KKeine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
| (2 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt) | |||
| Zeile 9: | Zeile 9: | ||
| Übersicht über die verschiedenen VPN-Verbindungstechniken der Securepoint UTM | | Übersicht über die verschiedenen VPN-Verbindungstechniken der Securepoint UTM | ||
| Overview of the different VPN connection techniques of the Securepoint UTM }} | | Overview of the different VPN connection techniques of the Securepoint UTM }} | ||
{{var | Vorwort | {{var | Vorwort | ||
| In diesem Artikel werden die verschiedenen Techniken zum Aufbau einer VPN-Verbindung (Virtual Private Network), die | | In diesem Artikel werden die verschiedenen Techniken zum Aufbau einer VPN-Verbindung (Virtual Private Network), die mit einer Securepoint UTM möglich sind sind, erläutert und es wird eine Übersicht gegeben, wann diese am besten eingesetzt werden sollten. | ||
| This article explains the different techniques for establishing a VPN (Virtual Private Network) connection | | This article explains the different techniques for establishing a VPN (Virtual Private Network) connection available in the Securepoint UTM and provides an overview of when to use each of them. }} | ||
{{var | Techniken | {{var | Techniken | ||
| Techniken | | Techniken | ||
| Zeile 22: | Zeile 19: | ||
| Protocols }} | | Protocols }} | ||
{{var | IPSec VPN--desc | {{var | IPSec VPN--desc | ||
| IPSec ist ein sehr sicherer VPN Standard, bestehend aus unterschiedlichen Protokollen, der sowohl für Site to Site als auch für End to Site, | | * IPSec ist ein sehr sicherer VPN Standard, bestehend aus unterschiedlichen Protokollen, der sowohl für ''Site to Site'' (S2S) als auch für ''End to Site'' (E2S, Roadwarrior) Verbindungen eingesetzt werden kann. | ||
* Vorteil ist, daß IPSec von vielen Betriebssystemen nativ unterstützt wird - dabei jedoch nicht immer einfach zu konfigurieren ist | |||
* Probleme bereiten oft Verbindungen, die über Router auf andere IP-Adressbereiche genattet werden, da die IPSec Pakete durch NAT eine neue IP-Adresse und einen neuen Quell-Port erhalten. Hier kommt dann das IPSec-NAT-Traversal zum Einsatz. | |||
* Um eine möglichst stabile Verbindung herzustellen, hat sich der Einsatz von [[UTM/AUTH/Schluessel | RSA-Schlüsseln]] statt eines Pre-Shared Key (PSK) zur Authentifizierung bewährt.<br>Dies trifft insbesondere bei Verbindungen zu, bei denen die Router, die die VPN Verbindung herstellen sollen, hinter einem NAT-Router positioniert sind. | |||
| }} | |||
Um | |||
{{var | SSL VPN-Ports | {{var | SSL VPN-Ports | ||
| Standard 1194/UDP; Kann aber fast jeden freien Port und auch das Protokoll TCP nutzen. | | Standard 1194/UDP; Kann aber fast jeden freien Port und auch das Protokoll TCP nutzen. | ||
| Standard 1194/UDP; but can use almost any free port and also TCP protocol. }} | | Standard 1194/UDP; but can use almost any free port and also TCP protocol. }} | ||
{{var | SSL VPN--desc | {{var | SSL VPN--desc | ||
| Die Securepoint Firewall Appliances bieten eine SSL (Secure Socket Layer) verschlüsselte VPN Verbindung auf der Basis des Open-Source Projektes OpenVPN an. OpenVPN zeichnet sich durch hohe Flexibilität, eine relativ einfache Konfiguration und gute Verschlüsselung der Daten und damit einer sehr hohen Sicherheit aus. | | | ||
Weiterhin hat OpenVPN in der Regel keine Probleme mit genatteten Verbindungen und ist daher auch als sehr stabile Alternative zu IPSec VPN Site to Site Verbindungen einsetzbar. | * Die Securepoint Firewall Appliances bieten eine SSL (Secure Socket Layer) verschlüsselte VPN Verbindung auf der Basis des Open-Source Projektes OpenVPN an. | ||
| The Securepoint firewall appliances offer an SSL (Secure Socket Layer) encrypted VPN connection based on the open source project OpenVPN. OpenVPN is characterized by high flexibility, a relatively simple configuration and good encryption of the data and thus a very high security.<br> | * OpenVPN zeichnet sich durch hohe Flexibilität, eine relativ einfache Konfiguration und gute Verschlüsselung der Daten und damit einer sehr hohen Sicherheit aus. | ||
Furthermore, OpenVPN usually has no problems with nated connections and can therefore also be used as a very stable alternative to IPSec VPN site-to-site connections. }} | * Weiterhin hat OpenVPN in der Regel keine Probleme mit genatteten Verbindungen und ist daher auch als sehr stabile Alternative zu IPSec VPN Site to Site Verbindungen einsetzbar. | ||
| The Securepoint firewall appliances offer an SSL (Secure Socket Layer) encrypted VPN connection based on the open source project OpenVPN. OpenVPN is characterized by high flexibility, a relatively simple configuration and good encryption of the data and thus a very high security.<br> Furthermore, OpenVPN usually has no problems with nated connections and can therefore also be used as a very stable alternative to IPSec VPN site-to-site connections. }} | |||
{{var | L2TP VPN--desc | {{var | L2TP VPN--desc | ||
| Das L2TP (Layer 2 Tunneling Protokoll) ist eine Kombination aus den Protokollen PPTP (Point to Point Tunneling Protokoll) und L2F (Layer 2 Forwarding). Da L2TP lediglich eine Benutzerauthentifizierung, aber keine Verschlüsselung unterstützt, wird es in Verbindung mit dem IPSec Protokoll eingesetzt. L2TP wird speziell zur Einbindung von Einzelrechnern an Netzwerke benutzt. | | Das L2TP (Layer 2 Tunneling Protokoll) ist eine Kombination aus den Protokollen PPTP (Point to Point Tunneling Protokoll) und L2F (Layer 2 Forwarding). Da L2TP lediglich eine Benutzerauthentifizierung, aber keine Verschlüsselung unterstützt, wird es in Verbindung mit dem IPSec Protokoll eingesetzt. L2TP wird speziell zur Einbindung von Einzelrechnern an Netzwerke benutzt. | ||
| Zeile 56: | Zeile 45: | ||
| Bei PPTP VPN handelt es sich nachgewiesenermaßen um ein unsicheres VPN Protokoll. Es wird dringend empfohlen dieses Protokoll nicht mehr zu verwenden. Benutzen sie stattdessen für Roadwarrior Verbindungen SSL VPN, IPSec xAuth oder IPSec mit L2TP. | | Bei PPTP VPN handelt es sich nachgewiesenermaßen um ein unsicheres VPN Protokoll. Es wird dringend empfohlen dieses Protokoll nicht mehr zu verwenden. Benutzen sie stattdessen für Roadwarrior Verbindungen SSL VPN, IPSec xAuth oder IPSec mit L2TP. | ||
| PPTP VPN has been proven to be an insecure VPN protocol. It is strongly recommended not to use this protocol anymore. Instead, use SSL VPN, IPSec xAuth or IPSec with L2TP for Roadwarrior connections. }} | | PPTP VPN has been proven to be an insecure VPN protocol. It is strongly recommended not to use this protocol anymore. Instead, use SSL VPN, IPSec xAuth or IPSec with L2TP for Roadwarrior connections. }} | ||
{{var | Veraltete Versionen | |||
| Veraltete Versionen anzeigen / ausblenden | |||
| Show / hide Out-of-date versions }} | |||
{{var | Hinweis--Veraltete Versionen | |||
| Von der Nutzung folgender Betriebssystem Versionen wird abgeraten. Eine Funktion mit aktuellen UTM-Versionen kann nicht gewährleistet werden. | |||
| The use of the following operating system versions is not recommended. Functionality with current UTM versions cannot be guaranteed. }} | |||
{{var | Das Point-to-Point Tunneling Protocol | {{var | Das Point-to-Point Tunneling Protocol | ||
| Das Point-to-Point Tunneling Protocol (PPTP) wird in der Regel für Roadwarrior Verbindungen eingesetzt.<br> | | Das Point-to-Point Tunneling Protocol (PPTP) wird in der Regel für Roadwarrior Verbindungen eingesetzt.<br> | ||
| Zeile 98: | Zeile 93: | ||
| Table explanation }} | | Table explanation }} | ||
{{var | Erklärung zur Tabelle--desc | {{var | Erklärung zur Tabelle--desc | ||
| Aufgrund der Eigenschaften von SSL VPN bzw. OpenVPN haben wir die Erfahrung gemacht, das mit dieser Technik fast immer eine stabile VPN Verbindung eingerichtet werden kann. | | Aufgrund der Eigenschaften von SSL VPN bzw. OpenVPN haben wir die Erfahrung gemacht, das mit dieser Technik fast immer eine stabile VPN Verbindung eingerichtet werden kann.<br> | ||
RSA-Schlüssel bestehen aus einem privaten und einem öffentlichen Schlüssel und sorgen für eine sichere Authentifizierung. Diese Schlüsselpaare können auf jeder Securepoint Appliance erzeugt und die öffentlichen Schlüssel ausgetauscht werden.<br> | |||
RSA-Schlüssel bestehen aus einem privaten und einem öffentlichen Schlüssel und sorgen für eine sichere Authentifizierung. Diese Schlüsselpaare können auf jeder Securepoint Appliance erzeugt und die öffentlichen Schlüssel ausgetauscht werden. | |||
Leider müssen wir immer wieder die Erfahrung machen, dass Verbindungen über LTE (Long Term Evolution) vom Internet Provider genattet werden. Am besten läuft die Verbindung mit einer öffentlichen IP vom Provider. Ansonsten sind die VPN Verbindungen über IPSec in der Regel nicht stabil, wenn sie denn überhaupt aufgebaut werden. | Leider müssen wir immer wieder die Erfahrung machen, dass Verbindungen über LTE (Long Term Evolution) vom Internet Provider genattet werden. Am besten läuft die Verbindung mit einer öffentlichen IP vom Provider. Ansonsten sind die VPN Verbindungen über IPSec in der Regel nicht stabil, wenn sie denn überhaupt aufgebaut werden. | ||
| Due to the properties of SSL VPN or OpenVPN, we have found that a stable VPN connection can almost always be set up with this technology. | | Due to the properties of SSL VPN or OpenVPN, we have found that a stable VPN connection can almost always be set up with this technology.<br> | ||
RSA keys consist of a private and a public key and provide secure authentication. These key pairs can be generated on any Securepoint appliance and the public keys can be exchanged.<br> | |||
RSA keys consist of a private and a public key and provide secure authentication. These key pairs can be generated on any Securepoint appliance and the public keys can be exchanged. | |||
Unfortunately, we repeatedly have to make the experience that connections via LTE (Long Term Evolution) are nated by the Internet provider. The connection runs best with a public IP from the provider. Otherwise, VPN connections via IPSec are usually not stable, if they are established at all. }} | Unfortunately, we repeatedly have to make the experience that connections via LTE (Long Term Evolution) are nated by the Internet provider. The connection runs best with a public IP from the provider. Otherwise, VPN connections via IPSec are usually not stable, if they are established at all. }} | ||
{{var | Einrichtung der Site-to-Site Verbindungen | {{var | Einrichtung der Site-to-Site Verbindungen | ||
| Zeile 127: | Zeile 118: | ||
| Configuring an SSL VPN S2S connection with fallback }} | | Configuring an SSL VPN S2S connection with fallback }} | ||
{{var | UTM/VPN/DNS_Relay--desc | {{var | UTM/VPN/DNS_Relay--desc | ||
| Konfiguration eines DNS- | | Konfiguration eines DNS-Relays über eine IPSec, SSL-VPN oder WireGuard Site to Site VPN-Verbindung | ||
| Configuring a DNS Relay over an IPSec | | Configuring a DNS Relay over an IPSec, SSL VPN or WireGuard Site to Site VPN Connection }} | ||
{{var | UTM/VPN/IPSec-HTTP--desc | {{var | UTM/VPN/IPSec-HTTP--desc | ||
| Hinweise zu HTTP-Verbindungen über VPN-Verbindungen | | Hinweise zu HTTP-Verbindungen über VPN-Verbindungen | ||
| Zeile 139: | Zeile 130: | ||
| Roadwarrior or end-to-site VPN connections }} | | Roadwarrior or end-to-site VPN connections }} | ||
{{var | Roadwarrior oder End to Site VPN Verbindungen--desc | {{var | Roadwarrior oder End to Site VPN Verbindungen--desc | ||
| Nicht alle Betriebssysteme bieten die Möglichkeit, alle VPN Techniken anzuwenden. | | Nicht alle Betriebssysteme bieten die Möglichkeit, alle VPN Techniken anzuwenden.<br><br> Die folgende Tabelle gibt eine Übersicht. | ||
| Not all operating systems offer the possibility to use all VPN techniques.<br><br> The following table provides an overview. }} | |||
Die folgende Tabelle gibt eine Übersicht. | |||
| Not all operating systems offer the possibility to use all VPN techniques. | |||
The following table provides an overview. }} | |||
{{var | nur Version | {{var | nur Version | ||
| nur Version | | nur Version | ||
| Zeile 160: | Zeile 147: | ||
| nicht möglich | | nicht möglich | ||
| not possible }} | | not possible }} | ||
{{var | Hinweis mit Client | |||
| Der Hinweis "mit Client" bezieht sich auf unsere Erfahrung mit dem TheGreenbow oder NCP Client. | |||
| }} | |||
{{var | 1=mit Client | |||
| 2=<span class=fs08><br>mit Client</span> {{info|Der Hinweis "mit Client" bezieht sich auf unsere Erfahrung mit dem TheGreenbow oder NCP Client.}} | |||
| 3= }} | |||
{{var | Tabelle Roadwarrior--desc | {{var | Tabelle Roadwarrior--desc | ||
| OpenVPN Clients gibt es derzeit für fast alle Systeme, ist einfach einzurichten, stabil und sicher. | | | ||
Bei dem Securepoint Client ist die Konfiguration über die Benutzereinrichtung schon enthalten. Dieser muss also nur noch Installiert (Installer) oder gestartet (Portable) werden. | * OpenVPN Clients gibt es derzeit für fast alle Systeme, ist einfach einzurichten, stabil und sicher. | ||
* Bei dem [[VPN/VPN-Client | Securepoint Client]] ist die Konfiguration über die Benutzereinrichtung schon enthalten. <br>Dieser muss also nur noch Installiert (Installer) oder gestartet (Portable) werden. | |||
Für die OpenVPN Clients oder den "Tunnelblick", wird die fertige Konfiguration mit den benötigten Zertifikaten heruntergeladen und in den Client importiert. Auch dieses ist einfach umzusetzen | * Für die OpenVPN Clients oder den "Tunnelblick", wird die fertige Konfiguration mit den benötigten Zertifikaten [[UTM/UI/SSL-VPN | im Userinterface]] heruntergeladen und in den Client importiert. Auch dieses ist einfach umzusetzen. | ||
* Bei Linux und Unix hängt es stark von der Distribution ab, welcher IPSec-VPN Client mitgeliefert wird.<br> | |||
* Es kommt immer wieder zu Problemen mit der Stabilität einer VPN-Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte auf diesen Geräten jegliche Firewall-Funktionalität deaktivieren. | |||
* Da PPTP-VPN zu unsicher ist und L2TP/IPSec unter Windows nach jeweils 1 Stunde abbricht, werden diese beiden Verfahren von uns nicht empfohlen. | |||
Bei Linux und Unix hängt es stark von der Distribution ab, welcher IPSec-VPN Client mitgeliefert wird. | | }} | ||
Es kommt immer wieder zu Problemen mit der Stabilität einer VPN-Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte | |||
Da PPTP-VPN zu unsicher ist und L2TP/IPSec unter Windows nach jeweils 1 Stunde abbricht, werden diese beiden Verfahren von uns nicht empfohlen. | |||
| | |||
{{var | Tabelle Roadwarrior-Hinweis | {{var | Tabelle Roadwarrior-Hinweis | ||
| Windows XP und Windows Vista sind von Microsoft nicht mehr unterstützte Betriebssysteme, welche in der Regel nicht mehr mit Sicherheitsupdates versorgt werden. Daher sehen wir auch eine Gefährdung für das Netzwerk mit welchem sich dieser Rechner per VPN verbinden soll. | | Windows XP und Windows Vista sind von Microsoft nicht mehr unterstützte Betriebssysteme, welche in der Regel nicht mehr mit Sicherheitsupdates versorgt werden. Daher sehen wir auch eine Gefährdung für das Netzwerk mit welchem sich dieser Rechner per VPN verbinden soll. | ||
| Windows XP and Windows Vista are no longer supported operating systems by Microsoft, which are usually no longer provided with security updates. Therefore, we also see a risk for the network to which this computer should connect via VPN. }} | | Windows XP and Windows Vista are no longer supported operating systems by Microsoft, which are usually no longer provided with security updates. Therefore, we also see a risk for the network to which this computer should connect via VPN. }} | ||
{{var | Hinweis zu Windows 7 | {{var | Hinweis zu Windows 7 | ||
| Ebenfalls sollte Windows 7 nur noch verwendet werden, wenn die erweiterten Sicherheits-Updates (Extended Security Updates, ESU) bezogen werden.<br> | | Ebenfalls sollte Windows 7 nur noch verwendet werden, wenn die erweiterten Sicherheits-Updates (Extended Security Updates, ESU) bezogen werden.<br> Ist dies nicht der Fall ist auch Windows 7 als unsicher einzustufen und stellt eine Gefährdung für Netzwerke dar. | ||
Ist dies nicht der Fall ist auch Windows 7 als unsicher einzustufen und stellt eine Gefährdung für Netzwerke dar. | | Likewise, Windows 7 should only be used if the extended security updates (ESU) are obtained.<br> If this is not the case, Windows 7 is also to be classified as insecure and poses a threat to networks. }} | ||
| Likewise, Windows 7 should only be used if the extended security updates (ESU) are obtained.<br> | |||
If this is not the case, Windows 7 is also to be classified as insecure and poses a threat to networks. }} | |||
{{var | Einrichtung der Roadwarrior-Verbindungen | {{var | Einrichtung der Roadwarrior-Verbindungen | ||
| Einrichtung der Roadwarrior-Verbindungen | | Einrichtung der Roadwarrior-Verbindungen | ||
| Zeile 221: | Zeile 192: | ||
| Konfiguration einer PPTP-VPN Verbindung | | Konfiguration einer PPTP-VPN Verbindung | ||
| Configuration of a PPTP VPN connection }} | | Configuration of a PPTP VPN connection }} | ||
{{var | | {{var | L2TP--Hinweis | ||
| | | Um L2TP ist per Default nicht verfügbar und wird in zukünftigen Versionen nicht mehr unterstützt. | ||
| | | }} | ||
{{var | L2TP anzeigen | |||
| Details zu L2TP anzeigen | |||
| }} | |||
{{var | L2TP--Menu | |||
| Zur Aktivierung unter {{Menu-UTM|Extras | Erweiterte Einstellungen|Ausgeblendete Funktionen}} Abschnitt {{Reiter|L2TP}} Option {{b|L2TP aktivieren}} {{ButtonAn|Ja}} | |||
| }} | |||
{{var | WireGuard--Ports | |||
| Standard: 51820/UDP für die jeweils erste Verbindung, kann aber fast jeden freien Port nutzen | |||
| }} | |||
{{var | WireGuard--desc | |||
| | |||
* Wireguard® ist ein modernes und einfaches VPN Protokoll, das zusätzlich durch seine Geschwindigkeit überzeugt. | |||
* Wireguard verzichtet auf einige aufwendige Verfahren zum Schlüsselaustausch und ist unter anderem dadurch einfacher zu handhaben als IPSec | |||
* Durch die Integration in den Linux Kernel ist eine performante und Ressourcen schonendere Verarbeitung als bei OpenVPN möglich | |||
* Einstellungen wie Routen, DNS etc. lassen sich nicht wie bei OpenVPN "pushen"<br>Die Verwaltung von Roadwarrior ist dadurch deutlich aufwändiger | |||
| }} | |||
{{var | WireGuard--Hinweis | |||
| WireGuard sollte nicht verwendet werden, wenn mehrere öffentliche IP-Adressen oder Internetzugänge existieren. <br>(Wireguard beherrscht kein Multihome wie SSL-VPN) | |||
| }} | |||
{{var | IPSec--Link | |||
| IPSec-Verbindungen mit EAP-MSCHAPv2 zu einem Windows Client | |||
| }} | |||
{{var | VPN-Client--Link | |||
| Einrichtung des Windows VPN-Clients | |||
| }} | |||
{{var | mit | |||
| mit | |||
| }} | |||
{{var | WieGuard--Link | |||
| Konfiguration einer WireGuard Roadwarrior Verbindung | |||
| }} | |||
{{var | WireGuard S2S--Link | |||
| Konfiguration einer WireGuard Site-to-Site (S2S) Verbindung | |||
| }} | |||
{{var | VPN-Typ in Verbindung mit Anschluss-Art | |||
| VPN-Typ in Verbindung mit Anschluss-Art | |||
| }} | |||
{{var | VPN-Typ in Verbindung mit Betriebssystem | |||
| VPN-Typ in Verbindung mit Betriebssystem | |||
| }} | |||
---- | ---- | ||
| Zeile 229: | Zeile 240: | ||
| | | | ||
| }} | | }} | ||
</div> | </div> | ||
UTM/VPN/Übersicht.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki