Die Sicherheit von Netzwerken und deren zuverlässige Funktion auf jeder Ebene beschäftigen Entwickler von Kommunikationssystemen seit den allerersten Anfängen. Die von der RAND Corporation entwickelte Idee eines Weitverkehrsnetzes, das als Grundlage für das heutige Internet diente, zielte darauf ab, ein Computernetz zu schaffen, das selbst bei teilweiser Zerstörung weiterarbeiten kann. Dieses Konzept wurde von der globalen Ebene auf Mikrolösungen übertragen, die heute in Millionen von WAN-, MAN- und LAN-Netzen weltweit eingesetzt werden. Wie so oft sind Technologien, die ursprünglich für militärische Zwecke entwickelt wurden, später in zivile Anwendungen eingeflossen. Einige direkt, wie TACACS+ und RADIUS für die Authentifizierung, andere als übernommene Konzepte wie Dezentralisierung von Diensten oder Redundanz von Geräten.
Aufgrund der großen Bandbreite des Begriffs Netzwerksicherheit fokussiert sich dieser Beitrag auf drei Kernthemen:
1. sichere Authentifizierung von Benutzern,
2. Ringprotektion in der Aggregationsschicht,
3. Redundanz auf Core-Ebene des Netzes.
1. SICHERE AUTHENTIFIZIERUNG VON BENUTZERN
Eine reibungslose Bereitstellung von Diensten für Teilnehmer ist die Basis für den Erfolg eines Netzes, jedoch sind ebenso wichtig die Aspekte einer sicheren Benutzer-Authentifizierung. Neben Funktionen, die etwa vor Angriffen auf ARP-Pakete oder DHCP-Services schützen, ist entscheidend, dass die Authentifizierung des Users selbst sicher erfolgt. Eine der besten Funktionen für diesen Zweck ist die Authentifizierung mit einem RADIUS-Server gemäß dem Standard IEEE 802.1X. Ein wesentlicher Vorteil dieses Ansatzes ist die Eliminierung des Risikos eines unautorisierten Netzzugriffs bereits auf der Access-Layer-Ebene sowie die Möglichkeit unterschiedlicher Verschlüsselungsverfahren. Zusätzlich kann die RADIUS-Authentifizierung sowohl in kabelgebundenen als auch in drahtlosen und gemischten Netzen eingesetzt werden.
2. RINGPROTEKTION IN DER AGGREGATIONSSCHICHT DES NETZES
Die Sicherheit auf Aggregations- und Distributionsniveau sowie an den Netzgrenzen hängt wesentlich mit Topologie und Architektur zusammen.
Bei einer typischen Stern- oder Baumtopologie müssen Mechanismen für lineare Protektion eingesetzt werden, etwa LACP (für die Absicherung physischer Links), G.8031 oder Port Backup für eine vollständige Protektion. Deutlich robuster ist jedoch eine Ringtopologie auf Basis des Protokolls G.8032, die in Kombination mit LACP-Linkaggregation eine hohe Ausfallsicherheit sowohl für physische Verbindungen als auch für Geräte bietet – mit Umschaltzeiten von unter 50 ms. Besonders wichtig ist, dass diese Protokolle heterogene Verbindungsgeschwindigkeiten zulassen. Bei sehr engem Projektbudget kann der Backup-Link daher auf günstigeren Geräten als der Haupt-Backbone basieren. Ideal ist es, wenn Ringprotokolle bereits in Einstiegsmodellen von Switches verfügbar sind. So lassen sich Ringstrukturen flexibel in neuen sowie bereits betriebenen Netzen aufbauen.
Optimal ist der Einsatz von Switches, die gleichzeitig in mehreren Ringen arbeiten und aggregierte Ports für Ringverbindungen nutzen können.
Der Funktionsmechanismus von Ringprotokollen ermöglicht es, in Baumstrukturen das Spanning Tree zu ersetzen und gleichzeitig bessere Umschaltzeiten (unter 50 ms) zu erzielen. Es gibt einen Hauptknoten (Master) und Transferknoten. Zunächst wird der Hauptknoten des Rings definiert und an ihm die Ports „primary“ und „secondary“. Dieser Punkt ist entscheidend, da hier festgelegt wird, welcher Pfad des Rings als inaktiver (Backup-)Link fungiert. Anschließend werden die Transferknoten des Rings mit der jeweils korrekten Portreihenfolge definiert. Die Reihenfolge ist wichtig, weil die Ports unterschiedliche Rollen haben: Der „primary“-Port dient zum Senden der „Hello“-Pakete, der „secondary“-Port zum Empfangen. Abschließend werden die Timer konfiguriert: hello timer und fail timer. Mit dieser Konfiguration sendet das Gerät im Fehlerfall (kein „Hello“-Paket innerhalb der im fail timer definierten Zeit, üblicherweise größer als das Dreifache des hello timer) ein „link down“-Paket an den Hauptknoten. Dieser schaltet daraufhin den „secondary“-Port frei, wodurch sich die Routing-Pfade im Netz ändern.
3. REDUNDANZ AUF CORE-EBENE DES NETZES
Sind Access- und Aggregationsschicht entsprechend konfiguriert, bleibt abschließend die Konfiguration der Geräte an der Grenze des sicheren Netzes. Das vorgeschlagene verteilte System wurde mit 10GE-Links verbunden. Dabei können beliebige 10GE-Links verwendet werden – SR, LR, ER, ZR oder passiver Twinax. Unsere Empfehlung für die Realisierung dieser Links sind optische SFP-Module mit geprüft hoher Qualität und sehr gutem Preis-Leistungs-Verhältnis wie:
- Optischer Transceiver SFP+ SR 10Gbs 850nm LC DDM MMF 300m (VSCEL+PIN), Modell LO-SP-10G-SR
- Optischer Transceiver SFP+ LR 10Gbs 1310nm LC DDM SMF 10km (DFB+PIN), Modell: LO-SP-10G-LR
- Optischer Transceiver SFP+ ER 10Gbs 1550nm LC DDM SMF 40km (EML+PIN), Modell LO-SP-10G-ER
- Optischer Transceiver SFP+ ZR 10Gbs 1550nm LC DDM SMF 80km, Modell LO-SP-10G-ZR
Die Flexibilität dieser Lösung beruht auf der Möglichkeit, die Switches entweder als eigenständige Einheiten zu betreiben oder sie per VSF-Funktion zu einem logischen Switch zusammenzufassen – unabhängig von der physikalischen Entfernung zwischen den Standorten.
Eine solche Konfiguration der Core-Geräte erleichtert das Management der gesamten Struktur erheblich, bei gleichzeitiger Dezentralisierung der zentralen Funktionalität. Gleichzeitig eröffnet sie zahlreiche Optionen, um sich vor dem Ausfall einzelner Teile des Systems zu schützen.
Das von uns vorgestellte Beispielnetz ist nur eine von vielen Möglichkeiten, ein hochverfügbares Telekommunikationssystem zu entwerfen. Die umfangreiche Funktionalität moderner Carrier- und Provider-Switches bietet Netzarchitekten eine Vielzahl an Architektur- und Sicherheitsoptionen.
Möchten Sie weitere Fachbeiträge nicht verpassen? Abonnieren Sie unseren Newsletter oder folgen Sie uns auf:
