- Neue Funktion: Statischer SSL-VPN Schlüssel
Einleitung
- Mithilfe von SSL-VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
Site-to-Site Server
- Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
Site-to-Site Client
- Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.
Site-to-Site Server Konfiguration
SSL-VPN-Verbindung
Einrichten der Verbindung unter Schaltfläche
Installationsassistent
Schritt 1
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN 
Installationsschritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:
- Roadwarrior Server
- Site-to-Site Server
- Site-to-Site Client
Für die Konfiguration des Site-to-Site Server wird dieser ausgewählt.
Schritt 2
Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.
Schritt 3
Lokale Einstellungen für den Site-to-Site Server
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-server | Eindeutiger Name | |
| Protokoll: | Gewünschtes Protokoll wählen | ||
| Port: | 1194 |
Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt. | |
| Serverzertifikat: | Auswahl des Zertifikates, mit dem der Server sich authentifiziert. Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
Beide Zertifikate müssen mit der selben CA erstellt werden! | ||
| Servernetzwerke freigeben: | » 192.168.175.0/24 | An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll. | |
Schritt 4
Im Installationsschritt 4 wird das Transfernetz für den Site-to-Site Server eingetragen.
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Transfer-Netzwerk: | 192.168.190.0/24 | Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird. | |
| Server-Tunneladresse: | 192.168.190.1/32 | Die Server- und Client-Tunneladresse wird automatisch ermittelt. | |
| IPv4 Client-Tunneladresse: | 192.168.190.2/24 | ||
Schritt 5
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-client | Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet | |
| Client-Zertifikat: | Zertifikat des Client-Netzwerks | ||
| Clientnetzwerke freigeben: | »192.168.174.0/24 | Netzwerke der Gegenstelle, die freigegeben werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) | |
| notempty Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.
| |||
Abschnitt Allgemein
Bereits angelegte SSL-VPN-Verbindungen können unter Schaltfläche bearbeitet werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Abschnitt Allgemein
|
|---|---|---|---|
| Name: | S2S-Server | Name der SSL-Verbindung | |
| Schnittstelle: | tun0 | Verwendete Schnittstelle | |
| Modus: | SERVER | Je nach Verbindungstyp | |
| Protokoll: | (Default) |
Bevorzugtes Protokoll wählen (UDP und TCP können jeweils auf IPv4 oder IPv6 begrenzt werden) | |
| Port: | 1194 |
Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt. | |
| Authentifizierung: | (Default) |
Passende Authentifizierungsmethode wählen | |
| Zertifikat: | Das verwendete Zertifikat kann hier geändert werden | ||
| Statischer SSL-VPN Schlüssel: notempty Neu ab v12.6.1 |
Schlüssel zur Absicherung der Verbindung | ||
| Cipher für Datenverbindung: | Default-Einstellungen von OpenSSL werden verwendet. notempty Die Gegenstelle muss denselben Cipher nutzen!
| ||
| Hash für Datenverbindung: | Default-Einstellungen von OpenSSL werden verwendet. notempty Die Gegenstelle muss dasselbe Hashverfahren nutzen!
| ||
| Erlaubt Cipher für automatische Aushandlung (NCP): | Es lassen sich gezielt einzelne Cipher aus eine Liste auswählen | ||
| IPv4 Transfer-Netzwerk: | 192.168.190.0/24 | Pool-Adresse eintragen | |
| IPv6 Transfer-Netzwerk: | /64 | Pool-Adresse eintragen | |
| Servernetzwerk global freigeben: | Netz-IP für Netzwerke hinter der UTM, die über die SSL-VPN-Verbindung erreichbar sein sollen können editiert werden. | ||
| Search Domain: | Alternativen: 1. Die Domain immer komplett ausschreiben | ||
| Renegotiation: | (Default) |
Zeitraum, ab dem die Verbindung erneut vermittelt wird | |
Abschnitt Erweitert
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Abschnitt Erweitert
|
|---|---|---|---|
| MTU: | 1500 |
Maximale Übertragungseinheit des größten Pakets (Byte) | |
| Maximale Clients: | 1024 | Maximale Anzahl an Clients. Wird kein Wert festgelegt, gilt der Default-Wert von 1024. | |
| DNS übermitteln: | Nein | Erlaubt die DNS-Übermittlung Die IP-Adressen vom DNS und WINS werden im Menü gesetzt. | |
| WINS übermitteln: | Nein | Erlaubt die WINS-Übermittlung Die IP-Adressen vom DNS und WINS werden im Menü gesetzt. | |
| Multihome: | Ein | Erlaubt die Nutzung von mehrere Default-Routen | |
| Nur zugewiesene Zertifikate akzeptieren: |
Ein | Es können nur noch zugewiesene Zertifikate akzeptiert werden | |
| LZO: | Aus | LZO-Kompression Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen! | |
| Deaktiviert: | Nein | ||
| Pass TOS: | Aus | Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen | |
| Ping Intervall: | 10 Sekunden |
Intervall der Ping-Anfragen | |
| Ping Wartezeit: | 120 Sekunden |
Wartezeit der Ping-Anfragen | |
| Ausgehende Puffergröße: | 65536 Bytes |
Steuert die Größe des Puffers für den Socket | |
| Eingehende Puffergröße: | 65536 Bytes |
s.o. | |
| Replay window Sequenzgröße: | 64 |
Anzahl der Pakete innerhalb derer noch ältere Sequenznummern akzeptiert werden. | |
| Replay window Wartezeit: | 15 Sekunden |
Zeitfenster in dem die Sequenzgröße maximal angewendet wird | |
Weitere Client-Gegenstellen
UTMbenutzer@firewall.name.fqdnVPN 
Übersicht der SSL-VPN-Verbindungen
Weitere Gegenstellen, welche über diesen Site-to-Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.
Anzeige der Gegenstellen mit Klick auf das Ordnersymbol
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN 
Weitere Gegenstellen des S2S-SSL-.VPNs
Regelwerk
Implizite Regeln
UTMbenutzer@firewall.name.fqdnFirewall 
Implizite Regeln
Unter Abschnitt VPN kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier Ein SSL-VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
Netzwerkobjekte
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Schaltfläche angelegt werden.
Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
|---|---|---|---|
| Name: | sslvpn-S2S-Client-Network | Eindeutiger Name | |
| Typ: | Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | 192.168.174.0/24 | Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| |
| Zone: | Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird. | ||
| Gruppe: | Optional | ||
Paketfilter-Regeln
UTMbenutzer@firewall.name.fqdnFirewall 
Paketfilter-Regeln
Menü Schaltfläche
Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw. aus dem Netzwerk:
| # | Quelle | Ziel | Dienst | NAT | Aktion | Aktiv | |||
 |
4 |  sslvpn-S2S-client-network |
 internal-network |
 default-internet |
Accept | Ein | |||
|
5 | internal-network |
sslvpn-S2S-client-network |
default-internet |
Accept | Ein |
Routen
Die Routen werden automatisch gesetzt.
Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
Menü Bereich Routing Schaltfläche .
Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdn  Route für Gegenstelle
|
|---|---|---|---|
| Gateway-Schnittstelle: | Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss. | ||
| Zielnetzwerk: | 192.168.174.0/24 | Das Netzwerk der Gegenstelle (S2S Client) | |
Site-to-Site Client Konfiguration
SSL-VPN-Verbindung
Installationsassistent
Schritt 1
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN 
Installationsschritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:
- Roadwarrior Server
- Site-to-Site Server
- Site-to-Site Client
Für die Konfiguration des Site-to-Site Client wird dieser ausgewählt.
Schritt 2
Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.
Schritt 3
Lokale Einstellungen für den Site-to-Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-client | Eindeutiger Name | |
| Protokoll: | Gewünschtes Protokoll wählen | ||
| Client-Zertifikat: | Auswahl des Zertifikates, mit dem der Client sich authentifiziert Hier muss das gleiche Zertifikat verwendet werden, dass beim Site-to-Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde. Aufruf mit
| ||
Schritt 4
Dieser Installationsschritt entfällt beim Site-to-Site Client.
Schritt 5
notempty
Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden.
Abschnitt Allgemein
Bereits angelegte SSL-VPN-Verbindungen können unter Schaltfläche bearbeitet werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Abschnitt Allgemein
|
|---|---|---|---|
| Name: | S2S-client | Name der SSL-Verbindung | |
| Schnittstelle: | tun4 | Verwendete Schnittstelle | |
| Modus: | CLIENT | ||
| Protokoll: | (Default) |
Gewünschtes Protokoll wählen | |
| Zertifikat: | Das verwendete Zertifikat kann hier geändert werden | ||
| Cipher für Datenverbindung: | Default-Einstellungen von OpenSSL werden verwendet. notempty Die Gegenstelle muss denselben Cipher nutzen!
| ||
| Hash für Datenverbindung: | Default-Einstellungen von OpenSSL werden verwendet. notempty Die Gegenstelle muss dasselbe Hashverfahren nutzen!
| ||
| Erlaubt Cipher für automatische Aushandlung (NCP): | Es lassen sich gezielt einzelne Cipher aus eine Liste auswählen | ||
| Renegotiation: | (Default) |
Zeitraum, ab dem die Verbindung erneut vermittelt wird | |
Abschnitt Erweitert
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Abschnitt Erweitert
|
|---|---|---|---|
| MTU: | 1500 |
Maximale Übertragungseinheit des größten Pakets (Byte) | |
| LZO: | Aus | LZO-Kompression Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen! | |
| Deaktiviert: | Nein | ||
| Pass TOS: | Aus | Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen | |
| Ping Intervall: | 10 Sekunden |
Intervall der Ping-Anfragen | |
| Ping Wartezeit: | 120 Sekunden |
Wartezeit der Ping-Anfragen | |
| Ausgehende Puffergröße: | 65536 Bytes |
||
| Eingehende Puffergröße: | 65536 Bytes |
||
| Replay window Sequenzgröße: | 64 |
||
| Replay window Wartezeit: | 15 Sekunden |
||
S2S Client Regelwerk
S2S Client Implizite Regeln
Da der Site-to-Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der Firewall selbst per Default immer erlaubt sind, sind keine impliziten Regeln notwendig.
S2S Client Netzwerkobjekte
Ein neues Netzwerkobjekt kann unter Schaltfläche erstellt werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
|---|---|---|---|
| Name: | sslvpn-S2S-Server-Network | Eindeutiger Name | |
| Typ: | Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | 192.168.175.0/24 |
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| |
| Zone: | die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird. | ||
| Gruppe: | Optional | ||
S2S Client Paketfilter-Regeln
UTMbenutzer@firewall.name.fqdnFirewall 
Paketfilter-Regeln im
Menü Schaltfläche .
Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw. aus dem Netzwerk:
| # | Quelle | Ziel | Dienst | NAT | Aktion | Aktiv | |||
|
5 | internal-network |
sslvpn-S2S-server-network |
default-internet |
Accept | Ein | |||
|
4 | sslvpn-S2S-server-network |
internal-network |
default-internet |
Accept | Ein |
S2S Client Routen
Die Routen werden automatisch gesetzt.
Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
Menü Bereich Routing Schaltfläche .
Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdn  Route für Gegenstelle
|
|---|---|---|---|
| Gateway-Schnittstelle: | Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss. | ||
| Zielnetzwerk: | 192.168.175.0/24 | Das Netzwerk der Gegenstelle (S2S Server) | |
Hinweise
Multipath
Bei Multipath auf der Client Seite, muss die VPN-Verbindung im Client auf eine Schnittstelle gebunden werden.
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden.
Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden.
Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.
Der transparente HTTP-Proxy
Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
Damit dies nicht passiert muss im Menü Bereich Transparenter Modus Schaltfläche eine Regel hinzugefügt werden:
|
UTMbenutzer@firewall.name.fqdnAnwendungHTTP-Proxy | |
| Protokoll: | |
| Typ: | |
| Quelle: | |
| Ziel: | |