%Notizen:
%Gliederung:

\section{Tunneling}
	Beim Tunneling mit Hilfe von Datenpaketkapselung ein virtueller Tunnel erstellt, der über das Internet bzw. ein fremdes Netzwerk verbunden ist.
	Dadurch wird es bspw. möglich private LANs miteinander über das Internet zu verbinden oder sich auf einen Rechner zu schalten.
	
	\subsection{IPSec (Internet Protocol Security)}
		IPSec ist ein Protokollstapel der eine gesicherte Kommunikation über das potentiell unsichere Internet ermöglicht. IPSec arbeitet auf der Vermittlungsschicht, um eine Verschlüsselung auf Netzwerkebene bereitzustellen.\\
		Es beinhaltet vier wichtige Sicherheitsfunktionen:
		\begin{enumerate}
			\item Verschlüsselung - um mitlesen zu verhindern
			\item Authentisierung der Nachricht - zum sicherstellen, dass die Pakete unverfälscht sind (Paketintegrität)
			\item Authentisierung des Absenders - zur unzweifelhaften Zuordnung eines Senders/Empfängers (Paketauthentizität)
			\item Verwaltung von Schlüsseln
		\end{enumerate}
		
		\subsubsection{Authentisierung (AH)}
			Der Authentication Header (AH) sorgt für die Authentisierung und Integrität der zu übertragenden Pakete und Protokollinformationen. Der äußere IP-Header wird für die Integritätsprüfung mit gehasht, wodurch auf AH-Header keine Art von NAT anwendbar ist.
			Im AH-Paket befindet neben anderen Feldern ein Security Profile Index (SPI) und eine Sequenznummer. Diese Sequenznummer wird zum Schutz vor Replay-Attacks verwendet werden. Das heißt ein Paket kann nicht von dritten aufgezeichnet werden und zur wiederholten Authentifizierung mit gefälschter Identität verwendet werden.
		
		\subsubsection{Verschlüsselung (ESP)}
			Die Verschlüsselung erfolgt über ESP (Encapsulating Security Payload), welches durch Hashing-Verfahren auch direkt die Integrität des Datenpakets sicherstellt. Zur Verschlüsselung der Nutzdaten können beliebige Verschlüsselungsverfahren eingesetzt werden.
			
			\newpage
			
		\subsubsection{Vergleich Transport- und Tunnelmodus}
			Der Transportmodus verbindet verbindet zwei Endpunkte direkt miteinander (Peer-to-Peer) z.B. über auf den Geräten installierte Software.\\
			Im Tunnelmodus werden zwei IP-Netze miteinander verbunden. Die Endpunkte werden dabei von zwei Routern bzw. VPN-Gateways gebildet. \\
			
			\texttt{IPSec im Transportmodus}: In diesem Modus wird der IPSec-Header zwischen dem IP-Header und den Nutzdaten eingefügt. Der IP-Header bleibt unverändert/unverschlüsselt und dient zum Routing des Pakets vom Sender zum Empfänger. Beim Empfang werden die ursprünglichen Nutzdaten (TCP-/UDP-Pakete) ausgepackt und an die höherliegende (OSI-)Schicht weitergegeben.\\
			
			\texttt{IPSec im Tunnelmodus}: Hier wird das ursprüngliche Paket komplett gekapselt und ein neuer äußerer IP-Header hinzugefügt, um das Routing zum jeweiligen Endpunkt zu ermöglichen. Der innere IP-Header wird für das hinter dem Gateway des Endpunktes befindlichen Netz verwendet. Im Tunnelmodus sind Gateway-zu-Gateway- oder auch Peer-zu-Gateway-Verbindungen möglich. Ein Vorteil des Tunnelmodus ist, dass nur zwischen den Gateways IPSec implementiert werden muss. Angreifer können dadurch nur die Tunnelendpunkte festellen, jedoch nicht den gesamten Weg von den dahinter liegenden Clients.\\
			
			\begin{figure}[ht!]
				\centering
				\includegraphics[scale=0.5]{Ipsec_ah.jpg}
			\end{figure}
			
			\begin{figure}[ht!]
				\centering
				\includegraphics[scale=0.5]{Ipsec_esp.jpg}
			\end{figure}
			
		\newpage


	\subsection{VPN (Virtual Private Network)}
        \subsubsection{End-to-End}		
            Stellen eine direkte Verbindung zwischen einem oder mehreren PCs dar. Dabei muss auf jedem Rechner
            der an das VPN angeschlossen werden soll ein VPN-Protokoll installiert sein, da die PCs direkt untereinander und nicht über zwischengeschaltete VPN-Server/-Gateways verbunden sind. \\
            Anwendungs Bsp.: Mehrere Arbeiter arbeiten an verschiedenen Standorten an einem gemeinsamen Projekt.
            \begin{figure}[ht!]
				\centering
				\includegraphics[scale=1.1]{vpnendtoend.png}
			\end{figure}
			

        \subsubsection{End-to-Site}		
            Dienen zur Anbindung von bspw. Außendienst PCs an ein internes Firmennetz. Dabei muss auf jedem PC
            der ins Firmennetz soll ein VPN Protokoll installiert sein. Die PCs verbinden sich dann zu einem
            VPN-Gateway in der Firma. Damit sind sie virtuell im Firmennetz und können die Firmeninternen Adressen erreichen.
            Zur Authentifizierung kann ein RADIUS-Server verwendet werden, da dieser unabhängig vom VPN-Protokoll ist.
            \begin{figure}[ht!]
				\centering
				\includegraphics[scale=1.1]{vpnendtosite.png}
			\end{figure}
			

        \subsubsection{Site-to-Site}		
	        Hier werden mehrere VPN-Server miteinander verbunden. Damit sind dann bspw. LANs von mehreren Firmenstandorten über VPN miteinander verbunden. Dabei müssen nur die VPN-Server das VPN Protokoll installiert haben, alle anderen Clients im Netzwerk können über das VPN-Gateway in das andere Netz gelangen ohne Zusatzsoftware.
            \begin{figure}[ht!]
				\centering
				\includegraphics[scale=1.1]{vpnsitetosite.png}
			\end{figure}
			
        \subsubsection{Authentizität, Vertraulichkeit, Integrität}
            VPNs müssen Authentizität, Vertraulichkeit und Integrität sicherstellen, damit ein sicherer Betrieb mit Datenschutz möglich ist. Authentizität bedeutet die Identifizierung von autorisierten Nutzern und die Überprüfung der Daten, dass sie nur aus der autorisierten Quelle stammen. Vertraulichkeit und Geheimhaltung wird durch Verschlüsselung der Daten hergestellt. Mit der Integrität wird sichergestellt, dass die Daten von Dritten nicht verändert wurden. Unabhängig von der Infrastruktur sorgen VPNs für die Sicherheit der Daten, die darüber übertragen werden.
