SSL-VPN Roadwarrior

Konfiguration von SSL-VPN Roadwarrior-Verbindungen

Letzte Anpassung zur Version: 12.2

Neu::

Vorherige Versionen: 11.6.12 | 11.7 | 11.7.1 | 11.8.7

Einleitung

Eine Roadwarrior-Verbindung verbindet einzelne Hosts mit dem lokalen Netzwerk. Dadurch kann sich beispielsweise ein Außendienstmitarbeiter mit dem Netzwerk der Zentrale verbinden.
SSL-VPN benutzt zur Verschlüsselung der Verbindung den TLS/SSL Standard.

Mit einer SSL-VPN Roadwarrior-Verbindung auf der UTM können mehrere Clients angebunden werden.

Zum Erstellen von Zertifikaten auf der UTM gibt es einen eigenen Artikel: Zertifikate

Vorbereitungen

Für die Einrichtung des Roadwarriors wird eine CA, ein Server- und ein User-Zertifikat benötigt.
Diese Zertifikate können ggf. auch während der Einrichtung erstellt werden.

[[Datei: ]]

Wenn vorhanden, Domain eingeben.

UTM v12.6 SSL-VPN Roadwarrior Allgemeine Search Domain.png

Search Domain vorgeben

Roadwarrior Konfiguration

Einrichtungsassistent

Nach dem Login auf dem Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann der Einrichtungs-Assistent mit VPN SSL-VPN Schaltfläche SSL-VPN Verbindung hinzugefügen aufgerufen werden.

UTM v12.6 SSL-VPN Roadwarrior Schritt1.png

Im Installationsschritt 1 wird der Verbindungstyp ausgewählt.
Es stehen folgende Verbindungen zur Verfügung.

Roadwarrior Server
Site to Site Server
Site to Site Client

Für die Konfiguration des Roadwarrior Servers wird dieser ausgewählt.

UTM v12.6 SSL-VPN Roadwarrior Schritt2.png

Soll im Quell- und Zielnetz IPv6 verwendet werden, muss dies hier ermöglicht werden.

Lokale Einstellungen für den Roadwarrior Server können in Schritt 3 getätigt werden.

Beschriftung	Wert	Beschreibung
		Eindeutige Bezeichnung, frei wählbar
Protokoll:		Gewünschtes Protokoll
	1194	Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt.
Serverzertifikat:	Serverzertifikat	Auswahl des Zertifikates, mit dem der Server sich Authentifiziert. Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit Erstellung einer CA im Abschnitt CA mit der Schaltfläche CA hinzufügen Erstellung eines Serverzertifikates im Abschnitt Zertifikate mit der Schaltfläche Zertifikat hinzufügen. Bitte beachten: Serverzertifikat: Ein aktivieren Erstellung des Client-Zertifikates mit der Schaltfläche Zertifikat hinzufügen Für jeden Benutzer sollte ein eigenes Client-Zertifikat erstellt werden. Beide Zertifikate (Server CS und Client CC) müssen mit der selben CA erstellt werden! Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche exportiert werden.
Servernetzwerke freigeben:	»192.168.175.0/24	An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.

UTM v12.6 SSL-VPN Roadwarrior Schritt3.png

UTM v12.6 SSL-VPN Roadwarrior Schritt4.png

Im Installationsschritt 4 wird das Transfernetz für den Roadwarrior eingetragen.
Das Transfernetz kann frei gewählt werden, darf aber noch nicht anderweitig auf der UTM verwendet werden.

UTM v12.6 SSL-VPN Roadwarrior Schritt5.png

Die Benutzerauthentisierung wird im letzten Schritt ausgewählt.
Danach kann der Einrichtungsassistent abgeschlossen werden.

None = Authentifizierung nur über die Zertifikate
Local = Lokale Benutzer und AD Gruppen
Radius = Radius Server
Local OTP = Lokale Benutzer und AD Gruppen mit verpflichtendem OTP für diesen Tunnel notempty
Neu ab v12.7.3

Abschluss

UTM v12.6 SSL-VPN Roadwarrior Schritt6.png

In der SSL-VPN Übersicht werden alle konfigurierten Verbindungen angezeigt.
Damit die Verbindung aktiv wird, muss der SSL-VPN-Dienst neu gestartet werden: Neustarten

Dabei werden alle SSL-VPN-Tunnel unterbrochen!

Es wird lediglich ein Roadwarrior-Server benötigt, um mehrere VPN-Benutzer anzubinden!

Regelwerk

Implizite Regeln

Unter Firewall Implizite Regeln Bereich VPN kann das Protokoll, das für die Verbindung genutzt wird, aktiviert werden.

Im Beispiel Ein SSL-VPN UDP ➊

Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf allen Schnittstellen frei. Paketfilter-Regeln anstelle von impliziten Regeln können das individuell für einzelne Schnittstellen regeln.
Soll der Anwender den Client vom User-Interface herunterladen, muss dies hier zusätzlich freigegeben werden:
Ein User Interface Portal ➋

Gegebenenfalls muss das Userinterface auf einen anderen Port gelegt werden, wenn Port 443 an einen internen Server weitergeleitet wurde.

Netzwerkobjekte

Netzwerkobjekt für das Tunnelnetzwerk

Mit der Einrichtung der Verbindung wurde ein tun-Interface erzeugt. Es erhält automatisch die erste IP-Adresse aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".

Die Roadwarrior-Clients erhalten eine IP-Adresse aus diesem Netz und befinden sich in dieser Zone.
Um den Roadwarriorn den Zugriff auf das eigene Netz zu gewähren, muss dafür ein Netzwerkobjekt angelegt werden.

Beschriftung	Wert	Beschreibung
	SSL-VPN-RW-Network	Eindeutige Bezeichnung, frei wählbar
Typ	VPN-Netzwerk	Passenden Typen wählen
Adresse	192.168.192.0/24	Die Netzwerk-IP, die in Schritt 4 als Tunnel-Pool angegeben wurde.
	vpn-ssl-RW-Securepoint	Die Zone, über die das Tunnel-Netzwerk angesprochen wird.
Gruppen		Optionale Zuordnung zu Netzwerkgruppen

Speichern

[[Datei: |hochkant=2.5|mini| ]]

Beschriftung	Wert	Beschreibung
Quelle	SSL-VPN-RW-Network	Eingehende Regel
Ziel	internal-network	Als Ziel muss internal-network angegeben werden
Dienst

Benutzer und Gruppen anlegen

Gruppe

SSL-VPN Einstellungen für die Gruppe

Unter Authentifizierung Benutzer Bereich Gruppe Schaltfläche + Gruppe hinzufügen klicken.
Folgende Berichtigungen müssen erteilt werden:

Ein Userinterface
Ein SSL-VPN


Client im Userinterface herunterladbar:	Ein	Per default über den Port 443, also z.b. unter https://192.168.75.1 erreichbar
SSL-VPN Verbindung:		Soeben angelegte Verbindung wählen
		Auswahl des Client-Zertifikates, das in Schritt 3 des Einrichtungsassistenten beschrieben wurde. Server- und Client-Zertifikat müssen mit der selben CA erstellt werden!
	192.0.2.192	Das Remote Gateway ist die Adresse der externen Schnittstelle. Diese Adresse muss von extern erreichbar sein.
	Aus	Bei Aktivierung werden auch Anfragen der Roadwarrior-Clients ins Internet bzw. in Netzwerke außerhalb des VPN über das lokale Gateway umgeleitet. Dadurch profitieren auch diese Verbindungen vom Schutz der UTM.
Im Portfilter verfügbar:	Ein	Ermöglicht Identity-Based Firewall (IBF) für SSL-VPN

Benutzer

SSL-VPN Einstellungen für die Benutzer

Wurde im vorhergehenden Schritt (anlegen einer Gruppe) im Abschnitt Verzeichnis Dienst keine Gruppenzuordnung vorgenommen, muss jeder Benutzer auch auf der UTM angelegt werden.

Authentifizierung Benutzer Bereich Benutzer Schaltfläche Benutzer hinzufügen oder Benutzer bearbeiten .

Allgemein Reiter Allgemein
Gruppen	RW-SSL-VPN	Optionale Zuordnung zu Netzwerkgruppen
SSL-VPN Reiter SSL-VPN
Einstellungen aus der Gruppe verwenden	Ein	Wurden bereits für die Gruppe Einstellungen getroffen, können statt individueller Werte diese hier übernommen werden.
Konfiguration	Wurden die Angaben gespeichert, können bereits an dieser Stelle die entsprechenden Dateien vom Administrator herunter geladen werden.

Weitere Angaben zu Benutzern können dem Artikel zur Benutzerverwaltung entnommen werden.

Herunterladen des SSL-VPN Clients im Userinterface

Userinterface SSL-VPN

Für Benutzer, die sich per SSL-VPN mit der UTM verbinden möchten, stellt die Appliance einen vorkonfigurierten SSL-VPN Client zur Verfügung:

Zum Download gelangt man über den Menüpunkt SSL-VPN .
Dieser Client enthält die Konfigurationsdateien sowie sämtliche benötigten Zertifikate.
Anmeldung im Userinterface der UTM per default über den Port 443, also z.b. unter https://192.168.75.1
Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance.

Ein Zugriff von externen Benutzern ist nur möglich, wenn die Implizite SSL Regel unter Bereich VPN Option Ein User Interface Portal aktiviert ist, die den Zugriff vom Internet auf das externe Interface per HTTPS erlaubt.

Der Client wird angeboten als:

Die Installation muss mit Administrator-Rechten durchgeführt werden. Erforderliche Prozessorarchitektur: x86 / x64

Die portable Version kann zum Beispiel auf einen USB-Stick kopiert werden und somit auch an anderen Rechnern ausgeführt werden.

Voraussetzung hierfür sind Administrationsrechte, da ein virtuelles TAP Device installiert und Routen gesetzt werden müssen. Erforderliche Prozessorarchitektur: x86 / x64

Konfiguration und Zertifikat
Zur Verwendung in anderen SSL-VPN-Clients

Die komprimierten Ordner enthalten neben dem SSL-VPN Client

- eine Konfigurationsdatei
- die CA- und Client-Zertifikate
- sowie einen Treiber für die virtuelle TAP-Netzwerkschnittstelle.
  Zum Installieren der virtuellen TAP Schnittstelle benötigt der Benutzer auf dem verwendeten Rechner Administratorrechte.

Installation: Hinweise zur Installation finden sich auf unsere Wiki-Seite zum VPN-Client

SSL-VPN Verbindung als Client herstellen

Aktive SSL-VPN-Verbindung

Ein Doppelklick auf das Schloss-Symbol in der Taskleiste öffnet den SSL-VPN-Client.
Starten der Verbindung mit Klick auf

Hinweise

Verschlüsselung

Standardmäßig wird ein AES128-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.

Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich.

Hashverfahren

Standardmäßig wird ein SHA256 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich.

Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.

Es kommt immer wieder zu Problemen mit der Stabilität der Verbindung, wenn ein Router/Modem vor der Appliance ebenfalls eine aktive Firewall hat. Bitte auf diesen Geräten jegliche Firewall-Funktionalität deaktivieren.

Hinweis zu vorgeschalteten Routern/Modems--Porthinweis

IPv6 für eingehende Verbindungen

In den Einstellungen des Roadwarriorservers kann im Abschnitt Allgemein / Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.

Hinweis zur Fehlerbehebung bei SSL-VPN gibt es im Troubleshooting Guide SSL-VPN (pdf-Dokument)