Wechseln zu:Navigation, Suche
Wiki

Wireguard Site-to-Site VPN (S2S)

Aus Securepoint Wiki
























































































































De.png
En.png
Fr.png















































































































Site-to-Site VPN (S2S) mit Wireguard konfigurieren
Letzte Anpassung zur Version: 12.5.1
Neu:
  • AD-Benutzer als Peer auswählbar

Vorherige Versionen: 12.2.5

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 → VPN →WireGuard





Site-to-Site VPN (S2S) mit Wireguard konfigurieren
Letzte Anpassung zur Version: 12.5.1
Neu:
  • Der Endpunkt Port im Einrichtungsschritt 2 ist manuell einstellbar
  • AD-Benutzer als Peer auswählbar

Vorherige Versionen: 12.2.5

Konfiguration unter → VPN →WireGuard

Voraussetzungen

  • Schlüssel vom Typ x25519 auf beiden Seiten der WireGuard-Verbindung
  • Öffentlicher x25519 Schlüssel der jeweiligen Gegenstelle liegt vor
Schlüssel hinzufügen
Schlüsselverwaltung öffnen unter → Authentifizierung →Schlüssel und mit der Schaltfläche Schlüssel hinzufügen den Dialog öffnen UTM v12.2.2 Schlüssel x25519-hinzufügen.png
Eindeutigen Namen vergeben und als Typ X25519 wählen

Dialog mit der Schaltfläche Speichern schließen

Schlüssel exportieren
PEM Exportiert den Schlüssel im .pem-Format UTM v12.2.3 Schlüssel.png
Schlüsselverwaltung

Zwischenablage verwenden Ein
PEM		 Kopiert den Schlüssel im .pem-Format in die Zwischenablage

Schlüssel importieren
Schlüssel importieren Öffnet den Dialog zum Schlüssel-Import UTM v12.2.3 Schlüssel importieren copy.png
Datei Importiert einen Schlüssel aus einer .pem-Datei
Zwischenablage Importiert einen Schlüssel aus der Zwischenablage.
Hier muss ein Name für den Schlüssel vergeben werden.

WireGuard Verbindung erstellen

  • Eine WireGuard Verbindung stellt den Zugang für ggf. mehrere Peers zur Verfügung
  • Jede Verbindung wird mit einem eigenen Schlüsselpaar gesichert
  • Alle Peers einer Verbindung verwenden dessen öffentlichen Schlüssel
  • Jeder Peer benötigt ein eigenes Schlüsselpaar, um sich zu authentifizieren
    Zusätzlich sollte jeder Peer mit einem starken PSK abgesichert werden


Gegeben sei folgende Konfiguration:

Standort A Standort B Transfer Netz
FQDN a.vpn.anyideas.de b.vpn.anyideas.de –
Lokales Netz IPv4 10.1.0.0/16 10.2.0.0/16 10.0.1.0/24
Lokale Tunnel IPv4 10.0.1.1/24 10.0.1.2/24 –
Lokales Netz IPv6 fd00:a:0:0::0/64 fd00:b:0:0::0/64 fd00:0:0:0::0/64
Lokale Tunnel IPv6 fd00:0:0:0::1/64 fd00:0:0:0::2/64 –
UTM Roadwarrior Transfer Netz
FQDN a.vpn.anyideas.de – –
Lokales Netz IPv4 10.1.0.0/16 – 10.0.1.0/24
Lokale Tunnel IPv4 10.0.1.1/24 10.0.1.201/24 –
Lokales Netz IPv6 fd00:a:0:0::0/64 – fd00:0:0:0::0/64
Lokale Tunnel IPv6 fd00:0:0:0::1/64 fd00:0:0:0::C9/64 –
Konfiguration an Standort A

Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen

Schritt 1 - Schnittstelle
Standort A Schritt 1 - Schnittstelle
Beschriftung Wert Beschreibung UTM v12.4 VPN Wireguard Step1.png
WireGuard Assistent - Schritt 1
Schnittstelle: wg0 Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)
Name: wg_server Eindeutiger Name für die Verbindung
IPv4 Adresse: 10.0.1.1/24 IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: 10.0.1.1/24)
IPv6 Adresse: fd00:0:0:0::1/64 IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional)
Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: fd00:0:0:0::1/64)
Listening Port: 51820Link= Default-Port für WireGuard Verbindungen
Privater Schlüssel: x25519_a.vpn Privater Schlüssel im Format x25519.
Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
Liegt noch kein lokaler Schlüssel im x25519-Format vor, kann mit dieser Schaltfläche ein solcher erzeugt werden.
Servernetzwerke global freigeben:     Netzwerke auf (lokaler) Serverseite, auf die die WireGuard-Tunnel der Peers prinzipiell zugreifen können.Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!
Schritt 2 - Peer
Standort A Schritt 2 - Peer
Verwende AD Benutzer als Peers: Nein Bei Aktivierung Ein können die Daten für Roadwarrior aus einem AD ausgelesen werden. UTM v12.4 VPN Wireguard Step2.png
WireGuard Assistent - Schritt 2
Als Vorgabe sind Werte eingetragen, die unter → Authentifizierung →AD/LDAP AuthentifizierungReiter Erweitert konfiguriert wurden.
WireGuard-Attribute (IPv4): extensionAttribute1 Attribut Name im AD, der als Wert die Tunnel-IPv4 für den RW enthält 1 UTM v12.5.0 WireGuard RW Step2 AD.png
WireGuard Assitent - Schritt 2 mit AD Benutzern als Peers Datei:WG-AD-Attribute.png
Werte im AD
WireGuard-Attribute (IPv6): extensionAttribute2 Attribut Name im AD, der als Wert die Tunnel-IPv6 für den RW enthält 2
WireGuard-Public-Key-Attribute: extensionAttribute3 Der Public-Key des Users. 3 Der User muss über den private-Key verfügen.
Öffne AD/LDAP Dialog: Aus Bei Aktivierung wird im Anschluss der Dialog unter → Authentifizierung →AD/LDAP Authentifizierung aufgerufen.
Fertig Beendet den Assistenten
Name: peer-b Bezeichnung der Gegenstelle
Erlaubte IPs: » ✕10.2.0.0/16 » ✕fd00:b:0:0::/64 Lokale Netz IP der Gegenstelle
  • Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!
    Endpunkt: b.vpn.anyideas.de Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle
  • Wird nicht benötigt, wenn ausschließlich die Gegenstelle die Verbindung initiieren soll
    • Endpunkt Port: 51820Link= Listening-Port der Gegenstelle
    Öffentlicher Schlüssel: x25519_b_vpn Öffentlicher Schlüssel der Gegenstelle im Format x25519
    Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.
  • Öffentlicher Schlüssel vorhanden, aber nicht auswählbar?
    Es lassen sich nur Schlüssel auswählen, für die auf diesem Interface noch keine Verbindung besteht. Der PublicKey muss innerhalb einer Verbindung eindeutig sein, da das Routing eingehender Pakete darüber durchgeführt wird.
    Soll für einen Peer der gleiche PublicKey z.B. für ein Fallback verwendet werden, muss dafür eine weitere WireGuard Verbindung angelegt werden.
    • Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.
    Export und Import der Schlüssel ist auch über die Zwischenablage möglich
    Pre-Shared Key: …8DmBioPyPNqZ7Rk= Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
    Erzeugt einen sehr starken Pre-Shared Key
  • Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
    • Kopiert den PSK in die Zwischenablage
    Keepalive: Aus Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
    25Link= Sekunden Abstand in Sekunden, in dem ein Signal gesendet wird
    Schritt 3 - Erweiterte Einstellungen
    Standort A Schritt 3 - Erweiterte Einstellungen
    Routen zu den Netzwerken des Peers erstellen: Nein Aktivierung Ein wird empfohlen.
    Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.     		UTM v12.2.3 VPN Wireguard Step3.png
    WireGuard Assistent - Schritt 3
    Zonen erstellen: Nein Erzeugt eine neue Zone für die WireGuard Schnittstelle
    Zonenname: wireguard-wg0 Name für die Zone der WireGuard-Verbindung
    Netzwerkobjekte für den Peer erstellen: Nein
    » ✕net-wg-peer-b    		 Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
    Netzwerkgruppe: wg0-network Netzwerkgruppe der Verbindung wird angezeigt
    Regeln zwischen dem Peer und internal-networks erstellen: Nein Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.
    Fertig Beendet den Assistenten


    Konfiguration an Standort B
    Konfiguration an Standort B

    Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen

    Schritt 1 - Schnittstelle
    Standort B Schritt 1 - Schnittstelle
    Schnittstelle: wg0 Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden) UTM v12.4 VPN Wireguard B Step1.png
    WireGuard Assistent - Schritt 1
    Name: wg_server Eindeutiger Name für die Verbindung
    IPv4 Adresse: 10.0.1.2/24 IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort B
    Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde (hier: 10.0.1.2/24)
    IPv6 Adresse: fd00:0:0:0::2/64 IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional)
    Hier muss eine IP aus dem Netz gewählt werden, das am Standort A festgelegt wurde(hier: fd00:0:0:0::2/64)
    Listening Port: 51820Link= Default-Port für WireGuard Verbindungen
    Privater Schlüssel: x25519_a.vpn Privater Schlüssel im Format x25519.
    Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
    Der öffentliche Schlüssel wurde bereits in Standort A benötigt, daher sollte es auch bereits einen privaten Schlüssel geben. Ggf. kann der hier auch über die Zwischenablage importiert werden.
    Schritt 2 - Peer
    Standort B Schritt 2 - Peer
    Verwende AD Benutzer als Peers: Nein Bei Aktivierung Ein können die Daten für Roadwarrior aus einem AD ausgelesen werden. Datei:UTM v12.5.1 VPN Wireguard B Step2.png
    WireGuard Assistent - Schritt 2
    Name: peer-a Bezeichnung der Gegenstelle (Hier: Standort A)
    Erlaubte IPs: » ✕10.1.0.0/16» ✕fd00:a:0:0::/64
  • Site to Site - S2S
    Lokale Netz IP der Gegenstelle (Hier: Standort A)
    • Endpunkt: a.vpn.anyideas.de Öffentliche IP oder im öffentlichen DNS auflösbarer FQDN der Gegenstelle (Hier: Standort A)
  • Wird nicht benötigt, wenn ausschließlich die Gegenstelle (Hier: Standort A) die Verbindung initiieren soll
    • Endpunkt Port: 51820Link= Listening-Port der Gegenstelle (Hier: Standort A)
    Öffentlicher Schlüssel: x25519_a_vpn Öffentlicher Schlüssel der Gegenstelle (Hier: Standort A) im Format x25519.
    Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen.
    Liegt der öffentliche Schlüssel der Gegenstelle noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden.
    Pre-Shared Key: …R0Z0DWUs+iCDFYzpP4= Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
    Erzeugt einen sehr starken Pre-Shared Key
  • Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
    • Kopiert den PSK in die Zwischenablage
    Keepalive: Aus Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
    25Link= Abstand in Sekunden, in dem ein Signal gesendet wird
    Schritt 3 - Erweiterte Einstellungen
    Standort B Schritt 3 - Erweiterte Einstellungen
    Routen zu den Netzwerken des Peers erstellen: Nein Aktivierung Ein wird empfohlen.
    Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.     		UTM v12.4 VPN Wireguard B Step3.png
    WireGuard Assistent - Schritt 3
    Zonen erstellen: Nein Erzeugt eine neue Zone für die WireGuard Schnittstelle
    Netzwerkobjekte für den Peer erstellen: Nein
    » ✕net-wg-peer-a    		 Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
    Regeln zwischen dem Peer und internal-networks erstellen: Nein Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.

    Fritzbox als Gegenstelle

    Wird eine Fremdhardware als Gegenstelle verwendet, bietet sich folgendes Vorgehen an:
    1. Schlüsselpaar für die Fritzbox erstellen (→ Authentifizierung →Schlüssel)
    2. Öffentlichen und privaten Teil des Schlüssels im .raw-Format exportieren
    3. Schlüsselpaar für die Fritzbox löschen und nur den öffentlichen Teil wieder importieren
    4. WireGuard Verbindung wie oben beschrieben hinzufügen
    5. Öffentlichen Schlüssel der UTM im .raw-Format exportieren
    6. Untenstehende Vorlage ergänzen und innerhalb der Fritzbox einfügen unter Internet / Freigaben / Reiter VPN / Schaltfläche VPN-Verbindung hinzufügen / Option Eine WireGuard Verbindung importieren
    [Interface]

    PrivateKey = $PRIVATE_KEY_FRITZBOX
    ListenPort = $LISTENPORT_WIREGUARD_FRITZBOX
    Address = $LOCAL_IP_FRITZBOX/$NETMASK

    [Peer]
    PublicKey = $PUBLIC_KEY_UTM
    PresharedKey = $PRESHAREDKEY
    AllowedIPs = $NETWORK_UTM/$NETMASK
    Endpoint = $HOSTNAME_UTM:$LISTENPORT_WIREGUARD_UTM
    PersistentKeepalive = 1

    Thumbnail for

    Lade video
    Vimeo
    Kurzvideo Konfiguration mit Fritzbox als Gegenstelle

    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/WireGuard-S2S&oldid=87423“