Firewall-Architekturen für Multimedia-Applikationen

• Main Author: Roedig, Utz
• Format: Others
• Language: German; de
• Published: 2002
• Online Access: https://tuprints.ulb.tu-darmstadt.de/276/1/diss.pdf; Roedig, Utz <http://tuprints.ulb.tu-darmstadt.de/view/person/Roedig=3AUtz=3A=3A.html> (2002): Firewall-Architekturen für Multimedia-Applikationen.Darmstadt, Technische Universität, [Online-Edition: http://elib.tu-darmstadt.de/diss/000276 <http://elib.tu-darmstadt.de/diss/000276> <official_url>],[Ph.D. Thesis]

In der vorliegenden Arbeit "Firewall-Architekturen für Multimedia-Applikationen" werden Lösungen entwickelt und diskutiert, die es ermöglichen, Multimedia-Applikationen in Netzwerken zu verwenden, in denen Firewalls eingesetzt werden. Die dargestellten Lösungen decken die Optimierung bestehender Firewall-Architekturen sowie die Entwicklung neuer Mechanismen für die Realisierung von Firewall-Architekturen ab. In einer immer vernetzteren Umgebung nimmt die Bedeutung von Sicherheitsaspekten stetig zu und eine Zugangskontrolle an Netzgrenzen wird als wesentlich betrachtet. Zu diesem Zweck werden Firewalls verwendet, die diese Zugangskontrolle an der Grenze zwischen offenen und privaten Netzen bereitstellen. Als integraler Bestandteil der Netzwerkinfrastruktur werden Firewalls stark durch die Entwicklung und den Einsatz neuer Kommunikationsformen und Applikationen beeinflusst. Zur Zeit kann beobachtet werden, dass Multimedia-Applikationen, die sich in vielerlei Hinsicht von "traditionellen" Applikationen unterscheiden, zunehmend Verwendung finden. Existierende Firewalls sind nicht in der Lage, diese neuen Applikationstypen in effizienter und sicherer Weise zu unterstützen. In der vorliegenden Arbeit werden die bestehenden Problembereiche identifiziert und klassifiziert. Ausgehend von dieser Klassifizierung wird gefolgert, dass die Veränderung und Erweiterung bestehender Firewall-Architekturen eine geeignete Maßnahme zur Lösung dieser Probleme darstellt. Es wird gezeigt, dass eine geeignete Architektur dem in der Arbeit vorgestellten Designprinzip der Trennung von Signalisierungs- und Medienströmen folgen muss. Es wird ein Architekturmodell vorgestellt, das Firewall-Architekturen hinsichtlich der für die Verarbeitung von Multimedia-Applikation relevanten Architekturmerkmale ordnet. Die dadurch mögliche Betrachtung verschiedener Architektur-Klassen zeigt, dass die Klasse der verteilten Firewall-Architekturen für einen Einsatz im Multimedia-Umfeld geeignet ist. Das in dieser Arbeit vorgestellte Modell ermöglicht die Identifikation der fehlenden bzw. zu optimierenden Elemente, damit eine verteilte Firewall-Architektur effizient realisiert werden kann. Ein wesentliches, zur Umsetzung einer verteilten Firewall notwendiges Element ist die Kommunikation zwischen den einzelnen Firewall-Komponenten. Anstatt für diese Kommunikation ein neues Protokoll zu entwerfen - wie zur Zeit in verschiedenen Standardisierungsgremien vorgeschlagen wird - wird in der Arbeit gezeigt, dass das bestehende und erprobte Resource Reservation Protocol (RSVP) dafür verwendet werden kann. Anhand einer Implementierung wird gezeigt, dass das RSVP auch in der Praxis für diese Aufgabe eingesetzt werden kann. Ein weiteres notwendiges Element zur Umsetzung einer verteilten Firewall stellt die Signalisierungsverarbeitung dar. Bisher verwendete Methoden, die Signalisierungsverarbeitung der Firewall in ein Kommunikationsszenario einzubinden, können nicht auf Multimedia-Szenarien übertragen werden. In der Arbeit wird gezeigt, dass die für die Integration der Signalisierungsverarbeitung notwendigen Mechanismen von bestehenden Integrationsmechanismen für Infrastrukturkomponenten abgeleitet werden müssen. Durch eine Implementierung wird gezeigt, dass diese Integrationsmechanismen auch in der Praxis anwendbar sind. Besonderes Augenmerk wird in der Arbeit auf die Leistungsfähigkeit von Firewall-Architekturen gerichtet. Es wird dargestellt, welche Faktoren wesentlich die mögliche Leistungsgrenze einer Multimedia-Firewall bestimmen und wie diese zu berücksichtigen sind, um eine Multimedia-Firewall für bestimmte Leistungsanforderungen richtig zu dimensionieren. Anhand von Messungen verschiedener Firewall-Architekturen wird abschliessend gezeigt, dass die innerhalb der Arbeit vorgestellten Architekturvorschläge auch hinsichtlich ihrer Leistungsfähigkeit für die Unterstützung von Multimedia-Applikationen geeignet sind. Verteilte Firewall-Architekturen, die das aufgestellte Designprinzip der Trennung von Signalisierungs- und Medienströmen berücksichtigen, müssen verwendet werden, um die Leistungsgrenze einer Firewall zu optimieren. Im Rahmen dieser Arbeit wurden zwei Werkzeuge entwickelt, die zur Überprüfung der getroffenen Aussagen verwendet wurden, aber auch über die Arbeit hinausgehend verwendet werden können. Das Werkzeug KOMtraffgen stellt ein Messwerkzeug zur Bestimmung von Leistungskenngrößen dar. Es kann verwendet werden, um Leistungskenngrößen von Komponenten im Kommunikationspfad einer Multimedia-Applikation zu bestimmen. Das Werkzeug KOMproxyd kann verwendet werden, um Firewall-Architekturen für Multimedia-Applikationen umzusetzen. Dieses Werkzeug wird beispielsweise durch das Deutsche Forschungsnetz (DFN) innerhalb des DFN-Videokonferenzdienstes zur Zeit in der Praxis verwendet.