IPsec: Verschlüsselung, Hash und DH-Gruppe richtig wählen

Wer einen Site-to-Site-Tunnel einrichtet, bekommt in jeder Firewall eine lange Liste an Algorithmen angeboten. Ein Teil davon ist seit Jahren veraltet und steht nur noch aus Kompatibilitätsgründen drin. Passen die Einstellungen beider Seiten nicht zusammen, kommt der Tunnel gar nicht erst hoch:

received NO_PROPOSAL_CHOSEN notify error

Hier findest du, was die einzelnen Bausteine bedeuten und welche Kombination du heute nehmen solltest. Das gilt unabhängig vom Hersteller.

Phase 1 und Phase 2

IPsec handelt den Tunnel in zwei Schritten aus:

Phase 1 (IKE SA): Beide Gateways authentifizieren sich und bauen einen geschützten Kanal für die Verwaltung auf.
Phase 2 (IPsec SA, bei IKEv2 auch Child SA): Darüber werden die Schlüssel für die eigentlichen Nutzdaten (ESP) ausgehandelt.

Für jede Phase legst du Verschlüsselung, Integrität (Hash), Diffie-Hellman-Gruppe und Lebensdauer fest. Beide Seiten müssen mindestens eine identische Kombination anbieten. Nimm nach Möglichkeit IKEv2, IKEv1 brauchst du nur noch für alte Gegenstellen.

Verschlüsselung

Algorithmus	Bewertung
AES-GCM 128 / 256	Empfohlen. Verschlüsselt und prüft die Integrität in einem Schritt (AEAD), schnell dank AES-NI.
AES-CBC 128 / 256	Sicher, braucht zusätzlich einen Hash wie SHA2-256.
AES 192	Sicher, aber unüblich. Kein Vorteil gegenüber 128 oder 256.
ChaCha20-Poly1305	Sicher und schnell auf Geräten ohne AES-Beschleunigung, wird aber nicht überall unterstützt.
Twofish, Serpent	Gelten als sicher, sind aber exotisch, ohne Hardwarebeschleunigung und schlecht kompatibel.
3DES, Blowfish	Veraltet. Die 64-Bit-Blockgröße ist bei großen Datenmengen angreifbar (Sweet32).
DES	Unsicher, abschalten.

Bei GCM gibt es Varianten mit unterschiedlich langem Prüfwert (ICV), meist als GCM8, GCM12 und GCM16 bezeichnet. Nimm GCM16.

AES-GMAC taucht in manchen Listen neben GCM auf. GMAC schützt nur die Integrität und verschlüsselt nicht. Das brauchst du nur, wenn du das bewusst so willst.

Integrität (Hash)

Algorithmus	Bewertung
SHA2-256, SHA2-384, SHA2-512	Empfohlen
SHA1	Veraltet, nur noch für alte Gegenstellen
MD5	Unsicher, abschalten

Mit AES-GCM fällt der separate Hash in Phase 2 weg, weil GCM die Integrität selbst sicherstellt. In Phase 1 braucht IKE trotzdem eine Pseudozufallsfunktion (PRF) für die Schlüsselableitung. Viele Firewalls wählen sie automatisch passend zum Hash, bei anderen stellst du sie selbst ein. Nimm dort ebenfalls SHA2-256 oder höher.

Diffie-Hellman-Gruppen

Die DH-Gruppe bestimmt, wie stark der Schlüsselaustausch ist. Die Nummern sind bei allen Herstellern gleich, die Bezeichnungen nicht immer.

Gruppe	Typ	Bewertung
1, 2, 5	MODP 768, 1024, 1536 Bit	Unsicher, abschalten
14	MODP 2048 Bit	Untergrenze, gut als Fallback
15, 16	MODP 3072, 4096 Bit	Sicher, aber deutlich langsamer
17, 18	MODP 6144, 8192 Bit	Sicher, sehr rechenintensiv
19, 20, 21	ECP 256, 384, 521 Bit	Empfohlen, schnell bei hoher Sicherheit
22, 23, 24	MODP mit Untergruppe	Nicht verwenden
25, 26	ECP 192, 224 Bit	Zu schwach
27 bis 30	Brainpool-Kurven	Sicher, aber selten unterstützt
31	Curve25519	Empfohlen, wenn beide Seiten es können

Perfect Forward Secrecy

Stellst du in Phase 2 eine DH-Gruppe ein, wird für die Nutzdaten bei jedem Rekey ein neuer, unabhängiger Schlüssel ausgehandelt. Das ist Perfect Forward Secrecy (PFS): Fällt später ein Schlüssel in falsche Hände, lässt sich damit kein älterer Datenverkehr entschlüsseln.

Steht die DH-Gruppe in Phase 2 auf „Keine“, leitet IPsec die Schlüssel aus Phase 1 ab und PFS ist aus. Aktiviere PFS und nimm dieselbe Gruppe wie in Phase 1. Wichtig: Beide Seiten müssen PFS gleich eingestellt haben, sonst schlägt Phase 2 fehl, obwohl Phase 1 steht.

Lebensdauer

Übliche Werte sind 28800 Sekunden (8 Stunden) für Phase 1 und 3600 Sekunden (1 Stunde) für Phase 2. Bei IKEv1 müssen die Werte auf beiden Seiten zusammenpassen. Bei IKEv2 werden sie nicht ausgehandelt, jede Seite erneuert die Schlüssel nach ihrer eigenen Einstellung. Stell sie trotzdem gleich ein, das macht die Fehlersuche einfacher.

Empfehlung

IKE-Version: IKEv2
Phase 1: AES-256-GCM16 mit PRF SHA2-256 oder SHA2-512, DH-Gruppe 19, 20 oder 31
Phase 2: AES-256-GCM16 (oder AES-128-GCM16), PFS mit derselben DH-Gruppe wie in Phase 1
Fallback für ältere Gegenstellen: AES-256-CBC mit SHA2-256 und DH-Gruppe 14
Abschalten: DES, 3DES, Blowfish, MD5, SHA1 sowie die DH-Gruppen 1, 2, 5, 22 bis 24, 25 und 26

Hinweis

Biete pro Phase lieber eine oder zwei saubere Kombinationen an als eine lange Liste. Je mehr Varianten aktiv sind, desto eher einigen sich die Gateways auf eine schwache, und desto schwerer wird die Fehlersuche. Bekommst du NO_PROPOSAL_CHOSEN, vergleiche Phase für Phase Verschlüsselung, Hash, DH-Gruppe und PFS auf beiden Seiten. Die Hersteller benennen dieselben Algorithmen teils unterschiedlich, zum Beispiel AES256GCM16 und „AES-GCM 256 (ICV 16)“.

Inhalt