibung der IPsec-SADB finden Sie unter Sicherheitszuordnungsdatenbank für IPsec.

• Weitere Informationen zur Administration der SADB finden Sie auf der Manpage pf_key(7P).

Schlüsselmanagement in IPsec

Sicherheitszuordnungen (SAs) benötigen Schlüsselmaterial zur Authentifizierung und Verschlüsselung. Die Administration dieses Schlüsselmaterials wird als Schlüsselmanagement bezeichnet. Das Schlüsselmanagement wird automatisch vom Internet Key Exchange (IKE)-Protokoll abgewickelt. Sie können die Schlüssel jedoch auch manuell mit dem Befehl ipseckey verwalten.

SAs für IPv4- und IPv6-Pakete können beide Methoden zum Schlüsselmanagement verwenden. Solange kein zwingender Grund für ein manuelles Schlüsselmanagement vorliegt, sollten Sie IKE einsetzen.

Die Funktion Service Management Facility (SMF) von Oracle Solaris bietet folgende Schlüsselmanagementservices für IPsec:

• svc:/network/ipsec/ike:default-Service – Der SMF-Service für das automatische Schlüsselmanagement. Der ike-Service führt zur Bereitstellung des automatischen Schlüsselmanagements den in.iked-Daemon aus. Eine Beschreibung des IKE-Protokolls finden Sie in Kapitel 22, Internet Key Exchange (Übersicht). Weitere Informationen zum in.iked-Daemon finden Sie auf der Manpage in.iked(1M). Informationen zum ike-Service finden Sie unter IKE-Service.

• svc:/network/ipsec/manual-key:default-Service – Der SMF-Service für das manuelle Schlüsselmanagement. Der manual-key-Service führt den ipseckey-Befehl mit verschiedenen Optionen zum manuellen Schlüsselmanagement aus. Eine Beschreibung des ipseckey-Befehls finden Sie unter Serviceprogramme zur SA-Erzeugung in IPsec. Eine ausführliche Beschreibung der ipseckey-Befehlsoptionen finden Sie auf der Manpage ipseckey(1M).

In älteren Versionen als Solaris 10 4/09 dienen die Befehle in.iked und ipseckey zur Administration von Schlüsselmaterial.

• Der in.iked-Daemon bietet automatisches Schlüsselmanagement. Eine Beschreibung des IKE-Protokolls finden Sie in Kapitel 22, Internet Key Exchange (Übersicht). Weitere Informationen zum in.iked-Dämon finden Sie auf der Manpage in.iked(1M).

• Der ipseckey-Befehl bietet manuelles Schlüsselmanagement. Eine Beschreibung dieses Befehls finden Sie unter Serviceprogramme zur SA-Erzeugung in IPsec. Eine ausführliche Beschreibung der ipseckey-Befehlsoptionen finden Sie auf der Manpage ipseckey(1M).