Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/SSL VPN-RW an S2S-BestPractice: Unterschied zwischen den Versionen

Aus Securepoint Wiki
(Die Seite wurde neu angelegt: „{{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{:UTM/VPN/SSL VPN-RW an S2S-BestPractice.lang}} </div><div class="new_design"></div><!--{{Select_lang}}-->{{TOC2}} {{Header|12.2024|new=true}} ---- == {{#var:Vorbemerkung}} == <div class="Einrücken"> <p>{{#var:Vorbemerkung--desc}}</p> </div> <!-- {| class="sptable2 pd5" |- ! RW Transfer-Netz !! VPN-Server !! S2S Transfer-Netz !! VPN-Client |- | 192.168.192.0/24 || Internes Netz: 192.168.175.0/24 ||…“)
 
KKeine Bearbeitungszusammenfassung
 
Zeile 151: Zeile 151:


==== {{#var:Transfernetze eintragen}} ====
==== {{#var:Transfernetze eintragen}} ====
<div class="einrücken">
{{Host| {{#var:Standort}} A }}
* {{#var:B4-5-Transfernetze eintragen SSL--desc}}
* {{#var:B4-5-Transfernetze eintragen SSL--desc}}
* {{#var:Dienst neu starten}}<br>{{Host| {{#var:Standort}} A }}<br>{{#var:Dienst neu starten--Menu}}
* {{#var:Dienst neu starten}}<br>{{#var:Dienst neu starten--Menu}}<br>
 
 
* {{#var:B4-5-Transfernetze eintragen WG--desc}}
* {{#var:B4-5-Transfernetze eintragen WG--desc}}
* {{#var:Wiregard Neustarten}}
{{Host| {{#var:Standort}} B }}
* {{#var:B4-Transfernetze eintragen WG-B}}
* {{#var:B4-Transfernetze eintragen WG-B}}
</div>
* {{#var:Wiregard Neustarten}}
 


==== {{#var:Paketfilterregeln erstellen}} ====
==== {{#var:Paketfilterregeln erstellen}} ====
<div class="einrücken">
 
{| class="sptable2 Paketfilter pd5 tr--bc__white zh1 einrücken"
{| class="sptable2 Paketfilter pd5 tr--bc__white zh1 einrücken"
|- class="noborder bc__default"
|- class="noborder bc__default"
| colspan=11 | {{#var:B4-Routen und Paketfilterregeln erstellen--desc1}}<br><i class="host utm">{{#var:Standort}} B</i>
| colspan=10 | {{#var:B4-Routen und Paketfilterregeln erstellen--desc2}}
<div class=Ausrücken><i class="host utm">{{#var:Standort}} A</i></div>
 
|- class="bold small no1cell"
|- class="bold small no1cell"
| class="noborder bc__default" | || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || Logging || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw5 |
| class="noborder bc__default" | || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || Logging || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw5 |
|-
|-
| {{spc|drag|o|-}} ||  || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} {{#var:RW-Transfer-Netz}}<br>{{#var:B4-RW-Transfernetz Zone--Hinweis}} || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
| {{spc|drag|o|-}} ||  || {{spc|vpn-network|o|-}} {{#var:RW-Transfer-Netz}} || {{spc|network|o|-}} {{#var:WireGuard-Netz}}<br>{{#var:B4-WireGuard-Netz--Hinweis}} || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|- class="noborder bc__default"
| colspan=11 class=Ausrücken | <i class="host utm">{{#var:Standort}} B</i>
 
|-
|-
| {{spc|drag|o|-}} ||  || {{spc|vpn-network|o|-}} {{#var:RW-Transfer-Netz}}<br>{{#var:B4-RW-Transfernetz Zone--Hinweis}} || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
| {{spc|drag|o|-}} ||  || {{spc|network|o|-}} {{#var:RW-Transfer-Netz}}<br>{{#var:B4-RW-Transfernetz Zone--Hinweis}} || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|- class="noborder bc__default"
|- class="noborder bc__default"
| colspan=10 | {{#var:B4-Routen und Paketfilterregeln erstellen--desc2}}<br><i class="host utm">{{#var:Standort}} A</i>
| colspan="11"  | <br>{{#var:B4--Regelhinweis}}<div class=Ausrücken><i class="host utm">{{#var:Standort}} B</i></div>
|-
|-
| {{spc|drag|o|-}} ||  || {{spc|vpn-network|o|-}} {{#var:RW-Transfer-Netz}} || {{spc|network|o|-}} {{#var:WireGuard-Netz}}<br>{{#var:B4-WireGuard-Netz--Hinweis}} || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
| {{spc|drag|o|-}} ||  || {{spc|network|o|-}} internal-network || {{spc|network|o|-}} {{#var:RW-Transfer-Netz}}<br>{{#var:B4-RW-Transfernetz Zone--Hinweis}} || {{spc|dienste|o|-}} default-internet ||  || {{Logging-Slider}} || {{Kasten|ACCEPT|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||class=fas fa-chart-bar icon|fs=14}}{{Button||copy|fs=14}}{{Button||w|fs=14}}{{Button||trash|fs=14}}
 
 
|}
|}
</div>
 
----
----


Zeile 191: Zeile 208:
* {{#var:Dienst neu starten}}<br>{{Host| {{#var:Standort}} A }}<br>{{#var:Dienst neu starten--Menu}}
* {{#var:Dienst neu starten}}<br>{{Host| {{#var:Standort}} A }}<br>{{#var:Dienst neu starten--Menu}}
* {{#var:B4-5-Transfernetze eintragen WG--desc}}
* {{#var:B4-5-Transfernetze eintragen WG--desc}}
<!--
<br>
<br>
* {{Host|{{#var:Standort}} B }}<br>{{#var:B5-Transfernetze eintragen B}}
* {{Host|{{#var:Standort}} B }}<br>{{#var:B5-Transfernetze eintragen B}}
-->
</div>
</div>


==== {{#var:Paketfilterregeln erstellen}} ====
==== {{#var:Paketfilterregeln erstellen}} ====
{| class="sptable2 Paketfilter pd5 tr--bc__white zh1 einrücken"
{| class="sptable2 Paketfilter pd5 tr--bc__white zh1 einrücken"
<!--
|- class="noborder bc__default"
|- class="noborder bc__default"
| colspan=11 | {{#var:B5-Routen und Paketfilterregeln erstellen--desc}}
| colspan=11 | {{#var:B5-Routen und Paketfilterregeln erstellen--desc}}
-->
|- class="bold small no1cell"
|- class="bold small no1cell"
| class="noborder bc__default" | || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || Logging || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw5 |
| class="noborder bc__default" | || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || Logging || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw5 |

Aktuelle Version vom 18. Dezember 2024, 13:55 Uhr




















































































SSL-VPN mit einem Roadwarrior an S2S Verbindungen - Beispielszenarien

Neuer Artikel: 12.2024

notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
-

Vorbemerkung

Im Beispiel wird die Dienstgruppe Service-group.svg default-internet verwendet.
In realen Konfigurationen muss diese Gruppe natürlich angepasst werden. Ggf. empfiehlt sich eine neue Dienstgruppe.
Eine Regel mit Other.svg any sollte nur dann verwendet werden, wenn alle beteiligten Netze und Geräte zu 100% vertrauenswürdig sind und eine Kompromittierung ausgeschlossen werden kann.

Voraussetzung

  • Konfiguriertes S2S-VPN
  • Konfigurierte S2E-Verbindung
RW Transfer-Netz 192.168.192.0/24
VPN-Server Internes Netz 192.168.175.0/24
S2S Transfer-Netz 192.168.190.0/24
VPN-Client Internes Netz 192.168.174.0/24

Beispielszenarien

SSL-RW an S2S-Serverseite verbinden

Beispielszenario 1: SSL-RW an S2S-Serverseite verbinden

VPN RW - S2S.png

Transfernetze eintragen

Die Transfernetze müssen auf den UTMs hinterlegt werden:

  • Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die Server Netzfreigabe eingetragen:
    VPN Server
    VPN SSL-VPN S2S Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.192.0/24
  • und das S2S-Clientnetz in der RW-Netz-Freigabe eingetragen:
    VPN Server
    VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke freigeben: »192.168.190.0/24
  • Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
    VPN Server
    Anwendungen Anwendungsstatus die Anwendung SSL-VPN stoppen und anschließend starten

Paketfilterregeln erstellen


Es werden insgesamt 4 Paketfilterregeln benötigt. Zwei auf VPN Clientseite, die wie folgt aussehen:
VPN Client

Pos. # Quelle Ziel Dienst NAT Logging Aktion Aktiv
Dragndrop.png Vpn-network.svg RW-Transfer-Netz
Objekt erstellen mit Zone des S2S-Tunnels		 Network.svg internes Zielnetz Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein
Dragndrop.png Network.svg internes Zielnetz Vpn-network.svg RW-Transfer-Netz
Objekt erstellen mit Zone des S2S-Tunnels		 Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein

Zwei weitere Paketfilterregeln werden auf der VPN Serverseite benötigt, die wie folgt aussehen:
VPN Server
Dragndrop.png Vpn-network.svg RW-Transfer-Netz Network.svg S2S-Netz der Clientseite Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein
Dragndrop.png Network.svg S2S-Netz der Clientseite Vpn-network.svg RW-Transfer-Netz Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein

SSL-RW an S2S-Clientseite verbinden

Beispielszenario 2: SSL-RW an S2S-Clientseite verbinden

VPN RW - S2S Client.png

Transfernetze eintragen

Die Transfernetze müssen auf den UTMs hinterlegt werden:

  • Hierzu wird das RW-Transfernetz auf der S2S-Serverseite in die Client Netzfreigabe eingetragen:
    VPN Server
    VPN SSL-VPN S2S Server Client-Gegenstellen gewünschten Client bearbeiten Clientnetzwerke freigeben: »192.168.192.0/24
  • und das S2S-Servernetz in der RW-Netz-Freigabe eingetragen:
    VPN Server
    VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.175.0/24
  • Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
    VPN Server
    Anwendungen Anwendungsstatus die Anwendung SSL-VPN stoppen und anschließend starten

Paketfilterregeln erstellen


Es werden insgesamt 4 Paketfilterregeln benötigt. Zwei auf VPN Clientseite, die wie folgt aussehen:
VPN Client

# Quelle Ziel Dienst NAT Logging Aktion Aktiv
Dragndrop.png Vpn-network.svg RW-Transfer-Netz Network.svg S2S-Netz der Serverseite Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein
Dragndrop.png Network.svg S2S-Netz der Serverseite Vpn-network.svg RW-Transfer-Netz Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein

Zwei weitere Paketfilterregeln werden auf der VPN Serverseite benötigt, die wie folgt aussehen:
VPN Server
Dragndrop.png Vpn-network.svg RW-Transfer-Netz
Objekt erstellen mit Zone des S2S-Tunnels		 Network.svg internes Zielnetz Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein
Dragndrop.png Network.svg internes Zielnetz Vpn-network.svg RW-Transfer-Netz
Objekt erstellen mit Zone des S2S-Tunnels		 Service-group.svg default-internet
3/Min
UTM v12.7 Paketfilter Sliderbar2.png
 ACCEPT Ein

SSL-RW durch IPSec-S2S

Beispielszenario 3: SSL-RW durch IPSec-S2S

SSL-RW durch IPSec-S2S.png

Transfernetze eintragen

  • Zunächst wird das lokale Netz am Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben.
    Standort A
    VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.175.0/24
  • Anschließend wird ein Netzwerkobjekt für das lokale Netz an Standort B (hinter der IPSec-Verbindung) erstellt.
    Standort A
    Firewall Netzwerkobjekte  Schaltfläche Objekt hinzufügen
    Name: Zielnetz Standort B
    Wichtig:
  • Typ Netzwerk (Adresse)
    Die SSL-VPN-Verbindung bekommt nicht mit, daß es sich um eine weitere VPN-Verbindung handelt.
    Daher darf hier kein VPN-Netzwerk ausgewählt werden!
  • Zone external

    • Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
      Standort A
      Anwendungen Anwendungsstatus die Anwendung SSL-VPN stoppen und anschließend starten

    Phase 2 bearbeiten

    • In Phase 2 der Verbindung muss die SSL-Roadwarrior IP-Adresse als Subnetz eingetragen werden.
      Standort A | Standort B
      VPN IPSec  Bereich Verbindungen Phase 2 der gewünschten Verbindung bearbeiten Phase2 → Bereich Subnetze Schaltfläche Subnetz hinzufügen


    • Standort B
      Besteht kein administrativer Zugriff auf den entfernten Standort, muss am lokalen Standort A zusätzlicheine HideNat-Regel angelegt werden.
      Dazu gibt es eine eigene Anleitung. Achtung: Hier ist der lokale Standort der Standort B !

    Paketfilterregel anlegen

    Außerdem müssen die folgenden Paketfilterregeln angelegt werden. Dabei kann der Wiki-Artikel zu IPSec S2S-Ziele mit SSL-VPN erreichen nützlich sein.
    # Quelle Ziel Dienst NAT Logging Aktion Aktiv
    Dragndrop.png Vpn-network.svg RW-Netz Network.svg Zielnetz Standort B Service-group.svg default-internet
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein
    Dragndrop.png Network.svg Zielnetz Standort B Vpn-network.svg RW-Netz Service-group.svg default-internet
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein

    SSL-RW durch WG-S2S (SP zu SP)

    Beispielszenario 4: SSL-RW durch WG-S2S (SP zu SP)

    SSL-RW durch WG-S2S.png

    Der SSL-RW befindet sich bei Standort A und möchte auf ein Gerät bei Standort B zugreifen.

  • Dabei verwenden beide Standorte Securepoint Hardware (ansonsten siehe Szenario 5)


    • Transfernetze eintragen

    Standort A

    • Zunächst wird das lokale Netz aus Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben.
      VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.175.0/24
    • Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
      Anwendungen Anwendungsstatus die Anwendung SSL-VPN stoppen und anschließend starten


    • Außerdem wird bei Standort A das SSL-RW Transfernetz in die WireGuard Servernetzwerke eingetragen.
      VPN WireGuard gewünschte Verbindung bearbeiten Servernetzwerke global freigeben: »192.168.192.0/24
    • Anschließend Wiregard
      Neustarten

    Standort B

    • Bei Standort B wird ebenfalls das SSL-RW Transfernetz eingetragen - allerdings in die WireGuard Peernetzwerke .
      VPN WireGuard Peers gewünschten Peer bearbeiten Peernetzwerke freigeben: »192.168.192.0/24
    • Anschließend Wiregard
      Neustarten


    Paketfilterregeln erstellen

    Außerdem müssen Paketfilterregeln erstellt werden.
    Standort A
    # Quelle Ziel Dienst NAT Logging Aktion Aktiv
    Dragndrop.png Vpn-network.svg RW-Transfer-Netz Network.svg WireGuard-Netz
    der Gegenstelle (Standort B)    		 Service-group.svg default-internet
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein
    Standort B
    Dragndrop.png Network.svg RW-Transfer-Netz
    in der Zone des WG-Tunnels zu Standort A    		 Network.svg internal-network Service-group.svg default-internet
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein

    Soll aus dem Zielnetz heraus ein lokales Gerät am Roadwarrior Client (z.B. ein Drucker) oder der Roadwarrior selbst erreicht werden können, bedarf es einer weiteren Regel:
    Standort B
    Dragndrop.png Network.svg internal-network Network.svg RW-Transfer-Netz
    in der Zone des WG-Tunnels zu Standort A    		 Service-group.svg default-internet
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein


    SSL-RW durch WG-S2S (SP zu Fremd)

    Beispielszenario 5: SSL-RW durch WG-S2S (SP zu Fremd)

    SSL-RW durch WG-S2S mit fremd Hardware.png

    Der SSL-RW befindet sich bei Standort A und möchte auf ein Gerät bei Standort B zugreifen.

  • Dabei verwendet Standort A Securepoint Hardware und Standort B fremde Hardware (ansonsten siehe Szenario 4)


    • Transfernetze eintragen

    • Zunächst wird das lokale Netz aus Standort B, auf das der Roadwarrior letztlich zugreifen können soll, im RW-Tunnel eingegeben.
      VPN SSL-VPN RW Server gewünschte Verbindung bearbeiten Bereich Allgemein Servernetzwerke global freigeben: »192.168.175.0/24
    • Dienst neu starten um Änderungen vollständig zu übernehmen und Routen zu pushen:
      Standort A
      Anwendungen Anwendungsstatus die Anwendung SSL-VPN stoppen und anschließend starten
    • Außerdem wird bei Standort A das SSL-RW Transfernetz in die WireGuard Servernetzwerke eingetragen.
      VPN WireGuard gewünschte Verbindung bearbeiten Servernetzwerke global freigeben: »192.168.192.0/24

    Paketfilterregeln erstellen

    # Quelle Ziel Dienst NAT Logging Aktion Aktiv
    Dragndrop.png Vpn-network.svg RW-Transfer-Netz Network.svg WireGuard-Netz
    der Gegenstelle (Standort B)    		 Service-group.svg default-internet HN
    mit internal interface
    3/Min
    UTM v12.7 Paketfilter Sliderbar2.png
    		 ACCEPT Ein
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-RW_an_S2S-BestPractice&oldid=94049“