Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/IPSec-SP-Lancom: Unterschied zwischen den Versionen

Aus Securepoint Wiki
(Die Seite wurde neu angelegt: „{{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{:UTM/VPN/IPSec-SP-Lancom.lang}} </div><div class="new_design"></div>{{Select_lang}}{{TOC2}} {{Header|06.2024|new=true |Menu={{Menu-UTM|VPN|IPSec}} }} ---- === {{#var:Vorbemerkung}} === <div class="einrücken"> {{#var:Vorbemerkung--desc}} </div> {| class="sptable2 pd5 zh1 Einrücken" | {{#var:lokales Router Netz}} || 172.30.0.0/24 |- | {{#var:geteilte UTM Netze}} || 172.31.2.0/24 '''&''' 192.168.250.0/…“)
 
(kein Unterschied)

Aktuelle Version vom 3. Juni 2024, 08:41 Uhr


































































{{var | Remote Host / Gateway ID--pfad

| Authentifizierung → $NAME → Entfernte Identität
Wenn dieser gesetzt wird, muss in jedem Fall auch der lokale Identitätstyp gesetzt werden!
   | Authentication → $NAME → Remote identity
If this is set, the local identity type must also be set in any case!}
  















De.png
En.png
Fr.png






Anleitung zur Einrichtung einer IPSec IKEv2-Verbindung mit LANCOM-Routern
Neuer Artikel: 06.2024
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
 -
Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 VPN IPSec

Vorbemerkung

Im folgenden wird gezeigt wie eine Konfiguration einer IPSec IKEv2-Verbindung mit LANCOM-Routern erfolgen kann, sowie wo die relevanten Einstellungen im Webinterface des Routers zu finden sind.


Folgende lokale Beispiel Netze sollen über die S2S Verbindung erreichbar sein:

lokales Router Netz 172.30.0.0/24
geteilte UTM Netze 172.31.2.0/24 & 192.168.250.0/24


Konfiguration der UTM

notempty
Die Einrichtung der Verbindung auf der UTM erfolgt, wie im Wiki Artikel IPSec Site-to-Site beschrieben.
Anschließend werden folgende Konfigurationen angepasst:
Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.2 Lancom IPSec Phase 1.png
Abb.1
Unter VPN IPSec  Bereich Verbindungen Schaltfläche Phase 1 müssen folgende Konfigurationen angepasst werden:
  • MOBIKE muss deaktiviert werden
  • Außerdem wird bezüglich der Gateway-IDs empfohlen:
    • bei festen, öffentlichen IPs auf beiden Seiten: IP-Adressen
    • in allen anderen Fällen: E-Mail-Adressen
  • Bei Verwendung einer E-Mail-Adresse als ID muss dringend auf das Doppel-@ vor der E-Mail-Adresse geachtet werden! (Beispiel: @@mail@anyideas.de)
    • Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.2 Lancom IPSec Phase 2.png
    Abb.2
    Unter VPN IPSec  Bereich Verbindungen Schaltfläche Phase 2 muss die Gruppierung der Subnetzkombinationen ausgeschaltet werden.













    Konfiguration des LANCOM-Routers

    Anschließend werden die Verbindungsparameter auf dem LANCOM-Router konfiguriert.

    Hierzu müssen zunächst die verschiedenen Datensätze erstellt werden. Dies erfolgt im Webinterface des Routers, hauptsächlich unter Konfiguration → VPN → IKEv2/IPSec, Ausnahmen sind die IPv4-Regeln, sowie das Routing.

    Die Datensätze können immer durch klicken auf den blau hinterlegten Namen bearbeitet werden und es können mithilfe der Schaltfläche Hinzufügen, die unten in der Mitte zu finden ist, neue Datensätze angelegt werden.

  • Es sollten in keinem Fall DEFAULT-Datensätze gelöscht werden!
    • Lancom Verschlüsselung.png
    Abb.3

    Verschlüsselung

    Verschlüsselung Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung
    Hier findet sich eine Liste von Datensätzen, die Cipher-Suites enthalten. Es ist nicht zwingend notwendig, hier einen eigenen Datensatz anzulegen. Der Default-Datensatz enthält die gängigsten Cipher, die auch von der UTM unterstützt werden. Sollte aber die Proposal-Aushandlung fehlschlagen, wäre das die erste Stelle zur Fehlersuche.
    Lancom Authentifizierung.png
    Abb.4

    Authentifizierung

    Authentifizierung Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → Hinzufügen
    Hier werden die für die Authentifizierung in der Phase 1 benötigten Parameter, in die für die entsprechende Gegenstelle eindeutigen Datensätzen konfiguriert.
    Lancom Verbindungs-Parameter.png
    Abb.5

    Verbindungs-Parameter

    Verbindungs-Parameter Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Parameter
    Hier kann das DPD-Intervall und der Zielport für UDP-Encapsulation geändert werden. Die Default Werte müssen in der Regel nicht verändert werden.
    Lancom Gültigkeitsdauer.png
    Abb.6

    Gültigkeitsdauer

    Gültigkeitsdauer Konfiguration → VPN → IKEv2/IPSec → Gültigkeitsdauer
    Hier werden die Lebensdauer der IKE-SA und der Child-SA(s) konfiguriert. Es ist auch möglich den DEFAULT-Datensatz zu verwenden, in diesem Fall müssen die Werte (24h Phase1, 4h Phase 2) in die UTM übernommen werden.
    Lancom VPN-Regeln.png
    Abb.7

    IPv4-Regeln

    IPv4-Regeln Konfiguration → VPN → Allgemein → IPv4-Regeln
    Dieser Punkt entspricht der Subnetz-Konfiguration in der Phase 2 auf der UTM, das heißt, hier werden die lokalen und entfernten Subnetze konfiguriert.
    Lancom VPN-Regeln bearbeiten.png
    Abb.8
    Hier muss ein Datensatz passend zu den Werten auf der UTM erstellt werden. Die entsprechenden lokalen bzw. entfernten Netzwerke werden mit Leerzeichen getrennt in die entsprechend beschrifteten Felder eingetragen.
    Lancom Verbindungs-Liste.png
    Abb.9

    Verbindungs-Liste

    Verbindungs-Liste Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Liste
    Da nun alle Datensätze erstellt wurden, die für die Konfiguration der Verbindung notwendig sind, kann mit der Schaltfläche Hinzufügen eine neue Verbindung erstellt und konfiguriert werden.
    Lancom Verbindungs-Liste bearbeiten.png
    Abb.10
    Bei dieser Verbindung müssen nun die passenden Datensätze für folgende Punkte ausgewählt werden: Außerdem muss die VPN-Registrierung manuell ➎ mit dem zuvor erstellten Datensatz ➏ konfiguriert werden.
    Lancom Routing bearbeiten.png
    Abb.11

    Routing

    Routing Konfiguration → IP-Router → Routing → IPv4-Routing-Tabelle
    Zuletzt müssen hier noch Routing-Einträge für die entfernten Subnetze ➊ mit der entsprechenden IPSec-Verbindung als Router ➋ erstellt werden, da das entsprechende Policy Based Routing im Gegensatz zur UTM nicht automatisch erfolgt.









    Überprüfung/Troubleshooting

    Ob eine konfigurierte Verbindung zustande gekommen ist, sieht man im Dashboard in der Zeile "VPN" (ggf. etwas runterscrollen). Lancom Dashboard VPN.png
    Dashboard
    Außerdem können unter Systeminformation → Syslog die Aktionen des Routers nachvollzogen werden, um mögliche Probleme zu erkennen. Lancom Syslog.png
    Syslog

    Verortung der relevanten Einstellungen im Router Webinterface

    In der folgenden Tabelle wird gezeigt wo sich die Einstellungen, die von der UTM bekannt sind, in dem Webinterface des Lancom Routers konfigurieren lassen.
    notempty
    $NAME ist ein Platzhalter für den Namen eines Datensatzes, der durch Klicken geöffnet werden muss.

    Phase 1

    Allgemein
    Allgemein
    Bezeichnung Securepoint UTM Bezeichung Lancom
    Local Gateway kein passendes Gegenstück vorhanden
    Local Gateway ID Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → $NAME → Lokale Identität
    Wenn dieser gesetzt wird, muss in jedem Fall auch der entfernte Identitätstyp gesetzt werden!
      
    Remote Host / Gateway Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Liste → $NAME → Entferntes Gateway
    Remote Host / Gateway ID Konfiguration → VPN → IKEv2/IPSec →
    Authentifizierungsmethode Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → $NAME → Lokale Authentifzierung
    Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → $NAME → entfernte Authentifizierung
    Pre-Shared Key Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → $NAME → Lokales Passwort
    Konfiguration → VPN → IKEv2/IPSec → Authentifizierung → $NAME → Entferntes Passwort
    Startverhalten: Incoming Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Liste → $NAME → Haltezeit: 0
    Startverhalten: Outgoing Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Liste → $NAME → Haltezeit: 9999
    Dead Peer Detection / DPD Intervall Konfiguration → VPN → IKEv2/IPSec → Verbindungs-Parameter → $NAME → Dead Peer Detection
    IKE
    IKE
    Verschlüsselung Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → IKE-SA Verschlüsselungsliste
    Authentifizierung Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → IKE-SA Hash-Liste
    Diffie-Hellman Group Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → Erlaubte DH-Gruppen
    IKE Lifetime Konfiguration → VPN → IKEv2/IPSec → Gültigkeitsdauer → $NAME → IKE SA

    Phase 2

    Allgemein
    Allgemein
    Verschlüsselung Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → Child-SA Verschlüsselungsliste
    Authentifizierung Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → Child-SA Hash-Liste
    DH-Gruppe (PFS) Konfiguration → VPN → IKEv2/IPSec → Verschlüsselung → $NAME → Erlaubte DH-Gruppen → PFS: Ja
    Schlüssel-Lebensdauer Konfiguration → VPN → IKEv2/IPSec → Gültigkeitsdauer → $NAME → Child SA
    Subnetze
    Subnetze
    Lokales Netzwerk Konfiguration → VPN → Allgemein → IPv4-Regeln → $NAME → Entfernte Netzwerke
    Remote-Netzwerk Konfiguration → VPN → Allgemein → IPv4-Regeln → $NAME → Lokale Netzwerke
    notempty
    Lokal auf einer Seite ist immer Remote/Entfernt auf der anderen Seite!
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-SP-Lancom&oldid=91817“