Erweiterung einer bestehenden IKEv2-Verbindung zwischen zwei LANCOM Routern mit Post-quantum Preshared-Keys

Description:

Quanten-Computer stellen für aktuelle kryptographische Verfahren, wie sie auch in IKEv2-Verbindungen verwendet werden, eine große Herausforderung dar. Zum aktuellen Stand gelten diese Algorithmen zwar noch als sehr robust gegenüber Angriffen, es ist allerdings denkbar, dass Angreifer verschlüsselten Datenverkehr jetzt aufzeichnen und zu einem späteren Zeitpunkt mit einem Quanten-Computer entschlüsseln. 

Um Datenverkehr von IKEv2-Verbindungen auch durch Angriffe durch Quanten-Computer abzusichern, wurde im RFC 8784 "Mixing Preshared Keys in the Internet Key Exchange Protocol Version 2 (IKEv2) for Post-quantum Security" eine Erweiterung vorgestellt, mit der IKEv2-Verbindungen mit Prehared-Key (PSK) zusätzlich mit einem Post-quantum Preshared-Key (PPK) abgesichert werden können.

In diesem Artikel wird beschrieben, wie eine bestehende IKEv2-Verbindung zwischen zwei LANCOM Routern mit Post-quantum Preshared-Keys erweitert wird.

Requirements:

• LCOS ab Version 10.90 RC1 (download aktuelle Version)
• LANtools ab Version 10.90 RC1(download aktuelle Version)
• Bereits eingerichtete und funktionsfähige IKEv2-Verbindung zwischen zwei LANCOM Routern mit Preshared-Key:
  • Manuelle Konfiguration: Manually set up an IKEv2 site-to-site VPN connection with a dynamic IP address on the branch office site (IPv4)
  • Konfiguration per Setup-Assistent: Configuring an IKEv2 VPN connection between two LANCOM routers using the Setup Wizard (IPv4)

Procedure:

1. Konfiguration der Post-quantum Preshared-Keys in der Zentrale:

1.1 Verbinden Sie sich mit dem Router in der Headquarter und wechseln in das Menü VPN → IKEv2/IPSec → Extended settings.

1.2 Wechseln Sie in das Menü PPKs.

1.3 Erstellen Sie einen neuen Eintrag und passen die folgenden Parameter an:

• PPK-ID: Vergeben Sie einen eindeutigen Namen für den PPK (in diesem Beispiel PPK-1).
• PPK: Vergeben Sie ein Passwort als PPK.
• Mandatory: Wählen Sie im Dropdown-Menü die Option Yes aus. Dadurch wird die VPN-Verbindung nur dann aufgebaut, wenn auf der Gegenseite auch ein PPK verwendet wird. Mit der Einstellung No ist die Verwendung von PPKs optional.

1.4 Wechseln Sie in das Menü VPN → IKEv2/IPSec → Authentication. 

1.5 Wählen Sie die VPN-Verbindung aus, die abgesichert werden soll und klicken auf Edit.

1.6 Wählen Sie im Dropdown-Menü bei PPK-ID die in Schritt 1.3 erstellte PPK-ID aus.

1.7 Die Konfigurationsschritte in der Headquarter sind damit abgeschlossen.

2. Konfiguration der Post-quantum Preshared-Keys in der Filiale:

2.1 Verbinden Sie sich mit dem Router in der Office und wechseln in das Menü VPN → IKEv2/IPSec → Extended settings.

2.2 Wechseln Sie in das Menü PPKs.

2.3 Erstellen Sie einen neuen Eintrag und passen die folgenden Parameter an:

• PPK-ID: Tragen Sie die in Schritt 1.3 vergebene PPK-ID ein (in diesem Beispiel PPK-1).
• PPK: Tragen Sie das in Schritt 1.3 vergebene Passwort ein.
• Mandatory: Wählen Sie im Dropdown-Menü die Option Yes aus. Dadurch wird die VPN-Verbindung nur dann aufgebaut, wenn auf der Gegenseite auch ein PPK verwendet wird. Mit der Einstellung No ist die Verwendung von PPKs optional.

2.4 Wechseln Sie in das Menü VPN → IKEv2/IPSec → Authentication. 

2.5 Wählen Sie die VPN-Verbindung aus, die abgesichert werden soll und klicken auf Edit.

2.6 Wählen Sie im Dropdown-Menü bei PPK-ID die in Schritt 2.3 erstellte PPK-ID aus.

2.7 Die Konfigurationsschritte in der Office sind damit abgeschlossen.

3. Neustart der VPN-Verbindung:

Damit die vorgenommenen Änderungen umgesetzt werden, muss die VPN-Verbindung neugestartet werden. Dabei spielt es keine Rolle, ob die Trennung in der Filiale oder in der Zentrale initiiert wird.

3.1 Neustart der VPN-Verbindung per LANmonitor:

Markieren Sie die VPN-Verbindung, führen einen Rechtsklick aus und wählen im Kontextmenü die Option Disconnect aus.

3.2 Neustart der VPN-Verbindung per Konsole:

Geben Sie den Befehl zum Trennen der VPN-Verbindung im folgenden Format ein:

do Other/Manual-Dialing/Disconnect <Name of the VPN connection> 

In diesem Beispiel muss der Befehl also wie folgt lauten: 

do Other/Manual-Dialing/Disconnect HEADQUARTER

4. Prüfung der Quanten-Resistenz der VPN-Verbindung im VPN-Status:

Mit dem Konsolen-Befehl ls Status/VPN/Connections können Sie prüfen, ob der konfigurierte PPK in der VPN-Verbindung verwendet wird. Wenn für das Feld Quantum-Resistant die Option Yes ausgegeben wird, verwendet die Verbindung den PPK.