Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/DNS Relay: Unterschied zwischen den Versionen

Aus Securepoint Wiki
K (Weiterleitung auf UTM/VPN/DNS Relay v11.7 entfernt)
Markierung: Weiterleitung entfernt
KKeine Bearbeitungszusammenfassung
Zeile 5: Zeile 5:


{{var | neu--Wireguard
{{var | neu--Wireguard
| [[#WireGuard | DNS Relay für einen Wireguard Site-to-Site Tunnel]]
| [[#WireGuard | DNS Relay für einen WireGuard Site-to-Site Tunnel]]
| }}
| [{{#var:host}}UTM/VPN/DNS_Relay#WireGuard DNS Relay for a WireGuard site-to-site tunnel] }}


</div>{{TOC2|limit=2}}
</div>{{TOC2|limit=2}}
{{select_lang}}
{{Header|v12.2.3|
{{Header|v12.2.3|
* {{#var:neu--Wireguard}}
* {{#var:neu--Wireguard}}
Zeile 231: Zeile 232:
----
----
<span id=WireGuard>
<span id=WireGuard>
=== {{#var:DNS Relay für einen Wireguard Site-to-Site Tunnel}} ===
=== {{#var:DNS Relay für einen WireGuard Site-to-Site Tunnel}} ===
<div class="einrücken">
<div class="einrücken">
{{#var:DNS Relay für einen Wireguard Site-to-Site Tunnel--desc}}
{{#var:DNS Relay für einen WireGuard Site-to-Site Tunnel--desc}}


==== {{#var:Zone anlegen}} ====
==== {{#var:Zone anlegen}} ====

Version vom 31. März 2023, 15:52 Uhr











































































































De.png
En.png
Fr.png








Weiterleitung der DNS Anfragen für die Domäne an den DNS Server durch den VPN Tunnel
Letzte Anpassung zur Version: v12.2.3
Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

11.7

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 → Anwendungen 

Einleitung

In diesem Szenario sollen die UTM und die Clients einer Außenstelle an die Domäne im Hauptstandort angebunden werden.

  • Alle DNS Anfragen für die Domäne an den DNS Server, durch den VPN Tunnel, werden zum Hauptstandort weitergeleitet
  • Die UTM soll DNS für die Clients in der Außenstelle bereitstellen
  • Anfragen für das Domänen Netz sollen in den VPN Tunnel zum DNS Server im Hauptstandort weitergeleitet werden


Anlegen der DNS Relay Zone

[[Datei:|hochkant=2|mini| ]]


DNS Relay anlegen

Anwendungen Nameserver  Bereich Zonen
Im nächsten Schritt wird eine Relay-Zone angelegt.

UTM v12.6.1 DNS Relay Nameserver Relay-Zone anlegen.png
  • Im Fenster Nameserver den Reiter Zonen öffnen
  • Auf die Schaltfläche Relay-Zone hinzufügen klicken, um eine neue Relay-Zone anzulegen
UTM v12.6.1 DNS Relay Zone anlegen DNS Relay IP-Adresse.png
  • Unter Zonenname: den gewünschten Domänennamen eintragen
  • Als Typ: Relay auswählen
  • Auf die Schaltfläche Server hinzufügen klicken, um die IP-Adresse des Nameservers einzutragen
UTM v12.6.1 DNS Relay Zone anlegen DNS Relay IP Adresse Nameserver.png
  • Unter IP-Adresse: wird die IP-Adresse des entfernten Nameservers eingetragen
UTM v12.6.1 DNS Relay Zone anlegen DNS Relay.png
Darstellung der fertig angelegte Relay-Zone.
Um diese nutzen zu können, den Dialog Relay-Zone hinzufügen und den Dialog Nameserver
Speichern und schließen
.












Nach dem Anlegen der Relay-Zone leitet die Firewall alle Anfragen auf das Domänennetz zum DNS-Server im Hauptstandort weiter.


DNS Relay für einen IPSec Site-to-Site Tunnel

Um interne Domainanfragen an einen entfernten Nameserver weiterzuleiten, der sich in einem IPSec-Netz befindet, ist zu beachten, dass standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentliche IP wird aber nicht in einen IPSec-Tunnel geroutet.

Netzwerkobjekt anlegen

Firewall Netzwerkobjekte
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.

Folgende Objekte sind bei Auslieferung vorkonfiguriert: Netzwerkobjekt zugehöriges Schnittstellen-Objekt UTM v12.7.1 DNS Relay IPSec Netzwerkobjekt Uebersicht.png
Übersicht der Netzwerkobjekte
World.svg  Interface.svg 
Network.svg  Interface.svg 
nur bei min. 3 vorhandenen Schnittstellen Network.svg  Interface.svg 
Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt  Netzwerkobjekte  auf die Schaltfläche Objekt hinzufügen geklickt.
Beschriftung Wert Beschreibung UTM v12.6.1 DNS Relay IPSec Netzwerkobjekt hinzufuegen.png
    Bezeichnung für das IPSec-Netzwerk
Typ VPN-Netzwerk VPN-Netzwerk auswählen
Adresse 192.168.8.0/24 IP-Adresse des IPSec Netzwerkes
vpn-ipsec Entsprechende VPN IPSec Zone
Gruppen     Eine entsprechende Gruppe kann eingetragen werden
Auf
Speichern
, oder
Speichern und Schließen
klicken, um dieses Netzwerkobjekt abzuspeichern.
Netzwerkobjekt in Regelwerk übernehmen mit
Regel aktualisieren


Regel erstellen

Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.

Beschriftung Wert UTM v12.6.1 DNS Relay IPSec Paketfilter erstellen.png
Das Anlegen der Regel
||
|| Interface.svg 
|| Vpn-network.svg 
|| Udp.svg 
||
||
|| Interface.svg 
Auf
Speichern
oder
Speichern und Schließen
klicken, um diese Regel abzuspeichern.

Mit dieser Regel werden alle Domain-UDP-Anfragen, die über die Firewall an den entfernten Nameserver gestellt werden, über die IP des internen Interfaces genatet und können somit in den IPSec-Tunnel geleitet werden.

Wenn Multipath Routing konfiguriert ist, muss für jedes externe Interface eine solche Regel angelegt werden.


DNS Relay für einen OpenVPN Site-to-Site Tunnel

Um interne Domainanfragen an einen entfernten Nameserver weiter zu leiten, der sich in einem OpenVPN-Netz befindet, ist zu beachten, dass standardmäßig alle direkten Anfragen, die sich an externe Nameserver richten, von der Firewall mit der externen IP aus geschickt werden. Eine öffentliche IP wird aber nicht in einen OpenVPN-Tunnel geroutet.

Zone anlegen

Um die DNS Anfragen in den OpenVPN Tunnel routen zu können, muss auf der UTM eine neue Interface Zone angelegt werden.
Eine neue Zone wird mit der Schaltfläche Zone hinzufügen angelegt.

Beschriftung Wert Beschreibung UTM v12.6.1 DNS Relay OpenVPN Zone.png
Dialog Zone hinzufügen mit Flag Interface
    Bezeichnung für die Interface Zone
Schnittstelle tun0 Die passende Schnittstelle tunX auswählen
Interface: Ein FLAG Interface für diese Zone aktivieren


Open-VPN Netzwerkobjekte anlegen

Firewall Netzwerkobjekte
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.

Folgende Objekte sind bei Auslieferung vorkonfiguriert: Netzwerkobjekt zugehöriges Schnittstellen-Objekt UTM v12.7.1 DNS Relay IPSec Netzwerkobjekt Uebersicht.png
Übersicht der Netzwerkobjekte
World.svg  Interface.svg 
Network.svg  Interface.svg 
nur bei min. 3 vorhandenen Schnittstellen Network.svg  Interface.svg 
Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt  Netzwerkobjekte  auf die Schaltfläche Objekt hinzufügen geklickt.
Beschriftung Wert Beschreibung UTM v12.6.1 DNS Relay OpenVPN S2S Netzwerkobjekt hinzufuegen OpenVPN Interface.png
    Bezeichnung für das Open VPN-Netzwerk
Typ Dynamische Schnittstelle Dynamische Schnittstelle auswählen
Schnittstelle 0.0.0.0/0 diese Schnittstelle auswählen
Site-to-Site-DNS-Relay entsprechende Open VPN Zone auswählen
Gruppen     Eine entsprechende Gruppe kann eingetragen werden
Auf
Speichern
, oder
Speichern und Schließen
klicken, um dieses Netzwerkobjekt abzuspeichern.
Netzwerkobjekt in Regelwerk übernehmen mit
Regel aktualisieren


Regel erstellen

Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.

Beschriftung Wert UTM v12.6.1 DNS Relay Paketfilterregel DNS Relay Interface.png
Das Anlegen der Regel
||
|| Interface.svg 
|| Interface.svg 
|| Udp.svg 
||
||
Optional, wenn Domaincontroller nicht auf Anfragen aus dem Transfernetz antworten möchte.
|| Interface.svg 
Auf
Speichern
oder
Speichern und Schließen
klicken, um diese Regel abzuspeichern.


DNS Relay für einen WireGuard Site-to-Site Tunnel

Die internen Domainanfragen können auch an einen entfernten Nameserver weitergeleitet werden, der sich in einem WireGuard-Netz befindet. Für die Konfiguration eines solchen Szenarios wird eine vorhandene WireGuard Site-to-Site VPN (S2S) Verbindung benötigt.

Zone anlegen

Um die DNS Anfragen in den WireGuard Tunnel routen zu können, muss auf der UTM eine neue Interface-Zone angelegt werden.

Beschriftung Wert Beschreibung UTM v12.6.1 DNS Relay WireGuard Zone.png
Dialog Zone hinzufügen mit Flag Interface
WireGuard-S2S-DNS-Relay Bezeichnung für die Interface Zone
Schnittstelle wg0 Die passende WireGuard-Schnittstelle wg0 auswählen
Interface: Ein FLAG Interface für diese Zone aktivieren


WireGuard Netzwerkobjekte anlegen

Firewall Netzwerkobjekte
Die Paketfilterregeln in den Impliziten Regeln werden automatisch aktiviert. Damit ist noch kein Netzwerkobjekt für das IPSec-Netz vorhanden.

Folgende Objekte sind bei Auslieferung vorkonfiguriert: Netzwerkobjekt zugehöriges Schnittstellen-Objekt UTM v12.7.1 DNS Relay IPSec Netzwerkobjekt Uebersicht.png
Übersicht der Netzwerkobjekte
World.svg  Interface.svg 
Network.svg  Interface.svg 
nur bei min. 3 vorhandenen Schnittstellen Network.svg  Interface.svg 
Um das passende Netzwerkobjekt anzulegen, wird im Abschnitt  Netzwerkobjekte  auf die Schaltfläche Objekt hinzufügen geklickt.
Beschriftung Wert Beschreibung UTM v12.6.1 DNS Relay WireGuard S2S Netzwerkobjekt hinzufuegen WireGuard Interface.png
    Bezeichnung für das WireGuard-Netzwerk
Typ Dynamische Schnittstelle Dynamische Schnittstelle auswählen
Schnittstelle 0.0.0.0/0 diese Schnittstelle auswählen
WireGuard-S2S-DNS-Relay entsprechende WireGuard Zone auswählen
Gruppen     Eine entsprechende Gruppe kann eingetragen werden
Auf
Speichern
, oder
Speichern und Schließen
klicken, um dieses Netzwerkobjekt abzuspeichern.
Netzwerkobjekt in Regelwerk übernehmen mit
Regel aktualisieren


Regel erstellen

Im letzten Schritt muss eine Firewallregel mit einem Hide-NAT angelegt werden.
Diese bewirkt, dass die DNS-Weiterleitung auch in den Tunnel und nicht direkt in das Internet geht.

Beschriftung Wert UTM v12.6.1 DNS Relay WireGuard S2S Paketfilter erstellen.png
Das Anlegen der Regel
||
|| Interface.svg 
|| Interface.svg 
|| Udp.svg 
||
||
Optional, wenn Domaincontroller nicht auf Anfragen aus dem Transfernetz antworten möchte.
|| Interface.svg 
Auf
Speichern
oder
Speichern und Schließen
klicken, um diese Regel abzuspeichern.

Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/DNS_Relay&oldid=85488“