Konfiguration von SSL-VPN Site-to-Site-Verbindungen
Letzte Anpassung zur Version: 11.8.7
- Neu:
- Defaultwert für Verschlüsselungs-Algorythmus geändert
- Defaultwert für Hashverfahren geändert
Vorherige Versionen: 11.6.12, 11.7
Einleitung
- Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
Site to Site Server
- Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
Site to Site Client
- Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.
Site to Site Server Konfiguration
Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt.
SSL-VPN-Verbindung
Einrichten der Verbindung im Menü Schaltfläche
Installationsassistent
Schritt 1
Menü Schaltfläche
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
- Roadwarrior Server
- Site to Site Server
- Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
Schritt 2
Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.
Schritt 3
Lokale Einstellungen für den Site to Site Server
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Name: | S2S-server | Eindeutige Bezeichnung |
| Protokoll: | gewünschtes Protokoll | |
| Serverzertifikat: | Auswahl des Zertifikates, mit dem der Server sich Authentifiziert Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
Beide Zertifikate müssen mit der selben CA erstellt werden! Weitere Hinweise im Wiki-Artikel zur Nutzung von Zertifikaten. | |
| Servernetzwerke freigeben: | »192.168.175.0/24 | An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll. |
Schritt 4
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Transfer-Netzwerk: | 192.168.190.0/24 | Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird. |
| Server-Tunneladresse: | /32 | Die Server- und Client-Tunneladresse wird automatisch ermittelt. |
| IPv4 Client-Tunneladresse: | /24 |
Schritt 5
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Name: | S2S-client | Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet |
| Client-Zertifikat: | Zertifikat des Client-Netzwerks | |
| Clientnetzwerke freigeben: | »192.168.174.0/24 | Netzwerke der Gegenstelle, die freigegebn werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) |
Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.
Weitere Client-Gegenstellen
Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.
Anzeige der Gegenstellen mit Klick auf das Ordnersymbol
Regelwerk
Implizite Regeln
Unter Abschnitt VPN kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier Ein SSL VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
Netzwerkobjekte
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Um das Clientnetzwerk der Gegenstelle erreichen zu können, mass dafür ein Netzwerkobjekt angelegt werden.
Nur für interne Prüfzwecke
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Name: | sslvpn-S2S-client-network | Frei wählbarer Name |
| Typ: | Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | |
| Adresse: | 192.168.174.0/24 | Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde.
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.
|
| Zone: | die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird. | |
| Gruppe: | Optional |
Portfilter-Regeln
Menü Reiter Portfilter Schaltfläche
Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw, aus dem Netzwerk:
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| 1. Regel | ||
| Quelle | sslvpn-S2S-client-network | Eingehende Regel |
| Ziel | internal-network | |
| Dienst | benötigter Dienst | Es sollten nur tatsächlich benötigte Dienste freigegeben werden ! |
| 2. Regel | ||
| Quelle | internal-network | Ausgehende Regel |
| Ziel | sslvpn-S2S-client-network | |
| Dienst | benötigter Dienst | Es sollten nur tatsächlich benötigte Dienste freigegeben werden ! |
Routen
Menü Reiter Routing Schaltfläche Damit das Netzwerk der Gegenstelle überhaupt gefunden werden kann, muss noch eine Route gesetzt werden.
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Gateway Schnittstelle: | Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss. | |
| Zielnetzwerk: | 192.168.174.0/24 | Das Netzwerk der Gegenstelle (S2S Client) |
Site to Site Client Konfiguration
SSL-VPN-Verbindung
Installationsassistent
Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.
Schritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
- Roadwarrior Server
- Site to Site Server
- Site to Site Client
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
Schritt 2
Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.
Schritt 3
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Name: | S2S-client | Eindeutige Bezeichnung |
| Protokoll: | gewünschtes Protokoll Es muss das gleiche Protokoll, wie beim Site to Site Server ausgewählt werden. | |
| Client-Zertifikat: | Auswahl des Zertifikates, mit dem der Client sich Authentifiziert Hier muss das gleiche Zertifikat verwendet werden, daß beim Site to Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde. Aufruf mit
|
Schritt 4
Dieser Installationsschritt entfällt beim Site to Site Client.
Schritt 5
Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site to Site Servers als Gegenstelle eingetragen.
Die Portadresse mus mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden.
Ist der Port 1194, kann diese Angabe auch weggelassen werden.
Regelwerk
Implizite Regeln
Da der Site to Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der der Firewall selbst per default immer erlaubt sind, sind keine impliziten Regeln notwendeig.
Netzwerkobjekte
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Name: | sslvpn-S2S-server-network | Frei wählbarer Name |
| Typ: | Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | |
| Adresse: | 192.168.175.0/24 | Die Netzwerk-Adresse, die in Schritt 3 der S2S Server-Konfiguration als Servernetzwerk freigegeben wurde.
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.
|
| Zone: | die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird. | |
| Gruppe: | Optional |
Portfilter-Regeln
Menü Reiter Portfilter Schaltfläche
Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw, aus dem Netzwerk:
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| 1. Regel (#7) | ||
| Quelle | internal-network | Ausgehende Regel |
| Ziel | sslvpn-S2S-server-network | |
| Dienst | benötigter Dienst | Es sollten nur tatsächlich benötigte Dienste freigegeben werden ! |
| 2. Regel | ||
| Quelle | sslvpn-S2S-server-network | Eingehende Regel |
| Ziel | internal-network | |
| Dienst | benötigter Dienst | Es sollten nur tatsächlich benötigte Dienste freigegeben werden ! |
Routen
Menü Reiter Routing Schaltfläche Damit das Netzwerk der Gegenstelle überhaupt gefunden werden kann, muss noch eine Route gesetzt werden.
| Beschriftung | Wert | Beschreibung |
|---|---|---|
| Gateway Schnittstelle: | Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss. | |
| Zielnetzwerk: | 192.168.174.0/24 | Das Netzwerk der Gegenstelle (S2S Client) |
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.
Hinweise
Verschlüsselung
Per Vorgabe wird ein AES128-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich
Hashverfahren
Per Vorgabe wird ein SHA256 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich
QoS
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden.
Diese Einstellung kann in den Einstellungen der VPN Verbindung im Reiter Erweitert unter Pass TOS: Ein aktiviert werden.
Multipath
Nur für interne Prüfzwecke Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden.
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden.
Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden.
Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.
Search Domain
Die Search Domain kann automatisch übermittelt werden.
Der Eintrag kann in den Einstellungen der VPN Verbindung im Reiter Allgemein unter Search Domain: vorgenommen werden.
DNS/WINS übermitteln
Der DNS und der WINS können automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung im Reiter Erweitert unter
- DNS übermitteln: Ein
- WINS übermitteln: Ein
aktiviert werden.
Die IP-Adressen vom DNS und WINS werden im Menü
gesetzt.
Eine Anleitung zum Einrichten des DNS-Relay findet sich hier.
IPv6 für eingehende Verbindungen
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.
Der transparente HTTP-Proxy
Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
Damit dies nicht passiert muss im Menü Reiter Transparenter Modus Schaltfläche eine Regel hinzugefügt werden:
| Beschriftung | Wert |
|---|---|
| Protokoll | |
| Typ | |
| Quelle | |
| Ziel |
Wird die SSL-Interception verwendet sollte das zusätzlich für das Protokoll vorgenommen werden.