Wechseln zu:Navigation, Suche
Wiki

IPSec Site-to-Site

Version vom 25. November 2024, 12:29 Uhr von Marcels (Diskussion | Beiträge) (Weiterleitung nach UTM/VPN/IPSec-S2S v12.6.2 erstellt)

Weiterleitung
Aus Securepoint Wiki

Weiterleitung nach:

Preview1400



































































































De.png
En.png
Fr.png









IPSec Verbindungen Site-to-Site

Letzte Anpassung zur Version: 14.0.0

Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
Aufruf: VPN IPSec  Bereich Verbindungen


Einleitung

Eine Site-to-Site-Verbindung verbindet zwei Netzwerke miteinander.
Beispielsweise das lokale Netzwerk einer Hauptstelle mit dem lokalen Netzwerk einer Filiale / Zweigstelle.

Für das Verbinden der beiden Gegenstellen lassen sich öffentliche IP-Adressen, sowie dynamische DNS Einträge, verwenden.


Vorbereitung

Sollte vor der Securepoint Appliance ein Router (z.B: Fritz!Box oder Speedport) stehen, muss dort gewährleistet sein, dass ESP und UDP 500/ 4500 aktiv ist. Siehe Beispiel-Konfiguration mit einer Fritz!Box.


Konfiguration einer IPSec Site-to-Site Verbindung

Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann im Menü VPN IPSec  Schaltfläche + IPSec Verbindung hinzufügen eine IPSec Verbindung hinzugefügt werden.


Einrichtungsassistent

Schritt 1 - Verbindungstyp
Beschriftung Wert Beschreibung IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.8.0 IPSec S2S Schritt1.pngEinrichtungsschritt 1
Auswahl des Verbindungs-Typs: Es stehen folgende Verbindungen zur Verfügung.
  • Roadwarrior
  • Site to Site
 Für die Konfiguration einer
Site to Site
 Verbindung wird eben diese ausgewählt.
Schritt 2 - Allgemein
Name: IPSec S2S Name für die Verbindung UTM v12.8.0 IPSec S2S Schritt2.png
Einrichtungsschritt 2
IKE Version: IKE v1 (veraltet)IKE v2 Default Auswahl der IKE Version.
notempty
IKE v1 gilt als veraltet und sollte nicht mehr genutzt werden
Subnetzkombinationen gruppieren:
notempty
Neu im Einrichtungsassistenten
Nur bei IKE v2		 Ein Bei Verwendung von IKE v2 ist es mithilfe dieser Konfiguration möglich, mehrere Subnetze unter einer SA zusammenzufassen.
  • Sollte die Gegenstelle ein Problem mit der Gruppierung der Subnetzkombinationen haben, sollte diese Option deaktiviert werden.
    • Schritt 3 - Lokal
    Local Gateway ID: Beliebiges Interface Beliebige Zeichenfolge.
    Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein. Auf der Gegenstelle muss dieser Wert exakt genau so konfiguriert werden.
  • Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (Aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt
  • Wird bei Authentifizierungsmethode Zertifikat nach Zertifikatsauswahl automatisch ausgefüllt.
    		•  UTM v12.6 IPSec S2S Schritt3.png
    Einrichtungsschritt 3
    Authentifizierungsmethode: Pre-Shared Key Ein Pre-Shared Key wird verwendet
    Zertifikat Ein Zertifikat wird verwendet
    Pre-Shared Key
    Bei Authentifizierungsmethode Pre-Shared Key.    		     Ein beliebiger PSK
    Erstellt einen sehr starken Schlüssel
    Kopiert den PSK in die Zwischenablage
    X.509 Zertifikat:

    Bei Authentifizierungsmethode Zertifikat.    		 Server-Zertifikat Auswahl eines Zertifikates
    Dieses Zertifikat muss zuvor unter Authentifizierung Zertifikate erstellt werden.
    Netzwerke freigeben: »192.168.122.0/24 Lokale Netzwerke der UTM
    , auf die Zugriff gewährt werden soll.
    Schritt 4 - Gegenstelle
    Remote Gateway: 192.0.2.192 Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Gegenstelle UTM v12.6 IPSec S2S Schritt4.png
    Einrichtungsschritt 4
    Remote Gateway ID: 192.0.2.192 ID, die auf der Gegenstelle als lokale ID konfiguriert wurde (beliebige Zeichenfolge)
    Netzwerke freigeben: »192.168.192.0/24 Das lokale Netzwerk der Gegenstelle, auf das zugegriffen werden soll
    Beenden des Einrichtungsassistenten mit Fertig
  • Bei S2S-Verbindungen sollte geprüft werden, ob sich mehrere Subnetze per MULTI_TRAFFIC_SELECTOR zusammen fassen lassen. Damit wird die Anzahl der SAs signifikant reduziert und die Stabilität der Verbindung erhöht.
    Dazu wird in Phase 2 die Option Subnetzkombinationen gruppieren aktiviert.

    • Weitere Einstellungen

    Neben den Einstellungen, die auch schon im Assistenten festgelegt wurden, lassen sich weitere Parameter konfigurieren:


    IKEv1

    notempty
    IKE v1 gilt als veraltet und sollte nicht mehr genutzt werden

    Step-by-step.png



    IKEv2

    Step-by-step.png



    Regelwerk

    Um den Zugriff, auf das interne Netz zu gewähren muss die Verbindung erlaubt werden.

    Es ist möglich, aber nicht empfehlenswert dies mit impliziten Regeln unter Firewall Implizite Regeln Abschnitt VPN zu konfigurieren.
     Diese Impliziten Regeln geben die Ports, die für IPSec Verbindungen genutzt werden, jedoch auf allen Schnittstellen frei.
    notempty
    Grundsätzlich gilt:
    Es wird nur das freigegeben, was benötigt wird und nur für denjenigen, der es benötigt!

    Netzwerkobjekt anlegen

    Es muss ein Netzwerkobjekt für das entfernte Netz erstellt werden.
    Firewall Netzwerkobjekte  Schaltfläche Objekt hinzufügen

  • Existieren mehrere Subnetze auf der Gegenstelle, muss für jedes Subnetz ein Netzwerkobjekt angelegt werden.
    Wenn die entsprechenden Berechtigungen vergeben werden sollen, lassen sich diese zu Netzwerkgruppen zusammenfassen.
    • Name: IPSec-S2S Name für das IPSec-S2S-Netzwerkobjekt Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6 Netzwerkobjekt IPSec.png
    Typ: VPN-Netzwerk zu wählender Typ
    Adresse: 192.168.192.0/24 Die IP-Adresse des lokalen Netzwerks der gegenüberliegenden Seite, wie im Installationsassistenten in Schritt 4 - Gegenstelle in der Zeile Netzwerke freigeben eingetragen wurde.
    In diesem Beispiel also das Netzwerk 192.168.192.0/24.
    Zone: vpn-ipsec zu wählende Zone
    Gruppe:     Optional: Eine oder mehrere Gruppen, zu denen das Netzwerkobjekt gehört.

    Paketfilter Regeln

    Erste Regel
    Quelle: internal-network Host oder Netzwerk (-Pool), der Zugriff auf das interne Netz bekommen soll Paketfilter UTMbenutzer@firewall.name.fqdnFirewall Regeln aktualisieren UTM v12.6.5 Firewall Regel-IPSEC.pngPaketfilter-Regel
    Ziel: IPSec-Netzwerk Host, Netzwerk oder Netzwerkgruppe, auf die der Zugriff gewährt werden soll. Hier z.B. eine Gruppe von rdp-Servern.
    Dienst: benötigter Dienst Dienst oder Dienstgruppe, die benötigt wird
    NAT: Hidenat Exclude
    Netzwerkobjekte: external-interface
    Zweite Regel
    Quelle: IPSec-Netzwerk Host oder Netzwerk (-Pool), der Zugriff auf das interne Netz bekommen soll
    Ziel: internal-network Ziel
    Dienst: benötigter Dienst Dienst oder Dienstgruppe, die benötigt wird
    NAT: Kein NAT


    Konfiguration des zweiten Gateways

    notempty
    Es ist zu beachten, dass die IKE-Version auf beiden Seiten identisch ist.


    Verwendung einer Securepoint UTM

    Auf der entfernten Appliance müssen die Einstellungen analog vorgenommen werden

    • Mit Hilfe des IPSec-Assistenten wird eine neue IPSec-VPN-Verbindung angelegt
    • Ein Netzwerkobjekt für das IPSec-Netzwerk wird erstellt
    • Paketfilterregeln werden erstellt.


    Gegenstelle Schritt 2
    • Es muss die gleiche Authentifizierungsmethode gewählt werden
    • Es muss der gleiche Authentifizierungs-Schlüssel (PSK, Zertifikat, RSA-Schlüssel) vorliegen
    • Es muss die gleiche IKE-Version verwendet werden


    Gegenstelle Schritt 3
    • Als Local Gateway ID muss nun die Remote Gateway ID aus Schritt 4 der ersten UTM verwendet werden
    • Unter Netzwerke freigeben muss ebenfalls das (dort Remote-) Netzwerk aus Schritt 4 der ersten UTM verwendet werden


    Gegenstelle Schritt 4
    • Als Remote Gateway muss die öffentliche IP-Adresse (oder ein Hostname, der per DNS aufgelöst werden kann) der ersten UTM eingetragen werden.
      (Diese Adresse wurde im Assistenten der ersten UTM nicht benötigt)
    • Als Remote Gateway ID muss die Local Gateway ID aus Schritt 3 der ersten UTM verwendet werden
    • Unter Netzwerke freigeben muss ebenfalls das (dort lokale) Netzwerk aus Schritt 3 der ersten UTM verwendet werden


    Netzwerkobjekt der Gegenstelle anlegen
    • Das Netzwerkobjekt der Gegenstelle stellt das Netzwerk der ersten UTM dar.
      Entsprechend muss unter Adresse' die Netzwerkadresse des lokalen Netzes der ersten UTM eingetragen werden.
      Im Beispiel 192.168.218.0/24


    Hinweise

    Transparente Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungenHTTP-Proxy UTM v12.6 IPSec S2S HNE bei transparentem Proxy.png Transparente Regel


    Der transparente HTTP-Proxy

    Wenn aus dem Internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert.
    Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
    Damit das nicht passiert, muss im Menü Anwendungen HTTP-Proxy  Bereich Transparenter Modus Schaltfläche Transparente Regel hinzufügen eine Regel Exclude mit der Quelle internal-network zum Ziel name-vpn-netzwerk-objekt und dem Protokoll HTTP erstellt werden.



    Troubleshooting

    Detaillierte Hinweise zum Troubleshooting finden sich im Troubleshooting-Guide.
    Sollte als Gateway-ID eine E-Mail-Adresse verwendet werden, ist es erforderlich vor die ID ein doppeltes @@ einzufügen (aus mail@… wird @@mail@…). Andernfalls wird die ID als FQDN behandelt.


















































    Connection Rate Limit

    Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports

    notempty

    Die Funktion befindet sich noch in der Erprobungsphase und wird weiter ausgebaut.
    Die Funktion ist zunächst ausschließlich über das CLI zu konfigurieren

    Die Funktion soll helfen Angriffe abzuwehren.
    SSL-VPN-Zugänge können so z.B. vor aggressiven Scans oder Anmeldeversuchen geschützt werden.

    Connection Rate Limit.png
    Connection Rate Limit Access.png

    Die UTM kann ab v12.6.2 die Anzahl der TCP- und/oder UDP-Verbindungen von einer externen IP-Adresse auf einen Port limitieren.
    Dabei gelten folgende Bedingungen:

    • Es werde nur eingehende Verbindungen überwacht, für die eine Default-Route existiert
    • Es werden die Verbindungen von einer IP-Adresse auf einen Port der UTM innerhalb einer Minute gezählt
    • Bei Aktivierung werden 5 Verbindungen / Verbindungsversuche je Minute zugelassen.
      Danach werden die Verbindungen limitiert:
      • Dabei werden die zusätzlich zugelassenen Verbindungen innerhalb von 60 Sekunden seit der ersten Verbindung gleichmäßig verteilt.
      • Bei einem CONNECTION_RATE_LIMIT-Wert von 20 kommt also alle 3 Sekunden eine zusätzliche Verbindung hinzu.
      • 10 Sekunden nach der 1 Anmeldung könnten 3 weitere Verbindungen aufgebaut werden (jeweils von der gleichen IP-Adresse aus auf den selben Ziel-Port)
    • Die Sperrung einer IP-Adresse wirkt nur für den Zugriff auf den Port, der zu oft genutzt wurde.
      Andere Ports können weiterhin erreicht werden.
    • Die Funktion ist bei Neuinstallationen per Default auf 20 UDP-Verbindungen / Minute auf allen Ports aktiviert
    • Bei Updates muss die Funktion manuell aktiviert werden
    extc-Variable Default Beschreibung
    CONNECTION_RATE_LIMIT_TCP 0 Anzahl der zugelassenen TCP-Verbindungen einer IP-Adresse je Port
    0 = Funktion deaktiviert, es werden keine Sperrungen vorgenommen
    CONNECTION_RATE_LIMIT_TCP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports würden (bei Aktivierung) überwacht werden.
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    		Anzahl der zugelassenen UDP-Verbindungen einer IP-Adresse je Port
    CONNECTION_RATE_LIMIT_UDP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports werden überwacht (nur bei Neuinstallationen!).
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]

    Konfiguration mit CLI-Befehlen

    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-S2S&oldid=93684“