Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/SSL VPN-S2S v11.7.3: Unterschied zwischen den Versionen

Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
 
(93 dazwischenliegende Versionen von 10 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
 
{{DISPLAYTITLE:SSL-VPN Site-to-Site}}
== Einrichtung des SSL VPN Servers ==
{{Archivhinweis|UTM/VPN/SSL_VPN-S2S}}
 
== Informationen ==
=== Zertifikate ===
Letzte Anpassung zur Version: '''11.7.3'''
Als erstes benötigen Sie Zertifikate für das Openvpn, daher ist dies der erste Schritt den wir machen.
*Gehen Sie dafür auf Authentifizierung > Zertifikate.
*Erstellen Sie ihre CA.
**Klicken Sie auf "+ CA hinzufügen".
**Geben Sie dem CA einen Namen (Keine Leer- und/oder Sonderzeichen).
**Füllen Sie die anderen Felder entsprechend aus.
**Speichern Sie die CA.
*Gehen Sie danach auf die Registerkarte Zertifikate.
*Nun erstellen Sie ein Server und ein Client Zertifikat.
**Geben Sie den Zertifikat einen Namen (Keine Leer- und/oder Sonderzeichen).
**Wähen Sie unter CA das eben erstellte CA -Zertfikat aus.
**Füllen Sie die restlichen Felder aus.
**Alias bleibt auf "none".
**Speichern Sie das Zertifikat und wiederholen den Vorgang für das 2. Zertifikat.
*Speichern Sie die CA und das Client Zertifikat im PEM-Format auf Ihrem Rechner (Diese werden später auf den Client importiert).
<br>
<br>
Beim Export der CA wird nicht nur das Zertifikat, sondern auch der Private Key gespeichert.
Bemerkung: Hashingverfahren auswählbar.
Wenn Sie den Private Key nicht aus der PEM-Datei löschen und so an den Client weitergeben, kann der Client neue Zertifikate erstellen und diese mit der CA signieren. Sie könnten die so erstellten Zertifikate nicht von originalen, von Ihnen erstellten Zertifikaten unterscheiden.
 
[[Datei:oeffne_ca.jpeg|thumb|250px]]
*Suchen Sie die ''exportierte CA Datei'' heraus und klicken Sie mit der ''rechten Maustaste'' auf die Datei.
:Es öffnet sich ein Kontextmenü.  
<br>
<br>
 
Vorherige Versionen: [[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]], [[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.7]]
[[Datei:ca_oeffnen_mit.jpeg|thumb|250px|<font size="1">Programm zum Öffnen auswählen</font>]]
*Klicken Sie auf ''Öffnen''.
*Wählen Sie im nächsten Dialog ein Programm aus der Liste und bestätigen Sie die Wahl mit ''OK''.
*Wählen Sie aus der Liste einen ''Editor'' z.B. den Microsoft Editor.
*Entfernen Sie ggf. den Haken bei ''Dateityp immer mit dem ausgewählten Programm öffnen''.
*Bestätigen Sie mit ''OK''.
<br><br><br><br>
<br><br><br><br>
<br>
<br>


*Markieren Sie im Editor den Bereich ab -----BEGINN PRIVATE KEY----- bis zum Ende der Datei.
== Einleitung ==
*''Entfernen'' Sie den markierten Bereich (z.B. mit Drücken der Taste ''Entf '' bzw. ''del'' ).
Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes  explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
*''Speichern'' Sie dann die Datei.
===Site to Site Server===
[[Datei:ca_anzeigen.jpeg|left|thumb|250px|<font size="1">Private Key markieren und entfernen</font>]]
Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
[[Datei:ca_bearbeitet.jpeg|right|thumb|250px|<font size="1">bearbeitete CA speichern</font>]]
===Site to Site Client===
<br><br><br><br>
Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>
<br><br><br><br>


=== SSL VPN Server einrichten ===
==Site to Site konfiguration==
In der Version 11 haben Sie die Möglichkeit mehrere Instanzen vom Openvpn laufen zu lassen. Dadurch entfällt die manuelle Einstellung von Server und Client. In der V11 können Sie in der GUI mit einem Klick sagen ob Sie nun eine Client- oder eine Serverkonfiguration erstellen möchten.  
===Site to Site Server===
*Gehen Sie dafür als erstes auf VPN > SSL VPN
<div>
*Klicken Sie auf „Site-to-Site-Server“
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>
*Geben Sie dem Server einen Namen ein.
<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Für die Einrichtung des S2S Server wird ein Server- und Client-Zertifikat benötigt.</span></div>
*Wählen Sie das Protokoll aus.
</div>
*Der Port wird automatisch selbst gesetzt.
<div style="clear: both;"></div>
*Bei Zertifikat wählen Sie das Server Zertifikat aus, welches Sie erstellt haben.
*Als letztes geben Sie dem Server die IP 192.168.250.1/24.
*Klicken Sie auf weiter.
Nun erstellen Sie das Client Profil
*Wählen Sie das Client Zertifikat aus.
*Bestimmen Sie die IP des Clients 192.168.250.X/24 (x > 1, in der V11 stehen Ihnen alle IPs im Subnetz zur Verfügung, d.h. im /24 Netz haben Sie 253 IPs zur Auswahl.
*Als Subnetz geben Sie das Netzwerk hinter dem Client an.
*Klicken Sie auf weiter.
*Die MTU lassen Sie auf 1500.
*Klicken Sie auf fertig.


Überprüfen Sie ob der SSL VPN Server gestartet ist.
====Schritt 1====
Dies machen Sie über Anwendungen > Anwendungsstatus.
[[Datei:Utm_ssl-vpn_s2s01.png|thumb|300px|Installationsschritt 1]]
Hat der Dienst "SSL-VPN" eine grüne Lampe, so ist dieser gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet das der Server aus ist).
<br>
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
*Roadwarrior Server
*'''Site to Site Server'''
*Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
<div style="clear: both;"></div>
====Schritt 2====
[[Datei:Utm_ssl-vpn_roadwarrior02.png |200px|thumb|right| Installationsschritt 2]]
<br>
Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.
<div style="clear: both;"></div>
====Schritt 3====
[[Datei:Utm_ssl-vpn_s2s03.png|thumb|300px|Installationsschritt 3]]
<br>
Lokale Einstellungen für den Site to Site Server können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll und Port ausgewählt, ein Serverzertifikat gewählt - durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat erstellt werden - und die Servernetzwerke freigegeben werden.
<div style="clear: both;"></div>
====Schritt 4====
[[Datei:Utm_ssl-vpn_s2s04.png|thumb|300px|Installationsschritt 4]]
<br>
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.  Die Server- und Client-Tunneladresse wird automatisch ausgewählt.
<div style="clear: both;"></div>
====Schritt 5====
[[Datei:Utm_ssl-vpn_s2s05.png|thumb|300px|Installationsschritt 5]]
<br>
Das Client-Zertifikat muss ausgewählt und die Clientnetzwerke freigegeben werden.
<div style="clear: both;"></div>
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Das ausgewählte Zertifikat sollte an keinen anderen Client verwendet werden.</span></div>
</div>
<div style="clear: both;"></div>
====Weitere Client-Gegenstellen====
[[Datei:Utm_ssl-vpn_s2s06.png|thumb|300px|Installationsschritt 5]]
<br>
Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über das "+" hinzugefügt werden.
<div style="clear: both;"></div>
===Site to Site Client===
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>
<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.</span></div>
</div>
<div style="clear: both;"></div>


=== Routen ===
====Schritt 1====
*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
[[Datei:Utm_ssl-vpn_s2s01b.png|thumb|300px|Installationsschritt 1]]
*Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
<br>
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
*Roadwarrior Server
*Site to Site Server
*'''Site to Site Client'''
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
<div style="clear: both;"></div>
====Schritt 2====
[[Datei:Utm_ssl-vpn_roadwarrior02.png |200px|thumb|right| Installationsschritt 2]]
<br>
Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.
<div style="clear: both;"></div>
====Schritt 3====
[[Datei:Utm_ssl-vpn_s2s07.png |300px|thumb|right| Installationsschritt 3]]
<br>
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
<div style="clear: both;"></div>
====Schritt 4====
Dieser Installationsschritt entfällt.
====Schritt 5====
[[Datei:Utm_ssl-vpn_s2s08.png |300px|thumb|right| Installationsschritt 5]]
<br>
Im Schritt 5 wird die Remotegateway IP-Adresse oder SPDyn-Adresse an.
<div style="clear: both;"></div>
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Wenn der Port nicht 1194 ist, muss dieser hinter die Adresse gesetzt werden.</span></div>
</div>
<div style="clear: both;"></div>
===Regelwerk===
[[Datei:Utm_ssl-vpn_roadwarrior10.png|thumb|300px|Implizierte Regeln]]
<br>
Unter Firewall -> Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
<div style="clear: both;"></div>
====Regeln und Routing====
[[Datei:Utm ssl-vpn regel.png|center|1100px|SSLVPN Regeln für eine S2S Verbindung]]
<br>
Die Regeln müssen im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
<div style="clear: both;"></div>
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.</span></div>
</div>
<div style="clear: both;"></div>




=== Regelwerk ===
<div>
*Gehen Sie auf Firewall > Implied Rules > VPN
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
*Setzen Sie den Haken bei Openvpn UDP (sollten Sie bei der Einrichtung des Servers als Protokoll TCP ausgewählt haben, dann müssen Sie den Haken bei Openvpn TCP setzen und nicht bei UDP)
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Als Dienst muss der benötigte Dienst ausgewählt werden.</span></div>
*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
</div>
*Erstellen Sie ein Netzwerkobjekt für das Clientnetzwerk (Remotenetzwerk).
<div style="clear: both;"></div>
*Geben Sie einen Namen an
*Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
*Als Typ wählen Sie Netzwerk aus
*Die Zone lautet vpn-openvpn-<Name des Remote Client Profils>


Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter<br>
Erstellen Sie nun das Regelwerk <br>
Internal Network > <Ihre angelegtes Objekt> > any > ACCEPT<br>
<Ihr angelegtes Objekt> > Internal Network > any > ACCEPT<br>


== Einrichtung des Clients ==
[[Datei:Utm ssl-vpn route.png|right|Route für Gegenstelle|thumb ]]
<br>
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.
<div style="clear: both;"></div>


===Zertifikate===
===Hinweise===
*Gehen Sie auf Authentifizierung > Zertifikate
====Verschlüsselung====
*Importieren Sie die CA und das Client Zertifikat.
Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich</span></div>
</div>
<div style="clear: both;"></div>
====Hashverfahren====
Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich</span></div>
</div>
<div style="clear: both;"></div>
====QoS====
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.
====Multipath====
Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden.
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl '''openvpn get''' die ID der Verbindung ausfindig gemacht werden. Über den Befehl '''openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES''' kann dann die ausgehende IP gesetzt werden.
Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.


===SSL VPN===
====Search Domain====
*Gehen Sie auf VPN > SSL VPN
Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.
*Klicken Sie auf „Site-to-Site Client“
====DNS/WINS übermitteln====
*Geben Sie der Verbindungen einen Namen.
Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt.
*Geben Sie den Remotehost an.
Eine Anleitung zum Einrichten des DNS-Relay finden Sie [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | hier.]]
*Wählen Sie das Protokoll aus (muss mit dem Protokoll vom Server übereinstimmen)
*Wählen Sie das Client Zertifikat aus.
*Klicken Sie auf Weiter
*Belassen Sie die MTU auf 1500 (ansonsten muss dies auf den Wert des Servers eingestellt werden)
*Klicken Sie auf Fertig
 
Überprüfen Sie ob der SSL Server gestartet ist
Dies machen Sie über Anwendungen > Anwendungsstatus.
Hat SSL-VPN eine grüne Lampe, dann ist der Dienst gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet das der Server aus ist).
 
===Routen===
*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
*Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
 
===Regelwerk===
*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
*Erstellen Sie ein Netzwerkobjekt für das Servernetzwerk (Remotenetzwerk).
*Geben Sie einen Namen an
*Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit *Netzwerkobjektgruppen zu bilden.
*Als Typ wählen sie Netzwerk aus
*Die Zone ist vpn-openvpn-<Name des Openvpn Servers>


Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter
====IPv6 für eingehende Verbindungen====
Erstellen Sie nun das Regelwerk
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.


Internal Network > <Ihre angelegtes Objekt> > any > ACCEPT
====Der transparente HTTP-Proxy====
<Ihr angelegtes Objekt> > Internal Network > any > ACCEPT
Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit dies nicht passiert muss ein '''Exclude''' mit der Quelle '''internal-network'''' zum Ziel '''name-vpn-netzwerk-objekt'''' und dem Protokoll '''HTTP''' erstellt werden.

Aktuelle Version vom 5. Februar 2020, 14:49 Uhr





notempty
Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty
Der Artikel für die neueste Version steht hier

notempty
Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

Informationen

Letzte Anpassung zur Version: 11.7.3
Bemerkung: Hashingverfahren auswählbar.
Vorherige Versionen: 11.6.12, 11.7

Einleitung

Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.

Site to Site Server

Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.

Site to Site Client

Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.

Site to Site konfiguration

Site to Site Server

Alert-red.png
Für die Einrichtung des S2S Server wird ein Server- und Client-Zertifikat benötigt.

Schritt 1

Installationsschritt 1


Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

  • Roadwarrior Server
  • Site to Site Server
  • Site to Site Client

Für die Konfiguration des Site to Site Server wird dieser ausgewählt.

Schritt 2

Installationsschritt 2


Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.

Schritt 3

Installationsschritt 3


Lokale Einstellungen für den Site to Site Server können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll und Port ausgewählt, ein Serverzertifikat gewählt - durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat erstellt werden - und die Servernetzwerke freigegeben werden.

Schritt 4

Installationsschritt 4


Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen. Die Server- und Client-Tunneladresse wird automatisch ausgewählt.

Schritt 5

Installationsschritt 5


Das Client-Zertifikat muss ausgewählt und die Clientnetzwerke freigegeben werden.

Alert-yellow.png
Das ausgewählte Zertifikat sollte an keinen anderen Client verwendet werden.

Weitere Client-Gegenstellen

Installationsschritt 5


Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über das "+" hinzugefügt werden.

Site to Site Client

Alert-red.png
Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.

Schritt 1

Installationsschritt 1


Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

  • Roadwarrior Server
  • Site to Site Server
  • Site to Site Client

Für die Konfiguration des Site to Site Client wird dieser ausgewählt.

Schritt 2

Installationsschritt 2


Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.

Schritt 3

Installationsschritt 3


Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.

Schritt 4

Dieser Installationsschritt entfällt.

Schritt 5

Installationsschritt 5


Im Schritt 5 wird die Remotegateway IP-Adresse oder SPDyn-Adresse an.

Alert-yellow.png
Wenn der Port nicht 1194 ist, muss dieser hinter die Adresse gesetzt werden.

Regelwerk

Implizierte Regeln


Unter Firewall -> Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.

Regeln und Routing

SSLVPN Regeln für eine S2S Verbindung


Die Regeln müssen im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.

Alert-yellow.png
Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.


Alert-yellow.png
Als Dienst muss der benötigte Dienst ausgewählt werden.


Route für Gegenstelle


Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.

Hinweise

Verschlüsselung

Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.

Alert-yellow.png
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

Hashverfahren

Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.

Alert-yellow.png
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

QoS

Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.

Multipath

Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden. Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden. Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden. Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.

Search Domain

Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.

DNS/WINS übermitteln

Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt. Eine Anleitung zum Einrichten des DNS-Relay finden Sie hier.

IPv6 für eingehende Verbindungen

In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.

Der transparente HTTP-Proxy

Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit dies nicht passiert muss ein Exclude mit der Quelle internal-network' zum Ziel name-vpn-netzwerk-objekt' und dem Protokoll HTTP erstellt werden.

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-S2S_v11.7.3&oldid=68585“