Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/SSL VPN-S2S: Unterschied zwischen den Versionen

Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
Zeile 1: Zeile 1:
{{Set_lang}}
{{Set_lang}}
{{#vardefine:headerIcon|spicon-vpn-client}}


{{var | display
{{#vardefine:headerIcon|spicon-utm}}
| SSL-VPN Site-to-Site
{{:UTM/VPN/SSL VPN-S2S.lang}}
|  }}
{{var | head
| Konfiguration von SSL-VPN Site-to-Site-Verbindungen
|  }}


</div>{{TOC_limit | 3}}
</div>{{TOC2|toclevel=3}}{{Select_lang}}
{{Header|11.8.7|
{{Header|11.8.7|
* {{#var:neu--ACME}}
* Defaultwert für Verschlüsselungs-Algorithmus geändert
* Defaultwert für Verschlüsselungs-Algorithmus geändert
* Defaultwert für Hashverfahren geändert
* Defaultwert für Hashverfahren geändert
Zeile 17: Zeile 13:
[[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]]
[[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]]
}}
}}
<br>
----
----


=== Einleitung ===
 
:Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes  explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
=== {{#var:Einleitung}} ===
: {{#var:Einleitung--desc}}
{{h4| Site to Site Server | Site to Site Server | 4=<i class="host utm"> S2S Server</i> }}
{{h4| Site to Site Server | Site to Site Server | 4=<i class="host utm"> S2S Server</i> }}
: Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
: {{#var:Site to Site Server--desc}}
{{h4| Site to Site Client | Site to Site Client | 4=<i class="host utm"> S2S Client</i> }}
{{h4| Site to Site Client | Site to Site Client | 4=<i class="host utm"> S2S Client</i> }}
: Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.
: {{#var:Site to Site Client--desc}}
 
----
----


=== Site to Site Server Konfiguration ===
==={{#var:Site to Site Server Konfiguration}}===
{{Hinweis| !! Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt. }}
{{Hinweis-neu| !! {{#var:Site to Site Server Konfiguration-Hinweis}} }}
<br clear=both>
<br clear=both>
==== SSL-VPN-Verbindung ====
===={{#var:SSL-VPN-Verbindung}}====
Einrichten der Verbindung im Menü {{Menu| VPN | SSL-VPN || SSL-VPN Verbindung hinzufügen |+}}
{{#var:SSL-VPN-Verbindung--desc}}
===== Installationsassistent =====
====={{#var:Installationsassistent}}=====
{{h6 | Schritt 1 | 2= Schritt 1 <i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Schritt 1}} | 2= Schritt 1 <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss1.png | Installationsschritt 1 }}
{{pt3| {{#var:Schritt 1--Bild}} | {{#var:Schritt 1--cap}} }}
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
{{#var:Schritt 1--desc}}
* Roadwarrior Server
* '''Site to Site Server'''
* Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
<div style="clear: both;"></div>
<div style="clear: both;"></div>


{{h6 | Schritt 2 | 2= Schritt 2 <i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Schritt 2}} | 2= {{#var:Schritt 2}} <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss2.png | Installationsschritt 2 }}
{{pt3| {{#var:Schritt 2--Bild}} | {{#var:Schritt 2--cap}} }}
Soll ein lokales IPv6-Netz angebunden werden, muss die Option {{b| IPv6 über IPv4 verwenden:}} aktiviert {{ButtonAn | Ja }} werden.
{{#var:Schritt 2--desc}}
<div style="clear: both;"></div>
<div style="clear: both;"></div>




{{h6 | Schritt 3 | 2= Schritt 3 <i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Schritt 3}} | 2= {{#var:Schritt 3}} <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss3.png | Installationsschritt 3 }}
 
Lokale Einstellungen für den Site to Site Server<br>
{{#var:Schritt 3--desc}}<br>
<br clear=all>
<br clear=all>
{| class="sptable2"
{| class="sptable2"
|-
|-
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="5" | {{Bild | {{#var:Schritt 3--Bild}} | {{#var:Schritt 3--cap}} }}
|-
|-
| {{b| Name: }} || {{ ic | S2S }}-server || Eindeutige Bezeichnung
| {{b|Name:}} || {{ic|S2S}}-server || {{#var:Name--desc}}
|-
|-
| {{b| Protokoll: }} || {{Button| UDP | dr }} || gewünschtes Protokoll
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr}} || {{#var:Protokoll--desc}}
|-
|-
| {{b| Serverzertifikat: }} || {{ Button| Server-Zertifikat|dr}} || Auswahl des Zertifikates, mit dem der Server sich Authentifiziert<br>
| {{b|{{#var:Serverzertifikat}}: }} || {{Button|{{#var:Serverzertifikat--val}} |dr}} || {{#var:Serverzertifikat--desc}}<br>{{Hinweis-neu|!|gr}} {{#var:ACME-Zertifikat}}<br>{{#var:Serverzertifikat--Hinweis}}
Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit {{Button||mw}} <br>
* Erstellung einer CA im Reiter {{Reiter | CA}} mit der Schaltfläche {{Button | CA hinzufügen|+}}
* Erstellung eines Serverzertifikates im Reiter {{Reiter| Zertifikate }} mit der Schaltfläche {{Button| Zertifikat hinzufügen |+}}<br>Bitte beachten: {{b|Serverzertifikat:}} {{ButtonAn|Ein}} aktivieren
* Erstellung des Client-Zertifikates mit der Schaltfläche {{Button | Zertifikat hinzufügen |+}}<br>
{{Hinweis | !|gelb}} Beide Zertifikate müssen mit der selben CA erstellt werden!<br>
{{Hinweis| !|gelb}} Das ''Client''-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche {{Button||d}} exportiert werden. Zur Nutzung bei einer UTM als Client wird das {{Button|PEM|dr}}-Format benötigt.
 
Weitere Hinweise im Wiki-Artikel zur Nutzung von [[UTM/AUTH/Zertifikate | Zertifikaten.]]
|-
|-
| {{ b | Servernetzwerke freigeben: }} || {{ic| {{cb|192.168.175.0/24}} |cb}} || An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.
| {{b|{{#var:Servernetzwerke freigeben}}: }} || {{ic|{{cb| 192.168.175.0/24}} |cb}} || {{#var:Servernetzwerke freigeben--desc}}
|- class="Leerzeile"
|}
|}


<div style="clear: both;"></div>
<div style="clear: both;"></div>


{{h6 | Schritt 4 | 2= Schritt 4 <i class="host utm"> S2S Server</i> }}
 
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss4.png | Installationsschritt 4 }}
{{h6| {{#var:Schritt 4}} | 2= {{#var:Schritt 4}} <i class="host utm"> S2S Server</i> }}
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.<br>
{{#var:Schritt 4--desc}}<br>
{| class="sptable2 pd5"
{| class="sptable2 pd5"
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="5" | {{Bild | {{#var:Schritt 4--Bild}} | {{#var:Schritt 4--cap}} }}
|-
|-
| {{b| Transfer-Netzwerk: }} || {{ic | 192.168.190.0/24 }} || Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
| {{b|{{#var:Transfer-Netzwerk}}: }} || {{ic|192.168.190.0/24}} || {{#var:Transfer-Netzwerk--desc}}
|-
|-
| {{b| Server-Tunneladresse:}} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/32 }} || rowspan="2" | Die Server- und Client-Tunneladresse wird automatisch ermittelt.
| {{b|{{#var:Server-Tunneladresse}}:}} || {{ic|&emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/32}} || rowspan="2" | {{#var:Server-Tunneladresse--desc}}
|-
|-
| {{b| IPv4 Client-Tunneladresse: }} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/24 }}  
| {{b|{{#var:IPv4 Client-Tunneladresse}}: }} || {{ic|&emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/24}}  
|- class="Leerzeile"
|}
|}
<div style="clear: both;"></div>
<div style="clear: both;"></div>




{{h6 | Schritt 5 | 2= Schritt 5 <i class="host utm"> S2S Server</i> }}
{{h6 | {{#var:Schritt 5}} | 2= {{#var:Schritt 5}} <i class="host utm"> S2S Server</i> }}
{{pt3| UTM_v11.8.7_VPN_SSLVPN_S2Ss5.png | Installationsschritt 5 }}
{| class="sptable2 pd5"
{| class="sptable2 pd5"
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="6" | {{Bild|{{#var:Schritt 5--Bild}} |{{#var:Schritt 5--cap}} }}
|-
|-
| {{b| Name: }} || {{b|S2S-client}} || Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet
| {{b|Name:}} || {{b|S2S-client}} || {{#var:Name-Schritt 5--desc}}
|-
|-
| {{b|Client-Zertifikat:}} || style="width: 220px;" | {{button| CC-S2S-Client-Network1|dr}} || Zertifikat des Client-Netzwerks
| {{b|{{#var:Client-Zertifikat}}:}} || style="width: 220px;" | {{button| CC-S2S-Client-Network1|dr}} || {{#var:Client-Zertifikat--desc}}
|-
|-
| {{b| Clientnetzwerke freigeben: }} || {{ic| {{cb|192.168.174.0/24}} |cb}} || Netzwerke der Gegenstelle, die freigegeben werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)
| {{b|{{#var:Clientnetzwerke freigeben}}: }} || {{ic|{{cb|192.168.174.0/24}}|cb}} || {{#var:Clientnetzwerke freigeben--desc}}
|- class="Leerzeile"
|}
|}
<br>
<br>
{{Hinweis|!! Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden. | gelb | c=graul}}
{{Hinweis-neu|!! {{#var:Schritt 5-Hinweis}} | gelb | c=graul}}
 


<div style="clear: both;"></div>
<div style="clear: both;"></div>
----
----
{{h5 | Weitere Client-Gegenstellen | 2= Weitere Client-Gegenstellen <i class="host utm"> S2S Server</i> }}
{{h5| {{#var:Weitere Client-Gegenstellen}} | 2= {{#var:Weitere Client-Gegenstellen}} <i class="host utm"> S2S Server</i> }}
{{pt3|UTM_v11.8.7_VPN_SSL-VPN.png | Übersicht der SSL-VPN-Verbindungen }}
{{pt3| {{#var:Weitere Client-Gegenstellen--Bild}} | {{#var:Weitere Client-Gegenstellen--cap}} }}
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_client2.png | hochkant=1.25 |Weitere Gegenstellen des S2S-SSL-.VPNs }}
{{pt3|{{#var:SSL-VPN Übersicht--Bild}} |hochkant=1.25 |{{#var:SSL-VPN Übersicht--cap}} }}
<p>Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über die Schaltfläche {{Button | |+}} hinzugefügt werden.</p>
<p>{{#var:Weitere Client-Gegenstellen--desc}}
<p>Anzeige der Gegenstellen mit Klick auf das Ordnersymbol {{Button| {{spc|folder|o|-}} }}
<div style="clear: both;"></div>
<div style="clear: both;"></div>


----
----


==== Regelwerk ====
===={{#var:Regelwerk}}====
{{h5 | Implizite Regeln | Implizite Regeln | 4=<i class="host utm"> S2S Server</i> }}
{{h5| {{#var:Implizite Regeln}} | {{#var:Implizite Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{pt3|UTM_v11.8.7_Firewall_Implizite-Regeln_VPN_SSL-VPN-UDP.png | Implizite Regeln }}
{{pt3|{{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln}} }}
Unter {{Menu | Firewall | Implizierte Regeln }} Abschnitt {{ic|VPN}} kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier {{ButtonAn|Ein}} SSL VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
{{#var:Implizite Regeln--desc}}
<div style="clear: both;"></div>
<div style="clear: both;"></div>




{{h5 | Netzwerkobjekte | Netzwerkobjekte | 4=<i class="host utm"> S2S Server</i> }}
{{h5| {{#var:Netzwerkobjekte}} | {{#var:Netzwerkobjekte}} | 4=<i class="host utm"> S2S Server</i> }}
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>". 
{{#var:Netzwerkobjekte--desc}}
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt angelegt werden.<br>
{{pt3| {{#var:Netzwerkobjekte--Bild}} |{{#var:Netzwerkobjekte--cap}} }}
Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
{{pt3| UTM_v11.8.7_Firewall_Netzwerkobjekt_SSLVPN_S2S-Server.png | Netzwerkobjekt für das Tunnelnetzwerk}}
{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
|-
|-
| {{b| Name: }} || {{ic|sslvpn-S2S-client-network}} || Frei wählbarer Name
| {{b|Name:}} || {{ic|sslvpn-S2S-client-network}} || {{#var:Name-Netzwerkobjekte--desc}}
|-
|-
| {{b| Typ: }} || {{Button| VPN-Netzwerk | dr}} || Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch {{Button| VPN-Host|dr}} ausgewählt werden.
| {{b|{{#var:Typ}}: }} || {{Button|{{#var:Typ--val}} |dr}} || {{#var:Typ--desc}}
|-
|-
| {{b| Adresse: }} || {{ic| 192.168.174.0/24}} || Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde.<br>
| {{b|{{#var:Adresse}}: }} || {{ic|192.168.174.0/24}} || {{#var:Adresse--desc}}<br>
{{Einblenden3 | Hinweis bei mehreren Clientnetzwerken | ausblenden | true | dezent}}  
{{Einblenden3 | {{#var:Hinweis bei mehreren Clientnetzwerken}} | ausblenden | true | dezent}}  
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.</span></div>
{{#var:Hinweis bei mehreren Clientnetzwerken--desc}}</span></div>
|-
|-
| {{b|Zone:}} || {{Button | vpn-ssl-S2S-Server | dr }} || die Zone auf dem <i class="host utm"> S2S Server</i>, über die das <i class="host utm"> S2S Client</i>-Netzwerk angesprochen wird.
| {{b|{{#var:Zone}}:}} || {{Button|vpn-ssl-S2S-Server|dr}} || {{#var:Zone--desc}}
|-
|-
| {{b| Gruppe: }} || {{Button | &emsp;&emsp;&emsp;|dr}} || Optional
| {{b|{{#var:Gruppe}}: }} || {{Button|&emsp;&emsp;&emsp;|dr}} || {{#var:Gruppe--desc}}
|}
|}
<br>
<br>
{{Button| Speichern }}
{{Button|{{#var:Speichern}} }}




{{h5 | Portfilter-Regeln | Portfilter-Regeln | 4=<i class="host utm"> S2S Server</i> }}
{{h5| {{#var:Portfilter-Regeln}} | {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.5_Firewall_Portfilter_SSL-VPN.png | hochkant=2.5 | Portfilter-Regeln }}
{{pt3| {{#var:Portfilter-Regeln--Bild}} | hochkant=2.5 | {{#var:Portfilter-Regeln}} }}
<p>Menü {{Menu | Firewall | Portfilter }} Reiter {{Reiter | Portfilter}} Schaltfläche {{Button | Regel hinzufügen |+}}</p>
<p>{{#var:Portfilter-Regeln--desc}}</p>
<p>Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw, aus dem Netzwerk:</p>
<br clear=all>
<br clear=all>
{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
|-
|-
| class="Leerzeile" | 1. Regel
| class="Leerzeile" | 1. {{#var:Regel}}
|-
|-
| {{b| Quelle }} || {{ic| sslvpn-S2S-client-network}} || Eingehende Regel
| {{b|{{#var:Quelle}}: }} || {{ic|sslvpn-S2S-client-network}} || {{#var:Quelle--desc}}
|-
|-
| {{b| Ziel }} || {{ic| internal-network }} ||
| {{b|{{#var:Ziel}}: }} || {{ic| internal-network }} ||
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|gelb}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b| {{#var:Dienst}} }} || {{ic | {{#var:Dienst--val}} }} || {{Hinweis-neu|!|gelb}} {{#var:Dienst--desc}}
|-
|-
| class="Leerzeile" | 2. Regel
| class="Leerzeile" | 2. {{#var:Regel}}
|-
|-
| {{b| Quelle }} ||  {{ic| internal-network }} || Ausgehende Regel
| {{b|{{#var:Quelle}}: }} ||  {{ic|internal-network}} || {{#var:Ausgehende Regel}}
|-
|-
| {{b| Ziel }} || {{ic| sslvpn-S2S-client-network}} ||
| {{b|{{#var:Ziel}}: }} || {{ic|sslvpn-S2S-client-network}} ||
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|gelb}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Dienst}}: }} || {{ic | {{#var:Dienst--val}} }} || {{Hinweis-neu|!|gelb}} {{#var:Dienst--desc}}
|}
|}






 
{{h5| Routen | Routen | 4=<i class="host utm"> S2S Server</i> }}
{{h5 | Routen | Routen | 4=<i class="host utm"> S2S Server</i> }}
{{#var:Die Routen werden automatisch gesetzt.}}<br>
Die Routen werden automatisch gesetzt.<br>
{{Hinweis-neu|!|g}} {{#var:Routen-Hinweis}}
{{Hinweis|!|g}} Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
{{pt3| {{#var:Routen--Bild}} | {{#var:Routen--cap}} }}
{{pt3| UTM_v11.8.5_Netzwerk_Routing_SSL-VPN.png | Route für Gegenstelle }}
{{#var:Routen--desc}}
Menü {{Menu| Netzwerk | Netzwerkkonfiguration | Routing | Route hinzufügen | +}}
Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.


{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
|-
|-
| {{b | Gateway Schnittstelle: }} || {{Button | tun0 | dr }} || Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun0|dr}} || {{#var:Gateway Schnittstelle--desc}}
|-
|-
| {{b| Zielnetzwerk: }} || {{ic| 192.168.174.0/24 }} || Das Netzwerk der Gegenstelle (S2S Client)
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.174.0/24 }} || {{#var:Zielnetzwerk--desc}} (S2S Client)
|}
|}
<div style="clear: both;"></div>
<div style="clear: both;"></div>
----
----


=== Site to Site Client Konfiguration ===
==={{#var:Site to Site Client Konfiguration}}===
==== SSL-VPN-Verbindung ====
===={{#var:SSL-VPN-Verbindung}}====
===== Installationsassistent =====
====={{#var:Installationsassistent}}=====
{{ Hinweis | !! Für die Einrichtung des S2S ''Clients'' wird die&nbsp;<u>CA</u>&nbsp; und das &nbsp;<u> Client-Zertifikat</u>&nbsp; vom S2S &nbsp;''Server''&nbsp; benötigt. }}
{{Hinweis-neu|!! {{#var:Site to Site Server Konfiguration-Hinweis}} }}




{{h6 | Schritt 1 | 2= Schritt 1 <i class="host utm"> S2S Client</i> }}
{{h6|{{#var:Schritt 1}} | 2= {{#var:Schritt 1}} <i class="host utm"> S2S Client</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step1.png | Installationsschritt 1 }}
{{pt3 | {{#var:SSL-VPN Schritt 1--Bild}} | {{#var:Schritt 1--cap}} }}
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
{{#var:SSL-VPN Schritt 1--desc}}
* Roadwarrior Server
* Site to Site Server
* '''Site to Site Client'''
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
<div style="clear: both;"></div>
<div style="clear: both;"></div>


{{h6 | Schritt 2 | 2= Schritt 2 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt 2}} | 2= {{#var:Schritt 2}} <i class="host utm"> S2S Client</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss2.png | Installationsschritt 2 }}
{{pt3| {{#var:SSL-VPN Schritt 2--Bild}} |{{#var:Schritt 2--cap}} }}
Soll ein lokales IPv6-Netz angebunden werden, muss die Option {{b| IPv6 über IPv4 verwenden:}} aktiviert {{ButtonAn | Ja }} werden.
{{#var:SSL-VPN Schritt 2--desc}}
<div style="clear: both;"></div>
<div style="clear: both;"></div>


{{h6 | Schritt 3 | 2= Schritt 3 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt 3}} | 2= {{#var:Schritt 3}} <i class="host utm"> S2S Client</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step3.png | Installationsschritt 3 }}
{{#var:SSL-VPN Schritt 3--desc}}
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.


{| class="sptable2"
{| class="sptable2"
|-
|-
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="5" | {{Bild | {{#var:SSL-VPN Schritt 3--Bild}} | {{#var:Schritt 3--cap}} }}
|-
|-
| {{b| Name: }} || {{ ic | S2S }}-client || Eindeutige Bezeichnung
| {{b|Name:}} || {{ic|S2S}}-client || {{#var:Name--desc}}
|-
|-
| {{b| Protokoll: }} || {{Button| UDP | dr }} || gewünschtes Protokoll {{Hinweis|!|gelb}} Es muss das gleiche Protokoll, wie beim Site to Site Server ausgewählt werden.
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr}} || {{#var:Protokoll--desc}} {{Hinweis-neu|!|gelb}} {{#var:Protokoll-Hinweis}}
|-
|-
| {{b| Client-Zertifikat: }} || {{ Button| Client-Zertifikat|dr}} || Auswahl des Zertifikates, mit dem der Client sich Authentifiziert<br>
| {{b|{{#var:Client-Zertifikat}}: }} || {{Button|{{#var:Client-Zertifikat}}|dr}} || {{#var:SSL-VPN Client-Zertifikat--desc}}
{{Hinweis| !|gelb}} Hier muss das gleiche Zertifikat verwendet werden, daß beim Site to Site ''Server'' in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde.
|- class="Leerzeile"
Aufruf mit {{Button||mw}}
* Reiter {{Reiter | CA}} Schaltfläche {{ Button | CA importieren | u }} Import der CA vom <div class="host utm">S2S Server</div>
* Reiter {{Reiter| Zertifikate}} Schaltfläche {{Button| Zertifikat importieren | u}} Import des Client-Zertifikates, das auf dem <div class="host utm">S2S Server</div> erstellt wurde.
|}
|}
<div style="clear: both;"></div>
<div style="clear: both;"></div>




{{h6 | Schritt 4 | 2= Schritt 4 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt 4}} | 2= {{#var:Schritt 4}} <i class="host utm"> S2S Client</i> }}
Dieser Installationsschritt entfällt beim Site to Site ''Client''.
{{#var:Dieser Installationsschritt entfällt}}




{{h6 | Schritt 5 | 2= Schritt 5 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt 5}} | 2= {{#var:Schritt 5}} <i class="host utm"> S2S Client</i> }}
{{ pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step5.png | Installationsschritt 5 }}
{{pt3| {{#var:SSL-VPN Schritt 5--Bild}} | {{#var:Schritt 5--cap}} }}
Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site to Site ''Servers'' als Gegenstelle eingetragen.
{{#var:SSL-VPN Schritt 5--desc}}
{{Hinweis | !! Die Portadresse mus mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden. | gelb}}<br>
<p>
{{Hinweis|!|gr}} Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden.
{{Hinweis-neu| !! {{#var:SSL-VPN Schritt 5-Hinweis-gelb}} | gelb}}
</p>
{{Hinweis-neu|!|gr}} {{#var:SSL-VPN Schritt 5-Hinweis-gruen}}
<div style="clear: both;"></div>
<div style="clear: both;"></div>




{{h4 | Regelwerk | Regelwerk | <i class="host utm"> S2S Client</i>}}
{{h4| {{#var:Regelwerk}} | {{#var:Regelwerk}} | <i class="host utm"> S2S Client</i>}}
===== Implizite Regeln =====
====={{#var:Implizite Regeln}}=====
Da der Site to Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der der Firewall selbst per default immer erlaubt sind, sind '''keine''' impliziten Regeln notwendig.
{{#var:Regelwerk-Implizite Regeln--desc}}




===== Netzwerkobjekte =====
====={{#var:Netzwerkobjekte}}=====
{{pt3| UTM_v11.8.8_Firewall_Portfilter_Netzwerkobjekte_SSL-VPN-Servernetwork.png | Netzwerkobjekt für das Tunnelnetzwerk}}


{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
| class="Bild" rowspan="7" | {{Bild| {{#var:Netzwerkobjekte hinzufügen--Bild}} | {{#var:Netzwerkobjekte hinzufügen--cap}} }}
|-
|-
| {{b| Name: }} || {{ic|sslvpn-S2S-server-network}} || Frei wählbarer Name
| {{b|Name:}} || {{ic|sslvpn-S2S-server-network}} || {{#var:Name-Netzwerkobjekte--desc}}
|-
|-
| {{b| Typ: }} || {{Button| VPN-Netzwerk | dr}} || Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch {{Button| VPN-Host|dr}} ausgewählt werden.
| {{b|{{#var:Typ}}: }} || {{Button|{{#var:Typ--val}}|dr}} || {{#var:Regelwerk-Typ--desc}}
|-
|-
| {{b| Adresse: }} || {{ic| 192.168.175.0/24}} || Die Netzwerk-Adresse, die in Schritt 3 der <i class="host utm"> S2S Server</i>-Konfiguration als Servernetzwerk freigegeben wurde.<br>
| {{b|{{#var:Adresse}}: }} || {{ic|192.168.175.0/24}} || {{#var:Regelwerk-Adresse--desc}}
{{Einblenden3 | Hinweis bei mehreren Servernetzwerken | ausblenden | true | dezent}}  
{{Einblenden3 | {{#var:Hinweis bei mehreren Servernetzwerken}} | ausblenden | true | dezent}}  
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.</span></div>
{{#var:Hinweis bei mehreren Servernetzwerken--desc}}</span></div>
|-
|-
| {{b|Zone:}} || {{Button | vpn-ssl-S2S-client | dr }} || die Zone auf dem <i class="host utm"> S2S Client</i>, über die das <i class="host utm"> S2S Server</i>-Netzwerk angesprochen wird.
| {{b|{{#var:Zone}}:}} || {{Button|vpn-ssl-S2S-client|dr}} || {{#var:Regelwerk-Zone--desc}}
|-
|-
| {{b| Gruppe: }} || {{Button | &emsp;&emsp;&emsp;|dr}} || Optional
| {{b|{{#var:Gruppe}}: }} || {{Button|&emsp;&emsp;&emsp;|dr}} || {{#var:Gruppe--desc}}
|- class="Leerzeile"
|}
|}
<br clear=all>




 
<span id="Portfilter-Regeln_2"></span>{{h5 | {{#var:Portfilter-Regeln}} | {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Client</i> }}
<span id="Portfilter-Regeln_2"></span>{{h5 | Portfilter-Regeln | Portfilter-Regeln | 4=<i class="host utm"> S2S Client</i> }}
{{pt3| {{#var:Regelwerk-Portfilter-Regeln--Bild}} |hochkant=2.5 | 2= {{#var:Regelwerk-Portfilter-Regeln--cap}}<i class="host utm"> S2S Client</i>}}
{{pt3 | UTM_v11.8.5_Firewall_Portfilter_SSL-VPN2.png | hochkant=2.5 | 2=Portfilter-Regeln im <i class="host utm"> S2S Client</i>}}
<p>{{#var:Regelwerk-Portfilter-Regeln--desc}}</p>
<p>Menü {{Menu | Firewall | Portfilter | Portfilter | Regel hinzufügen |+}}</p>
<p>Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw, aus dem Netzwerk:</p>
<br clear=all>
<br clear=all>
{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
|-
|-
| class="Leerzeile" | 1. Regel (#7)
| class="Leerzeile" | 1. {{#var:Regel}} (#7)
|-
|-
| {{b| Quelle }} ||  {{ic| internal-network }} || Ausgehende Regel
| {{b|{{#var:Quelle}} }} ||  {{ic|internal-network}} || {{#var:Ausgehende Regel}}
|-
|-
| {{b| Ziel }} || {{ic| sslvpn-S2S-server-network}} ||
| {{b|{{#var:Ziel}} }} || {{ic|sslvpn-S2S-server-network}} ||
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|gelb}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Dienst}} }} || {{ic|{{#var:Dienst--val}} }} || {{Hinweis-neu|!|gelb}} {{#var:Dienst--desc}}
|-
|-
| class="Leerzeile" | 2. Regel
| class="Leerzeile" | 2. {{#var:Regel}}
|-
|-
| {{b| Quelle }} || {{ic| sslvpn-S2S-server-network}} || Eingehende Regel
| {{b|{{#var:Quelle}} }} || {{ic|sslvpn-S2S-server-network}} || {{#var:Quelle--desc}}
|-
|-
| {{b| Ziel }} || {{ic| internal-network }} ||
| {{b|{{#var:Ziel}} }} || {{ic|internal-network }} ||
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|gelb}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Dienst}} }} || {{ic|{{#var:Dienst--val}} }} || {{Hinweis-neu|!|gelb}} {{#var:Dienst--desc}}
|}
|}
<div style="clear: both;"></div>
<div style="clear: both;"></div>
Zeile 300: Zeile 281:




<span id="Routen_2"></span>{{h5 | Routen | Routen | 4=<i class="host utm"> S2S Client</i> }}
<span id="Routen_2"></span>{{h5| Routen | Routen | 4=<i class="host utm"> S2S Client</i> }}
Die Routen werden automatisch gesetzt.<br>
{{#var:Regelwerk-Routen--desc}}<br>
{{Hinweis|!|g}} Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
{{Hinweis-neu|!|g}} {{#var:Regelwerk-Routen-Hinweis}}
{{pt3| UTM_v11.8.5_Netzwerk_Routing_SSL-VPN2.png | 2=Route auf dem <i class="host utm"> S2S Client</i> für das Netz der Gegenstelle, dem <i class="host utm"> S2S Server</i> }}
{{pt3| {{#var:Regelwerk-Routen--Bild}} | 2={{#var:Route auf dem}} <i class="host utm"> S2S Client</i> {{#var:für das Netz der Gegenstelle, dem}} <i class="host utm"> S2S Server</i> }}
Menü {{Menu| Netzwerk | Netzwerkkonfiguration | Routing | Route hinzufügen | +}}<br>
{{#var:Menü}} {{Menu|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|Routing| {{#var:Route hinzufügen}} |+}} <br>




{| class="sptable2"
{| class="sptable2"
! Beschriftung || Wert !! Beschreibung
! {{#var:Beschriftung}} || {{#var:Wert}} !! {{#var:Beschreibung}}
|-
|-
| {{b | Gateway Schnittstelle: }} || {{Button | tun0 | dr }} || Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun0|dr}} || {{#var:Gateway Schnittstelle--desc}}
|-
|-
| {{b| Zielnetzwerk: }} || {{ic| 192.168.175.0/24 }} || Das Netzwerk der Gegenstelle (S2S Server)
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.175.0/24}} || {{#var:Zielnetzwerk--desc}} (S2S Server)
|}
|}
<div style="clear: both;"></div>
<div style="clear: both;"></div>
----
----


=== Hinweise ===
==={{#var:Hinweise}}===


==== Verschlüsselung ====
===={{#var:Verschlüsselung}}====
<p>Per Vorgabe wird ein AES128-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.</p>
<p>{{#var:Verschlüsselung--desc}}</p>
{{Hinweis| ! Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich |gelb|c=graul}}
{{Hinweis-neu|! {{#var:Verschlüsselung-Hinweis}} |gelb|c=graul}}


==== Hashverfahren ====
===={{#var:Hashverfahren}}====
<p>Per Vorgabe  wird ein SHA256 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.</p>
<p>{{#var:Hashverfahren--desc}}</p>
{{Hinweis| ! Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich |gelb|c=graul}}
{{Hinweis-neu|! {{#var:Verschlüsselung-Hinweis}} |gelb|c=graul}}


==== QoS ====
====QoS====
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. <br>
{{#var:QoS--desc}}
Diese Einstellung kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Erweitert}} unter {{b| Pass TOS:}} {{ButtonAn| {{#var:ein|Ein}} }} aktiviert werden.


{{h4| Multipath | Multipath |4=<i class="host utm"> S2S Client</i>}}
{{h4| Multipath | Multipath |4=<i class="host utm"> S2S Client</i>}}
Bei Multipath auf der Client Seite, muss die VPN-Verbindung im Client auf eine Schnittstelle gebunden werden.<br>
{{#var:Multipath--desc}}
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl <code>openvpn get</code> die ID der Verbindung ausfindig gemacht werden. <br>
<code>openvpn get</code>  
Über den Befehl <code>openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES</code> kann dann die ausgehende IP gesetzt werden.<br>
{{#var:die ID der Verbindung ausfindig gemacht}}
Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.
<code>openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES</code>  
 
{{#var:kann dann die ausgehende IP gesetzt werden}}
{{h4 | Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
Die Search Domain kann automatisch übermittelt werden. <br>
Der Eintrag kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Allgemein}} unter {{b| Search Domain: }} {{ic|&emsp;&emsp;&emsp;}} vorgenommen werden.


{{h4 | DNS/WINS übermitteln | DNS/WINS übermitteln |4=<i class="host utm"> S2S Server</i>}}
{{h4| Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
<p>Der DNS und der WINS können automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Erweitert}} unter
{{#var:Search Domain--desc}}
* {{b| DNS übermitteln: }} {{ButtonAn| {{#var:ein|Ein}} }}
* {{b|  WINS übermitteln:  }} {{ButtonAn| {{#var:ein|Ein}} }}
aktiviert werden.<br>
Die IP-Adressen vom DNS und WINS werden im Menü {{ Menu |VPN | Globale VPN-Einstellungen }} {{Kasten | Domain Name System }} gesetzt.</p>


Eine Anleitung zum Einrichten des DNS-Relay findet sich [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | hier.]]
{{h4| {{#var:DNS/WINS übermitteln}} | {{#var:DNS/WINS übermitteln}} |4=<i class="host utm"> S2S Server</i>}}
<p>{{#var:DNS/WINS übermitteln--desc}}


====IPv6 für eingehende Verbindungen====
===={{#var:IPv6 für eingehende Verbindungen}}====
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.
{{#var:IPv6 für eingehende Verbindungen--desc}}


==== Der transparente HTTP-Proxy ====
===={{#var:Der transparente HTTP-Proxy}}====
<p>Wenn aus dem internen Netzwerk via HTTP auf einen '''Server''' hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. </p>
{{#var:Der transparente HTTP-Proxy--desc}}


<p>Damit dies nicht passiert muss im Menü {{Menu | Anwendungen | HTTP-Proxy | Transparenter Modus | Transparente Regel hinzufügen |+}} eine Regel hinzugefügt werden:
{| class="sptable2"
{| class="sptable2"
! Beschriftung !!Wert
! {{#var:Beschriftung}} !! {{#var:Wert}}
|-
|-
| {{b| Protokoll }} || {{Button| HTTP | dr }}
| {{b|{{#var:Protokoll}}: }} || {{Button|HTTP|dr}}
|-
|-
| {{b | Typ }} || {{Button| Exclude | dr }}
| {{b|{{#var:Typ}}: }} || {{Button|Exclude|dr}}
|-
|-
| {{b | Quelle }} || {{Button| internal-network | dr }}
| {{b|{{#var:Quelle}}: }} || {{Button|internal-network|dr}}
|-
|-
| {{b | Ziel }} || {{Button| name-vpn-netzwerk-objekt | dr }}
| {{b|{{#var:Ziel}}: }} || {{Button|{{#var:name-vpn-netzwerk-objekt}}|dr}}
|}
|}


Wird die SSL-Interception verwendet sollte das zusätzlich für das Protokoll {{Button| HTTPS | dr }} vorgenommen werden.
{{#var:Wird die SSL-Interception verwendet sollte}}

Version vom 2. November 2022, 11:03 Uhr






























































}}











































































De.png
En.png
Fr.png








Konfiguration von SSL-VPN Site-to-Site-Verbindungen
Letzte Anpassung zur Version: 11.8.7
Neu:
  • Defaultwert für Verschlüsselungs-Algorithmus geändert
  • Defaultwert für Hashverfahren geändert
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

11.7.3 11.7 11.6.12


Einleitung

Mithilfe von SSL-VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.

Site to Site Server

Site to Site Server
S2S Server

Site to Site Client

Site to Site Client
S2S Client


SSL-VPN-Verbindung

Einrichten der Verbindung unter VPN SSL-VPN  Schaltfläche + SSL-VPN Verbindung hinzufügen

Installationsassistent

Schritt 1 S2S Server

[[Datei: |hochkant=2|mini| ]]

S2S Server

[[Datei: |hochkant=2|mini| ]]


S2S Server



Beschriftung Wert Beschreibung [[Datei: ]]
Name: S2S-server
Protokoll: UDP Gewünschtes Protokoll wählen
Serverzertifikat: Auswahl des Zertifikates, mit dem der Server sich authentifiziert.
Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
  • Erstellung einer CA im Abschnitt CA mit der Schaltfläche + CA hinzufügen
  • Erstellung eines Serverzertifikates im Abschnitt Zertifikate mit der Schaltfläche + Zertifikat hinzufügen
    Bitte beachten: Serverzertifikat: Ein aktivieren
  • Erstellung des Client-Zertifikates mit der Schaltfläche Zertifikat hinzufügen
Beide Zertifikate müssen mit der selben CA erstellt werden!
Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche exportiert werden. Zur Nutzung bei einer UTM als Client wird das PEM-Format benötigt.
Weitere Hinweise im Wiki-Artikel zur Nutzung von Zertifikaten.
Servernetzwerke freigeben: » 192.168.175.0/24 An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.



S2S Server


Beschriftung Wert Beschreibung [[Datei: ]]
Transfer-Netzwerk: 192.168.190.0/24 Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
Server-Tunneladresse:        /32 Die Server- und Client-Tunneladresse wird automatisch ermittelt.
IPv4 Client-Tunneladresse:        /24



S2S Server
Beschriftung Wert Beschreibung [[Datei: ]]
Name: S2S-client
Client-Zertifikat: CC-S2S-Client-Network1 Zertifikat des Client-Netzwerks
Clientnetzwerke freigeben: »192.168.174.0/24 Netzwerke der Gegenstelle, die freigegeben werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)



Weitere Client-Gegenstellen
Weitere Client-Gegenstellen S2S Server

Übersicht der SSL-VPN-Verbindungen

Weitere Gegenstellen des S2S-SSL-.VPNs

Weitere Gegenstellen, welche über diesen Site-to-Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.
Anzeige der Gegenstellen mit Klick auf das Ordnersymbol

Regelwerk

Implizite Regeln
Implizite Regeln
S2S Server

Implizite Regeln

Unter Firewall Implizite Regeln Abschnitt VPN kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier Ein SSL-VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.


Netzwerkobjekte
Netzwerkobjekte
S2S Server

Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Firewall Netzwerkobjekte  Schaltfläche + Objekt hinzufügen angelegt werden.
Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.

Netzwerkobjekt für das Tunnelnetzwerk
Beschriftung Wert Beschreibung
Name: sslvpn-S2S-client-network
Typ: Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
Adresse: 192.168.174.0/24 Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
|| vpn-ssl-S2S-Server || Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird.
Gruppe:    



Paketfilter-Regeln
Paketfilter-Regeln
S2S Server

Paketfilter-Regeln

Menü Firewall Paketfilter Schaltfläche + Regel hinzufügen

Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw. aus dem Netzwerk:


Beschriftung Wert Beschreibung
1.
Quelle: sslvpn-S2S-client-network
Ziel: internal-network
Dienst    
2.
Quelle: internal-network
Ziel: sslvpn-S2S-client-network
Dienst:    


Routen
Routen
S2S Server

Route für Gegenstelle

Die Routen werden automatisch gesetzt.
Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
Menü Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Route hinzufügen.
Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.

Beschriftung Wert Beschreibung
Gateway-Schnittstelle: tun0 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
Zielnetzwerk: 192.168.174.0/24 Das Netzwerk der Gegenstelle (S2S Client)

SSL-VPN-Verbindung

Installationsassistent


S2S Client

[[Datei: |hochkant=2|mini| ]]

S2S Client

[[Datei: |hochkant=2|mini| ]]

S2S Client


Beschriftung Wert Beschreibung [[Datei: ]]
Name: S2S-client
Protokoll: UDP Gewünschtes Protokoll wählen
Client-Zertifikat: Client-Zertifikat


S2S Client

Dieser Installationsschritt entfällt beim Site-to-Site Client.


S2S Client

[[Datei: |hochkant=2|mini| ]]


Regelwerk

Regelwerk
Implizite Regeln

Da der Site-to-Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der Firewall selbst per Default immer erlaubt sind, sind keine impliziten Regeln notwendig.


Netzwerkobjekte
Beschriftung Wert Beschreibung UTM v12.6 Firewall Netzwerkobjekt hinzufügen S2S Client.png
Netzwerkobjekt für das Tunnelnetzwerk
Name: sslvpn-S2S-server-network
Typ: Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
Adresse: 192.168.175.0/24
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
|| vpn-ssl-S2S-client || die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird.
Gruppe:    



Paketfilter-Regeln
Paketfilter-Regeln
S2S Client

Paketfilter-Regeln im S2S Client

Menü Firewall Paketfilter  Schaltfläche + Regel hinzufügen.
Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw. aus dem Netzwerk:


Beschriftung Wert Beschreibung
1. (#7)
Quelle internal-network
Ziel sslvpn-S2S-server-network
Dienst    
2.
Quelle sslvpn-S2S-server-network
Ziel internal-network
Dienst    


Routen
Routen
S2S Client

Die Routen werden automatisch gesetzt.

Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.

S2S Client S2S Server
 
Reiter Routing 		Schaltfläche  Route hinzufügen


Beschriftung Wert Beschreibung
Gateway-Schnittstelle: tun0 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
Zielnetzwerk: 192.168.175.0/24 Das Netzwerk der Gegenstelle (S2S Server)

Hinweise

Verschlüsselung

Per Vorgabe wird ein AES128-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.

Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

Hashverfahren

Per Vorgabe wird ein SHA256 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.

Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

QoS

Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden.
Diese Einstellung kann in den Einstellungen der VPN Verbindung im Abschnitt Erweitert unter Pass TOS: Ein aktiviert werden.

Multipath

Multipath
S2S Client

Bei Multipath auf der Client Seite, muss die VPN-Verbindung im Client auf eine Schnittstelle gebunden werden.
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden.
Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden.
Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.

Search Domain

Search Domain
S2S Server

Die Angabe einer Search Domain ist nur bei einer Roadwarrior-Verbindung sinnvoll!

S2S Server

IPv6 für eingehende Verbindungen

In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.

Der transparente HTTP-Proxy

Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
Damit dies nicht passiert muss im Menü Anwendungen HTTP-Proxy  Bereich Transparenter Modus Schaltfläche + Transparente Regel hinzufügen eine Regel hinzugefügt werden:

Beschriftung Wert
Protokoll: HTTP
Typ: Exclude
Quelle: internal-network
Ziel:

Wird die SSL-Interception verwendet, sollte das zusätzlich für das Protokoll HTTPS vorgenommen werden.

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-S2S&oldid=83334“