UTM/VPN/WireGuard

Artikel

• WireGuard Site-to-Site
• WireGuard Roadwarrior
• Einzelne Peers hinzufügen

WireGuard® Konfiguration im Admin Interface

Letzte Anpassung zur Version: 12.6.0

Neu:

• Im Dashboard wird der Status der impliziten Regel angezeigt
• Das Dashboard zeigt zusätzlich die jeweils öffentlichen Schlüsselwerte und den Status von Benutzer-Verbindungen an

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.5 12.4 12.2

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 VPN WireGuard

Allgemeines

Übersicht

Wireguard® ist ein modernes und einfaches VPN Protokoll, das zusätzlich durch seine Geschwindigkeit überzeugt.

Vorteile

Wireguard verzichtet auf einige aufwendige Verfahren zum Schlüsselaustausch und ist unter anderem dadurch einfacher zu handhaben als IPSec

Durch die Integration in den Linux Kernel ist eine performante und Ressourcen schonendere Verarbeitung als bei OpenVPN möglich

Gut zu wissen
Auch die OpenVPN-Integration in der Securepoint UTM ist sehr performant.
Der Geschwindigkeitsnachteil von SSL-VPN-Verbindungen gegenüber WireGuard-Verbindungen fällt daher nicht so gravierend aus, wie dieses bei Mitbewerbern zu beobachten ist

Nachteile

Einstellungen wie Routen, DNS etc. lassen sich nicht wie bei OpenVPN "pushen"

Die Verwaltung von Roadwarriors ist dadurch deutlich aufwändiger

Verbindung

Die Kommunikation erfolgt über einen frei wählbaren UDP Port und nutzt IPv4 und IPv6 zum Transport der Datenpakete.

Das Handling zwischen den beiden Peers ist sehr an OpenSSH angelehnt.
"Peers" müssen zunächst ihre PublicKeys austauschen und können dann im weiteren "einfach" Daten austauschen.
Dabei zählt der Austausch der PublicKeys explizit nicht zur Spezifikation von WireGuard und muss manuell erfolgen.

Ein PublicKey muss einen Peer eindeutig identifizieren.
Eine mehrfache Verwendung ist nicht praktikabel.

Zum besseren Schutz kann zusätzlich noch ein Preshared Key verwendet werden.

NAT

WireGuard kann einen Keepalive schicken.
Dadurch werden Verbindungen auf NAT-Routern offen gehalten.

Da die Kommunikation nur über einen UDP-Port läuft ist WireGuard gegenüber NAT-Problematiken entsprechend nicht anfällig.

Widget

Im Admininterface existiert ein Widget für die Übersicht der WireGuard-Verbindungen. Weitere Informationen sind im Wiki-Artikel zu den UTM Widgets zu finden.

Dashboard

Das Dashboard zeigt den Verbindungsstatus der einzelnen Peers einer Verbindung sowie Name, Schlüssel, den Wert des öffentlichen Schlüsselteils und die IP-Adresse eines Benutzers / einer Benutzerin und die dazu gehörigen Benutzergruppen.

WireGuard UTMbenutzer@firewall.name.fqdnVPN Neustarten WireGuard Dashboard

Dashboard Einstellungen

Dashboard Einstellungen

Für eine bessere Übersicht können ggf. einzelne Abschnitte in der Übersicht ausgeblendet werden:

Peers

Benutzer

Benutzergruppen

Schlüsselwerte

Status der impliziten Regel notempty

Neu ab: 12.6

Eine Statuslampe zeigt den Zustand der impliziten Regel an:

die Dienste und die Verbindungen sind deaktiviert. Über die Schaltfläche kann die implizite Regel aktiviert werden.

die Dienste und die Verbindungen sind aktiviert und die Einstellungen sind synchronisiert.Über die Schaltfläche kann die implizite Regel deaktiviert werden.