UTM/VPN/WireGuard-S2E v12.5.1

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

Roadwarrior VPN (S2E) mit Wireguard konfigurieren

Letzte Anpassung zur Version: 12.5.1

Neu:

• AD-Benutzer als Peer auswählbar

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2.5

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 → VPN →WireGuard

Roadwarrior VPN (S2E) mit Wireguard konfigurieren

Letzte Anpassung zur Version: 12.5.1

Neu:

• Der Endpunkt Port im Einrichtungsschritt 2 ist manuell einstellbar
• AD-Benutzer als Peer auswählbar

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.2.5

Konfiguration unter → VPN →WireGuard

Voraussetzungen

• Schlüssel vom Typ x25519 auf beiden Seiten der WireGuard-Verbindung
• Öffentlicher x25519 Schlüssel der jeweiligen Gegenstelle liegt vor

Schlüssel hinzufügen
Schlüsselverwaltung öffnen unter → Authentifizierung →Schlüssel und mit der Schaltfläche Schlüssel hinzufügen den Dialog öffnen
Eindeutigen Namen vergeben und als Typ X25519 wählen Dialog mit der Schaltfläche Speichern schließen
Schlüssel exportieren
PEM	Exportiert den Schlüssel im .pem-Format	Schlüsselverwaltung
Zwischenablage verwenden Ein PEM	Kopiert den Schlüssel im .pem-Format in die Zwischenablage
Schlüssel importieren
Schlüssel importieren	Öffnet den Dialog zum Schlüssel-Import
Datei	Importiert einen Schlüssel aus einer .pem-Datei
Zwischenablage	Importiert einen Schlüssel aus der Zwischenablage. Hier muss ein Name für den Schlüssel vergeben werden.

---

WireGuard Verbindung erstellen

• Eine WireGuard Verbindung stellt den Zugang für ggf. mehrere Peers zur Verfügung
• Jede Verbindung wird mit einem eigenen Schlüsselpaar gesichert
• Alle Peers einer Verbindung verwenden dessen öffentlichen Schlüssel
• Jeder Peer benötigt ein eigenes Schlüsselpaar, um sich zu authentifizieren
  Zusätzlich sollte jeder Peer mit einem starken PSK abgesichert werden
  
  

Gegeben sei folgende Konfiguration:

	UTM Netzwerk	Standort B	Transfer Netz
FQDN	a.vpn.anyideas.de	b.vpn.anyideas.de	–
Lokales Netz IPv4	10.1.0.0/16	10.2.0.0/16	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.2/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	fd00:b:0:0::0/64	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::2/64	–

	UTM	Roadwarrior	Transfer Netz
FQDN	a.vpn.anyideas.de	–	–
Lokales Netz IPv4	10.1.0.0/16	–	10.0.1.0/24
Lokale Tunnel IPv4	10.0.1.1/24	10.0.1.201/24	–
Lokales Netz IPv6	fd00:a:0:0::0/64	–	fd00:0:0:0::0/64
Lokale Tunnel IPv6	fd00:0:0:0::1/64	fd00:0:0:0::C9/64	–

Konfiguration UTM

Assistenten starten mit der Schaltfläche WireGuard Verbindung hinzufügen Schritt 1 - Schnittstelle UTM Netzwerk Schritt 1 - Schnittstelle
Beschriftung	Wert	Beschreibung	WireGuard Assistent - Schritt 1
Schnittstelle:	wg0	Name der Schnittstelle, die für die Verbindung angelegt wird (automatische Vorgabe, kann nicht geändert werden)
Name:	wg_server	Eindeutiger Name für die Verbindung
IPv4 Adresse:	10.0.1.1/24	IPv4 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: 10.0.1.1/24)
IPv6 Adresse:	fd00:0:0:0::1/64	IPv6 Adresse für die Netzwerkschnittstelle des Transfernetzes an Standort A (optional) Dadurch wird die Netz-IP des Transfernetzes bestimmt (hier: fd00:0:0:0::1/64)
Listening Port:	51820	Default-Port für WireGuard Verbindungen
Privater Schlüssel:	x25519_a.vpn	Privater Schlüssel im Format x25519. Es sind nur solche Schlüssel auswählbar, die auch über einen privaten Schlüsselteil verfügen.
		Liegt noch kein lokaler Schlüssel im x25519-Format vor, kann mit dieser Schaltfläche ein solcher erzeugt werden.
Servernetzwerke global freigeben:		Netzwerke auf (lokaler) Serverseite, auf die die WireGuard-Tunnel der Peers prinzipiell zugreifen können.notempty Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!
Schritt 2 - Peer UTM Netzwerk Schritt 2 - Peer
Verwende AD Benutzer als Peers:	Nein	Bei Aktivierung Ein können die Daten für Roadwarrior aus einem AD ausgelesen werden.	WireGuard Assistent - Schritt 2
Als Vorgabe sind Werte eingetragen, die unter → Authentifizierung →AD/LDAP AuthentifizierungReiter Erweitert konfiguriert wurden. WireGuard-Attribute (IPv4): extensionAttribute1 Attribut Name im AD, der als Wert die Tunnel-IPv4 für den RW enthält ➊ WireGuard Assitent - Schritt 2 mit AD Benutzern als Peers Werte im AD WireGuard-Attribute (IPv6): extensionAttribute2 Attribut Name im AD, der als Wert die Tunnel-IPv6 für den RW enthält ➋ WireGuard-Public-Key-Attribute: extensionAttribute3 Der Public-Key des Users. ➌ Der User muss über den private-Key verfügen. Öffne AD/LDAP Dialog: Aus Bei Aktivierung wird im Anschluss der Dialog unter → Authentifizierung →AD/LDAP Authentifizierung aufgerufen. Fertig Beendet den Assistenten
Name:	peer-rw	Bezeichnung der Gegenstelle
Erlaubte IPs:	»10.0.1.201/32 »fd00:0:0:0::C9/128	IP aus dem Transfer Netz (»…/32 bzw. »…128) Ein Roadwarrior verwendet ausschließlich die Tunnel-IP notempty Für den tatsächlichen Zugriff werden zusätzlich Netzwerkobjekte und Portfilter-Regeln benötigt!
Endpunkt:		Wird nicht benötigt, da ausschließlich die Gegenstelle (der Roadwarrior) die Verbindung initiieren soll
Endpunkt Port:
Öffentlicher Schlüssel:	x25519_b_vpn	Öffentlicher Schlüssel des Roadwarriors im Format x25519 Es sind nur solche Schlüssel auswählbar, die über keinen privaten Schlüssel verfügen. Öffentlicher Schlüssel vorhanden, aber nicht auswählbar? Es lassen sich nur Schlüssel auswählen, für die auf diesem Interface noch keine Verbindung besteht. Der PublicKey muss innerhalb einer Verbindung eindeutig sein, da das Routing eingehender Pakete darüber durchgeführt wird. Soll für einen Peer der gleiche PublicKey z.B. für ein Fallback verwendet werden, muss dafür eine weitere WireGuard Verbindung angelegt werden.
		Liegt der öffentliche Schlüssel des Roadwarriors noch nicht vor, kann mit dieser Schaltfläche der Import der Schlüsselverwaltung geöffnet werden. Export und Import der Schlüssel ist auch über die Zwischenablage möglich Wir empfehlen, das Schlüsselpaar für den Roadwarrior auf der UTM zu erstellen und anschließend sicher zu verwahren. Vorgehen: Schaltfläche betätigen. Dies öffnet die Schlüsselverwaltung und den Import Dialog Import Dialog Schließen Schaltfläche Schlüssel hinzufügen Aussagekräftigen Namen wählen Als Typ: das Formt X25519 wählen und Speichern Öffentlichen und Privaten Teil des Schlüssels im Format RAW exportieren (Das Format ist wichtig, da es in der Konfigurationsdatei des Roadwarriors benötigt wird) Anschließend den öffentlichen Teil des Schlüssels wieder importieren (Dieser Vorgang ist erforderlich, da im Auswahldialog des Assistenten nur Schlüssel ohne privaten Schlüssel-Teil angeboten werden) Die Schlüsselverwaltung kann nun geschlossen werden und der soeben importierte öffentliche Schlüssel kann als öffentlicher Schlüssel des Peers ausgewählt werden. Der private Schlüssel-Teil wird auf der Gegenstelle benötigt. Er kann im WireGuard Client unter PrivateKey eingetragen werden.
Pre-Shared Key:	…8DmBioPyPNqZ7Rk=	Pre-Shared Key zur weiteren Absicherung der Verbindung (optional)
		Erzeugt einen sehr starken Pre-Shared Key Der Pre-Shared Key muss an beiden Enden der VPN-Verbindung identisch sein!
		Kopiert den PSK in die Zwischenablage
Keepalive:	Aus	Sendet regelmäßig ein Signal. Dadurch werden Verbindungen auf NAT-Routern offen gehalten. Ein Die Aktivierung wird empfohlen.
	25 Sekunden	Abstand in Sekunden, in dem ein Signal gesendet wird
Schritt 3 - Erweiterte Einstellungen UTM Netzwerk Schritt 3 - Erweiterte Einstellungen
Routen zu den Netzwerken des Peers erstellen:	Nein	Aktivierung Ein wird empfohlen. Es werden Routen zu den Netzwerken / Hosts erstellt, die in Schritt 2 unter Erlaubte IPs eingetragen wurden mit der Schnittstelle als Gateway, die in Schritt 1 angezeigt wurde.	WireGuard Assistent - Schritt 3
Zonen erstellen:	Nein	Erzeugt eine neue Zone für die WireGuard Schnittstelle
Zonenname:	wireguard-wg0	Name für die Zone der WireGuard-Verbindung
Netzwerkobjekte für den Peer erstellen:	Nein »net-wg-peer-b	Erzeugt bei Aktivierung Ja Netzwerkobjekte (IPv4 und ggf. IPv6) für die Gegenstelle. Der automatische Vorschlag kann auch geändert werden.
Netzwerkgruppe:	wg0-network	Netzwerkgruppe der Verbindung wird angezeigt
Regeln zwischen dem Peer und internal-networks erstellen:	Nein	Erzeugt bei Aktivierung Ja autogenerierte Regeln, die die Inbetriebnahme erleichtern. notempty Diese Regeln müssen unbedingt durch eigene Regeln, die nur notwendige Dienste mit notwendigen Netzwerkobjekten erlauben, ersetzt werden.
Fertig	Beendet den Assistenten
Konfiguration Roadwarrior Client Download Download des Clients unter https://www.wireguard.com/install Konfiguration des WireGuard Clients WireGuard Client
Client öffnen und eine leeren Tunnel hinzufügen Die Einträge in der Konfig-Datei beginnen jeweils nach einem Gleicheitszeichen gefolgt von einem Leerzeichen			Anzeige der Konfig-Datei im Windows Client (Bearbeiten) [Interface] PrivateKey = # PrivatKey für RW Address = # Netz-IP für den Roadwarrior DNS = # IP_DES_DNServers (optional), # Search Domain (optional) MTU = 1420 # (optional) [Peer] PublicKey = # PublicKey derUTM PresharedKey = # PresharedKey AllowedIPs = # Lokale Netz-IPs hinter der UTM Endpoint = # IP/Hostname der UTM:Port der WG Instanz persistentkeepalive = # (optional)
Name:	wg-vpn-UTM_Netzwerk	Frei wählbarer Name (ohne Leerzeichen)
Öffentlicher Schlüssel:	spyO2… …8uEjBs=
Konfigurationsfenster [Interface]
PrivateKey =	eE4… …uZjO00k=	Beim Anlegen eines leeren Tunnels wird automatisch ein PrivateKey vergeben Wir empfehlen den PrivatKey bereits auf der UTM zu erstellen. So ist er an sicherer Stelle verwahrt. Der PrivateKey kann auf der UTM im RAW-Format exportiert und anschließend hier eingetragen werden.
Address =	10.0.1.201/32	Tunnel-IP für den Roadwarrior
[Peer]
PublicKey =	beN9ikz… …Do=	PublicKey der UTM
PresharedKey =	29… …/FWipaxs=	PresharedKey aus der UTM
AllowedIPs =	10.1.0.0/16	Lokale Netz-IPs hinter der UTM
Endpoint =	a.vpn.anyideas.de:51820	IP/Hostname der UTM:Port der WG Instanz
persistentkeepalive =	25	Keepalive

---

Widget

Im Admininterface existiert ein Widget für die Übersicht der WireGuard-Verbindungen. Weitere Informationen sind im Wiki-Artikel UTM Widget zu finden.