Securepoint Wiki - Benutzerbeiträge [de]

UTM/VPN/IPSec-S2S Beispiele v11.7

2017-03-15T13:59:18Z

Andreasw: /* Informationen */

{{DISPLAYTITLE:Securepoint UTM IPSec Site-to-Site Beispiele}}

==Beispiele zur Konfiguration von IPSec-VPN Site to Site Verbindungen==
Bei einer IPSec Verbindung gibt es für jeden Netzaufbau empfohlene Konfigurationen, damit ein Tunnel aufgebaut werden kann. Dabei wird unterschieden, ob die öffentliche IP auf der UTM liegt oder ob die Verbindung genattet ist. Auch ob es mehrere Internetleitungen gibt spielt hierbei eine Rolle.

===Single-Path mit öffentlichen IP-Adressen===
[[Datei:IPSec_single_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL-Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modems an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings, wie zum Beispiel ''Butterbrot'', verwendet werden. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte er einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld wieder frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der Seite der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path mit einer genatteten Seite===
[[Datei:IPSec_single_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist aber nur auf einer Seite eine öffentliche IP-Adresse direkt an den UTM anliegt. Die andere steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modem an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys erstellen und verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das zusätzliche NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Seite der Filiale die Gegenstelle der IPSec-Verbindung, die durch einen ADSL Router über das Transfernetz 192.168.2.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path beidseitig genattet===
[[Datei:IPSec_single_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wird für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:singlepath_zentrale_nat_nk.png|600px|center]]
[[Datei:singlepath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die öffentliche IP-Adresse der Zentrale 203.0.113.1 manuell eingetragen werden. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario muss die Seite der Filiale, als IPSec-VPN Gegenstelle, durch einen ADSL Router über das Transfernetz 192.168.2.0/24 ebenfalls genattet werden. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit öffentlichen IP-Adressen===
[[Datei:IPSec_multi_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und auf beiden Seiten öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere öffentliche IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte der einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der UTM der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit einer genatteten Seite===
[[Datei:IPSec_multi_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und dort öffentliche IP-Adressen direkt an den UTM anliegen. Die andere Seite steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath beidseitig genattet===
[[Datei:IPSec_multi_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wir für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:multipath_zentrale_nat_nk.png|600px|center]]
[[Datei:multipath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_beide.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den der Internetanschluss erreichbar ist über das die VPN-Verbindung aufgebaut werden soll. In diesem Fall die des ADSL-Router 192.168.178.1. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale ebenfalls über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

UTM/VPN/IPSec-S2S Beispiele v11.7

2017-03-15T13:51:51Z

Andreasw: /* Informationen */

{{DISPLAYTITLE:Securepoint UTM IPSec Site-to-Site Beispiele}}

== Informationen ==
Letze Anpassung zur Version: '''11.7'''
 
Bemerkung: Funktions- und Designanpassung
 
Vorherige Versionen: [[/UTM/VPN/IPSec-S2S_Beispiele | 11.6.12]]
 

==Beispiele zur Konfiguration von IPSec-VPN Site to Site Verbindungen==
Bei einer IPSec Verbindung gibt es für jeden Netzaufbau empfohlene Konfigurationen, damit ein Tunnel aufgebaut werden kann. Dabei wird unterschieden, ob die öffentliche IP auf der UTM liegt oder ob die Verbindung genattet ist. Auch ob es mehrere Internetleitungen gibt spielt hierbei eine Rolle.

===Single-Path mit öffentlichen IP-Adressen===
[[Datei:IPSec_single_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL-Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modems an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings, wie zum Beispiel ''Butterbrot'', verwendet werden. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte er einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld wieder frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der Seite der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path mit einer genatteten Seite===
[[Datei:IPSec_single_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist aber nur auf einer Seite eine öffentliche IP-Adresse direkt an den UTM anliegt. Die andere steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modem an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys erstellen und verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das zusätzliche NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Seite der Filiale die Gegenstelle der IPSec-Verbindung, die durch einen ADSL Router über das Transfernetz 192.168.2.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path beidseitig genattet===
[[Datei:IPSec_single_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wird für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:singlepath_zentrale_nat_nk.png|600px|center]]
[[Datei:singlepath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die öffentliche IP-Adresse der Zentrale 203.0.113.1 manuell eingetragen werden. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario muss die Seite der Filiale, als IPSec-VPN Gegenstelle, durch einen ADSL Router über das Transfernetz 192.168.2.0/24 ebenfalls genattet werden. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit öffentlichen IP-Adressen===
[[Datei:IPSec_multi_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und auf beiden Seiten öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere öffentliche IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte der einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der UTM der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit einer genatteten Seite===
[[Datei:IPSec_multi_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und dort öffentliche IP-Adressen direkt an den UTM anliegen. Die andere Seite steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath beidseitig genattet===
[[Datei:IPSec_multi_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wir für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:multipath_zentrale_nat_nk.png|600px|center]]
[[Datei:multipath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_beide.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den der Internetanschluss erreichbar ist über das die VPN-Verbindung aufgebaut werden soll. In diesem Fall die des ADSL-Router 192.168.178.1. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale ebenfalls über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

UTM/VPN/IPSec-S2S Beispiele v11.7

2017-03-15T13:50:16Z

Andreasw: /* Beispiele zur Konfiguration von IPSec-VPN Site to Site Verbindungen */

{{DISPLAYTITLE:Securepoint UTM IPSec Site-to-Site Beispiele}}

== Informationen ==
Letze Anpassung zur Version: '''11.7'''
 
Bemerkung: Funktions- und Designanpassung
 
Vorherige Versionen: [[UTM/VPN/SSL_VPN-Roadwarrior_v11.6 | 11.6.12]]
 
==Beispiele zur Konfiguration von IPSec-VPN Site to Site Verbindungen==
Bei einer IPSec Verbindung gibt es für jeden Netzaufbau empfohlene Konfigurationen, damit ein Tunnel aufgebaut werden kann. Dabei wird unterschieden, ob die öffentliche IP auf der UTM liegt oder ob die Verbindung genattet ist. Auch ob es mehrere Internetleitungen gibt spielt hierbei eine Rolle.

===Single-Path mit öffentlichen IP-Adressen===
[[Datei:IPSec_single_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL-Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modems an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings, wie zum Beispiel ''Butterbrot'', verwendet werden. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte er einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld wieder frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der Seite der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path mit einer genatteten Seite===
[[Datei:IPSec_single_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist aber nur auf einer Seite eine öffentliche IP-Adresse direkt an den UTM anliegt. Die andere steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
Für den Anschluss eines Modem an der UTM wird eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_zentrale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys erstellen und verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das zusätzliche NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Seite der Filiale die Gegenstelle der IPSec-Verbindung, die durch einen ADSL Router über das Transfernetz 192.168.2.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Single-Path beidseitig genattet===
[[Datei:IPSec_single_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wird für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:singlepath_zentrale_nat_nk.png|600px|center]]
[[Datei:singlepath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys-zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_zentrale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. Dieser Wert wird von der UTM aus dem Routing ausgelesen und automatisch für diese IPSec-Verbindung übernommen. 
'''Route Over:''' Dieses wird ebenfalls aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld bei einer Single-Path Konfiguration frei bleiben. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die öffentliche IP-Adresse der Zentrale 203.0.113.1 manuell eingetragen werden. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale-rsa
*'''Remote Key:''' filiale-rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario muss die Seite der Filiale, als IPSec-VPN Gegenstelle, durch einen ADSL Router über das Transfernetz 192.168.2.0/24 ebenfalls genattet werden. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys-filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat-rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall auch hier nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ebenfalls ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale-rsa
*'''Remote Key:''' zentrale-rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit öffentlichen IP-Adressen===
[[Datei:IPSec_multi_oNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und auf beiden Seiten öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL Modem angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere öffentliche IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Für die Authentifizierung verwenden wir für diese Konfiguration einen Pre-Shared Key. Diesen lassen wir uns vom System generieren um eine möglichst hohe Sicherheit zu gewährleisten. Da dieser dadurch natürlich sehr komplex und schwer zu merken ist, sollte der einmal kopiert werden, um ihn im Anschluss auf der Gegenstelle ebenfalls einzutragen.

'''Startverhalten:''' Um eine VPN-Verbindung aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung automatisch vornimmt. 
Bei einer IPSec-VPN-Verbindung ohne NAT auf beiden Seiten ist es in der Regel egal, wer die Initiierung übernimmt. Hierbei können bei zwei Securepoint Geräten sogar beide auf ''Outgoing'' eingestellt werden. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Zentrale nicht die Verbindung zu initiieren. Outgoing muss dann auf der UTM der Filiale eingestellt sein.

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
Auch hier wurde ein Modem an der UTM angeschlossen, eine [[Konfiguration_PPPoE_UTMV11 | PPPoE]] Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet. 
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
[[Datei:singlepath_pppoe_filiale_nk.png|600px|center]]
[[Datei:singlepath_pppoe_beide_dr.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann hier ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Da der Pre-Shared Key auf beiden Seiten der VPN-Verbindung identisch sein muss, wird hier der auf der UTM der Zentrale erstellte und kopierte Schlüssel eingefügt.

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite ebenfalls die Initiierung der Verbindung vornimmt. Aber sie reagiert auch auf initiierte Datenpakete der Gegenstelle. 
Alternativ kann hier auch das Startverhalten ''Incomming'' gewählt werden. Dann versucht die Filiale nicht die Verbindung zu initiieren sondern reagiert nur auf ankommende Datenpakete.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath mit einer genatteten Seite===
[[Datei:IPSec_multi_eNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und dort öffentliche IP-Adressen direkt an den UTM anliegen. Die andere Seite steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In unserem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung ppp0 erhält.
Da in diesem Beispiel mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing). 

Wichtig ist an dieser Stelle auch, dass die VPN Zonen ''vpn-ipsec'' und ''firewall-vpn-ipsec'' auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll. Ansonsten wird es Probleme mit den Portfilterregeln geben. 
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.
[[Datei:multipath_zentrale_nk.png|600px|center]]
[[Datei:multipath_zentrale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_filiale.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den das Internet erreichbar ist und über den die VPN-Verbindung aufgebaut werden soll. Für PPPoE Verbindungen wird diese aus dem Routing übernommen daher wird hier die Schnittstelle ppp0 eingetragen. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. Bei einseitig genatteten IPSec-VPN-Verbindungen empfehlen wir, dass die Seite die Verbindung initiiert, die hinter dem Router steht, durch den das NAT notwendig ist. Die nicht genattete Seite sollte dann nur auf die Datenpakete der Gegenstelle reagieren aber nicht selbst versuchen diese Verbindung zu initiieren. 
Das Startverhalten ''Incomming'' definiert, das die Seite der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

===Multipath beidseitig genattet===
[[Datei:IPSec_multi_bNat.png|600px|center]]

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und beide Seiten der Verbindung stehen hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wir für dieses Szenario eine [[OpenVPN_Site_to_Site_V11 | OpenVPN Site to Site Verbindung]].

====Zentrale====
=====Netzwerkvorgaben=====
In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat. 
Hier soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz 192.168.178.0/24 zusätzlich genattet werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.178.1'' als Gateway eingetragen.
[[Datei:multipath_zentrale_nat_nk.png|600px|center]]
[[Datei:multipath_zentrale_nat_dr.png|600px|center]]

=====RSA-Schlüssel=====
Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite zum Beispiel durch einen Router genattet wird, empfehlen wir statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln. Dadurch ist es möglich, bei jeder weiteren VPN-Verbindung einen eigenen Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal zu verwenden.

Das erstellen eines RSA-Schlüsselpaares erfolgt unter dem Menü ''Authentifizierung'' und dem Untermenü ''RSA Schlüssel'' (siehe auch [[Howtos-V11/RSA-Keys_erstellen_und_verteilen | RSA-Keys_erstellen_und_verteilen]]). 
Es muss dann nur noch der Öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.
[[Datei:ipsec_rsakeys_zentrale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:multipath_ipsec_p1_zentrale_nat_rsa_beide.png|300px|right]]
'''Local Gateway:''' Da die Firewall mehrere Leitung (Multipath) und damit mehrere Routen zum Internet hat, wird hier die Schnittstelle ausgewählt, die für die IPSec-VPN Verbindung genutzt werden soll. Alternativ kann hier auch eine IP-Adresse eingetragen werden, wenn auf dieser Schnittstelle mehrere IP-Adressen eingetragen sind. 
'''Route Over:''' Hier wird die IP-Adresse des Gateway eingetragen, über den der Internetanschluss erreichbar ist über das die VPN-Verbindung aufgebaut werden soll. In diesem Fall die des ADSL-Router 192.168.178.1. 
'''Local Gateway ID:''' Bei der ID handelt es sich um ein zweites Authentifizierungsmerkmal neben dem Pre-Shared Key, RSA-Schlüsseln oder den Zertifikaten. In unserem Beispiel verwenden wir die öffentliche IP-Adresse, welche von der Schnittstelle ''ppp0'' ausgelesen und übernommen wird. Es können aber auch Text-Strings verwendet werden wie zum Beispiel ''Butterbrot''. Dieser Text-String muss dann auf der Gegenstelle unter ''Remote Gateway ID'' ebenfalls eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der VPN Gegenstelle eingetragen. In unserem Beispiel also die IP-Adresse der Filiale ''198.51.100.2''. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Filiale eingetragen.

'''Authentifizierung:''' Diese stellen wir auf ''RSA'' und verwenden die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind.
*'''Local Key:''' zentrale_rsa
*'''Remote Key:''' filiale_rsa_pem
 

'''Startverhalten:''' Um eine VPN-Verbindung automatisch aufzubauen, muss diese von einer der beiden Seiten Initiiert werden. 
Wenn wie hier beide Seiten genattet sind, muss ausprobiert werden, welche Seite der VPN-Verbindung diese am besten aufbauen kann. 
Das Startverhalten ''Outgoing'' definiert, das die UTM der Zentrale die Initiierung der Verbindung automatisch vornimmt. 
Das Startverhalten ''Incomming'' definiert, das die UTM der Zentrale nur auf IPSec Verbindungsanfragen der Filiale reagiert diese aber nicht aktiv initiiert. 

'''Dead Peer Detection:''' Diese überprüft die Verbindung durch versenden sogenannter ''Keep Alive'' Pakete, auf die die Gegenstelle antworten muss. Tut sie das nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. 
Wichtig ist, dass auch die Gegenstelle die ''Dead Peer Detection'' implementiert haben muss, ansonsten kann diese nicht verwendet werden.

====Filiale====
=====Netzwerkvorgaben=====
In diesem Szenario ist die Filiale ebenfalls über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich genattet werden muss. Die öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM. In der Standard-Route wird die IP-Adresse des ADSL Router ''192.168.2.1'' als Gateway eingetragen.
[[Datei:singlepath_nat_filiale_nk.png|600px|center]]
[[Datei:singlepath_nat_filiale_dr.png|600px|center]]

=====RSA-Schlüssel=====
Wie schon auf der UTM der Zentrale muss der Öffentliche Schlüssel der Filiale im PEM, HEX oder Base64 Format exportiert und in die UTM der Zentrale importiert werden. Der Öffentliche Schlüssel der Zentrale wird ebenfalls exportiert und in die UTM der Filiale importiert.
[[Datei:ipsec_rsakeys_filiale.png|600px|center]]

=====IPSec Phase1=====
[[Datei:singlepath_ipsec_p1_filiale_nat_rsa.png|300px|right]]
'''Local Gateway:''' Da die Firewall nur eine Leitung (Single-Path) und damit nur eine Route zum Internet hat, kann ''defaultroute'' ausgewählt bleiben. 
'''Route Over:''' Wird aus dem Routing übernommen und automatisch im Hintergrund eingetragen. Daher kann dieses Feld frei bleiben. 
'''Local Gateway ID:''' Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle. Hier muss die 198.51.100.2 manuell eingetragen werden.

'''Remote Gateway:''' Hier wird die öffentliche IP-Adresse der Zentrale ''203.0.113.1'' eingetragen. 
'''Remote Gateway ID:''' In unserem Beispiel verwenden wir die die IP-Adressen als ID, daher wird hier ebenfalls die öffentliche IP-Adresse der Zentrale eingetragen.

'''Authentifizierung:''' Hier wird, wie auch schon auf der UTM der Zentrale, ''RSA'' ausgewählt und die RSA-Schlüssel die gerade erstellt beziehungsweise importiert worden sind verwendet.
*'''Local Key:''' filiale_rsa
*'''Remote Key:''' zentrale_rsa_pem
 

'''Startverhalten:''' Das Startverhalten ''Outgoing'' definiert, das diese Seite die Initiierung der Verbindung vornimmt.

'''Dead Peer Detection:''' Muss hier ebenfalls aktiviert sein, damit diese funktioniert.

Datei:VPN XAuth Android 6.jpg

2017-03-15T13:40:36Z

Andreasw:

Datei:Multipath beide NAT 2.png

2017-03-15T11:02:42Z

Andreasw:

Datei:Multipath beide NAT 1.png

2017-03-15T11:01:04Z

Andreasw:

Datei:Multipath 1 Seite Nat.png 2.png

2017-03-15T10:53:17Z

Andreasw:

Datei:Multipath 1 Seite NAt.png

2017-03-15T09:59:12Z

Andreasw:

Datei:Multipath kein nat 2.png

2017-03-15T09:49:41Z

Andreasw:

Datei:Multipath kein nat 1.png

2017-03-15T09:49:34Z

Andreasw: Andreasw lud eine neue Version von „Datei:Multipath kein nat 1.png“ hoch

Datei:Multipath kein nat 1.png

2017-03-15T09:48:13Z

Andreasw:

Datei:Beidseitig genattet 2.png

2017-03-14T15:55:54Z

Andreasw:

Datei:Beidseitig genattet 1.png

2017-03-14T15:55:04Z

Andreasw:

Datei:Ipsec12314.png

2017-03-14T15:46:50Z

Andreasw:

Datei:IPSec rsa 2.png

2017-03-14T15:32:38Z

Andreasw:

Datei:IPSec rsa.png

2017-03-14T15:28:08Z

Andreasw:

Datei:IPSec PHASE 1 Remote.png

2017-03-14T15:09:33Z

Andreasw:

Datei:IPSec PHASE1.png

2017-03-14T15:07:57Z

Andreasw:

Datei:IPSec Native Portfilter.png

2017-03-14T13:41:19Z

Andreasw:

Datei:IPSec Netzwerkobjekt native.png

2017-03-14T13:38:30Z

Andreasw:

Datei:IPSec Native Netzwerkobjekt.png

2017-03-14T13:36:36Z

Andreasw:

Datei:IPSec Native Schritt 4.png

2017-03-14T13:28:42Z

Andreasw:

Datei:IPSec Native Schritt 3.png

2017-03-14T13:16:36Z

Andreasw:

Datei:IPSec Native Schritt 2.png

2017-03-14T13:16:28Z

Andreasw: Andreasw lud eine neue Version von „Datei:IPSec Native Schritt 2.png“ hoch

Datei:IPSec Native Schritt 2.png

2017-03-14T11:54:54Z

Andreasw:

Datei:GREENBOW3.PNG

2017-03-13T15:09:31Z

Andreasw:

Datei:GREENBOW2.PNG

2017-03-13T15:08:11Z

Andreasw:

Datei:GREENBOW.PNG

2017-03-13T14:28:55Z

Andreasw:

Datei:IPhone-IPSec.PNG

2017-03-13T14:27:03Z

Andreasw:

Datei:IPSec XAuth regel.png

2017-03-13T11:03:21Z

Andreasw:

Datei:Netzwerkobjekt XAuth.png

2017-03-13T10:16:15Z

Andreasw:

Datei:IPSec XAuth Benutzer.png

2017-03-13T09:35:59Z

Andreasw:

Datei:IPSec XAuth Gruppe.png

2017-03-13T09:19:31Z

Andreasw:

Datei:IPSec XAuth Schritt 4.png

2017-03-13T08:34:49Z

Andreasw:

Datei:IPSec xauth schritt 3.png

2017-03-13T08:25:13Z

Andreasw:

Datei:IPSec XAuth Verbindung .png

2017-03-08T14:54:26Z

Andreasw:

Datei:IPSec Regel erstellen.png

2017-03-07T08:57:18Z

Andreasw:

Datei:IPSec Netzwerkobjekt anlegen.png

2017-03-07T08:53:26Z

Andreasw:

Datei:IPSec Netzwerk anlegen.png

2017-03-07T08:52:11Z

Andreasw:

Datei:IPSec Netzwerkobjekt.png

2017-03-07T08:36:59Z

Andreasw:

Datei:Implizite Regeln IPSec.png

2017-03-07T07:21:18Z

Andreasw:

Datei:Implizierte Regeln VPN.png

2017-03-06T12:58:55Z

Andreasw:

Datei:IPSec Schritt 4 Gegenstelle.png

2017-03-06T09:18:55Z

Andreasw:

Datei:IPSec S2S Schritt 3.png

2017-03-02T15:02:56Z

Andreasw:

Datei:IPSec S2S Schritt 2.png

2017-03-02T14:26:16Z

Andreasw:

Datei:IPSec Verbindung hinzufügen.png

2017-03-02T13:38:03Z

Andreasw:

UTM/VPN/SSL VPN-Roadwarrior v11.7.1

2015-04-02T09:10:01Z

Andreasw: /* SSL Konfiguration */

{{v11}}
===An der Appliance anmelden===

[[Datei:Loginv11.png|thumb|180px|Login Dialog]]
*Öffnen Sie einen Webbrowser und geben Sie in die ''Adressleiste'' die IP-Adresse des internen Interface Ihrer Appliance an. Gefolgt von einem Doppelpunkt hinter dem der Port 11115 angefügt wird. Benutzen sie dafür das ''HTTPS'' Protokoll.
:Bsp.: https://192.168.175.1:11115
*Melden Sie sich im Login Dialog als Administrator an.
:Werkseinstellungen:
:Benutzername: admin
:Kennwort: insecure

===Zertifikate ===
Bevor eine OpenVPN-Verbindung erstellt werden kann, müssen die benötigten Zertifikate angelegt werden.
*Gehen Sie dafür auf Authentifizierung > Zertifikate.
[[Datei:CA_anlegen.png|200px|thumb|right|CA anlegen]]
*Erstellen Sie ihre CA.
**Klicken Sie auf "+ CA hinzufügen".
**Geben Sie der CA einen Namen (Keine Leer- und/oder Sonderzeichen).
**Füllen Sie die anderen Felder entsprechend aus.
**Speichern Sie die CA.
 
*Gehen Sie danach auf die Registerkarte Zertifikate.
[[Datei:ServerZertifikat.png|200px|thumb|right|Server Zertifikate anlegen]]
*Nun erstellen Sie ein Server- und für jeden Benutzer ein Client-Zertifikat.
**Geben Sie den Zertifikat einen Namen (Keine Leer- und/oder Sonderzeichen).
**Wählen Sie unter CA das eben erstellte CA -Zertfikat aus.
**Füllen Sie die restlichen Felder aus.
**Für das Server-Zertifikat aktivieren Sie den Haken "Serverzertifikat"
**Alias bleibt auf "none".
**Speichern Sie das Zertifikat und wiederholen Sie den Vorgang für die Client-Zertifikate.
**Achten Sie darauf, dass der Haken bei "Serverzertifikat" bei den Client-Zertifikaten nicht aktiviert ist.
 

=== SSL Konfiguration===

[[Datei:SSL-1.png|thumb|240px|]]
Unter dem Menüpunkt VPN -> SSL-VPN wählen Sie Roadwarrior hinzufügen, anschließend wählen Sie :
*Name
*Protokoll
*Port
*Benutzerauthentifizierung
*Serverzertifikat
*Pool - Pool aus dem der Roadwarrior eine IP erhält z.B. 192.168.250.0/24
*Klicken Sie auf weiter
 
*Die MTU lassen Sie auf 1500
*Klicken Sie auf fertig

[[Datei:SSL-be.png|thumb|240px|]]
 
Ist die Konfiguration hinzugefügt, müssen Sie diese nochmal bearbeiten um das Netz, auf welches zugegriffen werden soll, einzutragen. Mehrere Firmen-Netze können durch ein Komma getrennt eingetragen werden (10.0.0.0/24, 192.168.0.0/24).
Zusätzlich können Sie auch eine Search Domain eintragen um diese durch den Tunnel zu pushen. Dies ist notwendig wenn Sie auf dem OpenVPN Client mit Hostnamen aus dem verbundenen Netz arbeiten möchten, z.B. wenn Sie Ihre Mails über mail.IhreFirma.local anstelle der IP abrufen. Desweiteren können Sie hier die Zeit einstellen, nachder die verwendeten Schlüssel der Verbindung erneut ausgetauscht werden (Renegotiation).

 
'''Beachten Sie:''' Sollte ihre UTM über mehrere Default-Routen verfügen (Multipathrouting), muss die Option "Multihome" für den SSL-VPN-Server aktiviert werden wenn als Protokoll UDP verwendet wird.
 

===Regelwerk===

[[Datei:SSL-Implizite-Regeln.png|thumb|240px|]]
Aktivieren Sie unter Firewall -> Implizite Regeln -> VPN das Protokoll, dass Sie für Ihre Verbindung gewählt haben.
Diese Regel gibt den Port 1194 auf das externe Interface frei, haben Sie mehrere Verbindungen erstellt, müssen
Sie die Ports der weiteren Verbindungen im Portfilter manuell freigeben. Dazu legen Sie z.B. den Dienst 1195 an und erstellen die Regel:
*Internet -> external-interface -> Port 1195.
Um dem Client den Download zu ermöglichen aktivieren Sie zudem noch die Option User Interface Portal.

 
[[Datei:SSLObjekt.png|thumb|240px|]]
Zudem erstellen Sie unter Firewall -> Portfilter -> Netzwerkobjekte ein Netzwerkobjekt für das VPN Netzwerk.
Die Adresse entspricht die des SSL tunX Netzes.

 
[[Datei:SSL-Regel.png|thumb|240px|]]
Anschließend erstellen Sie dem Objekt eine Regel um den Zugriff auf das interne Netz zu erlauben.

 

===Benutzer und Gruppen anlegen===

[[Datei:SSL-Gruppe.png|thumb|240px|]]
Erstellen Sie in der Benutzerverwaltung eine Gruppe mit einem geeigneten Namen, beispielsweise SSL.
Die Gruppe muss die Berechtigung SSL-VPN und damit die Nutzer ein SSL-VPN Client-Programm mit fertiger Konfigurationsdatei vom Userinterface herunterladen können, zusätzlich die Berechtigung Userinterface erhalten.

[[Datei:SSL-Gruppen-Einstellung.png|thumb|240px|]]
 
Unter dem Reiter SSL aktivieren Sie den Client download, wählen die erstellte SSL Verbindung, das Client Zertifikat und das Remote Gateway. Das Remote Gateway ist die Adresse der externen Schnittstelle

 Soll der Benutzer selbst die Berechtigung haben sich den SSL-Client herunterzuladen, bearbeiten Sie Ihren erstellten Benutzer, fügen ihn der zuvor erstellten Gruppe hinzu, wählen unter SSL-VPN die gleichen Einstellungen wie die der Gruppe und aktivieren den SSL-Client Download.
Zudem kann den Benutzern unter dem Reiter VPN eine IP-Adresse aus dem SSL-VPN Netzwerk zugewiesen werden.
'''Wenn Sie dem Client eine IP zuweisen, müssen Sie die IP und Maske eintragen, Beispiel: 192.168.250.10/24.'''
 

===SSL-VPN-Verbindung als Client herstellen===
Für Benutzer, die sich per SSL-VPN mit der Securepoint Appliance verbinden möchten, stellt die Appliance einen vorkonfigurierten SSL-VPN Client zur Verfügung. Dieser Client ist lauffähig unter dem Betriebssystem MS Windows ab der Version XP. Der Client wird als normal installierbare und portable Version angeboten. Die portable Version kann zum Beispiel auf einen USB Speicherstick kopiert werden und somit auch an anderen Rechnern ausgeführt werden. Voraussetzung hierfür sind Administratorrechte, da ein virtuelles TAP Device installiert werden muss. Die komprimierten Ordner enthalten neben den SSL-VPN Client eine Konfigurationsdatei, die CA- und Clientzertifikate sowie einen Treiber für die virtuelle TAP Netzwerkschnittstelle. Zum Installieren der virtuellen Tab Schnittstelle benötigt der Benutzer auf dem verwendeten Rechner Administratorrechte. Die Datei wird entweder vom Administrator der Securepoint Firewall an den Benutzer weitergereicht oder der Benutzer meldet sich an dem Userinterface der Securepoint Firewall an und lädt sich die Datei herunter. Letzteres ist nur möglich, wenn der Benutzer das Recht zur Benutzung des Userinterface zugewilligt bekommen hat.

==== Herunterladen des SSL-VPN Clients im Userinterface====

[[Datei:SSL-Userinterface.png|thumb|240px|]]
Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance. Ein Zugriff von externen Benutzern ist nur möglich, wenn die Implizite SSL Regeln aktiviert ist, die den Zugriff vom Internet auf das externe Interface per HTTPS erlaubt.
 
Öffnen Sie einen Webbrowser und geben in die Adresszeile die IP-Adresse oder den Hostnamen der Securepoint Appliance ein. Benutzen Sie dabei das Protokoll HTTPS.

Bsp.: https://192.168.175.1
oder https://myHost.dyndns.org

Bestätigen Sie das Laden der Seite durch Akzeptieren des Sicherheitszertifikats.
Melden Sie sich mit Ihrem Benutzernamen und Ihrem Kennwort am Userinterface an.

== Hinweis zu vorgeschalteten Routern/Modems==
Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte [[Drittgeräte-Firewalls|deaktivieren]] Sie auf diesen Geräten jegliche Firewall-Funktionalität.

UTM/VPN/SSL VPN-Roadwarrior v11.7.1

2015-04-02T09:08:53Z

Andreasw: /* SSL Konfiguration */

{{v11}}
===An der Appliance anmelden===

[[Datei:Loginv11.png|thumb|180px|Login Dialog]]
*Öffnen Sie einen Webbrowser und geben Sie in die ''Adressleiste'' die IP-Adresse des internen Interface Ihrer Appliance an. Gefolgt von einem Doppelpunkt hinter dem der Port 11115 angefügt wird. Benutzen sie dafür das ''HTTPS'' Protokoll.
:Bsp.: https://192.168.175.1:11115
*Melden Sie sich im Login Dialog als Administrator an.
:Werkseinstellungen:
:Benutzername: admin
:Kennwort: insecure

===Zertifikate ===
Bevor eine OpenVPN-Verbindung erstellt werden kann, müssen die benötigten Zertifikate angelegt werden.
*Gehen Sie dafür auf Authentifizierung > Zertifikate.
[[Datei:CA_anlegen.png|200px|thumb|right|CA anlegen]]
*Erstellen Sie ihre CA.
**Klicken Sie auf "+ CA hinzufügen".
**Geben Sie der CA einen Namen (Keine Leer- und/oder Sonderzeichen).
**Füllen Sie die anderen Felder entsprechend aus.
**Speichern Sie die CA.
 
*Gehen Sie danach auf die Registerkarte Zertifikate.
[[Datei:ServerZertifikat.png|200px|thumb|right|Server Zertifikate anlegen]]
*Nun erstellen Sie ein Server- und für jeden Benutzer ein Client-Zertifikat.
**Geben Sie den Zertifikat einen Namen (Keine Leer- und/oder Sonderzeichen).
**Wählen Sie unter CA das eben erstellte CA -Zertfikat aus.
**Füllen Sie die restlichen Felder aus.
**Für das Server-Zertifikat aktivieren Sie den Haken "Serverzertifikat"
**Alias bleibt auf "none".
**Speichern Sie das Zertifikat und wiederholen Sie den Vorgang für die Client-Zertifikate.
**Achten Sie darauf, dass der Haken bei "Serverzertifikat" bei den Client-Zertifikaten nicht aktiviert ist.
 

=== SSL Konfiguration===

[[Datei:SSL-1.png|thumb|240px|]]
Unter dem Menüpunkt VPN -> SSL-VPN wählen Sie Roadwarrior hinzufügen, anschließend wählen Sie :
*Name
*Protokoll
*Port
*Benutzerauthentifizierung
*Serverzertifikat
*Pool - Pool aus dem der Roadwarrior eine IP erhält z.B. 192.168.250.0/24
*Klicken Sie auf weiter
 
*Die MTU lassen Sie auf 1500
*Klicken Sie auf fertig

[[Datei:SSL-be.png|thumb|240px|]]
 
Ist die Konfiguration hinzugefügt, müssen Sie diese nochmal bearbeiten um das Netze, auf welches zugegriffen werden soll, einzutragen. Mehrere Firmen-Netz können durch ein Komma getrennt eingetragen werden (10.0.0.0/24, 192.168.0.0/24).
Zusätzlich können Sie auch eine Search Domain eintragen um diese durch den Tunnel zu pushen. Dies ist notwendig wenn Sie auf dem OpenVPN Client mit Hostnamen aus dem verbundenen Netz arbeiten möchten, z.B. wenn Sie Ihre Mails über mail.IhreFirma.local anstelle der IP abrufen. Desweiteren können Sie hier die Zeit einstellen, nachder die verwendeten Schlüssel der Verbindung erneut ausgetauscht werden (Renegotiation).

 
'''Beachten Sie:''' Sollte ihre UTM über mehrere Default-Routen verfügen (Multipathrouting), muss die Option "Multihome" für den SSL-VPN-Server aktiviert werden wenn als Protokoll UDP verwendet wird.
 

===Regelwerk===

[[Datei:SSL-Implizite-Regeln.png|thumb|240px|]]
Aktivieren Sie unter Firewall -> Implizite Regeln -> VPN das Protokoll, dass Sie für Ihre Verbindung gewählt haben.
Diese Regel gibt den Port 1194 auf das externe Interface frei, haben Sie mehrere Verbindungen erstellt, müssen
Sie die Ports der weiteren Verbindungen im Portfilter manuell freigeben. Dazu legen Sie z.B. den Dienst 1195 an und erstellen die Regel:
*Internet -> external-interface -> Port 1195.
Um dem Client den Download zu ermöglichen aktivieren Sie zudem noch die Option User Interface Portal.

 
[[Datei:SSLObjekt.png|thumb|240px|]]
Zudem erstellen Sie unter Firewall -> Portfilter -> Netzwerkobjekte ein Netzwerkobjekt für das VPN Netzwerk.
Die Adresse entspricht die des SSL tunX Netzes.

 
[[Datei:SSL-Regel.png|thumb|240px|]]
Anschließend erstellen Sie dem Objekt eine Regel um den Zugriff auf das interne Netz zu erlauben.

 

===Benutzer und Gruppen anlegen===

[[Datei:SSL-Gruppe.png|thumb|240px|]]
Erstellen Sie in der Benutzerverwaltung eine Gruppe mit einem geeigneten Namen, beispielsweise SSL.
Die Gruppe muss die Berechtigung SSL-VPN und damit die Nutzer ein SSL-VPN Client-Programm mit fertiger Konfigurationsdatei vom Userinterface herunterladen können, zusätzlich die Berechtigung Userinterface erhalten.

[[Datei:SSL-Gruppen-Einstellung.png|thumb|240px|]]
 
Unter dem Reiter SSL aktivieren Sie den Client download, wählen die erstellte SSL Verbindung, das Client Zertifikat und das Remote Gateway. Das Remote Gateway ist die Adresse der externen Schnittstelle

 Soll der Benutzer selbst die Berechtigung haben sich den SSL-Client herunterzuladen, bearbeiten Sie Ihren erstellten Benutzer, fügen ihn der zuvor erstellten Gruppe hinzu, wählen unter SSL-VPN die gleichen Einstellungen wie die der Gruppe und aktivieren den SSL-Client Download.
Zudem kann den Benutzern unter dem Reiter VPN eine IP-Adresse aus dem SSL-VPN Netzwerk zugewiesen werden.
'''Wenn Sie dem Client eine IP zuweisen, müssen Sie die IP und Maske eintragen, Beispiel: 192.168.250.10/24.'''
 

===SSL-VPN-Verbindung als Client herstellen===
Für Benutzer, die sich per SSL-VPN mit der Securepoint Appliance verbinden möchten, stellt die Appliance einen vorkonfigurierten SSL-VPN Client zur Verfügung. Dieser Client ist lauffähig unter dem Betriebssystem MS Windows ab der Version XP. Der Client wird als normal installierbare und portable Version angeboten. Die portable Version kann zum Beispiel auf einen USB Speicherstick kopiert werden und somit auch an anderen Rechnern ausgeführt werden. Voraussetzung hierfür sind Administratorrechte, da ein virtuelles TAP Device installiert werden muss. Die komprimierten Ordner enthalten neben den SSL-VPN Client eine Konfigurationsdatei, die CA- und Clientzertifikate sowie einen Treiber für die virtuelle TAP Netzwerkschnittstelle. Zum Installieren der virtuellen Tab Schnittstelle benötigt der Benutzer auf dem verwendeten Rechner Administratorrechte. Die Datei wird entweder vom Administrator der Securepoint Firewall an den Benutzer weitergereicht oder der Benutzer meldet sich an dem Userinterface der Securepoint Firewall an und lädt sich die Datei herunter. Letzteres ist nur möglich, wenn der Benutzer das Recht zur Benutzung des Userinterface zugewilligt bekommen hat.

==== Herunterladen des SSL-VPN Clients im Userinterface====

[[Datei:SSL-Userinterface.png|thumb|240px|]]
Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance. Ein Zugriff von externen Benutzern ist nur möglich, wenn die Implizite SSL Regeln aktiviert ist, die den Zugriff vom Internet auf das externe Interface per HTTPS erlaubt.
 
Öffnen Sie einen Webbrowser und geben in die Adresszeile die IP-Adresse oder den Hostnamen der Securepoint Appliance ein. Benutzen Sie dabei das Protokoll HTTPS.

Bsp.: https://192.168.175.1
oder https://myHost.dyndns.org

Bestätigen Sie das Laden der Seite durch Akzeptieren des Sicherheitszertifikats.
Melden Sie sich mit Ihrem Benutzernamen und Ihrem Kennwort am Userinterface an.

== Hinweis zu vorgeschalteten Routern/Modems==
Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte [[Drittgeräte-Firewalls|deaktivieren]] Sie auf diesen Geräten jegliche Firewall-Funktionalität.

UTM/VPN/SSL VPN-S2S v11.7.3

2015-03-30T15:54:40Z

Andreasw:

{{v11}}

== Einrichtung des SSL VPN Servers ==

=== Zertifikate ===
Bevor eine OpenVPN-Verbindung erstellt werden kann, müssen die benötigten Zertifikate angelegt werden.
*Gehen Sie dafür auf Authentifizierung > Zertifikate.
[[Datei:CA_anlegen.png|200px|thumb|left|CA anlegen]]
*Erstellen Sie ihre CA.
**Klicken Sie auf "+ CA hinzufügen".
**Geben Sie der CA einen Namen (Keine Leer- und/oder Sonderzeichen).
**Füllen Sie die anderen Felder entsprechend aus.
**Speichern Sie die CA.
 
*Gehen Sie danach auf die Registerkarte Zertifikate.
[[Datei:Server_cert2.png|200px|thumb|left|Server Zertifikate anlegen]]
*Nun erstellen Sie ein Server- und ein Client-Zertifikat.
**Geben Sie den Zertifikat einen Namen (Keine Leer- und/oder Sonderzeichen).
**Wählen Sie unter CA das eben erstellte CA -Zertfikat aus.
**Füllen Sie die restlichen Felder aus.
**Alias bleibt auf "none".
** Setzen Sie beim Server-Zertifikat unbedingt den Haken "Serverzertifikat", ansonsten wird die VPN-Verbindung nicht funktionieren.
**Speichern Sie das Zertifikat und wiederholen den Vorgang für das 2. Zertifikat (Client-Zertifikat), wobei Sie hier den genannten Haken nicht setzen.
 

*Speichern Sie die CA und das Client Zertifikat im PEM-Format auf Ihrem Rechner (Diese werden später auf dem Client importiert).
 

=== SSL VPN Server einrichten ===
In der UTMv11 haben Sie die Möglichkeit mehrere Instanzen des OpenVPN-Servers laufen zu lassen. Dadurch entfällt die manuelle Einstellung von Server und Client über die CLI. In der UTMv11 können Sie in der GUI mit einem Klick sagen ob Sie eine Client- oder eine Serverkonfiguration erstellen möchten.
*Gehen Sie dafür als erstes auf VPN > SSL VPN.
*Klicken Sie auf „Site-to-Site-Server“
[[Datei:Server_Step1_2_0.png|200px|thumb|left|Step 1]]
 
*Geben Sie dem Server einen Namen ein.
*Wählen Sie das Protokoll aus (Standard: 1194 UDP).
*Der Port wird automatisch selbst gesetzt.
*Bei Zertifikat wählen Sie das Server Zertifikat aus, welches Sie erstellt haben.
*Klicken Sie auf weiter.
 
[[Datei:Server_Step2_2_0.png|200px|thumb|left|Step 2]]
 
In Schritt zwei erstellen Sie das Client Profil
*Geben Sie das Transfer-Netzwerk an. '''Achtung: Dieses Netz darf auf keinem Interface einer der beiden Firewalls liegen!'''
*Geben Sie die Client-Tunneladresse an. Hier tragen Sie eine beliebige IP aus dem Transfer-Netzwerk ein.
'''Achtung: Vergeben Sie hier niemals die x.x.x.1, da dies die IP des OpenVPN-Servers ist.'''
*Klicken Sie auf weiter.
 
[[Datei:Server_Step3_2_0.png|200px|thumb|left|Step 3]]
 
*In Schritt drei geben Sie die Clientinformationen an.
*Wählen Sie das Client-Zertifikat aus und tragen Sie das interne Netzwerk der Gegenstelle ein.
*Klicken Sie auf Fertig.
 
 
 
 
 
 
 
 
[[Datei:remote-netze.png|200px|thumb|left|Step 4]]
*Als letztes geben Sie die Netze an, die sich auf der internen Seite des OpenVPN-Servers befinden. Bearbeiten Sie hierfür den gerade angelegten OpenVPN-Server und tragen Sie die entsprechenden Netze in das Feld "Subnetze übermitteln" ein.
 
Überprüfen Sie unter Anwendungen > Anwendungsstatus ob der SSL VPN Server gestartet ist.
Hat der Dienst "SSL-VPN" eine grüne "Lampe", so ist dieser gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet, dass der Server deaktiviert ist).

=== Routen ===
*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
[[Datei:Server_Route_anlegen.png|600px|thumb|left|Server Route]]
 
*Erstellen Sie eine Route über Ihr "tunX-Interface" Gateway zum Zielnetzwerk
(Sollte dies Ihre erste OpenVPN-Server-Instanz sein, dann ist es tun0, sollte es allerdings die 2. Instanz sein, so ist es tun1, ... 10. Instanz ist tun9 etc.)

=== Regelwerk ===
*Gehen Sie auf Firewall > Implied Rules > VPN
VPN_Implizite_Regeln.png
[[Datei:VPN_Implizite_Regeln.png|200px|thumb|left|Implizite Regel für Openvpn]] 
*Setzen Sie den Haken bei Openvpn UDP (sollten Sie bei der Einrichtung des Servers als Protokoll TCP ausgewählt haben, dann müssen Sie den Haken bei Openvpn TCP setzen und nicht bei UDP)
*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
*Erstellen Sie ein Netzwerkobjekt für das Client-Netzwerk (Remotenetzwerk).
 
[[Datei:NetzObj anlegen server_2_0.png|200px|thumb|left|Netzwerkobjekt anlegen]] 
*Geben Sie einen Namen an
*Die Gruppe können Sie leer lassen, da es in der UTM v11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
*Als Typ wählen Sie"VPN-Netzwerk" aus.
*Die Zone lautet "vpn-openvpn-<Name des Remote Client Profils>"
 
Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter 
[[Datei:Ovpn Server regelwerk_2_0.png|200px|thumb|left|Regelwerk auf dem Server]] 
*Erstellen Sie nun folgende Firewall-Regeln 
OpenVPN-Netzwerk > Internal Networks > any > ACCEPT 
Internal Networks > OpenVPN-Netzwerk > any > ACCEPT

== Einrichtung des Clients ==

===Zertifikate===
*Gehen Sie auf Authentifizierung > Zertifikate 
[[Datei:Client_ca_import.png‎|200px|thumb|left|CA Importieren]] 
*Importieren Sie die CA.
*Wiederholen Sie den Vorgang für das Client Zertifkat auf der Registerkarte Zertifikate.
 

===SSL VPN===
*Gehen Sie auf VPN > SSL VPN.
*Klicken Sie auf „Site-to-Site Client“.
[[Datei:Client_step1_2_0.png‎|200px|thumb|left|Step1]] 
*Geben Sie der Verbindungen einen Namen.
*Geben Sie den Remotehost an.
*Wählen Sie das Protokoll aus (muss mit dem Protokoll vom Server übereinstimmen)
*Wählen Sie das Client Zertifikat aus.
*Klicken Sie auf Weiter 
[[Datei:Client_step2.png‎|200px|thumb|left|Step2]] 
*Belassen Sie die MTU auf 1500 (Sollten Sie den Wert auf dem Server angepasst haben, muss dieser Wert mit dem auf dem Client übereinstimmen)
*Klicken Sie auf Fertig
 
Überprüfen Sie ob der SSL Server gestartet ist.
Dies machen Sie über Anwendungen > Anwendungsstatus.
Hat SSL-VPN eine grüne "Lampe", dann ist der Dienst gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet, dass der Server deaktivert ist).

===Routen===
*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
[[Datei:Client_routen_2_0.png|600px|thumb|left|Routen auf dem Client]] 
*Erstellen Sie eine Route über Ihr "tunX-Interface" Gateway zum Zielnetzwerk
(Sollte dies Ihre erste OpenVPN-Server-Instanz sein, dann ist es tun0, sollte es allerdings die 2. Instanz sein, so ist es tun1, ...10. Instanz ist tun9 etc.)

===Regelwerk===
*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
*Erstellen Sie ein Netzwerkobjekt für das Servernetzwerk (Remotenetzwerk).
[[Datei:Client_NetObj_2_0.png|200px|thumb|left|Netzwerkobjekt erstellen]] 
*Geben Sie einen Namen an
*Die Gruppe können Sie leer lassen, da es in der UTM v11 nicht mehr zwingend erforderlich ist das Regelwerk mit *Netzwerkobjektgruppen zu bilden.
*Als Typ wählen sie VPN-Netzwerk aus
*Die Zone ist "vpn-openvpn-<Name des Openvpn Servers>"
 
Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter 
[[Datei:Client_regelwerk_2_0.png‎|200px|thumb|left|Regelwerk auf dem Client]] 
*Erstellen Sie nun das folgende Firewall-Regeln 
NetObj_Ovpn_Server > Internal Networks > any > ACCEPT 
Internal Networks > NetObj_Ovpn_Server > any > ACCEPT

===Besonderheiten===
Sollte auf der Firewall, welche als Client fungiert, bereits ein Openvpn Tunnel angelegt sein und der Openvpn Server NICHT auf Port 1194 läuft. So muss auf Seiten des Clients die Config per Hand verändert werden.
Dazu verbinden Sie sich mit Putty zur Firewall und melden sich mit einem Administrator an.
* Führen Sie den Befehl "openvpn remote get" aus.
* Danach den Befehel "openvpn remote set id "X" hosts andihome.spdns.de:Y"

Für X tragen Sie nun die ID des passenden Eintragen vom 1. Befehl ein.
Für Y tragen Sie den Port des Servers ein.

Beispiel: openvpn remote set id "1" hosts securepoint_test.spdns.de:1198 
Hier wird nun der 1. Eintrag auf die Remote Adress securepoint_test.spdns.de gesetzt und die Firewall verwendet nun Port 1198.

Starten Sie nach diesen Änderungen den Openvpn Server neu.

== Hinweis zu vorgeschalteten Routern/Modems==
Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte [[Drittgeräte-Firewalls|deaktivieren]] Sie auf diesen Geräten jegliche Firewall-Funktionalität.

UTM/VPN/SSL VPN-Roadwarrior v11.7.1

2015-03-30T15:49:23Z

Andreasw:

{{v11}}
===An der Appliance anmelden===

[[Datei:Loginv11.png|thumb|180px|Login Dialog]]
*Öffnen Sie einen Webbrowser und geben Sie in die ''Adressleiste'' die IP-Adresse des internen Interface Ihrer Appliance an. Gefolgt von einem Doppelpunkt hinter dem der Port 11115 angefügt wird. Benutzen sie dafür das ''HTTPS'' Protokoll.
:Bsp.: https://192.168.175.1:11115
*Melden Sie sich im Login Dialog als Administrator an.
:Werkseinstellungen:
:Benutzername: admin
:Kennwort: insecure

===Zertifikate ===
Bevor eine OpenVPN-Verbindung erstellt werden kann, müssen die benötigten Zertifikate angelegt werden.
*Gehen Sie dafür auf Authentifizierung > Zertifikate.
[[Datei:CA_anlegen.png|200px|thumb|right|CA anlegen]]
*Erstellen Sie ihre CA.
**Klicken Sie auf "+ CA hinzufügen".
**Geben Sie der CA einen Namen (Keine Leer- und/oder Sonderzeichen).
**Füllen Sie die anderen Felder entsprechend aus.
**Speichern Sie die CA.
 
*Gehen Sie danach auf die Registerkarte Zertifikate.
[[Datei:ServerZertifikat.png|200px|thumb|right|Server Zertifikate anlegen]]
*Nun erstellen Sie ein Server- und für jeden Benutzer ein Client-Zertifikat.
**Geben Sie den Zertifikat einen Namen (Keine Leer- und/oder Sonderzeichen).
**Wählen Sie unter CA das eben erstellte CA -Zertfikat aus.
**Füllen Sie die restlichen Felder aus.
**Für das Server-Zertifikat aktivieren Sie den Haken "Serverzertifikat"
**Alias bleibt auf "none".
**Speichern Sie das Zertifikat und wiederholen Sie den Vorgang für die Client-Zertifikate.
**Achten Sie darauf, dass der Haken bei "Serverzertifikat" bei den Client-Zertifikaten nicht aktiviert ist.
 

=== SSL Konfiguration===

[[Datei:SSL-1.png|thumb|240px|]]
Unter dem Menüpunkt VPN -> SSL-VPN wählen Sie Roadwarrior hinzufügen, anschließend wählen Sie :
*Name
*Protokoll
*Port
*Benutzerauthentifizierung
*Serverzertifikat
*Pool - Pool aus dem der Roadwarrior eine IP erhält z.B. 192.168.250.0/24
*Klicken Sie auf weiter
 
*Die MTU lassen Sie auf 1500
*Klicken Sie auf fertig

[[Datei:SSL-be.png|thumb|240px|]]
 
Ist die Konfiguration hinzugefügt, müssen Sie diese nochmal bearbeiten um das Netz, auf welches zugegriffen werden soll, einzutragen. Mehrere Firmen-Netz können durch ein Komma getrennt eingetragen werden (10.0.0.0/24, 192.168.0.0/24).
Zusätzlich können Sie auch eine Search Domain eintragen um diese durch den Tunnel zu pushen. Dies ist notwendig wenn Sie auf dem OpenVPN Client mit Hostnamen aus dem verbundenen Netz arbeiten möchten, z.B. wenn Sie Ihre Mails über mail.IhreFirma.local anstelle der IP abrufen. Desweiteren können Sie hier die Zeit einstellen, nachder die verwendeten Schlüssel der Verbindung erneut ausgetauscht werden (Renegotiation).

 
'''Beachten Sie:''' Sollte ihre UTM über mehrere Default-Routen verfügen (Multipathrouting), muss die Option "Multihome" für den SSL-VPN-Server aktiviert werden wenn als Protokoll UDP verwendet wird.
 

===Regelwerk===

[[Datei:SSL-Implizite-Regeln.png|thumb|240px|]]
Aktivieren Sie unter Firewall -> Implizite Regeln -> VPN das Protokoll, dass Sie für Ihre Verbindung gewählt haben.
Diese Regel gibt den Port 1194 auf das externe Interface frei, haben Sie mehrere Verbindungen erstellt, müssen
Sie die Ports der weiteren Verbindungen im Portfilter manuell freigeben. Dazu legen Sie z.B. den Dienst 1195 an und erstellen die Regel:
*Internet -> external-interface -> Port 1195.
Um dem Client den Download zu ermöglichen aktivieren Sie zudem noch die Option User Interface Portal.

 
[[Datei:SSLObjekt.png|thumb|240px|]]
Zudem erstellen Sie unter Firewall -> Portfilter -> Netzwerkobjekte ein Netzwerkobjekt für das VPN Netzwerk.
Die Adresse entspricht die des SSL tunX Netzes.

 
[[Datei:SSL-Regel.png|thumb|240px|]]
Anschließend erstellen Sie dem Objekt eine Regel um den Zugriff auf das interne Netz zu erlauben.

 

===Benutzer und Gruppen anlegen===

[[Datei:SSL-Gruppe.png|thumb|240px|]]
Erstellen Sie in der Benutzerverwaltung eine Gruppe mit einem geeigneten Namen, beispielsweise SSL.
Die Gruppe muss die Berechtigung SSL-VPN und damit die Nutzer ein SSL-VPN Client-Programm mit fertiger Konfigurationsdatei vom Userinterface herunterladen können, zusätzlich die Berechtigung Userinterface erhalten.

[[Datei:SSL-Gruppen-Einstellung.png|thumb|240px|]]
 
Unter dem Reiter SSL aktivieren Sie den Client download, wählen die erstellte SSL Verbindung, das Client Zertifikat und das Remote Gateway. Das Remote Gateway ist die Adresse der externen Schnittstelle

 Soll der Benutzer selbst die Berechtigung haben sich den SSL-Client herunterzuladen, bearbeiten Sie Ihren erstellten Benutzer, fügen ihn der zuvor erstellten Gruppe hinzu, wählen unter SSL-VPN die gleichen Einstellungen wie die der Gruppe und aktivieren den SSL-Client Download.
Zudem kann den Benutzern unter dem Reiter VPN eine IP-Adresse aus dem SSL-VPN Netzwerk zugewiesen werden.
'''Wenn Sie dem Client eine IP zuweisen, müssen Sie die IP und Maske eintragen, Beispiel: 192.168.250.10/24.'''
 

===SSL-VPN-Verbindung als Client herstellen===
Für Benutzer, die sich per SSL-VPN mit der Securepoint Appliance verbinden möchten, stellt die Appliance einen vorkonfigurierten SSL-VPN Client zur Verfügung. Dieser Client ist lauffähig unter dem Betriebssystem MS Windows ab der Version XP. Der Client wird als normal installierbare und portable Version angeboten. Die portable Version kann zum Beispiel auf einen USB Speicherstick kopiert werden und somit auch an anderen Rechnern ausgeführt werden. Voraussetzung hierfür sind Administratorrechte, da ein virtuelles TAP Device installiert werden muss. Die komprimierten Ordner enthalten neben den SSL-VPN Client eine Konfigurationsdatei, die CA- und Clientzertifikate sowie einen Treiber für die virtuelle TAP Netzwerkschnittstelle. Zum Installieren der virtuellen Tab Schnittstelle benötigt der Benutzer auf dem verwendeten Rechner Administratorrechte. Die Datei wird entweder vom Administrator der Securepoint Firewall an den Benutzer weitergereicht oder der Benutzer meldet sich an dem Userinterface der Securepoint Firewall an und lädt sich die Datei herunter. Letzteres ist nur möglich, wenn der Benutzer das Recht zur Benutzung des Userinterface zugewilligt bekommen hat.

==== Herunterladen des SSL-VPN Clients im Userinterface====

[[Datei:SSL-Userinterface.png|thumb|240px|]]
Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance. Ein Zugriff von externen Benutzern ist nur möglich, wenn die Implizite SSL Regeln aktiviert ist, die den Zugriff vom Internet auf das externe Interface per HTTPS erlaubt.
 
Öffnen Sie einen Webbrowser und geben in die Adresszeile die IP-Adresse oder den Hostnamen der Securepoint Appliance ein. Benutzen Sie dabei das Protokoll HTTPS.

Bsp.: https://192.168.175.1
oder https://myHost.dyndns.org

Bestätigen Sie das Laden der Seite durch Akzeptieren des Sicherheitszertifikats.
Melden Sie sich mit Ihrem Benutzernamen und Ihrem Kennwort am Userinterface an.

== Hinweis zu vorgeschalteten Routern/Modems==
Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte [[Drittgeräte-Firewalls|deaktivieren]] Sie auf diesen Geräten jegliche Firewall-Funktionalität.