LANCOM Referenzhandbuch LCOS 7.22 © 2007 LANCOM Systems GmbH, Würselen (Germany). Alle Rechte vorbehalten. Alle Angaben in dieser Dokumentation sind nach sorgfältiger Prüfung zusammengestellt worden, gelten jedoch nicht als Zusicherung von Produkteigenschaften. LANCOM Systems haftet ausschließlich in dem Umfang, der in den Verkaufs- und Lieferbedingungen festgelegt ist. Weitergabe und Vervielfältigung der zu diesem Produkt gehörenden Dokumentation und Software und die Verwendung ihres Inhalts sind nur mit schriftlicher Erlaubnis von LANCOM Systems gestattet. Änderungen, die dem technischen Fortschritt dienen, bleiben vorbehalten. Windows®, Windows VistaTM, Windows NT® und Microsoft® sind eingetragene Marken von Microsoft, Corp. Das LANCOM Systems-Logo, LCOS und die Bezeichnung LANCOM sind eingetragene Marken der LANCOM Systems GmbH. Alle übrigen verwendeten Namen und Bezeichnungen können Marken oder eingetragene Marken ihrer jeweiligen Eigentümer sein. LANCOM Systems behält sich vor, die genannten Daten ohne Ankündigung zu ändern, und übernimmt keine Gewähr für technische Ungenauigkeiten und/oder Auslassungen. Produkte von LANCOM Systems enthalten Software, die vom ,,OpenSSL Project" für die Verwendung im ,,OpenSSL Toolkit" entwickelt wurden (http://www.openssl.org/). Produkte von LANCOM Systems enthalten kryptographische Software, die von Eric Young (eay@cryptsoft.com) geschrieben wurde. Produkte von LANCOM Systems enthalten Software, die von der NetBSD Foundation, Inc. und ihren Mitarbeitern entwickelt wurden. Die Firmware des LANCOM VP-100 enthält Komponenten, die als Open Source Software im Quelltext verfügbar sind und speziellen Lizenzen sowie den Urheberrechten verschiedener Autoren unterliegen. Im Besonderen enthält die Firmware Komponenten, die der GNU General Public License, Version 2 (GPL) unterliegen. Die Lizenzvereinbarung mit dem Text der GPL ist auf der LANCOM CD im Produktverzeichnis als LC-VP100-License-DE.txt zu finden. Auf Anfrage können die Quelltexte und alle Lizenzhinweise elektronisch vom FTP-Server der LANCOM Systems GmbH bezogen werden. LANCOM Systems GmbH Adenauerstr. 20/B2 52146 Würselen Deutschland www.lancom.de Würselen, September 2007 110567/0907 Inhalt LANCOM Referenzhandbuch LCOS 7.22 Inhalt 1 Einleitung 2 System- Design 2.1 Einleitung 3 Konfiguration 3.1 Mittel und Wege für die Konfiguration 3.2 Software zur Konfiguration 3.3 Geräte suchen und konfigurieren 3.4 Die Konfiguration mit verschiedenen Tools 3.4.1 LANconfig 3.4.2 WEBconfig 3.4.3 Telnet 3.4.4 TFTP 3.4.5 SNMP 3.4.6 Verschlüsselte Konfiguration über SSH-Zugang 3.4.7 SSH-Authentifizierung 3.4.8 ISDN-Fernkonfiguration über das DFÜ-Netzwerk 3.5 Abspeichern, Wiederherstellen und Erzeugen von Konfigurationsdateien 3.6 Neue Firmware mit LANCOM FirmSafe 3.6.1 So funktioniert LANCOM FirmSafe 3.6.2 So spielen Sie eine neue Software ein 3.7 Wie führt man einen Gerätereset durch? 3.8 Rechteverwaltung für verschiedene Administratoren 3.8.1 Die Rechte für die Administratoren 3.8.2 Administratorenzugänge über TFTP und SNMP 3.8.3 Konfiguration der Benutzerrechte 3.8.4 Einschränkungen der Konfigurationsbefehle 3.8.5 HTTP-Tunnel 3.9 Benamte Loopback-Adressen 3.9.1 Loopback-Adressen beim ICMP Polling 3.9.2 Loopback-Adressen für Zeit-Server 3.9.3 Loopback-Adressen für SYSLOG-Clients 18 25 25 27 27 27 28 29 29 31 33 37 39 39 40 42 45 46 46 47 50 52 52 53 54 57 58 61 62 64 65 3 Inhalt LANCOM Referenzhandbuch LCOS 7.22 Inhalt Inhalt 4 Netzwerk-Management mit den LANtools 4.1 Sprache der grafischen Oberfläche umschalten 4.2 Projektmanagement mit LANconfig 4.2.1 Verzeichnisstruktur 4.2.2 Multithreading 4.2.3 Manuelle und automatische Suche nach Firmware-Updates 4.2.4 Passwortschutz für SNMP-Lesezugriff 4.2.5 Gerätespezifische Einstellung der Kommunikationsprotokolle 4.3 Verhalten von LANconfig beim Start von Windows 4.4 Überprüfung der Verbindungsqualität mit dem LANmonitor 4.5 Assistent oder Konfigurationsdialog wählbar 4.6 Scripting 4.6.1 4.6.2 4.6.3 4.6.4 4.6.5 4.6.6 Anwendungen Funktion des Scripting Scriptdateien erstellen Einspielen von Konfigurations-Befehlen und Script-Dateien Mehrere Script-Sessions parallel Die Befehle für das Scripting 67 67 68 69 70 71 73 74 76 78 81 82 82 83 84 87 90 90 94 95 97 97 98 98 102 102 103 103 105 106 106 107 107 108 4.7 Gruppen-Konfiguration mit LANconfig 4.7.1 Anlegen einer Gruppen-Konfiguration 4.7.2 Gerätekonfigurationen aktualisieren 4.7.3 Gruppen-Konfigurationen aktualisieren 4.7.4 Mehrere Gruppen-Konfigurationen verwenden 4.8 Anzeige-Funktionen im LANmonitor 4.9 LANmonitor ­ wissen, was läuft 4.9.1 Erweiterte Anzeige-Optionen 4.9.2 Abfrage der CPU- und Speicherauslastung über SNMP 4.9.3 Internet-Verbindung kontrollieren 4.10 Visualisierung großer WLANs mit dem WLANmonitor 4.10.1 Start des LANCOM WLANmonitors 4.10.2 Suche nach Access Points 4.10.3 Access Points hinzufügen 4.10.4 Access Points organisieren 4.10.5 Rogue AP und Rogue Client Detection mit dem WLANmonitor 4 Inhalt LANCOM Referenzhandbuch LCOS 7.22 5 Diagnose 5.1 Trace-Ausgaben ­ Infos für Profis 5.1.1 So starten Sie einen Trace 5.1.2 Übersicht der Schlüssel 5.1.3 Übersicht der Parameter 5.1.4 Kombinationsbefehle 5.1.5 Filter für Traces 5.1.6 Beispiele für die Traces 5.1.7 Traces aufzeichnen 5.2 SYSLOG-Speicher im Gerät 5.2.1 SYSLOG-Modul aktivieren 5.2.2 SYSLOG-Client konfigurieren 5.2.3 SYSLOG-Meldungen auslesen 5.3 Der Ping-Befehl 5.4 Monitor-Modus am Switch 5.5 Kabel-Tester 6 Sicherheit 6.1 Schutz für die Konfiguration 6.1.1 Passwortschutz 6.1.2 Die Login-Sperre 6.1.3 Einschränkung der Zugriffsrechte auf die Konfiguration 6.2 Den ISDN-Einwahlzugang absichern 6.2.1 Die Identifikationskontrolle 6.2.2 Der Rückruf 6.3 Diebstahlschutz mit der ISDN-Standort-Verifikation 6.3.1 Konfiguration der ISDN Standort-Verifikation 6.3.2 Statusabfrage der ISDN Standort-Verifikation 6.4 Die Sicherheits-Checkliste 7 Routing und WAN- Verbindungen 7.1 Allgemeines über WAN-Verbindungen 7.1.1 Brücken für Standard-Protokolle 7.1.2 Was passiert bei einer Anfrage aus dem LAN? 114 114 114 114 115 117 117 118 118 119 119 120 121 121 123 124 126 126 126 128 129 132 133 134 135 135 137 138 142 142 142 142 5 Inhalt LANCOM Referenzhandbuch LCOS 7.22 Inhalt Inhalt 7.2 IP-Routing 7.2.1 Die IP-Routing-Tabelle 7.2.2 Policy-based Routing 7.2.3 Lokales Routing/ICMP-Redirect 7.2.4 Dynamisches Routing mit IP-RIP 7.2.5 SYN/ACK-Speedup 7.3 Die Konfiguration von Gegenstellen 7.3.1 Gegenstellenliste 7.3.2 Layer-Liste 7.4 IP-Masquerading 7.4.1 Einfaches Masquerading 7.4.2 Inverses Masquerading 7.4.3 Freies Umsetzen von TCP/IP-Ports auf maskierten Verbindungen 7.5 Demilitarisierte Zone (DMZ) 7.5.1 Zuordnung von Interfaces zur DMZ 7.5.2 Zuordnung der Netzwerkzonen zur DMZ 7.5.3 Adressprüfung bei DMZ- und Intranet-Interfaces 7.5.4 Unmaskierter Internet-Zugang für Server in der DMZ 7.6 Multi-PPPoE 7.6.1 Anwendungsbeispiel: Home-Office mit privatem Internetzugang 7.6.2 Konfiguration 7.7 Advanced Routing and Forwarding 7.7.1 Einleitung 7.7.2 Definition von Netzwerken und Zuordnung von Interfaces 7.8 Änderung in weiteren Diensten 7.8.1 DHCP-Server 7.8.2 DHCP-Relay-Server 7.8.3 NetBIOS-Proxy 7.8.4 RIP 7.8.5 Automatische Erzeugung von VPN-Regeln 7.8.6 Firewallregeln für bestimmte lokale Netzwerke 7.8.7 Virtuelle Router 7.8.8 Defaultrouten-Filter 7.8.9 Erweitertes Port-Forwarding 7.8.10 IPX-Router 7.8.11 Zuweisung von logischen Interfaces zu Bridge-Gruppen 7.8.12 Remote-Bridge 7.8.13 PPPoE-Server 143 144 146 149 150 153 153 154 155 157 157 159 161 163 164 164 165 166 167 167 168 169 169 173 178 178 183 185 186 187 188 189 190 191 193 194 195 196 6 Inhalt LANCOM Referenzhandbuch LCOS 7.22 7.9 Load-Balancing 7.9.1 DSL-Port-Mapping 7.9.2 DSL-Kanalbündelung (MLPPPoE) 7.9.3 Dynamisches Load-Balancing 7.9.4 Statisches Load-Balancing 7.9.5 Konfiguration des Load Balancing 7.10 N:N-Mapping 7.10.1 Anwendungsbeispiele 7.10.2 Konfiguration 7.11 Verbindungsaufbau mit PPP 7.11.1 Das Protokoll 7.11.2 Alles o.k.? Leitungsüberprüfung mit LCP 7.11.3 Zuweisung von IP-Adressen über PPP 7.11.4 Einstellungen in der PPP-Liste 7.12 DSL-Verbindungsaufbau mit PPTP 7.13 Dauerverbindung für Flatrates ­ Keep-alive 7.14 Rückruf-Funktionen 7.14.1 Rückruf nach Microsoft CBCP 7.14.2 Schneller Rückruf mit dem LANCOM-Verfahren 7.14.3 Rückruf nach RFC 1570 (PPP LCP Extensions) 7.14.4 Konfiguration der Rückruf-Funktion im Überblick 7.15 ISDN-Kanalbündelung mit MLPPP 7.16 Betrieb eines Modems an der seriellen Schnittstelle 7.16.1 Einleitung 7.16.2 Systemvoraussetzungen 7.16.3 Installation 7.16.4 Einstellen der seriellen Schnittstelle auf Modem-Betrieb 7.16.5 Konfiguration der Modem-Parameter 7.16.6 Direkte Eingabe von AT-Befehlen 7.16.7 Statistik 7.16.8 Trace-Ausgaben 7.16.9 Konfiguration von Gegenstellen für V.24-WAN-Schnittstellen 7.16.10 Konfiguration einer Backup-Verbindung auf der seriellen Schnittstelle 7.16.11 Kontaktbelegung des LANCOM Modem Adapter Kits 7.17 Manuelle Definition der MTU 7.17.1 Konfiguration 7.17.2 Statistik 7.18 WAN-RIP 196 197 200 200 202 202 205 206 209 212 212 214 215 216 217 217 218 218 220 220 221 221 223 223 224 224 224 226 228 228 229 229 231 232 232 232 233 233 7 Inhalt LANCOM Referenzhandbuch LCOS 7.22 Inhalt Inhalt 7.19 Das Rapid-Spanning-Tree-Protokoll 7.19.1 Classic und Rapid Spanning Tree 7.19.2 Verbesserungen durch Rapid Spanning Tree 7.19.3 Konfiguration des Spanning-Tree-Protokolls 7.19.4 Statusmeldungen über das Spanning-Tree-Protokoll 8 Firewall 8.1 Gefährdungsanalyse 8.1.1 Die Gefahren 8.1.2 Die Wege der Täter 8.1.3 Die Methoden 8.1.4 Die Opfer 8.2 Was ist eine Firewall? 8.2.1 Die Aufgaben einer Firewall 8.2.2 Unterschiedliche Typen von Firewalls 8.3 Die Firewall im LANCOM 8.3.1 So prüft die Firewall im LANCOM die Datenpakete 8.3.2 Besondere Protokolle 8.3.3 Allgemeine Einstellungen der Firewall 8.3.4 Die Parameter der Firewall-Regeln 8.3.5 Die Alarmierungsfunktionen der Firewall 8.3.6 Strategien für die Einstellung der Firewall 8.3.7 Tipps zur Einstellung der Firewall 8.3.8 Konfiguration der Firewall-Regeln 8.3.9 Firewall-Diagnose 8.3.10 Grenzen der Firewall 8.4 Abwehr von Einbruchsversuchen: Intrusion Detection 8.4.1 Beispiele für Einbruchsversuche 8.4.2 Konfiguration des IDS 8.5 Schutz vor "Denial-of-Service"-Angriffen 8.5.1 Beispiele für Denial-of-Service-Angriffe 8.5.2 Konfiguration der DoS-Abwehr 8.5.3 Konfiguration von ping-Blocking und Stealth-Modus 9 Quality- of- Service 9.1 Wozu QoS? 234 235 235 236 239 242 242 242 243 243 244 244 245 246 250 250 254 256 259 265 269 271 275 284 292 292 292 293 294 294 296 298 300 300 8 Inhalt LANCOM Referenzhandbuch LCOS 7.22 9.2 Welche Datenpakete bevorzugen? 9.2.1 Was ist DiffServ? 9.2.2 Garantierte Mindestbandbreiten 9.2.3 Limitierte Maximalbandbreiten 9.3 Das Warteschlangenkonzept 9.3.1 Sendeseitige Warteschlangen 9.3.2 Empfangsseitige Warteschlangen 9.4 Reduzierung der Paketlänge 9.5 QoS-Parameter für Voice-over-IP-Anwendungen 9.6 QoS in Sende- oder Empfangsrichtung 9.7 QoS-Konfiguration 9.7.1 ToS- und DiffServ-Felder auswerten 9.7.2 Minimal- und Maximalbandbreiten definieren 9.7.3 Übertragungsraten für Interfaces festlegen 9.7.4 Sende- und Empfangsrichtung 9.7.5 Reduzierung der Paketlänge 9.8 QoS für WLANs nach IEEE 802.11e (WMM/WME) 10 Virtual Private Networks ­ VPN 10.1 Welchen Nutzen bietet VPN? 10.1.1 Private IP-Adressen im Internet? 10.1.2 Sicherheit des Datenverkehrs im Internet? 10.2 LANCOM VPN im Überblick 10.2.1 VPN Anwendungsbeispiel 10.2.2 Funktionen von LANCOM VPN 10.3 VPN-Verbindungen im Detail 10.3.1 LAN-LAN-Kopplung 10.3.2 Einwahlzugänge (Remote Access Service) 10.4 Was ist LANCOM Dynamic VPN? 10.4.1 Ein Blick auf die IP-Adressierung 10.4.2 So funktioniert LANCOM Dynamic VPN 10.4.3 Hinweise zur Dynamic VPN Lizensierung 300 301 302 303 303 303 306 306 308 312 313 313 315 317 318 319 321 322 322 324 324 325 325 326 327 327 328 329 329 330 335 9 Inhalt LANCOM Referenzhandbuch LCOS 7.22 Inhalt Inhalt 10.5 Konfiguration von VPN-Verbindungen 10.5.1 VPN-Tunnel: Verbindungen zwischen den VPN-Gateways 10.5.2 VPN-Verbindungen einrichten mit den Setup-Assistenten 10.5.3 1-Click-VPN für Netzwerke (Site-to-Site) 10.5.4 1-Click-VPN für LANCOM Advanced VPN Client 10.5.5 VPN-Regeln einsehen 10.5.6 Manuelles Einrichten der VPN-Verbindungen 10.5.7 IKE Config Mode 10.5.8 VPN-Netzbeziehungen erstellen 10.5.9 Konfiguration mit LANconfig 10.5.10 Konfiguration mit WEBconfig 10.5.11 Gemeinsamer Aufbau von Security Associations 10.5.12 Diagnose der VPN-Verbindungen 10.6 Einsatz von digitalen Zertifikaten 10.6.1 Grundlagen 10.6.2 Vorteile von Zertifikaten 10.6.3 Aufbau von Zertifikaten 10.6.4 Sicherheit 10.6.5 Zertifikate beim VPN-Verbindungsaufbau 10.6.6 Zertifikate von Zertifikatsdiensteanbietern 10.6.7 Aufbau einer eigenen CA 10.6.8 Anfordern eines Zertifikates mit der Stand-alone Windows CA 10.6.9 Zertifikat in eine PKCS#12-Datei ...