UTM/VPN/IPSec-SP-Sophos.lang - Versionsgeschichte

Lauritzl am 30. Januar 2023 um 10:57 Uhr

2023-01-30T10:57:58Z

← Nächstältere Version		Version vom 30. Januar 2023, 12:57 Uhr
Zeile 14:		Zeile 14:
	{{var \| Vorbemerkung--desc		{{var \| Vorbemerkung--desc
	\| * Dieses Best Practice verwendet die Softwareversionen		\| * Dieses Best Practice verwendet die Softwareversionen
	** Securepoint UTM: v12.2.3.1		** Securepoint UTM: v12.2.3.1 {{info\|Es sollte mindestens Version 12.2.5.1 verwendet werden}}
	** Sophos: SFOS v19.0.0 GA-Build317		** Sophos: SFOS v19.0.0 GA-Build317
	* Einstellungsmöglichkeiten können sich in zukünftigen Softwareversionen ändern, umbenannt oder verschoben werden. <p>Die grundsätzliche Funktionalität sollte dadurch nicht eingeschränkt werden</p>		* Einstellungsmöglichkeiten können sich in zukünftigen Softwareversionen ändern, umbenannt oder verschoben werden. <p>Die grundsätzliche Funktionalität sollte dadurch nicht eingeschränkt werden</p>
Zeile 21:		Zeile 21:
	** IPSec mit IKEv2		** IPSec mit IKEv2
	\| * This best practice uses the software versions		\| * This best practice uses the software versions
	** Securepoint UTM: v12.2.3.1		** Securepoint UTM: v12.2.3.1 {{info\|Version 12.2.5.1 or higher should be used}}
	** Sophos: SFOS v19.0.0 GA-Build317		** Sophos: SFOS v19.0.0 GA-Build317
	* Setting options may change, be renamed or moved in future software versions.		* Setting options may change, be renamed or moved in future software versions.
Zeile 312:		Zeile 312:
	\| AES256 }}		\| AES256 }}
	{{var \| Verschlüsselung--desc		{{var \| Verschlüsselung--desc
	\| Festlegen des Verschlüsselungsstandards für IKEv2 Phase 1		\| Festlegen des Verschlüsselungsstandards für IKEv2 Phase
	\| Setting the encryption standard for IKEv2 Phase 1 }}		\| Setting the encryption standard for IKEv2 Phase }}
	{{var \| Authentifizierung--val		{{var \| Authentifizierung--val
	\| SHA2_256		\| SHA2_256
	\| SHA2_256 }}		\| SHA2_256 }}
	{{var \| Authentifizierung--desc		{{var \| Authentifizierung--desc
	\| Festlegen des Authentifizierungsstandards für IKEv2 Phase 1		\| Festlegen des Authentifizierungsstandards für IKEv2 Phase
	\| Setting the authentication standard for IKEv2 Phase 1 }}		\| Setting the authentication standard for IKEv2 Phase }}
	{{var \| PFS-Gruppe		{{var \| PFS-Gruppe
	\| PFS-Gruppe (DH-Gruppe)		\| PFS-Gruppe (DH-Gruppe)
Zeile 708:		Zeile 708:
	\| 2=Für TCPdump wird der Zugriff über SSH benötigt.<br>Freigabe auf der Sophos Firewall:		\| 2=Für TCPdump wird der Zugriff über SSH benötigt.<br>Freigabe auf der Sophos Firewall:
	* Menü Verwaltung / Appliance-Zugriff / Zugriffssteuerungsliste (ZSL) für lokale Dienste		* Menü Verwaltung / Appliance-Zugriff / Zugriffssteuerungsliste (ZSL) für lokale Dienste
	* Spalte ''Admin-Dienste / SSH'', freigeben <i class="fas fa-check-square fc__blau bc__white-l"></i> für ''LAN'' bzw. ''WAN''		* Spalte ''Admin-Dienste / SSH'', freigeben <i class="fas fa-check-square fc__blau bc__white-l"></i> für ''LAN'' bzw. ''WAN'' {{Hinweis\|!}} SSH für WAN sollte nur temporär bei Bedarf freigegben werden.
	* Einstellung mit der so bezeichneten Schaltfläche {{Button\|Übernehmen\|bc=blau\|c=white-l}}		* Einstellung mit der so bezeichneten Schaltfläche {{Button\|Übernehmen\|bc=blau\|c=white-l}}
	\| 3=TCPdump, access via SSH is required.<br>Enable on the Sophos Firewall:		\| 3=TCPdump, access via SSH is required.<br>Enable on the Sophos Firewall:
	* Menu Administration / Appliance Access / Access Control List (ZSL) for local services		* Menu Administration / Appliance Access / Access Control List (ZSL) for local services
	* Enable <i class="fas fa-check-square fc__blau bc__white-l"></i> the ''Admin Services / SSH'' column for ''LAN'' or ''WAN''		* Enable <i class="fas fa-check-square fc__blau bc__white-l"></i> the ''Admin Services / SSH'' column for ''LAN'' or ''WAN'' {{Hinweis\|!}} SSH on WAN should only be enabled temporarily when needed.
	* {{Button\|Apply\|bc=blau\|c=white-l}} the setting with the so called button }}		* {{Button\|Apply\|bc=blau\|c=white-l}} the setting with the so called button }}
	{{var \| Tcpdump--Bild		{{var \| Tcpdump--Bild
Zeile 721:		Zeile 721:
	\| Fig.13 }}		\| Fig.13 }}
	{{var \| Sophos SSH--desc		{{var \| Sophos SSH--desc
	\| * Verbindung zur Sophos Firewall über SSH (Port 22) ~~{{f\|Port 22/TCP § ??}}~~ mit den Sophos Admin-Zugangsdaten		\| * Verbindung zur Sophos Firewall über SSH (Port 22) mit den Sophos Admin-Zugangsdaten
	* Im ''Main Menu'' Option ''5. Device Management'' wählen		* Im ''Main Menu'' Option ''5. Device Management'' wählen
	* Im Menü ''Device Managment'' die Option ''3. Advanced Shell'' wählen		* Im Menü ''Device Managment'' die Option ''3. Advanced Shell'' wählen
	\| * Connect to the Sophos Firewall via SSH (port 22) ~~{{f\|Port 22/TCP § ??}}~~ using the Sophos admin credentials.		\| * Connect to the Sophos Firewall via SSH (port 22) using the Sophos admin credentials.
	* In the ''Main Menu'' select option ''5. Device Management''		* In the ''Main Menu'' select option ''5. Device Management''
	* In the ''Device Managment'' menu, select ''3. Advanced Shell'' option. }}		* In the ''Device Managment'' menu, select ''3. Advanced Shell'' option. }}

Lauritzl: Die Seite wurde neu angelegt: „{{Lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | IPSec mit Sophos als Gegenstelle | IPSec with Sophos as remote peer }} {{var | head | Konfiguration einer IPSec-VPN-Verbindung mit einer Sophos-Firewall als Gegenstelle | Configuring an IPSec VPN connection with a Sophos firewall as the remote peer }} {{var | Vorbemerkung | Vorbemerkung | Preliminary note }} {{var | Vorbemerkung--desc | * Dieses Best Practice verwendet die Sof…“

2023-01-27T15:58:23Z

Die Seite wurde neu angelegt: „{{Lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | IPSec mit Sophos als Gegenstelle | IPSec with Sophos as remote peer }} {{var | head | Konfiguration einer IPSec-VPN-Verbindung mit einer Sophos-Firewall als Gegenstelle | Configuring an IPSec VPN connection with a Sophos firewall as the remote peer }} {{var | Vorbemerkung | Vorbemerkung | Preliminary note }} {{var | Vorbemerkung--desc | * Dieses Best Practice verwendet die Sof…“

Neue Seite

{{Lang}}

{{#vardefine:headerIcon|spicon-utm}}

{{var | display
| IPSec mit Sophos als Gegenstelle
| IPSec with Sophos as remote peer }}
{{var | head
| Konfiguration einer IPSec-VPN-Verbindung mit einer Sophos-Firewall als Gegenstelle
| Configuring an IPSec VPN connection with a Sophos firewall as the remote peer }}
{{var | Vorbemerkung
| Vorbemerkung
| Preliminary note }}
{{var | Vorbemerkung--desc
| * Dieses Best Practice verwendet die Softwareversionen
** Securepoint UTM: v12.2.3.1
** Sophos: SFOS v19.0.0 GA-Build317
* Einstellungsmöglichkeiten können sich in zukünftigen Softwareversionen ändern, umbenannt oder verschoben werden. Die grundsätzliche Funktionalität sollte dadurch nicht eingeschränkt werden
* '''Unterstütze VPN-Typen:'''
** IPSec mit IKEv1
** IPSec mit IKEv2
| * This best practice uses the software versions
** Securepoint UTM: v12.2.3.1
** Sophos: SFOS v19.0.0 GA-Build317
* Setting options may change, be renamed or moved in future software versions.
This should not restrict the basic functionality
* '''Supported VPN types:'''
** IPSec with IKEv1
** IPSec with IKEv2 }}
{{var | Kein SSL-VPN
| * SSL / OpenVPN wird '''nicht''' unterstützt:
** Sophos verwendet Proprietäre Konfigurationsdateien (.apc statt .ovpn)
** Es gibt nur wenige Einstellungsmöglichkeiten
| * SSL / OpenVPN is '''not''' supported:
** Sophos uses proprietary configuration files (.apc instead of .ovpn)
** There are only a few configuration options }}
{{var | IPsec – Allgemeine Einstellungen
| IPsec – Allgemeine Einstellungen
| IPsec - General settings }}
{{var | IPsec – Allgemeine Einstellungen--desc
| * IKE-Protokoll: IKEv2
* Startverhalten: Outgoing / Incoming
** Incoming, auf der Seite, wo das Gerät am ''direktesten'' mit dem Internet verbunden ist
* DPD: Aktiv
* Strict: Aktiv
| * IKE protocol: IKEv2
* Startup behavior: Outgoing / Incoming
** Incoming, on the side where the device is most ''directly'' connected to the Internet.
* DPD: Active
* Strict: Active }}
{{var | getestete Netzwerk Situationen
| Folgende Netzwerk Situationen wurden getestet:
| The following network situations were tested: }}
{{var | getestete Netzwerk Situationen--desc
|
* Sophos (Öffentliche, feste IP) <-> UTM (Öffentliche, feste IP)
* Sophos (Öffentliche, feste IP) <-> UTM (NAT ohne Portweiterleitung)
* Sophos (Öffentliche, feste IP) <-> UTM (NAT mit Portweiterleitung)
* Sophos (NAT ohne Portweiterleitung) <-> UTM (Öffentliche, feste IP)
* Sophos (NAT mit Portweiterleitung) <-> UTM (NAT ohne Portweiterleitung)
|
* Sophos (Public, fixed IP) <-> UTM (Public, fixed IP)
* Sophos (Public, fixed IP) <-> UTM (NAT without port forwarding)
* Sophos (Public, fixed IP) <-> UTM (NAT with port forwarding)
* Sophos (NAT without port forwarding) <-> UTM (Public, fixed IP)
* Sophos (NAT with port forwarding) <-> UTM (NAT without port forwarding) }}
{{var | Portweiterleitung freigeschaltet
| Die folgenden Ports wurden bei der Portweiterleitung freigeschaltet:
| The following ports have been enabled during port forwarding: }}
{{var | Portweiterleitung freigeschaltet--desc
| * Port 500/UDP (ISAKMP)
* Port 4500/UDP (NAT-T)
| * Port 500/UDP (ISAKMP)
* Port 4500/UDP (NAT-T) }}
{{var | Zusätzliche Router
| Zusätzliche Router
| Additional routers }}
{{var | Zusätzliche Router--desc
| Stehen die Securepoint UTM oder die Sophos Firewall zusätzlich hinter einem weiteren Router (z.B. einer Fritzbox, die den Internetzugang bereit stellt), so müssen dort folgende Ports weitergeleitet werden:
| If the Securepoint UTM or Sophos Firewall is also behind another router (e.g. a Fritzbox that provides Internet access), the following ports must be forwarded there: }}
{{var | Konfiguration auf der Securepoint UTM
| Konfiguration auf der Securepoint UTM
| Configuration on the Securepoint UTM }}
{{var | Konfiguration auf der Securepoint UTM--desc
| Die Einrichtung der Verbindung auf der UTM erfolgt, wie im Wiki Artikel [[UTM/VPN/IPSec-S2S | IPSec Site-to-Site]] beschrieben. '''Folgende Parameter müssen dabei beachtet werden:'''
| The connection setup on the UTM is done as described in the Wiki article [{{#var:host}}UTM/VPN/IPSec-S2S IPSec Site-to-Site]. '''The following parameters must be considered:''' }}
{{var | UTM-IPSec-Assistent
| Securepoint UTM IPSec-Assistent: {{Menu| VPN|IPSec|Verbindungen| IPSec Verbindung hinzufügen|+}}
| Securepoint UTM IPSec assistant: {{Menu| VPN|IPSec|Connections| Add IPSec connection|+}} }}
{{var | Assistent
| Assistent
| Assistant }}
{{var | Schritt
| Schritt
| Step }}
{{var | Reiter
| Reiter
| Tab }}

{{var | Einstellungsempfehlungen
| Einstellungsempfehlungen
| Setting recommendations }}
{{var | Einstellungsempfehlungen--desc
| Dieser Abschnitt geht auf alle relevanten IPsec Einstellungen ein und stellt kurz dar, wie diese Werte gesetzt werden sollten. 
{{f|Anleitung zu der Einrichtung einer IPsec Verbindung auf der Sophos ist im Anschluss zu finden. Die Einrichtung der Verbindung auf der UTM, sollte nach dem Artikel "IPSec Site-to-Site" im Securepoint Wiki erfolgen.}}
| This section discusses all relevant IPsec settings and briefly describes how these values should be set. 
{{f|Instructions for setting up an IPsec connection on the Sophos can be found below. The setup of the connection on the UTM should be done according to the article "IPSec Site-to-Site" in the Securepoint Wiki}}. }}
{{var | Allgemein
| Allgemein
| General }}
{{var | IKE-Protokoll
| IKE-Protokoll:
| IKE protocol: }}
{{var | IKE-Protokoll--desc
| IKEv2 (Bei ''nicht lösbaren Problemen'', IKEv1 benutzen)
| IKEv2 (For ''unsolvable problems'', use IKEv1) }}
{{var | Freizuschaltende Ports
| Freizuschaltende Ports / Ports die Weitergeleitet werden müssen:
| Ports to be enabled / Ports that must be forwarded: }}
{{var | Kein NAT auf beiden Seiten
| Kein NAT auf beiden Seiten
| No NAT on either side }}
{{var | NAT auf einer Seite
| NAT auf einer Seite
| NAT on one side }}
{{var | Startverhalten
| Startverhalten: Outgoing / Incoming
| Start behavior: Outgoing / Incoming }}
{{var | Startverhalten--desc
| Incoming, auf der Seite wo das Gerät am "direktesten" mit dem Internet verbunden ist. Rangfolge:
# Öffentliche, feste IP
# Öffentliche, dynamische IP
# Private IP hinter NAT-Router (Fritzbox)
| Incoming, on the side where the device is most "directly" connected to the Internet. Ranking:
# Public, fixed IP
# Public, dynamic IP
# Private IP behind NAT router (Fritzbox) }}
{{var | Startverhalten--Hinweis
| Startverhalten der Sophos im '''IKEv1''' Modus kann nicht angepasst werden Sie versucht die Verbindung selber aufzubauen, nimmt aber auch Verbindungen an
| Sophos startup behavior in '''IKEv1''' mode cannot be adjusted It tries to establish the connection itself, but also accepts connections }}
{{var | Aktiv
| Aktiv
| Active }}
{{var | Strict--desc
| Die Sophos handelt immer "Strict" nach dem festgelegtem IPsec Profil
| The Sophos always acts "Strictly" according to the defined IPsec profile. }}
{{var | Phase
| Phase
| Phase }}
{{var | Phase1--desc
|
| }}
{{var | Verschlüsselung
| Verschlüsselung
| Encryption }}
{{var | Verschlüsselung UTM Phase 1--desc
| Empfohlene Werte:
* {{Button|AES256|dr}} (stärkste Verschlüsselung)
* {{Button|AES192|dr}} oder
* {{Button|AES128|dr}}
| Recommended values:
* {{Button|AES256|dr}} (strongest encryption)
* {{Button|AES192|dr}} or
* {{Button|AES128|dr}} }}
{{var | Verschlüsselung UTM Phase 1--Hinweis
| Die Länge des Verschlüsselungs-Schlüssels hat Auswirkungen auf die Performance der Verbindung
| The length of the encryption key affects the performance of the connection }}
{{var | Authentifizierung
| Authentifizierung
| Authentication }}
{{var | Authentifizierung UTM Phase 1--desc
| Empfohlene Werte:
* {{Button|SHA2_512|dr}}
* {{Button|SHA2_384|dr}}
* {{Button|SHA2_256|dr}}
| Recommended values:
* {{Button|SHA2_512|dr}}
* {{Button|SHA2_384|dr}}
* {{Button|SHA2_256|dr}} }}
{{var | Diffie-Hellman Group
| Diffie-Hellman Group
| Diffie-Hellman Group }}
{{var | Diffie-Hellman Group--desc
| Wir empfehlen {{Button|ecp521|dr}}
| We recommend {{Button|ecp521|dr}} }}
{{var | Stunden
| Stunden
| Hours }}
{{var | Parameter
| Parameter
| Parameter }}
{{var | Empfohlene Einstellung
| Empfohlene Einstellung
| Recommended setting }}
{{var | IKE_SA Lifetime--desc
| Grund: Auf der Sophos muss die ''Child_SA Lifetime'' kleiner oder gleich der ''IKE_SA Lifetime'' sein
| Reason: On Sophos, the ''Child_SA Lifetime'' must be less than or equal to the ''IKE_SA Lifetime'' }}
{{var | unbegrenzt
| unbegrenzt
| unlimited }}
{{var | Neustart nach Abbruch
| Neustart nach Abbruch:
| Reboot after abort: }}
{{var | Neustart nach Abbruch--desc
| ggf. {{ButtonAn|Ein}} Aktiv (Nur auf der Outgoing Seite)
| If necessary: {{ButtonAn|On}} Active (Only on the outgoing side) }}
{{var | Subnetzkombinationen gruppieren
| Subnetzkombinationen gruppieren:
| Group subnet combinations: }}
{{var | Subnetzkombinationen gruppieren--desc
| Option wird nicht von Sophos unterstützt bzw. ist nicht verfügbar
| Option is not supported by Sophos or is not available }}
{{var | Subnetzkombinationen gruppieren--Hinweis
| Wird diese Option auf der Securepoint UTM aktiviert, wird '''nur für die erste Subnetzkombination''' ein SA erstellt und in Folge dessen eine Verbindung hergestellt
| If this option is enabled on the Securepoint UTM, '''only for the first subnet combination''' an SA is created and as a result a connection is established }}
{{var | Konfiguration auf der Sophos Firewall
| Konfiguration auf der Sophos Firewall
| Configuration on the Sophos Firewall }}
{{var | Konfiguration auf der Sophos Firewall--desc
| Anlegen eines IPsec Profils:
* Login auf das Administrations-Interface der Sophos (Port 4444)
* Menü: Konfigurieren / ''Site-to-Site-VPN''
* Reiter IPsec
* Untermenü (Link): ''IPsec-Profile''

Das Profil dient neben der Bestimmung der IKE Protokoll Version (IKEv2/IKEv1), den DPD Einstellungen, hauptsächlich dafür um Verschlüsselungsalgorithmen festzulegen.
| Create an IPsec profile:
* Login to the Sophos administration interface (Port 4444).
* Menu: Configure / ''Site-to-Site VPN''
* IPsec tab
* Submenu (link): ''IPsec profiles''

The profile is used to determine the IKE protocol version (IKEv2/IKEv1), the DPD settings, and mainly to define encryption algorithms. }}
{{var | Konfiguration auf der Sophos Firewall--Bild1
| IPSec SP-Sophos 1.png
| IPSec SP-Sophos 1-en.png }}
{{var | Konfiguration auf der Sophos Firewall--cap1
| Abb.1
| Fig.1 }}
{{var | Konfiguration auf der Sophos Firewall--Bild2
| IPSec SP-Sophos 2.png
| IPSec SP-Sophos 2-en.png }}
{{var | Konfiguration auf der Sophos Firewall--cap2
| Abb.2
| Fig.2 }}
{{var | Profil hinzufügen
| Profil hinzufügen
| Add profile }}
{{var | Profil hinzufügen--desc
| Im Reiter IPsec-Profile ein Profil erstellen mit der Schaltfläche {{Button|Hinzufügen| bc=blau | c=white-l }}
| In the IPsec profiles tab, create a profile with the {{Button|Add| bc=blau | c=white-l }} }}
{{var | Profil hinzufügen--Bild
| IPSec SP-Sophos 2b.png
| IPSec SP-Sophos 2b-en.png }}
{{var | Profil hinzufügen--cap
| Abb.3
| Fig.3 }}
{{var | Allgemeine Einstellungen
| Allgemeine Einstellungen
| General settings }}
{{var | Allgemeine Einstellungen--Bild
| IPSec SP-Sophos 3.png
| IPSec SP-Sophos 3-en.png }}
{{var | Allgemeine Einstellungen--cap
| Abb.4
| Fig.4 }}
{{var | Name
| Name
| Name }}
{{var | Name--val
| Securepoint IKEv2
| Securepoint IKEv2 }}
{{var | Name--desc
| Aussagekräftiger Name unter dem das IPsec Profil gespeichert wird
| Meaningful name under which the IPsec profile is stored }}
{{var | Beschreibung
| Beschreibung
| Description }}
{{var | Beschreibung--desc
| Kann optional für jedes IPsec Profil angegeben werden
| Can be optionally specified for each IPsec profile }}
{{var | Schlüsselaustausch
| Schlüsselaustausch
| Key exchange }}
{{var | Schlüsselaustausch--desc
| IKE Protokoll Version (Das Startverhalten der Sophos kann bei IKEv1 nicht angepasst werden.)
| IKE protocol version (Sophos startup behavior cannot be adjusted for IKEv1.) }}
{{var | Schlüsselaushandlungsversuche
| Schlüsselaushandlungsversuche
| Key negotiation attempts }}
{{var | Schlüsselaushandlungsversuche--desc
| Maximale Anzahl der Versuche, um die Verbindung herzustellen. Der Wert 0 erlaubt unbegrenzt viele Aushandlungsversuche.
| Maximum number of attempts to establish the connection. The value 0 allows an unlimited number of attempts at negotiation. }}
{{var | Schlüssel-Lebensdauer
| Schlüssel-Lebensdauer
| Key lifetime }}
{{var | Schlüssel-Lebensdauer--desc
| Zeit in Sekunden bis eine neue IKE SA ausgehandelt wird {{f|=IKE_SA Lifetime ?}}
| Time in seconds until a new IKE SA is negotiated {{f|=IKE_SA Lifetime ?}} }}
{{var | DH-Gruppe
| DH-Gruppe (Schlüsselgruppe)
| DH group (key group) }}
{{var | DH-Gruppe--val
| ecp521, ecp384, ecp256, modp8192, modp6144, modp4096
| ecp521, ecp384, ecp256, modp8192, modp6144, modp4096 }}
{{var | DH-Gruppe--desc
| Festlegen der IKE Diffie-Hellman-Gruppe für IKEv2 Phase 1
| Defining the IKE Diffie-Hellman Group for IKEv2 Phase 1 }}
{{var | Verschlüsselung1--val
| AES256
| AES256 }}
{{var | Verschlüsselung--desc
| Festlegen des Verschlüsselungsstandards für IKEv2 Phase 1
| Setting the encryption standard for IKEv2 Phase 1 }}
{{var | Authentifizierung--val
| SHA2_256
| SHA2_256 }}
{{var | Authentifizierung--desc
| Festlegen des Authentifizierungsstandards für IKEv2 Phase 1
| Setting the authentication standard for IKEv2 Phase 1 }}
{{var | PFS-Gruppe
| PFS-Gruppe (DH-Gruppe)
| PFS group (DH group) }}
{{var | PFS-Gruppe--val
| Gleich wie Phase 1
| Same as phase 1 }}
{{var | PFS-Gruppe--desc
| Festlegen der IKE Diffie-Hellman-Gruppe für IKEv2 Phase 2
| Defining the IKE Diffie-Hellman Group for IKEv2 Phase 2 }}
{{var | Schlüssel-Lebensdauer
| Schlüssel-Lebensdauer
| Key lifetime }}
{{var | Schlüssel-Lebensdauer--val
| 3600
| 3600 }}
{{var | Schlüssel-Lebensdauer Phase 1--desc
| Zeit in Sekunden, bis eine neue IKE SA ausgehandelt wird. Entspricht dem Wert ''1 Stunde'' der ''IKE Lifetime'' im Reiter {{Reiter|IKE}} der Phase 1 in der UTM.
| Time in seconds until a new IKE SA is negotiated. Corresponds to the value ''1 hour'' of ''IKE Lifetime'' in the {{Reiter|IKE}} tab of Phase 1 in the UTM. }}
{{var | Schlüssel-Lebensdauer Phase 2--desc
| Zeit, bis eine neue IKE CHILD SA ausgehandelt wird. Entspricht dem Wert ''1 Stunde'' der ''Schlüssel-Lebensdauer'' im Reiter {{Reiter|Allgemein}} der Phase 2 in der UTM ?}}
| Time until a new IKE CHILD SA is negotiated. Corresponds to the value ''1 hour'' of ''key lifetime'' in the {{Reiter|General}} tab of phase 2 in UTM ?}} }}
{{var | Dead Peer Detection
| Dead Peer Detection (DPD)
| Dead Peer Detection (DPD) }}
{{var | Dead Peer Detection--desc
| Überprüft in einem festgelegtem Intervall, ob der Tunnel noch besteht. Wurde der Tunnel unerwartet beendet, wird dieser neu initiiert.
| Checks at a set interval whether the tunnel still exists. If the tunnel was terminated unexpectedly, it will be re-initiated. }}
{{var | Peer überprüfen alle
| Peer überprüfen alle
| Peer check all }}
{{var | Peer überprüfen alle--desc
| Zeit in Sekunden bis zur nächsten Überprüfung
| Time in seconds until next check }}
{{var | Auf Antwort warten bis zu
| Auf Antwort warten bis zu
| Wait for response up to }}
{{var | Auf Antwort warten bis zu--desc
| Zeit, bis der IPSec Tunnel nach einer fehlerhaften Überprüfung als unerreichbar behandelt wird
| Time until the IPSec tunnel is treated as unreachable after an incorrect check }}
{{var | Wenn Peer unerreichbar
| Wenn Peer unerreichbar
| If peer unreachable }}
{{var | Wenn Peer unerreichbar--val
| Neu initiieren
| Reinitiate }}
{{var | Wenn Peer unerreichbar--desc
| * ''Verbindung Trennen'', wenn die Securepoint UTM die Verbindung einleitet
* ''Neu initiieren'', wenn die Sophos Firewall die Verbindung einleitet
| * ''Disconnect'' when the Securepoint UTM initiates the connection.
* ''Reinitiate'' when the Sophos Firewall initiates the connection. }}
{{var | Authentifizierungsmethode--main
| Authentifizierungsmethode
| Authentication method }}
{{var | Authentifizierungsmethode--main--val
| Hauptmodus
| Main mode }}
{{var | Authentifizierungsmethode--main--desc
| Die Securepoint UTM unterstützt als Authentifizierungsmethode (auch ''Austausch-Modus'') aus Sicherheitsgründen ausschließlich den Hauptmodus / ''Main-Mode'' und nicht den ''Aggressive Mode''
| The Securepoint UTM supports as authentication method (also ''exchange mode'') for security reasons exclusively the main mode / ''Main-Mode'' and not the ''Aggressive Mode''. }}
{{var | Profil speichern
| Mit Klick auf die so bezeichnete Schaltfläche das IPSec-Profil {{Button|Speichern|bc=blau|c=white-l}}
| Clicking on the button labeled this way the IPSec profile {{Button|Saves|bc=blau|c=white-l}} }}
{{var | Erstellen der IPsec-Verbindung
| Erstellen der IPsec-Verbindung
| Creating the IPsec connection }}
{{var | Erstellen eines IPsec Profils
| Erstellen eines IPsec Profils
| Creating an IPsec profile }}
{{var | IPsec-Verbindung anlegen--Bild
| IPSec SP-Sophos 4.png
| IPSec SP-Sophos 4-en.png }}
{{var | IPsec-Verbindung anlegen--cap
| Abb.5
| Fig.5 }}
{{var | IPsec-Verbindung anlegen--desc
| * Menü: Konfigurieren / ''Site-to-Site-VPN''
* Reiter IPsec
* Abschnitt ''IPsec-Verbindungen''
* Schaltfläche {{Button|Hinzufügen|bc=blau|c=white-l}}
| * Menu: Configure / ''Site-to-Site VPN''
* IPsec tab
* Section ''IPsec connections''
* Button {{Button|Add|bc=blau|c=white-l}} }}
{{var | Name-Verbindung
| Name
| Name }}
{{var | Name-Verbindung--val
| Securepoint_UTM_Zentrale
| Securepoint_UTM_Main_Office}}
{{var | Name-Verbindung--desc
| Name, unter dem die IPsec Verbindung gespeichert wird
| Name under which the IPsec connection is stored }}
{{var | IPsec-Verbindung--Bild
| IPSec SP-Sophos 5.png
| IPSec SP-Sophos 5-en.png }}
{{var | IPsec-Verbindung--cap
| Abb.6
| Fig.6 }}
{{var | Beschreibung Verbindung--desc
| Kann optional für jede IPsec Verbindung angegeben werden
| Can optionally be specified for each IPsec connection }}
{{var | IP-Version
| IP-Version
| IP version }}
{{var | IP-Version--desc
| IP-Version, über die der Tunnel aufgebaut werden soll (IPv4/Ipv6)
| IP version over which the tunnel is to be established (IPv4/Ipv6). }}
{{var | Verbindungstyp
| Verbindungstyp
| Connection type }}
{{var | Verbindungstyp--val
| Standort-zu-Standort
| Site-to-site }}
{{var | Verbindungstyp--desc
| Site-to-Site Verbindung
| Site-to-site connection }}
{{var | Gateway-Typ
| Gateway-Typ
| Gateway type }}
{{var | Gateway-Typ--val
| Nur antworten
| Reply only }}
{{var | Gateway-Typ--desc
| * Nur Antworten (≙ Incoming): Die Sophos Firewall wartet auf eine SPSec-Verbindung und initiiert nicht die Tunnel-Verbindung
* Verbindung herstellen (≙ Outgoing): Die Sophos Firewall initiiert die Tunnel Verbindung
| * Responses only (≙ Incoming): Sophos Firewall waits for an SPSec connection and does not initiate the tunnel connection
* Establish connection (≙ Outgoing): The Sophos Firewall initiates the tunnel connection }}
{{var | Beim Speichern aktivieren
| Beim Speichern aktivieren
| Enable when saving }}
{{var | Beim Speichern aktivieren--desc
| Startet beim Speichern die Verbindung gemäß ''Gateway-Typ''
| Starts the connection according to ''Gateway type'' when saving }}
{{var | Firewallregel anlegen
| Firewallregel anlegen
| Create firewall rule }}
{{var | Firewallregel anlegen--desc
| Automatisches Anlegen von benötigten Portfilterregeln
| Automatic creation of required port filter rules }}
{{var | Verschlüsselung
| Verschlüsselung
| Encryption }}
{{var | Profil
| Profil
| Profile }}
{{var | Profil--val
| Securepoint IKEv2
| Securepoint IKEv2 }}
{{var | Profil--desc
| Das zuvor erstellte IPsec Profil auswählen
| Select the previously created IPsec profile }}
{{var | Authentifizierungsmethode
| Authentifizierungsmethode
| Authentication method }}
{{var | Authentifizierungsmethode--val
| Verteilter Schlüssel
| Distributed key }}
{{var | Authentifizierungsmethode--desc
| Mögliche Optionen:
* Verteilter Schlüssel (=Pre Shared Key, PSK)
* Digitales Zertifikat (entfernt und lokal müssen hinterlegt werden)
* RSA-Schlüssel (entfernt und lokal müssen hinterlegt werden)
| Possible options:
* Distributed key (=Pre Shared Key, PSK).
* Digital certificate
* RSA key }}
{{var | Gateway-Einstellungen
| Gateway-Einstellungen
| Gateway settings }}
{{var | Lokales Gateway
| Lokales Gateway
| Local gateway }}
{{var | Gateway-Einstellungen--Bild
| IPSec SP-Sophos 6.png
| IPSec SP-Sophos 6-en.png }}
{{var | Gateway-Einstellungen--cap
| Abb.7
| Fig.7 }}
{{var | IPSec SP-Sophos 6.png--desc
|
| }}
{{var | Lausch-Schnittstelle
| Lausch-Schnittstelle
| Listening interface }}
{{var | Lausch-Schnittstelle--val
|
| }}
{{var | Lausch-Schnittstelle--desc
| Interface, über das der Tunnel aufgebaut werden soll
| Interface via which the tunnel is to be established }}
{{var | Lokaler ID-Typ
| Lokaler ID-Typ
| Local ID type }}
{{var | Lokaler ID-Typ--val
| Lokale ID wählen
| Select local ID }}
{{var | Lokaler ID-Typ--desc
| Frei wählbar (kann ein DNS Name, eine IP-Adresse oder eine E-Mail-Adresse sein).
| Freely selectable (can be a DNS name, an IP address or an email address). }}
{{var | Lokale ID
| Lokale ID
| Local ID }}
{{var | Lokale ID--val
|
| }}
{{var | Lokale ID--desc
| Frei wählbar
| Freely selectable }}
{{var | Lokale ID--Hinweis UTM
| Dieser Wert muss auf der Securepoint UTM im IPSec-Assistenten im ''Schritt 4 - Gegenstelle'' als {{b|Remote Gateway ID}} eingetragen werden
| This value must be entered on the Securepoint UTM in the IPSec assistant in ''Step 4 - Remote Gateway'' as {{b|Remote Gateway ID}} }}
{{var | Lokales Subnetz
| Lokales Subnetz
| Local subnet }}
{{var | Lokales Subnetz--val
| Neues Element hinzufügen
| Add new element }}
{{var | Lokales Subnetz--desc
| Lokales Netzwerk auf der Sophos Firewall, das in den Tunnel eingebunden werden soll. 
Existiert das Netzwerkelement nicht in der Liste, kann es in diesem Schritt erstellt werden
| Local network on the Sophos firewall to be included in the tunnel. 
If the network element does not exist in the list, it can be created in this step }}
{{var | Entferntes Gateway
| Entferntes Gateway
| Remote gateway }}
{{var | Gateway-Adresse
| Gateway-Adresse
| Gateway address }}
{{var | Gateway-Adresse--desc
| Adresse des Remote Gateway (≙Securepoint UTM)
| Address of the remote gateway (≙Securepoint UTM) }}
{{var | Gateway-Adresse--Hinweis
| Der Wert '''*''' sollte gesetzt werden, wenn die Sophos Firewall nicht die Verbindung initiiert und die UTM keine feste IP Adresse besitzt, mit der die Anfragen gestellt werden.
| The value '''*''' should be set if the Sophos Firewall does not initiate the connection and the UTM does not have a fixed IP address with which to make the requests. }}
{{var | Entfernter ID-Typ
| Entfernter ID-Typ
| Remote ID type }}
{{var | Entfernter ID-Typ--val
| Entfernte ID wählen
| Select remote ID }}
{{var | Entfernter ID-Typ--desc
| Frei wählbar (kann ein DNS Name, eine IP-Adresse oder eine E-Mail-Adresse sein).
| Freely selectable (can be a DNS name, an IP address or an email address). }}
{{var | Remote-ID
| Remote-ID
| Remote ID }}
{{var | Remote-ID--val
|
| }}
{{var | Remote-ID--desc
|
| }}
{{var | Remote-ID--Hinweis UTM
| Dieser Wert muss auf der Securepoint UTM im IPSec-Assistenten im ''Schritt 3 - Lokal'' als {{b|Local Gateway ID}} eingetragen werden
| This value must be entered on the Securepoint UTM in the IPSec assistant in ''Step 3 - Local'' as {{b|Local Gateway ID}} }}
{{var | Entferntes Subnetz
| Entferntes Subnetz
| Remote subnet }}
{{var | Entferntes Subnetz--val
| Neues Element hinzufügen
| Add new element }}
{{var | Entferntes Subnetz--desc
| Entferntes Netzwerk auf der Securepoint UTM, das über den Tunnel erreichbar sein soll. 
Existiert das Netzwerkelement nicht in der Liste, kann es in diesem Schritt erstellt werden
| Remote network on the Securepoint UTM that is to be accessible via the tunnel. 
If the network element does not exist in the list, it can be created in this step }}
{{var | Erweitert
| Erweitert
| Extended }}
{{var | Benutzerauthentifizierung
| Benutzerauthentifizierung
| User authentication }}
{{var | Keine
| Keine
| None }}
{{var | Benutzerauthentifizierung--desc
| Vorgabe unverändert auf ''Keine'' belassen
| Leave default unchanged at ''None'' }}
{{var | Verbindung trennen
| Verbindung trennen im Leerlauf
| Disconnect in idle mode }}
{{var | Verbindung trennen--desc
| Nicht aktivieren
| Do not activate }}
{{var | Verbindung anlegen
| Verbindung anlegen mit der Schaltfläche {{Button|Speichern|bc=blau|c=white-l}}
| Create connection with the button {{Button|Save|bc=blau|c=white-l}} }}
{{var | Netzwerk Elemente erstellen
| Netzwerkelemente erstellen
| Create network elements }}
{{var | Netzwerk Elemente erstellen--desc
| Hierzu kann während dem Anlegen der IPSec Verbindung in den Dialogen ''Lokales Subnetz'' und ''Entferntes Subnetz'' ein neues Element über die Option '''Hinzufügen''' angelegt werden.
| For this purpose, a new element can be created using the '''Add''' option in the ''Local subnet'' and ''Remote subnet'' dialogs while creating the IPSec connection. }}
{{var | Netzwerk Elemente erstellen--Bild
| IPSec SP-Sophos 7.png
| IPSec SP-Sophos 7-en.png }}
{{var | Netzwerk Elemente erstellen--cap
| Abb.8 - nach Klick in das jeweilige Feld
| Fig.8 - after clicking in the respective field }}
{{var | Remote-Netzwerk-Element erstellen
| Entferntes Netzwerkelement erstellen
| Create remote network element }}
{{var | Remote-Netzwerk-Element erstellen--desc
| Die Werte für das '''Entfernte Subnetz''' (also das Netzwerk der Securepoint UTM, das über den Tunnel erreichbar sein soll)
| The values for the '''Remote subnet''' (i.e. the network of the Securepoint UTM which should be reachable via the tunnel) }}
{{var | Dialog Element hinzufügen--Bild
| IPSec SP-Sophos 8.png
| IPSec SP-Sophos 8-en.png }}
{{var | Dialog Element hinzufügen--cap
| Abb.9
| Fig.9 }}
{{var | Name-Element
| Name
| Name }}
{{var | Name-Element--val
| Hostname eingeben
| Enter hostname }}
{{var | Name-Element--desc
| Name des Netzwerkelements
| Name of the network element }}
{{var | IP-Version Element--desc
| Art der IP-Adressen (IPv4/IPv6) in dem Remote Netzwerk (hier: Das Netzwerk der Securepoint UTM)
| Type of IP addresses (IPv4/IPv6) in the remote network (here: the network of the Securepoint UTM). }}
{{var | Typ
| Typ
| Type }}
{{var | Netzwerk
| Netzwerk
| Network }}
{{var | Netzwerkobjekt-Typ--desc
| Es '''muss''' der Typ ''Netzwerk'' gewählt werden
| The type ''network'' '''must''' be selected. }}
{{var | IP-Adresse
| IP-Adresse
| IP address }}
{{var | Remote IP-Adresse--desc
| Netzadresse des Remote UTM Netzwerks
| Network address of the remote UTM network }}
{{var | Subnetz
| Subnetz
| Subnet }}
{{var | Subnetz--desc
| Subnetzmaske des Remote UTM Netzwerks
| Subnet mask of the remote UTM network }}
{{var | Element speichern
| Netzwerkelement mit Klick auf die so bezeichnete Schaltfläche {{Button|Speichern|bc=blau|c=white-l}}
| Save network element by clicking on the {{Button|Save|bc=blau|c=white-l}} }}
{{var | Troubleshooting
| Troubleshooting
| Troubleshooting }}
{{var | Troubleshooting--desc
|
| }}
{{var | IPsec Log
| IPsec Log
| IPsec Log }}
{{var | IPsec Log--desc
| Einsehbar unter dem Menüpunkt ''Kontrollzentrum'' im Abschnitt ''Überwachen & Analysieren'', Link {{c|'''Protokollansicht'''|blau}} am oberen rechten Rand des Sophos Admin Panels.
| Viewable under the ''Control Center'' menu item in the ''Monitor & Analyze'' section, link {{c|'''Log view'''|blau}} at the top right of the Sophos Admin Panel. }}
{{var | IPsec Log--Bild
| IPSec SP-Sophos Kontrollzentrum.png
| IPSec_SP-Sophos_Kontrollzentrum-en.png }}
{{var | IPsec Log--cap
| Abb.10
| Fig.10 }}
{{var | Protokollansicht Firewall--desc
| * Nach dem Auswählen dieser Option öffnet sich ein PopUp Fenster
* Hier im Dropdownmenü die Log Kategorie '''Firewall''' auswählen
| * After selecting this option a popup window opens
* Select the log category '''Firewall''' in the dropdown menu here. }}
{{var | Protokollansicht Firewall--Bild
| IPSec SP-Sophos 9.png
| IPSec SP-Sophos 9-en.png }}
{{var | Protokollansicht Firewall--cap
| Abb.11
| Fig.11 }}
{{var | Protokollansicht VPN--desc
| * Jetzt lässt sich im Dropdownmenü die Log Kategorie '''VPN''' auswählen
| * Now it is possible to select the log category '''VPN''' in the drop-down menu. }}
{{var | Protokollansicht VPN--Bild
| IPSec SP-Sophos 10.png
| IPSec SP-Sophos 10-en.png }}
{{var | Protokollansicht VPN--cap
| Abb.12
| Fig.12 }}
{{var | 1=Tcpdump--desc
| 2=Für TCPdump wird der Zugriff über SSH benötigt. Freigabe auf der Sophos Firewall:
* Menü Verwaltung / Appliance-Zugriff / Zugriffssteuerungsliste (ZSL) für lokale Dienste
* Spalte ''Admin-Dienste / SSH'', freigeben für ''LAN'' bzw. ''WAN''
* Einstellung mit der so bezeichneten Schaltfläche {{Button|Übernehmen|bc=blau|c=white-l}}
| 3=TCPdump, access via SSH is required. Enable on the Sophos Firewall:
* Menu Administration / Appliance Access / Access Control List (ZSL) for local services
* Enable the ''Admin Services / SSH'' column for ''LAN'' or ''WAN''
* {{Button|Apply|bc=blau|c=white-l}} the setting with the so called button }}
{{var | Tcpdump--Bild
| IPSec SP-Sophos 11.png
| IPSec SP-Sophos 11-en.png }}
{{var | Tcpdump--cap
| Abb.13
| Fig.13 }}
{{var | Sophos SSH--desc
| * Verbindung zur Sophos Firewall über SSH (Port 22) {{f|Port 22/TCP § ??}} mit den Sophos Admin-Zugangsdaten
* Im ''Main Menu'' Option ''5. Device Management'' wählen
* Im Menü ''Device Managment'' die Option ''3. Advanced Shell'' wählen
| * Connect to the Sophos Firewall via SSH (port 22) {{f|Port 22/TCP § ??}} using the Sophos admin credentials.
* In the ''Main Menu'' select option ''5. Device Management''
* In the ''Device Managment'' menu, select ''3. Advanced Shell'' option. }}
{{var | Sophos SSH Main Menu--Bild
| IPSec SP-Sophos 12.png
| IPSec SP-Sophos 12.png }}
{{var | Sophos SSH Main Menu--cap
| Abb.14
| Fig.14 }}
{{var | Sophos SSH Device Management--Bild
| IPSec SP-Sophos 13.png
| IPSec SP-Sophos 13.png }}
{{var | Sophos SSH Device Management--cap
| Abb.15
| Fig.15 }}
{{var | Sophos SSH TCPdump--desc
| * Befehle wie ''tcpdump'', ''ping'' oder ''ip'' können nun ausgeführt werden
| * Commands like ''tcpdump'', ''ping'' or ''ip'' can now be executed }}
{{var | Sophos SSH TCPdump--Bild
| IPSec SP-Sophos 14.png
| IPSec SP-Sophos 14.png }}
{{var | Sophos SSH TCPdump--cap
| Abb.16
| Fig.16 }}
{{var | Default-Wert muss angepasst werden
| Der Sophos Default-Wert muss angepasst werden
| The Sophos default value must be adjusted }}
{{var | Default-Wert muss ggf. angepasst werden
| Der Sophos Default-Wert muss ggf. angepasst werden
| The Sophos default value may need to be adjusted }}
{{var | Default-Wert sollte angepasst werden
| Der Sophos Default-Wert sollte angepasst werden
| The Sophos default value should be adjusted }}
{{var | Eintrag erforderlich
| Eintrag erforderlich
| Entry required }}

----
{{var |
|
| }}
</div>