-
Die
vorliegende Erfindung betrifft allgemein virtuelle private Netze
(VPN) und insbesondere die Verwaltung von VPNs.
-
Öffentliche
Netze werden gegenwärtig
mehr oder weniger für
empfindliche und übertragungskritische
Kommunikationen benutzt, und die internen Netze der verschiedenen
Organisationen und Unternehmen sind heutzutage an die öffentlichen
Netze angeschlossen, zu denen auch das Internet gehört. Da die
grundlegenden Mechanismen der öffentlichen Netze
ursprünglich
nicht für
geheime und vertrauliche Mitteilungen geschaffen wurden, sind öffentliche Netze
unzuverlässige
Netze.
-
Virtuelle
private Netze (VPN) dienen gewöhnlich
dazu, vertrauenswürdige
Parteien über
ein unzuverlässiges öffentliches
Netz durch einen Sicherheitstunnel miteinander zu verbinden. Der
ganze von einer ersten Partei stammenden Verkehr zu einer zweiten
Partei wird in einem Sicherheitsübergang
der ersten Partei verschlüsselt
und in verschlüsselter Form über das öffentliche
Netz zu der zweiten Partei gesendet, wo die übermittelten Daten in einem
Sicherheitsübergang
entschlüsselt
und danach dem Empfänger übermittelt
werden. Das VPN ist typisch transparent für die Prozesse, die untereinander
kommunizieren, und die Verschlüsselung
und Entschlüsselung
hängen
von der Konfiguration des VPN zwischen den Parteien ab. Die Sicherheitsübergänge müssen jedoch
in Informationen über
die Konfiguration des anderen Endes des VPN haben, um in der Lage
zu sein, den Verkehr korrekt zu verschlüsseln und zu entschlüsseln. Die
Konfiguration betrifft Dinge wie Adressierung, Verschlüsselungsalgorithmus
und Schlüsselinformation
des Sicherheitsübergangs
am anderen Ende. Die Konfiguration der Information wird gewöhnlich zwischen
den Administratoren der verschiedenen Orte telefonisch oder mit
Hilfe anderer herkömmlicher
Kommunikationssysteme übermittelt. Die
Administratoren geben dann die Konfiguration in die Sicherheitsübergänge ihrer
Orte ein, um die VPN-Verbindungen zwischen den Orten herzustellen.
-
Die
aktuellen Verschlüsselungsschlüssel werden
bei VPN-Kommunikation ausgetauscht, jedoch muß die Konfiguration, die zur
Herstellung der VPN-Verbindung erforderlich ist, durch gewisse andere
Maßnahmen übermittelt
werden. Kositpaiboon R. et al. "Customer
network management for B-ISDN/ATM services"; Proceedings of the International Conference
on Communications (ICC), Genf, 23.–26. Mai 1993; New York, IEEE,
US, Ausgabe 3, 23. Mai 1993, Seiten 1–7, XP010136856 ISBN: 0-7803-0950-2,
beschreibt ein Klienten Netzwerk Management for ATM-Netzwerke.
-
Große VPNs
sind kompliziert und umständlich
zu verwalten. Das Auf-dem-laufenden-Halten
der Information über
die Struktur des VPN an jedem Ort bzw. Ort (Netz oder Gruppe von
Netzen, die mit dem VPN verbunden sind) ist problematisch, jedoch
absolut erforderlich. Jeder Ort muß für alle anderen Orte die richtige
Konfiguration haben, um mit ihnen kommunizieren zu können. In
großen
VPNs können
Dutzende oder Hunderte von Orten vorhanden sein, und die Konfiguration
kann sich zeitlich ziemlich häufig ändern, und
wenn die Konfiguration eines VPN-Ortes sich ändert, müssen alle
Orte angepaßt
werden. Das heißt,
der Administrator der Orte, die ihre Konfiguration ändern, muß mit den
Administratoren aller anderen Orte in Verbindung treten und ihnen
die Änderungen
mitteilen, weshalb sie ihre Sicherheitsübergänge umgestalten müssen.
-
1 zeigt
ein Beispiel für
eine Netztopologie mit vier Orten 101–104, die miteinander
mit Hilfe von VPNs kommunizieren können. Die Orte 101–104 sind
mit dem Internet 100 über
Sicherheitsübergänge 105–108 verbunden.
Jeder Sicherheitsübergang
wird durch einen platzspezifischen Verwaltungsserver 109–112 verwaltet,
der sich gewöhnlich
an dem entsprechenden Ort befindet, und jeder Ort ist mit einer VPN-Konfigurationsinformation
für alle
Orte sowie der Konfiguration des Ortes selbst ausgestattet. Für den Fall,
daß der
Sicherheitsübergang
wie ein Firewall arbeitet, wird natürlich die Firewall-Konfiguration (Zugangsregeln)
der Sicherheitsübergänge für die anderen
Orte nicht verdoppelt.
-
Ein
Vorschlag für
die Verwaltung großer VPNs
ist ein sternartiges VPN, bei dem eine zentrale "Nabe" wie
ein VPN-Richtungsgeber arbeitet. Jeder Ort steht mit der Nabe in
Verbindung, die die Pakete entschlüsselt und dann von neuem verschlüsselt, so daß sie von
der Nabe mit dem Zielort verbunden werden können. Auf diese Weise benötigen die
VPN-Orte nicht die up-to-date-VPN-Information aller anderen Orte.
Statt dessen reicht die Verbindung mit der zentralen Nabe aus.
-
2 zeigt
die Netztypologie von 1 in Verbindung mit dem sternähnlichen
VPN. Die Orte weisen nunmehr nur die VPN-Konfiguration des Ortes
selbst und einer zentralen Nabe 200 auf. Die zentrale Nabe
enthält
die VPN-Konfiguration aller Orte in der Konfiguration, und die Orte
sind über
die zentrale Nabe miteinander verbunden.
-
Der
Nachteil des sternähnlichen
VPN besteht darin, daß an
der Nabe eine Prozeßenergie
erforderlich ist. Der Sicherheitsübergang an jedem Ort weist
noch dieselbe Verschlüsselungsbelastung
auf wie bei dem üblichen
verteilten VPN, jedoch ist die Belastung der Nabe tatsächlich gleich
der Summe der Belastungen an allen Orten. Bei großen VPNs läßt sich
dies nur schwer oder unmöglich
erreichen und in jedem Fall ist es sehr teuer. Darüber hinaus sind
die in den VPNs übermittelten
Daten in der Nabe in Klartextform, wodurch augenscheinlich ein Sicherheitsrisiko
gegeben ist.
-
Wenn
alle Orte, die zu einem VPN gehören, dieselbe
Organisation aufweisen, besteht die Möglichkeit, sie mit Hilfe vorhandener
Werkzeuge zentral zu verwalten. In diesem Fall werden alle Aspekte
der Sicherheitsübergänge, einschließlich der
Zugangssteuerungskonfiguration, von einem zentralen Ort aus verwaltet,
siehe beispielsweise US-A-6 079 020. Die Orte jedoch, die mit einem
VPN verbunden sind, sind nicht immer Orte einer Partei, sondern
viele unterschiedliche Organisationen können den Wunsch haben, zwischen
sich ein VPN zu errichten. Es versteht sich, daß eine solche zentrale Verwaltung
aller Aspekte der Sicherheitsübergänge nicht
geeignet ist, wenn verschiedene Organisationen involviert sind. Daher
soll ein neuer Weg gefunden werden, die VPNs von mehr als einer
Organisation und insbesondere von großen VPNs zu verwalten.
-
Eine
Aufgabe der Erfindung besteht deshalb darin, ein Verfahren, ein
System, eine VPN-Einrichtung, eine VPN-Informations-Provider-Vorrichtung, ein
erstes und ein zweites computerlesbares Medium sowie einen ersten
und einen zweiten computerlesbaren Code zur Verwaltung von VPN-Einrichtungen zu
schaffen, mit dem alle o. g. Probleme vermieden oder zumindest verkleinert
werden. Diese Aufgabe wird erfindungsgemäß gelöst, wie in den unabhängigen Ansprüchen beschrieben.
Bevorzugte Ausführungsformen
der Erfindung sind in den abhängigen Ansprüchen beschrieben.
Die Merkmale eines unabhängigen
Anspruchs können
des weiteren mit den in einem anderen unabhängigen Anspruch beschriebenen
Merkmalen, wie dargestellt, kombiniert werden, um weitere Ausführungsformen
der Erfindung zu schaffen.
-
Der
Erfindungsgedanke besteht darin, eine zentralisierte VPN-Verwaltung
mehrerer VPN-Orte mit Hilfe eines VPN-Informations-Providers (VIP)
zu schaffen. Das Sicherheitsübergänge- (oder
andere VPN-Einrichtungen) Management wird so verteilt, daß wenigstens
ein Teil der VPN-Konfiguration (insbesondere derjenige Teil, der
die Ortadressierung betrifft, verwendet bei Verschlüsselungsalgorithmen und
Schlüsselverwaltung),
zentral verwaltet wird, ohne die Kontrolle über die Firewall-Regelbasis
oder einer anderen kritischen lokalen Konfiguration, die für die Übergangssicherung
benutzt wird, aufzugeben. Es können
mehrere VPNs von unterschiedlichen VIPs gehandhabt werden, so daß eine Organisation, die
die Erfindung benutzt, mit mehreren unabhängigen VPNs flexibel in Verbindung
treten kann.
-
Der
erfindungsgemäße VIP ist
eine Partei gegenseitigen Vertrauens, bei der die Parteien, die ein
VPN kontaktieren, willens sind, Konfigurationsinformationen zu akzeptieren.
-
Die
Erfindung betrifft in erster Hinsicht ein Verfahren zum Verwalten
von VPN-Einrichtungen, dessen
Merkmale im Anspruch 1 gekennzeichnet sind.
-
Die
Konfiguration wenigstens einer anderer VPN-Einrichtung läßt sich
direkt für
die erste VPN-Einrichtung schaffen oder über wenigstens ein anderes
Verwaltungssystem.
-
Die
VPN-eigene Konfiguration einer vorhandenen VPN-Einrichtung läßt sich
in dem VIP oder einem anderen Verwaltungssystem definieren, von dem
aus die Konfiguration für
das VIP zu Aufrechterhaltungszwecken geschaffen wird.
-
Die
Schaffung der Konfiguration bzw. Konfigurationen anderer VPN-Einrichtungen
für eine VPN-Einrichtung
läßt sich
dadurch bewirken, daß an eine
erste VPN-Einrichtung,
die zu der ersten VPN gehört,
eine Information über
die VPN-Konfigurationen
gesandt wird, die im VIP enthalten sind und daß von dem ersten VIP eine VPN-Konfiguration
eines anderen Sicherheitsübergangs
verlangt wird, falls erforderlich, die zu der ersten VPN gehört. Diese
Information über
die VPN-Konfigurationen,
welche im VIP enthalten sind, kann beispielsweise ein Adressensatz
sein, der sich in dem ersten VPN befindet. (Der Adressensatz kann
eine einzelne Adressenreihe oder mehrere Adressenreihen sein, die
sich auf unterschiedliche Orte, welche im VPN enthalten sind, beziehen.)
In diesem Fall betrifft die Anforderung von der ersten VPN-Einrichtung
eine Adresse, die im ersten VPN enthalten ist sowie die Anforderung,
daß eine
andere VPN-Einrichtung im VIP identifiziert wird, in dem eine VPN-Einrichtung
gefunden wird, die sich auf diese Adresse bezieht. Diese Information über Konfigurationen,
d. h. der Adressensatz, kann an die VPN-Einrichtungen übermittelt
werden, nachdem eine Änderung
im Adressensatz, der im ersten VPN enthalten ist, stattgefunden
hat oder nachdem eine vorbestimmte Zeit vergangen ist, seitdem die
Information zuletzt ausgesendet worden ist.
-
Alternativ
dazu kann der VIP an VPN-Einrichtungen geschickt werden, die zu
dem ersten VPN und VPN-Konfigurationen gehören, welche im VIP enthaften
sind, so daß die
Konfigurationen in den VPN-Einrichtungen schnell zugänglich sind,
falls dies notwendig sein sollte. Die in dem VIP vorhandenen VPN-Konfigurationen
können
beispielsweise verschickt werden, nachdem eine neue VPN-Konfiguration
dem VIP hinzugefügt
worden ist, nachdem eine alte VPN-Konfiguration aus dem VIP entfernt
worden ist, nachdem eine VPN-Konfiguration wenigstens einer VPN-Einrichtung im VIP
geändert
worden ist oder nachdem eine bestimmte Zeitspanne vergangen ist, seitdem
die Konfigurationen letztmalig übermittelt worden
sind. Daß heißt, alle Änderungen
müssen
sofort den VPN-Einrichtungen zugeführt werden.
-
In
jedem der obigen Fälle
kann der VIP nur Änderungen
oder Zusätze
zur Information oder Konfigurationen absenden, die vorher übermittelt
worden sind (inkrementales Abdaten) oder alle zur Verfügung stehenden
Informationen oder Konfigurationen (vollständiges Abdaten).
-
Erfindungsgemäß wird die
ganze Verschlüsselungs-/Entschlüsselungsbelastung
den Firewalls oder Sicherheitsübergängen zugeordnet,
die die Orte schützen,
während
die VPN-Verwaltung mit Hilfe der VIPs zentralisiert wird, um an
jedem Ort eine folgerichtige Konfiguration zu erreichen. Es gibt
auch keinen zentralen Ort, wo der ganze Verkehr in Klartextform
vorliegt wie in der zentralen Nabenanordnung, so daß die Kommunikation
sicherer ist als bei einer sternartigen Struktur.
-
Das
erfindungsgemäße Verfahren
ermöglicht
eine flexible Verwaltung eines VPN zwischen mehreren autonomen Organisationen.
Dazu kommt, daß die
VPN-Verwaltung als
Dienstleistung etabliert wird. Daß heißt, die Erfindung bietet den
MSPs (gemanagter Service-Provider) eine Möglichkeit, mit Hilfe der VIPs
einen neuartigen Service zu schaffen. Die VPN-Konfiguration wird
unabhängig
von anderen Konfigurationsinformationen verwaltet und deshalb kann
die Verwaltung der VPN-Konfiguration mit Sicherheit außer Haus
stattfinden und eine Organisation leicht mit unterschiedlichen VPNs
verbunden werden, die durch mehrere unterschiedliche VIPs verwaltet
werden.
-
Diese
und andere Merkmale der Erfindung sowie dadurch gegebene Vorteile
werden im folgenden anhand von Ausführungsbeispielen unter Bezug auf
die Zeichnungen näher
erläutert.
In der Zeichnung zeigen:
-
1 ein
Beispiel einer Netztopologie;
-
2 eine
sternartige VPN-Topologie;
-
3, 4 und 5 erfindungsgemäße Netztopologiebeispiele;
-
6 ein
Fließbild
der Verwaltung von VPN-Einrichtungen für eine erfindungsgemäße Ausführung;
-
7 ein
Fließbild
der Verwaltung von VPN-Einrichtungen für eine andere erfindungsgemäße Ausführung; und
-
8 ein
Fließbild,
das die Handhabung der VPN-Konfiguration in einer VPN-Einrichtung
bei einer weiteren erfindungsgemäßen Ausführungsform zeigt.
-
Die 1 und 2 sind
im einzelnen oben in Verbindung mit dem Stand der Technik diskutiert worden.
-
Die
folgende Beschreibung der Erfindung bezieht sich hauptsächlich auf
ein VPN, das mit einer Firewall verwirklicht werden kann. Das erfindungsgemäße Verfahren
läßt sich
jedoch auch bei beliebigen Sicherheitsübergänge ohne Firewallfunktion sowie bei
einer VPN-Kundenlösung
anwenden, die eine VPN-Verbindung für eine einzelne (oftmals mobile) Hilfe
schafft. Dazu kommt, daß die
Erfindung in Verbindung mit dynamischen Sicherheitsübergängen (Schleusen,
die keine statische IP-Adresse
haben) verwendet werden kann. Daher läßt sich die Erfindung in beliebigen
Einrichtungen benutzen, die als Endpunkt eines VPN arbeiten.
-
Gemäß einem
Merkmal der Erfindung ist die VPN-eigene Konfiguration Bestandteil
eines lokalen Verwaltungssystems oder in einem MSP-Verwaltungssystem
verwirklicht, wenn das VPN durch einen MSP verwaltet wird. Die VPN-Konfiguration läßt sich zusammen
mit der Zugangsregelkonfiguration der VPN-Einrichtung festlegen, wenn die VPN-Einrichtung
als Firewall wirkt. Die VPN-Einrichtung
kann jedoch ein einfacher Verschlüsselungs-/Entschlüsselungsendpunkt
eines VPN ohne Firewallwirkung sein. Wenn der Ort hinter der VPN-Einrichtung mit beispielsweise
VPN1 in Verbindung treten soll, ist die VPN-Konfiguration der VPN-Einrichtung für VIP1, also
die verwaltende VPN1 vorgesehen. Alternativ dazu kann die VPN-Konfiguration
für den Übergang von
dem VIP1 vorgesehen werden.
-
Der
VIP1 stattet die VPN-Einrichtung mit VPN-Konfigurationen anderer
Endpunkte aus, die zum VPN1 gehören
oder mit Informationen über
die Konfiguration des VPN1 als Ganzes. Im früheren Fall verwendet die VPN-Einrichtung
die Konfiguration normalerweise für die Kommunizierung mit dem VPN1
und dem VIP1 und sorgt dafür,
daß die
Konfiguration der VPN-Einrichtung up-to-date ist. Im letzteren Fall
ertragt die VPN-Einrichtung, falls erforderlich, die aktuelle Konfiguration
von dem VIP1.
-
Es
sei darauf hingewiesen, daß die
erfindungsgemäße Anordnung
keine Zugeständnisse
an die Sicherheit der VPNs macht, obgleich die VPN-Konfigurationsinformation
aller Orte von einem zentralen Punkt (VIP) erhältlich ist. Die Konfiguration weist
die Bestätigungsschlüssel der
Orte auf, d. h. also der Endpunkte der VPNs, jedoch wird im VPN jede
Verbindung mit speziellen Verbindungsschlüsseln verschlüsselt, die
zwischen den Kommunikationsplätzen
ausgehandelt werden, so daß die
Kenntnis des Bestätigungsschlüssels eines
Ortes keine Möglichkeit
bietet, in eine VPN-Verbindung einzubrechen.
-
3 zeigt
eine beispielhafte Netztopologie gemäß einem Erfindungsmerkmal.
Die Orte von 1 sind durch Sicherheitsübergänge 301–304 gesichert,
die die VPN-Konfiguration, bezogen auf das VPN zwischen den Orten
für andere
Orte wie beim Stand der Technik aufweisen. Somit übernehmen
die Sicherheitsübergänge alle
Verschlüsselungsaufgaben.
Jetzt haben jedoch die lokalen Verwaltungssysteme 305–308 nichts
zu tun mit der Schaffung der VPN-Konfiguration der Sicherheitsübergänge. Die VPN-Konfigurationsinformation
der Orte wird in die Sicherheitsübergänge von
einem VPN-Informations-Provider (VIP) 300 geladen. Es sei
hier darauf hingewiesen, daß,
obgleich in der Zeichnungsfigur nur ein VIP dargestellt ist, die
VPN-Konfiguration für einige
andere VPN aus einigen anderen VIP in die Sicherheitsübergänge geladen
werden kann und daß die
Anzahl der unterschiedlichen VPN-Konfigurationen und verwendeten
VIPs nicht beschränkt
ist.
-
Sobald
sich die Konfiguration eines Ortes ändert, braucht die Änderung
nur in dem VIP vorgenommen zu werden, von dem dann die neueste (updated) Konfiguration
in die Sicherheitsübergänge aller
Orte geladen wird. Der VIP lädt
die Konfiguration beispielsweise jedesmal, nachdem eine Änderung
in der Konfiguration stattgefunden hat, in die Sicherheitsübergänge. Die Änderung
kann ein Hinzutreten oder ein Entfernen eines Ortes oder eine Abänderung
einer gewissen Ortkonfiguration betreffen. Dazu kommt, daß der VIP
die Konfigurationsinformation an die Sicherheitsübergänge geben kann, nachdem ein bestimmtes
Zeitintervall vergangen ist, seitdem die Konfiguration zum letzten
Mal an der Sicherheitsübergang
gegeben wurde, um dadurch die Möglichkeit auf
ein Mindestmaß zu
beschränken,
daß die
Orte keine up-to-date-Konfiguration haben. Die Sicherheitsübergänge verwenden
die von dem VIP geladene VPN-Konfiguration in derselben Weise, wie
sie die von einem lokalen Verwaltungssystem geladene Konfiguration
benutzen würden.
Die Sicherheitsübergänge müssen grundsätzlich so
gestaltet sein, daß sie
die Konfiguration von dem VIP übernehmen
können,
sonst braucht aber ihr Betrieb nicht geändert zu werden. Die Kommunikation
zwischen dem VIP und den Sicherheitsübergänge wird durch einige geeignete
Maßnahmen
verschlüsselt;
so beispielsweise kann dafür
das Secure Sockets Layer (SSL)-Protokoll benutzt werden. Dazu kommt,
daß einige
Teile der Konfiguration der Sicherheitsübergänge, beispielsweise die Konfiguration,
die zu den VPNs keinen Bezug hat, und/oder mögliche Zugangsregeln, bezogen
auf das VPN, von platzspezifischen, lokalen Verwaltungssystemen 305–308 verwaltet
werden können.
-
Anstatt
die gesamte Konfiguration der Sicherheitsübergänge nach jeder Änderung
zu benutzen, braucht der VIP nur die Anzeige zu bedienen, daß die Konfiguration
sich geändert
hat, und der Sicherheitsübergang
kann dann veranlassen, daß die neueste
Konfiguration von dem VIP auf den Sicherheitsübergang übertragen wird.
-
4 zeigt
ein Netztopologiebeispiel gemäß einem
anderen Erfindungsmerkmal. Hier werden drei Orte mit Hilfe von Sicherheitsübergänge 404–406 gesichert,
von denen der Sicherheitsübergang 404 von einer
lokalen Verwaltung 403 gemanagt wird und die Sicherheitsübergänge 405 und 406 von
dem MSP-Verwaltugnssytem 402 gemanagt werden. Natürlich braucht
der MSP-Verwaltungs-Anschluß an die
Sicherheitsübergänge 405 und 406 nicht über das Internet,
wie in der Zeichnungsfigur gezeigt, zu erfolgen, sondern beispielsweise
durch eine geleaste Leitung. Die Sicherheitsübergänge der Orte 1 und 2, die im
VPN1 zusammenlaufen, sind mit einer Identifikationsinformation für den VIP1 400 versehen
(VIP-Identifikation ist auf eine lokale Verwaltung oder ein MSP-Verwaltungssystem
beschränkt),
wobei diese Information das VPN1 verwaltet. Die Orte empfangen die
VPN-Konfiguration für
das VPN1 von dem VIP1. Gleichermaßen sind die Sicherheitsübergänge der Orte
2 und 3, die im VPN2 zusammenlaufen, mit einer Identifikationsinformation
für VIP2 401 versehen, die
das VPN2 verwaltet, und sie empfangen die VPN-Konfiguration für das VPN2 von dem VIP2. Somit
hat der Sicherheitsübergang 405 des
Ortes 2 die Identifikationsinformation sowohl für den VIP1 als auch für den VIP2.
Sobald ein Sicherheitsübergang ein
Paket feststellt, das für
eine Hilfe in einem VPN bestimmt ist, zu dem der Sicherheitsübergang
gehört,
klärt der
Sicherheitsübergang
die VPN-Konfiguration ab, die zur Errichtung eines VPN-Tunnels erforderlich
ist, um die Hilfe zu erreichen.
-
In
diesem Szenario werden alle VPN-Konfigurationen nicht auf die Sicherheitsübergänge verteilt.
Statt dessen fordern die Sicherheitsübergänge die Konfiguration von dem
VIP an, wenn sie benötigt wird.
Um in der Lage zu sein, die Konfiguration zu erfragen, müssen die
Sicherheitsübergänge wissen, von
welchem VIP die Frage kommt. Zu diesem Zweck teilen die VIPs den
Sicherheitsübergängen die
Information über
die Konfigurationen mit, die sie Information über die Konfigurationen mit,
die sie haben. Diese Information kann beispielsweise eine Liste
von IP-Adressen sein, die in dem VPN enthalten sind, oder eine Liste
von VPN-Orten, die das VPN aufweist. Prinzipiell bedeutet dies die
Adressen, die mit Hilfe des entsprechenden VPN überreicht werden können. Im
letzteren Fall wird für
einen Sicherheitsübergang
nur erforderlichenfalls der spezifische andere Endpunkt (andere
VPN-Einrichtung und ihre Konfiguration), für den ein bestimmter VPN-Tunnel
bestimmt sein soll, vorgesehen. Der Vorteil dieser Lösung besteht
in einer kleineren Datenmenge, die auf die Sicherheitsübergänge verteilt
werden muß.
Da es wahrscheinlich ist, daß in
vielen VPNs nicht alle Übergänge mit
allen anderen Übergängen kommunizieren,
brauchen nicht alle Übergängen notwendigerweise
eine Konfiguration für
alle möglichen
anderen Endpunkte. Darüber
hinaus lösen
nur grundlegende Änderungen
in der Konfiguration des ganzen VPN die Forderung nach Verteilung
der Daten auf alle Sicherheitsübergänge aus.
Da die Konfiguration eines Übergangs
von dem VIP vor der Benutzung erfragt wird, brauchen geringfügige Änderungen
in der Konfiguration eines Sicherheitsübergangs nicht sofort allen
anderen Sicherheitsübergänge mitgeteilt
zu werden. Nur wenn ein neuer Ort dem VPN hinzugefügt oder
von ihm entfernt wird, d. h. sich der Adressenbereich des VPN ändert, müssen alle
Sicherheitsübergänge über die Änderung
informiert werden.
-
Dazu
kommt, daß diese
Anordnung die Benutzung dynamischer Sicherheitsübergänge ermöglicht. Wenn ein Sicherheitsübergang
seine Adresse dynamisch erhält,
beispielsweise von einem DHCP (Dynamic Host Configuration Protocol)-Server, können andere Übergänge nicht
wissen, von welcher Adresse der dynamische Sicherheitsübergang
zu einer gegebenen Zeit erreicht wird. Jetzt lassen sich Adressen
hinter dem dynamischen Sicherheitsübergang in einem VIP aufrechterhalten
und von dort an andere Übergänge befördern. Der
dynamische Sicherheitsübergang
informiert dann das VIP über
seine augenblickliche Adresse jedesmal, wenn sich seine Adresse ändert. Das
VIP übermittelt
daraufhin die augenblickliche Adresse, falls erforderlich, an einen anderen Übergang
(andere Übergänge fragen
nach der gegenwärtigen
Adresse auf der Grundlage einer am Ort des dynamischen Übergangs
vorhandenen Adresse). Da sich die Adresse ei nes dynamischen Übergang
jederzeit ändern
kann, beispielsweise aufgrund von Verbindungsfehlern, und andere Übergangskonfigurationen,
die sie von einem VIP für
die künftige
Verwendung erhalten haben, verstecken können, ist es möglich, daß ein Sicherheitsübergang für einen
dynamischen Übergang
eine out-of-date-Konfiguration
aufweist. Es ist daher vorteilhaft, wenn das VIP die Konfiguration
eines dynamischen Sicherheitsübergangs
hat, der sich von den statischen Konfigurationen unterscheidet.
Auf diese Weise kann der Sicherheitsübergang beispielsweise die
Zeit einstellen, in der eine Konfiguration eines dynamischen Übergangs
versteckt wird oder auf andere Weise dynamische und statische Eingänge unterschiedlich
behandeln.
-
5 zeigt
ein Beispiel für
eine Netztopologie gemäß einem
weiteren Erfindungsmerkmal. Hierbei werden die Sicherheitsübergänge 503 und 506 der
Orte 1 und 3 durch die lokale Verwaltung 504 bzw. das MSP 502 verwaltet.
Die VPN-Konfigurationen
der Sicherheitsübergänge werden
in der lokalen Verwaltung oder dem MSP festgelegt. Die Konfigurationen
werden hier für
ein VIP 500 vorgesehen und aufrechterhalten. Es wird darauf
hingewiesen, daß dann,
wenn das VIP die VPN-Konfiguration eines Sicherheitsübergangs
empfängt, überprüft werden kann,
ob die Konfiguration mit der VPN-Politik des VIP und mit den VPN-
Konfigurationen der anderen Sicherheitsübergänge, die zu dem VPN gehören, kompatibel
ist. Dies läßt sich
durch einfaches Vergleichen der neuen Konfiguration mit den Konfigurationen
der anderen Übergänge bewirken.
Wenn die Sicherheitsübergänge einen
VPN-Tunnel errichten, fragen sie zuerst nach der Konfiguration des
anderen Endpunktes vom VIP (dies ist im Detail oben in Verbindung
mit 4 beschrieben).
-
Zusätzlich zu
den Orten 1 und 3, die zu dem VPN gehören, gibt es einen VPN-Klienten 505,
der auch mit dem VPN verbunden ist. Die VPN- Konfiguration des VPN-Klienten
ist im VIP enthalten, und zwar in ähnlicher Weise wie die Konfigurationen
der dynamischen Sicherheitsübergänge.
-
Die
Ausführungsbeispiele
der Erfindung, die in den 3 bis 5 dargestellt
sind, sind nicht als Einschränkung
zu verstehen. Statt dessen können die
Details eines Ausführungsbeispiels
mit den Details eines anderen Beispiels in an sich beliebiger geeigneter
Weise kombiniert werden.
-
Der
VIP und die VPN-Einrichtungen (Sicherheitsübergänge, Firewalls, VPN-Klienten) können erfindungsgemäß in einer
geeigneten Kombination von Hardware und Software verwirklicht werden.
Typischerweise ist die Verwirklichung ein Softwareprogrammcode,
die in einer Prozessoreinheit durchgeführt wird, und zwar in Kombination
mit geeigneten Speicherresourcen.
-
Ein
Hauptteil der Verwirklichung der Erfindung besteht in einer Änderung
der Handhabung der Konfiguration der VPN-Einrichtung. Eine erfindungsgemäße VPN-Einrichtung
ist in der Lage, von mehr als einer Verwaltungsgesamtheit, beispielsweise
von einer lokalen Verwaltung und einem VIP, eine Konfiguration zu
erhalten. Im allgemeinen bietet das VIP eine VPN-Konfiguratian,
und eine lokale Verwaltung schafft Zugang zu einer Regelkonfiguration.
Jedoch kann eine lokale Verwaltung genausogut eine VPN-Konfiguration
bieten. Die VPN-Einrichtung ist in der Lage, einen unterschiedlichen
VIP zu identifizieren, beispielsweise mit Hilfe von Zertifikaten.
Dazu kommt, daß eine
VPN-Einrichtung überprüfen kann, ob
eine von einem VIP erhaltene VPN-Konfiguration mit einer anderen
Konfiguration der VPN-Einrichtung übereinstimmt, bevor die Konfiguration
zur Benutzung akzeptiert wird.
-
Ein
VIP kann grundsätzlich
einem zentralisierten VPN-Verwaltungssystem, das in der Lage ist, VPN-Einrichtungen
zu handhaben, gleich sein. Der VIP bietet somit die Möglichkeit,
VPN-Konfigurationen zu bestimmen und sie in die VPN-Einrichtungen zu
laden. Alternativ dazu, kann ein VIP definierte VPN-Konfigurationen zur
Aufrechterhaltung schnell erfassen. In diesem Fall ist der VIP,
der ein VPN verwaltet, vorzugsweise in der Lage zu bestätigen, daß eine empfangene
neue Konfiguration mit den Konfigurationen der anderen Übergänge, die
zu dem VPN gehören,
kompatibel ist. Dazu kommt, daß ein
VIP gemäß einem
weite ren Merkmal der Erfindung einen Mechanismus aufweist, mit dem
VPN-Einrichtungen mit
Informationen über
die Konfigurationen versorgt werden können, die in dem VIP enthalten
sind und mit dem eine Konfiguration auf Anforderung an VPN-einrichtungen übermittelt
werden kann, d. h. die Beantwortung einer Anforderung.
-
Merkmale
der Erfindung sind des weiteren in den Fließbildern der 6, 7 und 8 dargestellt. 6 zeigt
ein Fließbild
der Verwaltung der VPN-Einrichtungen gemäß einem Merkmal der Erfindung.
In den Schritten 600 und 602 werden VPN-Konfigurationen für VPN-Einrichtungen
definiert und die Konfigurationen in einem VIP gehalten. Die VPN-Konfiguration
einer gegebenen VPN-Einrichtung kann in dem VIP oder in einem gewissen
anderen Verwaltungssystem festgelegt werden, von dem aus die Konfiguration
für den
VIP zur Erhaltung festgelegt wird. Im Schritt 604 wird
dann eine VPN-Einrichtung mit VPN-Konfiguration einer anderen VPN-Einrichtung dadurch
geschaffen, daß die
Konfiguration von dem VIP versandt wird. Im Schritt 606 werden
bestimmte Merkmale der VPN-Einrichtungen durch ein etwas anderes
Verwaltungssystem verwaltet. Derartige Merkmale können beispielsweise
Zugangsregelkonfigurationen oder Konfigurationen sein, die auf eine
andere VPN-Konfiguration bezogen sind.
-
7 zeigt
ein Fließbild
für die
Verwaltung von VPN-Einrichtungen gemäß einem anderen Erfindungsmerkmal.
Hier werden VPN-Konfigurationen für VPN-Einrichtungen festgelegt, die zum ersten
und zum zweiten VPN in der Stufe 700 gehören. Die
Konfigurationen für
das erste VPN sind in einem ersten VIP und die Konfigurationen für das zweite
VPN in einem zweiten VIP in den Stufen 702 bzw. 704 enthalten.
Auch in diesem Fall kann die VPN-Konfiguration einer gegebenen VPN-Einrichtung
in einem VIP oder einem anderen Managementsystem festgelegt sein, von
dem die Konfiguration für
den entsprechenden VIP zur Aufrechterhaltung vorgesehen ist. Im
Schritt 701 erhält
dann eine VPN-Einrichtung, die zu dem ersten und dem zweiten VPN
gehört,
die VPN-Konfiguration wenigstens einer anderen VPN-Einrichtung, die
zu dem ersten VPN gehört,
von dem ersten VIP, und die VPN-Konfiguration wenigstens einer anderen VPN-Einrichtung,
die zu dem zweiten VPN gehört, von
dem zweiten VIP.
-
8 ist
ein Fließbild,
das die Handhabung der VPN-Konfiguration in einer VPN-Einrichtung gemäß noch einem
anderen Merkmal der Erfindung zeigt. In der Stufe 800 empfängt die
VPN-Einrichtung die Information über
die VPN-Kanfigurationen, die in einem VIP enthalten sind (z. B.
einem Adressensatz in der entsprechenden VPN). Daraufhin erhält die VPN-Einrichtung
ein Datenpaket, das für
das VPN in der Stufe 802 bestimmt ist. Auf der Grundlage
der von dem VIP erhaltenen Information fragt die VPN-Einrichtung
im Schritt 804 beim VIP nach der VPN-Konfiguration und verwendet die VPN-Konfiguration,
die von dem VIP erhalten wurde, zur Errichtung eines VPN-Tunnels
für das
Datenpaket.
-
Es
versteht sich für
den Fachmann, daß die dargestellten
und beschriebenen Ausführungsformen
nur Beispiele sind.