Wechseln zu:Navigation, Suche
Wiki

Vorlage:Styles-Startseiten.css und UTM/VPN/SSL VPN-S2S: Unterschied zwischen den Seiten

(Unterschied zwischen Seiten)
Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
 
KKeine Bearbeitungszusammenfassung
 
Zeile 1: Zeile 1:
/*** Bei Verwendung dieses css-Styles dürfen keine Tabellenüberschriften mit »!« formatiert werden
{{Set_lang}}
Tabellenlayout: 2-Spaltig, jede 2. Zeile als Überschrift ***/


</div>{{DISPLAYTITLE:SSL-VPN Site-to-Site}}{{TOC limit | 3}}
<p>'''Konfiguration von SSL-VPN Site-to-Site-Verbindungen'''</p>


/*** Formatierungen für Alle ***/
<p>Letzte Anpassung zur Version: '''11.8.7''' </p>


/* a {
<p>{{cl | {{#var:neu|Neu:}} |
color: #1b599b;
* Defaultwert für Verschlüsselungs-Algorythmus geändert
}
* Defaultwert für Hashverfahren geändert
|w=60px }} </p>


a:visited {
<p>Vorherige Versionen: [[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]], [[UTM/VPN/SSL_VPN-S2S_v11.7 | 11.7]]</p>
color: #636;
<br>
} */


=== Einleitung ===
Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes  explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
==== Site to Site Server ====
Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
==== Site to Site Client ====
Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.


.padding10 td {
=== Site to Site Konfiguration ===
  padding: 10px!important;
==== Site to Site Server ====
  }
{{Hinweis| ! Für die Einrichtung des S2S Server wird ein Server- und Client-Zertifikat benötigt. }}
<br clear=both>


ul {
===== Schritt 1 =====
margin-bottom: 0.3em;
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss1.png | Installationsschritt 1 }}
list-style: none;
Menü {{Menu|VPN|SSL-VPN}} Schaltfläche {{Button| SSL-VPN Verbindung hinzufügen|+}}
}
<br>
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
* Roadwarrior Server
* '''Site to Site Server'''
* Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
<div style="clear: both;"></div>


dl {
===== Schritt 2 =====
/* padding-top: 1em!important;
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss2.png | Installationsschritt 2 }}
padding-bottom: 0px!important; */
Soll ein lokales IPv6-Netz angebunden werden, muss die Option {{b| IPv6 über IPv4 verwenden:}} aktiviert {{ButtonAn | Ja }} werden.
margin-bottom: 0px !important;
<div style="clear: both;"></div>
break-inside: avoid;
margin-top: 1em;
}


===== Schritt 3 =====
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss3.png | Installationsschritt 3 }}
Lokale Einstellungen für den Site to Site Server<br>


dt {
{| class="sptable2"
margin: 0;
|-
font-weight: bold;
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
margin-bottom: 0em;
|-
}
| {{b| Name: }} || {{ ic | srv-S2S }}-server || Eindeutige Bezeichnung
|-
| {{b| Protokoll: }} || {{Button| UDP | dr }} || gewünschtes Protokoll
|-
| {{b| Serverzertifikat: }} || {{ Button| Server-Zertifikat|dr}} || Auswahl des Zertifikates, mit dem der Server sich Authentifiziert
|-
| {{ b | Servernetzwerke freigeben: }} || {{ic| {{cb|192.168.175.0/24}} |cb}} || An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.
|}


<div style="clear: both;"></div>


dd {
===== Schritt 4 =====
margin-top: 0.3em;
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss4.png | Installationsschritt 4 }}
margin-bottom: 0em;
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.<br>
margin-left: 0;
{| class="sptable2 pd5"
font-style: italic;
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
}
|-
| {{b| Transfer-Netzwerk: }} || {{ic | 192.168.190.0/24 }} || Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
|-
| {{b| Server-Tunneladresse:}} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp; &emsp;/32 }} || rowspan="2" | Die Server- und Client-Tunneladresse wird automatisch ausgewählt.
|-
| {{b| IPv4 Client-Tunneladresse: }} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp;/24 }}
|}
<div style="clear: both;"></div>


li:before {
font-family: 'Font Awesome 5 Pro';
content: "\f0a9";
font-size: 12px;
color: #d62c1a;
position: absolute;
left: 0px;
margin-right: 1em;
}


li {
padding-left: 20px;
display: block;
position: relative;
}


.spgrid {
====Schritt 5====
background-color:white;
[[Datei:Utm_ssl-vpn_s2s05.png|thumb|300px|Installationsschritt 5]]
color: #222;
<br>
margin: 1em 0em;
Das Client-Zertifikat muss ausgewählt und die Clientnetzwerke freigegeben werden.
width: 100%;
<div style="clear: both;"></div>
}
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Das ausgewählte Zertifikat sollte an keinen anderen Client verwendet werden.</span></div>
</div>
<div style="clear: both;"></div>
====Weitere Client-Gegenstellen====
[[Datei:Utm_ssl-vpn_s2s06.png|thumb|300px|Installationsschritt 5]]
<br>
Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über das "+" hinzugefügt werden.
<div style="clear: both;"></div>
===Site to Site Client===
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-red.png]] </div>
<div style="display: flex;"><span style="background-color: #bc1b18;padding:10px;border-radius:4px;font-weight:bold;color:white">Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.</span></div>
</div>
<div style="clear: both;"></div>
----
====Schritt 1====
[[Datei:Utm_ssl-vpn_s2s01b.png|thumb|300px|Installationsschritt 1]]
<br>
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
*Roadwarrior Server
*Site to Site Server
*'''Site to Site Client'''
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
<div style="clear: both;"></div>
====Schritt 2====
[[Datei:Utm_ssl-vpn_roadwarrior02.png |200px|thumb|right| Installationsschritt 2]]
<br>
Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.
<div style="clear: both;"></div>


.spgrid td {
==== Schritt 3 =====
background-color: #f8f9fa;
[[Datei:Utm_ssl-vpn_s2s07.png |300px|thumb|right| Installationsschritt 3]]
padding: 0.2em 0.1em;
<br>
line-height:1.4;
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
}
<div style="clear: both;"></div>


.spgrid .Leerzeile {
border-left: 0;
border-right: 0;
background: white;
}


.spgrid tr {
====Schritt 4====
display: grid;
Dieser Installationsschritt entfällt.
grid-template-columns: 50% 50%;
====Schritt 5====
width: 100%;
[[Datei:Utm_ssl-vpn_s2s08.png |300px|thumb|right| Installationsschritt 5]]
}
<br>
.spgrid .colspan2 {
Im Schritt 5 wird die Remotegateway IP-Adresse oder SPDyn-Adresse an.
border-right: 0!important;
<div style="clear: both;"></div>
}
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Wenn der Port nicht 1194 ist, muss dieser hinter die Adresse gesetzt werden.</span></div>
</div>
<div style="clear: both;"></div>
===Regelwerk===
[[Datei:Utm_ssl-vpn_roadwarrior10.png|thumb|300px|Implizierte Regeln]]
<br>
Unter Firewall -> Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
<div style="clear: both;"></div>
====Regeln und Routing====
[[Datei:Utm ssl-vpn regel.png|center|1100px|SSLVPN Regeln für eine S2S Verbindung]]
<br>
Die Regeln müssen im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.
<div style="clear: both;"></div>
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.</span></div>
</div>
<div style="clear: both;"></div>


.startbox-flex {
display: flex;
flex-flow: wrap;
}


.startbox {
<div>
display: block;
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
background: #fff;
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Als Dienst muss der benötigte Dienst ausgewählt werden.</span></div>
/* border-top: 1px solid #a2a9b1;
</div>
border-right: 1px solid #a2a9b1;
<div style="clear: both;"></div>
border-left: 1px solid #a2a9b1; */
/* margin: 10px 5px 0px 5px; */
box-shadow: 0 0 0 1px rgba(0,0,0,0.05);
border-radius: 3px 3px 0px 0px;
}


.startbox.breit {
width: calc(64% + 20px - 1em);
}


.startbox-body-breit {
[[Datei:Utm ssl-vpn route.png|right|Route für Gegenstelle|thumb ]]
column-count: 2;
<br>
column-gap: calc( 2em + 20px);
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.
column-rule: thin solid rgba(0,0,0,0.1);
<div style="clear: both;"></div>
padding: 1em;
}


===Hinweise===
====Verschlüsselung====
Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich</span></div>
</div>
<div style="clear: both;"></div>
====Hashverfahren====
Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.
<div>
<div style="display: flex;padding-right:10px;float:left;"> [[Datei:alert-yellow.png]] </div>
<div style="display: flex;"><span style="background-color: #ffc926;padding:10px;border-radius:4px;font-weight:bold;">Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich</span></div>
</div>
<div style="clear: both;"></div>
====QoS====
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.
====Multipath====
Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden.
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl '''openvpn get''' die ID der Verbindung ausfindig gemacht werden. Über den Befehl '''openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES''' kann dann die ausgehende IP gesetzt werden.
Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.


.startbox-head {
====Search Domain====
background-color: #eaecf0;
Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.
min-height: 3em;
====DNS/WINS übermitteln====
padding: 1em;
Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt.
}
Eine Anleitung zum Einrichten des DNS-Relay finden Sie [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | hier.]]


.startbox-body {
====IPv6 für eingehende Verbindungen====
padding: 1em;
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.
}


.startbox-body-breit-col {
====Der transparente HTTP-Proxy====
width: 45%;
Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit dies nicht passiert muss ein '''Exclude''' mit der Quelle '''internal-network'''' zum Ziel '''name-vpn-netzwerk-objekt'''' und dem Protokoll '''HTTP''' erstellt werden.
}
 
 
 
/*** Ende Formatierungen für Alle ***/
 
/*** Formatierungen Standard (=Monitor) ***/
 
table { border: 0; }
 
.startbox {
width: 31%;
margin: 15px;
}
 
.wikitable2 tr:nth-child(2n) {
  background: green!important;
  }
 
.spgrid tr > td:nth-child(1) {
padding: 15px;
grid-column: 1 / 2;
grid-row: 1;
background-color: #eaecf0;
/* border-top: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1;
border-left: 1px solid #a2a9b1; */
margin: 10px 5px 0px 5px;
box-shadow: 0 0 0 1px rgba(0,0,0,0.05);
border-radius: 3px 3px 0px 0px;
}
 
.spgrid tr > td:nth-child(2) {
padding: 15px;
grid-column: 2 / 3;
grid-row: 1;
background-color: #eaecf0;
/* border-top: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1; */
margin: 10px 5px 0px 5px;
box-shadow: 0 0 0 1px rgba(0,0,0,0.05);
border-radius: 3px;
}
 
.spgrid tr > td:nth-child(3) {
padding: 15px;
grid-column: 1 / 2;
grid-row: 2;
/* background-color: #f8f9fa;
border-top: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1;
border-left: 1px solid #a2a9b1; */
border-spacing: 5px;
margin: 0px 5px 10px 5px;
box-shadow: 0 0 0 1px rgba(0,0,0,0.05);
border-radius: 0px 0px 3px 3px;
background: #fff;
}
 
.spgrid tr > td:nth-child(4) {
padding: 15px;
grid-column: 2 / 3;
grid-row: 2;
/* background-color: #f8f9fa;
border-top: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1; */
border-spacing: 5px;
margin: 0px 5px 10px 5px;
box-shadow: 0 0 0 1px rgba(0,0,0,0.05);
border-radius: 0px 0px 3px 3px;
background: #fff;
}
 
 
.spgrid tr:last-child > td:nth-child(3) {
padding: 15px;
grid-column: 1 / 2;
grid-row: 2;
background-color: #f8f9fa;
border-top: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1;
border-bottom: 1px solid #a2a9b1;
border-left: 1px solid #a2a9b1;
}
 
.spgrid tr:last-child > td:nth-child(4) {
padding: 15px;
grid-column: 2 / 3;
grid-row: 2;
background-color: #f8f9fa;
border-top: 1px solid #a2a9b1;
border-bottom: 1px solid #a2a9b1;
border-right: 1px solid #a2a9b1;
}
 
 
 
/*** Ende Formatierungen Standard ***/
 
 
/*** Formatierungen für Breakpoint xs ***/
 
@media (max-width:576px) {
 
table { border: 0; }
 
.spgrid tr > td:nth-child(1) {
padding: 15px;
grid-column: 1 / 3;
grid-row: 1;
background-color: #eaecf0;
border: 1px solid #a2a9b1;
border-bottom: 0;
margin-top: 5px;
}
 
.spgrid tr > td:nth-child(2) {
padding: 15px;
grid-column: 1 / 3;
grid-row: 3;
background-color: #eaecf0;
border: 1px solid #a2a9b1;
border-bottom: 0;
margin-top: 5px;
}
 
.spgrid tr > td:nth-child(3), .spgrid tr:last-child > td:nth-child(3) {
padding-top: 15px;
grid-column: 1 / 3;
grid-row: 2;
background-color: #f8f9fa;
border: 1px solid #a2a9b1;
}
 
.spgrid tr > td:nth-child(4), .spgrid tr:last-child > td:nth-child(4) {
padding-top: 15px;
grid-column: 1 / 3;
grid-row: 4;
background-color: #f8f9fa;
border: 1px solid #a2a9b1;
}
 
.spgrid .colspan2 {
border-right: 1px solid #a2a9b1!important;
}
 
.spgrid .frei {
display: none;
}
 
.spgrid .noborderbottom {
border-bottom: 0!important;
}
 
.spgrid .nobordertop {
border-top: 0!important;
}
 
 
} /*** Ende Formatierungen für Breakpoint xs ***/

Version vom 10. Januar 2020, 09:56 Uhr




























Konfiguration von SSL-VPN Site-to-Site-Verbindungen

Letzte Anpassung zur Version: 11.8.7

Neu:

  • Defaultwert für Verschlüsselungs-Algorythmus geändert
  • Defaultwert für Hashverfahren geändert

Vorherige Versionen: 11.6.12, 11.7


Einleitung

Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.

Site to Site Server

Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.

Site to Site Client

Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.

Site to Site Konfiguration

Site to Site Server

Für die Einrichtung des S2S Server wird ein Server- und Client-Zertifikat benötigt.

Schritt 1

Installationsschritt 1

Menü → VPN →SSL-VPN Schaltfläche SSL-VPN Verbindung hinzufügen
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

  • Roadwarrior Server
  • Site to Site Server
  • Site to Site Client

Für die Konfiguration des Site to Site Server wird dieser ausgewählt.

Schritt 2

Installationsschritt 2

Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.

Schritt 3

Installationsschritt 3

Lokale Einstellungen für den Site to Site Server

Beschriftung Wert Beschreibung
Name: srv-S2S-server Eindeutige Bezeichnung
Protokoll: UDP gewünschtes Protokoll
Serverzertifikat: Server-Zertifikat Auswahl des Zertifikates, mit dem der Server sich Authentifiziert
Servernetzwerke freigeben: » ✕192.168.175.0/24 An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.
Schritt 4

Installationsschritt 4

Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.

Beschriftung Wert Beschreibung
Transfer-Netzwerk: 192.168.190.0/24 Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
Server-Tunneladresse:        /32 Die Server- und Client-Tunneladresse wird automatisch ausgewählt.
IPv4 Client-Tunneladresse:      /24


Schritt 5

Installationsschritt 5


Das Client-Zertifikat muss ausgewählt und die Clientnetzwerke freigegeben werden.

Alert-yellow.png
Das ausgewählte Zertifikat sollte an keinen anderen Client verwendet werden.

Weitere Client-Gegenstellen

Installationsschritt 5


Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über das "+" hinzugefügt werden.

Site to Site Client

Alert-red.png
Für die Einrichtung des S2S Clients wird die CA und das Client-Zertifikat vom S2S Server benötigt.

Schritt 1

Installationsschritt 1


Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.

  • Roadwarrior Server
  • Site to Site Server
  • Site to Site Client

Für die Konfiguration des Site to Site Client wird dieser ausgewählt.

Schritt 2

Installationsschritt 2


Die Einstellung "IPv6 über IPv4" zu verwenden kann im Installationsschritt 2 eingeschaltet werden.

Schritt 3 =

Installationsschritt 3


Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.


Schritt 4

Dieser Installationsschritt entfällt.

Schritt 5

Installationsschritt 5


Im Schritt 5 wird die Remotegateway IP-Adresse oder SPDyn-Adresse an.

Alert-yellow.png
Wenn der Port nicht 1194 ist, muss dieser hinter die Adresse gesetzt werden.

Regelwerk

Implizierte Regeln


Unter Firewall -> Implizierte Regeln -> VPN kann das Protokoll, welches für die Verbindung genutzt wird aktiviert werden. Diese Implizierte Regel gibt die Ports, welche für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.

Regeln und Routing

SSLVPN Regeln für eine S2S Verbindung


Die Regeln müssen im Portfilter noch gesetzt werden, diese werden nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.

Alert-yellow.png
Ein Netzwerkobjekt für das Tunnelnetzwerk muss vorab erstellt werden.


Alert-yellow.png
Als Dienst muss der benötigte Dienst ausgewählt werden.


Route für Gegenstelle


Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.

Hinweise

Verschlüsselung

Standartmäßig wird ein Blowfish-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.

Alert-yellow.png
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

Hashverfahren

Standartmäßig wird ein SHA1 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.

Alert-yellow.png
Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich

QoS

Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden.

Multipath

Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden. Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden. Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden. Des Weiteren wird in der ausgehenden Regel (internal-network -> VPN-Netzwerk -> $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.

Search Domain

Die Search Domain kann automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Allgemein" aktiviert werden.

DNS/WINS übermitteln

Der DNS und der WINS können automatisch übermittel werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung unter "Erweitert" aktiviert werden. Die IP-Adressen vom DNS und WINS werden unter "VPN" -> "Globale VPN-Einstellungen" gesetzt. Eine Anleitung zum Einrichten des DNS-Relay finden Sie hier.

IPv6 für eingehende Verbindungen

In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.

Der transparente HTTP-Proxy

Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. Damit dies nicht passiert muss ein Exclude mit der Quelle internal-network' zum Ziel name-vpn-netzwerk-objekt' und dem Protokoll HTTP erstellt werden.

Abgerufen von „https://wiki.securepoint.de/index.php?title=Vorlage:Styles-Startseiten.css&oldid=65813“