IPsec and SSL VPN Design

Kapitel 9 fra CCDP ARCH bogen.

This article is under development....

IPsec VPN

Behandlet i CCNP 3 ISCW omhandlende

• Site-to-Site IPsec VPN
• Cisco VPN Client

SSL VPN

Problemer med certifikatet

SSL - Secure Socket Layer - er en teknologi udviklet af Netscape for at kryptere kommunikationen mellem en WEB-browser og en WEB-Server. SSL anvender asymetriske nøgler.

1. En klient ønsker at sende fortrolige data til WEB-serveren.
2. Browseren henter serverens sikkerheds-certifikat som indeholder den offentlige nøgle
3. Browseren checker om certifikatet er udstedt af en CA (Certificate authority) som der stoles på og checker certifikatet.

Tynd SSL Client

Giver adgang gennem en Client program på PC'en som port-forwarder det usikre program Det usikre programs data Port-forwarders internt på PC'en gennem den tynde-klient som krypterer dataene og sender dem krypteret videre til VPN-appliance i den anden ende som dekrypterer og afleverer dataene til Serveren.

[[Image:SSL2.png|400px|thumb|left|Thin Client (Port forwarding)

Tyk klient

Den tykke klient laver et virtuelt netkort som al kommunikation kan gå igennem.

[[Image:SSL3.png|400px|thumb|left|Thick Client (Port forwarding)

VPN Arkitektur

I eksemplet nedenfor er der VPN adgang for både ansatte og forretnings partnere. De ansatte benytter sig af IPsec og forretnings partnerne benytter sig af SSL. Alle opkoblinger - både IPsec og SSl - Authenticates på AAA serveren.

Eksempel på VPN arkitektur

Site-to-Site VPN's

Site-to-Site VPN kan anvendes mellem en virsomheds filialer i stedet for andre WAN-services (MPLS) for at reducere omkostningerne, eller kan anvendes som Redundans hvis den primære WAN går ned.

Cisco Router performance

Cisco Router performance med IPsec VPN's

Cisco Router performance

Cisco ASA 5500 serie performance

Cisco ASA 500 serie performance

Typiske VPN løsninger

Typiske VPN løsninger

Anvendelse	model
Teleworkers	Cisco 850 og 870
Small Office/Home Office (SOHO)	Cisco 850, 870 or ASA 5505
Small branch	Cisco 1800 or ASA 5510
Medium branch	Cisco 2800 or ASA 5520
Enterprise branch	Cisco 3800 or ASA 5540 / 5550
Enterprise Edge	Cisco 7200 and 7301
Enterprise headquarters or Data Center	Catalyst 6500, Cisco 7600 or ASA 5550

For en dybere forklaring se Wikipedia eller RFC 5246