Security Associations (SAs): Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
(Die Seite wurde neu angelegt: „ Jede SA kann anhand von 3 Parametern eindeutig identifiziert werden: * Der Security Parameter Index (SPI), der in AH- und ESP-Headern immer vorhanden ist * Di…“)
 
 
Zeile 1: Zeile 1:
 +
= Security Associations (SAs) =
  
Jede SA kann anhand von 3 Parametern eindeutig identifiziert werden:
+
== Grundprinzip ==
* Der Security Parameter Index (SPI), der in AH- und ESP-Headern immer vorhanden ist
+
* Jede SA wird durch 3 Parameter identifiziert:
* Die Ziel-Ip-Adresse
+
** Security Parameter Index (SPI) in AH/ESP-Headern
* Das IPsec-Protokoll, ESP - (insgesamt 2 für eine beidseitige Kommunikation)
+
** Ziel-IP-Adresse
 +
** IPsec-Protokoll (AH oder ESP)
  
 +
== Security Association Database (SAD) ==
 +
* Jeder Teilnehmer verwaltet eine Datenbank mit aktiven SAs
 +
* Enthält für jede Richtung (eingehend/ausgehend) und jede Schnittstelle:
 +
** Zieladresse und SPI
 +
** IPsec-Transformation (Protokoll + Algorithmus)
 +
** Verwendete Schlüssel
 +
** IPsec-Modus (Tunnel/Transport)
 +
** SA-Lebensdauer
 +
** Antireplay-Sequenz-Zähler
 +
** Zusätzliche Parameter wie Path MTU
  
Jeder Teilnehmer verwaltet eine Datenbank mit aktiven SAs für jede Richtung (eingehend und ausgehend) auf jeder seiner Schnittstellen, die Security Association Database (SAD). Für jede SA enthält die SAD folgende Daten:
+
== SAD-Beispiel einer VPN ==
* Die Zieladresse
 
* Den SPI
 
* Die IPsec-Transformation (Protokoll + Algorithmus, z.B. AH, HMAC-MD5, usw.)
 
* Den in dem Algorithmus verwendeten Schlüssel
 
* Den IPsec-Modus (Tunnel oder Transport)
 
* Die SA-Lebensdauer, nach deren Ablauf eine neue eingerichtet werden muss
 
* Die Antireplay-Sequenz-Zähler
 
* Einige zusätzliche Parameter wie etwa Path MTU
 
 
 
==SAD einer VPN==
 
 
<pre>
 
<pre>
 
10.84.252.31 10.84.252.32  
 
10.84.252.31 10.84.252.32  
Zeile 29: Zeile 31:
 
allocated: 0 hard: 0 soft: 0
 
allocated: 0 hard: 0 soft: 0
 
sadb_seq=1 pid=32622 refcnt=0
 
sadb_seq=1 pid=32622 refcnt=0
10.84.252.32 10.84.252.31
 
esp mode=tunnel spi=3236309654(0xc0e62a96) reqid=2(0x00000002)
 
E: aes-cbc  e66947a9 46425c35 f18e3e78 7705fec5 9108217e afc46754 27a4489e d6c93c53
 
A: hmac-sha1  2264aeae 82904f15 af060772 049d538b 597473f1
 
seq=0x00000000 replay=32 flags=0x00000000 state=mature
 
created: Sep 11 15:47:51 2018 current: Sep 11 15:55:46 2018
 
diff: 475(s) hard: 3600(s) soft: 2753(s)
 
last:                    hard: 0(s) soft: 0(s)
 
current: 0(bytes) hard: 0(bytes) soft: 0(bytes)
 
allocated: 0 hard: 0 soft: 0
 
sadb_seq=0 pid=32622 refcnt=0
 
 
</pre>
 
</pre>
 
 
  
 
[[Datei:Ipsec_SAs.png]]
 
[[Datei:Ipsec_SAs.png]]

Aktuelle Version vom 27. November 2025, 18:12 Uhr

Security Associations (SAs)

Grundprinzip

  • Jede SA wird durch 3 Parameter identifiziert:
    • Security Parameter Index (SPI) in AH/ESP-Headern
    • Ziel-IP-Adresse
    • IPsec-Protokoll (AH oder ESP)

Security Association Database (SAD)

  • Jeder Teilnehmer verwaltet eine Datenbank mit aktiven SAs
  • Enthält für jede Richtung (eingehend/ausgehend) und jede Schnittstelle:
    • Zieladresse und SPI
    • IPsec-Transformation (Protokoll + Algorithmus)
    • Verwendete Schlüssel
    • IPsec-Modus (Tunnel/Transport)
    • SA-Lebensdauer
    • Antireplay-Sequenz-Zähler
    • Zusätzliche Parameter wie Path MTU

SAD-Beispiel einer VPN

10.84.252.31 10.84.252.32 
	esp mode=tunnel spi=3283794051(0xc3bab883) reqid=2(0x00000002)
	E: aes-cbc  ca6c9e95 d6557e0c 0c9d3a45 d7b00aca d0025277 928e9ff4 8259ad7b 53a21c17
	A: hmac-sha1  1dd9356e 24f2b99f fa8e0a3a 7687b669 b86c88f5
	seq=0x00000000 replay=0 flags=0x00000000 state=mature 
	created: Sep 11 15:47:51 2018	current: Sep 11 15:55:46 2018
	diff: 475(s)	hard: 3600(s)	soft: 2658(s)
	last:                     	hard: 0(s)	soft: 0(s)
	current: 0(bytes)	hard: 0(bytes)	soft: 0(bytes)
	allocated: 0	hard: 0	soft: 0
	sadb_seq=1 pid=32622 refcnt=0

Ipsec SAs.png