UTM/VPN/IPSec-S2S: Unterschied zwischen den Versionen

Version vom 15. Januar 2024, 14:59 Uhr

Weiterleitung nach:

UTM/VPN/IPSec-S2S v12.5

Preview1260

| Note on Config_mode for NCP or Greenbow clients }}

IPSec Verbindungen Site-to-Site

Letzte Anpassung zur Version: 12.6.0

Neu:

Aktualisierung zum Redesign des Webinterfaces
Hinweis zu ESP und UDP 500/4500
IKEv2 Lifetime und Rekeying werden ggf. automatisch getauscht (v12.5)
Schwache Algorithmen werden in den Auswahldialogen nur nach ausdrücklicher Aktivierung angezeigt (IKEv1 und IKEv2) (v12.5)

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.5 12.4 12.2.5 12.2.3 12.2 11.7 11.6.12

Einleitung

Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander.
Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle.

Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.

Vorbereitung

Sollte vor der Securepoint Appliance ein Router (z.B: Fritz!Box oder Speedport) stehen, muss dort gewährleistet sein, dass ESP und UDP 500/ 4500 aktiv ist. Siehe Beispiel-Konfiguration mit einer Fritz!Box.

Konfiguration einer IPSec Site-to-Site Verbindung

Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann im Menü VPN IPSec Schaltfläche + IPSec Verbindung hinzufügen eine IPSec Verbindung hinzugefügt werden.

Einrichtungsassistent

Schritt 1 - Verbindungstyp
Beschriftung	Wert	Beschreibung	IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec Einrichtungsschritt 1
Auswahl des Verbindungs-Typs:	Es stehen folgende Verbindungen zur Verfügung. Roadwarrior Site to Site	Für die Konfiguration einer Site to Site Verbindung wird eben diese ausgewählt.

Schritt 2 - Allgemein
Name:	IPSec S2S	Name für die Verbindung	Einrichtungsschritt 2
IKE Version:	IKE v1IKE v2 Default: IKEv2	Auswahl der IKE Version. Ohne diese Option wird für jede Subnetzkombination eine eigene SA ausgehandelt. Dies hat besonders bei vielen SAs deutliche Nachteile und führt durch das Design des IPSec-Protokolls zu Limitierungen und zu Einbußen in der Stabilität der Verbindungen. Diese Option kann auch nachträglich bei der Bearbeitung der Konfiguration der Phase 2 mit dem Eintrag Subnetzkombinationen gruppieren konfiguriert werden.

Schritt 3 - Lokal
Local Gateway ID:	Beliebiges Interface	Beliebige Zeichenfolge. Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein. Auf der Gegenstelle muss dieser Wert exakt genau so konfiguriert werden. Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (Aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt Wird bei Authentifizierungsmethode Zertifikat nach Zertifikatsauswahl automatisch ausgefüllt.	Einrichtungsschritt 3
Authentifizierungsmethode:	Pre-Shared Key	Ein Pre-Shared Key wird verwendet
Authentifizierungsmethode:	Zertifikat	Ein Zertifikat wird verwendet
Pre-Shared Key Bei Authentifizierungsmethode Pre-Shared Key.		Ein beliebiger PSK
		Erstellt einen sehr starken Schlüssel
		Kopiert den PSK in die Zwischenablage
X.509 Zertifikat: Bei Authentifizierungsmethode Zertifikat.	Server-Zertifikat	Auswahl eines Zertifikates Dieses Zertifikat muss zuvor unter Authentifizierung Zertifikate erstellt werden.
Netzwerke freigeben:	»192.168.122.0/24

Schritt 4 - Gegenstelle
Remote Gateway:	192.0.2.192	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle	Einrichtungsschritt 4
Remote Gateway ID:	192.0.2.192	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge)
Netzwerke freigeben:	»192.168.192.0/24
Beenden des Einrichtungsassistenten mit Fertig
Bei S2S-Verbindungen sollte geprüft werden, ob sich mehrere Subnetze per MULTI_TRAFFIC_SELECTOR zusammen fassen lassen. Damit wird die Anzahl der SAs signifikant reduziert und die Stabilität der Verbindung erhöht. Dazu wird in Phase 2 die Option Subnetzkombinationen gruppieren aktiviert.

Weitere Einstellungen

Neben den Einstellungen, die auch schon im Assistenten festgelegt wurden, lassen sich weitere Parameter konfigurieren:

IKEv1

Beschriftung	Wert	Beschreibung
Phase 1
VPN IPSec Bereich Verbindungen Schaltfläche Phase 1 Allgemein Allgemein
Beschriftung	Wert	Beschreibung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein
Beliebige Remote-Adressen erlauben:	Ein Default	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Startverhalten:	Outgoing	Der Tunnel wird von der UTM initiiert, auch wenn keine Pakete gesendet werden. Eingehende Anfragen werden entgegen genommen.
	Incoming Default wenn Remote Host beliebig	Die UTM nimmt eingehende Tunnelanfragen entgegen. Ausgehend wird keine Verbindung erstellt.
	Route Default wenn Remote Host benannt	Der Tunnel wird von der UTM nur dann initiiert, wenn Pakete gesendet werden sollen.notempty Wird nur als Default-Wert gesetzt, wenn als Remote Host / Gateway nicht Beliebige Gegenstelle ausgewählt ist.
	Route Default wenn Remote Host benannt	Der Tunnel wird von der UTM nur dann initiiert, wenn Pakete gesendet werden sollen.notempty Wird nur als Default-Wert gesetzt, wenn als Remote Host / Gateway nicht Beliebige Gegenstelle ausgewählt ist.
Ignore	Deaktiviert den Tunnel
Verkehr generieren: Bei Startverhalten Route	Ein	Verhindert unerwünschte Verbindungsabbrüche, wenn kein Datenverkehr stattfindet
Dead Peer Detection:	Ein	Überprüft in einem festgelegtem Intervall, ob der Tunnel noch besteht. Wurde der Tunnel unerwartet beendet, werden die SAs abgebaut. (Nur dann ist es auch möglich einen neuen Tunnel wieder herzustellen.) Bei Deaktivierung wird automatisch auch die Option Neustart nach Abbruch in Phase 2 deaktiviert.
DPD Timeout:	30 Sekunden	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird Unter IKEv2 steht dieser Parameter nicht zur Verfügung. Hier werden die gleichen Werte verwendet, wie für normale Pakete.
DPD Intervall:	10 Sekunden	Intervall der Überprüfung
Compression:	Aus	Kompression wird nicht von allen Gegenstellen unterstützt
MOBIKE aktivieren:	Ja	Dient zur Deaktivierung der MOBIKE Option Die Deaktivierung verhindert, dass verschlüsselte Daten von einer Gegenstelle zusätzlich in 4500udp gekapselt werden, was zu Problemen in der Kommunikation führt.

Abschnitt IKE Einstellungen, die in der UTM und im Client identisch sein müssen: IKE
Beschriftung	Default UTM	Default NCP Client	Phase 1 IKEv1	Phase 1 IKEv2
Verschlüsselung:	»aes128	AES 128 Bit
Authentifizierung:	»sha2_256	Hash: SHA2 256 Bit
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Aktuelle Kombinationen:	aes128-sha2_256-ecp521

Abschnitt IKE Weitere Einstellungen:
Strict:	Aus	Die konfigurierten Parameter (Authentisierungs- und Verschlüsselungsalgorithmen) werden bevorzugt für Verbindungen verwendet
Strict:	Ein	Es werden keine weiteren Proposals akzeptiert. Eine Verbindung ist nur mit den konfigurierten Parametern möglich.
IKE Lifetime:	Aus 3 Stunden	Gültigkeitsdauer der Security Association: Vereinbarung zwischen zwei kommunizierenden Einheiten in Rechnernetzen. Sie beschreibt, wie die beiden Parteien Sicherheitsdienste anwenden, um sicher miteinander kommunizieren zu können. Beim Einsatz mehrerer Dienste müssen auch mehrere Sicherheitsverbindungen aufgebaut werden. (Quelle: Wikipedia 2022) in Phase 1 Kann zusätzlich zu IKE Rekeytime aktiviert Ein werden. Wird die Lifetime gesetzt, muss der Wert größer als die Rekeytime sein.
IKE Lifetime:	1 Stunde	Gültigkeitsdauer der Security Association: Vereinbarung zwischen zwei kommunizierenden Einheiten in Rechnernetzen. Sie beschreibt, wie die beiden Parteien Sicherheitsdienste anwenden, um sicher miteinander kommunizieren zu können. Beim Einsatz mehrerer Dienste müssen auch mehrere Sicherheitsverbindungen aufgebaut werden. (Quelle: Wikipedia 2022) in Phase 1
IKE Rekeytime:	2 Stunden	Die Gültigkeitsdauer, in der die Verbindung hergestellt wird (initial oder nach Abbruch)
IKE Rekeytime:	notempty Ab der Version 12.5.0 wird bei bereits bestehenden Verbindungen, die keine Rekeytime gesetzt haben an dieser Stelle der Wert der Lifetime eingetragen und der Wert der Lifetime auf 0 gesetzt. Dies erhöht die Stabilität der Verbindung signifikant und sollte keinerlei Nachteile mit sich bringen. Wurde bereits ein Wert für die Rekeytime gesetzt (möglich ab v12.4) wird keine Änderung vorgenommen. Beispiel: Aktive Version: ike_lifetime = 2 ike_rekeytime = 0 Nach Update: ike_lifetime = 0 ike_rekeytime = 2 ---- Aktive Version: ike_lifetime = 2 ike_rekeytime = 1 Nach Update: (ohne Änderung) ike_lifetime =2 ike_rekeytime = 1
Rekeying:	unbegrenzt (empfohlen)	Anzahl der Versuche, um die Verbindung herzustellen (initial oder nach Abbruch) Bei E2S-Verbindungen (Roadwarrior) kann die Einstellung 3 mal vermeiden, daß endlos versucht wird eine Verbindung zu nicht korrekt abgemeldeten Geräten herzustellen

Phase 2
VPN IPSec Bereich Verbindungen Schaltfläche Phase 2 Allgemein Abschnitt Allgemein Einstellungen, die in der UTM und im Client identisch sein müssen:
Beschriftung	Default UTM	Default NCP Client	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv1 / Roadwarrior	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv2 / Roadwarrior	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv1 / S2S	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv2 / S2S
Verschlüsselung:	»aes128	AES 128 Bit
Authentifizierung:	»sha2_256	SHA2 256 Bit
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Aktuelle Kombinationen:	aes128-sha2_256-ecp521
Schlüssel-Lebensdauer:	8 Stunden	Schlüssel Lebensdauer in Phase 2
Austausch-Modus:	Main Mode (nicht konfigurierbar)	Aggressive Mode (IKEv1) Muss im NCP-Client auf Main Mode geändert werden! Die UTM unterstützt aus Sicherheitsgründen keinen Aggressive Mode.
Neustart nach Abbruch:	Nein	Wurde die Verbindung unerwartet beendet wird bei Aktivierung der Zustand, der unter Startverhalten in Phase 1 konfiguriert wurde wiederhergestellt. Es wird automatisch die Dead Peer Detection in Phase 1 aktiviert.
Subnetzkombinationen gruppieren:	Ja Wird das Gruppieren von der Gegenstelle nicht unterstützt, wird trotz gegenteiliger Statusanzeige in der Übersicht nur das erste Subnetz verbunden.	Sind auf lokaler Seite oder auf der Gegenstelle mehr als ein Netz konfiguriert, wird bei Deaktivierung für jede Subnetzkombination eine eigene SA ausgehandelt. Dies hat besonders bei mehreren Subnetzen viele Subnetzkombinationen und damit viele SAs zur Folge und führt durch das Design des IPSec-Protokolls zu Limitierungen und zu Einbußen in der Stabilität der Verbindungen.
DHCP:	Aus	Bei Aktivierung erhalten die Clients IP-Adressen aus einem lokalen Netz. Dazu sind weitere Konfigurationen erforderlich, siehe Wiki Artikel zu DHCP für IPSec.

Subnetze Abschnitt Subnetze
	Szenario: Alle Subnetze haben untereinander Zugriff Durch den Assistenten wird automatisch jedes lokale Netz mit jedem remote Netz verbunden. Mit einem SSH-Login als root lässt sich das Verhalten besonders gut nachvollziehen. Beispiel mit jeweils zwei Subnetzen. Subnetzkombinationen gruppieren Aktiviert Ein `root@firewall:~# swanctl --list-conns` `IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24` Subnetzkombinationen gruppieren Deaktiviert Aus `root@firewall:~# swanctl --list-conns` IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24 IPSec$20S2S_7: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.193.0/24	Alle Subnetze haben untereinander Zugriff

	Szenario: Nicht alle Subnetze dürfen auf jedes Netz der Gegenstelle zugreifen Wird in Phase zwei ein lokales Netzwerk nicht mit allen remote Netzwerken (oder ein remote Netzwerk nicht mit allen lokalen) verbunden, wird das bei aktiver Option Subnetkombiantionen gruppieren nicht berücksichtigt! notempty Durch die Option Subnetzkombinationen gruppieren werden alle lokalen Netzwerke mit allen remote Netzwerken verbunden! notempty Portfilterregeln ermöglichen es, den Zugriff zu steuern. Mit einem SSH-Login als root lässt sich das Verhalten besonders gut nachvollziehen. Beispiel mit jeweils zwei Subnetzen. Subnetzkombinationen gruppieren Aktiviert Ein `root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s` `local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24` Subnetzkombinationen gruppieren Deaktiviert Aus `root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s` `local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24`	Das zweite lokale Subnetz wird nur mit einem remote Subnetz verbunden

Troubleshooting

Detaillierte Hinweise zum Troubleshooting finden sich im Troubleshooting-Guide.
Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt.

IKEv2

Beschriftung	Wert	Beschreibung
Phase 1
VPN IPSec Bereich Verbindungen Schaltfläche Phase 1 Allgemein Allgemein
Beschriftung	Wert	Beschreibung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 1 Allgemein
Beliebige Remote-Adressen erlauben:	Ein Default	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Startverhalten:	Outgoing	Der Tunnel wird von der UTM initiiert, auch wenn keine Pakete gesendet werden. Eingehende Anfragen werden entgegen genommen.
	Incoming Default wenn Remote Host beliebig	Die UTM nimmt eingehende Tunnelanfragen entgegen. Ausgehend wird keine Verbindung erstellt.
	Route Default wenn Remote Host benannt	Der Tunnel wird von der UTM nur dann initiiert, wenn Pakete gesendet werden sollen.notempty Wird nur als Default-Wert gesetzt, wenn als Remote Host / Gateway nicht Beliebige Gegenstelle ausgewählt ist.
	Route Default wenn Remote Host benannt	Der Tunnel wird von der UTM nur dann initiiert, wenn Pakete gesendet werden sollen.notempty Wird nur als Default-Wert gesetzt, wenn als Remote Host / Gateway nicht Beliebige Gegenstelle ausgewählt ist.
Ignore	Deaktiviert den Tunnel
Verkehr generieren: Bei Startverhalten Route	Ein	Verhindert unerwünschte Verbindungsabbrüche, wenn kein Datenverkehr stattfindet
Dead Peer Detection:	Ein	Überprüft in einem festgelegtem Intervall, ob der Tunnel noch besteht. Wurde der Tunnel unerwartet beendet, werden die SAs abgebaut. (Nur dann ist es auch möglich einen neuen Tunnel wieder herzustellen.) Bei Deaktivierung wird automatisch auch die Option Neustart nach Abbruch in Phase 2 deaktiviert.
DPD Timeout:	30 Sekunden	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird Unter IKEv2 steht dieser Parameter nicht zur Verfügung. Hier werden die gleichen Werte verwendet, wie für normale Pakete.
DPD Intervall:	10 Sekunden	Intervall der Überprüfung
Compression:	Aus	Kompression wird nicht von allen Gegenstellen unterstützt
MOBIKE aktivieren:	Ja	Dient zur Deaktivierung der MOBIKE Option Die Deaktivierung verhindert, dass verschlüsselte Daten von einer Gegenstelle zusätzlich in 4500udp gekapselt werden, was zu Problemen in der Kommunikation führt.

Abschnitt IKE Einstellungen, die in der UTM und im Client identisch sein müssen: IKE
Beschriftung	Default UTM	Default NCP Client	Phase 1 IKEv1	Phase 1 IKEv2
Verschlüsselung:	»aes128	AES 128 Bit
Authentifizierung:	»sha2_256	Hash: SHA2 256 Bit
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Aktuelle Kombinationen:	aes128-sha2_256-ecp521

Abschnitt IKE Weitere Einstellungen:
Strict:	Aus	Die konfigurierten Parameter (Authentisierungs- und Verschlüsselungsalgorithmen) werden bevorzugt für Verbindungen verwendet
Strict:	Ein	Es werden keine weiteren Proposals akzeptiert. Eine Verbindung ist nur mit den konfigurierten Parametern möglich.
IKE Lifetime:	Aus 3 Stunden	Gültigkeitsdauer der Security Association: Vereinbarung zwischen zwei kommunizierenden Einheiten in Rechnernetzen. Sie beschreibt, wie die beiden Parteien Sicherheitsdienste anwenden, um sicher miteinander kommunizieren zu können. Beim Einsatz mehrerer Dienste müssen auch mehrere Sicherheitsverbindungen aufgebaut werden. (Quelle: Wikipedia 2022) in Phase 1 Kann zusätzlich zu IKE Rekeytime aktiviert Ein werden. Wird die Lifetime gesetzt, muss der Wert größer als die Rekeytime sein.
IKE Lifetime:	1 Stunde	Gültigkeitsdauer der Security Association: Vereinbarung zwischen zwei kommunizierenden Einheiten in Rechnernetzen. Sie beschreibt, wie die beiden Parteien Sicherheitsdienste anwenden, um sicher miteinander kommunizieren zu können. Beim Einsatz mehrerer Dienste müssen auch mehrere Sicherheitsverbindungen aufgebaut werden. (Quelle: Wikipedia 2022) in Phase 1
IKE Rekeytime:	2 Stunden	Die Gültigkeitsdauer, in der die Verbindung hergestellt wird (initial oder nach Abbruch)
IKE Rekeytime:	notempty Ab der Version 12.5.0 wird bei bereits bestehenden Verbindungen, die keine Rekeytime gesetzt haben an dieser Stelle der Wert der Lifetime eingetragen und der Wert der Lifetime auf 0 gesetzt. Dies erhöht die Stabilität der Verbindung signifikant und sollte keinerlei Nachteile mit sich bringen. Wurde bereits ein Wert für die Rekeytime gesetzt (möglich ab v12.4) wird keine Änderung vorgenommen. Beispiel: Aktive Version: ike_lifetime = 2 ike_rekeytime = 0 Nach Update: ike_lifetime = 0 ike_rekeytime = 2 ---- Aktive Version: ike_lifetime = 2 ike_rekeytime = 1 Nach Update: (ohne Änderung) ike_lifetime =2 ike_rekeytime = 1
Rekeying:	unbegrenzt (empfohlen)	Anzahl der Versuche, um die Verbindung herzustellen (initial oder nach Abbruch) Bei E2S-Verbindungen (Roadwarrior) kann die Einstellung 3 mal vermeiden, daß endlos versucht wird eine Verbindung zu nicht korrekt abgemeldeten Geräten herzustellen

Phase 2
VPN IPSec Bereich Verbindungen Schaltfläche Phase 2 Allgemein Abschnitt Allgemein Einstellungen, die in der UTM und im Client identisch sein müssen:
Beschriftung	Default UTM	Default NCP Client	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv1 / Roadwarrior	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv2 / Roadwarrior	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv1 / S2S	Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec Phase 2 / Abschnitt Allgemein mit / IKEv2 / S2S
Verschlüsselung:	»aes128	AES 128 Bit
Authentifizierung:	»sha2_256	SHA2 256 Bit
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Diffie-Hellman Gruppe:	»ecp521	IKE DH-Gruppe: DH2 (modp1024)
Aktuelle Kombinationen:	aes128-sha2_256-ecp521
Schlüssel-Lebensdauer:	8 Stunden	Schlüssel Lebensdauer in Phase 2
Austausch-Modus:	Main Mode (nicht konfigurierbar)	Aggressive Mode (IKEv1) Muss im NCP-Client auf Main Mode geändert werden! Die UTM unterstützt aus Sicherheitsgründen keinen Aggressive Mode.
Neustart nach Abbruch:	Nein	Wurde die Verbindung unerwartet beendet wird bei Aktivierung der Zustand, der unter Startverhalten in Phase 1 konfiguriert wurde wiederhergestellt. Es wird automatisch die Dead Peer Detection in Phase 1 aktiviert.
Subnetzkombinationen gruppieren:	Ja Wird das Gruppieren von der Gegenstelle nicht unterstützt, wird trotz gegenteiliger Statusanzeige in der Übersicht nur das erste Subnetz verbunden.	Sind auf lokaler Seite oder auf der Gegenstelle mehr als ein Netz konfiguriert, wird bei Deaktivierung für jede Subnetzkombination eine eigene SA ausgehandelt. Dies hat besonders bei mehreren Subnetzen viele Subnetzkombinationen und damit viele SAs zur Folge und führt durch das Design des IPSec-Protokolls zu Limitierungen und zu Einbußen in der Stabilität der Verbindungen.
DHCP:	Aus	Bei Aktivierung erhalten die Clients IP-Adressen aus einem lokalen Netz. Dazu sind weitere Konfigurationen erforderlich, siehe Wiki Artikel zu DHCP für IPSec.

Subnetze Abschnitt Subnetze
	Szenario: Alle Subnetze haben untereinander Zugriff Durch den Assistenten wird automatisch jedes lokale Netz mit jedem remote Netz verbunden. Mit einem SSH-Login als root lässt sich das Verhalten besonders gut nachvollziehen. Beispiel mit jeweils zwei Subnetzen. Subnetzkombinationen gruppieren Aktiviert Ein `root@firewall:~# swanctl --list-conns` `IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24` Subnetzkombinationen gruppieren Deaktiviert Aus `root@firewall:~# swanctl --list-conns` IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24 IPSec$20S2S_7: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.193.0/24	Alle Subnetze haben untereinander Zugriff

	Szenario: Nicht alle Subnetze dürfen auf jedes Netz der Gegenstelle zugreifen Wird in Phase zwei ein lokales Netzwerk nicht mit allen remote Netzwerken (oder ein remote Netzwerk nicht mit allen lokalen) verbunden, wird das bei aktiver Option Subnetkombiantionen gruppieren nicht berücksichtigt! notempty Durch die Option Subnetzkombinationen gruppieren werden alle lokalen Netzwerke mit allen remote Netzwerken verbunden! notempty Portfilterregeln ermöglichen es, den Zugriff zu steuern. Mit einem SSH-Login als root lässt sich das Verhalten besonders gut nachvollziehen. Beispiel mit jeweils zwei Subnetzen. Subnetzkombinationen gruppieren Aktiviert Ein `root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s` `local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24` Subnetzkombinationen gruppieren Deaktiviert Aus `root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s` `local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24`	Das zweite lokale Subnetz wird nur mit einem remote Subnetz verbunden

Troubleshooting

Detaillierte Hinweise zum Troubleshooting finden sich im Troubleshooting-Guide.
Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt.

Regelwerk

Um den Zugriff, auf das interne Netz zu gewähren muss die Verbindung erlaubt werden.

Es ist möglich, aber nicht empfehlenswert dies mit impliziten Regeln unter Firewall Implizite Regeln Abschnitt VPN zu konfigurieren. Diese Impliziten Regeln geben die Ports, die für IPSec Verbindungen genutzt werden, jedoch auf allen Schnittstellen frei.			Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall Implizite Regeln
notempty Grundsätzlich gilt: Es wird nur das freigegeben, was benötigt wird und nur für denjenigen, der es benötigt!
Netzwerkobjekt anlegen Es muss ein Netzwerkobjekt für das entfernte Netz erstellt werden. Firewall Netzwerkobjekte Schaltfläche Objekt hinzufügen Existieren mehrere Subnetze auf der Gegenstelle, muss für jedes Subnetz ein Netzwerkobjekt angelegt werden. Wenn die entsprechenden Berechtigungen vergeben werden sollen, lassen sich diese zu Netzwerkgruppen zusammenfassen.
Name:	IPSec-S2S	Name für das IPSec-S2S-Netzwerkobjekt	Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte
Typ:	VPN-Netzwerk	zu wählender Typ
Adresse:	192.168.192.0/24	Die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite, wie im Installationsassistenten in Schritt 4 - Gegenstelle in der Zeile Netzwerke freigeben eingetragen wurde. In diesem Beispiel also das Netzwerk 192.168.192.0/24.
Zone:	vpn-ipsec	zu wählende Zone
Gruppe:		Optional: Eine oder mehrere Gruppen, zu denen das Netzwerkobjekt gehört.

Paketfilter Regeln


Erste Regel
Quelle:	internal-network	Host oder Netzwerk (-Pool), der Zugriff auf das interne Netz bekommen soll	Paketfilter UTMbenutzer@firewall.name.fqdnFirewall Regeln aktualisieren Paketfilter-Regel
Ziel:	IPSec-Netzwerk	Host, Netzwerk oder Netzwerkgruppe, auf die der Zugriff gewährt werden soll. Hier z.B. eine Gruppe von rdp-Servern.
Dienst:	benötigter Dienst	Dienst oder Dienstgruppe, die benötigt wird
NAT:	Hidenat Exclude
Netzwerkobjekte:	external-interface

Zweite Regel
Quelle:	IPSec-Netzwerk	Host oder Netzwerk (-Pool), der Zugriff auf das interne Netz bekommen soll
Ziel:	internal-network	Ziel
Dienst:	benötigter Dienst	Dienst oder Dienstgruppe, die benötigt wird
NAT:		Kein NAT

Konfiguration des zweiten Gateways

notempty

Es ist zu beachten, dass die IKE-Version auf beiden Seiten identisch ist.

Verwendung einer Securepoint UTM

Auf der entfernten Appliance müssen die Einstellungen analog vorgenommen werden

Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt
Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt
Paketfilterregeln werden erstellt.

Gegenstelle Schritt 2

Es muss die gleiche Authentifizierungsmethode gewählt werden
Es muss der gleiche Authentifizierungs-Schlüssel (PSK, Zertifikat, RSA-Schlüssel) vorliegen
Es muss die gleiche IKE-Version verwendet werden

Gegenstelle Schritt 3

Als Local Gateway ID muss nun die Remote Gateway ID aus Schritt 4 der ersten UTM verwendet werden
Unter Netzwerke freigeben muss ebenfalls das (dort Remote-) Netzwerk aus Schritt 4 der ersten UTM verwendet werden

Gegenstelle Schritt 4

Als Remote Gateway muss die öffentliche IP-Adresse (oder ein Hostname, der per DNS aufgelöst werden kann) der ersten UTM eingetragen werden.
(Diese Adresse wurde im Assistenten der ersten UTM nicht benötigt)
Als Remote Gateway ID muss die Local Gateway ID aus Schritt 3 der ersten UTM verwendet werden
Unter Netzwerke freigeben muss ebenfalls das (dort lokale) Netzwerk aus Schritt 3 der ersten UTM verwendet werden

Netzwerkobjekt der Gegenstelle anlegen

Das Netzwerkobjekt der Gegenstelle stellt das Netzwerk der ersten UTM dar.
Entsprechend muss unter Adresse' die Netzwerkadresse des lokalen Netzes der ersten UTM eingetragen werden.
Im Beispiel 192.168.218.0/24

Hinweise

Transparente Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenHTTP-Proxy Transparente Regel

Der transparente HTTP-Proxy

Wenn aus dem Internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert.
Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
Damit das nicht passiert, muss im Menü Anwendungen HTTP-Proxy Bereich Transparenter Modus Schaltfläche Transparente Regel hinzufügen eine Regel Exclude mit der Quelle internal-network zum Ziel name-vpn-netzwerk-objekt und dem Protokoll HTTP erstellt werden.

Troubleshooting

Detaillierte Hinweise zum Troubleshooting finden sich im Troubleshooting-Guide.
Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt.

Adress-Pool: Adress-Pool:
Beschriftung	Wert	Beschreibung
Lokales Netzwerk:	192.168.250.0/24	Das lokale Netzwerk, auf das über die VPN-Verbindung zugegriffen werden soll (wie im Assistenten in Schritt 3 konfiguriert)
Adress-Pool: Nicht bei IPSec DHCP	192.168.22.35/24	Die IP-Adresse (z.B.: 192.168.22.35/32), oder Pool in Form eines Subnetzes (z.B.: 192.168.22.35/26 für den Pool von 192.168.22.0 -192.168.22.63) welche unter IPSec genutzt wird.

Adress-Pool: Adress-Pool:
Beschriftung	Wert	Beschreibung
Lokales Netzwerk:	192.168.250.0/24	Das lokale Netzwerk, auf das über die VPN-Verbindung zugegriffen werden soll (wie im Assistenten in Schritt 3 konfiguriert)
Adress-Pool: Nicht bei IPSec DHCP	192.168.22.35/24	Die IP-Adresse (z.B.: 192.168.22.35/32), oder Pool in Form eines Subnetzes (z.B.: 192.168.22.35/26 für den Pool von 192.168.22.0 -192.168.22.63) welche unter IPSec genutzt wird.

@@ Zeile 1: / Zeile 1: @@
+#WEITERLEITUNG [[UTM/VPN/IPSec-S2S_v12.5]]Preview1260
 {{Set_lang}}
@@ Zeile 10: / Zeile 11: @@
 		| [[#IKEv1 |Schwache Algorithmen]] werden in den Auswahldialogen nur nach ausdrücklicher Aktivierung angezeigt <small>(IKEv1 und IKEv2)</small>
 		| [[#IKEv1 |Weak algorithms]] are displayed in the selection dialogs only after explicit activation <small>(IKEv1 and IKEv2)</small> }}
-{{var	| neu--copy-psk
-		| [[#copy-psk | PSK in Zwischenablage kopieren]]
-		| [[#copy-psk | Copy psk to clippboard]] }}
-{{var	| neu--IKEv1 L2TP
-		| [[#L2TP ausgeblendet | Ausblendung von IKEv1 L2TP.]] Einblendung erst bei spezieller Aktivierung
-		| [[#L2TP ausgeblendet | Hide IKEv1 L2TP.]] Display only with special activation }}
-{{var	| neu--config_mode
-		| Hinweis auf [[#Config_mode | Config_mode]] bei NCP- oder Greenbow-Clients
 		| Note on [[#Config_mode | Config_mode]] for NCP or Greenbow clients }}
 {{var	| neu--ESP und UDP
@@ Zeile 23: / Zeile 16: @@
 	    | Note on [[#Preparation | ESP and UDP 500/4500]] }}
-</div>{{DISPLAYTITLE:IPSec Site-to-Site}}{{TOC2|limit=3}}{{Select_lang}}
+</div><div class="new_design"></div>{{TOC2|limit=3}}{{Select_lang}}
-{{Header|12.5.2|
+{{Header|12.6.0|
+* {{#var:neu--rwi}}
 * {{#var:neu--ESP und UDP}}
-* {{#var:neu--IKEv2 Phase 1}}
+* {{#var:neu--IKEv2 Phase 1}} <small>(v12.5)</small>
-* {{#var:neu--Schwache Algorithmen}}
+* {{#var:neu--Schwache Algorithmen}} <small>(v12.5)</small>
+|[[UTM/VPN/IPSec-S2S_v12.5  | 12.5]]
-* {{#var:neu--IKEv1 L2TP}} <small>(v12.4)</small>
+[[UTM/VPN/IPSec-S2S_v12.4  | 12.4]]
-* {{#var:neu--copy-psk}} <small>(v12.4)</small>
-* {{#var:neu--config_mode}} <small>(v12.4)</small>
-|[[UTM/VPN/IPSec-S2S_v12.4  | 12.4]]
 [[UTM/VPN/IPSec-S2S_v12.2.5 | 12.2.5]]
 [[UTM/VPN/IPSec-S2S_v12.2.3 | 12.2.3]]
@@ Zeile 38: / Zeile 29: @@
 [[UTM/VPN/IPSec-S2S_v11.7 | 11.7]]
 [[UTM/VPN/IPSec-S2S_v11.6 | 11.6.12]]
-|{{Menu|VPN|IPSec|{{#var:Verbindungen}} }}
+|{{Menu-UTM|VPN|IPSec|{{#var:Verbindungen}} }}
 | list-class=grid }}
+----
-----
 === {{#var:Einleitung}} ===
-<div class="Einrücken">{{#var:Einleitung--desc}}</div>
+<div class="Einrücken">
+{{#var:Einleitung--desc}}
+</div>
 ----
-=== {{#var:Vorbereitung}} {{Hinweis-box||gr|12.5.2|status=neu}} ===
-<div class="einrücken">{{#var:Vorbereitung--desc}}</div>
+=== {{#var:Vorbereitung}} ===
+<div class="einrücken">
+{{#var:Vorbereitung--desc}}
+</div>
 ----
 === {{#var:Konfiguration einer IPSec Site-to-Site Verbindung}} ===
-<div class="Einrücken">{{#var:Konfiguration einer IPSec Site-to-Site Verbindung--desc}}
+<div class="Einrücken">
+{{#var:Konfiguration einer IPSec Site-to-Site Verbindung--desc}}
+</div>
 ==== {{#var:Einrichtungsassistent}} ====
 {| class="sptable2 pd5 zh1 Einrücken"
+|- class="Leerzeile"
+| colspan="3" |
+===== {{Reiter|{{#var:Schritt 1 - Verbindungstyp}} }} =====
 |-
-| class="Leerzeile" colspan="3" |<br>
+! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
-===== {{#var:Schritt 1 - Verbindungstyp}} =====
+| class="Bild" rowspan="3" | {{Bild| {{#var:Schritt 1 - Verbindungstyp--Bild}} |{{#var:Einrichtungsschritt}} 1||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec|icon=fa-close}}
 |-
-! {{#var:Beschriftung}} !! {{#var:Wert}} !! {{#var:Beschreibung}}
+| {{#var:Verbindungstyp}} || {{#var:Site2Site--val}}
-| class="Bild" rowspan="3" | {{Bild| {{#var:Schritt 1 - Verbindungstyp--Bild}} | {{#var:Schritt 1 - Verbindungstyp--cap}} }}
-|-
-| {{#var:Verbindungstyp}} || {{#var:Site2Site--val}}
-*{{ic|Roadwarrior|class=mw6}}
-*{{ic|Site to Site|class=mw6}}
 | {{#var:Site2Site--desc}}
 |- class="Leerzeile"
 |
+|- class="Leerzeile"
+| colspan="3" |
+===== {{Reiter|{{#var:Schritt 2 - Allgemein}} }} =====
 |-
-| class="Leerzeile" colspan="3" |<br>
+| {{b|Name:}} || {{ic|IPSec S2S|class=available}} || {{#var:Name--desc}}
-===== {{#var:Schritt 2 - Allgemein}} =====
+| class="Bild" rowspan="3" | {{Bild| {{#var:Schritt 2 - Allgemein--Bild}} |{{#var:Einrichtungsschritt}} 2}}
 |-
-| {{b| {{#var:Name}}: }} || {{ic| IPSec S2S|class=available}} || {{#var:Name--desc}} || class="Bild" rowspan="3" | {{Bild| {{#var:Schritt 2 - Allgemein--Bild}}|{{#var:Schritt 2 - Allgemein--cap}} }}
+| {{b|IKE Version:}} || {{Reiter|IKE v1|class=inaktiv}}{{Reiter|IKE v2|class=last}} <br><small>Default: IKEv2</small> || {{#var:IKE Version--desc}}<br> {{info|{{#var:IKE-Multichannel--info}} }}
-|-
+|- class="Leerzeile"
-| {{b|{{#var:IKE Version}} }} || {{Button|IKE v1|class=first}}{{Button|IKE v2|b|class=last}} <small>Default: IKEv2</small> <small> || {{#var:IKE Version--desc}}<p>{{#var:IKE-Multichannel}}{{info|{{#var:IKE-Multichannel--info}} }}</p>
+|
 |- class="Leerzeile"
-| colspan="3" |<br>
+| colspan="3" |
+===== {{Reiter|{{#var:Schritt 3 - Lokal}} }} =====
 |-
-| class="Leerzeile" colspan="3" |<br>
+| {{b|Local Gateway ID:}} || {{ic|{{#var:Beliebiges Interface}}|dr|class=available}} || {{#var:Local Gateway ID--desc}}
-===== {{#var:Schritt 3 - Lokal}} =====
+| class="Bild" rowspan="9" | {{Bild| {{#var:Schritt 3 - Lokal--Bild}} |{{#var:Einrichtungsschritt}} 3}}
 |-
-| {{b|{{#var: Local Gateway ID}} }} || {{ic|{{#var:Local Gateway ID--val}}|dr|class=available}} || {{#var:Local Gateway ID--desc}}
+| rowspan="2"| {{b|{{#var:Authentifizierungsmethode}}:}} || {{Button|Pre-Shared Key|dr|class=available}} || {{#var:Authentifizierungsmethode--desc}}
-<li class="list--element__alert list--element__hint">{{#var:Gateway-ID--Hinweis}}</li><li class="list--elemnt__alert list--element__positiv">{{#var:Automatisch ausgefüllt}}</li>
-| class="Bild" rowspan="3" | {{Bild| {{#var:Schritt 3 - Lokal--Bild}} | {{#var:Schritt 3 - Lokal--cap}} }}
 |-
-| rowspan="3"| {{b| {{#var:Authentifizierungsmethode}}:}}
+| {{Button|{{#var:Zertifikat}}|dr|class=available}} || {{#var:AM Zertifikat--desc}}
-| {{Button|{{#var:Pre-Shared Key}}|dr|class=available}} || {{#var:AM PSK--desc}}
+<!--
 |-
-| {{Button| {{#var:Zertifikat}} |dr|class=available}} || {{#var:AM Zertifikat--desc}}
+| {{Button|RSA|dr|class=available}}<br><small>'''{{#var:Nur bei IKEv1}}'''</small> || {{#var:AM RSA--desc}}
+-->
 |-
-| {{Button| {{#var:RSA}} |dr|class=available}}<br><small>'''{{#var:Nur bei IKEv1}}'''</small> || {{#var:AM RSA--desc}}
+| rowspan="3" | {{b|Pre-Shared Key}}<br> <small>'''{{#var:Pre-Shared Key Hinweis}}'''</small> || {{ic||class=available}} || {{#var:Pre-Shared Key--desc}}
 |-
-| rowspan="3" |<span id=copy-psk></span> {{b| {{#var:Pre-Shared Key}} }}<br><small>'''{{#var:Pre-Shared Key Hinweis}}'''</small> || {{ic| |class=available}} || {{#var:Pre-Shared Key--desc}}
+| {{Button||class=fas fa-arrow-rotate-left}} || {{#var:Schlüssel erstellen--desc}}
-|-
-| {{Button||r}} || {{#var:Schlüssel erstellen--desc}}
 |-
 | {{Button||class=fas fa-copy icon}} || {{#var:Schlüssel kopieren--desc}}
 |-
-| {{b| {{#var:X.509 Zertifikat}} }}<br><small>'''{{#var:X.509 Zertifikat Hinweis}}'''</small> || {{Button| {{#var:Zertifikat--val}}|dr|class=available}} || {{#var:Zertifikat--desc}}<br>{{#var:Zertifikat--Hinweis}}
+| {{b|X.509 {{#var:Zertifikat}}:}}<br> <small>'''{{#var:X.509 Zertifikat Hinweis}}'''</small> || {{Button|{{#var:Server-Zertifikat}}|dr|class=available}} || {{#var:Zertifikat--desc}} <br>{{#var:Zertifikat--Hinweis}}
+<!--
 |-
-| {{b|{{#var:Privater RSA-Schlüssel}} }}<br><small>'''{{#var:Privater RSA-Schlüssel Hinweis}}'''</small> || {{Button|RSA-Site2Site|dr|class=available}} || {{#var:Privater RSA-Schlüssel--desc}}
+| {{b|{{#var:Privater RSA-Schlüssel}} }} <br><small>'''{{#var:Privater RSA-Schlüssel Hinweis}}'''</small> || {{Button|RSA-Site2Site|dr|class=available}} || {{#var:Privater RSA-Schlüssel--desc}}
+-->
 |-
-| {{b| {{#var:Netzwerke freigeben}} }} || {{ic| {{cb|192.168.122.0/24}} |cb|class=available}} || {{#var:Netzwerke freigeben--desc}}
+| {{b|{{#var:Netzwerke freigeben}}:}} || {{ic| {{cb|192.168.122.0/24}} |cb|class=available}} || {{#var:Netzwerke freigeben--desc}}
+|- class="Leerzeile"
+|
+|- class="Leerzeile"
+| colspan="3" |
+===== {{Reiter|{{#var:Schritt 4 - Gegenstelle}} }} =====
 |-
-| class="Leerzeile" colspan="3" |<br>
+| {{b|Remote Gateway:}} || {{ic|192.0.2.192|dr|class=available}} || {{#var:Remote Gateway--desc}}
-===== {{#var:Schritt 4 - Gegenstelle}} =====
+| class="Bild" rowspan="5" | {{Bild| {{#var:Schritt 4 - Gegenstelle--Bild}} |{{#var:Einrichtungsschritt}} 4}}
 |-
-| {{b| {{#var:Remote Gateway}} }} || {{ic| 192.0.2.192 |class=available}} || {{#var:Remote Gateway--desc}} || class="Bild" rowspan="4" | {{Bild| {{#var:Schritt 4 - Gegenstelle--Bild}} | {{#var:Schritt 4 - Gegenstelle--cap}} }}
+| {{b|Remote Gateway ID:}} || {{ic|192.0.2.192|dr|class=available}} || {{#var:Remote Gateway ID--desc}}
+<!--
 |-
-| {{b| {{#var:Remote Gateway ID}} }} || {{ic| 192.0.2.192 |class=available}} || {{#var:Remote Gateway ID--desc}}
+| {{b|{{#var:Öffentlicher RSA-Schlüssel}} }} <br><small>'''{{#var:Privater RSA-Schlüssel Hinweis}}'''</small> || {{Button|RSA-Site2Site|dro|class=available}} || {{#var:Öffentlicher RSA-Schlüssel--desc}}
+-->
 |-
-| {{b|{{#var:Öffentlicher RSA-Schlüssel}} }}<br><small>'''{{#var:Privater RSA-Schlüssel Hinweis}}'''</small> || {{Button|RSA-Site2Site|dro|class=available}} || {{#var:Öffentlicher RSA-Schlüssel--desc}}
+| {{b|{{#var:Netzwerke freigeben}}:}} || {{ic| {{cb|192.168.192.0/24}} |cb|class=available}} || {{#var:Netzwerke freigeben--desc}}
 |-
-| {{b| {{#var:Netzwerke freigeben}}}} || {{ic| {{cb|192.168.192.0/24}}|cb|class=available}} || {{#var:Netzwerke freigeben--desc}}
+|- class="Leerzeile"
-|-
+| colspan="3" | {{#var:Beenden}}
-| class="Leerzeile" colspan="3" | {{#var:Beenden}}
 |- class="Leerzeile"
 | colspan="3" | <li class="list--element__alert list--element__hint">{{#var:Phase2 bearbeiten--desc}}</li>
+|- class="Leerzeile"
+|
 |}
 === {{#var:Weitere Einstellungen}} ===
-<div class="Einrücken">{{#var:Weitere Einstellungen--desc}}
+<div class="Einrücken">
-<br clear=all>
+{{#var:Weitere Einstellungen--desc}}
+</div>
 ==== IKEv1 ====
-{{Einblenden | {{#var: Einstellungen IKEv1 }} | {{#var: Einstellungen IKEv1 ausblenden}} | dezent| true| Vorschau=step-by-step.png}}
+<div class="Einrücken">
-{{:UTM/VPN/IPSec-Phase1-2_v12.5|IPSec=IKEv1 S2S}}
+{{Einblenden | {{#var:Einstellungen IKEv1}} | {{#var:Einstellungen IKEv1 ausblenden}} |dezent|true|Vorschau=step-by-step.png}}
-</div></span></div><!--
+{{:UTM/VPN/IPSec-Phase1-2|IPSec=IKEv1 S2S}}
-{| class="sptable2 pd5 zh1 Einrücken"
+</div></span></div>
-|-
+</div><br clear=all>
-| {{b|{{#var: Subnetzkombinationen gruppieren}} }} <br> {{ButtonAn|{{#var:ein}} }}
-| colspan="2" | {{#var:Subnetzkombinationen gruppieren--desc}}
-| class="Bild" rowspan="2" | {{Bild |  {{#var:Phase2 bearbeiten--Bild}}|{{#var:Phase2 bearbeiten--cap}} }}
-|- class="Leerzeile"
-|
-|-
-| '''{{#var:Subnetze alle}}'''
-| colspan="2" | <li class="list--element__alert list--element__hint">{{#var:Subnetze alle--desc}}</li>
-{{Einblenden|{{#var:Beispiel mit root-Login}}|{{#var:hide}}|dezent}}
-{{#var:Beispiel mit root-Login--desc}}<br>
-{{#var:Mit Subnetzkombinationen}}
-<code>root@firewall:~# swanctl --list-conns
- IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s
-  local:  %any
-  remote: 192.0.2.192
-  local pre-shared key authentication:
-    id: 192.168.175.218
-  remote pre-shared key authentication:
-    id: 192.0.2.192
-  IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart
-    local:  192.168.218.0/24 192.168.219.0/24
-    remote: 192.168.192.0/24 192.168.193.0/24
-</code>
-<br>
-{{#var:Ohne Subnetzkombinationen}}<br>
-<code> root@firewall:~# swanctl --list-conns
-  IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s
-    local:  %any
-    remote: 192.0.2.192
-    local pre-shared key authentication:
-      id: 192.168.175.218
-    remote pre-shared key authentication:
-      id: 192.0.2.192
-    IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart
-      local:  192.168.218.0/24
-      remote: 192.168.192.0/24
-    IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart
-      local:  192.168.218.0/24
-      remote: 192.168.193.0/24
-    IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart
-      local:  192.168.219.0/24
-      remote: 192.168.192.0/24
-    IPSec$20S2S_7: TUNNEL, rekeying every 28260s, dpd action is restart
-      local:  192.168.219.0/24
-      remote: 192.168.193.0/24
-</code>
-</div></span>
-| class="Bild" rowspan="2" | {{Bild |  {{#var:Subnetze alle--Bild}}|{{#var:Subnetze alle--cap}} }}
-|- class="Leerzeile"
-|
-|-
-| '''{{#var:Subnetz teilweise}}'''
-| colspan="2" | {{#var:Subnetz teilweise--desc}}<br>{{Hinweis| ! {{#var:IKE-Multichannel--Netzwerkhinweis}} }}
-{{Hinweis| ! {{#var:IKE-Multichannel--Portfilter--Hinweis}} | gr}}
-{{Einblenden|{{#var:Beispiel mit root-Login}}|{{#var:hide}}|dezent}}
-{{#var:Beispiel mit root-Login--desc}}<br>
-{{#var:Mit Subnetzkombinationen}}
-<code>root@firewall:~# swanctl --list-conns
-IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s
-  local:  %any
-  remote: 192.0.2.192
-  local pre-shared key authentication:
-    id: 192.168.175.218
-  remote pre-shared key authentication:
-    id: 192.0.2.192
-  IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart
-    local:  192.168.218.0/24 192.168.219.0/24
-    remote: 192.168.192.0/24 192.168.193.0/24
-</code>
-<br>
-{{#var:Ohne Subnetzkombinationen}}<br>
-<code>root@firewall:~# swanctl --list-conns
-IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s
-  local:  %any
-  remote: 192.0.2.192
-  local pre-shared key authentication:
-    id: 192.168.175.218
-  remote pre-shared key authentication:
-    id: 192.0.2.192
-  IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart
-    local:  192.168.218.0/24
-    remote: 192.168.192.0/24
-  IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart
-    local:  192.168.218.0/24
-    remote: 192.168.193.0/24
-  IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart
-    local:  192.168.219.0/24
-    remote: 192.168.192.0/24
-</code>
-</div></span>
-| class="Bild" rowspan="2" | {{Bild |  {{#var:Subnetz teilweise--Bild}}|{{#var:Subnetz teilweise--cap}} }}
-|- class="Leerzeile"
-|
-|-
-| class="Leerzeile" colspan="3" |
--->
-<br clear=all>
 ==== IKEv2 ====
-{{Einblenden | {{#var: Einstellungen IKEv2 }} | {{#var: Einstellungen IKEv2 ausblenden}} | dezent| true| Vorschau=step-by-step.png}}
+<div class="Einrücken">
-{{:UTM/VPN/IPSec-Phase1-2_v12.5|IPSec=IKEv2 S2S}}
+{{Einblenden | {{#var:Einstellungen IKEv2}} | {{#var:Einstellungen IKEv2 ausblenden}} | dezent| true| Vorschau=step-by-step.png}}
+{{:UTM/VPN/IPSec-Phase1-2|IPSec=IKEv2 S2S}}
 </div></span></div></div>
-<br clear=all>
+</div><br clear=all>
-</div>
+----
-----
 === {{#var:Regelwerk}} ===
 <div class="einrücken">
 {{#var:Regelwerk--desc}}
+</div>
 {| class="sptable2 pd5 zh1 einrücken"
-|-
+|- class="Leerzeile"
-| class="Leerzeile einrücken" colspan="3" | <p><small>{{#var:Implizite Regeln--desc}} </small></p>
+| colspan="3" | {{#var:Implizite Regeln--desc}}
-| class="bild width-m" | {{Einblenden2 | {{#var:Implizite Regeln--cap}} | {{#var:hide}} | dezent| true | {{Bild| {{#var:Implizite Regeln--Bild}} | {{#var:Implizite Regeln}} }} }}
+| class="Bild" | {{Einblenden2| {{#var:Implizite Regeln--cap}} | {{#var:hide}} |dezent|true| {{Bild| {{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save}} }}
-|-
+|- class="Leerzeile"
-| class="Leerzeile" colspan="3" | {{Hinweis|!! § {{#var:Freigabe-Hinweis}} }}
+| colspan="3" | {{Hinweis-box|{{#var:Freigabe-Hinweis}}|fs__icon=em2}}
+|- class="Leerzeile"
+| colspan="3" |
 ==== {{#var:Netzwerkobjekt anlegen}} ====
 {{#var:Netzwerkobjekt anlegen--Menü}}<br>
 <li class="list--element__alert list--element__warning">{{#var:Netzwerkobjekt anlegen--multi}}</li>
 |-
-| {{b| {{#var:Name}}:}} || {{ic| IPSec-S2S }} || {{#var:Name-IPSec--desc}} || class="bild width-m" rowspan="5" | {{Bild| {{#var:Netzwerkobjekt anlegen--Bild}} | {{#var:Netzwerkobjekt anlegen--cap}} }}
+| {{b|Name:}} || {{ic|IPSec-S2S|class=available}} || {{#var:Name für das IPSec-S2S-Netzwerkobjekt}}
+| class="Bild" rowspan="6" | {{Bild| {{#var:Netzwerkobjekt anlegen--Bild}} |{{#var:Netzwerkobjekt}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
 |-
-| {{b| {{#var:Typ}}: }} || {{ic| {{#var:VPN-Netzwerk}} |dr}} || {{#var:VPN-Netzwerk--desc}}
+| {{b|{{#var:Typ}}: }} || {{ic|{{#var:VPN-Netzwerk}}|dr|class=available}} || {{#var:VPN-Netzwerk--desc}}
 |-
-| {{b| {{#var:Adresse}}: }} || {{ic| 192.168.192.0/24 }} || {{#var:Adresse--desc}}
+| {{b|{{#var:Adresse}}: }} || {{ic|192.168.192.0/24|class=available}} || {{#var:Adresse--desc}}
 |-
-| {{b| {{#var:Zone}}: }} || {{Button| vpn-ipsec |dr}} || {{#var:Zone--desc}}
+| {{b|Zone:}} || {{Button|vpn-ipsec|dr|class=available}} || {{#var:Zone--desc}}
 |-
-| {{b| {{#var:Gruppe}}: }} || {{ic| | cb}} || {{#var:Gruppe--desc}}
+| {{b| {{#var:Gruppe}}: }} || {{ic| |cb|class=available}} || {{#var:Gruppe--desc}}
-|-
+|- class="Leerzeile"
-| class="Leerzeile" colspan="3" |
+|
-|-
+|- class="Leerzeile"
-| class="Leerzeile" colspan="2" | <br>
+| colspan="3" |
-==== {{#var:Portfilter Regeln}} ====
+==== {{#var:Paketfilter Regeln}} ====
 |- class="Leerzeile"
-| colspan="2" | {{#var:Portfilter Regeln--desc}}
+| colspan="3" | {{#var:Portfilter Regeln--desc}}
-<li class="list--element__alert list--element__warning">{{#var:Portfilter Regeln--multi--desc}}</li>
-| colspan="2" rowspan="2" class="bild" style="min-width: 69%;" | <br>{{bild| {{#var:Portfilter Regeln--Bild}}  | {{#var:Portfilter Regeln--cap}}  }}
 |- class="Leerzeile"
 |
@@ Zeile 277: / Zeile 194: @@
 | '''{{#var:Erste Regel}}'''
 |-
-| {{b| {{#var:Quelle}}:}} || {{ic| internal-network|class=available}} || {{#var:Quelle--desc}}
+| {{b|{{#var:Quelle}}:}} || {{ic|internal-network|class=available}} || {{#var:Quelle--desc}}
+| class="Bild" rowspan="6" | {{Bild| {{#var:Paketfilter Regeln--Bild}} |{{#var:Paketfilter Regeln--cap}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren}}
 |-
-| {{b| {{#var:Ziel}}:}} || {{ic| {{#var:IPSec-Netzwerk}}|class=available}} || {{#var:Ziel}}
+| {{b|{{#var:Ziel}}:}} || {{ic|{{#var:IPSec-Netzwerk}}|class=available}} || {{#var:Ziel--desc}}
 |-
-| {{b| {{#var:Dienst}}:}} || {{ic| {{#var:Dienst--val}}|class=available}} || {{#var:Dienst--desc}}
+| {{b|{{#var:Dienst}}:}} || {{ic|benötigter Dienst|class=available}} || {{#var:Dienst--desc}}
 |-
-| {{b| NAT }}<br>{{b|{{#var:Typ}}:}} || {{Button|Hidenat Exclude|dr|class=available}} ||
+| {{b|NAT:}} || {{Button|Hidenat Exclude|dr|class=mw10}} ||
 |-
-| {{b| {{#var:Netzwerkobjekt}}:}} || {{Button|external-interface|dr|class=available}} ||
+| {{b|{{#var:Netzwerkobjekte}}:}} || {{Button|external-interface|dr|class=available}} ||
 |- class="Leerzeile"
-| <br>'''{{#var:Zweite Regel}}'''
+|
+|- class="Leerzeile"
+| '''{{#var:Zweite Regel}}'''
 |-
-| {{b| {{#var:Quelle}}:}} || {{ic| {{#var:IPSec-Netzwerk}}|class=available}} || {{#var:Quelle--desc}}
+| {{b|{{#var:Quelle}}:}} || {{ic|{{#var:IPSec-Netzwerk}}|class=available}} || {{#var:Quelle--desc}}
 |-
-| {{b| {{#var:Ziel}}:}} || {{ic| internal-network|class=available}} || {{#var:Ziel}}
+| {{b|{{#var:Ziel}}:}} || {{ic|internal-network|class=available}} || {{#var:Ziel}}
 |-
-| {{b| {{#var:Dienst}}:}} || {{ic| {{#var:Dienst--val}}|class=available}} || {{#var:Dienst--desc}}
+| {{b|{{#var:Dienst}}:}} || {{ic|benötigter Dienst|class=available}} || {{#var:Dienst--desc}}
 |-
-| {{b| NAT: }} ||  || {{#var:Kein NAT}}
+| {{b|NAT:}} ||  || {{#var:Kein NAT}}
+|- class="Leerzeile"
+|
 |}
-</div>
+----
-----
 === {{#var:Konfiguration des zweiten Gateways}} ===
 <div class="einrücken">
-{{Hinweis| ! {{#var:Gleiche IKE-Version--Hinweis}} }}
+{{Hinweis-box|{{#var:Gleiche IKE-Version--Hinweis}} }}
+</div>
 ==== {{#var:Verwendung einer Securepoint UTM}} ====
@@ Zeile 309: / Zeile 232: @@
 {{#var:Gegenstelle Hinweise}}
 </div>
 ===== {{#var:Gegenstelle Schritt2}} =====
 <div class="einrücken">
 {{#var:Gegenstelle Schritt2--desc}}
 </div>
 ===== {{#var:Gegenstelle Schritt3}} =====
 <div class="einrücken">
 {{#var:Gegenstelle Schritt3--desc}}
 </div>
 ===== {{#var:Gegenstelle Schritt4}} =====
 <div class="einrücken">
 {{#var:Gegenstelle Schritt4--desc}}
 </div>
 ===== {{#var:Gegenstelle Netzwerkobjekt}} =====
 <div class="einrücken">
 {{#var:Gegenstelle Netzwerkobjekt--desc}}
-</div>
+<br clear=all></div>
-</div>
+----
-----
 === {{#var:Hinweise}} ===
 <div class="einrücken">
-{{pt3| {{#var:Der transparente HTTP-Proxy--Bild}} | {{#var:Der transparente HTTP-Proxy--cap}} }}
+{{Bild| {{#var:Der transparente HTTP-Proxy--Bild}} | {{#var:Der transparente HTTP-Proxy--cap}}||{{#var:Transparente Regel hinzufügen}}|{{#var:Anwendungen}}|HTTP-Proxy|icon=fa-floppy-disk-circle-xmark|icon2=fa-close|class=Bild-t }}
+</div>
 ==== {{#var:Der transparente HTTP-Proxy}} ====
 <div class="einrücken">
 {{#var:Der transparente HTTP-Proxy--desc}}
-</div></div>
+<br clear=all></div>
-<br clear=all>
 ----
-=== {{#var:Troubleshooting}} ===
+=== Troubleshooting ===
 <div class="einrücken">
 {{#var:Troubleshooting--desc}}
 </div>

Version vom 15. Januar 2024, 14:59 Uhr

Einleitung

Vorbereitung

Konfiguration einer IPSec Site-to-Site Verbindung

Einrichtungsassistent

Schritt 1 - Verbindungstyp

Schritt 2 - Allgemein

Schritt 3 - Lokal

Schritt 4 - Gegenstelle

Weitere Einstellungen

IKEv1

Phase 1

Allgemein

IKE

Phase 2

Allgemein

Adress-Pool:

Subnetze

Troubleshooting

IKEv2

Phase 1

Allgemein

IKE

Phase 2

Allgemein

Adress-Pool:

Subnetze

Troubleshooting

Regelwerk

Netzwerkobjekt anlegen

Paketfilter Regeln

Konfiguration des zweiten Gateways

Verwendung einer Securepoint UTM

Gegenstelle Schritt 2

Gegenstelle Schritt 3

Gegenstelle Schritt 4

Netzwerkobjekt der Gegenstelle anlegen

Hinweise

Der transparente HTTP-Proxy

Troubleshooting