Skocz do:nawigacja, szukaj
Wiki

Połączenie SSL-VPN Roadwarrior

Z Securepoint Wiki





























In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden
















































































































































































Konfiguracja połączeń SSL-VPN Roadwarrior

Ostatnia zmiana dla wersji: 14.1.5 (05.2026)

Nowość:
Ostatnia aktualizacja: 
    10.2026
    • Dodano opis ogólnych i rozszerzonych ustawień konfiguracyjnych: Wiki
    • Od wersji 3 klienta Windows format LZO nie jest już wspierany.
notempty
Ten artykuł odnosi się do wersji beta
Dostęp: UTM-IP:Port lub UTM-URL:Port
Port skonfigurowany zgodnie z ustawieniami w Sieć / Ustawienia urządzenia / Webserver
Default-Port: 11115
np.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 VPN SSL-VPN


Wstęp

Połączenie Roadwarrior łączy pojedyncze hosty z siecią lokalną. Dzięki temu, na przykład, terenowy przedstawiciel handlowy może połączyć się z siecią centrali.
SSL-VPN używa standard TLS/SSL do szyfrowania połączeń.

notempty
Przez użycie połączenia SSL-VPN Roadwarrior można podłączyć wielu klientów do UTM.

Istnieje osobny artykuł dotyczący tworzenia certyfikatów w UTM: Certyfikaty


Przygotowania

  • Do skonfigurowania Roadwarrior potrzebne są: urząd certyfikacji (CA), certyfikat serwera i certyfikat użytkownika.
    Te certyfikaty można także utworzyć również podczas konfiguracji.

    • In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA


    • Rozwiązywanie wewnętrznych nazw hostów w SSL-VPN

    Jeśli serwery w SSL-VPN mają być dostępne dla Roadwarrior pod swoją nazwą hosta, wymagane są następujące ustawienia:


    Przekazywanie DNS/WINS

    Żeby móc przesłać DNS/WINS, musi zostać skonfigurowane połączenie VPN i musi być one uruchomionye w zakładce Zaawansowane.

    Rys.
    ukryj
    Klicken für dauerhafte Anzeige













    Globalne ustawienia VPN UTMuser@firewall.name.fqdnVPN
    Wprowadź adres IP serwera DNS w sieci UTM jako główny serwer DNS/WINS.
    Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdnVPNSSL-VPN
    Żeby móc przesłać DNS/WINS, musi zostać skonfigurowane połączenie VPN i musi być one uruchomionye w zakładce Zaawansowane.



    Search Domain

    Uzupełnia wewnętrzne nazwy o domenę wyszukiwania: tk-Server1 → tk-Server1.intern.ttt-point.de
    To ustawienie można skonfigurować w ustawieniach połączenia VPN w zakładce Ogólne.

    Fig.
    ukryj
    Klicken für dauerhafte Anzeige













    Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdnVPNSSL-VPN
    Określ domenę wyszukiwania



    Konfiguracja Roadwarrior

    Kreator instalacji

    Po zalogowaniu się do interfejsu administracyjnego zapory (standard: https://192.168.175.1:11115) kreatora instalacji można uruchomić za pomocą VPN SSL-VPN przycisk Dodaj połączenie SSL-VPN.

    Krok 1
    		 Dodaj połączenie SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Krok konfiguracji 1
    W pierwszym kroku instalacji wybiera się typ połączenia.
    Dostępne są następujące połączenia:
    • Serwer Roadwarrior
    • Site to Site Server
    • Site to Site Client

    Do konfiguracji serwera Roadwarrior wybierany jest ten typ połączenia.

    Krok 2
    Krok konfiguracji 2
    Jeśli w sieci źródłowej i docelowej ma być używany IPv6, należy go tutaj włączyć.
    Krok 3

    Lokalne ustawienia dla serwera Roadwarrior można skonfigurować w kroku 3.

    Opis Wartość Opis
    Name: RW-Securepoint Unikalna nazwa, zawierająca dowolny tekst
    Protokół: UDP Pożądany protokół
    Port: 1194 Standardowy port dla pierwszego połączenia SSL-VPN. Nie wolno go wykorzystywać do innych celów. W przypadku dodatkowych połączeń wybierany jest następny wolny port.
    Certyfikat serwera:
    Można wybrać tylko certyfikaty z częścią prywatnego klucza
    		CS-RW-Securepoint-Server Wybór certyfikatu, za pomocą którego serwer się uwierzytelnia.
    Jeśli nie masz jeszcze certyfikatu serwera, można go utworzyć (oraz urząd certyfikacji) w zarządzaniu certyfikatami. Wybór za pomocą
    • Utworzenie urzędu certyfikacji w zakładce CA przyciskiem Dodaj CA
    • Utworzenie certyfikatu serwera w zakładce Certyfikaty przyciskiem Dodaj certyfikat.
      Należy pamiętać, aby włączyć Certyfikat serwera: Włącz
    • Utworzenie certyfikatu klienta przyciskiem Dodaj certyfikat
  • Dla każdego użytkownika należy utworzyć osobny certyfikat klienta.
  • Oba certyfikaty (serwer CS i klient CC) muszą być utworzone za pomocą tego samego urzędu certyfikacji!
  • Certyfikat klienta i powiązany urząd certyfikacji (CA) są również potrzebne do skonfigurowania strony przeciwnej (strona klienta). Muszą zostać wyeksportowane za pomocą przycisku .
  • Dodatkowe informacje na temat używania Certyfikatów.

    • In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA
    • Udostępnianie sieci serwera »192.168.175.0/24 Sieć zlokalizowana na tym urządzeniu (serwer Roadwarrior), która ma być dostępna przez ten VPN.
    Krok konfiguracji 3
    Krok 4
    Krok konfiguracji 4
    W kroku instalacji 4 wprowadzana jest sieć transferowa dla Roadwarrior.
    Sieć transferowa może być dowolnie wybrana, ale nie może być już zajęta w tym UTM.
  • Adresy IP są przydzielane klientom w kolejności rosnącej (zaczynając od .2)
    poprawiono błąd w opisie kolejności
  • Jeśli klientom mają być przydzielane stałe adresy IP, w przykładzie z siecią /24 powinny one zaczynać się od .253
    poprawiono błąd, .254 jest zajęte przez wirtualny serwer DHCP
    w kolejności malejącej.
    • Sieć dla puli adresów IP musi być wystarczająco duża, aby przydzielić wszystkim klientom adres IP tunelu oraz wykluczyć nakładanie się adresów (stałe adresy IP są przydzielane malejąco od góry a dynamiczne przydzielanie są rosnąco od dołu)
    Krok 5
    Krok konfiguracji 5
    Weryfikacja użytkownika jest wybierana w ostatnim kroku.
    Następnie kreator instalacji może zostać zakończony.
    • Brak = Weryfikacja tylko za pomocą certyfikatów
    • Lokalne = Lokalni użytkownicy i grupy AD
    • Radius = Serwer Radius
    • Lokalne OTP = Lokalni użytkownicy i grupy AD z obowiązkowym OTP dla tego tunelu
    • Entra ID (OpenID Connect) = Weryfikacja za pomocą Entra ID przez OpenID Connect (z i bez 2FA/OTP)
      notempty
      Wymaga klienta Windows VPN 3.5.0 lub nowszego
      notempty
      Nowość od v14.1.2















    Zakończenie
    		 SSL-VPN UTMuser@firewall.name.fqdn VPN
    Zakończenie instalacji
    W przeglądzie SSL-VPN wyświetlane są wszystkie skonfigurowane połączenia.
    Aby połączenie stało się aktywne, usługa SSL-VPN musi zostać uruchomiona ponownie: Uruchom ponownie
  • Wszystkie tunele SSL-VPN zostaną przerwane!
  • Potrzebny jest tylko jeden serwer Roadwarrior, aby podłączyć wielu użytkowników VPN!
  • Żeby móc przesłać DNS/WINS, musi zostać skonfigurowane połączenie VPN i musi być one uruchomionye w zakładce Zaawansowane.
    • Status Hover text Opis
    Connected Tunel jest włączony
    Offline Tunel jest wyłączony
    		To połączenie… Wyświetla informację po najechaniu kursorem, jeśli połączenie jest nieaktywne z powodu przestarzałych algorytmów szyfrowania lub wartości hash.
    np.:
    To połączenie wykorzystuje nieobsługiwane ustawienia: CAST5-CB
    notempty
    Nowość od v14.1.5

    notempty
    Z połączenia będzie można ponownie korzystać dopiero po zaktualizowaniu szyfru lub hash dla połączenia danych!

    Konfiguracja połączenia

    Ogólne
    Ogólne
    Opis Wartość Opis Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Name: RW Securepoint Nazwa połączenia SSL
    Interfejs: tun1 Używany interfejs
    Modus: Server W zależności od typu połączenia (wybranego w pierwszym kroku kreatora).
    Protokół: UDP (Default)
    TCP    		 Wybierz preferowany protokół (UDP i TCP mogą być ograniczone odpowiednio do IPv4 lub IPv6.).
    Port: 1194 Standardowy port dla pierwszego połączenia SSL-VPN. Nie wolno go wykorzystywać do innych celów. W przypadku dodatkowych połączeń wybierany jest następny wolny port.
    Weryfikacja: Entra ID (OpenID Connect) Wybierz odpowiednią metodę weryfikacji.
    Certyfikat: CS-RW-Securepoint-Server Używany certyfikat może zostać tutaj zmieniony.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

    • Typ statycznego klucza SSL-VPN: Wyłącz tls-authtls-crypt
    • Aktywacja tls-auth powoduje dodatkowe uwierzytelnienie kanału kontrolnego
    • tls-crypt powoduje dodatkowe uwierzytelnienie i szyfrowanie kanału kontrolnego
    Statyczny klucz SSL-VPN: SSL-VPN RW-Securepoint Zabezpieczenie połączenia za pomocą tls-auth.
  • Klucz musi mieć typ OVPN_STATIC_KEY.
    • Szyfr dla połączenia danych:
    		AES-256-GCM Standardowo używany jest AES-256-GCM.
    Wszystkie strony przeciwne muszą używać tego samego rodzaju zaszyfrowania!
    Default Opcja Default odpowiada standardowym ustawieniom OpenSSL
    Obecnie identyczny ze standardową wartością UTM: AES-256-GCM
    AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    od v14.1.5: Należy wybrać szyfr oparty na algorytmie AES
    Od wersji 14.1.3 następujące algorytmy szyfrowania nie będą już obsługiwane:
    • BF-CBC
    • DES-EDE-CBC
    • DES-EDE3-CBC
    • CAST5-CBC
    Wartość hash połączenia danych:
    		SHA256 Standardowo używany jest SHA256.
    Wszystkie strony przeciwne muszą używać tej samej procedury hash!
    Default Opcja Default odpowiada standardowym ustawieniom OpenSSL
    Obecnie identyczny ze standardową wartością UTM: SHA256
    SHA1 SHA224 SHA384 SHA512
    od v14.1.3
    : Whirpool nie będzie już wspierany
    Dozwolone szyfry dla automatycznej negocjacji (NCP):
    		AES-256-CBC Można wybrać dodatkowe szyfry spośród dostępnych (patrz wyżej)
    IPv4 Pool: 192.168.192.0/24 Wprowadź pulę adresów
    IPv6 Pool:    /64 Wprowadź pulę adresów
    Udostępnianie sieci serwera:     Można edytować adresy IP sieci znajdujących się za urządzeniem UTM, które powinny być dostępne za pośrednictwem połączenia SSL-VPN (zgodnie z ustawieniami określonymi w kreatorze w kroku 3).
    Search Domain:     Jeśli dostępna, wprowadź domenę.
    Renegotiation: nigdy
    1 Godzina (Default)
    2 Godziny
    4 Godziny
    8 Godziny
    12 Godziny    		 Okres, po którym nastąpi renegocjacja połączenia.
    Ustawienia można zapisać za pomocą .
    Zaawansowane
    Zaawansowane
    MTU: 1500 Maksymalny rozmiar przesyłanego pakietu (bajt) Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Maksymalna liczba klientów: 1024 Maksymalna liczba klientów
    Jeśli nie zostanie określona żadna wartość, zostanie użyta wartość domyślna 1024
    Zezwalaj na podwójne klienty: Nie Po aktywacji podwójnych klientów można jednocześnie połączyć się przy użyciu tych samych danych uwierzytelniających.
  • Nie powinno być aktywowane, jeśli użytkownikowi przypisany został stały adres IP
    Konfiguracja w Uwierzytelnianie Użytkownik Obszar Użytkownik przycisk zakładka VPN sekcja
    SSL-VPN
    • Przekazywanie DNS: Nie Umożliwia przekazywanie DNS
    Przekazywanie DNS WINS: Nie Umożliwia przekazywanie WINS
    Multihome: Włączone Zezwala na używanie wielu domyślnych tras
    LZO: Wyłącz Kompresja LZO
    Po zmianie tej opcji należy dostosować konfigurację klientów VPN!
    notempty
    LZO nie jest już wspierane od wersji 3 klienta Windows
    Można nawiązać połączenie tunelowe, ale nie można przesyłać danych
    Wyłącz: Nie
    Pass TOS: Wyłącz Przekazuje oryginalny nagłówek Type of Service do pakietu tunelowemgo
    Użyj Auth-Token do renegocjacji: Tylko dla uwierzytelniania: LOKALNE OTP Wyłącz Podczas nawiązywania połączenia po przerwaniu (np. zmiana sieci) token uwierzytelniający z pierwotnego nawiązywania połączenia jest ponownie używany. Nie jest wymagane ponowne uwierzytelnianie.
    Interwał ping: 10 Sekundy Interwał żądań ping
    Czas oczekiwania na ping: 120 Sekundy
    Rozmiar bufora wysyłania: 65536 Bytes Kontroluje rozmiar bufora dla gniazda
  • Im większy, tym więcej można przechować. Może to jednak zwiększyć opóźnienie.
    • Rozmiar bufora odbioru: 65536 Bytes patrz wyżej
    Bez opóźnień

    Tylko w przypadku protokołu TCP    		 Wyłącz Dezaktywuje algorytm Nagle'a (TCP_NODELAY). Pakiety danych są wysyłane natychmiast, bez sztucznego opóźnienia. Znacznie zmniejsza to latencję (opóźnienie) w połączeniach VPN opartych na protokole TCP.
    Ilość pakietów okna odpowiedzi:
    Tylko w przypadku protokołu UDP    		 64 Liczba pakietów, w ramach których zaakceptowane będą starsze numery sekwencji.
    Limit czasu okna odpowiedzi:
    Tylko w przypadku protokołu UDP    		 15 Sekundy Okno czasowe, w którym stosowana jest maksymalna długość sekwencji
    Czas życia Auth-Token 12 Godziny Czas życia oryginalnego Auth-Token.
    Możliwe wartości:
    • nieograniczony
    • 1 godzina
    • 2 godziny
    • 4 godziny
    • 8 godzin
    • 12 godzin (domyślnie przy aktywacji)
    Ustawienia można zapisać za pomocą .

    Zasady

    Reguły niejawne

    W Zapora Reguły niejawne Obszar VPN można aktywować nadrzędne reguły używane do połączeń.

    W przykładzie Włącz SSL-VPN UDP 1

    Ta reguła niejawna udostępnia porty używane do połączeń SSL-VPN na wszystkich interfejsach. Zamiast reguł niejawnych można zastosować reguły filtrowania pakietów, które pozwalają regulować to indywidualnie dla każdego interfejsu.
    Jeśli użytkownik ma pobrać klienta z interfejsu użytkownika, musi to być tutaj dodatkowo włączone:
    Włącz Portal interfejsu użytkownika 2

    		 Reguły niejawne UTMuser@firewall.name.fqdn Firewall
  • Jeśli to konieczne, interfejs użytkownika musi zostać przeniesiony na inny port, jeśli port 443 został przekierowany na wewnętrzny serwer.


    • Obiekty sieciowe

    Podczas konfiguracji połączenia został utworzony interfejs "tun". Otrzymuje on automatycznie pierwszy adres IP z sieci transferowej skonfigurowanej w połączeniu i strefę "vpn-ssl-<nazwa_serwera>".

    Klienci Roadwarrior otrzymają adres IP z tej sieci i będą się znajdować w tej strefie.
    Aby umożliwić użytkownikom typu „Roadwarrior” dostęp do własnej sieci, należy utworzyć obiekt sieciowy.

    Opis Wartość Opis Dodaj obiekt sieciowy UTMuser@firewall.name.fqdn Firewall Obiekty sieciowe
    Obiekt sieciowy dla sieci tunelowej
    Name: SSL-VPN-RW-Network Unikalna nazwa, zawierająca dowolny tekst
    Typ: Sieć VPN Wybierz odpowiedni typ
    Adres: 192.168.192.0/24 Adres IP sieci, który został określony jako pula tuneli w kroku 4.
    Zone: vpn-ssl-RW-Securepoint Strefa, przez którą adresowana jest sieć tunelowa.
    Grupy:     Opcjonalne przypisanie do grup sieciowych
    Ustawienia można zapisać za pomocą .


    Reguła filtra pakietów
    Menu Zapora Filtr pakietów Obszar Filtr pakietów przycisk Dodaj regułę
    Reguła zezwala klientom RW na dostęp do lokalnej sieci:     		Dodaj regułę UTMuser@firewall.name.fqdn Firewall Filtr pakietów
    Ogólne
    Źródło SSL-VPN-RW-Network Reguła przychodząca
    Cel internal-network Jako cel musi zostać podane internal-network
    Usługa ms-rdp Powinny być udostępniane tylko porty, które są rzeczywiście potrzebne!
    Akcja ACCEPT


    Tworzenie użytkowników i grup

    Grupa
    Uprawnienia Dodaj grupę UTMuser@firewall.name.fqdn Weryfikacja Użytkownik
    W Uwierzytelnianie Użytkownicy Obszar Grupa przycisk + Dodaj grupę.

    Następujące uprawnienia muszą zostać przyznane:

    • Włącz Interfejs użytkownika
    • Włącz SSL-VPN
    SSL-VPN
    Klient do pobrania w interfejsie użytkownika: Tak Domyślnie dostępny przez port 443, np. pod adresem https://192.168.75.1
    Ustawienia SSL-VPN dla grupy
    Połączenie SSL-VPN: RW-Securepoint Wybierz właśnie utworzone połączenie
    Certyfikat klienta: Certyfikat klienta Wybór certyfikatu klienta opisanego w Krok 3 kreatora konfiguracji.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA

  • Certyfikat serwera i klienta muszą być utworzone za pomocą tego samego urzędu certyfikacji!
    • Remote Gateway: 192.0.2.192 Remote Gateway to adres zewnętrznego interfejsu. Ten adres musi być dostępny z zewnątrz.
    Redirect Gateway: Wyłącz Po włączeniu tej funkcji również żądania klientów typu Roadwarrior kierowane do Internetu lub sieci poza siecią VPN będą przekierowywane przez lokalną gateway. Dzięki temu te połączenia również korzystają z ochrony UTM.
    Dostępne w filtrze portów: Tak Umożliwia Zapora sieciowa oparta na tożsamości (IBF) dla SSL-VPN
    Użytkownik
  • Jeśli w poprzednim kroku (tworzenie grupy) w zakładce Usługa katalogowa nie dokonano przypisania do grupy, każdy użytkownik musi być również utworzony na UTM.
    • Uwierzytelnianie Użytkownik Obszar Użytkownik przycisk Dodaj użytkownika lub Edytuj użytkownika .
    Ogólne
    Grupy: RW-SSL-VPN Użytkownik musi zostać przypisany do wcześniej utworzonej grupy.
    SSL-VPN Edytuj użytkownika UTMuser@firewall.name.fqdn Weryfikacja Użytkownik
    Ustawienia SSL-VPN dla użytkowników
    Użyj ustawień z grupy: Włączone Jeśli dla grupy wprowadzono już ustawienia, zamiast indywidualnych wartości można je tutaj przejąć.
    Installer
    Portable Client
    Konfiguracja    		 Po aktywowaniu opcji „Użyj ustawień grupowych” należy zapisać zmiany. Następnie administrator będzie mógł w tym miejscu pobrać konfigurację dla użytkownika.
    Dodatkowe informacje na temat użytkowników można znaleźć w artykule na temat Zarządzania użytkownikami.


    Klient SSL-VPN

    Pobieranie klienta SSL-VPN w interfejsie użytkownika

    Interfejs użytkownika SSL-VPN

    Dla użytkowników, którzy chcą połączyć się z UTM przez SSL-VPN, urządzenie udostępnia wstępnie skonfigurowanego klienta SSL-VPN:

    • Pobieranie odbywa się przez punkt menu SSL-VPN.
    • Ten klient zawiera pliki konfiguracyjne oraz wszystkie wymagane certyfikaty.
    • Logowanie do interfejsu użytkownika UTM domyślnie przez port 443, np. pod adresem https://192.168.175.1
    • Interfejs użytkownika jest dostępny przez interfejs wewnętrzny urządzenia Securepoint.
  • Dostęp dla zewnętrznych użytkowników jest możliwy tylko wtedy, gdy domyślna reguła SSL w Zapora Reguły domyślne Obszar Opcja VPN Włącz Portal interfejsu użytkownika jest aktywna, co zezwala na dostęp z Internetu do zewnętrznego interfejsu przez HTTPS.

    • Klient jest oferowany jako:
    • SSL-VPN Client Installer
  • Instalacja musi być wykonana z uprawnieniami administratora.
      • Wymagana architektura procesora: x86 / x64

    • SSL-VPN Portable Client
      • Wersja przenośna może zostać skopiowana na pendrive i uruchomiona na innych komputerach.
  • Wymagane są uprawnienia administratora, ponieważ należy zainstalować wirtualne urządzenie TAP i ustawić trasy.
      • Wymagana architektura procesora: x86 / x64

    • Konfiguracja i certyfikat
      • Do użycia w innych klientach SSL-VPN
  • Skompresowane foldery zawierają oprócz klienta SSL-VPN
      • plik konfiguracyjny
      • certyfikaty urzędu certyfikacji i klienta
      • oraz sterownik dla wirtualnego interfejsu sieciowego TAP.
      • Do zainstalowania wirtualnego interfejsu TAP, użytkownik potrzebuje praw administratora na używanym komputerze.

    notempty
    Ze względów bezpieczeństwa należy zawsze używać najnowszej wersji

    Instalacja: Wskazówki dotyczące instalacji można znaleźć na naszej stronie wiki dotyczącej Klienta VPN



    Nawiązywanie połączenia SSL-VPN jako klient

    Aktywne połączenie SSL-VPN

    Podwójne kliknięcie na ikonę kłódki na pasku zadań otwiera klienta SSL-VPN.
    Uruchom połączenie, klikając



    Nawiązanie połączenia

    Connections

    Połączenie można nawiązać albo za pomocą menu kontekstowego /  , albo poprzez kliknięcie przycisku połączenia.













    Połączenie zostało przerwane
    Następuje nawiązywanie połączenia
    Połączenie nawiązane
    W przypadku połączeń SSL VPN może być konieczne wprowadzenie kodu OTP


    Szczegółową instrukcję konfiguracji można znaleźć tutaj .

    Wskazówki

    Szyfrowanie

    Domyślnie stosowana jest metoda AES-256-GCM. Metodę szyfrowania można dostosować w profilu serwera lub/i klienta.

  • Dostosowanie domyślnego szyfru od wersji v14.0.3
  • Od wersji 14.1.5 dostępne są wyłącznie szyfry oparte na algorytmie AES

    • Metoda haszowania

    Domyślnie stosowana jest metoda skrótu SHA256.
    od v14.1.3: Whirpool nie będzie już wspierany

    notempty
    Parametry muszą być identyczne po stronie serwera i klienta. W przeciwnym razie przesyłanie danych nie będzie możliwe.













    Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdnVPNSSL-VPN
    Szyfr i funkcja haszowania z ustawieniami domyślnymi:
    Wpisywana jest aktualna wartość domyślna OpenVPN
    (Szyfr: AES-256-GCM / Funkcja haszowania: SHA256)
    Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdnVPNSSL-VPN
    notempty
    Przestarzały szyfr i hash
    Wymagana jest aktualizacja
    Konfiguracja połączenia SSL-VPN UTMuser@firewall.name.fqdnVPNSSL-VPN
    Konfiguracja z silnym szyfrem i funkcją haszowania.
    Domyślne dla nowych połączeń
    notempty
    Zalecane ustawienie
    Muszą być również skonfigurowane na stronie przeciwnej
    notempty
    Parametry muszą być identyczne po stronie serwera i klienta. W przeciwnym razie przesyłanie danych nie będzie możliwe.


    QoS

    Dla połączenia VPN można ustawić pola TOS dla automatycznego QoS w pakietach. Tę opcję można włączyć w ustawieniach połączenia VPN pod „Zaawansowane”.


    Uwaga dotycząca routerów/modemów przed urządzeniem

    Często pojawiają się problemy ze stabilnością połączenia, gdy router lub modem znajdujący się przed urządzeniem również posiada aktywną zaporę sieciową. Prosimy o wyłączenie wszelkich funkcji zapory sieciowej na tych urządzeniach.

    notempty
    Należy upewnić się, że wymagane porty są przekierowywane.


    IPv6 dla połączeń przychodzących

    W ustawieniach serwera Roadwarrior w sekcji Ogólne / Protokół można aktywować protokół UDP6 lub TCP6 dla IPv6.

    Korzystanie z wielu adresów IP w różny sposób

    Jeśli dostępnych jest kilka publicznych adresów IP, porty różnych adresów IP można wykorzystywać w różny sposób (np. dla reverse proxy i VPN)
    Może to być pomocne, ponieważ połączenia do niektórych portów z zagranicy są czasami blokowane. Połączenia do portu 443 są jednak zazwyczaj dozwolone
    .

    W tym celu reguła reverse proxy musi wyraźnie określać, że external-interface konkretnego IP ma być używany jako cel. Do innego zastosowania ruch jest przekierowywany za pomocą DestNAT, czyli ruch przychodzi na port 443, ale następnie jest przekierowywany na inny port (np. 1194 dla VPN) za pomocą reguły filtra pakietów.

    Pokaż konkretne reguły dla wielu adresów IP
    ukryj
    Klicken für dauerhafte Anzeige
    # Źródło Cel Usługa NAT Logging Akcja
    internet external-interface-ip3 openvpn-tcp DN
    Obiekt sieciowy: external-interface-ip1
    Usługa: https
    3/Min
    		 Accept Wł.
    internet external-interface-ip2 https
    3/Min
    		 Accept Wł.


    Troubleshooting

    Wskazówki dotyczące rozwiązywania problemów z SSL-VPN można znaleźć w Przewodniku po rozwiązywaniu problemów SSL-VPN (dokument PDF).































    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





















    Connection Rate Limit

    Ograniczanie dostępu z określonych adresów IP źródłowych do powtarzających się portów

    notempty
    Funkcja ta znajduje się nadal w fazie testów i będzie dalej rozbudowywana.
    Na razie funkcję tę można skonfigurować wyłącznie za pomocą CLI

    Funkcja ta ma na celu ochronę przed atakami.
    Dostęp przez SSL-VPN można na przykład zabezpieczyć przed agresywnymi skanami lub próbami logowania.

    Od wersji 12.6.2 urządzenie UTM może ograniczać liczbę połączeń TCP i/lub UDP z zewnętrznego adresu IP do jednego portu.
    Obowiązują przy tym następujące warunki:

    • Monitorowane są wyłącznie połączenia przychodzące, dla których istnieje default-route
    • Liczone są połączenia z jednego adresu IP do jednego portu urządzenia UTM w ciągu jednej minuty
    • Po aktywacji dozwolonych jest 5 połączeń / prób połączenia na minutę
      Następnie połączenia zostaną ograniczone:
      • W tym przypadku dodatkowe dozwolone połączenia zostaną równomiernie rozłożone w ciągu 60 sekund od pierwszego połączenia.
      • Gdy wartość CONNECTION_RATE_LIMIT wynosi 20, co 3 sekundy dodawane jest kolejne połączenie.
      • 10 sekund po pierwszym połączeniu mogłyby zostać nawiązane kolejne 3 połączenia (każde z tego samego adresu IP na ten sam port docelowy)
    • Zablokowanie adresu IP dotyczy wyłącznie dostępu do portu, który był zbyt często korzystany.
      Dostęp do pozostałych portów pozostaje bez zmian.
    • W przypadku nowych instalacji funkcja ta jest domyślnie włączona z limitem 20 połączeń UDP na minutę dla wszystkich portów
    • W przypadku aktualizacji funkcja musi zostać ręcznie aktywowana
    extc-Variable Default Opis
    CONNECTION_RATE_LIMIT_TCP 0 Liczba dozwolonych połączeń TCP dla danego adresu IP na port
    0 = Funkcja wyłączona, nie są stosowane żadne blokowania
    CONNECTION_RATE_LIMIT_TCP_PORTS Porty, które mają być monitorowane. Przy ustawieniu domyślnym pole jest puste= oznacza to, że (po włączeniu) monitorowane będą wszystkie porty.
    Porty należy oddzielić spacjami: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20
    W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona.
    		Liczba dozwolonych połączeń UDP dla jednego adresu IP na port
    CONNECTION_RATE_LIMIT_UDP_PORTS Porty, które mają być monitorowane. W ustawieniach domyślnych pole jest puste = Wszystkie porty będą monitorowane (tylko w przypadku nowych instalacji!).
    Porty należy oddzielić spacjami: [ 1194 1195 ]

    Konfiguracja za pomocą poleceń CLI

    Wyświetl konfigurację za pomocą poleceń CLI
    ukryj
    Klicken für dauerhafte Anzeige
    CLI polecenie Funkcja
    extc value get application securepoint_firewall
    Alternatywnie użytkownikiem root:
    spcli extc value get application securepoint_firewall | grep RATE     		Wyświetla listę wszystkich zmiennych aplikacji „securepoint_firewall”.
    Zmienne zaczynające się od „CONNECTION_RATE_LIMIT_” odpowiadają za limit połączeń.

    application |variable |value --------------------+-------------------------------+----- securepoint_firewall |… |… |CONNECTION_RATE_LIMIT_TCP |0 |CONNECTION_RATE_LIMIT_TCP_PORTS| |CONNECTION_RATE_LIMIT_UDP |20 |CONNECTION_RATE_LIMIT_UDP_PORTS|

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    system update rule    		 Ogranicza dopuszczalną liczbę połączeń „TCP” z pojedynczego adresu IP na dany port do 20 na minutę
  • Zmiana jest wprowadzana bezpośrednio poprzez „aktualizację reguły”.
    Wartość nie musi być najpierw ustawiona na 0!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0
    system update rule    		 Wyłącza monitorowanie połączeń TCP
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    system update rule     		Ogranicza monitorowanie połączenia TCP z portami 443 i 11115
    Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ]
    system update rule    		 Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    system update rule    		 Ogranicza dopuszczalną liczbę połączeń UDP z jednego adresu IP na określony port do 20 na minutę
    Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20
    W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona.
  • Zmiana jest wprowadzana bezpośrednio poprzez „aktualizację reguły”.
    Wartość nie musi być najpierw ustawiona na 0!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0
    system update rule    		 Wyłącza monitorowanie dla połączeń UDP
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ]
    system update rule     		Ogranicza monitorowanie połączeń UDP do portów 1194 i 1195.
    (Przykład dla 2 utworzonych tuneli SSL-VPN).
    Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule    		 Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule

    notempty
    Na koniec należy wprowadzić polecenie CLI system update rule, aby zastosować wartości określone w regułach.

    		Na przykład, aby zezwolić na maksymalnie 20 połączeń na minutę na adres IP i port. W przypadku protokołu TCP monitorowanie ogranicza się do portów 443 i 11115. W przypadku połączeń UDP monitorowane są wszystkie porty.
    Źródło: „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-Roadwarrior&oldid=115993”