Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/IPSec-EAP: Unterschied zwischen den Versionen

Aus Securepoint Wiki
(Die Seite wurde neu angelegt: „{{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{:UTM/VPN/IPSec-EAP.lang}} </div>{{TOC2|toclevel=3}} {{Header|12.2.4| * EAP-mschapv2 ||{{Menu|VPN|IPSec|{{#var:Verbindungen}}|{{#var:IPSec Verbindung hinzufügen}}|+}} |new=true}} <!-- === {{#var:Einleitung}} === <div class="einrücken"> {{#var:Einleitung--desc}} </div> --> ---- === {{#var:Vorbereitungen}} === ==== {{#var:Benutzerrechte und Einstellungen}} ==== <br clear?all> {| class="sptable2 pd5…“)
 
Keine Bearbeitungszusammenfassung
 
(2 dazwischenliegende Versionen von einem anderen Benutzer werden nicht angezeigt)
Zeile 4: Zeile 4:
{{:UTM/VPN/IPSec-EAP.lang}}
{{:UTM/VPN/IPSec-EAP.lang}}


</div>{{TOC2|toclevel=3}}
</div><div class="new_design"></div>{{TOC2|limit=3}}{{Select_lang}}
{{Header|12.2.4|
{{Header|12.6.0|
* EAP-mschapv2
* {{#var:neu--rwi}}
||{{Menu|VPN|IPSec|{{#var:Verbindungen}}|{{#var:IPSec Verbindung hinzufügen}}|+}}
|[[UTM/VPN/IPSec-EAP_v12.2|12.2]]
|new=true}}
|{{Menu-UTM|VPN|IPSec|{{#var:Verbindungen}}|{{#var:IPSec Verbindung hinzufügen}}|+}}
}}


<!--
<!--
Zeile 21: Zeile 22:


==== {{#var:Benutzerrechte und Einstellungen}} ====
==== {{#var:Benutzerrechte und Einstellungen}} ====
<br clear?all>


{| class="sptable2 pd5 zh1 einrücken"
{| class="sptable2 pd5 zh1 einrücken"
Zeile 29: Zeile 29:
|-
|-
! {{#var:Aktiv}} !! {{#var:Berechtigung}} !! {{#var:desc}}
! {{#var:Aktiv}} !! {{#var:Berechtigung}} !! {{#var:desc}}
| class="Bild" rowspan="4"| {{Bild|{{#var:IPSec-EAP aktivieren--Bild}}|{{#var:IPSec-EAP aktivieren--cap}} }}
| class="Bild" rowspan="4" | {{Bild| {{#var:IPSec-EAP aktivieren--Bild}} |{{#var:IPSec-EAP aktivieren--cap}}||{{#var:Gruppe hinzufügen}}|{{#var:Authentifizierung}}|{{#var:Benutzer}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{ButtonAn|{{#var:Ein}} }} || {{b|{{#var:IPSec-EAP}} }} || {{#var:IPSec-EAP--desc}}
| {{ButtonAn|{{#var:Ein}} }} || {{b|IPSec EAP}} || {{#var:IPSec-EAP--desc}}
|- class=noborder
|- class=noborder
| colspan="3" | {{#var:IPSec-EAP berechtigte Gruppe--desc}}
| colspan="3" | {{#var:IPSec-EAP berechtigte Gruppe--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|  
|  
|- class="Leerzeile"
| <br>
|- class="noborder"
|- class="noborder"
| colspan="3" |  
| colspan="3" |  
====== {{#var:Benutzer anlegen}} ======
====== {{#var:Benutzer anlegen}} ======
|-
|-
!{{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="4"| {{Bild| {{#var:EAP Passwort--Bild}}|{{#var:EAP Passwort--cap}} }}
| class="Bild" rowspan="4" | {{Bild| {{#var:EAP Passwort--Bild}} |||{{#var:Benutzer hinzufügen}}|{{#var:Authentifizierung}}|{{#var:Benutzer}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|{{#var:EAP Passwort}}: }} || {{ic|<nowiki>****************</nowiki>|class=available}} || {{#var:EAP Passwort--desc}}<li class="list--element__alert list--element__hint">{{#var:EAP Passwort-Hinweis}}</li>
| {{b|{{#var:EAP Passwort}}: }} || {{ic|<nowiki>****************</nowiki>|class=available}} || {{#var:EAP Passwort--desc}}<li class="list--element__alert list--element__hint">{{#var:EAP Passwort-Hinweis}}</li>
|- class=noborder
|- class="noborder"
| colspan="3" | {{#var:Benutzer anlegen--desc}}
| colspan="3" | {{#var:Benutzer anlegen--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|  
|  
|}
|}
<br clear=all>
----


----


=== {{#var:IPSec konfigurieren}} ===
=== {{#var:IPSec konfigurieren}} ===
<div class="einrücken">
 
==== {{#var:Vorbereitungen}} ====
==== {{#var:Vorbereitungen}} ====
<div class="Einrücken">


===== {{#var:CA und Zertifikat}} =====
===== {{#var:CA und Zertifikat}} =====
Zeile 64: Zeile 60:
{{#var:CA und Zertifikat--desc}}
{{#var:CA und Zertifikat--desc}}
</div>
</div>
===== {{#var:DHCP einrichten}} =====
===== {{#var:DHCP einrichten}} =====
<div class="einrücken">
<div class="einrücken">
{{#var:DHCP einrichten--desc}}
{{#var:DHCP einrichten--desc}}
{{Einblenden2|{{#var:IPSec DHCP anzeigen}}|{{#var:hide}}|true|dezent|{{:UTM/VPN/IPSec-DHCP}} }}
{{Einblenden2|{{#var:IPSec DHCP anzeigen}}|{{#var:hide}}|true|dezent|{{:UTM/VPN/IPSec-DHCP}} }}
</div>
</div></div>
</div>
<br clear=all>
<br clear=all>


==== {{#var:IPSec Roadwarrior Verbindung erstellen}} ====
==== {{#var:IPSec Roadwarrior Verbindung erstellen}} ====
<div class="einrücken">{{#var:IPSec Verbindung erstellen--desc}}</div>
<div class="einrücken">
{{#var:IPSec Verbindung erstellen--desc}}
</div>


{| class="sptable pd5 zh1 einrücken"
{| class="sptable pd5 zh1 einrücken"
|-  
|- class="Leerzeile"
| class="Leerzeile" colspan="3" | {{h5| {{#var:Verbindungstyp}} | {{#var:Schritt}} 1 - {{#var:Verbindungstyp}} }}
| colspan="3" | {{h5|{{#var:Verbindungstyp}} | {{#var:Schritt}} 1 - {{#var:Verbindungstyp}} }}
|-
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}  
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}  
| class="Bild" rowspan="3" | {{Bild | {{#var:Verbindungstyp--Bild}}|{{#var:Verbindungstyp--cap}} }}
| class="Bild" rowspan="3" | {{Bild| {{#var:Verbindungstyp--Bild}} |{{#var:Verbindungstyp--cap}}||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
|-
|-
| {{#var:Verbindungstyp--wählen}} || {{ic|Roadwarrior}} || {{#var:Verbindungstyp--wählen--desc}}
| {{#var:Verbindungstyp--wählen}} || {{ic|Roadwarrior}} || {{#var:Verbindungstyp--wählen--desc}}
Zeile 86: Zeile 84:
|
|
|- class="Leerzeile"  
|- class="Leerzeile"  
| colspan="3"| {{h5| {{#var:Allgemein}} | {{#var: Schritt}} 2 - {{#var: Allgemein}} }}
| colspan="3" | {{h5|{{#var:Allgemein}} | {{#var: Schritt}} 2 - {{#var: Allgemein}} }}
|-
|-
| {{b|{{#var:Name}} }} || {{ic|{{#var:Name--val}}|class=available}} || {{#var:Name--desc}}
| {{b|Name:}} || {{ic|IPsec Roadwarrior|class=available}} || {{#var:Name--desc}}
| class="Bild" rowspan="3" | {{Bild|{{#var:IPSec Verbindung erstellen--Schritt2--Bild}}|{{#var: Schritt}} 2 - {{#var: Allgemein}} }}
| class="Bild" rowspan="3" | {{Bild| {{#var:IPSec Verbindung erstellen--Schritt2--Bild}} |{{#var: Schritt}} 2 - {{#var: Allgemein}} }}
|-
|-
| {{b|{{#var:Verbindungstyp}}: }} || {{Button|{{#var:Verbindungstyp--val}}|dr|class=available}} || {{#var:Verbindungstyp--desc}}
| {{b|{{#var:Verbindungstyp}}:}} || {{Button|IKEv2 - Native|dr|class=available}} || {{#var:Verbindungstyp--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
|- class="Leerzeile"
| colspan="3" | {{h5|{{#var:Lokal}} | {{#var: Schritt}} 3 - {{#var:Lokal}} }}
|-
|-
| class="Leerzeile" colspan="3"| {{h5| {{#var:Lokal}} | {{#var: Schritt}} 3 - {{#var:Lokal}} }}
| {{b|Local Gateway ID:}} || {{ic||dr|class=available}} || {{#var:Local Gateway ID--desc}}
|-
| class="Bild" rowspan="5" | {{Bild| {{#var:IPSec Verbindung erstellen--Schritt3--Bild}} |{{#var: Schritt}} 3 - {{#var:Lokal}} }}
| {{b|{{#var:Local Gateway ID}} }} || {{ic||dr|class=available}} || {{#var:Local Gateway ID--desc}}
| class="Bild" rowspan="5" | {{Bild|{{#var:IPSec Verbindung erstellen--Schritt3--Bild}}|{{#var: Schritt}} 3 - {{#var:Lokal}} }}
|-
|-
| {{b|{{#var:Authentifizierungsmethode}} }} || {{Button|{{#var:Authentifizierungsmethode--val}}|dr|class=available}} || {{#var:Authentifizierungsmethode--desc}}
| {{b|{{#var:Authentifizierungsmethode}} }} || {{Button|{{#var:Authentifizierungsmethode--val}}|dr|class=available}} || {{#var:Authentifizierungsmethode--desc}}
|-
|-
| {{b|{{#var:X.509 Zertifikat}} }} || {{Button|{{#var:X.509 Zertifikat--val}}|dr|class=available}} || {{#var:X.509 Zertifikat--desc}}
| {{b|{{#var:X.509 Zertifikat}} }} || {{Button|IPSec Cert|dr|class=available}} || {{#var:X.509 Zertifikat--desc}}
|-
|-
| {{b|{{#var:Netzwerk freigeben}} }} || {{ic|{{#var:Netzwerk freigeben--val}}|dr|class=available}} || {{#var:Netzwerk freigeben--desc}}
| {{b|{{#var:Netzwerk freigeben}} }} || {{ic|192.168.222.1/24|dr|class=available}} || {{#var:Netzwerk freigeben--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
|- class="Leerzeile"
| colspan="3" | {{h5|{{#var:Gegenstelle}} | {{#var: Schritt}} 4 - {{#var:Gegenstelle}} }}
|-
|-
| class="Leerzeile" colspan="3"| {{h5| {{#var:Gegenstelle}} | {{#var: Schritt}} 4 - {{#var:Gegenstelle}} }}
| {{b|Remote Gateway ID:}} || {{ic|203.0.113.113/24|dr|class=available}} || {{#var:Remote Gateway ID--desc}}
|-
| class="Bild" rowspan="5" | {{Bild| {{#var:IPSec Verbindung erstellen--Schritt4--Bild}} |{{#var: Schritt}} 4 - {{#var:Lokal}} }}
| {{b|{{#var:Remote Gateway ID}} }} || {{ic|{{#var:Remote Gateway ID--val}}|dr|class=available}} || {{#var:Remote Gateway ID--desc}}
| class="Bild" rowspan="5" | {{Bild|{{#var:IPSec Verbindung erstellen--Schritt4--Bild}}|{{#var: Schritt}} 4 - {{#var:Lokal}} }}
|-
|-
| {{b|{{#var:Authentifizierungsmethode4}} }} || {{Button|{{#var:Authentifizierungsmethode4--val}}|dr|class=available}} || {{#var:Authentifizierungsmethode4--desc}}
| {{b|{{#var:Authentifizierungsmethode4}} }} || {{Button|EAP MSCHAPv2|dr|class=available}} || {{#var:Authentifizierungsmethode4--desc}}
|-
|-
| {{b|{{#var:Benutzergrupppe}} }} || {{Button|{{#var:Benutzergrupppe--val}}|dr|class=available}} || {{#var:Benutzergrupppe--desc}}
| {{b|{{#var:Benutzergruppe}} }} || {{Button|{{#var:Benutzergruppe--val}}|dr|class=available}} || {{#var:Benutzergruppe--desc}}
|-
|-
| {{b|{{#var:IP-Adresse/Pool}} }} || {{ic|{{#var:IP-Adresse/Pool--val}}|class=available}} || {{#var:IP-Adresse/Pool--desc}}
| {{b|{{#var:IP-Adresse/Pool}} }} || {{ic|192.168.22.35|rechts|icon=/32 |iconw=x|class=available}} || {{#var:IP-Adresse/Pool--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
| colspan="2" | {{Button| {{#var:Fertig}} }} || {{#var:Fertig--desc}}
| colspan="2" | {{Button| {{#var:Fertig}} }} || {{#var:Fertig--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
| <br>
|
|-class="Leerzeile"
|-class="Leerzeile"
| colspan="3" | {{#var:Phase 2--desc}}
| colspan="3" | {{#var:Phase 2--desc}}
| class="Bild width-xl" rowspan="2" | {{Bild | {{#var:Phase 2--Bild}}|{{#var:Phase 2--cap}} }}
| class="Bild" rowspan="2" | {{Bild| {{#var:Phase 2--Bild}}|{{#var:Phase 2--cap}} ||{{#var:Phase 2 bearbeiten}}|VPN|IPSec|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
|}
|}

Aktuelle Version vom 28. Februar 2025, 11:42 Uhr





































































De.png
En.png
Fr.png









Konfiguration einer IPSec-Verbindung mit EAP-MSCHAPv2

Letzte Anpassung zur Version: 12.6.0

Neu:
  • Aktualisierung zum Redesign des Webinterfaces
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 VPN IPSec  Bereich Verbindungen Schaltfläche IPSec Verbindung hinzufügen

Vorbereitungen

Benutzerrechte und Einstellungen

Gruppe mit Berechtigung IPSec EAP
Aktiv Berechtigung Beschreibung Gruppe hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungBenutzer UTM v12.6.4 IPSec-EAP Berechtigungen IPSec EAP.pngIn dieser neuen Gruppe muss IPSec EAP noch aktiviert werden.
Ein IPSec EAP Aktiviert Microsoft CHAPv2 für IPSec Verbindungen mit IKEv2
  • Menü Authentifizierung Benutzer  Bereich Gruppe
  • Schaltfläche
Gruppe bearbeiten
oder
Gruppe hinzufügen
  • Breich Berechtigungen
  • IPSEC EAP aktivieren

Weitere Konfigurationsmöglichkeiten im Wiki-Artikel zu Benutzer Gruppen

Benutzer Konfiguration
Beschriftung Wert Beschreibung Benutzer hinzufügen UTMbenutzer@firewall.name.fqdnAuthentifizierungBenutzer UTM v12.6.4 IPSec-EAP Berechtigungen MSCHAPv2 Passwort.png
EAP MSCHAPv2 Passwort: **************** Ein entsprechendes Passwort wird eingetragen.
  • Aus Sicherheitsgründen sollte sich das EAP Passwort von dem allgemeinen Passwort des Benutzers unterscheiden.
    • Menü Authentifizierung Benutzer  Bereich Benutzer
    • Schaltfläche
    Benutzer bearbeiten
    oder
    Benutzer hinzufügen
    • Bereich Allgemein
    Die Benutzerinnen oder Benutzer müssen Mitglied der soeben konfigurierten Gruppe mit der Berechtigung IPSEC EAP sein
    • Bereich VPN/ Abschnitt
      IPSec
    MSCHAPv2 Passwort eintragen

    Weitere Konfigurationsmöglichkeiten im Wiki-Artikel zur Benutzerverwaltung


    IPSec konfigurieren

    Vorbereitungen

    CA und Serverzertifikat erstellen

    Für eine IPSec Verbindung ist ein entsprechendes CA und Serverzertifikat notwendig. Falls dies noch nicht vorhanden sind, so müssen diese neu erstellt werden.

    DHCP einrichten

    Falls gewünscht, können Clients per DHCP IP-Adressen aus einem lokalen Netz erhalten.
    Dazu müssen ein paar allgemein Einstellungen vorgenommen werden.














































    Vorbereitung
    Auf dem DHCP-Server muss ein IP-Adressbereich für das Netz der gewählten Schnittstelle zur Verfügung stehen.

    Auf der UTM wird dies unter Netzwerk Netzwerkkonfiguration  Bereich DHCP-Pools konfiguriert.
    Weitere Hinweise zur Einrichtung im Wiki Artikel zu DHCP.

    IPSec DHCP Einstellungen

    Menü VPN IPSec  Bereich DHCP

    Beschriftung Wert Beschreibung IPSec UTMbenutzer@firewall.name.fqdnVPN IPSec Log Speichern und neustarten UTM v12.6.4 IPSec-DHCP.pngDialog zu den globalen DHCP Einstellungen für IPSec-Clients
    Modus notempty
    Neu ab v12.5.0
    		 ServerSchnittstelle Legt fest, ob DHCP-Anfragen an einen bestimmten Server oder über eine Schnittstelle als Broadcast gesendet werden
    DHCP-Server:
    Nur bei Modus Server    		 192.168.222.1 Legt die Adresse des zu verwendenden DHCP-Servers fest. Es kann auch eine Unicast-Adresse sein. Beispielsweise zu verwenden bei entfernten DHCP-Servern, die nur über geroutete Netzwerke erreichbar sind.
    DHCP-Schnittstelle:
    Nur bei Modus Schnittstelle    		 LAN2 (UTM-Pools: xyz) Legt ein Interface fest, über das DHCP-Anfragen des Clients als Broadcast weitergeleitet werden.

    Damit kann der DHCP-Server der UTM oder andere DHCP-Server im lokalen Netz (lokale Schnittstelle) angesprochen werden.
    Es werden ggf. die Namen der Pools angezeigt, die unter unter Netzwerk Netzwerkkonfiguration  Bereich DHCP-Pools konfiguriert wurden und die zu einem Netzwerk gehören, daß auf der Schnittstelle konfiguriert ist

    Statische DHCP-Identität: Aus Bei Ein wird für jeden Client aus seiner IPSec-Identity (z.B. Zertifikat DN, EAP-Identity) eine statische DHCP client identity und MAC-Adresse erzeugt, um die Zuweisung statischer IP-Adressen durch den Server zu ermöglichen.
    Speichern und neustarten
    		 Speichert die Einstellungen und startet den IPSec Dienst neu

    notempty

    Dabei werden alle bestehenden IPSec-Verbindungen unterbrochen



    IPSec Roadwarrior Verbindung erstellen

    Verbindung mit dem Einrichtungs-Assistenten hinzufügen unter: VPN IPSec  Bereich Verbindungen Schaltfläche IPSec Verbindung hinzufügen

    Verbindungstyp
    Schritt 1 - Verbindungstyp
    Beschriftung Wert Beschreibung IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 IPSec-EAP Verbindungsassistent Schritt 1.pngAuswahl des Verbindungs-Typs
    Auswahl des Verbindungs-Typs Roadwarrior Für die Konfiguration einer E2S / End-to-Site-Verbindung mit MSCHAPv2 wird Roadwarrior ausgewählt.
    Allgemein
    Schritt 2 - Allgemein
    Name: IPsec Roadwarrior Name der IPSec-Verbindung UTM v12.6.4 IPSec-EAP Verbindungsassistent Schritt 2.png
    Schritt 2 - Allgemein
    Verbindungstyp: IKEv2 - Native Als Verbindungstyp wird IKEv2 ausgewählt
    Lokal
    Schritt 3 - Lokal
    Local Gateway ID:     Die Local Gateway ID wird eingetragen. Bei Auswahl des Zertifikats wird dies automatisch ausgefüllt. UTM v12.6.4 IPSec-EAP Verbindungsassistent Schritt 3.png
    Schritt 3 - Lokal
    Authentifizierungsmethode: Zertifikat Zertifikat wird ausgewählt
    X.509 Zertifikat: IPSec Cert Es sollte ein Zertifikat gewählt werden, das ausschließlich für diese IPSec Verbindung zuständig ist
    Netzwerk freigeben: 192.168.222.1/24 Das lokale Netzwerk, welches für die IPSec-Verbindung freigegeben werden soll
    Gegenstelle
    Schritt 4 - Gegenstelle
    Remote Gateway ID: 203.0.113.113/24 Die IP-Adresse, bzw. die Gateway ID der Gegenstelle UTM v12.6.4 IPSec-EAP Verbindungsassistent Schritt 4.png
    Schritt 4 - Lokal
    Authentifizierungsmethode: EAP MSCHAPv2 Als Authentifizierungsmethode für die Gegenstelle wird EAP-MSCHAPv2 ausgewählt
    Benutzergruppe: IPSec-Benutzergruppe Die zuvor erstellte Benutzergruppe wird ausgewählt
    IP-Adresse/Pool: 192.168.22.35/32 Die IP-Adresse (z.B.: 192.168.22.35/32), oder Pool in Form eines Subnetzes (z.B.: 192.168.22.35/26 für den Pool von 192.168.22.0 -192.168.22.63) welche unter IPSec genutzt wird.
    Fertig Speichert die Eingaben und schließt den Assistenten
    Falls die Clients IP-Adressen aus einem internen Netzwerk erhalten sollen, kann dies nun
    in den Einstellungen zu Phase 2 Bereich Allgemein mit DHCP: Ein aktiviert werden.     		Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 IPSec-EAP Phase 2 bearbeiten.pngDas aktivierte DHCP
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-EAP&oldid=94887“