Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/SSL VPN-S2S: Unterschied zwischen den Versionen

Aus Securepoint Wiki
← Zum vorherigen Versionsunterschied
K 1 Version importiert
K 1 Version importiert
 
(5 dazwischenliegende Versionen von 3 Benutzern werden nicht angezeigt)
Zeile 6: Zeile 6:
{{var | neu--Zertifikate-deprecated
{{var | neu--Zertifikate-deprecated
| Hinweis zu den [[#deprecated|aktuellen Zertifikats-Anforderungen]] hinzugefügt
| Hinweis zu den [[#deprecated|aktuellen Zertifikats-Anforderungen]] hinzugefügt
| }}
| Note added regarding the [[#deprecated|current certificate requirements]]
| Dodano informację dotyczącą [[#deprecated|aktualnych wymagań dotyczących certyfikatów]] }}
{{var | neu--Neuer Default Cipher
{{var | neu--Neuer Default Cipher
| Default Wert für den [[#Abschnitt_Allgemein|Cipher für Datenverbindung]] auf ''AES-256-GCM'' aktualisiert
| Default Wert für den [[#Abschnitt_Allgemein|Cipher für Datenverbindung]] auf ''AES-256-GCM'' aktuavpn-ssl-S2S-clientlisiert
| Default value for the [[#Section_General|Cipher for data connection]] updated to ‘'AES-256-GCM’' }}
| Default value for the [[#Section_General|Cipher for data connection]] updated to ‘'AES-256-GCM’'
{{var | neu--deprecated
| Wartość domyślna dla [[#Section_General|Algorytm szyfrowania połączenia danych]] została zaktualizowana do ‘'AES-256-GCM’' }}
{{var | neu-Replay window Sequenzgröße:-deprecated
| [[#Site-to-Site_Server_Konfiguration | Abkündigung für veraltete Zertifikate ergänzt]]
| [[#Site-to-Site_Server_Konfiguration | Abkündigung für veraltete Zertifikate ergänzt]]
| [[#Site-to-Site_Server_Configuration | Termination notice for deprecated certificates added]] }}
| [[#Site-to-Site_Server_Configuration | Termination notice for deprecated certificates added]]
| [[#Site-to-Site_Server_Configuration | Dodano powiadomienie o wycofaniu przestarzałych certyfikatów]] }}
{{var | ab
| ab
| as of
| od }}
{{var | neu--nur AES Cipher
| Es werden nur noch [[#cipher | AES basierte ''Cipher für Datenverbindung'']] unterstützt
| Only [[#cipher | AES-based ''Cipher for data connection'']] are now supported
| Obecnie obsługiwany jest wyłącznie [[#cipher | algorytm szyfrowania oparty na ''standardzie AES dla połączenia danych'']] }}
{{var | neu--deprecated cipher
| Folgende Cipher werden ab v14.1.3 nicht mehr unterstützt:
| The following ciphers will no longer be supported from version 14.1.3 onwards:
| Od wersji 14.1.3 następujące szyfry nie będą już obsługiwane: }}
 
{{var | neu--Reconnect
| Beschreibung der [[#aktionen|verfügbaren Schaltflächen ergänzt, inklusive der neuen ''Reconnect''-Funktion]]
| Description of the [[#aktionen|available buttons updated], including the new ''Reconnect'' function)
| Dodano opis dostępnych przycisków, w tym nowej funkcji ''Reconnect'': [[#aktionen|Wiki]] }}
{{var | neu--Status
| Beschreibung der [[#status|Stati ergänzt, inklusive der neuen Status-Lampe]]
| Description of the [[#status|statuses]] updated, including the new status light
| Uzupełniono opis stanów, w tym nową lampkę stanu: [[#status|Wiki]] }}
{{var | neu--erweitert
| Beschreibung der [[#Abschnitt_Erweitert|allgemeinen und erweiterten Konfigurationseinstellungen]] ergänzt
| Description of the [[#Abschnitt_Erweitert|general and advanced configuration settings]] added
| Dodano opis ogólnych i rozszerzonych ustawień konfiguracyjnych: [[#Abschnitt_Erweitert|Wiki]] }}
 


{{Rollout|1024-deprecated}}
{{Rollout|1024-deprecated}}


</div><div class="new_design"></div>{{TOC2|toclevel=3}}{{Select_lang}}
</div><div class="new_design"></div>{{TOC2|toclevel=3}}{{Select_lang-dr|en pl}}
{{Header|14.1.2|
{{Header|14.2.1|
* {{#var:neu--Reconnect}}
* {{#var:neu--Status}}|vorher-ver=14.1.5
| vorher=
* {{#var:neu--nur AES Cipher}}
* {{#var:neu--Zertifikate-deprecated}}
* {{#var:neu--Zertifikate-deprecated}}
* {{#var:neu--Neuer Default Cipher}}
* {{#var:neu--Neuer Default Cipher}}
|[[UTM/VPN/SSL VPN-S2S_v12.7 | 12.7.1]]
| zuletzt=10.2026
* {{#var:neu--erweitert}}
|[[UTM/VPN/SSL_VPN-S2S_v14.1.5| 14.1.5]]
[[UTM/VPN/SSL VPN-S2S_v12.7 | 12.7.1]]
[[UTM/VPN/SSL VPN-S2S_v12.4.1 | 12.4.1]]
[[UTM/VPN/SSL VPN-S2S_v12.4.1 | 12.4.1]]
[[UTM/VPN/SSL VPN-S2S_v11.8.7 | 11.8.7]]
[[UTM/VPN/SSL VPN-S2S_v11.8.7 | 11.8.7]]
Zeile 27: Zeile 63:
[[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]]
[[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]]
| {{Menu-UTM|VPN|SSL-VPN}}
| {{Menu-UTM|VPN|SSL-VPN}}
| zuletzt=09.2025
<!--| zuletzt=09.2025
* {{#var:neu--deprecated}}
* {{#var:neu--deprecated}}-->
}}
}}
----
----
Zeile 35: Zeile 71:
=== {{#var:Einleitung}} ===
=== {{#var:Einleitung}} ===
: {{#var:Einleitung--desc}}
: {{#var:Einleitung--desc}}




Zeile 43: Zeile 80:
<div>{{h-4| Site-to-Site Client }}<i class="host utm"> S2S Client</i></div>
<div>{{h-4| Site-to-Site Client }}<i class="host utm"> S2S Client</i></div>
: {{#var:Site-to-Site Client--desc}}
: {{#var:Site-to-Site Client--desc}}
<div class=Einrücken>
<span id="aktionen"></span>
{{Bild|{{#var:SSL VPN--Bild}}|{{#var:SSL VPN--cap}}|class=Bild-t}}
<span id="aktionen"></span>
{{#var:folgende Aktionen verfügbar}}<br>
* {{Button||class=fas fa-chart-bar}} <span class="Hover">{{#var:SSL-VPN Log anzeigen}}</span>
* {{Button||+}} <span class="Hover">{{#var:Hinzufügen}}</span> {{#var:kontextabhängig}}
* {{Button||w}} <span class="Hover">{{#var:Bearbeiten}}</span>
* {{Hinweis-box|{{#var:neu ab}} v14.2.1|gr|14.2.4|status=neu}}<br>{{Button||class=fas fa-signal-stream-slash}} <span class="Hover">{{#var:Reconnect}} </span> {{info|{{#var:Reconnect-Info}} }}
* {{Button||d}} <span class="Hover">{{#var:Download}}</span>
* {{Button||trash}} <span class="Hover">{{#var:Löschen}}</span>
</div>
<div class=Einrücken>
<span id="aktionen"></span>
<span id="status"></span>
{{#var:Status--desc}}<br>
<p><i class="fas fa-check-circle" style="color: #3EAB30;"></i> {{#var:Status1--desc}}</p>
<p><i class="fas fa-times-circle" style="color: #515151;"></i> {{#var:Status2--desc}}</p>
<p><i class="fas fa-clock" style="color: #E9C321;"></i> {{#var:Status3--desc}}</p>
<br clear=all>
</div>
----
----


=== {{#var:Site-to-Site Server Konfiguration}} ===
=== {{#var:Site-to-Site Server Konfiguration}} ===
Zeile 60: Zeile 120:


===== {{#var:Installationsassistent}} =====
===== {{#var:Installationsassistent}} =====
{{h6| {{#var:Schritt}} 1 | 2={{#var:Schritt}} 1 <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Schritt}} 1 | 2={{#var:Schritt}} 1 <i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:S2S Server Schritt 1--Bild}} | {{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
{{Bild| {{#var:S2S Server Schritt 1--Bild}} | {{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
<div class="Einrücken">
<div class="Einrücken">
Zeile 67: Zeile 127:




{{h6| {{#var:Schritt}} 2 | 2={{#var:Schritt}} 2 <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Schritt}} 2 | 2={{#var:Schritt}} 2 <i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:S2S Server Schritt 2--Bild}} | {{#var:Installationsschritt}} 2|class=Bild-t}}
{{Bild| {{#var:S2S Server Schritt 2--Bild}} | {{#var:Installationsschritt}} 2|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 74: Zeile 134:




{{h6| {{#var:Schritt}} 3 | 2={{#var:Schritt}} 3 <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Schritt}} 3 | 2={{#var:Schritt}} 3 <i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:S2S Server Schritt 3--desc}}
{{#var:S2S Server Schritt 3--desc}}
Zeile 84: Zeile 144:
| class="Bild" rowspan="7" | {{Bild| {{#var:S2S Server Schritt 3--Bild}} |{{#var:Installationsschritt}} 3}}
| class="Bild" rowspan="7" | {{Bild| {{#var:S2S Server Schritt 3--Bild}} |{{#var:Installationsschritt}} 3}}
|-
|-
| {{b|Name:}} || {{ic|S2S}}-server || {{#var:Eindeutiger Name}}
| {{b|Name:}} || {{ic|{{#var:Name-Server--val}}-server|class=available}} || {{#var:Eindeutiger Name}}
|-
|-
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=mw8}} || {{#var:Protokoll--desc}}
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=mw8}} || {{#var:Protokoll--desc}}
Zeile 90: Zeile 150:
| {{b|Port:}} || {{ic|1194|c}} || {{#var:Port--desc}}
| {{b|Port:}} || {{ic|1194|c}} || {{#var:Port--desc}}
|-
|-
| {{b|{{#var:Serverzertifikat}}:}}{{info|{{Hinweis-box||gr|12.7.1|status=update}}{{#var:Nur private Zertifikate--Hinweis}} }}  || {{Button|cs-ttt-point|dr|class=available}} || {{#var:Serverzertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
| {{b|{{#var:Serverzertifikat}}:}}{{info|{{Hinweis-box||gr|12.7.1|status=update}}{{#var:Nur private Zertifikate--Hinweis}} }}  || class=mw14 | {{Button|{{#var:Serverzertifikat--var}}|dr|class=available}} || {{#var:Serverzertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
|-
|-
| {{b|{{#var:Servernetzwerke freigeben}}: }} || {{ic| {{cb| 192.168.175.0/24}} |cb}} || {{#var:Servernetzwerke freigeben--desc}}
| {{b|{{#var:Servernetzwerke freigeben}}: }} || {{ic| {{cb| 192.168.175.0/24}} |cb}} || {{#var:Servernetzwerke freigeben--desc}}
Zeile 98: Zeile 158:




{{h6| {{#var:Schritt}} 4 | 2={{#var:Schritt}} 4 <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Schritt}} 4 | 2={{#var:Schritt}} 4 <i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:S2S Server Schritt 4--desc}}
{{#var:S2S Server Schritt 4--desc}}
Zeile 117: Zeile 177:




{{h6| {{#var:Schritt}} 5 | 2={{#var:Schritt}} 5 <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Schritt}} 5 | 2={{#var:Schritt}} 5 <i class="host utm"> S2S Server</i> }}
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="6" | {{Bild| {{#var:S2S Server Schritt 5--Bild}} |{{#var:Installationsschritt}} 5}}
| class="Bild" rowspan="6" | {{Bild| {{#var:S2S Server Schritt 5--Bild}} |{{#var:Installationsschritt}} 5}}
|-
|-
| {{b|Name:}} || {{ic|S2S-client|tr-odd|class=available|tr-odd}} || {{#var:Name-S2S Server Schritt 5--desc}}
| {{b|Name:}} || {{ic|{{#var:Name-client--val}}|tr-odd|class=available|tr-odd}}-client || {{#var:Name-S2S Server Schritt 5--desc}}
|-
|-
| {{b|{{#var:Client-Zertifikat}}:}} || {{Button|.ttt-point.de|dr|class=available}} || {{#var:Client-Zertifikat--desc}}
| {{b|{{#var:Client-Zertifikat}}:}} || {{Button|{{#var:Client-Zertifikat--val}}|dr|class=available}} || {{#var:Client-Zertifikat--desc}}
|-
|-
| {{b|{{#var:Clientnetzwerke freigeben}}: }} || {{ic| {{cb|192.168.174.0/24}} |cb|class=available}} || {{#var:Clientnetzwerke freigeben--desc}}
| {{b|{{#var:Clientnetzwerke freigeben}}: }} || {{ic| {{cb|{{#var:Clientnetzwerke freigeben--val}}}} |cb|class=available}} || {{#var:Clientnetzwerke freigeben--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
| colspan="3" | {{Hinweis-box|{{#var:S2S Server Schritt 5-Hinweis}} |g|c=graul|fs__icon=em2}}
| colspan="3" | {{Hinweis-box|{{#var:S2S Server Schritt 5-Hinweis}} |g|c=graul|fs__icon=em2}}
Zeile 142: Zeile 202:
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="20" | {{Bild| {{#var:S2S Server Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
| class="Bild" rowspan="21" | {{Bild| {{#var:S2S Server Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|Name:}} || {{ic|S2S-Server|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
| {{b|Name:}} || {{ic|{{#var:Name der SSL-Verbindung-Server--val}}|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
|-
|-
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun0|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun0|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
Zeile 156: Zeile 216:
| {{b|{{#var:Authentifizierung}}:}} || {{Button|NONE|dr|class=available}} (Default)<br> {{Button|LOCAL|dr|class=available}}<br> {{Button|RADIUS|dr|class=available}} || {{#var:Authentifizierung--desc}}
| {{b|{{#var:Authentifizierung}}:}} || {{Button|NONE|dr|class=available}} (Default)<br> {{Button|LOCAL|dr|class=available}}<br> {{Button|RADIUS|dr|class=available}} || {{#var:Authentifizierung--desc}}
|-
|-
| {{b|{{#var:Zertifikat}}:}} || {{Button|cs-ttt-point|dr|class=available}} || {{#var:Zertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
| {{b|{{#var:Zertifikat}}:}} || class=mw14| {{Button|{{#var:Zertifikat--val}}|dr|class=available}} || {{#var:Zertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
|-
|-
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} || class=mw11 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} || class=mw11 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
|-
|-
| rowspan="2" |{{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
| rowspan="2" |{{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
{{Hinweis-box| {{#var:Statischer SSL-VPN Schlüssel--Hinweis}} |g}} {{info| {{#var:Statischer SSL-VPN Schlüssel--info}} }}
{{Hinweis-box| {{#var:Statischer SSL-VPN Schlüssel--Hinweis}} |g}} {{info| {{#var:Statischer SSL-VPN Schlüssel--info}} }}
|-
|-
| {{Button||mw}} {{Hover-class|{{#var:Schlüsselverwaltung öffnen}} }} || {{#var:Schlüsselverwaltung öffnen--desc}}
| {{Button||mw}} {{Hover-class|{{#var:Schlüsselverwaltung öffnen}} }} || {{#var:Schlüsselverwaltung öffnen--desc}}
|-
|-
| rowspan="2" | {{b|{{#var:Cipher für Datenverbindung}}:}} || {{Button|AES-256-GCM|dr|class=available}} || {{#var:Cipher für Datenverbindung--desc}}
| rowspan="3" | <span id=cipher></span>{{b|{{#var:Cipher für Datenverbindung}}:}} {{Hinweis-box||gr|14.2|status=update}}
| {{Button|AES-256-GCM|dr|class=mw6}} || {{#var:Cipher für Datenverbindung--desc}}
|-
| {{Button|Default|dr|class=mw9}} || {{#var:Wert Datenverbindung Default--desc}} {{info| {{#var:Wert Datenverbindung Default--info}} AES-256-GCM }}
|-
| colspan="2" | {{Button|AES-128-CBC|dr|class=mw9}} {{Button|AES-192-CBC|dr|class=mw9}} {{Button|AES-256-CBC|dr|class=mw9}} {{Button|AES-128-GCM|dr|class=mw9}} {{Button|AES-192-GCM|dr|class=mw9}} {{Button|AES-256-GCM|dr|class=mw9}} <small class="nowrap">{{Hinweis-box| | unbordered={{#var:ab}} v14.1.5: {{#var:nur AES als Cipher}} | r | 14.2|status=update}} {{info| {{#var:neu--deprecated cipher}}
* {{Button|BF-CBC|dr|class=mw10}}
* {{Button|DES-EDE-CBC|dr|class=mw10}}
* {{Button|DES-EDE3-CBC|dr|class=mw10}}
* {{Button|CAST5-CBC|dr|class=mw10}} }}</small>
|-
|-
| colspan="2" | {{Button|BF-CBC|dr|class=mw10}} {{Button|DES-EDE-CBC|dr|class=mw10}} {{Button|DES-EDE3-CBC|dr|class=mw10}} {{Button|CAST5-CBC|dr|class=mw10}} {{Button|AES-128-CBC|dr|class=mw10}} {{Button|AES-192-CBC|dr|class=mw10}} {{Button|AES-256-CBC|dr|class=mw10}} {{Button|AES-128-GCM|dr|class=mw10}} {{Button|AES-192-GCM|dr|class=mw10}} {{Button|AES-256-GCM|dr|class=mw10}}
| rowspan="3" | <span id=hash></span>{{b|{{#var:Hash für Datenverbindung}}:}} {{Hinweis-box||gr|14.2|status=update}} || {{Button|SHA256|dr|class=mw6}} || {{#var:Hash für Datenverbindung--desc}}
|-
|-
| rowspan="2" | {{b|{{#var:Hash für Datenverbindung}}:}} || {{Button|Default|dr|class=available}} || {{#var:Hash für Datenverbindung--desc}}
| {{Button|Default|dr|class=mw6}} || {{#var:Wert Datenverbindung Default--desc}} {{info| {{#var:Wert Datenverbindung Default--info}} SHA256 }}
|-
|-
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA256|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} {{Button|whirlpool|dr|class=mw6}}
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} <!-- {{Button|whirlpool|dr|class=mw6}} --><small class="nowrap">{{Hinweis-box| |unbordered={{#var:ab}} v14.1.5|r|14.2|status=update}}: {{#var:kein Whirlpool}}</small>
|-
|-
| {{b|{{#var:Erlaubt Cipher für automatische Aushandlung}}:}} || {{ic| |class=available}} || {{#var:Erlaubt Cipher für automatische Aushandlung--desc}}
| {{b|{{#var:Erlaubte Cipher für automatische Aushandlung}}:}}{{Hinweis-box||gr|Version|status=update}} || {{ic|AES-256-CBC|class=available}} || {{#var:Erlaubte Cipher für automatische Aushandlung--desc}}
|-
|-
| {{b|IPv4 {{#var:Transfer-Netzwerk}}:}} || {{ic|192.168.190.0/24|class=available}} || {{#var:Pool-Adresse eintragen}}  
| {{b|IPv4 {{#var:Transfer-Netzwerk}}:}} || {{ic|192.168.190.0/24|class=available}} || {{#var:Pool-Adresse eintragen}}  
Zeile 189: Zeile 258:




{{h6| {{#var:Reiter Erweitert}} | 2={{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Server</i> }}
{{h-6| {{#var:Reiter Erweitert}} | 2={{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Server</i> }}
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="17" | {{Bild| {{#var:S2S Server Reiter Erweitert--Bild}} |{{#var:Reiter Erweitert}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
| class="Bild" rowspan="18" | {{Bild| {{#var:S2S Server Reiter Erweitert--Bild}} |{{#var:Reiter Erweitert}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|MTU:}} || {{ic|1500|c|class=mw5}} || {{#var:MTU--desc}}
| {{b|MTU:}} || {{ic|1500|c|class=mw5}} || {{#var:MTU--desc}}
Zeile 220: Zeile 289:
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Eingehende Puffergröße--desc}}
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Eingehende Puffergröße--desc}}
|-
|-
| {{b|{{#var:Replay window Sequenzgröße}}:}} || {{ic|64|c|class=mw5}} || {{#var:Replay window Sequenzgröße--desc}}
| {{b|{{#var:Keine Verzögerung}} }} {{Hinweis-box||gr|Version|status=update}}  <!--{{info|{{#var:Info--Keine Verzögerung}} }}--><br><small>{{#var:Nur bei TCP}}</small> || {{ButtonAus|{{#var:Aus}} }} || {{#var:Keine Verzögerung--desc}}
|-
| {{b|{{#var:Replay window Sequenzgröße}}:}} {{Hinweis-box||gr|Version|status=update}}<br><small>{{#var:Nur bei UDP}}</small>  || {{ic|64|c|class=mw5}} || {{#var:Replay window Sequenzgröße--desc}}
|-
|-
| {{b|{{#var:Replay window Wartezeit}}:}} || {{ic|15|c|class=mw5}} {{#var:Sekunden}} || {{#var:Replay window Wartezeit--desc}}
| {{b|{{#var:Replay window Wartezeit}}:}} {{Hinweis-box||gr|Version|status=update}} <br><small>{{#var:Nur bei UDP}}</small> || {{ic|15|c|class=mw5}} {{#var:Sekunden}} || {{#var:Replay window Wartezeit--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
Zeile 228: Zeile 299:




{{h5| {{#var:Weitere Client-Gegenstellen}} | 2={{#var:Weitere Client-Gegenstellen}} <i class="host utm"> S2S Server</i> }}
{{h-5| {{#var:Weitere Client-Gegenstellen}} | 2={{#var:Weitere Client-Gegenstellen}} <i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:Weitere Client-Gegenstellen--Bild}} | {{#var:Weitere Client-Gegenstellen--cap}}||SSL-VPN|VPN|icon=fa-chart-bar|icon-text=SSL-VPN Log|icon2=fa-redo-alt|icon2-text={{#var:Neustarten}}|class=Bild-t}}
{{Bild| {{#var:Weitere Client-Gegenstellen--Bild}} | {{#var:Weitere Client-Gegenstellen--cap}}||SSL-VPN|VPN|icon=fa-chart-bar|icon-text=SSL-VPN Log|icon2=fa-redo-alt|icon2-text={{#var:Neustarten}}|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 236: Zeile 307:
<br clear=all>
<br clear=all>
----
----


==== {{#var:Regelwerk}} ====
==== {{#var:Regelwerk}} ====


{{h5| {{#var:Implizite Regeln}} | {{#var:Implizite Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{h-5| {{#var:Implizite Regeln}} | {{#var:Implizite Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{Bild|{{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save|class=Bild-t}}
{{Bild|{{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 247: Zeile 317:




{{h5| {{#var:Netzwerkobjekte}} | {{#var:Netzwerkobjekte}} | 4=<i class="host utm"> S2S Server</i> }}
{{h-5| {{#var:Netzwerkobjekte}} | {{#var:Netzwerkobjekte}} | 4=<i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Netzwerkobjekte--desc}}
{{#var:Netzwerkobjekte--desc}}
Zeile 256: Zeile 326:
| class=Bild rowspan="7" | {{Bild| {{#var:Netzwerkobjekte--Bild}} |{{#var:Netzwerkobjekte--cap}}||{{#var:Netzwerkobjekte hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
| class=Bild rowspan="7" | {{Bild| {{#var:Netzwerkobjekte--Bild}} |{{#var:Netzwerkobjekte--cap}}||{{#var:Netzwerkobjekte hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
|-
| {{b|Name:}} || {{ic|sslvpn-S2S-Client-Network|class=available}} || {{#var:Eindeutiger Name}}
| {{b|Name:}} || {{ic|{{#var:Netzwerkobjekte-Name--val}}|class=available}} || {{#var:Eindeutiger Name}}
|-
|-
| {{b|{{#var:Typ}}:}} || {{Button|VPN-Netzwerk|dr|class=available}} || {{#var:Typ--desc}}
| {{b|{{#var:Typ}}:}} || {{Button|{{#var:VPN-Netzwerk--val}}|dr|class=available}} || {{#var:Typ--desc}}
|-
|-
| {{b|{{#var:Adresse}}: }} || {{ic|192.168.174.0/24|class=available}} || {{#var:Adresse--desc}}<br>
| {{b|{{#var:Adresse}}: }} || {{ic|{{#var:Clientnetzwerke freigeben--val}}|class=available}} || {{#var:Adresse--desc}}<br>
{{Einblenden3| {{#var:Hinweis bei mehreren Clientnetzwerken}} |ausblenden|true|dezent}}  
{{Einblenden3| {{#var:Hinweis bei mehreren Clientnetzwerken}} |ausblenden|true|dezent}}  
{{#var:Hinweis bei mehreren Clientnetzwerken--desc}}</span></div>
{{#var:Hinweis bei mehreren Clientnetzwerken--desc}}</span></div>
|-
|-
| {{b|Zone:}} || {{Button|vpn-ssl-S2S-Server|dr|class=available}} || {{#var:Zone--desc}}
| {{b|{{#var:Zone--val}}}} ||class=mw16| {{Button|{{#var:Zone-Name--val}}|dr|class=available}} || {{#var:Zone--desc}}
|-
|-
| {{b|{{#var:Gruppe}}: }} || {{ic| |class=available}} || Optional
| {{b|{{#var:Gruppe}}: }} || {{ic| |class=available}} || Optional
Zeile 272: Zeile 342:




{{h5| {{#var:Portfilter-Regeln}} | {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{h-5| {{#var:Portfilter-Regeln}} | {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:Portfilter-Regeln--Bild}} |{{#var:Portfilter-Regeln}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t}}
{{Bild| {{#var:Portfilter-Regeln--Bild}} |{{#var:Portfilter-Regeln}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 283: Zeile 353:


|-
|-
| class="bc__default" | {{#var:Zugriff vom Client aus}} || {{spc|drag|o|-}} || 9 || {{spc|vpn-network|o|-}} sslvpn-S2S-client-network || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
| class="bc__default" | {{#var:Zugriff vom Client aus}} || {{spc|drag|o|-}} || 9 || {{spc|vpn-network|o|-}} {{#var:Netzwerkobjekte-Name--val}} || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}


|-
|-
| class="bc__default" | {{#var:Zugriff auf den Client}} || {{spc|drag|o|-}} || 10 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} sslvpn-S2S-client-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
| class="bc__default" | {{#var:Zugriff auf den Client}} || {{spc|drag|o|-}} || 10 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} {{#var:Netzwerkobjekte-Name--val}}  || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
<!--
<!--
|-
|-
Zeile 294: Zeile 364:




{{h5|Routen|Routen| 4=<i class="host utm"> S2S Server</i> }}
{{h-5|Routen|Routen| 4=<i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Routen--desc}}
{{#var:Routen--desc}}
Zeile 303: Zeile 373:
| class="Bild" rowspan="4" | {{Bild| {{#var:Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
| class="Bild" rowspan="4" | {{Bild| {{#var:Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun2|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|{{#var:Gateway Schnittstelle-Server--val}}|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}
|-
|-
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.174.0/24|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Client)
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|{{#var:Zielnetzwerk--val}}|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Client)
|- class="Leerzeile"
|- class="Leerzeile"
| colspan="3" | {{:UTM/VPN/Blackhole}}{{Hinweis-box|{{#var:neu im Wiki}}|gr|status=neu|version=12.6.2|class=small}}
| colspan="3" | {{:UTM/VPN/Blackhole}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
Zeile 325: Zeile 395:




{{h6|{{#var:Schritt}} 1 | 2={{#var:Schritt}} 1 <i class="host utm"> S2S Client</i> }}
{{h-6|{{#var:Schritt}} 1 | 2={{#var:Schritt}} 1 <i class="host utm"> S2S Client</i> }}
{{Bild| {{#var:S2S Client Schritt 1--Bild}} |{{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
{{Bild| {{#var:S2S Client Schritt 1--Bild}} |{{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
<div class="Einrücken">
<div class="Einrücken">
Zeile 332: Zeile 402:




{{h6| {{#var:Schritt}} 2 | 2={{#var:Schritt}} 2 <i class="host utm"> S2S Client</i> }}
{{h-6| {{#var:Schritt}} 2 | 2={{#var:Schritt}} 2 <i class="host utm"> S2S Client</i> }}
{{Bild| {{#var:S2S Client Schritt 2--Bild}} |{{#var:Installationsschritt}} 2|class=Bild-t}}
{{Bild| {{#var:S2S Client Schritt 2--Bild}} |{{#var:Installationsschritt}} 2|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 339: Zeile 409:




{{h6| {{#var:Schritt}} 3 | 2={{#var:Schritt}} 3 <i class="host utm"> S2S Client</i> }}
{{h-6| {{#var:Schritt}} 3 | 2={{#var:Schritt}} 3 <i class="host utm"> S2S Client</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:S2S Client Schritt 3--desc}}
{{#var:S2S Client Schritt 3--desc}}
Zeile 349: Zeile 419:
| class="Bild" rowspan="5" | {{Bild| {{#var:S2S Client Schritt 3--Bild}} |{{#var:Installationsschritt}} 3}}
| class="Bild" rowspan="5" | {{Bild| {{#var:S2S Client Schritt 3--Bild}} |{{#var:Installationsschritt}} 3}}
|-
|-
| {{b|Name:}} || {{ic|S2S}}-client || {{#var:Eindeutiger Name}}
| {{b|Name:}} || {{ic|{{#var:Name-client--val}}-client || {{#var:Eindeutiger Name}}
|-
|-
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=available}} || {{#var:Protokoll--desc}} <li class="list--element__alert list--element__hint">{{#var:S2S Client Protokoll-Hinweis}}</li>
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=available}} || {{#var:Protokoll--desc}} <li class="list--element__alert list--element__hint">{{#var:S2S Client Protokoll-Hinweis}}</li>
|-
|-
| {{b|{{#var:Client-Zertifikat}}: }} || {{Button|CC-S2S-Client-Network1|dr|class=available}} || <div>{{#var:S2S Client-Zertifikat--desc}}</div>
| {{b|{{#var:Client-Zertifikat}}: }} || {{ic|{{#var:CC S2S Client Network1--val}}|class=available}} || <div>{{#var:S2S Client-Zertifikat--desc}}</div>
|- class="Leerzeile"
|- class="Leerzeile"
|
|
Zeile 359: Zeile 429:




{{h6| {{#var:Schritt}} 4 | 2={{#var:Schritt}} 4 <i class="host utm"> S2S Client</i> }}
{{h-6| {{#var:Schritt}} 4 | 2={{#var:Schritt}} 4 <i class="host utm"> S2S Client</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Dieser Installationsschritt entfällt}}
{{#var:Dieser Installationsschritt entfällt}}
Zeile 365: Zeile 435:




{{h6| {{#var:Schritt}} 5 | 2={{#var:Schritt}} 5 <i class="host utm"> S2S Client</i> }}
{{h-6| {{#var:Schritt}} 5 | 2={{#var:Schritt}} 5 <i class="host utm"> S2S Client</i> }}
{{Bild| {{#var:S2S Client Schritt 5--Bild}} |{{#var:Installationsschritt}} 5|class=Bild-t}}
{{Bild| {{#var:S2S Client Schritt 5--Bild}} |{{#var:Installationsschritt}} 5|class=Bild-t}}
<div class="Einrücken">
<div class="Einrücken">
Zeile 382: Zeile 452:
| class="Bild" rowspan="15" | {{Bild| {{#var:S2S Client Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
| class="Bild" rowspan="15" | {{Bild| {{#var:S2S Client Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|Name:}} || {{ic|S2S-client|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
| {{b|Name:}} || {{ic|{{#var:Name der SSL-Verbindung-client--val}}|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
|-
|-
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun4|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun0|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
|-
|-
| {{b|Modus:}} || {{ic|CLIENT|class=available|tr-odd}} ||  
| {{b|Modus:}} || {{ic|CLIENT|class=available|tr-odd}} ||  
Zeile 390: Zeile 460:
| {{b|{{#var:Protokoll}}:}} || {{Button|UDP|dr}} (Default)<br> {{Button|TCP|dr}} || {{#var:Protokoll--desc}}
| {{b|{{#var:Protokoll}}:}} || {{Button|UDP|dr}} (Default)<br> {{Button|TCP|dr}} || {{#var:Protokoll--desc}}
|-
|-
| {{b|{{#var:Zertifikat}}:}} || {{Button|CC-S2S-Client-Network1|dr|class=available}} || {{#var:S2S Client Zertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
| {{b|{{#var:Zertifikat}}:}} || {{Button|{{#var:CC S2S Client Network1--val}}|dr|class=available}} || {{#var:S2S Client Zertifikat--desc}}<br>{{Zertifikate-deprecated|info}}
|-
|-
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || class=mw10 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} || class=mw10 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
|-
|-
| {{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
| {{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
|-
|-
| rowspan="2" | {{b|{{#var:Cipher für Datenverbindung}}:}} || {{Button|AES-256-GCM|dr|class=available}} || {{#var:Cipher für Datenverbindung--desc}}
| rowspan="2" | {{b|{{#var:Cipher für Datenverbindung}}:}} || {{Button|AES-256-GCM|dr|class=available}} || {{#var:Cipher für Datenverbindung--desc}}
Zeile 404: Zeile 474:
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA256|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} {{Button|whirlpool|dr|class=mw6}}
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA256|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} {{Button|whirlpool|dr|class=mw6}}
|-
|-
| {{b|{{#var:Erlaubt Cipher für automatische Aushandlung}}:}} || {{ic| |class=available}} || {{#var:Erlaubt Cipher für automatische Aushandlung--desc}}
| {{b|{{#var:Erlaubte Cipher für automatische Aushandlung}}:}} || {{ic|AES-256-CBC|class=available}} || {{#var:Erlaubte Cipher für automatische Aushandlung--desc}}
|-
|-
| {{b|Renegotiation:}} || {{Button|{{#var:nie}}|dr|class=available}}<br> {{Button|1 {{#var:Stunde}}|dr|class=available}}<br> (Default)<br> {{Button|2 {{#var:Stunden}}|dr|class=available}}<br> {{Button|4 {{#var:Stunden}}|dr|class=available}}<br> {{Button|8 {{#var:Stunden}}|dr|class=available}}<br> {{Button|12 {{#var:Stunden}}|dr|class=available}} || {{#var:Renegotiation--desc}}
| {{b|Renegotiation:}} || {{Button|{{#var:nie}}|dr|class=available}}<br> {{Button|1 {{#var:Stunde}}|dr|class=available}}<br> (Default)<br> {{Button|2 {{#var:Stunden}}|dr|class=available}}<br> {{Button|4 {{#var:Stunden}}|dr|class=available}}<br> {{Button|8 {{#var:Stunden}}|dr|class=available}}<br> {{Button|12 {{#var:Stunden}}|dr|class=available}} || {{#var:Renegotiation--desc}}
Zeile 412: Zeile 482:




{{h6| {{#var:Reiter Erweitert}} | 2={{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Client</i> }}
{{h-6| {{#var:Reiter Erweitert}} | 2={{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Client</i> }}
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
Zeile 429: Zeile 499:
| {{b|{{#var:Ping Wartezeit}}:}} || {{ic|120|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Wartezeit--desc}}
| {{b|{{#var:Ping Wartezeit}}:}} || {{ic|120|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Wartezeit--desc}}
|-
|-
| {{b|{{#var:Ausgehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes ||  
| {{b|{{#var:Ausgehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Ausgehende Puffergröße--desc}} <li class="list--element__alert list--element__hint">{{#var:Ausgehende Puffergröße--Hinweis}}</li>
|-
|-
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes ||  
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Eingehende Puffergröße--desc}}
|-
|-
| {{b|{{#var:Replay window Sequenzgröße}}:}} || {{ic|64|c|class=mw5}} ||  
| {{b|{{#var:Replay window Sequenzgröße}}:}} {{Hinweis-box||gr|Version|status=update}}<br><small>{{#var:Nur bei UDP}}</small>  || {{ic|64|c|class=mw5}} || {{#var:Replay window Sequenzgröße--desc}}
|-
|-
| {{b|{{#var:Replay window Wartezeit}}:}} || {{ic|15|c|class=mw5}} {{#var:Sekunden}} ||  
| {{b|{{#var:Replay window Wartezeit}}:}} {{Hinweis-box||gr|Version|status=update}} <br><small>{{#var:Nur bei UDP}}</small> || {{ic|15|c|class=mw5}} {{#var:Sekunden}} || {{#var:Replay window Wartezeit--desc}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
Zeile 457: Zeile 527:
| class="Bild" rowspan="7" | {{Bild| {{#var:Netzwerkobjekte hinzufügen--Bild}} |{{#var:Netzwerkobjekte hinzufügen--cap}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
| class="Bild" rowspan="7" | {{Bild| {{#var:Netzwerkobjekte hinzufügen--Bild}} |{{#var:Netzwerkobjekte hinzufügen--cap}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
|-
| {{b|Name:}} || {{ic|sslvpn-S2S-Server-Network|class=available}} || {{#var:Eindeutiger Name}}
| {{b|Name:}} || {{ic| {{#var:sslvpn-S2S-Server-Network--val}}|class=available}} || {{#var:Eindeutiger Name}}
|-
|-
| {{b|{{#var:Typ}}: }} || {{Button|{{#var:VPN-Netzwerk}} |dr|class=available}} || {{#var:Regelwerk-Typ--desc}}
| {{b|{{#var:Typ}}: }} || {{Button|{{#var:VPN-Netzwerk}} |dr|class=available}} || {{#var:Regelwerk-Typ--desc}}
Zeile 473: Zeile 543:




{{h5| S2S Client {{#var:Portfilter-Regeln}} | S2S Client {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Client</i> }}
{{h-5| S2S Client {{#var:Portfilter-Regeln}} | S2S Client {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Client</i> }}
{{Bild| {{#var:Regelwerk-Portfilter-Regeln--Bild}} |{{#var:Regelwerk-Portfilter-Regeln--cap}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t }}
{{Bild| {{#var:Regelwerk-Portfilter-Regeln--Bild}} |{{#var:Regelwerk-Portfilter-Regeln--cap}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t }}
<div class="Einrücken">
<div class="Einrücken">
Zeile 483: Zeile 553:
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
|-
|-
| class="bc__default" | || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} sslvpn-S2S-server-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
| class="bc__default" | || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} {{#var:sslvpn-S2S-Server-Network-Regeln--val}} || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|-
|-
| class="bc__default" | || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|-}} sslvpn-S2S-server-network || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
| class="bc__default" | || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|-}} {{#var:sslvpn-S2S-Server-Network-Regeln--val}}  || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|}
|}




{{h5| S2S Client Routen | S2S Client Routen | 4=<i class="host utm"> S2S Client</i> }}
{{h-5| S2S Client Routen | S2S Client Routen | 4=<i class="host utm"> S2S Client</i> }}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Routen--desc}}
{{#var:Routen--desc}}
Zeile 498: Zeile 568:
| class="Bild" rowspan="4" | {{Bild| {{#var:Regelwerk-Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
| class="Bild" rowspan="4" | {{Bild| {{#var:Regelwerk-Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun4|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}  
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|{{#var:Gateway Schnittstelle-Client--val}}|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}  
|-
|-
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.175.0|rechts|icon=/24 |iconw=x|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Server)
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.175.0|rechts|icon=/24 |iconw=x|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Server)
|- class="Leerzeile"
|- class="Leerzeile"
| colspan="3" | {{:UTM/VPN/Blackhole}}{{Hinweis-box|{{#var:neu ab}} 12.6.2|gr|status=neu|version=12.6.2}}
| colspan="3" | {{:UTM/VPN/Blackhole}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
|}
|}
----
----


=== {{#var:Hinweise}} ===
=== {{#var:Hinweise}} ===
Zeile 533: Zeile 602:




{{h4| Multipath | Multipath |4=<i class="host utm"> S2S Client</i>}}
{{h-4| Multipath | Multipath |4=<i class="host utm"> S2S Client</i>}}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Multipath--desc}} {{code|openvpn get}} {{#var:die ID der Verbindung ausfindig gemacht}} {{code|openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES}} {{#var:kann dann die ausgehende IP gesetzt werden}}
{{#var:Multipath--desc}} {{code|openvpn get}} {{#var:die ID der Verbindung ausfindig gemacht}} {{code|openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES}} {{#var:kann dann die ausgehende IP gesetzt werden}}
Zeile 539: Zeile 608:


<!--
<!--
{{h4| Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
{{h-4| Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
<div class="Einrücken">
<div class="Einrücken">
{{#var:Hinweise Search Domain--desc}}
{{#var:Hinweise Search Domain--desc}}
Zeile 573: Zeile 642:
| {{b|{{#var:Quelle}}: }} || {{Button|internal-network|dr|class=available}}
| {{b|{{#var:Quelle}}: }} || {{Button|internal-network|dr|class=available}}
|-
|-
| {{b|{{#var:Ziel}}: }} || {{Button|name-vpn-netzwerk-objekt|dr|class=available}}
| {{b|{{#var:Ziel}}: }} || {{Button|{{#var:name-vpn-netzwerk-objekt--val}}|dr|class=available}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|

Aktuelle Version vom 22. Oktober 2026, 14:25 Uhr





























In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden
























































































































<--! ab hier bitte PL korrekturlesen -->















{{var | neu--Reconnect | Beschreibung der verfügbaren Schaltflächen ergänzt, inklusive der neuen Reconnect-Funktion | Description of the [[#aktionen|available buttons updated], including the new Reconnect function) | Dodano opis dostępnych przycisków, w tym nowej funkcji Reconnect: Wiki }}














Konfiguration von SSL-VPN Site-to-Site-Verbindungen

Letzte Anpassung zur Version: 14.2.1 (09.2026)

Neu:
  • Beta Nur für Teilnehmer am Beta-Channel:
  • Es werden nur noch AES basierte Cipher für Datenverbindung unterstützt
  • Hinweis zu den aktuellen Zertifikats-Anforderungen hinzugefügt
  • Default Wert für den Cipher für Datenverbindung auf AES-256-GCM aktuavpn-ssl-S2S-clientlisiert
    • Zuletzt aktualisiert: 
    notempty
    Dieser Artikel bezieht sich auf eine Beta-Version

    14.1.5 12.7.1 12.4.1 11.8.7 11.7.3 11.7 11.6.12

    Aufruf: UTM-IP:Port oder UTM-URL:Port
    Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
    Default-Port: 11115
    z.B.: https://utm.ttt-point.de:11115
    Default: https://192.168.175.1:11115     VPN SSL-VPN


    Einleitung

    Mithilfe von SSL-VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.


    Site-to-Site Server

    S2S Server
    Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.


    Site-to-Site Client

    S2S Client
    Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.

    SSL VPN Verbindungen

    Es sind folgende Aktionen verfügbar:

    • SSL-VPN Log anzeigen
    • SSL-VPN Client-Gegenstelle hinzufügen / SSL-VPN Server-Gegenstelle hinzufügen (kontextabhängig)
    • Bearbeiten
    • notempty
      Neu ab v14.2.1

      Verbindung wiederherstellen
      Bei Änderungen auf der Clientseite eines S2S SSL-VPN Tunnels kann man einen Reconnect des Clients durchführen, um die Änderungen dort wirksam zu machen. Die Schaltfläche löst einen Disconnect und einen Reconnect aus. Bei deaktivierter Verbindung ist die Schaltfläche ebenfalls deaktiviert.
    • Public-Key der CA herunterladen / Zertifikat herunterladen
    • Löschen


    Den Status der SSL-VPN Verbindung zeigen die folgenden Symbole:

    Status: CONNECTED
    Dieses Element steht für aktivierte Dienste, bestehende Verbindungen und synchronisierte Einstellungen.

    Status: Nicht verbunden
    Dieses Element steht für deaktivierte Dienste und Verbindungen.

    Status: RECONNECTING
    Dieses Element steht für

    • Warnungen
    • den Start von Diensten
    • den Verbindungsaufbau und
    • die Synchronisierung von Einstellungen


    Site-to-Site Server Konfiguration

    notempty
    Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten!
    notempty
    • Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt
    • HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!
    • Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt
    • Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind
    • Unsichere Zertifikate sollten dringend ausgetauscht werden!
      Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
      BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

      Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

    • Betroffene Anwendungen:
      • OpenVPN
        • Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)
        • Clientzertifikat bei S2S
        • ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)
      • Mailrelay
        • Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)
      • Reverse-Proxy
        • Einstellungen → SSL-Zertifikat
      • Webserver
        • Netzwerk → Serveinstellungen → Webserver → Zertifikat
      • HTTP-Proxy
        • SSL-Interception → CA-Zertifikat


    • SSL-VPN-Verbindung

    Einrichten der Verbindung unter VPN SSL-VPN Schaltfläche + SSL-VPN Verbindung hinzufügen


    Installationsassistent

    Schritt 1

    Schritt 1 S2S Server

    SSL-VPN Verbindung hinzufügen UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Installationsschritt 1

    Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:

    • Roadwarrior Server
    • Site-to-Site Server
    • Site-to-Site Client

    Für die Konfiguration des Site-to-Site Server wird dieser ausgewählt.



    Schritt 2

    Schritt 2 S2S Server

    Installationsschritt 2

    Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.



    Schritt 3

    Schritt 3 S2S Server

    Lokale Einstellungen für den Site-to-Site Server

    Beschriftung Wert Beschreibung
    Installationsschritt 3
    Name: S2S-server Eindeutiger Name
    Protokoll: UDP Gewünschtes Protokoll wählen
    Port: 1194 Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt.
    Serverzertifikat:
    Es sind nur Zertifikate mit privatem Schlüssel-Teil auswählbar
    		cs-ttt-point Auswahl des Zertifikates, mit dem der Server sich authentifiziert.
    Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
    • Erstellung einer CA im Abschnitt CA mit der Schaltfläche CA hinzufügen
    • Erstellung eines Serverzertifikates im Abschnitt Zertifikate mit der Schaltfläche Zertifikat hinzufügen.
      Bitte beachten: Serverzertifikat: Ein aktivieren
    • Erstellung des Client-Zertifikates mit der Schaltfläche Zertifikat hinzufügen
    Beide Zertifikate müssen mit der selben CA erstellt werden!
    Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche exportiert werden. Zur Nutzung bei einer UTM als Client wird das PEM-Format benötigt.
    Weitere Hinweise im Wiki-Artikel zur Nutzung von Zertifikaten.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten!
    notempty
    • Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt
    • HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!
    • Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt
    • Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind
    • Unsichere Zertifikate sollten dringend ausgetauscht werden!
      Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
      BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

      Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

    • Betroffene Anwendungen:
      • OpenVPN
        • Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)
        • Clientzertifikat bei S2S
        • ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)
      • Mailrelay
        • Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)
      • Reverse-Proxy
        • Einstellungen → SSL-Zertifikat
      • Webserver
        • Netzwerk → Serveinstellungen → Webserver → Zertifikat
      • HTTP-Proxy
        • SSL-Interception → CA-Zertifikat
    • Servernetzwerke freigeben: » 192.168.175.0/24 An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.


    Schritt 4

    Schritt 4 S2S Server

    Im Installationsschritt 4 wird das Transfernetz für den Site-to-Site Server eingetragen.

    Beschriftung Wert Beschreibung
    Installationsschritt 4
    Transfer-Netzwerk: 192.168.190.0/24 Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
  • Die letzte IP vor der Broadcast-Adresse kann nicht als IP-Adresse eines Clients verwendet werden, da sie durch den virtuellen DHCP-Server belegt ist.
    • Server-Tunneladresse: 192.168.190.1/32 Die Server- und Client-Tunneladresse wird automatisch ermittelt.
    IPv4 Client-Tunneladresse: 192.168.190.2/24


    Schritt 5

    Schritt 5 S2S Server

    Beschriftung Wert Beschreibung
    Installationsschritt 5
    Name: S2S-client Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet
    Client-Zertifikat: .ttt-point.de Zertifikat des Client-Netzwerks
    Clientnetzwerke freigeben: »192.168.174.0/24 Netzwerke der Gegenstelle, die freigegeben werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)
    notempty
    Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.


    Abschnitt Allgemein

    Allgemein S2S Server

    Bereits angelegte SSL-VPN-Verbindungen können unter VPN SSL-VPN Schaltfläche bearbeitet werden.

    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Abschnitt Allgemein
    Name: S2S-Server Name der SSL-Verbindung
    Schnittstelle: tun0 Verwendete Schnittstelle
    Modus: SERVER Je nach Verbindungstyp
    Protokoll: UDP (Default)
    TCP    		 Bevorzugtes Protokoll wählen (UDP und TCP können jeweils auf IPv4 oder IPv6 begrenzt werden)
    Port: 1194 Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt.
    Authentifizierung: NONE (Default)
    LOCAL
    RADIUS    		 Passende Authentifizierungsmethode wählen
    Zertifikat: cs-ttt-point Das verwendete Zertifikat kann hier geändert werden

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten!
    notempty
    • Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt
    • HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!
    • Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt
    • Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind
    • Unsichere Zertifikate sollten dringend ausgetauscht werden!
      Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
      BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

      Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

    • Betroffene Anwendungen:
      • OpenVPN
        • Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)
        • Clientzertifikat bei S2S
        • ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)
      • Mailrelay
        • Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)
      • Reverse-Proxy
        • Einstellungen → SSL-Zertifikat
      • Webserver
        • Netzwerk → Serveinstellungen → Webserver → Zertifikat
      • HTTP-Proxy
        • SSL-Interception → CA-Zertifikat
    • Statischer SSL-VPN Schlüsseltyp: Aus tls-authtls-crypt
    • Die Aktivierung von tls-auth bewirkt eine zusätzliche Authentifizierung des Kontrollkanals
    • tls-crypt bewirkt eine zusätzliche Authentifizierung und Verschlüsselung des Kontrollkanals
    Statischer SSL-VPN Schlüssel: SSL-VPN S2S Schlüssel zur Absicherung der Verbindung
  • Der Schlüssel muss den Typ OVPN_STATIC_KEY haben
    • notempty
    Die Gegenstelle muss denselben Schlüssel nutzen!
    Der Schlüssel wird auf einer Seite erstellt und muss dann zur anderen Seite kopiert werden
    Schlüsselverwaltung öffnen Öffnet die Schlüsselverwaltung, um einen neuen Schlüssel anzulegen
    Cipher für Datenverbindung:
    		AES-256-GCM Standardmäßig wird AES-256-GCM verwendet.
    notempty
    Die Gegenstelle muss denselben Cipher nutzen!
    Default Die Option Default entspricht den Default-Einstellungen von OpenSSL
    Aktuell identisch mit dem Default-Wert der UTM: AES-256-GCM
    AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    ab v14.1.5: Es muss eine AES basierte Cipher ausgewählt werden
    Folgende Cipher werden ab v14.1.3 nicht mehr unterstützt:
    • BF-CBC
    • DES-EDE-CBC
    • DES-EDE3-CBC
    • CAST5-CBC
    Hash für Datenverbindung:
    		SHA256 Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss dasselbe Hashverfahren nutzen!
    Default Die Option Default entspricht den Default-Einstellungen von OpenSSL
    Aktuell identisch mit dem Default-Wert der UTM: SHA256
    SHA1 SHA224 SHA384 SHA512
    ab v14.1.5
    : Whirpool ist nicht mehr auswählbar
    Erlaubte Cipher für automatische Aushandlung (NCP):
    		 AES-256-CBC Es lassen sich zusätzliche Ciphers aus den verfügbaren Ciphers (s.o.) auswählen
    IPv4 Transfer-Netzwerk: 192.168.190.0/24 Pool-Adresse eintragen
    IPv6 Transfer-Netzwerk:       /64 Pool-Adresse eintragen
    Servernetzwerk global freigeben:     Netz-IP für Netzwerke hinter der UTM, die über die SSL-VPN-Verbindung erreichbar sein sollen können editiert werden.
    Search Domain:    
  • Die Angabe einer Search Domain ist nur bei einer Roadwarrior-Verbindung sinnvoll!
    Alternativen:

    1. Die Domain immer komplett ausschreiben
    2. Die Domain in den DHCP-Server eintragen, damit der sie vergibt
    3. Ein Active Directory nutzen

    • Renegotiation: nie
    1 Stunde
    (Default)
    2 Stunden
    4 Stunden
    8 Stunden
    12 Stunden    		 Zeitraum, ab dem die Verbindung erneut vermittelt wird


    Abschnitt Erweitert

    Erweitert S2S Server

    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Abschnitt Erweitert
    MTU: 1500 Maximale Übertragungseinheit des größten Pakets (Byte)
    Maximale Clients: 1024 Maximale Anzahl an Clients.
    Wird kein Wert festgelegt, gilt der Default-Wert von 1024.
    DNS übermitteln: Nein Erlaubt die DNS-Übermittlung
    Die IP-Adressen vom DNS und WINS werden im Menü VPN Globale VPN Einstellungen gesetzt.
    WINS übermitteln: Nein Erlaubt die WINS-Übermittlung
    Die IP-Adressen vom DNS und WINS werden im Menü VPN Globale VPN Einstellungen gesetzt.
    Multihome: Ein Erlaubt die Nutzung von mehrere Default-Routen

    Nur zugewiesene Zertifikate akzeptieren:    		 Ein Es können nur noch zugewiesene Zertifikate akzeptiert werden
    LZO: Aus LZO-Kompression
    Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen!
    Deaktiviert: Nein
    Pass TOS: Aus Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen
    Ping Intervall: 10 Sekunden Intervall der Ping-Anfragen
    Ping Wartezeit: 120 Sekunden Wartezeit der Ping-Anfragen
    Ausgehende Puffergröße: 65536 Bytes Steuert die Größe des Puffers für den Socket
  • Je größer, desto mehr kann zwischen gespeichert werden. Das kann aber auch die Latenz erhöhen.
    • Eingehende Puffergröße: 65536 Bytes s.o.
    Keine Verzögerung

    Nur bei TCP    		 Aus Deaktiviert den Nagle-Algorithmus (TCP_NODELAY). Datenpakete werden sofort und ohne künstliche Wartezeit gesendet. Dies verringert die Latenz (Verzögerung) bei TCP-basierten VPN-Verbindungen spürbar.
    Replay window Sequenzgröße:

    Nur bei UDP    		 64 Anzahl der Pakete innerhalb derer noch ältere Sequenznummern akzeptiert werden.
    Replay window Wartezeit:

    Nur bei UDP    		 15 Sekunden Zeitfenster in dem die Sequenzgröße maximal angewendet wird


    Weitere Client-Gegenstellen

    Weitere Client-Gegenstellen S2S Server

    SSL-VPN UTMbenutzer@firewall.name.fqdn VPN SSL-VPN Log Neustarten
    Übersicht der SSL-VPN-Verbindungen

    Weitere Gegenstellen, welche über diesen Site-to-Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.
    Anzeige der Gegenstellen mit Klick auf das Ordnersymbol


    SSL-VPN Server-Gegenstelle hinzufügen UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Weitere Gegenstellen des S2S-SSL-VPNs


    Regelwerk

    Implizite Regeln

    Implizite Regeln

    Implizite Regeln UTMbenutzer@firewall.name.fqdn Firewall
    Implizite Regeln

    Unter Firewall Implizite Regeln Abschnitt VPN kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier Ein SSL-VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.



    Netzwerkobjekte

    Netzwerkobjekte

    Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
    Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Firewall Netzwerkobjekte Schaltfläche + Objekt hinzufügen angelegt werden.
    Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.


    Beschriftung Wert Beschreibung Netzwerkobjekte hinzufügen UTMbenutzer@firewall.name.fqdn Firewall Netzwerkobjekte
    Netzwerkobjekt für das Tunnelnetzwerk
    Name: sslvpn-S2S-Client-Network Eindeutiger Name
    Typ: VPN-Netzwerk Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
    Adresse: 192.168.174.0/24 Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde
    Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
    Zone: vpn-ssl-S2S-Server Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird.
    Gruppe:     Optional


    Paketfilter-Regeln

    Paketfilter-Regeln

    Paketfilter UTMbenutzer@firewall.name.fqdn Firewall Regeln aktualisieren
    Paketfilter-Regeln

    Menü Firewall Paketfilter Schaltfläche + Regel hinzufügen
    Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw. aus dem Netzwerk:


    # Quelle Ziel Dienst NAT Aktion Aktiv
    Zugriff vom Client aus auf das (interne) Server-Netzwerk (Gegenstelle initiiert die Verbindung) 9 sslvpn-S2S-Client-Network internal-network default-internet Accept Ein
    Zugriff auf das Client-Netzwerk (lokale UTM initiiert die Verbindung) 10 internal-network sslvpn-S2S-Client-Network default-internet Accept Ein


    Routen

    Routen

    Die Routen werden automatisch gesetzt.
    Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
    Menü Netzwerk Netzwerkkonfiguration Bereich Routing Schaltfläche + Route hinzufügen.
    Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.

    Beschriftung Wert Beschreibung Route hinzufügen UTMbenutzer@firewall.name.fqdn
    Route für Gegenstelle
    Gateway-Schnittstelle: tun2 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
    Zielnetzwerk: 192.168.174.0/0 Das Netzwerk der Gegenstelle (S2S Client)



































    Route nur bei aufgebauter Verbindung
    ausblenden
    Klicken für dauerhafte Anzeige

    Ausgangslage

    Es kann gewünscht sein, die Routen für VPN-Verbindungen erst dann zu setzen, wenn die Verbindung wirklich steht.

    • Dadurch wird unterbunden, daß Pakete in das Internet geroutet und vom Conntrack gespeichert werden und so einen korrekten Aufbau der Verbindung verhindern
    • Dies kann zum Beispiel von Vorteil sein, wenn VoIP durch den Tunnel gehen soll
    • Load Balancing über eine zweite Firewall wird deutlich vereinfacht, wenn nur die UTM eine Route bekommt, bei der der Tunnel auch tatsächlich aufgebaut wird

    CLI-Befehl

    Verbindung per SSH oder über Menü Extras CLI:

    route get ermittelt die korrekte Verbindungs-ID

    route set id <ID> flags BLACKHOLE_IF_OFFLINE

    Z.B.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    Dieser Befehl verwirft Pakete zu diesem Ziel wenn die Route nicht vorhanden ist.
    Bei SSL-VPN oder bei Wireguard zum Beispiel, wenn der Tunnel nicht steht.


    Site-to-Site Client Konfiguration

    SSL-VPN-Verbindung

    Installationsassistent
    notempty
    Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten!
    notempty
    • Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt
    • HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!
    • Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt
    • Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind
    • Unsichere Zertifikate sollten dringend ausgetauscht werden!
      Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
      BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

      Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

    • Betroffene Anwendungen:
      • OpenVPN
        • Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)
        • Clientzertifikat bei S2S
        • ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)
      • Mailrelay
        • Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)
      • Reverse-Proxy
        • Einstellungen → SSL-Zertifikat
      • Webserver
        • Netzwerk → Serveinstellungen → Webserver → Zertifikat
      • HTTP-Proxy
        • SSL-Interception → CA-Zertifikat


    • Schritt 1

    Schritt 1 S2S Client

    SSL-VPN Verbindung hinzufügen UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Installationsschritt 1

    Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:

    • Roadwarrior Server
    • Site-to-Site Server
    • Site-to-Site Client

    Für die Konfiguration des Site-to-Site Client wird dieser ausgewählt.



    Schritt 2

    Schritt 2 S2S Client

    Installationsschritt 2

    Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.



    Schritt 3

    Schritt 3 S2S Client

    Lokale Einstellungen für den Site-to-Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.

    Beschriftung Wert Beschreibung
    Installationsschritt 3
    Name: S2S-client Eindeutiger Name
    Protokoll: UDP Gewünschtes Protokoll wählen
  • Es muss das gleiche Protokoll, wie beim Site-to-Site Server ausgewählt werden.
    • Client-Zertifikat: CC-S2S-Client-Network1
    Auswahl des Zertifikates, mit dem der Client sich authentifiziert
    Hier muss das gleiche Zertifikat verwendet werden, dass beim Site-to-Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde.

    Aufruf mit

    • Abschnitt CA Schaltfläche CA importieren Import der CA vom
      S2S Server
    • Abschnitt Zertifikate Schaltfläche Zertifikat importieren Import des Client-Zertifikates, das auf dem
      S2S Server
      erstellt wurde.
     


    Schritt 4

    Schritt 4 S2S Client

    Dieser Installationsschritt entfällt beim Site-to-Site Client.


    Schritt 5

    Schritt 5 S2S Client

    Installationsschritt 5
    Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site-to-Site Servers als Gegenstelle eingetragen.
    notempty
    Die Portadresse muss mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden.

    Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden.


    Abschnitt Allgemein

    Allgemein S2S Client

    Bereits angelegte SSL-VPN-Verbindungen können unter VPN SSL-VPN Schaltfläche bearbeitet werden.

    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Abschnitt Allgemein
    Name: S2S-client Name der SSL-Verbindung
    Schnittstelle: tun0 Verwendete Schnittstelle
    Modus: CLIENT
    Protokoll: UDP (Default)
    TCP    		 Gewünschtes Protokoll wählen
    Zertifikat: CC-S2S-Client-Network1 Das verwendete Zertifikat kann hier geändert werden

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Bitte Mindestbedingungen für Zertifikate ab UTM Version 14.2 beachten!
    notempty
    • Die Unterstützung für Zertifikate mit einer Schlüssellänge von weniger als 1024 Bit wird ab der UTM Version 14.2.0 eingestellt
    • HTTP-Proxy oder SSL-VPN Verbindungen mit solchen veralteten Zertifikaten werden ab der v14.2.0 nicht mehr funktionieren!
    • Die Unterstützung für Zertifikate mit SHA1 Signierungsalgorithmus wird ebenfalls ab der Version 14.2.1 eingestellt
    • Entgegen früherer Ankündigungen werden HTTP-Proxy oder SSL-VPN Verbindungen mit Zertifikaten mit 1024 Bit Schlüssellänge auch weiterhin funktionieren, sofern sie mit SHA256 signiert sind
    • Unsichere Zertifikate sollten dringend ausgetauscht werden!
      Das BSI empfiehlt - Stand 01.2025 - Schlüssellängen ab 3000 Bit und SHA256
      BSI – Technische Richtlinie - Kryptographische Verfahren:Empfehlungen und Schlüssellängen BSI TR-02102-1 | Kapitel 2.3: RSA-Verschlüsselung

      Die Default-Einstellung der UTM für neue Zertifikate ist RSA-Verschlüsselung mit 3072 Bit und SHA256 als Hashalgorithmus

    • Betroffene Anwendungen:
      • OpenVPN
        • Serverzertifikat bei Rolle als Server (Roadwarrior oder S2S)
        • Clientzertifikat bei S2S
        • ggf. per Userattribut als Client-Zertifikat festgelegtes Zertifikat (Authentifizierung → Benutzer → Benutzer bearbeiten)
      • Mailrelay
        • Relaying "Zertifikat" (unter TLS Verschlüsselung als Server)
      • Reverse-Proxy
        • Einstellungen → SSL-Zertifikat
      • Webserver
        • Netzwerk → Serveinstellungen → Webserver → Zertifikat
      • HTTP-Proxy
        • SSL-Interception → CA-Zertifikat
    • Statischer SSL-VPN Schlüsseltyp: Aus tls-authtls-crypt
    • Die Aktivierung von tls-auth bewirkt eine zusätzliche Authentifizierung des Kontrollkanals
    • tls-crypt bewirkt eine zusätzliche Authentifizierung und Verschlüsselung des Kontrollkanals
    Statischer SSL-VPN Schlüssel: SSL-VPN S2S Schlüssel zur Absicherung der Verbindung
  • Der Schlüssel muss den Typ OVPN_STATIC_KEY haben
    • Cipher für Datenverbindung: AES-256-GCM Standardmäßig wird AES-256-GCM verwendet.
    notempty
    Die Gegenstelle muss denselben Cipher nutzen!
    BF-CBC DES-EDE-CBC DES-EDE3-CBC CAST5-CBC AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    Hash für Datenverbindung: Default Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss dasselbe Hashverfahren nutzen!
    SHA1 SHA224 SHA256 SHA384 SHA512 whirlpool
    Erlaubte Cipher für automatische Aushandlung (NCP): AES-256-CBC Es lassen sich zusätzliche Ciphers aus den verfügbaren Ciphers (s.o.) auswählen
    Renegotiation: nie
    1 Stunde
    (Default)
    2 Stunden
    4 Stunden
    8 Stunden
    12 Stunden    		 Zeitraum, ab dem die Verbindung erneut vermittelt wird


    Abschnitt Erweitert

    Erweitert S2S Client

    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdn VPN SSL-VPN
    Abschnitt Erweitert
    MTU: 1500 Maximale Übertragungseinheit des größten Pakets (Byte)
    LZO: Aus LZO-Kompression
    Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen!
    Deaktiviert: Nein
    Pass TOS: Aus Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen
    Ping Intervall: 10 Sekunden Intervall der Ping-Anfragen
    Ping Wartezeit: 120 Sekunden Wartezeit der Ping-Anfragen
    Ausgehende Puffergröße: 65536 Bytes Steuert die Größe des Puffers für den Socket
  • Je größer, desto mehr kann zwischen gespeichert werden. Das kann aber auch die Latenz erhöhen.
    • Eingehende Puffergröße: 65536 Bytes s.o.
    Replay window Sequenzgröße:

    Nur bei UDP    		 64 Anzahl der Pakete innerhalb derer noch ältere Sequenznummern akzeptiert werden.
    Replay window Wartezeit:

    Nur bei UDP    		 15 Sekunden Zeitfenster in dem die Sequenzgröße maximal angewendet wird


    S2S Client Regelwerk

    S2S Client Implizite Regeln

    Da der Site-to-Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der Firewall selbst per Default immer erlaubt sind, sind keine impliziten Regeln notwendig.

    S2S Client Netzwerkobjekte

    Ein neues Netzwerkobjekt kann unter Firewall Netzwerkobjekte Schaltfläche + Objekt hinzufügen erstellt werden.

    Beschriftung Wert Beschreibung Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdn Firewall Netzwerkobjekte
    Netzwerkobjekt für das Tunnelnetzwerk
    Name: sslvpn-S2S-Server-Network Eindeutiger Name
    Typ: VPN-Netzwerk Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
    Adresse: 192.168.175.0/24
    Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
    Zone: vpn-ssl-S2S-client die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird.
    Gruppe:     Optional


    S2S Client Paketfilter-Regeln

    S2S Client Paketfilter-Regeln

    Paketfilter UTMbenutzer@firewall.name.fqdn Firewall Regeln aktualisieren
    Paketfilter-Regeln im

    Menü Firewall Paketfilter Schaltfläche + Regel hinzufügen.
    Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw. aus dem Netzwerk:

    # Quelle Ziel Dienst NAT Aktion Aktiv
    5 internal-network sslvpn-S2S-server-network default-internet Accept Ein
    4 sslvpn-S2S-server-network internal-network default-internet Accept Ein


    S2S Client Routen

    S2S Client Routen

    Die Routen werden automatisch gesetzt.
    Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
    Menü Netzwerk Netzwerkkonfiguration Bereich Routing Schaltfläche + Route hinzufügen.
    Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.

    Beschriftung Wert Beschreibung Route hinzufügen UTMbenutzer@firewall.name.fqdn
    Route für Gegenstelle
    Gateway-Schnittstelle: tun4 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
    Zielnetzwerk: 192.168.175.0/24 Das Netzwerk der Gegenstelle (S2S Server)



































    Route nur bei aufgebauter Verbindung
    ausblenden
    Klicken für dauerhafte Anzeige

    Ausgangslage

    Es kann gewünscht sein, die Routen für VPN-Verbindungen erst dann zu setzen, wenn die Verbindung wirklich steht.

    • Dadurch wird unterbunden, daß Pakete in das Internet geroutet und vom Conntrack gespeichert werden und so einen korrekten Aufbau der Verbindung verhindern
    • Dies kann zum Beispiel von Vorteil sein, wenn VoIP durch den Tunnel gehen soll
    • Load Balancing über eine zweite Firewall wird deutlich vereinfacht, wenn nur die UTM eine Route bekommt, bei der der Tunnel auch tatsächlich aufgebaut wird

    CLI-Befehl

    Verbindung per SSH oder über Menü Extras CLI:

    route get ermittelt die korrekte Verbindungs-ID

    route set id <ID> flags BLACKHOLE_IF_OFFLINE

    Z.B.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    Dieser Befehl verwirft Pakete zu diesem Ziel wenn die Route nicht vorhanden ist.
    Bei SSL-VPN oder bei Wireguard zum Beispiel, wenn der Tunnel nicht steht.

    Hinweise

    Multipath

    Multipath

    Bei Multipath auf der Client Seite, muss die VPN-Verbindung im Client auf eine Schnittstelle gebunden werden.
    Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden.
    Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden.
    Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.


    Der transparente HTTP-Proxy

    Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
    Damit dies nicht passiert muss im Menü Anwendungen HTTP-Proxy Bereich Transparenter Modus Schaltfläche + Transparente Regel hinzufügen eine Regel hinzugefügt werden:

    Transparente Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungHTTP-Proxy

    Protokoll: HTTP
    Typ: Exclude
    Quelle: internal-network
    Ziel: name-vpn-netzwerk-objekt
  • Wird die SSL-Interception verwendet, sollte das zusätzlich für das Protokoll HTTPS vorgenommen werden.






























    • In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





















    Connection Rate Limit

    Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports

    notempty
    Die Funktion befindet sich noch in der Erprobungsphase und wird weiter ausgebaut.
    Die Funktion ist zunächst ausschließlich über das CLI zu konfigurieren

    Die Funktion soll helfen Angriffe abzuwehren.
    SSL-VPN-Zugänge können so z.B. vor aggressiven Scans oder Anmeldeversuchen geschützt werden.

    Die UTM kann ab v12.6.2 die Anzahl der TCP- und/oder UDP-Verbindungen von einer externen IP-Adresse auf einen Port limitieren.
    Dabei gelten folgende Bedingungen:

    • Es werde nur eingehende Verbindungen überwacht, für die eine Default-Route existiert
    • Es werden die Verbindungen von einer IP-Adresse auf einen Port der UTM innerhalb einer Minute gezählt
    • Bei Aktivierung werden 5 Verbindungen / Verbindungsversuche je Minute zugelassen.
      Danach werden die Verbindungen limitiert:
      • Dabei werden die zusätzlich zugelassenen Verbindungen innerhalb von 60 Sekunden seit der ersten Verbindung gleichmäßig verteilt.
      • Bei einem CONNECTION_RATE_LIMIT-Wert von 20 kommt also alle 3 Sekunden eine zusätzliche Verbindung hinzu.
      • 10 Sekunden nach der 1 Anmeldung könnten 3 weitere Verbindungen aufgebaut werden (jeweils von der gleichen IP-Adresse aus auf den selben Ziel-Port)
    • Die Sperrung einer IP-Adresse wirkt nur für den Zugriff auf den Port, der zu oft genutzt wurde.
      Andere Ports können weiterhin erreicht werden.
    • Die Funktion ist bei Neuinstallationen per Default auf 20 UDP-Verbindungen / Minute auf allen Ports aktiviert
    • Bei Updates muss die Funktion manuell aktiviert werden
    extc-Variable Default Beschreibung
    CONNECTION_RATE_LIMIT_TCP 0 Anzahl der zugelassenen TCP-Verbindungen einer IP-Adresse je Port
    0 = Funktion deaktiviert, es werden keine Sperrungen vorgenommen
    CONNECTION_RATE_LIMIT_TCP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports würden (bei Aktivierung) überwacht werden.
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    Default Einstellung bei Neuinstallationen ab v12.6.2: 20
    Bei Update Installationen ist der Wert 0, damit ist die Funktion deaktiviert.
    		Anzahl der zugelassenen UDP-Verbindungen einer IP-Adresse je Port
    CONNECTION_RATE_LIMIT_UDP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports werden überwacht (nur bei Neuinstallationen!).
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]

    Konfiguration mit CLI-Befehlen

    Konfiguration mit CLI-Befehlen zeigen
    ausblenden
    Klicken für dauerhafte Anzeige
    CLI-Befehl Funktion
    extc value get application securepoint_firewall
    Alternativ als root-User:
    spcli extc value get application securepoint_firewall | grep RATE     		Listet alle Variablen der Anwendung securepoint_firewall auf.
    Für das Connection Limit sind die Variablen zuständig, die mit CONNECTION_RATE_LIMIT_ beginnen.

    application |variable |value --------------------+-------------------------------+----- securepoint_firewall |… |… |CONNECTION_RATE_LIMIT_TCP |0 |CONNECTION_RATE_LIMIT_TCP_PORTS| |CONNECTION_RATE_LIMIT_UDP |20 |CONNECTION_RATE_LIMIT_UDP_PORTS|

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    system update rule    		 Begrenzt die zugelassene Anzahl von TCP-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
  • Eine Änderung wird durch ein Regelupdate direkt durchgeführt.
    Der Wert muss nicht zuerst auf 0 gesetzt werden!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0
    system update rule    		 Deaktiviert die Überwachung von TCP-Verbindungen
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    system update rule     		Beschränkt die Überwachung von TCP-Verbindungen auf die Ports 443 und 11115
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ]
    system update rule    		 Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    system update rule    		 Begrenzt die zugelassene Anzahl von UDP-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
    Default Einstellung bei Neuinstallationen ab v12.6.2: 20
    Bei Update Installationen ist der Wert 0, damit ist die Funktion deaktiviert.
  • Eine Änderung wird durch ein Regelupdate direkt durchgeführt.
    Der Wert muss nicht zuerst auf 0 gesetzt werden!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0
    system update rule    		 Deaktiviert die Überwachung von UDP-Verbindungen
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ]
    system update rule     		Beschränkt die Überwachung von UDP-Verbindungen auf die Ports 1194 und 1195.
    (Beispielhaft für 2 angelegte SSL-VPN Tunnel.)
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule    		 Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule

    notempty
    Zum Abschluss muss der CLI-Befehl system update rule eingegeben werden, damit die Werte in den Regeln angewendet werden.

    		Beispiel, um maximal 20 Verbindungen pro Minute je IP-Adresse und Port zuzulassen. Bei TCP wird die Überwachung auf die Ports 443 und 11115 beschränkt. Es werden alle Ports auf UDP-Verbindungen überwacht.
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-S2S&oldid=116083“