UTM/VPN/IPSec-S2S v11.7 - Versionsgeschichte

Lauritzl am 20. September 2021 um 08:19 Uhr

2021-09-20T08:19:28Z

← Nächstältere Version		Version vom 20. September 2021, 10:19 Uhr
Zeile 1:		Zeile 1:
			{{Archivhinweis\|UTM/VPN/IPSec-S2S}}
	{{DISPLAYTITLE:IPSec Site-to-Site}}		{{DISPLAYTITLE:IPSec Site-to-Site}}

Lauritzl: Lauritzl verschob die Seite UTM/VPN/IPSec-S2S nach UTM/VPN/IPSec-S2S v11.7

2021-09-20T08:18:42Z

Lauritzl verschob die Seite UTM/VPN/IPSec-S2S nach UTM/VPN/IPSec-S2S v11.7

← Nächstältere Version		Version vom 20. September 2021, 10:18 Uhr
(kein Unterschied)

Lauritzl: /* Regeln und Routing */

2019-09-20T15:00:33Z

Regeln und Routing

← Nächstältere Version		Version vom 20. September 2019, 17:00 Uhr
Zeile 84:		Zeile 84:
	<div style="clear: both;"></div>		<div style="clear: both;"></div>
	====Regeln und Routing====		====Regeln und Routing====
	[[Datei:~~Utm ssl~~-~~vpn regel~~.png\|center\|~~1100px~~\|~~SSLVPN~~ Regeln ~~für eine S2S Verbindung~~]]		[[Datei:UTM_v11.8.5_Firewall_Regel-IPSEC.png\|center\|700px\|IPSec-Regeln]]
	<br>		<br>
	<div style="clear: both;"></div>		<div style="clear: both;"></div>

Lauritzl: /* Regelwerk */

2019-01-04T12:30:56Z

Regelwerk

Chris: /* Konfiguration einer IPSec Site-to-Site Verbindung */

2018-08-17T12:16:43Z

Konfiguration einer IPSec Site-to-Site Verbindung

← Nächstältere Version		Version vom 17. August 2018, 14:16 Uhr
Zeile 19:		Zeile 19:
	Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter "VPN" und "IPSec" eine IPSec Verbindung hinzugefügt werden.		Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter "VPN" und "IPSec" eine IPSec Verbindung hinzugefügt werden.
	<div>		<div>
	~~<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>~~
	<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Ab der UTM Version 11.7 muss für eine IPSec Site to Site Verbindung das Perfect Forward Secrecy (PFS) aktiviert sein.</span></div>
	</div>		</div>
	<div style="clear: both;"></div>		<div style="clear: both;"></div>

Pascalm: /* Konfiguration des zweiten Gateways */

2018-06-21T08:30:51Z

Konfiguration des zweiten Gateways

← Nächstältere Version		Version vom 21. Juni 2018, 10:30 Uhr
Zeile 113:		Zeile 113:
	Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden.		Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden.
	Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen.		Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen.

			===Hinweise===
			====Der transparente HTTP-Proxy====
			Wenn von der aus dem Internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtern. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit das nicht passiert, muss ein '''Exclude''' mit der Quelle '''internal-network'''' zum Ziel '''name-vpn-netzwerk-objekt'''' und dem Protokoll '''HTTP''' erstellt werden.

Pascalm: /* Konfiguration des zweiten Gateways */

2018-04-30T09:40:19Z

Konfiguration des zweiten Gateways

← Nächstältere Version		Version vom 30. April 2018, 11:40 Uhr
Zeile 108:		Zeile 108:
	* Portfilterregeln werden erstellt.		* Portfilterregeln werden erstellt.



	~~Hierfür muss die Phase 1 der IPSec Verbindung dahingehend bearbeitet werden, dass die Option 'Route Over' die Route zum richtigen Gateway enthält.~~
	~~Dies ist notwendig, weil sonst für die UTM nicht ersichtlich ist, über welches Netz die IPSec-Verbindung geroutet werden soll.~~

	Die Securepoint kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen.		Die Securepoint kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen.

Chris: /* Konfiguration einer IPSec Site-to-Site Verbindung */

2017-09-22T13:50:19Z

Konfiguration einer IPSec Site-to-Site Verbindung

← Nächstältere Version		Version vom 22. September 2017, 15:50 Uhr
Zeile 20:		Zeile 20:
	<div>		<div>
	<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>		<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>
	<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Ab der UTM Version 11.7 muss für eine IPSec Site to Site Verbindung das ~~Security Policy Framework~~ (~~SPF~~) aktiviert sein.</span></div>		<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Ab der UTM Version 11.7 muss für eine IPSec Site to Site Verbindung das Perfect Forward Secrecy (PFS) aktiviert sein.</span></div>
	</div>		</div>
	<div style="clear: both;"></div>		<div style="clear: both;"></div>

Pascalm: /* Konfiguration einer IPSec Site-to-Site Verbindung */

2017-09-14T12:22:29Z

Konfiguration einer IPSec Site-to-Site Verbindung

← Nächstältere Version		Version vom 14. September 2017, 14:22 Uhr
Zeile 18:		Zeile 18:
	== Konfiguration einer IPSec Site-to-Site Verbindung ==		== Konfiguration einer IPSec Site-to-Site Verbindung ==
	Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter "VPN" und "IPSec" eine IPSec Verbindung hinzugefügt werden.		Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann unter "VPN" und "IPSec" eine IPSec Verbindung hinzugefügt werden.
			<div>
			<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>
			<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Ab der UTM Version 11.7 muss für eine IPSec Site to Site Verbindung das Security Policy Framework (SPF) aktiviert sein.</span></div>
			</div>
			<div style="clear: both;"></div>
	===Einrichtungsassistent===		===Einrichtungsassistent===
	====Schritt 1====		====Schritt 1====

Pascalm: /* Konfiguration des zweiten Gateways */

2017-09-11T12:57:15Z

Konfiguration des zweiten Gateways

← Nächstältere Version		Version vom 11. September 2017, 14:57 Uhr
Zeile 104:		Zeile 104:
	* Portfilterregeln werden erstellt.		* Portfilterregeln werden erstellt.


	~~<div>~~
	~~<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>~~
	<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Für eine IPSec Site to Site Verbindung ist es erforderlich, falls bereits zwei Default-Routen eingestellt wurden, eine Route-Over Einstellung festzulegen.</span></div>
	~~</div>~~
	~~<div style="clear: both;"></div>~~

← Nächstältere Version		Version vom 4. Januar 2019, 14:30 Uhr
Zeile 54:		Zeile 54:
	===Regelwerk===		===Regelwerk===

	[[Datei:Implizierte_Regeln_VPN.png\|thumb\|300px\|~~Implizierte~~ Regeln]]		[[Datei:Implizierte_Regeln_VPN.png\|thumb\|300px\|Implizite Regeln]]
	<br>		<br>
	Unter Firewall -> ~~Implizierte~~ Regeln -> VPN können die Protokolle, welche für die Verbindung genutzt werden, aktiviert werden. Diese ~~Implizierten~~ Regeln geben die Ports, welche für IPSec Verbindungen genutzt werden, auf die WAN-Schnittstellen frei.		Unter Firewall -> Implizite Regeln -> VPN können die Protokolle, welche für die Verbindung genutzt werden, aktiviert werden. Diese Impliziten Regeln geben die Ports, welche für IPSec Verbindungen genutzt werden, auf die WAN-Schnittstellen frei.
	<div style="clear: both;"></div>		<div style="clear: both;"></div>
	[[Datei:Implizite_Regeln_IPSec.png\|thumb\|300px\|~~Implizierte~~ Regeln]]		[[Datei:Implizite_Regeln_IPSec.png\|thumb\|300px\|Implizite Regeln]]
	<br>		<br>
	Unter ~~Implizierte~~ Regeln -> IPSec -> Accept kann zudem der Ein- und Ausgehende Traffic aller IPSec-Verbindung zugelassen werden. Kein NAT für IPSec Verbindungen nimmt hierbei zusätzlich alle IPSec Verbindungen vom NAT aus.		Unter Implizite Regeln -> IPSec -> Accept kann zudem der Ein- und Ausgehende Traffic aller IPSec-Verbindung zugelassen werden. Kein NAT für IPSec Verbindungen nimmt hierbei zusätzlich alle IPSec Verbindungen vom NAT aus.
	<div style="clear: both;"></div>		<div style="clear: both;"></div>

Zeile 67:		Zeile 67:
	[[Datei:IPSec_Netzwerkobjekt_anlegen.png\|thumb\|300px\|Netzwerkobjekt]]		[[Datei:IPSec_Netzwerkobjekt_anlegen.png\|thumb\|300px\|Netzwerkobjekt]]
	<br>		<br>
	Sollte unter dem Punkt ~~Implizierte~~ Regeln -> IPSec -> Accept nicht aktiviert sein, so müssen Portfilterregeln erstellt werden um den Traffic zwischen den zu verbindenden Netzen zu erlauben. Dafür muss zuerst ein Netzwerkobjekt für das IPSec-Netzwerk angelegt werden.		Sollte unter dem Punkt Implizite Regeln -> IPSec -> Accept nicht aktiviert sein, so müssen Portfilterregeln erstellt werden um den Traffic zwischen den zu verbindenden Netzen zu erlauben. Dafür muss zuerst ein Netzwerkobjekt für das IPSec-Netzwerk angelegt werden.
	Unter Firewall -> Portfilter -> Netzwerkobjekte können neue Netzwerkobjekte angelegt werden.		Unter Firewall -> Portfilter -> Netzwerkobjekte können neue Netzwerkobjekte angelegt werden.
	* Ein Netzwerkobjekt für das IPSec-Netzwerk wird angelegt, indem der Button Objekt hinzufügen betätigt wird.		* Ein Netzwerkobjekt für das IPSec-Netzwerk wird angelegt, indem der Button Objekt hinzufügen betätigt wird.
Zeile 81:		Zeile 81:
	* Als Ziel wird das IPSec-Netzwerk ausgewählt.		* Als Ziel wird das IPSec-Netzwerk ausgewählt.
	* Als Dienst wird der gewünschte Dienst bzw. die gewünschte Dienstgruppe ausgewählt.		* Als Dienst wird der gewünschte Dienst bzw. die gewünschte Dienstgruppe ausgewählt.
	* Falls unter den ~~implizierten~~ Regeln nicht schon aktiviert, wird hier noch der Eintrag NAT auf Hidenat Exclude gesetzt und als Netzwerkobjekt wird das ausgehende Interface ausgewählt.		* Falls unter den impliziten Regeln nicht schon aktiviert, wird hier noch der Eintrag NAT auf Hidenat Exclude gesetzt und als Netzwerkobjekt wird das ausgehende Interface ausgewählt.
	<div style="clear: both;"></div>		<div style="clear: both;"></div>
	====Regeln und Routing====		====Regeln und Routing====