Wechseln zu:Navigation, Suche
Wiki




























De.png
En.png
Fr.png




Verbinden von VPN-Netzen mit den gleichen Broadcast-Domains (IP-Bereiche)
Letzte Anpassung: 09.2022 (12.2.3)
Neu:
  • Zone des Remote-Netzes korrigiert
  • Layoutanpassung

Vorherige Versionen: 11.8.7 11.7


Sollten auf beiden Seiten einer VPN Verbindung die gleichen Subnetze eingesetzt werden, ist es normalerweise nicht möglich diese Verbindung einzurichten.
Weiterhin kann es passieren, dass hinter verschiedenen Gegenstellen die gleichen Netzwerke eingerichtet sind.
Mit dem NAT-Typ NETMAP und Hilfsnetzwerken (Mapnetz), die auf keinen der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen trotzdem erstellt werden, ohne auf eine der Seiten das Subnetz komplett zu ändern.

  • Ein NETMAP ist immer nur ein Hilfslösung, falls sich keines der beteiligten Netze mit vertretbarem Aufwand auf eine anderes Netz umstellen lässt.
  • Es sollte vermieden werden, in der Zentrale für mehr als eine Gegenstelle NETMAP-Konfigurationen zu nutzen.

  • NATen von kompletten Subnetzen mit NETMAP

    Vorbereitungen

    Netzwerkobjekt auf Adresse umstellen

     Zentrale &  Filiale

    Zur Nutzung der NETMAP Funktion sind folgende Bedingungen zu beachten:

  • Die Subnetze der am NETMAP beteiligten Objekte müssen alle die gleiche Größe haben, zum Beispiel alle /24
  • Alle beteiligten Objekte müssen eine definierte Netzwerk IP-Adresse eingetragen haben. Es dürfen keine Schnittstellen für die Festlegung des Netzwerkobjektes ausgewählt werden.
    Das Netzwerkobjekt des internen Netzwerkes muss überprüft und gegebenenfalls als Ziel: die Netz-IP des internen Netzes, das gemappt werden soll, eingetragen werden.
    In diesem Beispiel wird auf beiden Seiten das Netzwerk 172.16.3.0/24 verwendet.


  • Ausgangslage:

    Zentrale und Filiale haben das gleiche Subnetz

    Netmap sz1.png

    In diesem Fall muss das Mapping auf beiden Seiten der Verbindung eingerichtet werden.

    Lokales Netz Öffentliche IP Netmap
    Zentrale: 172.16.3.0/24 192.0.2.192 10.0.1.0/24
    Filiale: 172.16.3.0/24 192.0.2.193 10.0.2.0/24


    Die Verbindung soll über IPSec hergestellt werden.



    VPN-Verbindung anlegen

     Zentrale

     Zentrale Schritt 4 mit remote Mapnetz der Filiale
     Zentrale Schritt 3 mit lokalem Mapnetz der Zentrale

    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzufügen.

  • In Schritt 3 muss das lokale Mapnetz der Zentrale freigegeben werden.
    Hier »10.0.1.0/24
  • In Schritt 4 wird die öffentliche IP der Filiale als Remote Gateway: benötigt
    und das remote Mapnetz der Filiale als freigegebenes Netzwerk.
    Hier »10.0.2.0/24


  •  Filiale

     Filiale Schritt 4 mit remote Mapnetz der Zentrale
     Filiale Erreichbarkeit von Hosts der Gegenstelle

    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzufügen.

  • In Schritt 3 muss das lokale Mapnetz der Filiale freigegeben werden.
    Hier »10.0.2.0/24
  • In Schritt 4 wird die öffentliche IP der Zentrale als Remote Gateway: benötigt
    und das remote Mapnetz der Zentrale als freigegebenes Netzwerk.
    Hier »10.0.1.0/24



  • Netzwerkobjekte für Transfernetz erstellen

    Netzwerkobjekt in der Zentrale für das eigene Netz (Mapnetz Lokal)
    Netzwerkobjekt in der Zentrale für das Filial-Netz (Mapnetz Remote)

    Es müssen in der Zentrale zwei Netzwerkobjekte mit Netzwerken erstellt werden, die weder in der Zentrale noch in der Filiale eingerichtet sind.
     Zentrale
    → Firewall →PortfilterReiter Netzwerkobjekte Schaltfläche Objekt hinzufügen

    • Das Netzwerkobjekt für das (entfernte) Mapnetz der Filiale muss vom Typ Netzwerk (Adresse) sein.
  • Bei IPSec-Verbindungen, muss sich das Netzwerkobjekt für das Transfernetz in der Zone external befinden
  • Beim Anlegen einer SSL-VPN-Verbindung wird eine Zone VPN-SSL-Verbindungsname angelegt.
    Das Netzwerkobjekt muss dann mit dieser Zone angelegt werden.
  • Das Netzwerkobjekt erhält in unserem Beispiel die Netzwerkadresse 10.0.2.0/24

    Das Netzwerkobjekt für das (eigene) Mapnetz der Zentrale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24



    Netzwerkobjekt in der Filiale für das eigene Netz
    Netzwerkobjekt in der Filiale für das Netz der Zentrale

     Filiale
    Auf der Seite der Filiale werden ebenfalls zwei Netzwerkobjekte erstellt.
    Dort ist das Netzwerk 10.0.1.0/24, das Mapnetz der Zentrale, das sich in der Zone external befindet und das Netzwerk 10.0.2.0/24, das Mapnetz der Filiale, das mit der Zone des internen Netzwerkes internal angelegt wird.



    NETMAP Regel anlegen

    Es müssen auf jeder Seite Portfilterregeln erstellt werden, die das Mapping durchführen.

    NETMAP Portfilterregel
    Das Mapnetz kann als Netzwerkobjekt nicht ausgewählt werden, wenn es noch mit einer Schnittstelle anstatt mit einer IP-Adresse verknüpft ist.
     Zentrale Auf der Seite der  Zentrale für ausgehendes Mapping
    Quelle: Network.svg internal network
    Ziel: Network.svg netmap_remotenet Mapnetz der Filiale
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    Aktion Accept
    ╭╴ [–] NAT╶╮ Typ NETMAP
    Netzwerkobjekt Network.svg netmap_localnet Mapnetz der Zentrale
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    Auf der Seite der  Zentrale für eingehendes Mapping
    Quelle: Network.svg netmap_remotenet Mapnetz der Filiale
    Ziel: Network.svg internal network
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    Aktion Accept
    ╭╴ [–] NAT╶╮ Typ Hierfür wird kein NAT vom Typ NETMAP mehr benötigt
     Filiale Auf der Seite der  Filiale für ausgehendes Mapping
    Quelle: Network.svg internal network
    Ziel: Network.svg netmap_remotenet Mapnetz der Zentrale
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    ╭╴ [–] NAT╶╮ Typ NETMAP
    Netzwerkobjekt Network.svg netmap_localnet Mapnetz der Filiale
    Auf der Seite der  Filiale für eingehendes Mapping
    Quelle: Network.svg netmap_remotenet Mapnetz der Zentrale
    Ziel: Network.svg internal network
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    ╭╴ [–] NAT╶╮ Typ Hierfür wird kein NAT vom Typ NETMAP mehr benötigt

    Portfilterregeln

    Zusätzlich zu den Netmap-Regeln werden weitere Regeln benötigt, die den Datenverkehr zwischen dem jeweiligen lokalen Netz und dem jeweiligen Remotenetz zulassen.

    Zwei Möglichkeiten stehen zur Verfügung:

    Implizite Regeln
    IPSec-Abschnitt in den implizierten Regeln

     Zentrale &  jede Filiale

    Menü → Firewall →Implizite Regeln → Gruppe IpsecTraffic → Regel Accept Ein

    In diesem Falle werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. (Default)



    Dedizierte Portfilter Regeln

    Empfohlen

    Eigene Portfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.

    Dazu wird im Menü → Firewall →Implizite Regeln im Abschnitt IpsecTraffic die Option Accept deaktiviert Aus und Portfilterregeln manuell angelegt.

    Im Beispiel wird davon ausgegangen, das aus der Filiale heraus auf Server der Zentrale zugegriffen werden soll.

    Es wird auf jeder Seite ein Netzwerkobjekt für das jeweils entfernte VPN-Netzwerk benötigt
    UTM v12.2.3 Netzwerkobjekt Zentrale ipsec remotenet.png
    Netzwerkobjekt in der  Zentrale für das VPN-Netzwerk
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.2.0/24 Netz-IP des Transfernetzes der Filiale

    Zone: vpn-ipsec

    UTM v12.2.3 Netzwerkobjekt Zentrale ipsec remotenet Zentrale.png
    Netzwerkobjekt in der  Filiale für das VPN-Netzwerk
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.1.0/24 Netz-IP des Transfernetzes der Zentrale

    Zone: vpn-ipsec














    Es wird für jede Filiale eine Verbindung benötigt.

    Hierfür wird kein NAT vom Typ NETMAP mehr benötigt Soll auch von der Zentrale aus, auf die Filiale zugegriffen werden, sind entsprechend weitere Regeln notwendig (z.B. um VoIP-Verbindungen aufbauen zu können).

    UTM v12.2.3 Firewall Portfilter Netmap ipsec-Regel Zentrale.png
    Portfilter Regel Zentrale für eingehendes IPSec-VPN


     Zentrale Übersicht der Portfilterregeln # Quelle Ziel Dienst NAT Aktion Aktiv
    Netmap Regel in Zentrale, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Filiale1 Other.svg any NM Accept Ein
    Netmap Regel in Zentrale, um das Netz der Filiale zu mappen Dragndrop.png 5 Network.svg netmap_remotenet_Filiale1 Network.svg internal network Other.svg any NM Accept Ein
    Eingehender Netzwerkverkehr in der Zentrale von Filiale Dragndrop.png 6 Vpn-network.svg ipsec_remotenet_Filiale1 Network.svg internal network Tcp.svg ms-rdp Accept Ein

     Filiale Übersicht der Portfilterregeln # Quelle Ziel Dienst NAT Aktion Aktiv
    Netmap Regel in Filiale, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Zentrale Other.svg any NM Accept Ein
    Netmap Regel in Filiale, um das Netz der Zentrale zu mappen Dragndrop.png 5 Network.svg netmap_remotenet_Zentrale Network.svg internal network Other.svg any NM Accept Ein
    Ausgehender Netzwerkverkehr in der Filiale zur Zentrale Dragndrop.png 6 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein



    Erreichbarkeit von Hosts der Gegenstelle

    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale wird von der Zentrale aus mit der IP-Adresse 10.0.2.10 angesprochen. (Erforderliche Regel wird im Beispiel nicht gezeigt!)
    Einen Rechner mit der IP-Adresse 172.16.3.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 10.0.1.120 angesprochen.



    Ausgangslage:

    Mehrere Filialen haben das gleiche Subnetz

    Netmap sz2.png
    Lokales Netz Öffentliche IP Netmap
    Zentrale: 172.16.0.0/24 192.0.2.192 nicht erforderlich
    Filiale 1: 172.16.3.0/24 192.0.2.193 nicht erforderlich
    Filiale 2: 172.16.3.0/24 192.0.2.194 10.0.1.0/24


    Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filialen unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.

  • Es sollte vermieden werden, in der Zentrale für mehr als eine Gegenstelle NETMAP-Konfigurationen zu nutzen.


  • VPN-Verbindung anlegen

    Schritt 4 mit Remotenetz
    Schritt 3 in  Filiale 2 mit lokalem Mapnetz

    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü → VPN →IPSec mit der Schaltfläche + IPSec-Verbindung hinzufügen.


     Filiale 1 nicht abgebildet

    • Filiale1 behält ihr ursprüngliches lokales Netz bei:
  • In Schritt 3 muss das lokale Netz (ohne mapping) freigegeben werden.
    Im Beispiel: »172.16.3.0/24

  •  Filiale 2 (und ggf. weitere Filialen)

  • In Schritt 3 muss das lokale Mapnetz freigegeben werden.
    Im Beispiel: »10.0.1.0/24

  •  jede Filiale

  • in Schritt 4 wird das direkte Remote-Netz der Zentrale (ohne mapping) freigegeben.
    Im Beispiel: »172.16.0.0/24

  •  Zentrale

  • Es wird für jede Filiale eine Verbindung benötigt.
    • In Schritt 3 muss das lokale Netz freigegeben werden.
      Im Beispiel: »172.16.0.0/24
    • In Schritt 4 wird das gemappte Remote-Netz der entsprechenden Filiale freigegeben.
      Im Beispiel: »10.0.1.0/24





    Netzwerkobjekte erstellen

    Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die Filiale 2 für die Zentrale gemapt.
    Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale

    In der  Filiale 2 (und in jeder weiteren Filiale, die ein auch an anderer Stelle genutztes lokales Netz verwendet) wird ein Netzwerkobjekt für die Zentrale in der Zone external benötigt, mit dem das Mapping durchgeführt werden kann.

    Hier kann direkt das genutze lokale Netz der Zentrale verwendet werden.
    Im Beispiel 172.16.0.0/24

    Zusätzlich wird ein zweites Netzwerkobjekt für das lokale Netz der jeweiligen Filiale erstellt, das gemappt wird.
    Das Netzwerkobjekt für das Mapnetz in der Filiale muss sich in der Zone des internen Netzwerkes befinden internal und bekommt im Beispiel die Netz-IP 10.0.1.0/24.
    (Weitere Filialen erhalten an dieser Stelle ein anderes Mapnet!)

  • Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.



  • NETMAP Regel anlegen

    NETMAP Portfilterregel

    Portfilterregeln in der Filiale 2

     Filiale 2 Auf der Seite der  Filiale 2 für ausgehendes Mapping
    Quelle: Network.svg internal network
    Ziel: Vpn-network.svg netmap_remotenet_Zentrale
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll
    Aktion Accept
    ╭╴ [–] NAT╶╮ Typ NETMAP
    Netzwerkobjekt Network.svg netmap_localnet_Filiale2
    Dienst: Other.svg any Außnahmsweise ist hier eine any-Regel sinnvoll





    Portfilterregeln

    Zusätzlich zu den Netmap-Regeln werden weitere Regeln benötigt, die den Datenverkehr zwischen dem jeweiligen lokalen Netz und dem jeweiligen Remotenetz zulassen.

    Zwei Möglichkeiten stehen zur Verfügung:

    Implizite Regeln
    IPSec-Abschnitt in den implizierten Regeln

     Zentrale &  jede Filiale

    Menü → Firewall →Implizite Regeln → Gruppe IpsecTraffic → Regel Accept Ein

    In diesem Falle werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. (Default)



    Dedizierte Portfilter Regeln

    Empfohlen

    Eigene Portfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.

    Dazu wird im Menü → Firewall →Implizite Regeln im Abschnitt IpsecTraffic die Option Accept deaktiviert Aus und Portfilterregeln manuell angelegt.

    Im Beispiel wird davon ausgegangen, das aus der Filiale heraus auf Server der Zentrale zugegriffen werden soll.

    Es wird auf jeder Seite ein Netzwerkobjekt für das jeweils entfernte VPN-Netzwerk benötigt
    UTM v12.2.3 Netzwerkobjekt Zentrale ipsec remotenet Filiale2.png
    Netzwerkobjekt für die Filiale2 in der  Zentrale
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.2.0/24 Netz-IP des Transfernetzes der Filiale2

    Zone: vpn-ipsec

    UTM v12.2.3 Netzwerkobjekt Filiale ipsec remotenet Zentrale2.png
    Netzwerkobjekt für die Zentrale in  Filiale2
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 172.16.0.0/24 Netz-IP des lokalen Netzes der Zentrale

    Zone: vpn-ipsec















     Zentrale Übersicht der Portfilterregeln # Quelle Ziel Dienst NAT Aktion Aktiv
    Eingehender Netzwerkverkehr in der Zentrale von Filiale1 Dragndrop.png 4 Vpn-network.svg ipsec_remotenet_Filiale1 Network.svg internal network Tcp.svg ms-rdp Accept Ein
    Eingehender Netzwerkverkehr in der Zentrale von Filiale2 Dragndrop.png 5 Vpn-network.svg ipsec_remotenet_Filiale2 Network.svg internal network Tcp.svg ms-rdp Accept Ein

     Filiale1 Übersicht der Portfilterregeln # Quelle Ziel Dienst NAT Aktion Aktiv
    Ausgehender Netzwerkverkehr in der Filiale1 zur Zentrale Dragndrop.png 5 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein

     Filiale2 Übersicht der Portfilterregeln # Quelle Ziel Dienst NAT Aktion Aktiv
    Netmap Regel in Filiale2, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Zentrale Other.svg any NM Accept Ein
    Ausgehender Netzwerkverkehr in der Filiale2 zur Zentrale Dragndrop.png 5 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein




    Erreichbarkeit von Hosts der Gegenstelle

    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 1 wird von der Zentrale aus mit eben dieser IP-Adresse (172.1.6.3.10) angesprochen.
    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 2 wird von der Zentrale aus mit der gemappten IP-Adresse 10.0.1.10 angesprochen.
    Einen Rechner mit der IP-Adresse 172.16.0.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 172.16.0.120 angesprochen.