Vorbemerkung
Im folgenden wird die Problemstellung, dass kein Standort eine öffentliche IP-Adresse hat, aber dennoch S2S und S2E Verbindungen ermöglicht werden sollen, behandelt.
Die zwei Szenarien unterscheiden sich nur in der Konfiguration der zweiten Hardware UTM, somit muss in beiden Fällen zunächst die allgemeine Konfiguration durchgeführt werden und anschließend die spezifische Konfiguration für das Szenario S2S oder das Szenario S2E.
Konfiguration Allgemein
Mithilfe einer weiteren UTM (im Beispiel eine virtuelle UTM in der terra Cloud) kann diese als VPN-Konzentrator die Pakete zwischen den Clients und Standorten vermittelt. Der VPN-Konzentrator verfügt dabei über eine öffentliche IP-Adresse.
Zur Umsetzung wird die Terra-Cloud-UTM als SSL-VPN Site-to-Site Server konfiguriert und die Hardware-UTM des Standort A als SSL-VPN Site-to-Site Clients.
Diese IP-Adressen werden im folgenden verwendet:
| Terra-Cloud UTM | öffentliche IP: 203.0.113.203 |
| Standort A | internes Netz: 192.168.174.0/24 |
| Standort B | internes Netz: 192.168.173.0/24 |
Terra-Cloud UTM als S2S Server
Installationsassistent
Schritt 1 Schritt 1 Terracloud UTM
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:
Für die Konfiguration des Site-to-Site Server wird dieser ausgewählt. |
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Installationsschritt 1
|
Schritt 2Schritt 2 Terracloud UTM
| |
| Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden. |  |
Schritt 3
Lokale Einstellungen für den Site-to-Site Server
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-server | Eindeutiger Name | |
| Protokoll: | Gewünschtes Protokoll wählen | ||
| Port: | 1194 |
Der Port ist voreingestellt | |
| Serverzertifikat: | Auswahl des Zertifikates, mit dem der Server sich authentifiziert. Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
Beide Zertifikate müssen mit der selben CA erstellt werden! | ||
| Servernetzwerke freigeben: | » 192.168.173.0/24 | Lokales Netzwerk von Standort B, das freigegeben werden soll. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) | |
Schritt 4
Im Installationsschritt 4 wird das Transfernetz für den Site-to-Site Server eingetragen.
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Transfer-Netzwerk: | 192.168.190.0/24 | Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird. | |
| Server-Tunneladresse: | 192.168.190.1/32 | Die Server- und Client-Tunneladresse wird automatisch ermittelt. | |
| IPv4 Client-Tunneladresse: | 192.168.190.2/24 | ||
Schritt 5
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-client | Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet | |
| Client-Zertifikat: | Zertifikat des Client-Netzwerks | ||
| Clientnetzwerke freigeben: | »192.168.174.0/24 | Lokales Netzwerk von Standort A, das freigegeben werden soll. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) | |
| notempty Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.
| |||
UTM Standort A als S2S Client
Installationsassistent
Schritt 1 Schritt 1 Standort A
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:
Für die Konfiguration des Site-to-Site Client wird dieser ausgewählt. |
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Installationsschritt 1
|
Schritt 2
| Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden. |  |
Schritt 3
| Lokale Einstellungen für den Site-to-Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden. | |||
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-client | Eindeutiger Name | |
| Protokoll: | Gewünschtes Protokoll wählen | ||
| Client-Zertifikat: | Auswahl des Zertifikates, mit dem der Client sich authentifiziert Hier muss das gleiche Zertifikat verwendet werden, dass beim Site-to-Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde. Aufruf mit
| ||
Schritt 4
Dieser Installationsschritt entfällt beim Site-to-Site Client.
Schritt 5
| Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site-to-Site Servers als Gegenstelle eingetragen. notempty Die Portadresse muss mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden. Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden. |
 |
Netzwerkobjekte und Paketfilterregeln erstellen
Netzwerkobjekte
| Ein neues Netzwerkobjekt kann unter Schaltfläche erstellt werden. | |||
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
|---|---|---|---|
| Name: | sslvpn-S2S-ClientB-Network | Eindeutiger Name | |
| Typ: | Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | Lokales Netzwerk von Standort B, das freigegeben werden soll.
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
| Zone: | Die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
Paketfilterregeln
Eine neue Paketfilterregel kann unter Schaltfläche erstellt werden.
| # | Quelle | Ziel | Dienst | NAT | Logging | Aktion | Aktiv | |||
 |
 internal-network |
 sslvpn-S2S-ClientB-Network |
 default-internet |
3/Min  |
Accept | Ein | ||||
|
sslvpn-S2S-ClientB-Network |
internal-network |
default-internet |
3/Min |
Accept | Ein |
Konfiguration Szenario S2S
Terracloud UTM Konfiguration anpassen
Zweiten Client hinzufügen
Der zweite Client muss separat erstellt werden unter Schaltfläche SSL-VPN Client-Gegenstelle hinzufügen, bei der zuvor erstellten Verbindung.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  |
|---|---|---|---|
| Name: | S2S-B-client | Eindeutiger Name | |
| Client-Zertifikat: | Zertifikat des Client-Netzwerks | ||
| IPv4 Tunnel Adresse: | Eine freie IPv4 Adresse angeben, die in dem Transfer-Netzwerk liegt. | ||
| Servernetzwerke freigeben: | »192.168.174.0/24 | Lokales Netzwerk von Standort A, das freigegeben werden soll. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) | |
| Clientnetzwerke freigeben: | »192.168.173.0/24 | Lokales Netzwerk von Standort B, das freigegeben werden soll. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.) | |
| notempty Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.
| |||
Netzwerkobjekte und Paketfilterregeln erstellen
Netzwerkobjekte
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Schaltfläche angelegt werden.
Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte 
|
|---|---|---|---|
| Name: | sslvpn-S2S-ClientA-Network | Eindeutiger Name | |
| Typ: | Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | Lokales Netzwerk von Standort A, das freigegeben werden soll
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
| Zone: | Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
| Name: | sslvpn-S2S-ClientB-Network | Eindeutiger Name | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte 
|
| Adresse: | Lokales Netzwerk von Standort B, das freigegeben werden soll.
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
Paketfilterregeln
Damit die Clients auf das jeweils andere Netz zugreifen können muss dies nun mithilfe von Paketfilterregeln erlaubt werden. Diese können wie folgt aussehen:
| # | Quelle | Ziel | Dienst | NAT | Logging | Aktion | Aktiv | |||
|
sslvpn-S2S-ClientB-Network |
sslvpn-S2S-ClientA-Network |
default-internet |
3/Min |
Accept | Ein | ||||
|
sslvpn-S2S-ClientA-Network |
sslvpn-S2S-ClientB-Network |
default-internet |
3/Min |
Accept | Ein |
UTM Standort B als S2S Client
Installationsassistent
Installationsassistent Standort B
Schritt 1 Schritt 1
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:
Für die Konfiguration des Site-to-Site Client wird dieser ausgewählt. |
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN Installationsschritt 1
|
Schritt 2
| Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden. | |
Schritt 3
| Lokale Einstellungen für den Site-to-Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden. | |||
| Beschriftung | Wert | Beschreibung |  |
|---|---|---|---|
| Name: | S2S-client | Eindeutiger Name | |
| Protokoll: | Gewünschtes Protokoll wählen | ||
| Client-Zertifikat: | Auswahl des Zertifikates, mit dem der Client sich authentifiziert Hier muss das gleiche Zertifikat verwendet werden, dass beim Site-to-Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde. Aufruf mit
| ||
Schritt 4
Dieser Installationsschritt entfällt beim Site-to-Site Client.
Schritt 5
| Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site-to-Site Servers als Gegenstelle eingetragen. notempty Die Portadresse muss mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden. Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden. |
|
Netzwerkobjekte und Paketfilterregeln erstellen
Netzwerkobjekte
| Ein neues Netzwerkobjekt kann unter Schaltfläche erstellt werden. | |||
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
|---|---|---|---|
| Name: | sslvpn-S2S-ClientA-Network | Eindeutiger Name | |
| Typ: | Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | Lokales Netzwerk von Standort A, das freigegeben werden soll.
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
| Zone: | Die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
Paketfilterregeln
Eine neue Paketfilterregel kann unter Schaltfläche erstellt werden.
| # | Quelle | Ziel | Dienst | NAT | Logging | Aktion | Aktiv | |||
|
internal-network |
sslvpn-S2S-ClientA-Network |
default-internet |
3/Min |
Accept | Ein | ||||
|
sslvpn-S2S-ClientA-Network |
internal-network |
default-internet |
3/Min |
Accept | Ein |
Konfiguration Szenario S2E
Terracloud UTM Konfiguration anpassen
Netzwerkobjekte und Paketfilterregeln erstellen
Netzwerkobjekte
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Schaltfläche angelegt werden.
Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte
|
|---|---|---|---|
| Name: | sslvpn-S2S-ClientA-Network | Eindeutiger Name | |
| Typ: | Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | Lokales Netzwerk von Standort A, das freigegeben werden soll
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
| Zone: | Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
| Name: | Roadwarrior-Network | Eindeutiger Name | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte 
|
| Adresse: | Lokales Netzwerk von Standort B, das freigegeben werden soll.
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
Paketfilterregeln
Damit die Clients auf das jeweils andere Netz zugreifen können muss dies nun mithilfe von Paketfilterregeln erlaubt werden. Diese können wie folgt aussehen:
| # | Quelle | Ziel | Dienst | NAT | Logging | Aktion | Aktiv | |||
|
Roadwarrior-Network |
sslvpn-S2S-ClientA-Network |
default-internet |
3/Min |
Accept | Ein | ||||
|
sslvpn-S2S-ClientA-Network |
Roadwarrior-Network |
default-internet |
3/Min |
Accept | Ein |
UTM Standort B als Roadwarrior
Installationsassistent
Installationsassistent Roadwarrior
Schritt 1 Schritt 1 | ||||||||||||||||||||
| Im Installationsschritt 1 wird der Verbindungstyp ausgewählt. Es stehen folgende Verbindungen zur Verfügung.
Für die Konfiguration des Roadwarrior Servers wird dieser ausgewählt. |
UTMbenutzer@firewall.name.fqdnVPNSSL-VPN  Einrichtung Schritt 1
| |||||||||||||||||||
Schritt 2Schritt 2 Roadwarrior
| ||||||||||||||||||||
| Soll im Quell- und Zielnetz IPv6 verwendet werden, muss dies hier ermöglicht werden. |  | |||||||||||||||||||
Schritt 3Schritt 3 Roadwarrior
| ||||||||||||||||||||
| ||||||||||||||||||||
Schritt 4Schritt 4 Roadwarrior
| ||||||||||||||||||||
| Im Installationsschritt 4 wird das Transfernetz für den Roadwarrior eingetragen. Das Transfernetz kann frei gewählt werden, darf aber noch nicht anderweitig auf der UTM verwendet werden. |
 | |||||||||||||||||||
Schritt 5Schritt 5 Roadwarrior
| ||||||||||||||||||||
| Die Benutzerauthentisierung wird im letzten Schritt ausgewählt. Danach kann der Einrichtungsassistent abgeschlossen werden.
|
 | |||||||||||||||||||
Regelwerk
Implizite Regeln
Unter Bereich VPN kann das Protokoll, das für die Verbindung genutzt wird, aktiviert werden. Im Beispiel Ein SSL-VPN UDP ➊ Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf allen Schnittstellen frei. Paketfilter-Regeln anstelle von impliziten Regeln können das individuell für einzelne Schnittstellen regeln. |
UTMbenutzer@firewall.name.fqdnFirewall 
|
Netzwerkobjekte
Mit der Einrichtung der Verbindung wurde ein tun-Interface erzeugt. Es erhält automatisch die erste IP-Adresse aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
Die Roadwarrior-Clients erhalten eine IP-Adresse aus diesem Netz und befinden sich in dieser Zone.
Um den Roadwarriorn den Zugriff auf das eigene Netz zu gewähren, muss dafür ein Netzwerkobjekt angelegt werden.
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
|---|---|---|---|
| Name: | SSL-VPN-RW-Network | Eindeutiger Name | |
| Typ: | Passenden Typ wählen | ||
| Adresse: | Die Netzwerk-IP, die in Schritt 4 als Tunnel-Pool angegeben wurde. | ||
| Zone: | Die Zone auf dem Roadwarrior, über die das S2S Server-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
| Beschriftung | Wert | Beschreibung | UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte  Netzwerkobjekt für das Tunnelnetzwerk
|
| Name: | sslvpn-S2S-ClientA-Network | Eindeutiger Name | |
| Typ: | Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch ausgewählt werden. | ||
| Adresse: | Lokales Netzwerk von Standort A, das freigegeben werden soll.
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
| ||
| Zone: | Die Zone auf dem Roadwarrior, über die das S2S Server-Netzwerk angesprochen wird. | ||
| Gruppen: | Optional | ||
Paketfilterregeln
Es wird eine Paketfilterregel benötigt, die den RW-Clients den Zugriff auf das internal-network erlaubt, sowie zwei Weitere, die den Zugriff vom Standort A aus erlauben:
| # | Quelle | Ziel | Dienst | NAT | Logging | Aktion | Aktiv | |||
|
SSL-VPN-RW-Network |
internal-network |
 ms-rdp |
3/Min |
Accept | Ein | ||||
|
internal-network |
sslvpn-S2S-ClientA-Network |
default-internet |
3/Min |
Accept | Ein | ||||
|
sslvpn-S2S-ClientA-Network |
internal-network |
default-internet |
3/Min |
Accept | Ein |