VPN-Konfiguration (ASC) in der USC

Informationen zur VPN-Konfiguration – Adaptive Secure Connect (ASC) – in der USC

Letzte Anpassung zur Version: 2.20.3

Neu:

Migration von Topologien zum neuem ASC Modell
Aktualisierung der Übersicht
Beschreibung der Quellen, Dienste und Richtlinien
Umbenennung Konfigurationsoptionen zu Endpunkte
Neue Reihenfolge der Abschnitte

Generierte Android-Profile können nicht mehr als Roadwarrior ausgewählt werden

notempty

Dieser Artikel bezieht sich auf eine Beta-Version

-

Einleitung

Die VPN-Konfiguration ermöglicht die einfache Vernetzung von Standorten, Geräten und Nutzern
Alles zentral gesteuert aus dem Securepoint Portal in der Unified Security Console USC
Neben der Stern-Topologie existiert ein einfaches Zugriffssystem: Quellen greifen gezielt auf definierte Dienste zu (Quellen → Dienste)
Im Zentrum steht ein Core-Gerät, die als zentraler Knotenpunkt fungiert. Von hier aus können mehrere Standorte über Satelliten-Geräten sicher miteinander verbunden werden
Zusätzlich können Gruppen von mobilen Endgeräten als Roadwarrior angebunden werden
Es können sowohl im Portal vorhandene UTMs genutzt werden, als auch unverwaltete Geräte

Erste Konfigurationsschritte:

Auswahl der Unternehmenszentrale als Core-Gerät
Anbindung weiterer Geräte anderer Standorte als Satelliten
Konfiguration der Roadwarrior für mobile Endgeräte

Voraussetzung

notempty

VPN-Konfigurationen in der USC erfordern eine UTM v14.0 oder höher.

notempty

Falls unverwaltete Geräte in der VPN-Konfiguration ASC verwendet werden sollen, so beschreiben folgende Wiki-Artikeln deren Konfiguration:

Migration zum neuem Modell

notempty

Neu ab: 2.20

VPN-Konfigurationen vom altem ASC-Modell

Vor Portal-Version 2.20 hinzugefügt und veröffentlicht

lassen sich auf das neue ASC-Modell migrieren.

Dieser Vorgang wird über die Schaltfläche Migration starten ausgeführt:

Sämtliche Regeln und Einstellungen werden übernommen und die Regeln der Topologien werden auf die Quellen , Dienste und Richtlinien (siehe unten) übertragen
Die Topologie-Geräte werden auf die Endpunkte (siehe unten) übertragen
Falls bei der Migration Probleme auftreten sollten, so wird der Vorgang blockiert und ein Hinweistext mit dem geschildertem Problem wird eingeblendet
- Mit der Schaltfläche Prüfung erneut ausführen kann anschließend die Migration erneut durchgeführt werden

notempty

Wenn eine Topologie mit unveröffentlichten Änderungen migriert werden soll, so wird der Vorgang solange blockiert, bis diese Änderungen veröffentlicht wurden.

notempty

Falls die Adresse einer Quelle/eines Gerätes außerhalb des Netzwerkes der Gegenstelle liegt, so wird der Migrationsvorgang blockiert.

notempty

UTMs vor der Migration auf die neuste UTM-Version updaten!

Übersicht

Schaltfläche	Beschreibung	Schaltflächen zur allgemeinen Konfiguration oberhalb der Tabelle.
Topology 1	Die Anzahl an Core-Geräte und deren Topologien Mit Topologie hinzufügen kann ein weiteres Core-Gerät hinzugefügt werden Weitere Informationen in Abschnitt Core-UTM hinzufügen Dieser Wiki-Artikel beschreibt das Hinzufügen von unverwalteten Core-Geräten Über Umbenennen kann die Topologie umbenannt werden Mit kann die Anordnung der Topologien geändert werden
Endpunkte notempty Neu ab: 2.20	Die Endpunkte der ausgewählten ASC-Topologie (die Core-Geräte, Satellit-Geräte und Roadwarriors) werden angezeigt Weitere Satelliten und Roadwarrior können hinzugefügt werden
Quellen notempty Neu ab: 2.20	Die Quellen der ausgewählten ASC-Topologie werden angezeigt Die Quellen bestimmen, wer auf etwas zugreifen soll Eine Quelle ist einem Endpunkt zuzuordnen Eine Quelle ist eine Sammlung von Quell-Netzwerken/-Hosts Weitere Quellen für diese ASC-Topologie können hinzugefügt werden
Dienste notempty Neu ab: 2.20	Die Dienste der ausgewählten ASC-Topologie werden angezeigt Die Dienste bestimmen, worauf zugegriffen werden soll Ein Dienst ist einem Endpunkt zuzuordnen Ein Dienst definiert für Ziel-Netzwerke/-Hosts, welche Protokolle dort erreichbar sein sollen Weitere Dienste für diese ASC-Topologie können hinzugefügt werden
Richtlinien notempty Neu ab: 2.20	Die Richtlinien der ASC-Topologie werden angezeigt Die Richtlinien bestimmen, wer worauf zugreifen darf Richtlinien verknüpfen immer eine Quelle mit einem Dienst Weitere Richtlinien für diese ASC-Topologie können hinzugefügt werden
Änderungen verwerfen	Änderungen, die noch nicht veröffentlicht wurden sind, können wieder rückgängig gemacht werden
Veröffentlichen	Getätigte Änderungen und neue Konfigurationen werden veröffentlicht und somit aktiviert und nutzbar gemacht

Endpunkte

Die vorhandenen Konfigurationen der ausgewählten ASC-Topologie werden angezeigt
Bei Endpunkt werden die genutzten Geräte und deren Status dargestellt
Bei Typ werden die eingebundenen Geräte als Core-Gerät Core, Satellite-Gerät Satellit oder Roadwarrior Roadwarrior markiert
- Dazu ob es sich bei den Core- bzw. Satellit-Geräten um eine UTM UTM oder ein unverwaltetes Gerät Unverwaltetes Gerät handelt
Je nach Objekt stehen unterschiedliche Aktionen zur Verfügung

Statusanzeige		Beschreibung
Aktionen		Beschreibung	Eine Übersicht einer beispielhafte VPN-Konfiguration mit einer Core-UTM, zwei Satellite-UTMs und zwei Roadwarrior. Diese Übersicht ist erst zu sehen, wenn eine Core-UTM hinzugefügt wurde.
Satellit / Roadwarrior Core-UTM		Fügt eine neue Satellite-UTM, oder einen neuen Roadwarrior hinzu Weitere Informationen siehe Abschnitte Satellite-UTM hinzufügen bzw. Roadwarrior hinzufügen Dieser Wiki-Artikel beschreibt das Hinzufügen von unverwalteten Satellite-Geräte
Bearbeiten		Öffnet den Dialog, um das Objekt zu bearbeiten
Löschen		Vorgang um den jeweiligen Endpunkt zu löschen Ein Dialogfenster öffnet sich und zeigt alle verbundenen Quellen, Dienste und Richtlinien an, welche zusammen mit dem Endpunkt gelöscht werden Satellit löschen / Roadwarrior löschen zum Bestätigen des Löschvorganges auswählen Beim Löschen eines Core-Gerätes wird die gesamte VPN-Konfiguration gelöscht Bei einem Core-Gerät muss deren PIN eingegeben werden und anschließend den Vorgang durch Löschen bestätigen notempty Es kann zu Problemen/Störungen in den vorhandenen Diensten, Richtlinien kommen, wenn Quellen, Dienste und Richtlinien gelöscht werden.
Menü öffnen Core oder Satellite	UTM-Details	Öffnet die Detailanzeige zu dieser UTM im Menü Unified Security ConsoleUTMs
	UTM austauschen	Tauscht die Core-, bzw. Satellite-UTM der bestehenden VPN-Konfiguration aus Weitere Informationen dazu im Abschnitt UTM austauschen
	Aktualisieren	Aktualisiert die Ansicht der hinterlegten Informationen
	Websession	Öffnet den Dialog, um die administrative Weboberfläche der UTM zu starten Weitere Informationen sind im folgendem Wiki-Artikel zu finden
Profile Roadwarrior		Zeigt die Roadwarrior-Profile an, die an der Core-UTM angebunden sind Per Klick auf das Profil lässt es sich bearbeiten

Statusübersicht
Je nach Objekt werden verschiedene Statusanzeigen dargestellt. Wird über die Statusanzeige gehovert, werden weitere Informationen angezeigt.
Nicht veröffentlicht		Zeigt an, dass das Objekt neu hinzugefügt wurde, dies aber noch nicht veröffentlicht wurde
Nicht veröffentlicht		Zeigt an, dass es Änderungen bei dem Objekt gegeben hat, welche noch nicht veröffentlicht wurden
Nicht veröffentlicht		Zeigt an, dass das Objekt gelöscht wurde, dies aber noch nicht veröffentlicht wurde
Veröffentliche...		Zeigt an, dass die Konfiguration dabei ist veröffentlicht zu werden. Dieser Vorgang kann etwas dauern.
		Zeigt an, dass die Core-UTM verbunden ist
		Zeigt an, dass die Core-UTM nicht verbunden ist
		Zeigt an, dass die Satellite-UTM verbunden ist
		Zeigt an, dass die Satellite-UTM nicht verbunden ist
		Dieser Adresspool ist verbunden und es existieren keine zu veröffentlichenden Änderungen
✕		Dieser Adresspool ist nicht verbunden
		Zeigt an, zu welchem Profiltyp (Android oder iOS) dieser Adresspool gehört. Wird über das Statuslabel gehovert, wird der Name des Profils angezeigt.

UTM austauschen
Diese Funktion bietet die Möglichkeit die Core- als auch eine Satellite-UTM bei einer bestehenden VPN-Konfiguration auszutauschen, ohne dass Einstellungen verloren gehen, oder gar eine neue VPN-Konfiguration erstellt werden muss. Dadurch ist es beispielsweise möglich eine fehlerhafte UTM in einer VPN-Konfiguration auszutauschen, so dass diese Konfiguration wieder funktioniert. Es ist dabei irrelevant ob die zu tauschende UTM online ist oder nicht. Es ist nicht möglich eine Satellite-UTM direkt zu einer Core-UTM auszutauschen und umgekehrt. Dafür wird eine weitere dritte UTM als Platzhalter-UTM benötigt.
notempty Bevor die neue UTM eingetauscht werden kann, wird dringend empfohlen ein neues Backup von der alten UTM zu erstellen! Es ist dabei irrelevant, ob es sich um ein manuelles Backup (weitere Informationen dazu in diesem Wiki-Artikel), oder um ein Cloudbackup handelt.
Ablauf um eine UTM auszutauschen: Überprüfen, dass das Backup der neuen UTM aktuell ist → UTM austauschen bei der zu tauschenden Core-/Satellite-UTM auswählen im Dialogfenster Core-UTM austauschen, bzw. Satellite-UTM austauschen bei der Option UTM wird die neue UTM ausgewählt falls gewünscht kann die Core-/Satellite-UTM bearbeitet werden, siehe dazu Core-UTM bearbeiten, oder Satellite-UTM bearbeiten Speichern und anschließend auf Veröffentlichen um die Änderung der VPN-Konfiguration zu veröffentlichen Weitere Informationen sind im Wiki-Artikel Core-/Satellite-UTMs austauschen zu finden.

Quellen

notempty

Neu ab: 2.20

Übersicht der Quellen

Die definierten Quellen der vorhandenen Endpunkte der ausgewählten ASC-Topologie werden hier tabellarisch angezeigt
- Über werden die Netzwerke/IPs der Quellen zusammengefasst
  - Per Klick auf diese Schaltfläche werden diese eingeblendet mit Name und IP / Netzwerk
- Name zeigt den Namen der Quelle an
- UTM zeigt die Core- bzw. Satellit-UTM zur dazugehörigen Quelle an
- Typ zeigt den Typ zur dazugehörigen Quelle an: UTM, Satellit, Roadwarrior
- Tags zeigt vorhandene Tags der Quellen an
  - Mit Tags bearbeiten können weitere Tags hinzugefügt werden
Über Bearbeiten kann diese Quelle bearbeitet werden
Über Richtlinienverweise werden die Richtlinien zu dieser Quelle angezeigt
Durch Löschen wird diese Quelle gelöscht
- Diese Schaltfläche wird erst aktiv, wenn diese Quelle keine Richtlinie vorweist
Mit der Schaltfläche Quellen hinzufügen kann eine neue Quelle hinzugefügt werden

Beschriftung

Wert

Beschreibung

Dialogfenster zum Hinzufügen neuer Quellen

Name

Name der Quelle

Der Name dieser Quelle
Pflichtfeld

Symbol

Icon auswählen

Ein Symbol kann für die Quelle ausgewählt werden
Optional

Dienste

notempty

Neu ab: 2.20

Übersicht der Dienste

Die definierten Dienste der vorhandenen Endpunkte der ausgewählten ASC-Topologie werden hier tabellarisch angezeigt
- Über werden die Dienste der Core-Geräte zusammengefasst
  - Per Klick auf diese Schaltfläche werden diese eingeblendet mit Name, Protokoll, Details und Ziel (IP / Netzwerk)
- Name zeigt den Namen des Dienstes an
- UTM zeigt die Core-UTM zum dazugehörigen Dienst an
- Typ zeigt den Typ zur dazugehörigen Quelle an: UTM, Satellit, Core
- Tags zeigt vorhandene Tags der Quellen an
  - Mit Tags bearbeiten können weitere Tags hinzugefügt werden
Über Bearbeiten kann dieser Dienst bearbeitet werden
Über Richtlinienverweise werden die Richtlinien zu diesem Dienst angezeigt
Durch Löschen wird dieser Dienst gelöscht
- Diese Schaltfläche wird erst aktiv, wenn dieser Dienst keine Richtlinie vorweist
Mit der Schaltfläche Dienst hinzufügen kann ein neuer Dienst hinzugefügt werden

Beschriftung

Wert

Beschreibung

Dialogfenster zum Hinzufügen neuer Dienste

Name

Name des Dienstes

Der Name dieses Dienstes
Pflichtfeld

Symbol

Icon auswählen

Ein Symbol kann für den Dienst ausgewählt werden
Optional

Richtlinien

notempty

Neu ab: 2.20

Übersicht der Richtlinien

Die definierten Richtlinien der vorhandenen Endpunkte der ausgewählten ASC-Topologie werden hier tabellarisch angezeigt
- Quelle zeigt die Quelle an
- Ziel (Dienst) zeigt das Ziel, bzw. den Dienst an
- Tags zeigt vorhandene Tags der Richtlinien an
  - Mit Tags bearbeiten können weitere Tags hinzugefügt werden
Durch Löschen wird diese Richtlinie gelöscht
Mit der Schaltfläche Richtlinie hinzufügen kann ein neuer Dienst hinzugefügt werden

Beschriftung	Wert	Beschreibung	Dialog zum Hinzufügen neuer Richtlinien
Quelle	Wählen Sie eine Quelle aus	Auswahl der Quelle, deren Verkehr erlaubt werden soll
Ziel (Dienst)	Wählen Sie einen Dienst aus	Auswahl des Dienstes, der für die Quelle erreichbar sein soll
Tags	Fügen Sie Tags hinzu	Auswahl der vorhandenen Tags um diese Richtlinie zu organisieren
Besitzen alle Felder einen Eintrag, wird über die aktive Schaltfläche Speichern eine neue Richtlinie abgespeichert und hinzugefügt.

Konfiguration der Core-UTM

Core-UTM hinzufügen

Core jetzt hinzufügen Öffnet den Dialog zum Hinzufügen einer Core-UTM.

Erscheinungsbild der VPN-Konfiguration, wenn noch keine Core-UTM konfiguriert wurde.

Es ist möglich, mehrere Core-UTMs zu haben. Jede Core-UTM wird in eine Topologie Topology 1 zugeordnet

Default Bezeichnung und es wird durchnummeriert

.

mit Umbenennen kann die ausgewählte Topologie umbenannt werden
mit können die Topologien sortiert werden

Soll eine weitere Core-UTM und damit eine weitere Topologie hinzugefügt werden geschieht dies mit der Schaltfläche Topologie hinzufügen

UTMs, die als Core-UTM oder als Satelliten-UTM schon ausgewählt wurden, können nicht als neue Core-UTM ausgewählt werden

In dem sich öffnenden Dialogfenster wird bei der Option Typ UTM ausgewählt
- Die andere Auswahlmöglichkeit Unverwaltetes Gerät wird in diesem Wiki-Artikel beschrieben

Beschriftung

Wert

Beschreibung

Dialogfenster zum Hinzufügen einer Core-UTM

Typ

UTM

Als Typ UTM auswählen

Name
Pflichtfeld

Name

Name der Topologie

UTM

TTT-Point AG V

Liste an verfügbaren UTMs, die als Core-UTM ausgewählt werden können
Es stehen ausschließlich die UTMs zur Auswahl, die über eine öffentliche IP-Adresse verfügen, mit dem Portal verbunden und online sind
UTMs, die mit dem Portal verbunden sind, aber offline sind, oder deren Version nicht kompatibel sind, werden im Listenabschnitt nicht verfügbar aufgelistet
Die nächsten Schritte werden erst nach der Auswahl einer UTM eingeblendet

Alias
Pflichtfeld

LG1

Es muss ein Alias für die Core-UTM vergeben werden, um generierte Objekte dieser UTM zuordnen zu können.

Schnittstelle
Pflichtfeld

eth0 (203.113.0.113)

Die Schnittstelle der Core-UTM, die für den Verbindungsaufbau verwendet werden soll
Per Default wird die erste Schnittstelle, die mit dem Internet verbunden ist, verwendet

Hostname / Öffentliche IP-Adresse
Pflichtfeld

203.113.0.113

Der Hostname, oder die öffentliche IP-Adresse, die für den Verbindungsaufbau verwendet wird
Per Default wird die öffentliche IP-Adresse der Internetschnittstelle der UTM verwendet

Transfernetz
Pflichtfeld

192.168.20.0/24

Private IPv4- oder IPv6-Adresse, die als Transfernetz verwendet werden soll.

(Optional) DNS-Einstellungen für Roadwarrior

Hier kann festgelegt werden, welche DNS-Server für die Roadwarrior VPN-Verbindungen verwendet werden sollen
Die Anfragen werden grundsätzlich über den Tunnel geleitet
Dadurch kann beispielsweise die Namensauflösung von Servern im verwendeten internen Netzwerk ermöglicht werden

Primärer DNS-Server (Optional)

DNS-Server hinzufügen

Es können hier DNS-Server im Netzwerk der Core-UTM ausgewählt werden, damit die Namensauflösung für die Roadwarrior-Clients funktioniert
Es werden in den Roadwarrior-Pools automatisch Regeln angelegt

Dialogfenster für das Hinzufügen eines DNS-Servers

Core als DNS

Die Core-UTM wird als DNS-Server verwendet
Es wird dann Core angezeigt
notempty
Wenn die Core-UTM als DNS-Server gesetzt wird, werden die DNS-Anfragen automatisch über den Namensserver der UTM aufgelöst.

Netzwerkobjekt
Nicht bei Core als DNS

Bitte wählen Sie ein Netzwerkobjekt aus

Auswahl eines Netzwerkobjektes, das einem DNS-Server zugeordnet ist.

Falls kein passendes Netzwerkobjekt vorhanden ist, kann über die Hinzufügen-Schaltfläche ein neues angelegt werden.

Name	Name	Name, den das Netzwerkobjekt bekommen soll.
	Host	Typ des Netzwerkobjekts. Per Default ist Host ausgewählt, alternativ ist Netzwerk möglich.
Adresse	IP Adresse	IPv4, oder IPv6-Adresse, die das Netzwerkobjekt als Transfernetz verwenden werden soll.
Zone	Wählen Sie eine Zone aus	Zone, in der sich das Netzwerkobjekt befinden soll. Ist keine passende Zone vorhanden, muss in der UTM eine erstellt werden.
Netzwerkgruppe	Wählen Sie eine Netzwerkgruppe aus	Fügt diesem Netzwerkobjekt einer bestehenden Netzwerkgruppe hinzu.

Dienst
Nicht bei Core als DNS

dns

Auswahl des Dienstes bzw. der Dienstgruppe, die DNS ermöglicht macht.

Falls kein passender Dienst vorhanden ist, kann über die Hinzufügen-Schaltfläche ein neuer angelegt werden.

Name	Name des Dienstes	Name des Dienstes.
Dienstgruppenname	Dienstgruppenname	Fügt den Dienst zu einer bestehenden Dienstgruppe hinzu.
Protokoll	Protokoll auswählen	Protokoll, welches der Dienst haben soll.

Split-DNS für iOS Profile aktivieren
Wird erst eingeblendet, wenn ein DNS-Server ausgewählt wurde

notempty

Neu ab: 2.8

Wenn aktiviert kann Split-DNS für iOS Profile verwendet werden
Es wird zwischen internen und externen aufzulösenden Domains unterschieden

Split-DNS Konfiguration
Wird erst eingeblendet, wenn Split-DNS für iOS Profile aktiviert ist

notempty

Neu ab: 2.8

Domains hinzufügen

Ausschließlich die eingetragenen Domains werden über die eingegebenen DNS-Server aufgelöst
Externe Domains werden, sofern genutzt, über Cloud Shield aufgelöst
So kann eine VPN-Konfiguration in Verbindung mit Cloud Shield verwendet werden
Mindestens eine Domain muss eingetragen sein, sonst ist ein Speichern nicht möglich
Wenn Split-DNS für iOS Profile aktivieren deaktiviert wird mit eingetragenen Domains, so beleiben diese erhalten, sind jedoch nicht mehr aktiv

Mit der Schaltfläche DNS hinzufügen wird der DNS-Server hinzugefügt.

Fügt die UTM als Core-UTM hinzu. Erst wenn alle Einträge ausgefüllt sind, wird die Schaltfläche UTM hinzufügen aktiv.

Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration nutzbar gemacht werden.

Core-UTM bearbeiten

Eine aktive, verbundene Core-UTM lässt sich über die Schraubenschlüssel-Schaltfläche bearbeiten.

Beschriftung

Wert

Beschreibung

Dialogfenster zum Bearbeiten einer Core-UTM

Name

Name der Topologie

UTM

TTT-Point AG IV

Die UTM, die als Core-UTM dient, kann nachträglich nicht geändert werden.

Alias
Pflichtfeld

LG1

Es muss ein Alias für die Core-UTM vergeben werden, um generierte Objekte dieser UTM zuordnen zu können.

Port

51820

Anzeige des Ports, der vom VPN-Dienst verwendet wird. Kann nicht geändert werden.

Schnittstelle

eth0 (203.113.0.113)

Die Schnittstelle, die für den Verbindungsaufbau verwendet wird.

Hostname / Öffentliche IP-Adresse

203.113.0.113

Der Hostname bzw. die öffentliche IP-Adresse, die für den Verbindungsaufbau verwendet wird.

Transfernetz

192.168.20.0/24

IPv4- oder IPv6-Adresse, die als Transfernetz verwendet werden soll.

(Optional) DNS-Einstellungen für Roadwarrior

Hier kann festgelegt werden, welche DNS-Server für die Roadwarrior VPN-Verbindungen verwendet werden sollen
Die Anfragen werden grundsätzlich über den Tunnel geleitet
Dadurch kann beispielsweise die Namensauflösung von Servern im verwendeten internen Netzwerk ermöglicht werden

Primärer DNS-Server (Optional)

DNS-Server hinzufügen

Es können hier DNS-Server im Netzwerk der Core-UTM ausgewählt werden, damit die Namensauflösung für die Roadwarrior-Clients funktioniert
Es werden in den Roadwarrior-Pools automatisch Regeln angelegt

Dialogfenster für das Hinzufügen eines DNS-Servers

Core als DNS

Die Core-UTM wird als DNS-Server verwendet
Es wird dann Core angezeigt
notempty
Wenn die Core-UTM als DNS-Server gesetzt wird, werden die DNS-Anfragen automatisch über den Namensserver der UTM aufgelöst.

Netzwerkobjekt
Nicht bei Core als DNS

Bitte wählen Sie ein Netzwerkobjekt aus

Auswahl eines Netzwerkobjektes, das einem DNS-Server zugeordnet ist.

Falls kein passendes Netzwerkobjekt vorhanden ist, kann über die Hinzufügen-Schaltfläche ein neues angelegt werden.

Name	Name	Name, den das Netzwerkobjekt bekommen soll.
	Host	Typ des Netzwerkobjekts. Per Default ist Host ausgewählt, alternativ ist Netzwerk möglich.
Adresse	IP Adresse	IPv4, oder IPv6-Adresse, die das Netzwerkobjekt als Transfernetz verwenden werden soll.
Zone	Wählen Sie eine Zone aus	Zone, in der sich das Netzwerkobjekt befinden soll. Ist keine passende Zone vorhanden, muss in der UTM eine erstellt werden.
Netzwerkgruppe	Wählen Sie eine Netzwerkgruppe aus	Fügt diesem Netzwerkobjekt einer bestehenden Netzwerkgruppe hinzu.

Dienst
Nicht bei Core als DNS

dns

Auswahl des Dienstes bzw. der Dienstgruppe, die DNS ermöglicht macht.

Falls kein passender Dienst vorhanden ist, kann über die Hinzufügen-Schaltfläche ein neuer angelegt werden.

Name	Name des Dienstes	Name des Dienstes.
Dienstgruppenname	Dienstgruppenname	Fügt den Dienst zu einer bestehenden Dienstgruppe hinzu.
Protokoll	Protokoll auswählen	Protokoll, welches der Dienst haben soll.

Split-DNS für iOS Profile aktivieren
Wird erst eingeblendet, wenn ein DNS-Server ausgewählt wurde

notempty

Neu ab: 2.8

Wenn aktiviert kann Split-DNS für iOS Profile verwendet werden
Es wird zwischen internen und externen aufzulösenden Domains unterschieden

Split-DNS Konfiguration
Wird erst eingeblendet, wenn Split-DNS für iOS Profile aktiviert ist

notempty

Neu ab: 2.8

Domains hinzufügen

Ausschließlich die eingetragenen Domains werden über die eingegebenen DNS-Server aufgelöst
Externe Domains werden, sofern genutzt, über Cloud Shield aufgelöst
So kann eine VPN-Konfiguration in Verbindung mit Cloud Shield verwendet werden
Mindestens eine Domain muss eingetragen sein, sonst ist ein Speichern nicht möglich
Wenn Split-DNS für iOS Profile aktivieren deaktiviert wird mit eingetragenen Domains, so beleiben diese erhalten, sind jedoch nicht mehr aktiv

Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration nutzbar gemacht werden.

Konfiguration der Satellite-UTMs

Satellite-UTM hinzufügen

Um eine UTM als Satellite-UTM hinzuzufügen, wird bei einer aktiven, verbundenen Core-UTM auf die Schaltfläche Satellit / Roadwarrior geklickt. Es öffnet sich ein Dialogfenster, in dem die neue Satellite-UTM konfiguriert wird.
Beschriftung	Wert	Beschreibung	Dialogfenster zum Hinzufügen einer Satellite-UTM ins UNC
Typ	Satellit (UTM)	Als Typ wird Satellit ausgewählt
UTM	TTT-Point AG V	Auswahl der UTM, die sich über VPN mit der Core-UTM verbinden soll. Die Konfigurationen werden den UTMs zugewiesen, sobald dies veröffentlicht wird. Es stehen ausschließlich die UTMs zur Auswahl, die mit dem Portal verbunden und online sind. UTMs, die mit dem Portal verbunden sind, aber offline sind, oder deren Version nicht kompatibel sind, werden im Listenabschnitt nicht verfügbar aufgelistet.
Alias Pflichtfeld	LG2	Alias für die Satellite-UTM, um generierte Objekte dieser UTM leichter zuordnen zu können.
Erst wenn alle Einträge ausgefüllt sind, wird die Schaltfläche Hinzufügen aktiv und diese UTM wird dann darüber hinzugefügt.
Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration übertragen werden.

Satellite-UTM bearbeiten

Eine aktive, verbundene Satellite-UTM lässt sich über die Schaltfläche bearbeiten.
Beschriftung	Wert	Beschreibung	Dialogfenster zum Bearbeiten einer Satellite-UTM
Typ	Satellit (UTM)	Der Typ lässt sich bei einer Satellite-UTM nicht ändern.
UTM	TTT-Point AG II	Die UTM, die als Satellite-UTM verwendet wird, lässt sich nicht ändern.
Alias Pflichtfeld	LG2	Einen Alias für die Satellite-UTM vergeben, um generierte Objekte auf dieser UTM leichter zuordnen zu können.
Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration übertragen werden.

Konfiguration der Roadwarrior

Roadwarrior hinzufügen

Um einen Roadwarrior hinzuzufügen, wird bei einer aktiven, verbundenen Core-UTM auf die Schaltfläche Satellit / Roadwarrior geklickt. Es öffnet sich ein Dialogfenster, in dem der neue Roadwarrior konfiguriert wird.
Beschriftung	Wert	Beschreibung	Dialogfenster zum Hinzufügen eines Roadwarriors
Typ	Roadwarrior	Als Typ wird Roadwarrior ausgewählt
Name	RW_Allgemein	Der Name, der für diesen Roadwarrior verwendet werden soll
Transfernetz	10.0.2.0/24	Private IPv4- oder IPv6-Adresse eingeben, die als Transfernetz verwendet werden soll.
Profil	Android RW iOS RW Windows VPN RW	Auswahl der Profile. Möglich sind Android Profile notempty Neu ab: 2.19 notempty Generierte Profile können nicht ausgewählt werden iOS Geräteprofile iOS-Profile mit aktiven Cloud Shield notempty Neu ab: 2.12 Bei iOS-Profilen wird überprüft, ob eine VPP-Lizenz für die VPN-Client App vorliegt. Ist keine Lizenz vorhanden, wird ein Hinweistext eingeblendet Um dieses Profil als Roadwarrior hinzufügen zu können, benötigen Sie eine VPP-Lizenz für den Securepoint VPN Client aus dem Apple Business Manager Windows Profile Geräte aus diesen Profilen können sich nach Veröffentlichung der Konfiguration mit diesem Netzwerk verbinden. Es können mehrere Profile ausgewählt werden.
Erst wenn alle Einträge ausgefüllt sind, wird die Schaltfläche Hinzufügen aktiv und dieser Roadwarrior wird dann darüber hinzugefügt.
Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration übertragen werden.

Roadwarrior bearbeiten

Ein Roadwarrior lässt sich über die Schaltfläche bearbeiten.
Beschriftung	Wert	Beschreibung	Dialogfenster zum Bearbeiten eines Roadwarriors
Typ	Roadwarrior	Der Typ lässt sich bei einem Roadwarrior nicht ändern.
Name	RW-Smartphones	Der Name, der für diesen Roadwarrior verwendet wird.
Transfernetz	10.0.2.0/24	IPv4- oder IPv6-Adresse, die als Transfernetz verwendet werden soll.
Profil	Android RW iOS RW Windows VPN RW	Auswahl der Profile. Möglich sind Android Profile notempty Neu ab: 2.19 notempty Generierte Profile können nicht ausgewählt werden iOS Geräteprofile iOS-Profile mit aktiven Cloud Shield notempty Neu ab: 2.12 Bei iOS-Profilen wird überprüft, ob eine VPP-Lizenz für die VPN-Client App vorliegt. Ist keine Lizenz vorhanden, wird folgender Hinweistext eingeblendet Um dieses Profil als Roadwarrior hinzufügen zu können, benötigen Sie eine VPP-Lizenz für den Securepoint VPN Client aus dem Apple Business Manager Windows Profile Geräte aus diesen Profilen können sich nach Veröffentlichung der Konfiguration mit diesem Netzwerk verbinden. Es können mehrere Profile ausgewählt werden.
Anschließend muss mit der Schaltfläche Veröffentlichen diese Konfiguration übertragen werden.

Darstellung auf der UTM

Regeln Allgemein

Allgemein werden automatisch mehrere Regeln auf betreffenden UTMs generiert. In der Spalte Modelle, der Regeln Übersicht auf der UTM, werden diese Regeln gekennzeichnet, damit nachvollziehbar ist woher sie kommen. Außerdem können diese Regeln nur mithilfe des Portals und nicht auf der UTM selbst bearbeitet, gelöscht oder kopiert werden.

Der ausgehende Datenverkehr wird automatisch zugelassen. Eingehende Pakete auf der Core-UTM, die nicht dem konfiguriertem Dienst/Port entsprechen werden verworfen.

Des Weiteren ist zu beachten, dass Dienste grundsätzlich neu angelegt werden, um mögliche Interferenzen mit bestehenden Diensten, die dann womöglich geändert werden, zu vermeiden.

Darstellung der Satellit Regeln

	Pos.	#	Quelle	Ziel	Dienst	NAT	Logging	Aktion	Cloud	Aktiv
Generierte Regeln der Core-UTM für eine Beispielregel von einer Satellit-UTM zu der Core-UTM:
			LG2-rules				-	2		Ein
			LG2-internal-networks	vpn-netzwerk	default-internet		-	ACCEPT		Ein
			vpn-netzwerk	LG2-internal-networks	LG2-auto-service		-	ACCEPT		Ein

Generierte Regeln der Satellit-UTM für eine Beispielregel von einer Satellit-UTM zu der Core-UTM:
			LG1-rules				-	1		Ein
			internal-networks	LG1-auto-network	LG1-auto-service		-	ACCEPT		Ein
Beim erzeugen einer Regel zwischen einer Satellit-UTM und der Core-UTM werden insgesamt drei Paketfilterregeln generiert. Zwei auf der Ziel UTM und eine auf der Quell UTM. Auf der Ziel UTM (hier Core-UTM) umfasst dies eine eingehende Regel mit dem ausgewählten Dienst sowie einer Any Regel für ausgehende Daten zu der Quell UTM (hier Satellit-UTM). Auf der Quell UTM wird eine ausgehende Regel, also eine Any Regel erstellt.
Darstellung der Roadwarrior Regeln
Generierte Regeln auf der Core-UTM für eine Roadwarrior Regel:
			RW-Smartphones-rules-2				-	2		Ein
			RW-Smartphones-address_pool	rw-network	default-internet		-	ACCEPT		Ein
			rw-network	RW-Smartphones-auto-network	RW-Smartphones-auto-service		-	ACCEPT		Ein
Beim erzeugen einer Regel zwischen einem Roadwarrior Netz und der Core-UTM werden zwei Paketfilterregeln auf der Core-UTM generiert. Diese umfassen eine eingehende Regel mit dem entsprechenden Dienst sowie eine ausgehende Regel, also einer Any Regel.

Darstellung von Netzwerkobjekten

Es gibt zwei verschiedene Arten von Netzwerkobjekten, die durch die VPN-Konfiguration erstellt werden. Einerseits gibt es die, die sich auf ein anderes Objekt in der Konfiguration beziehen und komplett automatisch bei einer Regel Erstellung generiert werden (hier bspw. LG2-any-network-v4). Andererseits gibt es die, die auf der UTM selbst von dem Benutzer mithilfe der Schaltfläche erstellt werden (hier bspw. vpn-network).

Generierte Netzwerkobjekte auf der Core-UTM

Einleitung

Voraussetzung

Migration zum neuem Modell

Übersicht

Endpunkte

Statusübersicht

UTM austauschen

Quellen

Dienste

Richtlinien

Konfiguration der Core-UTM

Core-UTM hinzufügen

Core-UTM bearbeiten

Konfiguration der Satellite-UTMs

Satellite-UTM hinzufügen

Satellite-UTM bearbeiten

Konfiguration der Roadwarrior

Roadwarrior hinzufügen

Roadwarrior bearbeiten

Darstellung auf der UTM

Regeln Allgemein

Darstellung der Satellit Regeln

Darstellung der Roadwarrior Regeln

Darstellung von Netzwerkobjekten