Skocz do:nawigacja, szukaj
Wiki

SSL-VPN Site-to-Site

Z Securepoint Wiki





























In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
Diese Seite wird auf folgenden Seiten eingebunden
























































































































<--! ab hier bitte PL korrekturlesen -->















{{var | neu--Reconnect | Beschreibung der verfügbaren Schaltflächen ergänzt, inklusive der neuen Reconnect-Funktion | Description of the [[#aktionen|available buttons updated], including the new Reconnect function) | Dodano opis dostępnych przycisków, w tym nowej funkcji Reconnect: Wiki }}














Konfiguracja połączeń SSL-VPN typu Site-to-Site

Ostatnia zmiana dla wersji: 14.2.1 (09.2026)

Nowość:
  • Beta Wyłącznie dla użytkowników korzystających z wersji beta::
  • Uzupełniono opis stanów, w tym nową lampkę stanu: Wiki
  • Obecnie obsługiwany jest wyłącznie algorytm szyfrowania oparty na standardzie AES dla połączenia danych
  • Dodano informację dotyczącą aktualnych wymagań dotyczących certyfikatów
  • Wartość domyślna dla Algorytm szyfrowania połączenia danych została zaktualizowana do ‘'AES-256-GCM’'
    • Ostatnia aktualizacja: 
      10.2026
    • Dodano opis ogólnych i rozszerzonych ustawień konfiguracyjnych: Wiki
    notempty
    Ten artykuł odnosi się do wersji beta

    14.1.5 12.7.1 12.4.1 11.8.7 11.7.3 11.7 11.6.12

    Dostęp: UTM-IP:Port lub UTM-URL:Port
    Port skonfigurowany zgodnie z ustawieniami w Sieć / Ustawienia urządzenia / Webserver
    Default-Port: 11115
    np.: https://utm.ttt-point.de:11115
    Default: https://192.168.175.1:11115     VPN SSL-VPN


    Wprowadzenie

    Przy użyciu SSL-VPN można również tworzyć połączenia typu Site-to-Site (Skrót: S2S). Aby to osiągnąć, odpowiednia instancja usługi musi działać wyraźnie w trybie klienckim lub serwerowym, dzięki czemu możliwe jest utworzenie kilku instancji usługi SSL-VPN.


    Site-to-Site Server

    S2S Server
    Ta metoda jest używana, gdy strona przeciwna jest inicjatorem połączenia. W tym celu usługa musi być wyraźnie uruchomiona w trybie serwera.


    Site-to-Site Client

    S2S Client
    Ta metoda jest używana, gdy UTM jest inicjatorem połączenia. W tym celu usługa musi być wyraźnie uruchomiona w trybie klienta.

    Połączenia SSL VPN

    Dostępne są następujące działania:

    • Wyświetl dziennik SSL-VPN
    • Dodaj punkt końcowy klienta SSL-VPN / Dodaj punkt końcowy serwera SSL-VPN (w zależności od kontekstu)
    • Edytuj
    • notempty
      Nowość od v14.2.1

      Przywróć połączenie
      Bei Änderungen auf der Clientseite eines S2S SSL-VPN Tunnels kann man einen Reconnect des Clients durchführen, um die Änderungen dort wirksam zu machen. Die Schaltfläche löst einen Disconnect und einen Reconnect aus. Bei deaktivierter Verbindung ist die Schaltfläche ebenfalls deaktiviert.
    • Public-Key der CA herunterladen / Zertifikat herunterladen
    • Usuń


    Stan połączenia SSL-VPN wskazują następujące ikony:

    Status: CONNECTED
    Ten element oznacza aktywne usługi, istniejące połączenia i zsynchronizowane ustawienia

    Status: Brak połączenia
    Ten element oznacza wyłączone usługi i połączenia.

    Status: RECONNECTING
    Ten element oznacza

    • ostrzeżenia
    • uruchamianie usług
    • nawiązywanie połączenia oraz
    • synchronizację ustawień


    Konfiguracja serwera Site-to-Site

    notempty
    Do skonfigurowania serwera S2S są potrzebne: urząd certyfikacji (CA), certyfikat serwera i certyfikat klienta.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA


    • Połączenie SSL-VPN

    Konfiguracja połączenia w menu VPN SSL-VPN przycisk + Dodaj połączenie SSL-VPN.


    Kreator instalacji

    Krok 1

    Krok 1 S2S Server

    Dodaj połączenie SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Krok instalacji 1

    W pierwszym kroku instalacji wybierany jest typ połączenia, dostępne są następujące połączenia:

    • Serwer Roadwarrior
    • Site-to-Site Server
    • Site-to-Site Client

    Do konfiguracji serwera Site-to-Site wybierany jest ten typ.



    Krok 2

    Krok 2 S2S Server

    Krok instalacji 2

    Jeśli ma zostać podłączona lokalna sieć IPv6, opcja IPv6 przez IPv4: musi zostać włączona Tak.



    Krok 3

    Krok 3 S2S Server

    Lokalne ustawienia dla serwera Site-to-Site

    Opis Wartość Opis
    Krok instalacji 3
    Name: SSL-VPN-S2S-server Unikalna nazwa
    Protokół: UDP Wybierz pożądany protokół
    Port: 1194 Podstawowy port dla pierwszego połączenia SSL-VPN. Nie może być używany do innych celów. Dla kolejnych połączeń wybierany jest następny wolny port.
    Certyfikat serwera:
    Można wybrać tylko certyfikaty z częścią prywatnego klucza
    		Certyfikat_serwera_S2S Wybór certyfikatu, za pomocą którego serwer się uwierzytelnia.
    Jeśli nie istnieje jeszcze certyfikat serwera, można go utworzyć (oraz ewentualnie urząd certyfikacji) w zarządzaniu certyfikatami. Wywołanie za pomocą
    • Utworzenie urzędu certyfikacji w sekcji CA przyciskiem Dodaj CA
    • Utworzenie certyfikatu serwera w sekcji Certyfikaty przyciskiem Dodaj certyfikat.
      Należy pamiętać: włącz Certyfikat serwera: Włącz
    • Utworzenie certyfikatu klienta przyciskiem Dodaj certyfikat

    Oba certyfikaty muszą być utworzone za pomocą tego samego urzędu certyfikacji!

    Certyfikat klienta i powiązany urząd certyfikacji są również potrzebne do skonfigurowania strony przeciwnej (klienta). Muszą zostać wyeksportowane przyciskiem . Do użycia z UTM jako klient wymagany jest format PEM.
    Dodatkowe informacje w artykule wiki na temat używania certyfikatów.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA
    • Udostępnianie sieci serwera: » 192.168.175.0/24 Sieć zlokalizowana na tym urządzeniu (serwer VPN), która ma być dostępna przez SSL-VPN.


    Krok 4

    Krok 4 S2S Server

    W kroku instalacji 4 wprowadzana jest sieć transferowa dla tego serwera Site-to-Site.

    Opis Wartość Opis
    Krok instalacji 4
    Sieć transferowa: 192.168.190.0/24 W zaporze sieciowej należy podać adres sieciowy, który nie jest jeszcze używany w żadnym uczestniczącym urządzeniu.
  • Ostatni adres IP przed adresem broadcast nie może być używany jako adres IP klienta, ponieważ on jest zarezerwowany przez wirtualny serwer DHCP.
    • Adres tunelu serwera: 192.168.190.1/32 Adres tunelu serwera i klienta będzie ustalany automatycznie.
    Adres tunelu klienta IPv4: 192.168.190.2/24


    Krok 5

    Krok 5 S2S Server

    Opis Wartość Opis
    Krok instalacji 5
    Name: SSL-VPN-S2S-client Jest automatycznie generowany z nazwy określonej w kroku 3
    Certyfikat klienta: Certyfikat_klienta_S2S Certyfikat sieci klienta
    Udostępnianie sieci klienta: »10.1.0.0/24 Sieci strony przeciwnej, które mają zostać udostępnione. (Wypełnienie przez kliknięcie w pole i następnie za pomocą klawiatury).
    notempty
    Wybrany certyfikat nie należy używać z żadnym innym klientem ani w żadnej innej sieci.


    Sekcja Ogólne

    Ogólne S2S Server

    Utworzone połączenia SSL-VPN można edytować w VPN SSL-VPN przycisk .

    Opis Wartość Opis Edycja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Sekcja Ogólne
    Name: SSL-VPN-S2S-Server Nazwa połączenia SSL
    Interfejs: tun0 Używany interfejs
    Modus: SERVER W zależności od typu połączenia
    Protokół: UDP (Default)
    TCP    		 Wybierz preferowany protokół (UDP i TCP mogą być ograniczone odpowiednio na IPv4 lub IPv6).
    Port: 1194 Podstawowy port dla pierwszego połączenia SSL-VPN. Nie może być używany do innych celów. Dla kolejnych połączeń wybierany jest następny wolny port.
    Uwierzytelnianie: NONE (Default)
    LOCAL
    RADIUS    		 Wybierz odpowiednią metodę uwierzytelniania
    Certyfikat: Certyfikat_serwera_S2S Używany certyfikat może zostać tutaj zmieniony

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA
    • Typ statycznego klucza SSL-VPN: Wył. tls-authtls-crypt
    • Aktywacja tls-auth powoduje dodatkowe uwierzytelnienie kanału kontrolnego
    • tls-crypt powoduje dodatkowe uwierzytelnienie i szyfrowanie kanału kontrolnego
    Statyczny klucz SSL-VPN: SSL-VPN S2S Klucz do zabezpieczenia połączenia
  • Klucz musi być typu OVPN_STATIC_KEY
    • notempty
    Strona przeciwna musi używać tego samego klucza!
    Klucz jest tworzony po jednej stronie i musi zostać następnie skopiowany na drugą stronę
    Otwórz zarządzanie kluczami Otwiera interfejs zarządzania kluczami, aby utworzyć nowy klucz
    Szyfr dla połączenia danych:
    		AES-256-GCM Domyślnie używany jest AES-256-GCM.
    notempty
    Strona przeciwna musi używać tego samego szyfru!
    Default Opcja Default odpowiada podstawowym ustawieniom OpenSSL
    Obecnie identyczny z domyślną wartością UTM: AES-256-GCM
    AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    od v14.1.5: Należy wybrać szyfr oparty na standardzie AES
    Od wersji 14.1.3 następujące szyfry nie będą już obsługiwane:
    • BF-CBC
    • DES-EDE-CBC
    • DES-EDE3-CBC
    • CAST5-CBC
    Hash dla połączenia danych:
    		SHA256 Używane są domyślne ustawienia OpenSSL.
    notempty
    Strona przeciwna musi używać tego samego algorytmu haszowania!
    Default Opcja Default odpowiada podstawowym ustawieniom OpenSSL
    Obecnie identyczny z domyślną wartością UTM: SHA256
    SHA1 SHA224 SHA384 SHA512
    od v14.1.5
    : nie można już wybrać Whirpool
    Dozwolone szyfry do automatycznego negocjowania (NCP):
    		 AES-256-CBC Poszczególne algorytmy szyfrowania można wybierać spośród dostępnych algorytmów szyfrowania.
    IPv4 Sieć transferowa: 192.168.190.0/24 Wprowadź adres puli
    IPv6 Sieć transferowa:       /64 Wprowadź adres puli
    Udostępnianie sieci serwera globalnie:     W tym miejscu można edytować adresy IP sieci znajdujących się za urządzeniem UTM, do których ma być możliwy dostęp za pośrednictwem połączenia SSL VPN.
    Search Domain:    
  • Określenie domeny wyszukiwania ma sens tylko w przypadku połączenia Roadwarrior!
    Alternatywy:

    1. Zawsze wypisuj pełną nazwę domeny
    2. Wprowadź domenę w serwerze DHCP, aby mogła być przypisana
    3. Użyj Active Directory

    • Renegotiation: nigdy
    1 godzina
    (Default)
    2 godziny
    4 Stunden
    8 Stunden
    12 Stunden    		 Okres, po którym połączenie zostanie ponownie negocjowane


    Sekcja zaawansowane

    Zaawansowane S2S Server

    Opis Wartość Opis Edycja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Sekcja zaawansowane
    MTU: 1500 Maksymalna jednostka transmisji największego pakietu (bajt)
    Maksymalna liczba klientów: 1024 Maksymalna liczba klientów.
    Jeśli nie zostanie ustawiona żadna wartość, obowiązuje domyślna wartość 1024.
    Przekazywanie DNS: Nie Zezwala na przekazywanie DNS
    Adresy IP DNS i WINS są ustawiane w menu VPN Globalne ustawienia VPN.
    Przekazywanie WINS: Nie Zezwala na przekazywanie WINS
    Adresy IP DNS i WINS są ustawiane w menu VPN Globalne ustawienia VPN.
    Multihome: Włączone Zezwala na używanie wielu tras domyślnych

    Akceptuj tylko przypisane certyfikaty:    		 Włączone Mogą być akceptowane tylko przypisane certyfikaty
    LZO: Wył. Kompresja LZO
    Po zmianie tej opcji odpowiednie strony klienta muszą dostosować swoją konfigurację!
    Wyłączone: Nie
    Pass TOS: Wył. Zezwala na przekazywanie pól TOS dla automatycznego QoS w pakietach
    Interwał ping: 10 sekundy Interwał żądań ping
    Czas oczekiwania na ping: 120 sekundy Czas oczekiwania na odpowiedź ping
    Rozmiar bufora wychodzącego: 65536 Bytes Określa rozmiar bufora dla soketu
  • Im większy, tym więcej można przechować. Może to jednak zwiększyć opóźnienie.
    • Rozmiar bufora przychodzącego: 65536 Bytes patrz wyżej
    Bez opóźnień

    Tylko w przypadku protokołu TCP    		 Wył. Dezaktywuje algorytm Nagle'a (TCP_NODELAY). Pakiety danych są wysyłane natychmiast, bez sztucznego opóźnienia. Znacznie zmniejsza to latencję (opóźnienie) w połączeniach VPN opartych na protokole TCP.
    Rozmiar sekwencji okna replay:

    Tylko w przypadku protokołu UDP    		 64 Liczba pakietów, w ramach których akceptowane są starsze numery sekwencji.
    Czas oczekiwania okna replay:

    Tylko w przypadku protokołu UDP    		 15 sekundy Okno czasowe, w którym rozmiar sekwencji jest maksymalnie stosowany


    Dodatkowe strony klienta

    Dodatkowe strony klienta S2S Server

    SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN Log Uruchom ponownie
    Przegląd połączeń SSL-VPN

    Dodatkowe strony, które mają być podłączone przez ten serwer Site-to-Site, mogą zostać dodane za pomocą przycisku .
    Wyświetlanie stron przeciwnych przez kliknięcie na ikonę folderu .


    SSL-VPN Server-Gegenstelle hinzufügen UTMuser@firewall.name.fqdn VPN SSL-VPN
    Dodatkowe strony przeciwne S2S-SSL-VPN


    Zasady

    Reguły domyślne

    Reguły domyślne

    Reguły domyślne UTMuser@firewall.name.fqdn Firewall
    Reguły domyślne

    W Zapora Reguły domyślne sekcja VPN można aktywować protokół używany do połączenia. Tutaj Włącz SSL-VPN UDP. Ta reguła domyślna udostępnia porty używane do połączeń SSL-VPN na interfejsie WAN.



    Obiekty sieciowe

    Obiekty sieciowe

    Podczas konfiguracji połączenia został utworzony interfejs TUN. Otrzymuje on automatycznie pierwszy adres IP z sieci transferowej skonfigurowanej w połączeniu i strefę "vpn-ssl-<nazwa_serwera>".
    Aby móc osiągnąć sieć klienta strony przeciwnej, należy utworzyć obiekt sieciowy w Zapora Obiekty sieciowe przycisk + Dodaj obiekt.
    Interfejs TUN klienta Site-to-Site również otrzymuje adres IP z tej sieci. Służy on jako brama do podsieci klienta Site-to-Site. Podsieć klienta musi zostać utworzona jako obiekt sieciowy i znajduje się w strefie na odpowiednim interfejsie TUN.


    Opis Wartość Opis Dodaj obiekt sieciowy UTMuser@firewall.name.fqdn Firewall Obiekty sieciowe
    Obiekt sieciowy dla sieci tunelowej
    Name: SSL-VPN-S2S-sieć klienta Unikalna nazwa
    Typ: Sieć VPN Jeśli w sieci klienta ma zostać udostępniony tylko pojedynczy host, można tutaj również wybrać Host VPN.
    Adres: 10.1.0.0/24 Adres sieci, który został udostępniony jako sieć klienta w kroku 5
    Jeśli udostępniono wiele sieci klienta, dla każdej z tych sieci należy utworzyć osobny obiekt sieciowy. Następnie obiekty sieciowe można połączyć w grupę.
    Strefa: vpn-ssl-SSL-VPN-S2S-server Strefa na serwerze S2S, przez którą adresowana jest sieć klienta S2S.
    Grupa:     Optional


    Reguły filtra pakietów

    Reguły filtra pakietów

    Filtr pakietów UTMuser@firewall.name.fqdn Firewall Regeln aktualisieren
    Reguły filtra pakietów

    Menu Zapora Filtr pakietów Przycisk + Dodaj regułę
    Dwie reguły zezwalają na dostęp do sieci klienta S2S lub z sieci:


    # Źródło Cel Usługa NAT Akcja Aktywne
    Dostęp z klienta do (wewnętrznej) sieci serwera (strona przeciwna inicjuje połączenie) 9 SSL-VPN-S2S-sieć klienta internal-network default-internet Accept Wł.
    Dostęp do sieci klienta (lokalne UTM inicjuje połączenie) 10 internal-network SSL-VPN-S2S-sieć klienta default-internet Accept Wł.


    Routen

    Routen

    Trasy są ustawiane automatycznie.
    Jednak przy użyciu VoIP przez tunel należy ustawić trasy, aby zapewnić prawidłowe połączenie telefonów z centralą.
    Menu Sieć Konfiguracja sieci Obszar Routing przycisk + Dodaj trasę.
    Należy ustawić trasę, aby sieć strony przeciwnej mogła być niezawodnie odnaleziona.

    Opis Wartość Opis Dodaj trasę UTMuser@firewall.name.fqdn
    Trasa dla strony przeciwnej
    Interfejs bramy: tun0 Podczas konfiguracji połączenia został utworzony interfejs TUN, który musi zostać tutaj określony.
    Sieć docelowa: 10.1.0.0/0 Sieć strony przeciwnej (S2S Client)



































    Przekierowywanie wyłącznie przy ustanowionym połączeniu
    ukryj
    Klicken für dauerhafte Anzeige

    Wstępna sytuacja

    Czasami warto skonfigurować trasy dla połączeń VPN dopiero w momencie faktycznego nawiązania połączenia.

    • Zapobiega to kierowaniu pakietów do Internetu i rejestrowaniu ich przez Conntrack, co z kolei uniemożliwia prawidłowe nawiązanie połączenia
    • Może to być korzystne na przykład w sytuacji, gdy ruch VoIP ma przechodzić przez tunel
    • Load balancing za pośrednictwem drugiej zapory sieciowej zostaje znacznie uproszczone, jeśli tylko urządzenie UTM otrzymuje trasę w momencie faktycznego nawiązania tunelu

    Polecenie CLI

    Połączenie za pomocą SSH lub poprzez menu Dodatki CLI:

    route get określa prawidłowy identyfikator połączenia

    route set id <ID> flags BLACKHOLE_IF_OFFLINE

    NP.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    To polecenie odrzuca pakiety kierowane do tego miejsca docelowego, jeśli nie istnieje odpowiednia trasa.
    Na przykład w przypadku SSL VPN lub WireGuard, jeśli tunel jest niedostępny.


    Konfiguracja klienta Site-to-Site

    Połączenie SSL-VPN

    Kreator instalacji
    notempty
    Do skonfigurowania serwera S2S są potrzebne: urząd certyfikacji (CA), certyfikat serwera i certyfikat klienta.

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA


    • Krok 1

    Krok 1 S2S Client

    Dodaj połączenie SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Krok instalacji 1

    W kroku instalacji 1 wybierany jest typ połączenia, dostępne są następujące połączenia:

    • Serwer Roadwarrior
    • Site-to-Site Serwer
    • Site-to-Site Klient

    Do konfiguracji klienta Site-to-Site wybierany jest ten typ.



    Krok 2

    Krok 2 S2S Client

    Krok instalacji 2

    Jeśli ma zostać podłączona lokalna sieć IPv6, opcja IPv6 przez IPv4: musi zostać włączona Tak.



    Krok 3

    Krok 3 S2S Client

    Lokalne ustawienia dla klienta Site-to-Site mogą zostać dokonane w kroku 3. Tutaj można wpisać nazwę dla połączenia, wybrać protokół oraz certyfikat serwera - klikając przycisk z oknem można zaimportować urząd certyfikacji i certyfikat.

    Opis Wartość Opis
    Krok instalacji 3
    Name: SSL-VPN-S2S-client Unikalna nazwa
    Protokół: UDP Wybierz pożądany protokół
  • Należy wybrać ten sam protokół, co dla serwera Site-to-Site.
    • Certyfikat klienta: Certyfikat_klienta_S2S
    Wybór certyfikatu, za pomocą którego klient się uwierzytelnia.
    Tutaj musi zostać użyty ten sam certyfikat, który został wybrany jako certyfikat strony przeciwnej (klienta) dla serwera Site-to-Site w kroku 5.

    Wywołanie za pomocą

    • Sekcja CA Przycisk Importuj CA Import urzędu certyfikacji z
      serwera S2S
    • Sekcja Certyfikaty Przycisk Importuj certyfikat Import certyfikatu klienta, który został utworzony na
      serwerze S2S
      .


    Krok 4

    Krok 4 S2S Client

    Ten krok instalacji jest pomijany dla klienta Site-to-Site.


    Krok 5

    Krok 5 S2S Client

    Krok instalacji 5
    W kroku 5 wprowadzany jest publiczny adres IP serwera lub adres SPDyn serwera Site-to-Site jako strona przeciwna.
    notempty
    Adres portu musi zostać ustawiony z dwukropkiem za adresem IP.

    Jeśli używany jest port 1194, ta informacja może zostać pominięta.


    Sekcja Ogólne

    Ogólne S2S Client

    Utworzone połączenia SSL-VPN można edytować w VPN SSL-VPN przycisk .

    Opis Wartość Opis Edycja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Sekcja Ogólne
    Name: SSL-VPN-S2S-client Nazwa połączenia SSL
    Interfejs: tun0 Używany interfejs
    Modus: CLIENT
    Protokół: UDP (Default)
    TCP    		 Wybierz pożądany protokół
    Certyfikat: Certyfikat_klienta_S2S Używany certyfikat może zostać tutaj zmieniony

    In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden


















  • Proszę zwrócić uwagę na minimalne wymagania dla certyfikatów od wersji UTM 14.2!
    notempty
    • Wsparcie dla certyfikatów z kluczem o długości poniżej 1024 bitów zostanie wycofane od wersji UTM 14.2.0
    • Połączenia HTTP-Proxy oraz SSL-VPN, które dotychczas używały powyższych, przestarzałych certyfikatów, przestaną funkcjonować od wersji v14.2.0!
    • Od wersji 14.2.1 zostanie również wycofane wsparcie dla certyfikatów z algorytmem podpisu SHA1.
    • Wbrew wcześniejszym zapowiedziom, zarówno połączenia HTTP-Proxy, jak i SSL-VPN wykorzystujące certyfikaty o długości klucza 1024 bitów będą nadal funkcjonować, pod warunkiem, że są one podpisane algorytmem SHA256.
    • Niebezpieczne certyfikaty należy pilnie wymienić!
      BSI zaleca — stan na 01.2025 — długości kluczy od 3000 bitów i SHA256
      BSI – Wytyczne techniczne — Metody kryptograficzne: Zalecenia i długości kluczy BSI TR-02102-1 | Rozdział 2.3: Szyfrowanie RSA

      Domyślne ustawienie UTM dla nowych certyfikatów to klucz RSA o długości 3072 bit oraz SHA256 jako algorytm hashujący

    • Dotknięte aplikacje:
      • OpenVPN
        • Certyfikat serwera w roli serwera (Roadwarrior lub S2S)
        • Certyfikat klienta dla S2S
        • Jeśli dotyczy, certyfikat określony jako certyfikat klienta za pomocą atrybutu użytkownika (Uwierzytelnianie → Użytkownicy → Edytuj użytkownika)
      • Mailrelay
        • Przekazywanie "Certyfikatu" (pod szyfrowaniem TLS jako serwer)
      • Reverse-Proxy
        • Ustawienia → Certyfikat SSL
      • Webserver
        • Sieć → Ustawienia serwera → Serwer WWW → Certyfikat
      • HTTP-Proxy
        • Przechwytywanie SSL → Certyfikat CA
    • Typ statycznego klucza SSL-VPN: Wył. tls-authtls-crypt
    • Aktywacja tls-auth powoduje dodatkowe uwierzytelnienie kanału kontrolnego
    • tls-crypt powoduje dodatkowe uwierzytelnienie i szyfrowanie kanału kontrolnego
    Statyczny klucz SSL-VPN: SSL-VPN S2S Klucz do zabezpieczenia połączenia
  • Klucz musi być typu OVPN_STATIC_KEY
    • Szyfr dla połączenia danych: AES-256-GCM Domyślnie używany jest AES-256-GCM.
    notempty
    Strona przeciwna musi używać tego samego szyfru!
    BF-CBC DES-EDE-CBC DES-EDE3-CBC CAST5-CBC AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    Hash dla połączenia danych: Default Używane są domyślne ustawienia OpenSSL.
    notempty
    Strona przeciwna musi używać tego samego algorytmu haszowania!
    SHA1 SHA224 SHA256 SHA384 SHA512 whirlpool
    Dozwolone szyfry do automatycznego negocjowania (NCP): AES-256-CBC Poszczególne algorytmy szyfrowania można wybierać spośród dostępnych algorytmów szyfrowania.
    Renegotiation: nigdy
    1 godzina
    (Default)
    2 godziny
    4 godziny
    8 godziny
    12 godziny    		 Okres, po którym połączenie zostanie ponownie negocjowane


    Sekcja zaawansowane

    Zaawansowane S2S Client

    Opis Wartość Opis Edycja połączenia SSL-VPN UTMuser@firewall.name.fqdn VPN SSL-VPN
    Sekcja zaawansowane
    MTU: 1500 Maksymalna jednostka transmisji największego pakietu (bajt)
    LZO: Wył. Kompresja LZO
    Po zmianie tej opcji odpowiednie strony klienta muszą dostosować swoją konfigurację!
    Wyłączone: Nie
    Pass TOS: Wył. Zezwala na przekazywanie pól TOS dla automatycznego QoS w pakietach
    Interwał ping: 10 sekundy Interwał żądań ping
    Czas oczekiwania na ping: 120 sekundy Czas oczekiwania na odpowiedź ping
    Rozmiar bufora wychodzącego: 65536 Bytes Określa rozmiar bufora dla soketu
  • Im większy, tym więcej można przechować. Może to jednak zwiększyć opóźnienie.
    • Rozmiar bufora przychodzącego: 65536 Bytes patrz wyżej
    Rozmiar sekwencji okna replay:

    Tylko w przypadku protokołu UDP    		 64 Liczba pakietów, w ramach których akceptowane są starsze numery sekwencji.
    Czas oczekiwania okna replay:

    Tylko w przypadku protokołu UDP    		 15 sekundy Okno czasowe, w którym rozmiar sekwencji jest maksymalnie stosowany


    S2S Client Zasady

    S2S Client Reguły domyślne

    Ponieważ klient Site-to-Site nawiązuje połączenie z serwerem S2S, a połączenia wychodzące z zapory są domyślnie zawsze dozwolone, nie są potrzebne żadne reguły domyślne.

    S2S Client Obiekty sieciowe

    Nowy obiekt sieciowy może zostać utworzony w Zapora Obiekty sieciowe przycisk + Dodaj obiekt.

    Opis Wartość Opis Dodaj obiekt sieciowy UTMuser@firewall.name.fqdn Firewall Obiekty sieciowe
    Obiekt sieciowy dla sieci tunelowej
    Name: sslvpn-S2S-sieć-serwera Unikalna nazwa
    Typ: Sieć VPN Jeśli w sieci serwera ma zostać udostępniony tylko pojedynczy host, można tutaj również wybrać Host VPN.
    Adres: 192.168.175.0/24
    Jeśli udostępniono wiele sieci serwera, dla każdej z tych sieci należy utworzyć osobny obiekt sieciowy. Następnie obiekty sieciowe można połączyć w grupę.
    Zone: vpn-ssl-S2S-client strefa na kliencie S2S, przez którą adresowana jest sieć serwera S2S.
    Grupa:     Optional


    S2S Client Reguły filtra pakietów

    S2S Client Reguły filtra pakietów

    Filtr pakietów UTMuser@firewall.name.fqdn Firewall Regeln aktualisieren
    Reguły filtra pakietów w

    Menu Zapora Filtr pakietów przycisk + Dodaj regułę.
    Dwie reguły zezwalają na dostęp do sieci serwera S2S lub z sieci:

    # Źródło Cel Usługa NAT Akcja Aktywne
    5 internal-network SSL-VPN-S2S-sieć-serwera default-internet Accept Wł.
    4 SSL-VPN-S2S-sieć-serwera internal-network default-internet Accept Wł.


    S2S Client Routen

    S2S Client Routen

    Trasy są ustawiane automatycznie.
    Jednak przy użyciu VoIP przez tunel należy ustawić trasy, aby zapewnić prawidłowe połączenie telefonów z centralą.
    Menu Sieć Konfiguracja sieci Obszar Routing przycisk + Dodaj trasę.
    Należy ustawić trasę, aby sieć strony przeciwnej mogła być niezawodnie odnaleziona.

    Opis Wartość Opis Dodaj trasę UTMuser@firewall.name.fqdn
    Trasa dla strony przeciwnej
    Interfejs bramy: tun0 Podczas konfiguracji połączenia został utworzony interfejs TUN, który musi zostać tutaj określony.
    Sieć docelowa: 192.168.175.0/24 Sieć strony przeciwnej (S2S Server)



































    Przekierowywanie wyłącznie przy ustanowionym połączeniu
    ukryj
    Klicken für dauerhafte Anzeige

    Wstępna sytuacja

    Czasami warto skonfigurować trasy dla połączeń VPN dopiero w momencie faktycznego nawiązania połączenia.

    • Zapobiega to kierowaniu pakietów do Internetu i rejestrowaniu ich przez Conntrack, co z kolei uniemożliwia prawidłowe nawiązanie połączenia
    • Może to być korzystne na przykład w sytuacji, gdy ruch VoIP ma przechodzić przez tunel
    • Load balancing za pośrednictwem drugiej zapory sieciowej zostaje znacznie uproszczone, jeśli tylko urządzenie UTM otrzymuje trasę w momencie faktycznego nawiązania tunelu

    Polecenie CLI

    Połączenie za pomocą SSH lub poprzez menu Dodatki CLI:

    route get określa prawidłowy identyfikator połączenia

    route set id <ID> flags BLACKHOLE_IF_OFFLINE

    NP.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    To polecenie odrzuca pakiety kierowane do tego miejsca docelowego, jeśli nie istnieje odpowiednia trasa.
    Na przykład w przypadku SSL VPN lub WireGuard, jeśli tunel jest niedostępny.

    Uwagi

    Multipath

    Multipath

    W przypadku multipath po stronie klienta, połączenie VPN w kliencie musi zostać powiązane z interfejsem.
    Aby powiązać połączenie klienta z interfejsem, należy użyć polecenia CLI openvpn get zlokalizować ID połączenia.
    Polecenie openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES można następnie ustawić wychodzący adres IP.
    Dodatkowo w regule wychodzącej (internal-network → sieć VPN → $DIENST) wymagana jest Rule-Route przez odpowiedni interfejs tunX.


    Transparentne HTTP-Proxy

    Podczas dostępu do serwera za połączeniem Site-to-Site z wewnętrznej sieci przez HTTP, transparentne HTTP-Proxy może filtrować pakiety. Może to prowadzić do błędów w dostępie do celu.
    Aby temu zapobiec, należy dodać regułę w menu Aplikacje Proxy HTTP Obszar Tryb transparentny przycisk + Dodaj regułę transparentną:

    Dodaj regułę transparentną UTMuser@firewall.name.fqdnAplikacjaHTTP-Proxy

    Protokół: HTTP
    Typ: Exclude
    Źródło: internal-network
    Cel: nazwa-vpn-obiekt-sieciowy
  • Jeśli używana jest inspekcja SSL, należy to również zrobić dla protokołu HTTPS.






























    • In dieser Seite werden die Variablen für unterschiedliche Sprachen definiert.
    Diese Seite wird auf folgenden Seiten eingebunden





















    Connection Rate Limit

    Ograniczanie dostępu z określonych adresów IP źródłowych do powtarzających się portów

    notempty
    Funkcja ta znajduje się nadal w fazie testów i będzie dalej rozbudowywana.
    Na razie funkcję tę można skonfigurować wyłącznie za pomocą CLI

    Funkcja ta ma na celu ochronę przed atakami.
    Dostęp przez SSL-VPN można na przykład zabezpieczyć przed agresywnymi skanami lub próbami logowania.

    Od wersji 12.6.2 urządzenie UTM może ograniczać liczbę połączeń TCP i/lub UDP z zewnętrznego adresu IP do jednego portu.
    Obowiązują przy tym następujące warunki:

    • Monitorowane są wyłącznie połączenia przychodzące, dla których istnieje default-route
    • Liczone są połączenia z jednego adresu IP do jednego portu urządzenia UTM w ciągu jednej minuty
    • Po aktywacji dozwolonych jest 5 połączeń / prób połączenia na minutę
      Następnie połączenia zostaną ograniczone:
      • W tym przypadku dodatkowe dozwolone połączenia zostaną równomiernie rozłożone w ciągu 60 sekund od pierwszego połączenia.
      • Gdy wartość CONNECTION_RATE_LIMIT wynosi 20, co 3 sekundy dodawane jest kolejne połączenie.
      • 10 sekund po pierwszym połączeniu mogłyby zostać nawiązane kolejne 3 połączenia (każde z tego samego adresu IP na ten sam port docelowy)
    • Zablokowanie adresu IP dotyczy wyłącznie dostępu do portu, który był zbyt często korzystany.
      Dostęp do pozostałych portów pozostaje bez zmian.
    • W przypadku nowych instalacji funkcja ta jest domyślnie włączona z limitem 20 połączeń UDP na minutę dla wszystkich portów
    • W przypadku aktualizacji funkcja musi zostać ręcznie aktywowana
    extc-Variable Default Opis
    CONNECTION_RATE_LIMIT_TCP 0 Liczba dozwolonych połączeń TCP dla danego adresu IP na port
    0 = Funkcja wyłączona, nie są stosowane żadne blokowania
    CONNECTION_RATE_LIMIT_TCP_PORTS Porty, które mają być monitorowane. Przy ustawieniu domyślnym pole jest puste= oznacza to, że (po włączeniu) monitorowane będą wszystkie porty.
    Porty należy oddzielić spacjami: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20
    W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona.
    		Liczba dozwolonych połączeń UDP dla jednego adresu IP na port
    CONNECTION_RATE_LIMIT_UDP_PORTS Porty, które mają być monitorowane. W ustawieniach domyślnych pole jest puste = Wszystkie porty będą monitorowane (tylko w przypadku nowych instalacji!).
    Porty należy oddzielić spacjami: [ 1194 1195 ]

    Konfiguracja za pomocą poleceń CLI

    Wyświetl konfigurację za pomocą poleceń CLI
    ukryj
    Klicken für dauerhafte Anzeige
    CLI polecenie Funkcja
    extc value get application securepoint_firewall
    Alternatywnie użytkownikiem root:
    spcli extc value get application securepoint_firewall | grep RATE     		Wyświetla listę wszystkich zmiennych aplikacji „securepoint_firewall”.
    Zmienne zaczynające się od „CONNECTION_RATE_LIMIT_” odpowiadają za limit połączeń.

    application |variable |value --------------------+-------------------------------+----- securepoint_firewall |… |… |CONNECTION_RATE_LIMIT_TCP |0 |CONNECTION_RATE_LIMIT_TCP_PORTS| |CONNECTION_RATE_LIMIT_UDP |20 |CONNECTION_RATE_LIMIT_UDP_PORTS|

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    system update rule    		 Ogranicza dopuszczalną liczbę połączeń „TCP” z pojedynczego adresu IP na dany port do 20 na minutę
  • Zmiana jest wprowadzana bezpośrednio poprzez „aktualizację reguły”.
    Wartość nie musi być najpierw ustawiona na 0!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0
    system update rule    		 Wyłącza monitorowanie połączeń TCP
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    system update rule     		Ogranicza monitorowanie połączenia TCP z portami 443 i 11115
    Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ]
    system update rule    		 Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    system update rule    		 Ogranicza dopuszczalną liczbę połączeń UDP z jednego adresu IP na określony port do 20 na minutę
    Domyślne ustawienie w przypadku nowej instalacji od wersji 12.6.2: 20
    W przypadku instalacji z aktualizacją wartość ta wynosi 0, co oznacza, że funkcja jest wyłączona.
  • Zmiana jest wprowadzana bezpośrednio poprzez „aktualizację reguły”.
    Wartość nie musi być najpierw ustawiona na 0!
    • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0
    system update rule    		 Wyłącza monitorowanie dla połączeń UDP
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ]
    system update rule     		Ogranicza monitorowanie połączeń UDP do portów 1194 i 1195.
    (Przykład dla 2 utworzonych tuneli SSL-VPN).
    Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule    		 Przed i po nawiasach kwadratowych [ ] muszą znajdować się spacje!

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule

    notempty
    Na koniec należy wprowadzić polecenie CLI system update rule, aby zastosować wartości określone w regułach.

    		Na przykład, aby zezwolić na maksymalnie 20 połączeń na minutę na adres IP i port. W przypadku protokołu TCP monitorowanie ogranicza się do portów 443 i 11115. W przypadku połączeń UDP monitorowane są wszystkie porty.
    Źródło: „https://wiki.securepoint.de/index.php?title=UTM/VPN/SSL_VPN-S2S&oldid=116083”