Kapitel 4 Infrastruktur und Integration 48
Die Konguration permanenter VPNs unterstützt die folgenden Implementierungsmodelle,
die unterschiedliche Lösungsanforderungen erfüllen.
Geräte nur mit Mobilfunk
Wenn Ihre Organisation ein permanentes VPN auf iOS-Geräten nur mit Mobilfunk implementieren
möchte (WLAN-Schnittstelle entfernt oder deaktiviert), wird über die IP-Schnittstelle für den
Mobilfunk ein IKEv2-Tunnel zwischen jedem Gerät und dem IKEv2-Server aktiviert. Dies entspricht
dem herkömmlichen VPN-Modell. Das iOS-Gerät agiert als ein IKEv2-Client mit einer Identität
(d. h. ein (1) Clientzertikat oder ein (1) Benutzer plus Passwort), wobei ein IKEv2-Tunnel zum
IKEv2-Server aktiviert wird.
Geräte mit Mobilfunk und WLAN
Wenn Ihre Organisation ein permanentes VPN auf iOS-Geräten mit einer Mobilfunk- und einer
WLAN-Schnittstelle implementieren möchte, werden von jedem Gerät zwei gleichzeitige
IKEv2-Tunnel aktiviert. Es gibt zwei Szenarien für Geräte mit Mobilfunk und WLAN:
•
Mobilfunktunnel und WLAN-Tunnel zu separaten IKEv2-Servern
Die Schlüssel für die Tunnelkonguration auf Schnittstellenbasis, die für ein permanentes VPN
unterstützt werden, ermöglichen Ihrer Organisation, einen Mobilfunktunnel zu einem
IKEv2-Server und einen WLAN-Tunnel zu einem zweiten IKEv2-Server zu aktivieren. Ein Vorteil
dieses Modells besteht darin, dass ein Gerät für beide Tunnels dieselbe Clientidentität verwen-
den kann (d. h. Clientzertikat oder Benutzer/Passwort), da die Tunnel zu unterschiedlichen
Servern führen. Bei unterschiedlichen Servern hat Ihre Organisation auch größere Flexibilität
bei der Trennung und Steuerung des Datenverkehrs nach Schnittstellentyp (Mobilfunk und
WLAN). Der Nachteil besteht darin, dass Ihre Organisation zwei unterschiedliche IKEv2-Server
mit identischen Richtlinien für die Clientauthentizierung verwalten muss.
•
Mobilfunktunnel und WLAN-Tunnel zum gleichen IKEv2-Server
Die Tunnelkonguration auf Schnittstellenbasis für ein permanentes VPN ermöglicht Ihrer
Organisation auch, ein Gerät so zu kongurieren, dass es einen Mobilfunktunnel und einen
WLAN-Tunnel zum gleichen IKEv2-Server aktiviert.
Nutzung von Clientidentitäten:
•
Nur eine (1) Clientidentität pro Gerät: Ihre Organisation kann dieselbe Clientidentität (d. h. ein
(1) Clientzertikat oder ein (1) Benutzer/Passwort-Paar) sowohl für einen Mobilfunktunnel
als auch für einen WLAN-Tunnel kongurieren, wenn der IKEv2-Server mehrere Tunnel
pro Client unterstützt. Der Vorteil besteht darin, dass Sie die zusätzliche Clientidentität
pro Gerät und die zusätzliche Kongurations-/Ressourcenlast auf dem Server vermeiden
können. Der Nachteil besteht darin, dass ein Gerät, das sich zwischen Netzwerken bewegt,
neue Tunnel aktiviert, während die alten Tunnel nicht mehr genutzt werden. Abhängig von
der Serverimplementierung ist der Server möglicherweise nicht in der Lage, nicht mehr
genutzte Tunnel ezient und zielgenau zu entfernen. Ihre Organisation muss eine Strategie
für die Entfernung nicht mehr genutzter Tunnel auf dem Server implementieren.
•
Zwei Clientidentitäten pro Gerät: Ihre Organisation kann zwei Clientidentitäten (d. h. zwei
Clientzertifikate oder zwei Benutzer/Passwort-Paare) konfigurieren – eine für den
Mobilfunktunnel und eine für den WLAN-Tunnel. Aus der Sicht des IKEv2-Servers sind dies
zwei unterschiedliche Clients mit jeweils eigenem Tunnel. Der Vorteil dieses Modells besteht
darin, dass es in Kombination mit den meisten Serverimplementierungen funktioniert,
da viele Server Tunnel anhand der Clientidentität unterscheiden und nur einen Tunnel pro
Client zulassen. Der Nachteil dieses Modells ist die doppelte Clientidentitätsverwaltung und
die doppelte Kongurations- und Ressourcenverwaltung auf dem Server.
