Wechseln zu:Navigation, Suche
Wiki

Wireguard Roadwarrior VPN (S2E)

Aus Securepoint Wiki













































































































De.png
En.png
Fr.png


























































































Roadwarrior VPN (S2E) mit Wireguard konfigurieren
Letzte Anpassung zur Version: 12.2.5
Neu:
  • PSK in Zwischenablage kopieren
  • Assistent aktualisiert: (v12.2.3)
    • Der Schnittstellenname wird im Assistenten mit angezeigt (v12.2.3)
    • Export und Import der Schlüssel ist auch über die Zwischenablage möglich (v12.2.3)
    • Der Zeitraum für das Keepalive-Signal ist konfigurierbar (v12.2.3)

Vorherige Versionen: -





Roadwarrior VPN (S2E) mit Wireguard konfigurieren
Letzte Anpassung: 12.4
Neu:
  • PSK in Zwischenablage kopieren
  • Assistent aktualisiert: (v12.2.3)
    • Der Schnittstellenname wird im Assistenten mit angezeigt (v12.2.3)
    • Export und Import der Schlüssel ist auch über die Zwischenablage möglich (v12.2.3)
    • Der Zeitraum für das Keepalive-Signal ist konfigurierbar (v12.2.3)
    • Überarbeitung von Schritt 2 bei der Erstellung der WireGuard Verbindung (v12.4)

Vorherige Versionen: 12.2.5

Konfiguration unter → VPN →WireGuard

Voraussetzungen

  • Schlüssel vom Typ x25519 auf beiden Seiten der WireGuard-Verbindung
  • Öffentlicher x25519 Schlüssel der jeweiligen Gegenstelle liegt vor
Schlüssel hinzufügen
Schlüsselverwaltung öffnen unter → Authentifizierung →Schlüssel und mit der Schaltfläche Schlüssel hinzufügen den Dialog öffnen UTM v12.2.2 Schlüssel x25519-hinzufügen.png
Eindeutigen Namen vergeben und als Typ X25519 wählen

Dialog mit der Schaltfläche Speichern schließen

Schlüssel exportieren
PEM Exportiert den Schlüssel im .pem-Format UTM v12.2.3 Schlüssel.png
Schlüsselverwaltung
neu ab v12.2.3

Zwischenablage verwenden Ein
PEM		 Kopiert den Schlüssel im .pem-Format in die Zwischenablage

Schlüssel importieren
Schlüssel importieren Öffnet den Dialog zum Schlüssel-Import UTM v12.2.3 Schlüssel importieren copy.png
Datei Importiert einen Schlüssel aus einer .pem-Datei
Zwischenablage Importiert einen Schlüssel aus der Zwischenablage.
Hier muss ein Name für den Schlüssel vergeben werden.

WireGuard Verbindung erstellen

  • Eine WireGuard Verbindung stellt den Zugang für ggf. mehrere Peers zur Verfügung
  • Jede Verbindung wird mit einem eigenen Schlüsselpaar gesichert
  • Alle Peers einer Verbindung verwenden dessen öffentlichen Schlüssel
  • Jeder Peer benötigt ein eigenes Schlüsselpaar, um sich zu authentifizieren
    Zusätzlich sollte jeder Peer mit einem starken PSK abgesichert werden


Gegeben sei folgende Konfiguration:

UTM Netzwerk Standort B Transfer Netz
FQDN a.vpn.anyideas.de b.vpn.anyideas.de –
Lokales Netz IPv4 10.1.0.0/16 10.2.0.0/16 10.0.1.0/24
Lokale Tunnel IPv4 10.0.1.1/24 10.0.1.2/24 –
Lokales Netz IPv6 fd00:a:0:0::0/64 fd00:b:0:0::0/64 fd00:0:0:0::0/64
Lokale Tunnel IPv6 fd00:0:0:0::1/64 fd00:0:0:0::2/64 –
UTM Roadwarrior Transfer Netz
FQDN a.vpn.anyideas.de – –
Lokales Netz IPv4 10.1.0.0/16 – 10.0.1.0/24
Lokale Tunnel IPv4 10.0.1.1/24 10.0.1.201/24 –
Lokales Netz IPv6 fd00:a:0:0::0/64 – fd00:0:0:0::0/64
Lokale Tunnel IPv6 fd00:0:0:0::1/64 fd00:0:0:0::C9/64 –
Konfiguration UTM

Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen

Schritt 1 - Schnittstelle
UTM Netzwerk Schritt 1 - Schnittstelle
Beschriftung Wert Beschreibung UTM v12.2.3 VPN Wireguard Step1.png
WireGuard Assistent - Schritt 1
Schnittstelle: wg0 Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)
Name: wg_server Eindeutiger Name für die Verbindung
IPv4 Adresse: 10.0.1.1/24 IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: 10.0.1.1/24)
IPv6 Adresse: fd00:0:0:0::1/64 IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional)
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: fd00:0:0:0::1/64)
Listening Port: 51820Link= Default-Port für WireGuard Verbindungen
Privater Schlüssel: x25519_a.vpn Privater Schlüssel im Format x25519.
Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
Liegt noch kein lokaler Schlüssel im x25519-Format vor, kann mit dieser Schaltfläche ein solcher erzeugt werden.
Schritt2 - Peer
UTM Netzwerk Schritt2 - Peer
Name: peer-rw Bezeichnung der Gegenstelle UTM v12.2.3 VPN Wireguard RW Step2.png
WireGuard Assistent - Schritt 2
Erlaubte IPs: » ✕10.0.1.201/32» ✕ffd00:0:0:0::C9/128 IP aus dem Transfer Netz (» ✕…/32 bzw. » ✕…128)
  • Ein Roadwarrior verwendet ausschließlich die Tunnel-IP
    • Endpunkt:     Wird nicht benötigt, da ausschließlich die Gegenstelle (der Roadwarrior) die Verbindung initiieren soll
  • Endpunkt Port:    
    Öffentlicher Schlüssel: x25519_b_vpn Öffentlicher Schlüssel des Roadwarriors im Format x25519
    Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.
  • Öffentlicher Schlüssel vorhanden, aber nicht auswählbar?
    Es lassen sich nur Schlüssel auswählen, für die auf diesem Interface nocht keine Verbindung besteht. Der PublicKey muss innerhalb einer Verbindung eindeutig sein, da das Routing eingehender Pakete darüber durchgeführt wird.
    Soll für einen Peer der gleiche PublicKey z.B. für ein Fallback verwendet werden, muss dafür eine weitere WireGuard Verbindung angelegt werden.
    • Liegt der öffentliche Schlüssel des Roadwarriors noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.
    neu ab v12.2.3:
     Export und Import der Schlüssel ist auch über die Zwischenablage möglich
    Wir empfehlen, das Schlüsselpaar für den Roadwarrior auf der UTM zu erstellen und anschließend sicher zu verwahren.
    Vorgehen:
    1. Schaltfläche betätigen. Dies öffnet die Schlüsselverwaltung und den Import Dialog
    2. Import Dialog Schließen
    3. Schaltfläche Schlüssel hinzufügen
    4. Aussagekräftigen Namen wählen
    5. Als Typ: das Formt X25519 wählen und Speichern
    6. Öffentlichen und Privaten Teil des Schlüssels im Format RAW exportieren
      (Das Format ist wichtig, da es in der Konfigurationsdatei des Roadwarriors benötigt wird)
    7. Anschließend den öffentlichen Teil des Schlüssels wieder importieren
      (Dieser Vorgang ist erforderlich, da im Auswahldialog des Assistenten nur Schlüssel ohne privaten Schlüssel-Teil angeboten werden)
    8. Die Schlüsselverwaltung kann nun geschlossen werden und der soeben importierte öffentliche Schlüssel kann als öffentlicher Schlüssel des Peers ausgewählt werden.
      Der private Schlüssel-Teil wird auf der Gegenstelle benötigt. Er kann im WireGuard Client unter PrivateKey eingetragen werden.
    Pre-Shared Key: …8DmBioPyPNqZ7Rk= Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
    Erzeugt einen sehr starken Pre-Shared Key
  • Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
    • v12.2.5
    		 Kopiert den PSK in die Zwischenablage
    Keepalive: Aus Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
    25Link= Abstand in Sekunden, in dem ein Signal gesendet wird
    Schritt 3 - Allgemein
    UTM Netzwerk Schritt 3 - Allgemein
    Routen zu den Netzwerken des Peers erstellen: Nein
    Aktivierung Ein wird empfohlen.
    Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.     		UTM v12.2.3 VPN Wireguard RW Step3.png
    WireGuard Assistent - Schritt 3
    Zonen erstellen: Nein Erzeugt eine neue Zone für die WireGuard Schnittstelle
    Netzwerkobjekte für den Peer erstellen: Nein
    » ✕net-wg-peer-b    		 Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
    Regeln zwischen dem Peer und internal-networks erstellen: Nein Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern.
    Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.


    Konfiguration Roadwarrior
    Client Download

    Download des Clients unter https://www.wireguard.com/install

    Konfiguration des WireGuard Clients
    WireGuard Client
    Client öffnen und eine leeren Tunnel hinzufügen
  • Die Einträge in der Konfig-Datei beginnen jeweils nach einem Gleicheitszeichen gefolgt von einem Leerzeichen
    		•  Windows WireGuard Tunnel bearbeiten.png
    Anzeige der Konfig-Datei im Windows Client (Bearbeiten)

    [Interface]
    PrivateKey = # PrivatKey für RW
    Address = # Netz-IP für den Roadwarrior
    DNS = # IP_DES_DNServers (optional), # Search Domain (optional)
    MTU = 1420 # (optional)

    [Peer]
    PublicKey = # PublicKey derUTM
    PresharedKey = # PresharedKey
    AllowedIPs = # Lokale Netz-IPs hinter der UTM
    Endpoint = # IP/Hostname der UTM:Port der WG Instanz
    persistentkeepalive = # (optional)

    Name: wg-vpn-UTM_Netzwerk Frei wählbarer Name (ohne Leerzeichen)
    Öffentlicher Schlüssel: spyO2… …8uEjBs=
    Konfigurationsfenster
    [Interface]
    PrivateKey = eE4… …uZjO00k= Beim Anlegen eines leeren Tunnels wird automatisch ein PrivateKey vergeben
  • Wir empfehlen den PrivatKey bereits auf der UTM zu erstellen. So ist er an sicherer Stelle verwahrt.
    Der PrivateKey kann auf der UTM im RAW-Format exportiert und anschließend hier eingetragen werden.
    • Address = 10.0.1.201/32 Tunnel-IP für den Roadwarrior
    [Peer]
    PublicKey = beN9ikz… …Do= PublicKey der UTM
    PresharedKey = 29… …/FWipaxs= PresharedKey aus der UTM
    AllowedIPs = 10.1.0.0/16 Lokale Netz-IPs hinter der UTM
    Endpoint = a.vpn.anyideas.de:51820 IP/Hostname der UTM:Port der WG Instanz
    persistentkeepalive = 25 Keepalive
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/WireGuard-S2E&oldid=82791“