UTM/VPN/IPSec-S2S Beispiele

---

Beispiele zur Konfiguration von IPSec-VPN Site to Site Verbindungen

Letzte Anpassung zur Version: 12.6.0

Neu:

• Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.5 11.7 11.6

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 Netzwerk Netzwerkkonfiguration

---

Einleitung

Bei einer IPSec Verbindung gibt es für jeden Netzaufbau empfohlene Konfigurationen, damit ein Tunnel aufgebaut werden kann.
Dabei wird unterschieden, ob die öffentliche IP auf der UTM liegt, oder ob die Verbindung "genattet" ist. Auch, ob es mehrere Internetleitungen gibt, spielt hierbei eine Rolle.

Single-Path mit öffentlichen IP-Adressen

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL-Modem angeschlossen ist.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk Für den Anschluss eines Modems an der UTM wird eine PPPoE-Schnittstelle und eine Default-Route über diese Schnittstelle eingerichtet.
In unserem Fall ist es die erste PPPoE-Schnittstelle, die dann die Bezeichnung wan0 erhält.

Die Default-Route kann mit Klick auf Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Default-Route hinzufügen angelegt werden, wobei die zuvor angelegte PPPoE-Schnittstelle als Gateway ausgewählt wird.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.
Remote Host/Gateway:	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	Es kann ein Pre-Shared Key, ein Zertifikat oder ein RSA-Schlüssel verwendet werden.
Pre-Shared Key:	Schlüssel hier eintragen oder einen sehr starken Schlüssel erstellen lassen.
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk Für den Anschluss eines Modems an der UTM wird eine PPPoE-Schnittstelle und eine Default-Route über diese Schnittstelle eingerichtet.
In unserem Fall ist es die erste PPPoE-Schnittstelle, die dann die Bezeichnung wan0 erhält.

Die Default-Route kann mit Klick auf Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Default-Route hinzufügen angelegt werden, wobei die zuvor angelegte PPPoE-Schnittstelle als Gateway ausgewählt wird.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.
Remote Host/Gateway:	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	Es kann ein Pre-Shared Key, ein Zertifikat oder ein RSA-Schlüssel verwendet werden.
Pre-Shared Key:	Schlüssel hier eintragen oder einen sehr starken Schlüssel erstellen lassen.
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Single-Path mit einer genatteten Seite

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist, aber nur auf einer Seite eine öffentliche IP-Adresse direkt an den UTM anliegt. Die andere steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk Für den Anschluss eines Modems an der UTM wird eine PPPoE-Schnittstelle und eine Default-Route über diese Schnittstelle eingerichtet.
In unserem Fall ist es die erste PPPoE-Schnittstelle, die dann die Bezeichnung wan0 erhält.

Die Default-Route kann mit Klick auf Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Default-Route hinzufügen angelegt werden, wobei die zuvor angelegte PPPoE-Schnittstelle als Gateway ausgewählt wird.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.
Remote Host/Gateway:	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Incoming auswählen
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario ist die Seite der Filiale die Gegenstelle der IPSec-Verbindung, die durch einen ADSL-Router über das Transfernetz zusätzlich "genattet" werden muss.
Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:	Hier wird die öffentliche IP-Adresse der Zentrale eingetragen.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Single-Path beidseitig genattet

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn an beiden Seiten der Verbindung jeweils nur eine Internetleitung vorhanden ist und beide Seiten der Verbindung hinter einem Router stehen, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dies ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Diese Konfiguration wird von Securepoint nicht empfohlen, da sie in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wird für dieses Szenario eine OpenVPN Site to Site Verbindung.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL-Router über das Transfernetz zusätzlich "genattet" werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario muss die Seite der Filiale, als IPSec-VPN Gegenstelle, durch einen ADSL Router über das Transfernetz ebenfalls "genattet" werden. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Incoming auswählen
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Multipath mit öffentlichen IP-Adressen

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und auf beiden Seiten öffentliche IP-Adressen direkt an den UTM anliegen. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle ein ADSL-Modem angeschlossen ist.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk In diesem Szenario hat die Zentrale mehrere Anschlüsse zum Internet.
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung wan0 erhält.
Wichtig ist an dieser Stelle auch, dass die VPN Zonen vpn-ipsec und firewall-vpn-ipsec auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll.

Da hier mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing), da es ansonsten Probleme mit den Paketfilterregeln geben wird.
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.
Remote Host/Gateway:	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	Es kann ein Pre-Shared Key, ein Zertifikat oder ein RSA-Schlüssel verwendet werden.
Pre-Shared Key:	Schlüssel hier eintragen oder einen sehr starken Schlüssel erstellen lassen.
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

Auch hier wurde ein Modem an der UTM angeschlossen, eine PPPoE Schnittstelle und eine Standard Route über diese Schnittstelle eingerichtet.
Auch in diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung wan0 erhält.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

Die Default-Route kann mit Klick auf Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Default-Route hinzufügen angelegt werden, wobei die zuvor angelegte PPPoE-Schnittstelle als Gateway ausgewählt wird.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.
Remote Host/Gateway:	Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle.
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	Es kann ein Pre-Shared Key, ein Zertifikat oder ein RSA-Schlüssel verwendet werden.
Pre-Shared Key:	Schlüssel hier eintragen oder einen sehr starken Schlüssel erstellen lassen.
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Multipath mit einer genatteten Seite

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und dort öffentliche IP-Adressen direkt an den UTM anliegen. Die andere Seite steht hinter einem Router, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dieses ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk In diesem Szenario hat die Zentrale mehrere Anschlüsse zum Internet.
Hier soll die IPSec-VPN Verbindung über einen Internetzugang mit direkt angeschlossenem DSL-Modem aufgebaut werden. In diesem Fall ist es die erste PPPoE Schnittstelle, die dann die Bezeichnung wan0 erhält.
Wichtig ist an dieser Stelle auch, dass die VPN Zonen vpn-ipsec und firewall-vpn-ipsec auf der Schnittstelle liegen, über die die VPN-Verbindung erstellt werden soll.

Da hier mehrere Internetverbindungen gleichzeitig genutzt werden, bestehen auch mehrere Standard Routen (Multipath-Routing), da es ansonsten Probleme mit den Paketfilterregeln geben wird.
Sollen unterschiedliche VPN-Verbindungen über unterschiedliche Internetverbindungen aufgebaut werden, müssen weitere VPN Zonen angelegt werden.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario ist die Filiale über einen ADSL Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz, in unserem Beispiel 192.168.2.0/24, über das zusätzlich "genattet" werden muss. Die Öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Incoming auswählen
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Multipath beidseitig genattet

Im folgenden wird erklärt, wie eine IPSec-VPN Konfiguration aussieht, wenn auf einer Seite mehrere Internetleitungen vorhanden sind und beide Seiten der Verbindung hinter einem Router stehen, welcher der UTM über ein Transfernetz den Internetzugang ermöglicht. Dies ist zum Beispiel der Fall, wenn an der externen Schnittstelle der UTM der ADSL-Router eines Internet-Providers angeschlossen ist.
Diese Konfiguration wird von Securepoint nicht empfohlen, da diese in der Regel instabil ist, wenn sie denn überhaupt aufgebaut wird. Empfohlen wir für dieses Szenario eine OpenVPN Site to Site Verbindung.

Zentrale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario nehmen wir den Fall an, dass die Zentrale mehrere Anschlüsse zum Internet hat.
Hier soll die Zentrale die IPSec-Verbindung über eine Internetleitung aufbauen, die durch einen ADSL Router über das Transfernetz zusätzlich "genattet" werden muss. Die öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Das Startverhalten Outgoing definiert, dass diese Seite die Initiierung der Verbindung automatisch vornimmt.
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.

Filiale

Netzwerkvorgaben

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.1

In diesem Szenario ist die Filiale ebenfalls über einen ADSL-Router mit dem Internet verbunden. Dadurch gibt es ein Transfernetz über das zusätzlich "genattet" werden muss. Die öffentliche IP-Adresse liegt also nicht direkt auf der externen Schnittstelle der UTM.

Netzwerkkonfiguration UTMbenutzer@firewall.name.fqdnNetzwerk

Abb.2

In der Standard-Route wird die IP-Adresse des ADSL Router als Gateway eingetragen.

RSA-Schlüssel

Schlüssel UTMbenutzer@firewall.name.fqdnAuthentifizierung

Sobald eine IPSec-VPN-Verbindung auf mindestens einer Seite, zum Beispiel durch einen Router "genattet" wird, empfehlen wir, statt eines Pre-Shared Key die Verwendung von RSA-Schlüsseln.
Dadurch kann bei jeder weiteren VPN-Verbindung ein eigener Schlüssel und auch wieder die Gateway ID als zweites Authentifizierungsmerkmal verwendet werden.
Das Erstellen eines RSA-Schlüsselpaares erfolgt unter Authentifizierung Schlüssel  Schaltfläche + Schlüssel hinzufügen (siehe auch RSA-Keys).
Dann muss noch der öffentliche Schlüssel der Zentrale im PEM, HEX oder Base64 Format exportiert und in die UTM der Filiale importiert werden. Der Öffentliche Schlüssel der Filiale wird ebenfalls exportiert und in die UTM der Zentrale importiert.

IPSec Phase 1

Mit Klick auf VPN IPSec  Bereich Verbindungen Schaltfläche + IPSec Verbindung hinzufügen kann eine IPSec-Verbindung hinzugefügt werden. Eine genau Anleitung dazu findet sich hier.
Wenn anschließend auf Phase 1 geklickt wird, sieht der Dialog wie folgt aus:

Name:	Name der Verbindung	Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec
IKE Version:	IKE Version
Local Gateway:	Lokales Gateway angeben
Local Gateway ID:	Durch das Transfernetz zum ADSL Router liegt die öffentliche IP-Adresse nicht auf der Schnittstelle.
Remote Host/Gateway:
Remote Host/Gateway ID:	ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge).
Beliebige Remote-Adressen erlauben:	Diese Option deaktivieren für Site to Site-Verbindungen mit DynDNS-Hosts, wenn mehrere IPsec-Verbindungen mit a priori unbekannten Adressen (DynDNS S2S, Roadwarrior) konfiguriert sind.
Lokale Authentifizierungsmethode:	RSA auswählen
Lokaler RSA Schlüssel:	Zuvor angelegten Schlüssel wählen
RSA Schlüssel der Gegenstelle:	RSA-Schlüssel auswählen
Startverhalten:	Incoming auswählen
Dead Peer Detection:	Diese überprüft die Verbindung durch versenden sogenannter Keep Alive Pakete, auf die die Gegenstelle antworten muss. Tut sie dies nicht, wird die Verbindung abgebaut und wieder neu aufgebaut. Wichtig ist, dass auch die Gegenstelle die Dead Peer Detection implementiert haben muss, ansonsten kann diese nicht verwendet werden.
DPD Timeout:	Zeitraum, bevor der Zustand unter Startverhalten wieder hergestellt wird.
DPD Intervall:	Intervall der Überprüfung
Compression:	Kompression wird nicht von allen Gegenstellen unterstützt.