Erweiterte TI-Proxy Konfiguration

TI-Proxy mit gerouteten Netzen

Neu bei Securepoint: 09.2026

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

Einleitung

Der TI-Proxy leitet Datenverkehr von Kartenterminals über WireGuard an die Telematikinfrastruktur weiter. Die grundlegenden Schritte hierzu sind im Artikel zur Proxy Konfiguration beschrieben.
Diese Standard-Konfiguration funktioniert jedoch nur mit Terminals in lokalen Netzen. Für geroutete Netze wie VPN oder Site-to-Site ist eine manuelle Konfiguration erforderlich.
Dieser Artikel beschreibt die notwendigen Schritte für solche Szenarien.

Unterstützte Szenarien

Unterstützt werden folgende Netzwerk-Szenarien:

Geroutete Netze (VPN): Terminals befinden sich in einem Netz, das über einen VPN-Tunnel mit der UTM verbunden ist. Für den Aufbau einer dauerhaften Verbindung zwischen zwei Standorten hilft der Artikel IPSec Site-to-Site-Verbindung.
- Beispiel: Eine UTM A stellt über eine SSL-VPN-Verbindung zu einer UTM B eine Verbindung her, an die ein Kartenterminal angeschlossen ist

Site-to-Site-Verbindungen: Terminals in Außenstellen werden über eine Standortkopplung angebunden
- Beispiel: Hauptsitz mit UTM und Filiale mit lokalem Terminal
Roadwarrior-Anbindung: Mobile Terminals verbinden sich über einen VPN-Client mit der UTM. Details zur Einrichtung von mobilen Einzelplätzen oder Laptops im Homeoffice finden sich im Artikel SSL-VPN Roadwarrior.
- Beispiel: Ein Laptop mit VPN-Zugang, der als Kartenterminal fungiert.

Voraussetzungen

Für die Konfiguration sind folgende Voraussetzungen zu erfüllen:

TI-Proxy Version 14.0.9 oder höher, da diese Version die Unterstützung für Terminals in verschiedenen lokalen Netzen einführt
Ein bereits konfigurierter VPN- oder Site-to-Site-Tunnel zwischen den UTM-Geräten bzw. den Standorten, über den die Terminals angebunden werden sollen

Konfiguration

notempty

Kartenterminals in gerouteten Netzen (z. B. VPN) können nicht direkt über den TI-Proxy konfiguriert werden. Daher sind manuelle Routen und Firewall-Regeln erforderlich (siehe Routen anlegen und Firewall-Regeln).

Netzwerkaufbau

Im folgenden Beispiel wird ein Netzwerkaufbau mit zwei UTMs beschrieben.

UTM 35 (Terminal-Seite / VPN-Client): An dieser UTM ist ein Kartenterminal mit der IP 192.168.35.177 (Port 4742) per DHCP angeschlossen. Sie gibt ihr internes Netz (192.168.35.0/24) für den VPN-Tunnel frei.
UTM 85 (Konnektor-Seite / VPN-Server): Diese UTM stellt eine WireGuard-Verbindung zum Konnektor (10.180.96.90) her.
VPN-Verbindung: Beide UTMs sind über einen SSL-VPN-Tunnel im Netz 172.199.1.0/24 miteinander verbunden. Die UTM85 agiert als Server (IP .1), die UTM35 agiert als Client (IP .2).

Routen anlegen

Damit der Datenverkehr zwischen den Netzen möglich ist, muss auf der UTM 35 (Terminal-Seite) eine Route zum VPN-Tunnel-Netz angelegt werden.
Wie Schnittstellen generell verwaltet werden, erläutert der Artikel Ethernet Schnittstellen. Die Route wird wie folgt konfiguriert:

Ziel: 172.199.1.0/24
Gateway / Schnittstelle: tun0 (VPN-Schnittstelle zur Client-UTM)

Firewall-Regeln

notempty

Der TCP-Teil im ctproxy ist deaktiviert. Die Kommunikation zwischen Konnektor und Terminals erfolgt über die Firewall-Regeln. Weiterführende Hinweise hierzu bietet der Artikel zum Rulerouting.

Auf der UTM 35 (Terminal-Seite) sind Regeln für den Datenverkehr vom VPN-Tunnel zum internen Netz anzulegen:

Option 1 (einfach, unsicher): VPN-Tunnel-Netz (172.199.1.0/24) ➔ internes Netz ➔ Any ➔ ACCEPT
Option 2 (empfohlen): VPN-Tunnel-Netz (172.199.1.0/24) ➔ internes Netz ➔ TCP-4742-Dienst / UDP-4742-Dienst ➔ ACCEPT

Auf der UTM 85 (Konnektor-Seite) ist eine Regel für den Datenverkehr vom Konnektor zum entfernten Terminal-Netz anzulegen:

Konnektor (10.180.96.90) ➔ entferntes Terminal-Netz (192.168.35.0/24) ➔ TCP-4742-Dienst ➔ ACCEPT

UDP wird vom TI-Proxy selbst gehandhabt.

notempty

Eine separate UDP-Regel ist auf der UTM85 für diesen Schritt nicht notwendig, darum kümmert sich der TI-Proxy selbstständig