UTM/VPN/SSL VPN-S2S: Unterschied zwischen den Versionen

Version vom 14. Januar 2020, 14:32 Uhr

Konfiguration von SSL-VPN Site-to-Site-Verbindungen

Letzte Anpassung zur Version: 11.8.7

Neu:

Defaultwert für Verschlüsselungs-Algorythmus geändert
Defaultwert für Hashverfahren geändert

Vorherige Versionen: 11.6.12, 11.7

Einleitung

Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.

Site to Site Server

Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.

Site to Site Client

Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.

Site to Site Konfiguration

Site to Site Server

Für die Einrichtung des S2S Server wird ein Server- und Client-Zertifikat benötigt.

Schritt 1 S2S Server

Installationsschritt 1

Menü → VPN →SSL-VPN Schaltfläche SSL-VPN Verbindung hinzufügen
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

Roadwarrior Server
Site to Site Server
Site to Site Client

Für die Konfiguration des Site to Site Server wird dieser ausgewählt.

Schritt 2 S2S Server

Installationsschritt 2

Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.

Schritt 3 S2S Server

Installationsschritt 3

Lokale Einstellungen für den Site to Site Server

Beschriftung	Wert	Beschreibung
Name:	S2S-server	Eindeutige Bezeichnung
Protokoll:	UDP	gewünschtes Protokoll
Serverzertifikat:	Server-Zertifikat	Auswahl des Zertifikates, mit dem der Server sich Authentifiziert Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit Erstellung einer CA im Reiter CA mit der Schaltfläche CA hinzufügen Erstellung eines Serverzertifikates im Reiter Zertifikate mit der Schaltfläche Zertifikat hinzufügen Bitte beachten: Serverzertifikat: Ein aktivieren Erstellung des Client-Zertifikates mit der Schaltfläche Zertifikat hinzufügen Beide Zertifikate müssen mit der selben CA erstellt werden! Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche exportiert werden. Zur Nutzung bei einer UTM als Client wird das PEM-Format benötigt. Weitere Hinweise im Wiki-Artikel zur Nutzung von Zertifikaten.
Servernetzwerke freigeben:	»192.168.175.0/24	An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.

Schritt 4 S2S Server

Installationsschritt 4

Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.

Beschriftung	Wert	Beschreibung
Transfer-Netzwerk:	192.168.190.0/24	Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
Server-Tunneladresse:	/32	Die Server- und Client-Tunneladresse wird automatisch ermittelt.
IPv4 Client-Tunneladresse:	/24

Schritt 5 S2S Server

Installationsschritt 5

Beschriftung	Wert	Beschreibung
Name:	S2S-client	Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet
Client-Zertifikat:	CC-S2S-Client-Network1	Zertifikat des Client-Netzwerks
Clientnetzwerke freigeben:	»192.168.174.0/24	Netzwerke der Gegenstelle, die freigegebn werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)

Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.

Weitere Client-Gegenstellen S2S Server

Übersicht der SSL-VPN-Verbindungen

Weitere Gegenstellen des S2S-SSL-.VPNs

Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.

Anzeige der Gegenstellen mit Klick auf das Ordnersymbol

Site to Site Client

Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.

Schritt 1 S2S Client

Installationsschritt 1

Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

Roadwarrior Server
Site to Site Server
Site to Site Client

Für die Konfiguration des Site to Site Client wird dieser ausgewählt.

Schritt 2 S2S Client

Installationsschritt 2

Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.

Schritt 3 S2S Client

Installationsschritt 3

Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.

Beschriftung	Wert	Beschreibung
Name:	S2S-client	Eindeutige Bezeichnung
Protokoll:	UDP	gewünschtes Protokoll Es muss das gleiche Protokoll, wie beim Site to Site Server ausgewählt werden.
Client-Zertifikat:	Client-Zertifikat	Auswahl des Zertifikates, mit dem der CLient sich Authentifiziert Hier muss das gleiche Zertifikat verwendet werden, daß beim Site to Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde. Wurde das Zertifikat auf dem S2S Server erstellt, muss es von dort exportiert und auf dem Client importiert werden werden.

Schritt 4 S2S Client

Dieser Installationsschritt entfällt beim Site to Site Client.

Schritt 5 S2S Client

Installationsschritt 5

Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site to Site Servers als Gegenstelle eingetragen. Die Portadresse mus mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden.
Ist der Port 1194, kann diese Angabe auch weggelassen werden.

Regelwerk

S2S Server & S2S Client

Implizierte Regeln

Unter → Firewall →Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.

Regeln und Routing

Die Regeln müssen im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.

Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.

Als Dienst muss der benötigte Dienst ausgewählt werden.

Route für Gegenstelle

Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.

Hinweise

Verschlüsselung

Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.

Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

Hashverfahren

Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.

Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

QoS

Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.

Multipath

Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden. Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden. Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden. Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.

Search Domain

Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.

DNS/WINS übermitteln

Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt. Eine Anleitung zum Einrichten des DNS-Relay finden Sie hier.

IPv6 für eingehende Verbindungen

In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.

Der transparente HTTP-Proxy

Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit dies nicht passiert muss ein Exclude mit der Quelle internal-network' zum Ziel name-vpn-netzwerk-objekt' und dem Protokoll HTTP erstellt werden.

@@ Zeile 58: / Zeile 58: @@
 {{Hinweis| !|g}} Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit {{Button||mw}} <br>
 * Erstellung einer CA im Reiter {{Reiter | CA}} mit der Schaltfläche {{Button | CA hinzufügen|+}}
-* Erstellung eines Serverzertifikates im Reiter {{Reiter| Zertifikate }} mit der Schaltfläche {{Reiter| Zertifikat hinzufügen |+}} {{Hinweis|!|g}} {{b|Serverzertifikat:}} {{ButtonAn|Ein}} aktivieren
+* Erstellung eines Serverzertifikates im Reiter {{Reiter| Zertifikate }} mit der Schaltfläche {{Reiter| Zertifikat hinzufügen |+}}<br>{{Hinweis|!|g}} Bitte beachten: {{b|Serverzertifikat:}} {{ButtonAn|Ein}} aktivieren
-* Erstellung des Client-Zertifikates mit der Schaltfläche {{Zertifikat hinzufügen|+}}
+* Erstellung des Client-Zertifikates mit der Schaltfläche {{Reiter | Zertifikat hinzufügen |+}}
 * {{Hinweis | !|g}} Beide Zertifikate müssen mit der selben CA erstellt werden!
 {{Hinweis| !|g}} Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche {{Button||d}} exportiert werden. Zur Nutzung bei einer UTM als Client wird das {{Button|PEM|dr}}-Format benötigt.