KKeine Bearbeitungszusammenfassung |
K (Änderung 92904 von Lauritzl (Diskussion) rückgängig gemacht.) Markierung: Rückgängigmachung |
||
| (6 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
{{Lang}} | {{Lang}} | ||
{{#vardefine:headerIcon| spicon-utm }} | {{#vardefine:headerIcon|spicon-utm}} | ||
{{var | display | {{var | display | ||
| Zeile 12: | Zeile 12: | ||
| Verbindungen | | Verbindungen | ||
| Connections }} | | Connections }} | ||
{{var | Einleitung | {{var | Einleitung | ||
| Einleitung | | Einleitung | ||
| Introduction }} | | Introduction }} | ||
{{var | Einleitung--desc | {{var | Einleitung--desc | ||
| <p>Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander. <br> | | <p>Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander.<br> Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle.</p> <p>Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.</p> | ||
Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle.</p><p> | | <p>A Site-to-Site connection links two networks together.<br> For example, the local network of a main office with the local network of a branch office / secondary office.</p> <p>Public IP addresses, as well as dynamic DNS entries, can be used to connect the two remote gateways.</p> }} | ||
Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.</p> | {{var | Vorbereitung | ||
| <p>A Site-to-Site connection links two networks together. <br> | | Vorbereitung | ||
For example, the local network of a main office with the local network of a branch office / secondary office.</p><p> | | Preparation }} | ||
Public IP addresses, as well as dynamic DNS entries, can be used to connect the two remote gateways.</p> }} | {{var | Vorbereitung--desc | ||
| Sollte vor der Securepoint Appliance ein Router (z.B: Fritz!Box oder Speedport) stehen, muss dort gewährleistet sein, dass ESP und UDP 500/ 4500 aktiv ist. Siehe [[UTM/VPN/IPSec_-_Fritzbox-Exposed_Host | Beispiel-Konfiguration mit einer Fritz!Box]]. | |||
| If there is a router (e.g. Fritz!Box or Speedport) in front of the Securepoint appliance, it must be ensured that ESP and UDP 500/ 4500 are active there. See [{{#var:host}}UTM/VPN/IPSec_-_Fritzbox-Exposed_Host Example configuration with a Fritz!Box]. }} | |||
{{var | Konfiguration einer IPSec Site-to-Site Verbindung | {{var | Konfiguration einer IPSec Site-to-Site Verbindung | ||
| Konfiguration einer IPSec Site-to-Site Verbindung | | Konfiguration einer IPSec Site-to-Site Verbindung | ||
| Configuration of an IPSec Site-to-Site connection }} | | Configuration of an IPSec Site-to-Site connection }} | ||
{{var | Konfiguration einer IPSec Site-to-Site Verbindung--desc | {{var | Konfiguration einer IPSec Site-to-Site Verbindung--desc | ||
| Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann im Menü {{Menu| VPN | IPSec | | IPSec Verbindung hinzufügen | | Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann im Menü {{Menu-UTM|VPN|IPSec||+ IPSec Verbindung hinzufügen}} eine IPSec Verbindung hinzugefügt werden. | ||
| After logging in to the administration interface of the firewall (in the delivery state: https://192.168.175.1:11115), an IPSec connection can be added in the menu {{Menu| VPN | IPSec | | Add IPSec connection | | After logging in to the administration interface of the firewall (in the delivery state: https://192.168.175.1:11115), an IPSec connection can be added in the menu {{Menu-UTM|VPN|IPSec}||+ Add IPSec connection}}. }} | ||
{{var | Einrichtungsassistent | {{var | Einrichtungsassistent | ||
| Einrichtungsassistent | | Einrichtungsassistent | ||
| Setup Wizard }} | | Setup Wizard }} | ||
{{var | IPSec Verbindung hinzufügen | |||
| IPSec Verbindung hinzufügen | |||
| Add IPSec Connection }} | |||
{{var | Schritt 1 - Verbindungstyp | {{var | Schritt 1 - Verbindungstyp | ||
| Schritt 1 - Verbindungstyp | | Schritt 1 - Verbindungstyp | ||
| Zeile 43: | Zeile 42: | ||
| Auswahl des Verbindungs-Typs: | | Auswahl des Verbindungs-Typs: | ||
| Selection of the connection type: }} | | Selection of the connection type: }} | ||
{{var | Site2Site--val | {{var | 1=Site2Site--val | ||
| Es stehen folgende Verbindungen zur Verfügung. | | 2=Es stehen folgende Verbindungen zur Verfügung. | ||
| The following connections are available. }} | * {{Kasten|Roadwarrior}} | ||
* {{Kasten|Site to Site}} | |||
| 3=The following connections are available. | |||
* {{Kasten|Roadwarrior}} | |||
* {{Kasten|Site to Site}} }} | |||
{{var | Site2Site--desc | {{var | Site2Site--desc | ||
| Für die Konfiguration einer | | Für die Konfiguration einer {{Kasten|Site to Site}} Verbindung wird eben diese ausgewählt. | ||
| For the configuration of a | | For the configuration of a {{Kasten|Site to Site}} connection, this one is selected. }} | ||
{{var | Schritt 1 - Verbindungstyp--Bild | {{var | Schritt 1 - Verbindungstyp--Bild | ||
| | | UTM_v12.6_IPSec_S2S_Schritt1.png | ||
| | | UTM_v12.6_IPSec_S2S_Schritt1-en.png }} | ||
{{var | | {{var | Einrichtungsschritt | ||
| Einrichtungsschritt | | Einrichtungsschritt | ||
| Setup step | | Setup step }} | ||
{{var | Schritt 2 - Allgemein | {{var | Schritt 2 - Allgemein | ||
| Schritt 2 - Allgemein | | Schritt 2 - Allgemein | ||
| Step 2 - General }} | | Step 2 - General }} | ||
{{var | Schritt 2 - Allgemein--Bild | {{var | Schritt 2 - Allgemein--Bild | ||
| | | UTM v12.6.1 IPSec S2S Schritt2 .png | ||
| | | UTM v12.6.1 IPSec S2S Schritt2 -en.png }} | ||
{{var | Name--desc | {{var | Name--desc | ||
| Name für die Verbindung | | Name für die Verbindung | ||
| Name for the connection }} | | Name for the connection }} | ||
{{var | IKE-Multichannel--info | {{var | IKE-Multichannel--info | ||
| Ohne diese Option wird für jede Subnetzkombination eine eigene SA ausgehandelt. Dies hat besonders bei vielen SAs deutliche Nachteile und führt durch das Design des IPSec-Protokolls zu Limitierungen und zu Einbußen in der Stabilität der Verbindungen. Aktiviert wird diese Option bei der Bearbeitung der Konfiguration der Phase 2 mit dem Eintrag ''Subnetzkombinationen gruppieren''. | | Ohne diese Option wird für jede Subnetzkombination eine eigene SA ausgehandelt. Dies hat besonders bei vielen SAs deutliche Nachteile und führt durch das Design des IPSec-Protokolls zu Limitierungen und zu Einbußen in der Stabilität der Verbindungen. Aktiviert wird diese Option bei der Bearbeitung der Konfiguration der Phase 2 mit dem Eintrag ''Subnetzkombinationen gruppieren''. | ||
| Without this option, a separate SA is negotiated for each subnet combination. This has significant disadvantages, especially with numerous SAs, and leads to limitations and losses in the stability of the connections due to the design of the IPSec protocol. This option is activated while editing the phase 2 configuration with the entry ''Group subnet combinations''. }} | | Without this option, a separate SA is negotiated for each subnet combination. This has significant disadvantages, especially with numerous SAs, and leads to limitations and losses in the stability of the connections due to the design of the IPSec protocol. This option is activated while editing the phase 2 configuration with the entry ''Group subnet combinations''. }} | ||
{{var | Schritt 3 - Lokal | {{var | Schritt 3 - Lokal | ||
| Schritt 3 - Lokal | | Schritt 3 - Lokal | ||
| Step 3 - Local }} | | Step 3 - Local }} | ||
{{var | | {{var | Beliebiges Interface | ||
| Beliebiges Interface | | Beliebiges Interface | ||
| Any interface }} | | Any interface }} | ||
{{var | Local Gateway ID--desc | {{var | 1=Local Gateway ID--desc | ||
| Beliebige Zeichenfolge<br>Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein. Auf der Gegenstelle muss dieser Wert exakt genau so konfiguriert werden. | | 2=Beliebige Zeichenfolge.<br> Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein. Auf der Gegenstelle muss dieser Wert exakt genau so konfiguriert werden. | ||
| Any string<br>The gateway ID flows into the authentication. This can be an IP address, a host name or an interface. On the remote gateway, this value must be configured exactly the same way. }} | <li class="list--element__alert list--element__hint">Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich '''vor''' die ID ein doppeltes ''@@'' einzufügen (Aus ''mail@…'' wird ''@@mail@…''). Andernfalls wird die ID als FQDN behandelt</li> <li class="list--elemnt__alert list--element__positiv">Wird bei Authentifizierungsmethode Zertifikat nach Zertifikatsauswahl automatisch ausgefüllt.</li> | ||
| 3=Any string.<br> The gateway ID flows into the authentication. This can be an IP address, a host name or an interface. On the remote gateway, this value must be configured exactly the same way. | |||
<li class="list--element__alert list--element__hint">If an email address should be used as Gateway ID, it is necessary to insert a double ''@@'' '''in front''' of the ID (''mail@...'' becomes ''@@mail@...''). Otherwise the ID will be treated as FQDN</li> <li class="list--elemnt__alert list--element__positiv">Automatically filled in for certificate authentication method after certificate selection.</li> }} | |||
{{var | Schritt 3 - Lokal--Bild | {{var | Schritt 3 - Lokal--Bild | ||
| UTM_v12. | | UTM_v12.6_IPSec_S2S_Schritt3.png | ||
| UTM_v12. | | UTM_v12.6_IPSec_S2S_Schritt3-en.png }} | ||
{{var | Authentifizierungsmethode | {{var | Authentifizierungsmethode | ||
| Authentifizierungsmethode | | Authentifizierungsmethode | ||
| Authentication method }} | | Authentication method }} | ||
{{var | Authentifizierungsmethode--desc | {{var | Authentifizierungsmethode--desc | ||
| Ein Pre-Shared Key wird verwendet | | Ein Pre-Shared Key wird verwendet | ||
| A pre-shared key is in use }} | | A pre-shared key is in use }} | ||
| Zeile 127: | Zeile 93: | ||
| Ein beliebiger PSK | | Ein beliebiger PSK | ||
| An arbitrary PSK }} | | An arbitrary PSK }} | ||
{{var | Pre-Shared Key Hinweis | |||
| Bei Authentifizierungsmethode Pre-Shared Key. | |||
| For authentication method pre-shared key. }} | |||
{{var | Schlüssel erstellen--desc | {{var | Schlüssel erstellen--desc | ||
| Erstellt einen sehr starken Schlüssel | | Erstellt einen sehr starken Schlüssel | ||
| Zeile 133: | Zeile 102: | ||
| Kopiert den PSK in die Zwischenablage | | Kopiert den PSK in die Zwischenablage | ||
| Copies the PSK to the clipboard }} | | Copies the PSK to the clipboard }} | ||
{{var | Zertifikat | {{var | Zertifikat | ||
| Zertifikat | | Zertifikat | ||
| Certificate }} | | Certificate }} | ||
{{var | Zertifikat | {{var | Server-Zertifikat | ||
| Server-Zertifikat | | Server-Zertifikat | ||
| Server certificate }} | | Server certificate }} | ||
| Zeile 151: | Zeile 114: | ||
| Bei Authentifizierungsmethode Zertifikat. | | Bei Authentifizierungsmethode Zertifikat. | ||
| For authentication method certificate. }} | | For authentication method certificate. }} | ||
{{var | AM RSA--desc | {{var | AM RSA--desc | ||
| Ein RSA wird verwendet | | Ein RSA wird verwendet | ||
| Zeile 163: | Zeile 120: | ||
| Nur bei IKEv1. | | Nur bei IKEv1. | ||
| Only for IKEv1. }} | | Only for IKEv1. }} | ||
{{var | RSA--desc | |||
| Hier steht nur ''IKE v1'' zu Verfügung. | |||
| Only ''IKE v1'' is available here. }} | |||
{{var | Zertifikat--desc | {{var | Zertifikat--desc | ||
| Auswahl eines Zertifikates | | Auswahl eines Zertifikates | ||
| Selection of a certificate }} | | Selection of a certificate }} | ||
{{var | Zertifikat--Hinweis | {{var | Zertifikat--Hinweis | ||
| Dieses Zertifikat muss zuvor unter [[:UTM/AUTH/Zertifikate|{{Menu|Authentifizierung|Zertifikate}}]] erstellt werden. | | Dieses Zertifikat muss zuvor unter [[:UTM/AUTH/Zertifikate| {{Menu-UTM|Authentifizierung|Zertifikate}}]] erstellt werden. | ||
| This certificate must be created beforehand under [[:UTM/AUTH/Zertifikate|{{Menu|Authentication|Certificates}}]] | | This certificate must be created beforehand under [[:UTM/AUTH/Zertifikate| {{Menu-UTM|Authentication|Certificates}}]]. }} | ||
{{var | Privater RSA-Schlüssel | {{var | Privater RSA-Schlüssel | ||
| Privater RSA-Schlüssel: | | Privater RSA-Schlüssel: | ||
| Zeile 182: | Zeile 139: | ||
| For authentication method RSA. }} | | For authentication method RSA. }} | ||
{{var | Netzwerke freigeben | {{var | Netzwerke freigeben | ||
| Netzwerke freigeben | | Netzwerke freigeben | ||
| Share networks}} | | Share networks }} | ||
{{var | Netzwerke freigeben--desc | {{var | Netzwerke freigeben--desc | ||
| Lokale Netzwerke, auf die Zugriff gewährt werden soll. | | Lokale Netzwerke, auf die Zugriff gewährt werden soll. | ||
| Zeile 191: | Zeile 148: | ||
| Step 4 - Remote Gateway }} | | Step 4 - Remote Gateway }} | ||
{{var | Schritt 4 - Gegenstelle--Bild | {{var | Schritt 4 - Gegenstelle--Bild | ||
| UTM_v12. | | UTM_v12.6_IPSec_S2S_Schritt4.png | ||
| UTM_v12. | | UTM_v12.6_IPSec_S2S_Schritt4-en.png }} | ||
{{var | Remote Gateway--desc | {{var | Remote Gateway--desc | ||
| Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle | | Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle | ||
| Public IP address (or hostname that can be resolved via DNS) of the remote gateway. }} | | Public IP address (or hostname that can be resolved via DNS) of the remote gateway. }} | ||
{{var | Remote Gateway ID--desc | {{var | Remote Gateway ID--desc | ||
| ID, die auf der Gegenstelle als ''lokale ID'' konfiguriert wurde (beliebige Zeichenfolge) | | ID, die auf der Gegenstelle als ''lokale ID'' konfiguriert wurde (beliebige Zeichenfolge) | ||
| Zeile 215: | Zeile 163: | ||
| RSA key, the public part of which the remote gateway must use to authenticate itself. }} | | RSA key, the public part of which the remote gateway must use to authenticate itself. }} | ||
{{var | Netzwerke freigeben | {{var | Netzwerke freigeben | ||
| Netzwerke freigeben | | Netzwerke freigeben | ||
| Share networks }} | | Share networks }} | ||
{{var | Netzwerke freigeben--desc | {{var | Netzwerke freigeben--desc | ||
| Zeile 221: | Zeile 169: | ||
| The local network of the remote gateway to be accessed }} | | The local network of the remote gateway to be accessed }} | ||
{{var | Beenden | {{var | Beenden | ||
| Beenden des Einrichtungsassistenten mit {{Button| Fertig }} | | Beenden des Einrichtungsassistenten mit {{Button|Fertig}} | ||
| Exit the setup wizard with {{Button| Finish }} }} | | Exit the setup wizard with {{Button|Finish}} }} | ||
{{var | Phase2 bearbeiten | |||
| Phase 2 bearbeiten | |||
| Edit phase 2 }} | |||
{{var | Phase2 bearbeiten--desc | |||
| Bei S2S-Verbindungen sollte geprüft werden, ob sich mehrere Subnetze per ''MULTI_TRAFFIC_SELECTOR'' zusammen fassen lassen. Damit wird die Anzahl der SAs signifikant reduziert und die Stabilität der Verbindung erhöht.<br> Dazu wird in Phase 2 die Option ''Subnetzkombinationen gruppieren'' aktiviert. | |||
| For S2S connections, it should be checked whether several subnets can be combined via ''MULTI_TRAFFIC_SELECTOR''. This significantly reduces the number of SAs and increases the stability of the connection.<br> To do this, the option ''Group subnet combinations'' is activated in phase 2. }} | |||
{{var | Weitere Einstellungen | |||
| Weitere Einstellungen | |||
| More settings }} | |||
{{var | Weitere Einstellungen--desc | |||
| Neben den Einstellungen, die auch schon im Assistenten festgelegt wurden, lassen sich weitere Parameter konfigurieren: | |||
| In addition to the settings that have already been defined in the wizard, further parameters can be configured: }} | |||
{{var | Einstellungen IKEv1 | |||
| Weitere Einstellungen für IKEv1 einblenden | |||
| Show additional settings for IKEv1 }} | |||
{{var | Einstellungen IKEv1 ausblenden | |||
| Weitere Einstellungen für IKEv1 ausblenden | |||
| Hide additional settings for IKEv1 }} | |||
{{var | Einstellungen IKEv2 | |||
| Weitere Einstellungen für IKEv2 einblenden | |||
| Show additional settings for IKEv2 }} | |||
{{var | Regelwerk | {{var | Regelwerk | ||
| Regelwerk | | Regelwerk | ||
| Zeile 233: | Zeile 202: | ||
| Implied rules }} | | Implied rules }} | ||
{{var | Implizite Regeln--Bild | {{var | Implizite Regeln--Bild | ||
| | | UTM_v12.6_Implizite-Regeln_IPSec.png | ||
| | | UTM_v12.6_Implizite-Regeln_IPSec-en.png }} | ||
{{var | Implizite Regeln--cap | {{var | Implizite Regeln--cap | ||
| Screenshot zeigen | | Screenshot zeigen | ||
| Show screenshot }} | | Show screenshot }} | ||
{{var | Implizite Regeln--desc | {{var | Implizite Regeln--desc | ||
| Es ist möglich, aber '''nicht empfehlenswert''' dies mit impliziten Regeln unter {{Menu| Firewall | Implizite Regeln }} Abschnitt {{ic|VPN}} zu konfigurieren.<br> | | Es ist möglich, aber '''nicht empfehlenswert''' dies mit impliziten Regeln unter {{Menu-UTM|Firewall|Implizite Regeln}} Abschnitt {{ic|VPN}} zu konfigurieren.<br> {{Hinweis-box||g}} Diese Impliziten Regeln geben die Ports, die für IPSec Verbindungen genutzt werden, jedoch auf '''allen''' Schnittstellen frei. | ||
{{Hinweis| | | It is possible, but '''not recommended''' to do this with implied rules under {{Menu-UTM| Firewall | Implied Rules }} section {{ic|VPN}} to configure this.<br> {{Hinweis-box||g}} However, these Implied Rules release the ports used for IPSec connections on '''all''' interfaces. }} | ||
| It is possible, but '''not recommended''' to do this with implied rules under {{Menu| Firewall | Implied Rules }} section {{ic|VPN}} to configure this.<br> | |||
{{Hinweis| | |||
{{var | Freigabe-Hinweis | {{var | Freigabe-Hinweis | ||
| '''Grundsätzlich gilt:'''<br>Es wird nur das freigegeben, was benötigt wird und nur für denjenigen, der es benötigt! | | '''Grundsätzlich gilt:'''<br> Es wird nur das freigegeben, was benötigt wird und nur für denjenigen, der es benötigt! | ||
| '''As a general rule:'''<br>Only what is needed and only for the one who needs it is released! }} | | '''As a general rule:'''<br> Only what is needed and only for the one who needs it is released! }} | ||
{{var | Netzwerkobjekt anlegen | {{var | Netzwerkobjekt anlegen | ||
| Netzwerkobjekt anlegen | | Netzwerkobjekt anlegen | ||
| Create network object }} | | Create network object }} | ||
{{var | Netzwerkobjekt anlegen--Bild | {{var | Netzwerkobjekt anlegen--Bild | ||
| | | UTM_v12.6_Netzwerkobjekt_IPSec.png | ||
| | | UTM_v12.6_Netzwerkobjekt_IPSec-en.png }} | ||
{{var | Netzwerkobjekt | {{var | Netzwerkobjekt hinzufügen | ||
| Netzwerkobjekt | | Netzwerkobjekt hinzufügen | ||
| Network | | Add network Object }} | ||
{{var | Netzwerkobjekte | |||
| Netzwerkobjekte | |||
| Network Objects }} | |||
{{var | Netzwerkobjekt anlegen--Menü | {{var | Netzwerkobjekt anlegen--Menü | ||
| Es muss ein Netzwerkobjekt für das entfernte Netz erstellt werden.<br>{{Menu| Firewall | | | Es muss ein Netzwerkobjekt für das entfernte Netz erstellt werden.<br> {{Menu-UTM| Firewall|Netzwerkobjekte| |Objekt hinzufügen|+}} | ||
| A network object must be created for the remote network.<br>{{Menu| Firewall | | A network object must be created for the remote network.<br> {{Menu-UTM|Firewall|Network Objects| |Add Object|+}} }} | ||
{{var | Netzwerkobjekt anlegen--multi | {{var | Netzwerkobjekt anlegen--multi | ||
| Existieren mehrere Subnetze auf der Gegenstelle, muss für jedes Subnetz ein Netzwerkobjekt angelegt werden.<br>Wenn die entsprechenden Berechtigungen vergeben werden sollen, lassen sich diese zu Netzwerkgruppen zusammenfassen. | | Existieren mehrere Subnetze auf der Gegenstelle, muss für jedes Subnetz ein Netzwerkobjekt angelegt werden.<br> Wenn die entsprechenden Berechtigungen vergeben werden sollen, lassen sich diese zu Netzwerkgruppen zusammenfassen. | ||
| If several subnets exist on the remote gateway, a network object must be created for each subnet.<br>If the corresponding authorizations are to be assigned, these can be combined into network groups. }} | | If several subnets exist on the remote gateway, a network object must be created for each subnet.<br>If the corresponding authorizations are to be assigned, these can be combined into network groups. }} | ||
{{var | Name | {{var | Name für das IPSec-S2S-Netzwerkobjekt | ||
| Name für das IPSec-S2S-Netzwerkobjekt | | Name für das IPSec-S2S-Netzwerkobjekt | ||
| Name for the IPSec S2S network object }} | | Name for the IPSec S2S network object }} | ||
| Zeile 277: | Zeile 247: | ||
| Address }} | | Address }} | ||
{{var | Adresse--desc | {{var | Adresse--desc | ||
| Die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite, wie im ''Installationsassistenten'' in ''Schritt 4 - Gegenstelle'' in der Zeile ''Netzwerke freigeben'' eingetragen wurde.<br>In diesem Beispiel also das Netzwerk 192.168.192.0/24. | | Die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite, wie im ''Installationsassistenten'' in ''Schritt 4 - Gegenstelle'' in der Zeile ''Netzwerke freigeben'' eingetragen wurde.<br> In diesem Beispiel also das Netzwerk 192.168.192.0/24. | ||
| The IP address of the local network of the opposite side, as entered in the ''Installation Wizard'' in ''Step 4 - Remote Gateway'' in the line ''Share networks''.<br>So in this example the network 192.168.192.0/24. | | The IP address of the local network of the opposite side, as entered in the ''Installation Wizard'' in ''Step 4 - Remote Gateway'' in the line ''Share networks''.<br> So in this example the network 192.168.192.0/24. }} | ||
{{var | Zone--desc | {{var | Zone--desc | ||
| zu wählende Zone | | zu wählende Zone | ||
| Zeile 291: | Zeile 258: | ||
| Optional: Eine oder mehrere Gruppen, zu denen das Netzwerkobjekt gehört. | | Optional: Eine oder mehrere Gruppen, zu denen das Netzwerkobjekt gehört. | ||
| Optional: One or more groups to which the network object belongs. }} | | Optional: One or more groups to which the network object belongs. }} | ||
{{var | | {{var | Paketfilter Regeln | ||
| | | Paketfilter Regeln | ||
| | | Packet filter rule }} | ||
{{var | Portfilter Regeln--Bild | {{var | Portfilter Regeln--desc | ||
| | | Es müssen zwei Paketfilter Regeln erstellt werden.<br> Menü {{Menu-UTM|Firewall|Paketfilter||Regel hinzufügen|+}}.<br> | ||
| | <li class="list--element__alert list--element__warning">Existieren unterschiedliche Zugriffsrechte von/auf lokale und remote Netzwerke müssen mehrere Paketfilterregeln angelegt werden.</li> | ||
{{var | | | Two packet filter rules must be created.<br> Menu {{Menu-UTM|Firewall|Paketfilter||Add Rule|+}}.<br> | ||
| | <li class="list--element__alert list--element__warning">If there are different access rights from/to local and remote networks, multiple packet filter rules must be setup.</li> }} | ||
| | {{var | Paketfilter | ||
| Paketfilter | |||
| Packetfilter }} | |||
{{var | Paketfilter Regeln--Bild | |||
| UTM_v12.6.5_Firewall_Regel-IPSEC.png | |||
| UTM_v12.6.5_Firewall_Regel-IPSEC-en.png }} | |||
{{var | Paketfilter Regeln--cap | |||
| Paketfilter-Regel | |||
| Packet filter rules }} | |||
{{var | Erste Regel | |||
| Erste Regel | |||
| First rule }} | |||
{{var | Quelle | {{var | Quelle | ||
| Quelle | | Quelle | ||
| Zeile 309: | Zeile 287: | ||
| Ziel | | Ziel | ||
| Destination }} | | Destination }} | ||
{{var | IPSec-Netzwerk | |||
| IPSec-Netzwerk | |||
| IPSec network }} | |||
{{var | Zweite Regel | |||
| Zweite Regel | |||
| Second rule }} | |||
{{var | Kein NAT | |||
| Kein NAT | |||
| No NAT}} | |||
{{var | Ziel--desc | {{var | Ziel--desc | ||
| Host, Netzwerk oder Netzwerkgruppe, auf die der Zugriff gewährt werden soll. Hier z.B. eine Gruppe von rdp-Servern. | | Host, Netzwerk oder Netzwerkgruppe, auf die der Zugriff gewährt werden soll. Hier z.B. eine Gruppe von rdp-Servern. | ||
| Zeile 315: | Zeile 302: | ||
| Dienst | | Dienst | ||
| Service }} | | Service }} | ||
{{var | Dienst | {{var | benötigter Dienst | ||
| benötigter Dienst | | benötigter Dienst | ||
| | | needed service }} | ||
{{var | Dienst--desc | {{var | Dienst--desc | ||
| Dienst oder Dienstgruppe, die benötigt wird | | Dienst oder Dienstgruppe, die benötigt wird | ||
| Zeile 334: | Zeile 321: | ||
* Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt | * Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt | ||
* Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt | * Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt | ||
* | * Paketfilterregeln werden erstellt. | ||
| On the remote gateway, the settings must be made in a similar way | | On the remote gateway, the settings must be made in a similar way | ||
* A new IPSec VPN connection is created using the IPSec wizard | * A new IPSec VPN connection is created using the IPSec wizard | ||
| Zeile 353: | Zeile 340: | ||
| Remote Gateway step 3 }} | | Remote Gateway step 3 }} | ||
{{var | Gegenstelle Schritt3--desc | {{var | Gegenstelle Schritt3--desc | ||
|* Als ''Local Gateway ID'' muss nun die ''Remote Gateway ID aus Schritt 4 der ersten UTM verwendet werden | | | ||
* Als ''Local Gateway ID'' muss nun die ''Remote Gateway ID aus Schritt 4 der ersten UTM verwendet werden | |||
* Unter ''Netzwerke freigeben'' muss ebenfalls das (dort Remote-) Netzwerk aus Schritt 4 der ersten UTM verwendet werden | * Unter ''Netzwerke freigeben'' muss ebenfalls das (dort Remote-) Netzwerk aus Schritt 4 der ersten UTM verwendet werden | ||
| * As ''Local Gateway ID'' the ''Remote Gateway ID from step 4 of the first UTM must now be used | | | ||
* As ''Local Gateway ID'' the ''Remote Gateway ID from step 4 of the first UTM must now be used | |||
* Under ''Share Networks'' the (there remote) network from step 4 of the first UTM must also be used }} | * Under ''Share Networks'' the (there remote) network from step 4 of the first UTM must also be used }} | ||
{{var | Gegenstelle Schritt4 | {{var | Gegenstelle Schritt4 | ||
| Zeile 361: | Zeile 350: | ||
| Remote Gateway step 4 }} | | Remote Gateway step 4 }} | ||
{{var | Gegenstelle Schritt4--desc | {{var | Gegenstelle Schritt4--desc | ||
|* Als ''Remote Gateway'' muss die öffentliche IP-Adresse (oder ein Hostname, der per DNS aufgelöst werden kann) der ersten UTM eingetragen werden.<br><small>(Diese Adresse wurde im Assistenten der ersten UTM '''nicht''' benötigt)</small> | |* Als ''Remote Gateway'' muss die öffentliche IP-Adresse (oder ein Hostname, der per DNS aufgelöst werden kann) der ersten UTM eingetragen werden.<br> <small>(Diese Adresse wurde im Assistenten der ersten UTM '''nicht''' benötigt)</small> | ||
* Als ''Remote Gateway ID'' muss die ''Local Gateway ID'' aus Schritt 3 der ersten UTM verwendet werden | * Als ''Remote Gateway ID'' muss die ''Local Gateway ID'' aus Schritt 3 der ersten UTM verwendet werden | ||
* Unter ''Netzwerke freigeben'' muss ebenfalls das (dort lokale) Netzwerk aus Schritt 3 der ersten UTM verwendet werden | * Unter ''Netzwerke freigeben'' muss ebenfalls das (dort lokale) Netzwerk aus Schritt 3 der ersten UTM verwendet werden | ||
| * The public IP address (or a hostname that can be resolved via DNS) of the first UTM must be entered as ''Remote Gateway''.<br><small>(This address was '''not''' required in the wizard of the first UTM)</small>. | | * The public IP address (or a hostname that can be resolved via DNS) of the first UTM must be entered as ''Remote Gateway''.<br> <small>(This address was '''not''' required in the wizard of the first UTM)</small>. | ||
* The ''Local Gateway ID'' from step 3 of the first UTM must be used as ''Remote Gateway ID | * The ''Local Gateway ID'' from step 3 of the first UTM must be used as ''Remote Gateway ID | ||
* Under ''Share networks'' the (there local) network from step 3 of the first UTM must also be used. }} | * Under ''Share networks'' the (there local) network from step 3 of the first UTM must also be used. }} | ||
| Zeile 371: | Zeile 360: | ||
| Create network object of the remote gateway }} | | Create network object of the remote gateway }} | ||
{{var | Gegenstelle Netzwerkobjekt--desc | {{var | Gegenstelle Netzwerkobjekt--desc | ||
| * Das Netzwerkobjekt der Gegenstelle stellt das Netzwerk der ersten UTM dar.<br>Entsprechend muss unter ''Adresse' die Netzwerkadresse des lokalen Netzes der ersten UTM eingetragen werden. <br>Im Beispiel {{ic|192.168.218.0/24}} | | | ||
| * The network object of the remote gateway represents the network of the first UTM.<br>Correspondingly, the network address of the local network of the first UTM must be entered under ''Address''. <br>In the example {{ic|192.168.218.0/24}} }} | * Das Netzwerkobjekt der Gegenstelle stellt das Netzwerk der ersten UTM dar.<br>Entsprechend muss unter ''Adresse' die Netzwerkadresse des lokalen Netzes der ersten UTM eingetragen werden. <br>Im Beispiel {{ic|192.168.218.0/24}} | ||
| | |||
* The network object of the remote gateway represents the network of the first UTM.<br>Correspondingly, the network address of the local network of the first UTM must be entered under ''Address''. <br>In the example {{ic|192.168.218.0/24}} }} | |||
{{var | Verwendung andere Hersteller | {{var | Verwendung andere Hersteller | ||
| Verwendung von Hardware anderer Hersteller | | Verwendung von Hardware anderer Hersteller | ||
| Use of hardware from other manufacturers }} | | Use of hardware from other manufacturers }} | ||
{{var | Verwendung andere Hersteller--desc | {{var | Verwendung andere Hersteller--desc | ||
|* Die Securepoint UTM kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen. | | | ||
* Die Securepoint UTM kann IPSec-Tunnel zu Gegenstellen aufbauen, die eine korrekte IPSec-Implementierung besitzen. | |||
* Dazu gehören unter anderem: Gateways die Strongswan, Openswan oder Freeswan verwenden (Astaro, IPCop, Cisco IPSec-VPN, Checkpoint usw.). | * Dazu gehören unter anderem: Gateways die Strongswan, Openswan oder Freeswan verwenden (Astaro, IPCop, Cisco IPSec-VPN, Checkpoint usw.). | ||
* Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden. | * Die Konfiguration der Gegenstelle muss dem Handbuch des Herstellers entnommen werden. | ||
Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen. | Die Parameter müssen mit den Einstellungen auf der Securepoint UTM übereinstimmen. | ||
| * The Securepoint UTM can establish IPSec tunnels to remote gateways that have a correct IPSec implementation. | | | ||
* The Securepoint UTM can establish IPSec tunnels to remote gateways that have a correct IPSec implementation. | |||
* These include: Gateways that use Strongswan, Openswan, or Freeswan (Astaro, IPCop, Cisco IPSec VPN, Checkpoint, etc.). | * These include: Gateways that use Strongswan, Openswan, or Freeswan (Astaro, IPCop, Cisco IPSec VPN, Checkpoint, etc.). | ||
* The configuration of the remote gateway must be taken from the manufacturer's manual. | * The configuration of the remote gateway must be taken from the manufacturer's manual. | ||
| Zeile 388: | Zeile 381: | ||
| Hinweise | | Hinweise | ||
| Notes }} | | Notes }} | ||
{{var | Der transparente HTTP-Proxy--Bild | |||
| UTM_v12.6_IPSec_S2S_HNE_bei_transparentem_Proxy.png | |||
| UTM_v12.6_IPSec_S2S_HNE_bei_transparentem_Proxy-en.png}} | |||
{{var | Der transparente HTTP-Proxy--cap | |||
| Transparente Regel | |||
| Transparent rule }} | |||
{{var | Transparente Regel hinzufügen | |||
| Transparente Regel hinzufügen | |||
| Add Transparent rule }} | |||
{{var | Anwendungen | |||
| Anwendungen | |||
| Applications }} | |||
{{var | Der transparente HTTP-Proxy | {{var | Der transparente HTTP-Proxy | ||
| Der transparente HTTP-Proxy | | Der transparente HTTP-Proxy | ||
| The transparent HTTP proxy }} | | The transparent HTTP proxy }} | ||
{{var | Der transparente HTTP-Proxy--desc | {{var | Der transparente HTTP-Proxy--desc | ||
| Wenn aus dem Internen Netzwerk via ''HTTP'' auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. <br>Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. <br>Damit das nicht passiert, muss im Menü {{Menu|Anwendungen|HTTP- | | Wenn aus dem Internen Netzwerk via ''HTTP'' auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. <br>Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. <br>Damit das nicht passiert, muss im Menü {{Menu-UTM|Anwendungen|HTTP-Proxy|Transparenter Modus|Transparente Regel hinzufügen|+}} eine Regel '''Exclude''' mit der Quelle '''internal-network''' zum Ziel '''name-vpn-netzwerk-objekt''' und dem Protokoll '''HTTP''' erstellt werden. | ||
| If a server behind the Site-to-Site connection is to be accessed from the internal network via ''HTTP'', the transparent HTTP proxy may filter the packets. <br>This can lead to errors while accessing the target. <br>To prevent this from happening, a rule '''Exclude''' must be created in the {{Menu|Applications|HTTP- | | If a server behind the Site-to-Site connection is to be accessed from the internal network via ''HTTP'', the transparent HTTP proxy may filter the packets. <br>This can lead to errors while accessing the target. <br>To prevent this from happening, a rule '''Exclude''' must be created in the {{Menu-UTM|Applications|HTTP-Proxy|Transparent mode|Add transparent rule|+}} menu with source '''internal-network''' to target '''name-vpn-network-object''' and protocol '''HTTP'''. }} | ||
{{var | Troubleshooting--desc | {{var | Troubleshooting--desc | ||
| Detaillierte Hinweise zum Troubleshooting finden sich im [[UTM/VPN/IPSec-Troubleshooting | Troubleshooting-Guide]] | | Detaillierte Hinweise zum Troubleshooting finden sich im [[UTM/VPN/IPSec-Troubleshooting | Troubleshooting-Guide]] | ||
| Detailed Troubleshooting instructions can be found in the [[UTM/VPN/IPSec-Troubleshooting | Troubleshooting Guide]] }} | | Detailed Troubleshooting instructions can be found in the [[UTM/VPN/IPSec-Troubleshooting | Troubleshooting Guide]] }} | ||
{{var | | {{var | IKE Version--desc | ||
| | | Auswahl der IKE Version. | ||
| | | Selection of the IKE version. }} | ||
{{var | | {{var | IKEv1--deprecated | ||
| | | IKE v1 gilt als veraltet und sollte nicht mehr genutzt werden | ||
| | | IKE v1 is considered deprecated and should no longer be used }} | ||
{{var | IKEv2-Subnetzhinweis | |||
{{var | | | Bei Verwendung von '''IKE v2''' ist es möglich, mehrere Subnetze unter einer SA zusammenzufassen (default für neu angelegte Verbindungen). | ||
| When using '''IKE v2''' it is possible to combine multiple subnets under one SA (default for newly created connections). }} | |||
{{var | veraltet | |||
| veraltet | |||
| | | deprecated }} | ||
| | {{var | Nur private Zertifikate--Hinweis | ||
| Es sind nur Zertifikate mit privatem Schlüssel-Teil auswählbar | |||
| }} | |||
{{var | | |||
| | |||
| | |||
{{var | | |||
| | |||
| | |||
---- | ---- | ||
{{var | | {{var | | ||
| | | | ||
UTM/VPN/IPSec-S2S.lang: Unterschied zwischen den Versionen
Aus Securepoint Wiki