Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/SSL VPN-RW an S2S-BestPractice.lang: Unterschied zwischen den Versionen

Aus Securepoint Wiki
← Zum vorherigen Versionsunterschied
KKeine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
 
(2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 5: Zeile 5:
{{var | display
{{var | display
| SSL-VPN RW an S2S Best Practice
| SSL-VPN RW an S2S Best Practice
| }}
| SSL-VPN RW to S2S Best Practice }}
{{var | head
{{var | head
| SSL-VPN mit einem Roadwarrior an S2S Verbindungen - Beispielszenarien
| SSL-VPN mit einem Roadwarrior an S2S Verbindungen - Beispielszenarien
| }}
| SSL-VPN with a Roadwarrior on S2S Connections – Example Scenarios }}
{{var | SSL-RW an S2S-Serverseite verbinden
{{var | SSL-RW an S2S-Serverseite verbinden
| SSL-RW an S2S-Serverseite verbinden
| SSL-RW an S2S-Serverseite verbinden
| }}
| Connect SSL-RW to S2S server side }}
{{var | Vorbemerkung
{{var | Vorbemerkung
| Vorbemerkung
| Vorbemerkung
| }}
| Preliminary remark }}
{{var | Vorbemerkung--desc
{{var | Vorbemerkung--desc
| Im Beispiel wird die Dienstgruppe {{whitebox| {{spc|dienste|o|-}} default-internet}} verwendet.<br>In realen Konfigurationen muss diese Gruppe natürlich angepasst werden. Ggf. empfiehlt sich eine neue Dienstgruppe.<br>Eine Regel mit {{whitebox| {{spc|other|o|-}} any }} sollte nur dann verwendet werden, wenn alle beteiligten Netze und Geräte zu 100% vertrauenswürdig sind und eine Kompromittierung ausgeschlossen werden kann.
| Im Beispiel wird die Dienstgruppe {{whitebox| {{spc|dienste|o|-}} default-internet}} verwendet.<br>In realen Konfigurationen muss diese Gruppe natürlich angepasst werden. Ggf. empfiehlt sich eine neue Dienstgruppe.<br>Eine Regel mit {{whitebox| {{spc|other|o|-}} any }} sollte nur dann verwendet werden, wenn alle beteiligten Netze und Geräte zu 100% vertrauenswürdig sind und eine Kompromittierung ausgeschlossen werden kann.
| }}
| The example uses the service group {{whitebox| {{spc|dienste|o|-}} default-internet}}.<br>In real configurations, this group must, of course, be adjusted. If necessary, a new service group is recommended.<br>A rule with {{whitebox| {{spc|other|o|-}} any }} should only be used if all involved networks and devices are 100% trustworthy and compromise can be ruled out. }}
{{var | Voraussetzung
{{var | Voraussetzung
| Voraussetzung
| Voraussetzung
| }}
| Prerequisite }}
{{var | Konfiguriertes S2S-VPN
{{var | Konfiguriertes S2S-VPN
| Konfiguriertes S2S-VPN
| Konfiguriertes S2S-VPN
| }}
| Configured S2S VPN }}
{{var | Konfigurierte S2E-Verbindung
{{var | Konfigurierte S2E-Verbindung
| Konfigurierte S2E-Verbindung
| Konfigurierte S2E-Verbindung
| }}
| Configured S2E connection }}
{{var | RW Transfer-Netz  
{{var | RW Transfer-Netz  
| RW Transfer-Netz  
| RW Transfer-Netz  
| }}
| RW Transfer-Netz }}
{{var | VPN-Server Internes Netz
{{var | VPN-Server Internes Netz
| VPN-Server Internes Netz
| VPN-Server Internes Netz
| }}
| VPN Server Internal Network }}
{{var | S2S Transfer-Netz
{{var | S2S Transfer-Netz
| S2S Transfer-Netz
| S2S Transfer-Netz
| }}
| S2S Transfer-Netz }}
{{var | VPN-Client Internes Netz
{{var | VPN-Client Internes Netz
| VPN-Client Internes Netz
| VPN-Client Internes Netz
| }}
| VPN Client Internal Network }}
{{var | Beispielszenario
{{var | Beispielszenario
| Beispielszenario
| Beispielszenario
| }}
| Example scenario }}
{{var | Beispielszenarien
{{var | Beispielszenarien
| Beispielszenarien
| Beispielszenarien
| }}
| Example scenarios }}
{{var | Transfernetze eintragen
{{var | Transfernetze eintragen
| Transfernetze eintragen
| Transfernetze eintragen
| }}
| Enter transfer networks }}
{{var | 1=B1-Transfernetze eintragen--desc
 
| 2=
{{var | B1-Transfernetze eintragen 1--desc
Die Transfernetze müssen auf den UTMs hinterlegt werden:<br>
| Die Transfernetze müssen auf den UTMs hinterlegt werden:
* Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die Server Netzfreigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} | e }} Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
| For this, the RW transfer network is entered on the S2S server side in the '''Server Network''' release: }}
* und das S2S-Clientnetz in der RW-Netz-Freigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke freigeben:}} {{ic|{{cb|192.168.190.0/24}}|cb}}
{{var | B1-Transfernetze eintragen 2--desc
| 3= }}
| Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die '''Servernetzwerk'''-Freigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} | e }} Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb|sp-class=inline-flex}}
| {{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} edit desired connection  {{Button||w}} | e}} in the {{Reiter|General}} section, {{b|Globally release server networks:}} {{ic|{{cb|192.168.192.0/24}}|cb|sp-class=inline-flex}} }}
{{var | B1-Transfernetze eintragen 3--desc
| und das S2S-Clientnetz in der '''RW-Netzwerk'''-Freigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke freigeben:}} {{ic|{{cb|192.168.174.0/24}}|cb|sp-class=inline-flex}}{{info|In einer vorherigen Veriosn war hier fälschlicherweise das Transfernetz eingetragen|icon=bug}}
| And the S2S client network is entered in the '''RW Network''' release:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|RW Server|blau}} edit desired connection {{Button||w}} | e}} in the {{Reiter|General}} section, {{b|Release server networks:}} {{ic|{{cb|192.168.174.0/24}}|cb|sp-class=inline-flex}}{{info|In a previous version, the transfer network was incorrectly entered here|icon=bug}} }}
{{var | Route erstellen
{{var | Route erstellen
| Route erstellen
| Route erstellen
| }}
| Create route }}
{{var | Route erstellen--desc
{{var | Route erstellen--desc
|  
|  
* Anschließend muss auf der Clientseite eine Route erstellt werden. <br>Diese hat kein Quellnetzwerk, als Gateway das ''S2S-tun-interface'' und als Ziel das ''RW-Transfernetz'':<br>{{Host|VPN Client}}<br>{{Menu-UTM|Netzwerk|Netzwerkkonfiguration|Routing|Route hinzufügen|+}}  
* Anschließend muss auf der Clientseite eine Route erstellt werden. <br>Diese hat kein Quellnetzwerk, als Gateway das ''S2S-tun-interface'' und als Ziel das ''RW-Transfernetz'':<br>{{Host|VPN Client}}<br>{{Menu-UTM|Netzwerk|Netzwerkkonfiguration|Routing|Route hinzufügen|+}}  
| }}
|  
* Afterward, a route must be created on the client side. <br>This route has no source network, uses the ''S2S-tun-interface'' as the gateway, and has the ''RW transfer network''<br>as the destination: {{Host|VPN Client}}<br>{{Menu-UTM|Network|Network Configuration|Routing|Add Route|+}} }}
{{var | Route erstellen--Bild
{{var | Route erstellen--Bild
| UTM v14.0.0 SSL-VPN E2S BP Route erstellen.png
| UTM v14.0.0 SSL-VPN E2S BP Route erstellen.png
Zeile 66: Zeile 71:
{{var | Route erstellen--cap
{{var | Route erstellen--cap
| {{Host|VPN Client}} Route
| {{Host|VPN Client}} Route
| }}
| {{Host|VPN Client}} Route }}
{{var | Beispiel 1-2--Client Paketfilterregeln erstellen--desc
{{var | Beispiel 1-2--Client Paketfilterregeln erstellen--desc
| <br>
| <br>
Es werden insgesamt 4 Paketfilterregeln benötigt. Zwei auf VPN Clientseite, die wie folgt aussehen:
Es werden insgesamt 4 Paketfilterregeln benötigt. Zwei auf VPN Clientseite, die wie folgt aussehen:
| }}
| <br>
A total of 4 packet filter rules are required. Two on the VPN client side, which look as follows: }}
{{var | Paketfilterregeln erstellen
{{var | Paketfilterregeln erstellen
| Paketfilterregeln erstellen
| Paketfilterregeln erstellen
| }}
| Create packet filter rules }}
{{var | Quelle | Quelle | Quelle }}
{{var | Quelle | Quelle | Quelle }}
{{var | Ziel | Ziel | Target }}
{{var | Ziel | Ziel | Target }}
Zeile 84: Zeile 90:
{{var | RW-Transfer-Netz
{{var | RW-Transfer-Netz
| RW-Transfer-Netz
| RW-Transfer-Netz
| }}
| RW transfer network }}
{{var | B1-2-RW-Transfer-Netz Zone--Hinweis
{{var | B1-2-RW-Transfer-Netz Zone--Hinweis
| <small>Objekt erstellen mit Zone des S2S-Tunnels</small>
| <small>Objekt erstellen mit Zone des S2S-Tunnels</small>
| }}
| <small>Create object with zone of the S2S tunnel</small> }}
{{var | internes Zielnetz
{{var | internes Zielnetz
| internes Zielnetz
| internes Zielnetz
| }}
| internal target network }}
{{var | Beispiel 1-2--Server Paketfilterregeln erstellen--desc
{{var | Beispiel 1-2--Server Paketfilterregeln erstellen--desc
| Zwei weitere Paketfilterregeln werden auf der VPN Serverseite benötigt, die wie folgt aussehen:
| Zwei weitere Paketfilterregeln werden auf der VPN Serverseite benötigt, die wie folgt aussehen:
| }}
| Two additional packet filter rules are required on the VPN server side, which look as follows: }}
{{var | S2S-Netz der Clientseite
{{var | S2S-Netz der Clientseite
| S2S-Netz der Clientseite
| S2S-Netz der Clientseite
| }}
| Client-side S2S network }}


{{var | SSL-RW an S2S-Clientseite verbinden
{{var | SSL-RW an S2S-Clientseite verbinden
| SSL-RW an S2S-Clientseite verbinden
| SSL-RW an S2S-Clientseite verbinden
| }}
| Connect SSL-RW on the S2S client side }}
{{var | 1=B2-Transfernetze eintragen--desc
{{var | 1=B2-Transfernetze eintragen--desc
| 2=
| 2=
Die Transfernetze müssen auf den UTMs hinterlegt werden:<br>
Die Transfernetze müssen auf den UTMs hinterlegt werden:<br>
* Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die Client Netzfreigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} {{spc|Client-Gegenstellen|grau}} gewünschten Client bearbeiten {{Button||w}} | e }} {{b|Clientnetzwerke freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
* Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die Client Netzfreigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} {{spc|Client-Gegenstellen|grau}} gewünschten Client bearbeiten {{Button||w}} | e }} {{b|Clientnetzwerke freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}} }}
* und das S2S-Servernetz in der RW-Netz-Freigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
* und das S2S-Servernetz in der RW-Netz-Freigabe eingetragen:<br>{{Host|VPN Server}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}} Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}} }}
| 3= }}
| 3=  
The transfer networks must be stored on the UTMs:<br>
* For this, the RW transfer network is entered in the Client Network Release on the S2S server side:<br>{{Host|VPN Server}}  <br>{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|S2S Server|blau}} {{spc|Client Peers|grau}} edit desired client {{Button||w}} | e}} {{b|Release client networks:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
* And the S2S server network is entered in the RW Network Release:<br> {{Host|VPN Server}}<br>{{Menu-UTM|VPN|SSL-VPN}} {{spc|{{Kasten|RW Server|blau}} edit desired connection {{Button||w}} | e}} Section {{Reiter|General}} {{b|Globally release server networks:}} {{ic|{{cb|192.168.175.0/24}}|cb}} }}
{{var | Beispiel 2--Bild
{{var | Beispiel 2--Bild
| VPN RW - S2S Client.png
| VPN RW - S2S Client.png
Zeile 115: Zeile 124:
{{var | S2S-Netz der Serverseite
{{var | S2S-Netz der Serverseite
| S2S-Netz der Serverseite
| S2S-Netz der Serverseite
| }}
| S2S network on the server side }}


{{var | SSL-RW durch IPSec-S2S
{{var | SSL-RW durch IPSec-S2S
| SSL-RW durch IPSec-S2S
| SSL-RW durch IPSec-S2S
| }}
| SSL-RW via IPSec-S2S }}
{{var | SSL-RW durch IPSec-S2S--desc
{{var | SSL-RW durch IPSec-S2S--desc
| Vom Roadwarrior-Netz durch ein IPSec-Netz ein Gerät erreichen.
| Vom Roadwarrior-Netz durch ein IPSec-Netz ein Gerät erreichen.
| }}
| Access a device from the Roadwarrior network through an IPSec network. }}
{{var | Beispiel 3--Bild
{{var | Beispiel 3--Bild
| SSL-RW durch IPSec-S2S.png
| SSL-RW durch IPSec-S2S.png
Zeile 131: Zeile 140:
{{var | IPSec-Netz erstellen
{{var | IPSec-Netz erstellen
| IPSec-Netz erstellen
| IPSec-Netz erstellen
| }}
| Create IPSec network }}
{{var | 1=B3-IPSec-Netz erstellen--desc
{{var | 1=B3-IPSec-Netz erstellen--desc
| 2=
| 2=
* Zunächst wird das lokale Netz am Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben. <br>{{Host|Standort A}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
* Zunächst wird das lokale Netz am Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben. <br>{{Host|Standort A}} <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
* Anschließend wird ein Netzwerkobjekt für das lokale Netz an Standort B (hinter der IPSec-Verbindung) erstellt.<br>{{Host|Standort A}}<br>{{Menu-UTM|Firewall|Netzwerkobjekte||Objekt hinzufügen|+}}<br>{{b|Name:}} {{ic|Zielnetz Standort B}}<br>'''Wichtig:'''
* Anschließend wird ein Netzwerkobjekt für das lokale Netz an Standort B (hinter der IPSec-Verbindung) erstellt.<br>{{Host|Standort A}}<br>{{Menu-UTM|Firewall|Netzwerkobjekte||Objekt hinzufügen|+}}<br>{{b|Name:}} {{ic|Zielnetz Standort B}}<br>'''Wichtig:'''
<li class="list--element__alert list--element__warning Einrücken">{{b|Typ|class=mw3}} {{Button|Netzwerk (Adresse)|dr|class=mw11}} {{info| Die SSL-VPN-Verbindung bekommt nicht mit, daß es sich um eine weitere VPN-Verbindung handelt.<br>Daher darf hier '''kein VPN-Netzwerk''' ausgewählt werden! }}</li>
<li class="list--element__alert list--element__warning Einrücken">{{b|Typ|class=mw3}} {{Button|Netzwerk (Adresse)|dr|class=mw11}} {{info| Die SSL-VPN-Verbindung bekommt nicht mit, daß es sich um eine weitere VPN-Verbindung handelt.<br>Daher darf hier '''kein VPN-Netzwerk''' ausgewählt werden! }}</li>
<li class="list--element__alert list--element__warning Einrücken">{{b|Zone|class=mw3}} {{Button|external|dr|class=mw11}} </li>
<li class="list--element__alert list--element__warning Einrücken">{{b|Zone|class=mw3}} {{Button|external|dr|class=mw11}} </li>
| 3= }}
| 3=  
* First, enter the local network at location B, which the road warrior should ultimately be able to access, in the RW tunnel. <br>{{Host|Location A}} <br>{{Menu-UTM|VPN|SSL VPN}} {{spc| {{Kasten|RW Server|blau}} Edit desired connection {{Button||w}} |e}}Area {{Reiter | General}} {{b|Share server networks globally:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
 
* Next, a network object is created for the local network at location B (behind the IPSec connection). <br>{{Host|Location A}}<br>{{Menu-UTM|Firewall|Network Objects||Add Object|+}}<br>{{b|Name:}} {{ic|Target Network Location B}}<br>'''Important:'''
<li class="list--element__alert list--element__warning Indent">{{b|Type|class=mw3}} {{Button|Network (address)|dr|class=mw11}} {{info| The SSL VPN connection does not recognize that this is another VPN connection. <br>Therefore, '''no VPN network''' may be selected here! }}</li>
<li class="list--element__alert list--element__warning Indent">{{b|Zone|class=mw3}} {{Button|external|dr|class=mw11}} </li>}}
{{var | Paketfilterregel anlegen
{{var | Paketfilterregel anlegen
| Paketfilterregel anlegen
| Paketfilterregel anlegen
| }}
| Create packet filter rule }}
{{var | B3-Paketfilterregel anlegen--desc
{{var | B3-Paketfilterregel anlegen--desc
| Außerdem müssen die folgenden Paketfilterregeln angelegt werden. Dabei kann der Wiki-Artikel zu [[UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel|IPSec S2S-Ziele mit SSL-VPN erreichen]] nützlich sein.
| Außerdem müssen die folgenden Paketfilterregeln angelegt werden. Dabei kann der Wiki-Artikel zu [[UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel|IPSec S2S-Ziele mit SSL-VPN erreichen]] nützlich sein.
| }}
| In addition, the following packet filter rules must be created. The wiki article on
[{{#var:host}}UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel Reaching IPSec S2S destinations with SSL VPN] may be useful here. }}
{{var | RW-Netz
{{var | RW-Netz
| RW-Netz
| RW-Netz
| }}
| RW network }}
{{var | IPSec-Netz
{{var | IPSec-Netz
| Zielnetz Standort B
| Zielnetz Standort B
| }}
| Target network location B }}
{{var | mit internal interface
{{var | mit internal interface
| mit ''internal interface''
| mit ''internal interface''
| }}
| with ''internal interface'' }}
{{var | Phase 2 bearbeiten
{{var | Phase 2 bearbeiten
| Phase 2 bearbeiten
| Phase 2 bearbeiten
| }}
| Edit phase 2 }}
{{var | Phase 2 bearbeiten--desc
{{var | Phase 2 bearbeiten--desc
| In Phase 2 der Verbindung muss die SSL-Roadwarrior IP-Adresse als Subnetz eingetragen werden.
| In Phase 2 der Verbindung muss die SSL-Roadwarrior IP-Adresse als Subnetz eingetragen werden.
| }}
| In phase 2 of the connection, the SSL Roadwarrior IP address must be entered as a subnet. }}
{{var | Phase 2 bearbeiten--Menu
{{var | Phase 2 bearbeiten--Menu
| {{Menu-UTM|VPN|IPSec|Verbindungen}} {{spc|Phase 2 der gewünschten Verbindung bearbeiten {{Button|Phase2|w}}|e}} → Bereich {{Reiter|Subnetze}} Schaltfläche {{Button|Subnetz hinzufügen|+}}
| {{Menu-UTM|VPN|IPSec|Verbindungen}} {{spc|Phase 2 der gewünschten Verbindung bearbeiten {{Button|Phase2|w}}|e}} → Bereich {{Reiter|Subnetze}} Schaltfläche {{Button|Subnetz hinzufügen|+}}
| }}
| {{Menu-UTM|VPN|IPSec|Connections}} {{spc|Edit phase 2 of the desired connection {{Button|Phase2|w}}|e}} → {{Reiter|Subnets}} section {{Button|Add subnet|+}} button }}
{{var | Phase 2 bearbeiten--Standort B
{{var | Phase 2 bearbeiten--Standort B
| Besteht kein administrativer Zugriff auf den entfernten Standort, muss am lokalen ''Standort A'' zusätzlicheine HideNat-Regel angelegt werden. <br>Dazu gibt es eine [[UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel | eigene Anleitung]]. Achtung: Hier ist der lokale Standort der ''Standort B'' !
| Besteht kein administrativer Zugriff auf den entfernten Standort, muss am lokalen ''Standort A'' zusätzlicheine HideNat-Regel angelegt werden. <br>Dazu gibt es eine [[UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel | eigene Anleitung]]. Achtung: Hier ist der lokale Standort der ''Standort B'' !
|  }}
| If there is no administrative access to the remote location, an additional HideNat rule must be created at the local ''Location A.'' <br>There are separate instructions for this [{{#var:host}}UTM/VPN/SSL_VPN_zu_IPSec-Ziel#Konfiguration_mit_HideNat-Regel own instructions]. Please note: The local location here is “Location B”! }}
 
{{var | SSL-RW durch WG-S2S--SP
{{var | SSL-RW durch WG-S2S--SP
| SSL-RW durch WG-S2S (SP zu SP)
| SSL-RW durch WG-S2S (SP zu SP)
| }}
| SSL-RW via WG-S2S (SP to SP) }}
{{var | SSL-RW durch WG-S2S--desc
{{var | SSL-RW durch WG-S2S--desc
| Der SSL-RW befindet sich bei Standort A und möchte auf ein Gerät bei Standort B zugreifen.
| Der SSL-RW befindet sich bei Standort A und möchte auf ein Gerät bei Standort B zugreifen.
| }}
| The SSL-RW is located at site A and wants to access a device at site B. }}
{{var | SSL-RW durch WG-S2S--SP--Hinweis
{{var | SSL-RW durch WG-S2S--SP--Hinweis
| Dabei verwenden beide Standorte Securepoint Hardware (ansonsten siehe [[#SSL-RW durch WG-S2S (SP zu Fremd)|Szenario 5]])
| Dabei verwenden beide Standorte Securepoint Hardware (ansonsten siehe [[#SSL-RW durch WG-S2S (SP zu Fremd)|Szenario 5]])
| }}
| Both sites use Securepoint hardware (otherwise see [[#SSL-RW_via_WG-S2S_(SP_to_external)|Scenario 5]]) }}
{{var | Beispiel 4--Bild
{{var | Beispiel 4--Bild
| SSL-RW durch WG-S2S.png
| SSL-RW durch WG-S2S.png
Zeile 184: Zeile 199:
{{var | B4-5-Transfernetze eintragen SSL--desc
{{var | B4-5-Transfernetze eintragen SSL--desc
| Zunächst wird das lokale Netz aus Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben. <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
| Zunächst wird das lokale Netz aus Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben. <br>{{Menu-UTM|VPN|SSL-VPN}} {{spc| {{Kasten|RW Server|blau}} gewünschte Verbindung bearbeiten {{Button||w}} |e}}Bereich {{Reiter | Allgemein}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.175.0/24}}|cb}}
| }}
| First, the local network from location B, which the road warrior should ultimately be able to access, is entered in the RW tunnel. <br>{{Menu-UTM|VPN|SSL VPN}} {{spc| {{Kasten|RW Server|blue}} Edit desired connection {{Button||w}} |e}}Area {{Reiter | General}} {{b|Share server networks globally:}} {{ic|{{cb|192.168.175.0/24}}|cb}} }}
{{var | B4-5-Transfernetze eintragen WG--desc
{{var | B4-5-Transfernetze eintragen WG--desc
| Außerdem wird bei Standort A das SSL-RW Transfernetz in die WireGuard <u>Server</u>netzwerke eingetragen.<br>{{Menu-UTM|VPN|WireGuard}} {{spc|gewünschte Verbindung bearbeiten {{Button||w}} |e}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
| Außerdem wird bei Standort A das SSL-RW Transfernetz in die WireGuard <u>Server</u>netzwerke eingetragen.<br>{{Menu-UTM|VPN|WireGuard}} {{spc|gewünschte Verbindung bearbeiten {{Button||w}} |e}} {{b|Servernetzwerke global freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
| }}
| In addition, the SSL-RW transfer network is entered into the WireGuard <u>server</u> networks at location A. <br>{{Menu-UTM|VPN|WireGuard}} {{spc|Edit desired connection {{Button||w}} |e}} {{b|Share server networks globally:}} {{ic|{{cb|192.168.192.0/24}}|cb}} }}
{{var | Wiregard Neustarten
{{var | Wiregard Neustarten
| Anschließend Wiregard {{Button-dialog| Neustarten | fa-redo-alt | fa=fas}}
| Anschließend Wiregard {{Button-dialog| Neustarten | fa-redo-alt | fa=fas}}
| }}
| Then Wiregard {{Button-dialog| Restart | fa-redo-alt | fa=fas}} }}
{{var | B4-Transfernetze eintragen WG-B
{{var | B4-Transfernetze eintragen WG-B
| Bei Standort B wird ebenfalls das SSL-RW Transfernetz eingetragen - allerdings in die WireGuard <u>Peer</u>netzwerke .<br>{{Menu-UTM|VPN|WireGuard}} {{spc|{{Kasten|Peers|grau}} gewünschten Peer bearbeiten {{Button||w}} |e}} {{b|Peernetzwerke freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
| Bei Standort B wird ebenfalls das SSL-RW Transfernetz eingetragen - allerdings in die WireGuard <u>Peer</u>netzwerke .<br>{{Menu-UTM|VPN|WireGuard}} {{spc|{{Kasten|Peers|grau}} gewünschten Peer bearbeiten {{Button||w}} |e}} {{b|Peernetzwerke freigeben:}} {{ic|{{cb|192.168.192.0/24}}|cb}}
| }}
| At location B, the SSL-RW transfer network is also entered—but in the WireGuard <u>Peer</u> networks. <br>{{Menu-UTM|VPN|WireGuard}} {{spc|{{Box|Peers|grau}} Edit desired peer {{Button||w}} |e}} {{b|Share peer networks:}} {{ic|{{cb|192.168.192.0/24}}|cb}} }}
{{var | Standort
{{var | Standort
| Standort
| Standort
| }}
| Location }}
{{var | B4-Route erstellen--desc
{{var | B4-Route erstellen--desc
|  
|  
* Anschließend muss bei Standort B eine Route erstellt werden. <br>Diese hat kein Quellnetzwerk, als Gateway das ''S2S-tun-interface'' und als Ziel das ''RW-Transfernetz'':<br><br>{{Host|Standort B}}<br>{{Menu-UTM|Netzwerk|Netzwerkkonfiguration|Routing|Route hinzufügen|+}}  
* Anschließend muss bei Standort B eine Route erstellt werden. <br>Diese hat kein Quellnetzwerk, als Gateway das ''S2S-tun-interface'' und als Ziel das ''RW-Transfernetz'':<br><br>{{Host|Standort B}}<br>{{Menu-UTM|Netzwerk|Netzwerkkonfiguration|Routing|Route hinzufügen|+}}  
|  }}
|  
* Next, a route must be created at location B. <br>This route has no source network, uses the ''S2S-tun-interface'' as its gateway, and has the ''RW transfer network'' as its destination:<br><br>{{Host|Location B}}<br>{{Menu-UTM|Network|Network Configuration|Routing|Add Route|+}} }}
{{var | B4-Route erstellen--cap
{{var | B4-Route erstellen--cap
| {{Host|Standort B}} Route
| {{Host|Standort B}} Route
| }}
| {{Host|Location B}} Route }}
{{var | B4-Routen und Paketfilterregeln erstellen--desc1
{{var | B4-Routen und Paketfilterregeln erstellen--desc1
| Und für Standort B diese:
| Und für Standort B diese:
| }}
| And for location B, this one: }}
{{var | B4-Routen und Paketfilterregeln erstellen--desc2
{{var | B4-Routen und Paketfilterregeln erstellen--desc2
| Außerdem müssen Paketfilterregeln erstellt werden. <!--Für Standort A ist das die folgende:-->
| Außerdem müssen Paketfilterregeln erstellt werden. <!--Für Standort A ist das die folgende:-->
| }}
| In addition, packet filter rules must be created. <!--For location A, this is as follows:--> }}
{{var | B4-RW-Transfernetz Zone--Hinweis
{{var | B4-RW-Transfernetz Zone--Hinweis
| <small>in der Zone des WG-Tunnels zu Standort A</small>
| <small>in der Zone des WG-Tunnels zu Standort A</small>
| }}
| <small>in the zone of the WG tunnel to location A</small> }}
{{var | WireGuard-Netz
{{var | WireGuard-Netz
| WireGuard-Netz
| WireGuard-Netz
| }}
| WireGuard network }}
{{var | B4-WireGuard-Netz--Hinweis
{{var | B4-WireGuard-Netz--Hinweis
| <small>der Gegenstelle (Standort B)</small>
| <small>der Gegenstelle (Standort B)</small>
| }}
| <small>the remote station (location B)</small> }}
{{var | B4--Regelhinweis
{{var | B4--Regelhinweis
| Soll aus dem Zielnetz heraus ein lokales Gerät am Roadwarrior Client (z.B. ein Drucker) oder der Roadwarrior selbst erreicht werden können, bedarf es einer weiteren Regel:
| Soll aus dem Zielnetz heraus ein lokales Gerät am Roadwarrior Client (z.B. ein Drucker) oder der Roadwarrior selbst erreicht werden können, bedarf es einer weiteren Regel:
| }}
| If a local device on the Roadwarrior client (e.g., a printer) or the Roadwarrior itself is to be accessible from the target network, an additional rule is required: }}


{{var | SSL-RW durch WG-S2S--Fremd
{{var | SSL-RW durch WG-S2S--Fremd
| SSL-RW durch WG-S2S (SP zu Fremd)
| SSL-RW durch WG-S2S (SP zu Fremd)
| }}
| SSL-RW via WG-S2S (SP to external) }}
{{var | SSL-RW durch WG-S2S--Fremd--Hinweis
{{var | SSL-RW durch WG-S2S--Fremd--Hinweis
| Dabei verwendet Standort A Securepoint Hardware und Standort B fremde Hardware (ansonsten siehe [[#SSL-RW durch WG-S2S (SP zu SP)|Szenario 4]])
| Dabei verwendet Standort A Securepoint Hardware und Standort B fremde Hardware (ansonsten siehe [[#SSL-RW durch WG-S2S (SP zu SP)|Szenario 4]])
| }}
| Location A uses Securepoint hardware and location B uses third-party hardware (otherwise, see [[#SSL-RW via WG-S2S (SP to SP)|Scenario 4]]). }}
{{var | Beispiel 5--Bild
{{var | Beispiel 5--Bild
| SSL-RW durch WG-S2S mit fremd Hardware.png
| SSL-RW durch WG-S2S mit fremd Hardware.png
Zeile 234: Zeile 250:
{{var | B5-Transfernetze eintragen B
{{var | B5-Transfernetze eintragen B
| Auf dem entfernten Gerät muss das Roadwarrior-Netz als ''Allowed IPs'' konfiguriert werden.
| Auf dem entfernten Gerät muss das Roadwarrior-Netz als ''Allowed IPs'' konfiguriert werden.
| }}
| The Roadwarrior network must be configured as ''Allowed IPs'' on the remote device. }}
{{var | Beispiel 5--cap
{{var | Beispiel 5--cap
|  
|  
Zeile 240: Zeile 256:
{{var | Routen und Paketfilterregeln erstellen
{{var | Routen und Paketfilterregeln erstellen
| Routen und Paketfilterregeln erstellen
| Routen und Paketfilterregeln erstellen
| }}
| Create routes and packet filter rules }}
{{var | B5-Routen und Paketfilterregeln erstellen--desc
{{var | B5-Routen und Paketfilterregeln erstellen--desc
| <!--  
| <!--  
Zeile 249: Zeile 265:
* {{Host|Standort A}}<br>
* {{Host|Standort A}}<br>
Bei Standort A, also der Securepoint Hardware, müssen folgende Paketfilterregeln erstellt werden:
Bei Standort A, also der Securepoint Hardware, müssen folgende Paketfilterregeln erstellt werden:
| }}
|  
* {{Host|Site B}} Additionally, a route must be created at site B, which has an ''empty'' source, the ''WG-tun-interface'' as the gateway, and the ''RW transfer network'' as the destination.
-->
* {{f|In addition, depending on the device, the WireGuard connection must know the IP address of the Securepoint hardware, so routes and rules must be created accordingly. § Can this be removed?
 
* {{Host|Location A}}<br>
At location A, i.e., the Securepoint hardware, the following packet filter rules must be created: }}
{{var | Beispiel 1--Bild
{{var | Beispiel 1--Bild
| VPN RW - S2S.png
| VPN RW - S2S.png
Zeile 258: Zeile 280:
{{var | Dienst neu starten
{{var | Dienst neu starten
| Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
| Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
| }}
| Restart the service to fully apply changes and push routes: }}
{{var | Dienst neu starten--Menu
{{var | Dienst neu starten--Menu
| {{Menu-UTM|Anwendungen|Anwendungsstatus}} die Anwendung {{b|SSL-VPN}} {{Button||fa|icon-class=fas fa-stop}} {{Hover-class|stoppen}} und anschließend {{Button||play}} {{Hover-class|starten}}
| {{Menu-UTM|Anwendungen|Anwendungsstatus}} die Anwendung {{b|SSL-VPN}} {{Button||fa|icon-class=fas fa-stop}} {{Hover-class|stoppen}} und anschließend {{Button||play}} {{Hover-class|starten}}
| }}
| {{Menu-UTM|Applications|Application Status}} the application {{b|SSL VPN}} {{Button||fa|icon-class=fas fa-stop}} {{Hover-class|stop}} and then {{Button||play}} {{Hover-class|start}} }}




Aktuelle Version vom 14. Januar 2026, 15:42 Uhr

In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden























  • und das S2S-Servernetz in der RW-Netz-Freigabe eingetragen:
    VPN Server
    VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.175.0/24 }}

| 3= The transfer networks must be stored on the UTMs:

  • For this, the RW transfer network is entered in the Client Network Release on the S2S server side:
    VPN Server
    {Menu-UTM|VPN|SSL-VPN}} S2S Server Client Peers edit desired client Release client networks: »192.168.192.0/24
  • And the S2S server network is entered in the RW Network Release:
    VPN Server
    VPN SSL-VPN RW Server edit desired connection Section General Globally release server networks: »192.168.175.0/24 }}























{{var | B5-Routen und Paketfilterregeln erstellen--desc |

  • Standort A

Bei Standort A, also der Securepoint Hardware, müssen folgende Paketfilterregeln erstellt werden: |

  • Site B Additionally, a route must be created at site B, which has an empty source, the WG-tun-interface as the gateway, and the RW transfer network as the destination.

-->




Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-RW_an_S2S-BestPractice.lang&oldid=100207“