Wechseln zu:Navigation, Suche
Wiki

IPSec - Fritz!Box mit mehreren UTMs

Version vom 28. Februar 2025, 11:43 Uhr von Maltea (Diskussion | Beiträge)
(Unterschied) ← Nächstältere Version | Aktuelle Version (Unterschied) | Nächstjüngere Version → (Unterschied)
Aus Securepoint Wiki




























































































Alternatively, the entry "all/all/all" is also possible. Then the connection setup may take a little longer. }}






























































De.png
En.png
Fr.png









Erstellungen von IPSec-Verbindungen mit einer Fritz!Box bei mehreren Netzen von verschiedenen Securepoint Appliancen

Letzte Anpassung zur Version: 12.7.0

Neu:
  • Aktualisierung zum Redesign des Webinterfaces
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
Aufruf: VPN IPSec  Internet → Freigaben→ Reiter VPN (IPSec)

Folgender Wiki-Artikel beschreibt, wie eine einzelne IPSec-Verbindung einer Securepoint UTM mit einer Fritz!Box erstellt wird.





  • Hinweis
    Dieser Artikel beinhaltet Beschreibungen der Software von Drittanbietern und basiert auf dem Stand zum Zeitpunkt der Erstellung dieser Seite.
    Änderungen an der Benutzeroberfläche durch den Hersteller sind jederzeit möglich und müssen in der Durchführung entsprechend berücksichtigt werden.
    Alle Angaben ohne Gewähr.


    • Voraussetzungen

    • Es wird eine AVM Fritz!Box benötigt
  • Es ist unerheblich, ob zuerst die Securepoint Appliance oder die Fritz!Box konfiguriert wird.
    • Die Gegenstelle, die mit einer Securepoint Appliance ausgerüstet ist, muss über eine statische IP-Adresse verfügen
  • Wenn die Gegenstelle dynamische IP-Adressen verwenden sollte, wählt die Fritz!Box VPN Funktion als Transportmodus den „Aggressive Mode“. notempty
    Der Aggressive Mode wird von den Securepoint Appliances aus Sicherheitsgründen nicht unterstützt
  • Sollte vor der Securepoint Appliance ein Router (z.B: Fritz!Box oder Speedport) stehen, muss dort gewährleistet sein, dass ESP und UDP 500/ 4500 aktiv ist. Siehe Beispiel-Konfiguration mit einer Fritz!Box.


    • Konfiguration der Fritz!Box

    Einspielen einer neuen Firmware Version

    Auf der Homepage des Herstellers kann überprüft werden, ob eine neue Firmware für die Fritz!Box verfügbar ist.

    notempty
    Bei älteren Fritz!Box-Firmware-Versionen werden nicht alle Verschlüsselungs-Algorithmen für IKEv1 unterstützt. Daher wird empfohlen die Firmware stets aktuell zu halten.
    Weitere Informationen dazu sind im Abschnitt Die Konfigurationsdatei anpassen zu finden.


    DynDNS aktivieren

    Um einen DynDNS in der VPN Konfiguration nutzen zu können, muss diese Funktion vorher eingerichtet werden. Dies setzt voraus, dass ein Account bei einem DynDNS Dienst Anbieter vorhanden ist ( Securepoint Dynamic DNS Host verwenden ).

    Aktivierung von DynDNS in der Fritz!Box
    • Im Interface der Fritz!Box Internet ➊ → Freigaben ➋ aufrufen
    • Zum Dialog DynDNS ➌ wechseln
    • Aktivierung der Checkbox  DynDNS benutzen ➍
    • Die Anmeldedaten des verwendeten DynDNS-Anbieters eintragen:
    Beschriftung Wert Beschreibung
    Update-URL https://update.spdyn.de/nic/update?... Die Update-URL des DynDNS-Anbieters
    Domainname d-vpn.spdns.de Der Domainname für die Fritz!Box beim DynDNS-Anbieter
    Benutzername d-vpn.spdns.org Der Benutzername des Accounts
    Bei spDyn mit Reselleraccount ebenfalls der Hostname
    Kennwort **** Das Passwort des Accounts
    Bei spDyn mit Reselleraccount der Token
    • Mit der Schaltfläche Übernehmen werden getätigte Änderungen abgespeichert.

    Internes Netzwerk ändern

    notempty
    Die folgenden Änderungen müssen durchgeführt werden, wenn das Programm "Fritz!Fernzugang einrichten" verwendet wird. Siehe dazu den folgenden Abschnitt VPN Konfiguration erstellen.


    Die Securepoint Appliances und die Fritz!Box dürfen intern nicht das gleiche IP-Netzwerk verwenden. Per Default ist dies bei denen 192.168.178.0/24.
    Hinweise zur Änderung / Konfiguration der IP-Adrresse der UTM finden sich im Wiki-Artikel zu den Netzwerkschnittstellen der UTM.
    Das werkseingestellte interne Netz 192.168.178.0/24 der Fritz!Box darf nach Vorgabe des Fritz!Box VPN Assistenten nicht für VPN genutzt werden.
    Daher muss das interne Netz gewechselt werden.

    Konfiguration des internen Netzwerks der Fritz!Box
    • Im Interface der Fritz!Box Heimnetz → Netzwerk→ Reiter Netzwerkeinstellungen aufrufen
    • Im Abschnitt IP-Adressen auf die Schaltfläche IPv4-Einstellungen klicken
    • Unter Heimnetz lässt sich folgendes finden:
    Beschriftung Wert Beschreibung
    IPv4-Adresse 192.168.100.1 Die neue IPv4-Adresse für die Fritz!Box
    Subnetzmaske 255.255.255.0 Die Subnetzmaske für die neue IPv4-Adresse der Fritz!Box
     DHCP-Server aktivieren wählen und Folgendes eintragen:
    von 192.168.100.20 Den Beginn der Spanne der DHCP-IPv4-Adressen
    bis 192.168.100.200 Das Ende der Spanne der DHCP-IPv4-Adressen
    Gültigkeit 10Tage Die Gültigkeit der DHCP-IPv4-Adressen
    • Mit der Schaltfläche Übernehmen werden getätigte Änderungen abgespeichert. Eine neue Anmeldung auf die neue IP-Adresse der Fritz!Box ist dann nötig


    VPN Konfiguration erstellen

    Startbildschirm der Software Fritz!Fernzugang einrichten

    Die Konfiguration der VPN Verbindung wird nicht über die Konfigurationsoberfläche im Browser vorgenommen, sondern wird als Datei auf die Fritz!Box eingespielt. Die Konfigurationsdatei wird mit einer Anwendungssoftware erstellt, welche über die Internetseite des Herstellers AVM heruntergeladen wird. Die Anwendungssoftware trägt den Namen Fritz!Fernzugang einrichten.

    Es werden vom Assistenten zwei Dateien erstellt, lediglich eine wird in die Fritz!Box importiert. In diesem Beispiel ist dies die Datei: fritzbox_fritz_lokal.spdyn.de.cfg.

    notempty
    Diese Konfigurationsdatei muss noch angepasst werden, damit eine Verbindung zur Securepoint Appliance aufgebaut werden kann.
    • Diese Datei in einem beliebigem Editor öffnen

    Die Konfigurationsdatei anpassen

    Die oben erstellte Konfigurationsdatei wird angepasst, damit die VPN-Verbindung eingerichtet werden kann.
    Falls eine VPN-Verbindung einer Securepoint Appliance mit einer Fritz!Box schon vorliegt und weitere Netze mit der Fritz!Box per VPN verbunden werden sollen, dann kann die vorhandene Konfigurationsdatei als Grundlage verwendet werden.
    Für jedes weitere Netz muss diesen Verbindung in die Konfigurationsdatei eingetragen werden.

    Sollen beispielsweise eine UTM mit dem Netz 192.168.10.0/24 und eine zweite UTM mit dem Netz 192.168.20.0/24 mit einem Fritz!Box-Netz 192.168.100.0/24 per VPN verbunden werden, so wird in der Konfigurationsdatei innerhalb des connections-Abschnittes je Netz ein Eintrag gemacht. Im folgendem Beispiel anhand der oben erstellten Datei fritzbox_fritz_lokal.spdyn.de.cfg.
    Grün markierte Einträge sind individuelle Konfigurationen.
    Notwendige manuelle Änderungen sind zusätzlich mit gekennzeichnet.     

    vpncfg {
    connections { // Beginn Netz der 1. Appliance
        enabled = yes;
        conn_type = conntype_lan;
        name = "Securepoint 1. Verbindung"; //  Name der Verbindung in der Konfigurationsoberfläche
        always_renew = yes; // auf "no" setzen, wenn die Verbindung nur bei Bedarf aufgebaut und bei Inaktivität abgebaut werden soll
        reject_not_encrypted = no;
        dont_filter_netbios = yes;
        localip = 0.0.0.0;
        local_virtualip = 0.0.0.0;
        remoteip = 192.0.2.10; //  statische IP-Adresse der 1. Appliance
        remote_virtualip = 0.0.0.0;
        localid {
            fqdn = "fritz_lokal.spdyn.de"; //  spdyn-DNS-Name der Fritz!Box
            //ipaddr = xxx.xxx.xxx.xxx;       // statische IP-Adresse der Fritz!Box, wenn vorhanden
        }
        remoteid {
            ipaddr = 192.0.2.10; //  statische IP-Adresse der 1. Appliance
        }
        mode = phase1_mode_idp;               //  Main-Mode
        phase1ss = "dh15/aes/sha";            //  Proposals für Phase 1 (DH15, AES, SHA)
        keytype = connkeytype_pre_shared;
        key = "<gemeinsame Passphrase>"; //  VPN Kennwort (Preshared Key)
        cert_do_server_auth = no;
        use_nat_t = no; / yes;                //  Befindet sich eine Seite hinter einem NAT Router ja = yes; nein = no; 
        use_xauth = no;
        use_cfgmode = no;
        phase2localid {
            ipnet {
                ipaddr = 192.168.100.0; //  internes Netz der Fritz!Box
                mask = 255.255.255.0; //  dazugehörige Netzmaske
            }
        }
        phase2remoteid {
            ipnet {
                ipaddr = 192.168.10.0; //  internes Netz der 1. Appliance
                mask = 255.255.255.0; //  dazugehörige Netzmaske
            }
        }
        phase2ss = "esp-all-all/ah-none/comp-all/pfs";              //  mit Kompression
        accesslist = "permit ip 192.168.100.0 255.255.255.0 192.168.10.0 255.255.255.0";    //  internes Netzwerk der Fritz!Box und der ersten Securepoint Appliance mit jeweiligen Netzwerkmasken
    }  // Ende Netz der 1. Appliance 
    {  // Beginn Netz der 2. Appliance 
        enabled = yes;
        conn_type = conntype_lan;
        name = "Securepoint 2. Verbindung"; //  Name der Verbindung in der Konfigurationsoberfläche
        always_renew = yes; // auf "no" setzen, wenn die Verbindung nur bei Bedarf aufgebaut und bei Inaktivität abgebaut werden soll
        reject_not_encrypted = no;
        dont_filter_netbios = yes;
        localip = 0.0.0.0;
        local_virtualip = 0.0.0.0;
        remoteip = 192.0.2.20; //  statische IP-Adresse der 2. Appliance
        remote_virtualip = 0.0.0.0;
        localid {
            fqdn = "fritz_lokal.spdyn.de"; //  spdyn-DNS-Name der Fritz!Box
            //ipaddr = xxx.xxx.xxx.xxx;       // statische IP-Adresse der Fritz!Box, wenn vorhanden
        }
        remoteid {
            ipaddr = 192.0.2.20; //  statische IP-Adresse der 2. Appliance
        }
        mode = phase1_mode_idp;               //  Main-Mode
        phase1ss = "dh15/aes/sha";            //  Proposals für Phase 1 (DH15, AES, SHA)
        keytype = connkeytype_pre_shared;
        key = "<gemeinsame Passphrase>; //  VPN Kennwort (Preshared Key)
        cert_do_server_auth = no;
        use_nat_t = no;
        use_xauth = no;
        use_cfgmode = no;
        phase2localid {
            ipnet {
                ipaddr = 192.168.100.0; //  internes Netz der Fritz!Box
                mask = 255.255.255.0; //  dazugehörige Netzmaske
            }
        }
        phase2remoteid {
            ipnet {
                ipaddr = 192.168.20.0; // 
                mask = 255.255.255.0; // 
            }
        }
        phase2ss = "esp-all-all/ah-none/comp-all/pfs";              //  mit Kompression
        accesslist = "permit ip 192.168.100.0 255.255.255.0 192.168.20.0 255.255.255.0";    //  internes Netzwerk der Fritz!Box und der zweiten Securepoint Appliance mit jeweiligen Netzwerkmasken
    } // Ende Netz der 2. Appliance 
    ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                        "udp 0.0.0.0:4500 0.0.0.0:4500";
} //  
// EOF


    Die so modifizierte Konfigurationsdatei wird wieder als fritzbox_fritz_lokal.spdyn.de.cfg abgespeichert.


    Weitere Netze hinzufügen

    Sollen noch weitere Netzwerke der Securepoint Appliance hinzugefügt werden, so wird in der Konfigurationsdatei der Parameter accesslist entsprechend angepasst.

    Beispiel 1
    Beispiel 1

    Die Netze 192.168.82.0/24 bis 192.168.92.0/24 sollen über VPN erreichbar sein.
    So wird im Parameter accesslist lediglich die angegebene Netzwerkmaske angepasst:

    accesslist = "permit ip any 192.168.82.0 255.255.240.0";
    Beispiel 2
    Beispiel 2

    Neben dem Netz 192.168.175.0/24 soll auch das Netz 192.168.82.0/24 über VPN erreichbar sein.
    So wird im Parameter accesslist dieses weitere Netz hinzugefügt:


    accesslist = "permit ip any 192.168.175.0 255.255.255.0", "permit ip any 192.168.82.0 255.255.255.0";


    Konfigurationsdatei hochladen

    Hinzufügen einer VPN-Verbindung in der Fritz!Box

    Im eingeloggten Fritz!Box-Interface wird über Internet ➊ → Freigaben ➋ → VPN (IPSec) ➌ auf die Schaltfläche VPN-Verbindung hinzufügen ➍ geklickt.

    Auswahl der Art der VPN-Konfiguration in der Fritz!Box

    In dem Fenster VPN-Verbindung wird von den vier Einrichtungsmöglichkeiten  Eine VPN-Konfiguration aus einer VPN-Einstellungsdatei importieren ➎ ausgewählt.
    Weiter mit Weiter ➏.

    Upload der Konfigurationsdatei in der Fritz!Box

    Über die Schaltfläche Durchsuchen... ➐ wird die erstellte Konfigurationsdatei ausgewählt.
    Falls die Datei verschlüsselt ist, wird diese Einstellung aktiviert. Unter Kennwort wird dann das Kennwort eingetragen.
    Abschließend wird auf Übernehmen ➑ geklickt.
    Unter System → Ergebnisse wird der Verbindungsaufbau protokolliert.


    Securepoint Appliance einrichten

    Anschließend müssen die Einstellungen an der Securepoint Appliance vorgenommen werden:

  • Die UTM muss über eine statische öffentliche IP-Adresse verfügen
    • Eine Site-to-Site IPSec-Verbindung wird eingerichtet. notempty
      IKE-Version 1 und den gleichen Preshared Key wie in der Konfigurationsdatei der Fritz!Box verwenden
    • Falls notwendig ein Netzwerkobjekt für das IPSec-VPN Netzwerk der Gegenstelle anlegen und entsprechende Firewall Regeln, wenn diese nicht vom Assistenten automatisch anlegen lassen
    • Die Einstellungen der Phasen der IPSec-Verbindung anpassen. notempty
      Phase 2 PFS verwenden
    Leider gibt es unterschiedliche Erfahrungen, welche Seite die Verbindung initiieren sollte. Daher können wir dazu keine Empfehlung geben.
    Nähere Informationen zur Einrichtung der Securepoint Appliance sind im Wiki-Artikel IPSec Site-to-Site zu finden.

    IPSec S2S-Verbindung herstellen

    Schritt 1 - Verbindungstyp
    Schritt 1 - Verbindungstyp
    In Schritt 1 wird der Site to Site - Verbindungstyp ausgewählt. IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.7.0 IPSec-Fritzbox Multi S2S Verbindung Schritt 1.pngEinrichtungsschritt 1
    Schritt 2 - Allgemein
    Schritt 2 - Allgemein
    Beschriftung Wert Beschreibung UTM v12.7.0 IPSec-Fritzbox Multi S2S Verbindung Schritt 2.png
    Einrichtungsschritt 2
    Name: IPSec Fritz!Box S2S Ein passender Name für diese Verbindung
    IKE Version: IKE v1IKE v2 Bei der IKE Version IKE Version 1 auswählen
  • Zum Zeitpunkt dieser Dokumentation unterstützt AVM lediglich IKEv1
    • Schritt 3 - Lokal
    Schritt 3 - Lokal
    Local Gateway ID: LAN1 Die IP-Adresse oder die Schnittstelle der Securepoint Appliance, welche die VPN-Verbindung zur Fritz!Box aufbauen soll. UTM v12.7.0 IPSec-Fritzbox Multi S2S Verbindung Schritt 3.png
    Einrichtungsschritt 3
    Authentifizierungsmethode Pre-Shared Key Pre-Shared Key auswählen
    Pre-Shared Key: ********** Den Pre-Shared Key aus der Konfigurationsdatei der Fritz!Box eintragen.
    Netzwerke freigeben: »192.168.175.0/24 Das intern erreichbare Netzwerk der Securepoint Appliance, wie in der Konfigurationsdatei angegeben.
    Schritt 4 - Gegenstelle
    Schritt 4 - Gegenstelle
    Remote Gateway: fritz_lokal.spdyn.de Öffentliche IP-Adresse (oder Hostname, der per DNS aufgelöst werden kann) der Fritz!Box UTM v12.7.0 IPSec-Fritzbox Multi S2S Verbindung Schritt 4.png
    Einrichtungsschritt 4
    Remote Gateway ID: fritz_lokal.spdyn.de ID, die auf der Fritz!Box als lokale ID konfiguriert wurde (frei wählbare Zeichenfolge).
    Netzwerke freigeben: »192.168.100.0/24 Das lokale Netzwerk der Fritz!Box auf das über das VPN zugegriffen werden soll, wie in der Konfigurationsdatei angegeben.

    IKEv1 Phasen konfigurieren

    Die Phase 1 und Phase 2 von IKEv1 sollten überprüft und gegebenenfalls angepasst werden.
    notempty
    Die Einstellungen müssen mit denen aus der oben erstellten Konfigurationsdatei identisch sein.

    notempty
    Wurde in der Konfigurationsdatei phase1ss = "all/all/all"; bzw. phase2ss = "esp-all-all/[...]"; eingetragen, so werden in der Securepoint Appliance bei IKEv1 Phase 1 bzw. bei Phase 2 die Default-Werte eingestellt.


    Diese Default-Werte werden von der Fritz!Box nicht unterstützt.


    Der Hersteller AVM informiert welche Verschlüsselungsverfahren und Algorithmen von der Fritz!Box unterstützt werden.
     notempty
    Dieser Vorgang muss für jede Securepoint Appliance durchgegangen werden.
    IKEv1 Phase 1 konfigurieren
    Unter VPN IPSec  Bereich Verbindungen wird bei der erstellten IPSec S2S-Verbindung auf Phase 1 geklickt und im Dialog Phase 1 bearbeiten auf den Reiter IKE gewechselt.
    Beschriftung Wert Beschreibung Phase 1 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.7.0 IPSec-Fritzbox Multi IPSec Phase 1 IKE.pngKonfiguration von Phase 1 bei IKEv1
    Verschlüsselung: aes256 Als Verschlüsselung aes256 einstellen. Es kann auch eine andere gewählt werden.notempty
    Sollte die Fritz!Box die eingestellten Verschlüsselungen nicht unterstützen, aes128 auswählen.
    Authentifizierung: sha2_512 Als Authentifizierung sha2_512 einstellen. Es kann auch eine andere gewählt werden. notempty
    Sollte die Fritz!Box die eingestellten Authentifizierung nicht unterstützen, sha1 auswählen.
    Diffie-Hellman Group: modp3072 Als Diffie-Hellman Group modp3072 (DH15) einstellen. notempty
    Sollte die Fritz!Box die eingestellten Diffie-Hellman Group nicht unterstützen, modp1024 (DH2) auswählen.
    Schwache Algorithmen anzeigen: Aus Wird aktiviert Ein, wenn schwächere Algorithmen benötigt werden, wie für Authentifizierung: sha1 und Diffie-Hellman Group: modp1024.
    Strict: Aus Bei Aktivierung werden ausschließlich die konfigurierten Parameter und keine weiteren Proposals verwendet.
    IKE Lifetime: 1 Stunde
    Default    		 Die IKE Lifetime kann angepasst werden.
    Rekeying: unbegrenzt (empfohlen)
    Default    		 Die Anzahl des Rekeying kann angepasst werden.
    Mit der Schaltfläche Speichern werden die getätigten Änderungen übernommen.
    IKEv1 Phase 2 konfigurieren
    Unter VPN IPSec  Bereich Verbindungen wird bei der erstellten IPSec S2S-Verbindung auf Phase 2 geklickt.
    notempty
    Die eingestellten Parameter müssen identisch mit der von Phase 1 sein.
    Beschriftung Wert Beschreibung Phase 2 bearbeiten UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.7.0 IPSec-Fritzbox Multi IPSec Phase 2 Allgemein.pngKonfiguration von Phase 2 bei IKEv1
    Verschlüsselung: aes256 Als Verschlüsselung aes256 einstellen. Es kann auch eine andere gewählt werden.notempty
    Sollte die Fritz!Box die eingestellten Verschlüsselungen nicht unterstützen, aes128 auswählen.
    Authentifizierung: sha2_512 Als Authentifizierung sha2_512 einstellen. Es kann auch eine andere gewählt werden. notempty
    Sollte die Fritz!Box die eingestellten Authentifizierung nicht unterstützen, sha1 auswählen.
    Diffie-Hellman Group: modp3072 Als Diffie-Hellman Group modp3072 (DH15) einstellen. notempty
    Sollte die Fritz!Box die eingestellten Diffie-Hellman Group nicht unterstützen, modp1024 (DH2) auswählen.
    Schwache Algorithmen anzeigen: Aus Wird aktiviert Ein, wenn schwächere Algorithmen benötigt werden, wie für Authentifizierung: sha1 und Diffie-Hellman Group: modp1024.
    Schlüssel-Lebensdauer: 8 Stunden
    Default    		 Die Schlüssel-Lebensdauer kann angepasst werden.
    Neustart nach Abbruch: Aus Bei Aktivierung wird die Verbindung wiederhergestellt bei einem unerwartetem Abbruch.
    DHCP: Aus Bei Aktivierung erhalten die Clients IP-Adressen aus einem lokalen Netz.
    Dazu sind weitere Konfigurationen erforderlich, siehe Wiki Artikel zu DHCP für IPSec.
    Mit der Schaltfläche Speichern werden die getätigten Änderungen übernommen.


    Firewall-Regel

    Die Paketfilterregeln der Firewall müssen noch angepasst werden, falls diese nicht durch den Assistenten automatisch erzeugt werden.
    Implizite Regeln
    Über Firewall Implizite Regeln  Bereich Regeln müssen folgende Regeln aktiv sein
    Aktiv Regel Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall UTM v12.7.0 IPSec-Fritzbox Multi Implizite Regeln.pngAktivierung der benötigten VPN-Regeln
    Ein IPSec IKE
    Ein IPSec ESP
    Ein IPSec NAT Traversal
    Bei Aktivierung der Impliziten Regel-Gruppe VPN werden alle dazugehörigen Regeln aktiviert.
    notempty
    Grundsätzlich gilt: Ausschließlich das freigeben, was benötigt wird für denjenigen, der dies braucht.
    Paketfilter-Regel
    Bevor eine entsprechende Paketfilter-Regel erstellt werden kann, muss ein Netzwerkobjekt für das Fritz!Box-Netzwerk erstellt werden.
    Unter Firewall Netzwerkobjekte  Schaltfläche Objekt hinzufügen wird dieses Netzwerkobjekt erstellt
    Beschriftung Wert Beschreibung Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewall UTM v12.7.0 IPSec-Fritzbox Multi Netzwerkobjekt IPSec-Fritz!Box.pngErstellung des Fritz!Box-Netzwerkobjekts
    Name: IPSec-Fritz!Box Frei wählbarer Name für dieses Netzwerkobjekt
    Typ: VPN-Netzwerk VPN-Netzwerk auswählen
    Adresse: 192.168.100.0/24 Das interne Netzwerk der Fritz!Box
    Zone: vpn-ipsec vpn-ipsec auswählen
    Gruppen:     Das Netzwerkobjekt kann einer oder mehreren Gruppen zugewiesen werden
    Unter Firewall Paketfilter  Schaltfläche Regel hinzufügen werden zwei Paketfilter-Regeln erstellt.
    • Eine Regel von der Securepoint Appliance Network.svg internal-network zum internen Netz der Fritz!Box Vpn-network.svg IPSec-Fritz!Box mit dem Dienst Tcp.svg ms-rdp
      • Dabei wird der NAT-Typ Hidenat-Exclude mit dem Netzwerkobjekt Interface.svg external-interface ausgewählt
    • Eine zweite Regel vom internen Netz der Fritz!Box Vpn-network.svg IPSec-Fritz!Box zur Securepoint Appliance Network.svg internal-network mit dem Dienst Tcp.svg ms-rdp
    # NAT Aktiv
    Dragndrop.png Network.svg internal-network Vpn-network.svg IPSec-Fritz!Box Tcp.svg ms-rdp HNE ACCEPT Ein
    Dragndrop.png Vpn-network.svg IPSec-Fritz!Box Network.svg internal-network Tcp.svg ms-rdp ACCEPT Ein


    IPSec-Verbindung initiieren

    IPSec UTMbenutzer@firewall.name.fqdnVPN IPSec Log Speichern und neustarten Nur für interne PrüfzweckeUTM v12.7.0 IPSec-Fritzbox Multi IPSec initiieren.png
    Abb.1
    Nachdem die Securepoint Appliances und die Fritz!Box konfiguriert worden sind, wird die IPSec-Verbindung aufgebaut.
    Die Verbindung von der Securepoint Appliance aus herstellen:
    • Auf VPN IPSec  Bereich Verbindungen wechseln
    • Bei der eben erstellten Verbindung auf die Schaltfläche Laden ➊ klicken, um die Verbindungsdaten zu laden
    • Zum Starten der Verbindung auf die Schaltfläche Initiieren ➋ klicken
    Die Verbindung zur Fritz!Box wird aufgebaut.
    Fritz Internet Freigaben VPN(IPSec).png
    Abb.2
    • Um den Status der Verbindung auf der Fritz!Box einzusehen, im Interface der Fritz!Box auf Internet ➌ → Freigaben ➍ gehen
    • Auf den Dialog VPN (IPSec) ➎ wechseln
    • Im unteren Bereich VPN-Verbindungen ist die erstellte Verbindung zu sehen
    • In der Spalte Status wird bei einer aufgebauten Verbindung ein grüner Kreis ➏ angezeigt













    notempty
    Es kann dennoch vorkommen, dass keine IPSec-Verbindung aufgebaut wird, weder von Seiten der Securepoint Appliance noch von der Fritz!Box, trotz richtiger Konfiguration der Securepoint Appliance, der Fritz!Box und der Konfigurationsdatei.
    Dann kann unter Umständen ein Downgrade der Fritz!Box-Firmware-Version, Konfiguration der Fritz!Box ohne 2-Faktor-Authentifizierung und erneutes Update der Fritz!Box-Firmware helfen.
    Dennoch sollte zuerst die getätigten Einstellungen, speziell bei IKEv1, überprüft werden.
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-Fritzbox-Multi&oldid=94888“