| Zeile 124: | Zeile 124: | ||
[[Datei:Utm ssl-vpn route.png|right|Route für Gegenstelle ]] | [[Datei:Utm ssl-vpn route.png|right|Route für Gegenstelle|thumb ]] | ||
<br> | <br> | ||
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle. | Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle. | ||
Version vom 9. August 2018, 10:22 Uhr
Informationen
Letze Anpassung zur Version: 11.7.3
Bemerkung: Hashingverfahren auswählbar.
Vorherige Versionen: 11.6.12, 11.7
Einleitung
Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
Site to Site Server
Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
Site to Site Client
Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.
Site to Site konfiguration
Site to Site Server
Schritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
- Roadwarrior Server
- Site to Site Server
- Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
Schritt 2
Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.
Schritt 3
Lokale Einstellungen für den Site to Site Server können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll und Port ausgewählt, ein Serverzertifikat gewählt - durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat erstellt werden - und die Servernetzwerke freigegeben werden.
Schritt 4
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen. Die Server- und Client-Tunneladresse wird automatisch ausgewählt.
Schritt 5
Das Client-Zertifikat muss ausgewählt und die Clientnetzwerke freigegeben werden.
Weitere Client-Gegenstellen
Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über das "+" hinzugefügt werden.
Site to Site Client
Schritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
- Roadwarrior Server
- Site to Site Server
- Site to Site Client
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
Schritt 2
Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.
Schritt 3
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
Schritt 4
Dieser Installationsschritt entfällt.
Schritt 5
Im Schritt 5 wird die Remotegateway IP-Adresse oder SPDyn-Adresse an.
Regelwerk
Unter Firewall -> Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
Regeln und Routing
Die Regeln im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.
Hinweise
Verschlüsselung
Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.
Hashverfahren
Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.
QoS
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.
Multipath
Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden. Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden. Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden. Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.
Search Domain
Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.
DNS/WINS übermitteln
Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt. Eine Anleitung zum Einrichten des DNS-Relay finden Sie hier.
IPv6 für eingehende Verbindungen
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.
Der transparente HTTP-Proxy
Wenn von der aus dem Internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtern. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit das nicht passiert, muss ein Exclude mit der Quelle internal-network' zum Ziel name-vpn-netzwerk-objekt' und dem Protokoll HTTP erstellt werden.