Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/IPSec-S2E v11.8: Unterschied zwischen den Versionen

Aus Securepoint Wiki
KKeine Bearbeitungszusammenfassung
KKeine Bearbeitungszusammenfassung
Zeile 6: Zeile 6:


{{var | display
{{var | display
| IPSec - End to Site / Roadwarrier
| IPSec - End to Site / Roadwarrior
| IPSec - End to Site / Roadwarrier }}
| IPSec - End to Site / Roadwarrior }}
{{var | header
{{var | header
| Konfiguration einer End-to-Site-Verbindung mit IPSec für Roadwarrier
| Konfiguration einer End-to-Site-Verbindung mit IPSec für Roadwarrior
| Configuration of an End-to-Site-connection with IPSec for roadwarrior }}
| Configuration of an End-to-Site-connection with IPSec for roadwarrior }}
{{var | Changelog
{{var | Changelog
Zeile 45: Zeile 45:
| The following connections are available: }}
| The following connections are available: }}
{{var | Schritt1--desc
{{var | Schritt1--desc
| Für die Konfiguration einer E2S / End-to-Site-Verbindung wird '''Roadwarrier''' ausgewählt.
| Für die Konfiguration einer E2S / End-to-Site-Verbindung wird '''Roadwarrior''' ausgewählt.
| For the configuration of an E2S / End-to-Site-connection ''' roadwarrior''' is to be selected. }}
| For the configuration of an E2S / End-to-Site-connection ''' roadwarrior''' is to be selected. }}
{{var | Schritt1--bild
{{var | Schritt1--bild
Zeile 118: Zeile 118:
| or }}
| or }}
{{var | Schritt4--gatewayID--val
{{var | Schritt4--gatewayID--val
| Mein_Roadwarrier
| Mein_Roadwarrior
| My_Roadwarrier }}
| My_Roadwarrior }}
{{var | Schritt4--gatewayID--desc
{{var | Schritt4--gatewayID--desc
| Wird mehr als '''eine''' IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft.
| Wird mehr als '''eine''' IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft.
Zeile 133: Zeile 133:
| IP Address(es): }}
| IP Address(es): }}
{{var | Schritt4--IPadresse--desc
{{var | Schritt4--IPadresse--desc
| Zusätzliche IP-Adresse für den Roadwarrier, mit der die IPSec-Verbindung aufgebaut wird.
| Zusätzliche IP-Adresse für den Roadwarrior, mit der die IPSec-Verbindung aufgebaut wird.
| Additional IP address for the roadwarrior with which the IPSec connection is established. }}
| Additional IP address for the roadwarrior with which the IPSec connection is established. }}
{{var | Schritt4--IPadresse--hinweis | Sollen viele Roadwarrier den gleichen Tunnel verwenden, kann später in {{Button|Phase 2|w}} {{Reiter| Subnetze}} eine Netzwerkadresse konfiguriert werden. | If many roadwarriers should use the same tunnel, a network address can be configured later in {{Button|Phase 2|w}} / {{Reiter|Subnets}}. }}
{{var | Schritt4--IPadresse--hinweis | Sollen viele Roadwarrior den gleichen Tunnel verwenden, kann später in {{Button|Phase 2|w}} {{Reiter| Subnetze}} eine Netzwerkadresse konfiguriert werden. | If many Roadwarriors should use the same tunnel, a network address can be configured later in {{Button|Phase 2|w}} / {{Reiter|Subnets}}. }}
{{var | Schritt4--IPadresse--phase2
{{var | Schritt4--IPadresse--phase2
| de=Für dieses Beispiel wird nach Beendigung des Assistenten die soeben angegebene Adresse bearbeitet {{Button||w}} und für das {{b|Remote-Netzwerk}} der Wert {{ic|192.168.22.0/24}} eingetragen.
| de=Für dieses Beispiel wird nach Beendigung des Assistenten die soeben angegebene Adresse bearbeitet {{Button||w}} und für das {{b|Remote-Netzwerk}} der Wert {{ic|192.168.22.0/24}} eingetragen.
Zeile 251: Zeile 251:
| Service / Protocol, Port 
isakmp / udp 500 
nat-traversal / udp 4500 

Protocol esp }}
| Service / Protocol, Port 
isakmp / udp 500 
nat-traversal / udp 4500 

Protocol esp }}
{{var | regel2--desc
{{var | regel2--desc
| Die zweite Regel erlaubt dem Roadwarrier den Zugriff auf die Schnittstelle der dmz.
| Die zweite Regel erlaubt dem Roadwarrior den Zugriff auf die Schnittstelle der dmz.
|  }}
|  }}
{{var | regel2--quelle--desc
{{var | regel2--quelle--desc
| Roadwarrier -Host oder -Netzwerk
| Roadwarrior -Host oder -Netzwerk
|  }}
|  }}
{{var | regel2--ziel
{{var | regel2--ziel
Zeile 263: Zeile 263:
|  }}
|  }}
{{var | regel3--desc
{{var | regel3--desc
| Eine zweite Regel erlaubt dem Roadwarrier den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe.
| Eine zweite Regel erlaubt dem Roadwarrior den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe.
| A second rule allows the roadwarrior to access the desired network, host or network group. }}
| A second rule allows the roadwarrior to access the desired network, host or network group. }}
{{var | regel3--quelle--desc
{{var | regel3--quelle--desc
| Roadwarrier -Host oder -Netzwerk
| Roadwarrior -Host oder -Netzwerk
| Roadwarrier host or network }}
| Roadwarrior host or network }}
{{var | regel3--ziel--desc
{{var | regel3--ziel--desc
| Netzwerk, auf das zugegriffen werden soll.
| Netzwerk, auf das zugegriffen werden soll.
Zeile 275: Zeile 275:
| Desired service or service group }}
| Desired service or service group }}
{{var | verbindung-herstellen
{{var | verbindung-herstellen
| Jetzt kann eine Verbindung mit einem Roadwarrier hergestellt werden.
| Jetzt kann eine Verbindung mit einem Roadwarrior hergestellt werden.
| Now a connection with a roadwarrior can be established. }}
| Now a connection with a roadwarrior can be established. }}
{{var | verbindung--parameter--desc
{{var | verbindung--parameter--desc
Zeile 323: Zeile 323:




</div>{{DISPLAYTITLE: {{#var: display| IPSec - End to Site / Roadwarrier }} }}{{Select_lang}}{{TOC2}}
</div>{{DISPLAYTITLE: {{#var: display| IPSec - End to Site / Roadwarrior }} }}{{Select_lang}}{{TOC2}}
<p>''' {{#var: header| Konfiguration einer Roadwarrier-Verbindung mit IPSec }} '''</p>
<p>''' {{#var: header| Konfiguration einer Roadwarrior-Verbindung mit IPSec }} '''</p>


=== {{#var: Changelog| Changelog }} ===
=== {{#var: Changelog| Changelog }} ===
Zeile 366: Zeile 366:
==== {{#var:Schritt}} 2 {{#var: Schritt2--desc| Allgemein }} ====
==== {{#var:Schritt}} 2 {{#var: Schritt2--desc| Allgemein }} ====
|-
|-
| {{b| Name: }} || {{ic| IPSec Roadwarrier }} || {{#var: Schritt2--Name--desc| Name für die Verbindung}} || class="bild width-m" rowspan="5" | {{Bild| {{#var: Schritt2--bild| UTMv11.8.8_IPSEC_S2E_ikev1_Assitent2.png }} <!-- UTMv11.8.8_IPSEC_Assitent2.png --> | {{#var:Einrichtungsschritt}} 2 }}
| {{b| Name: }} || {{ic| IPSec Roadwarrior }} || {{#var: Schritt2--Name--desc| Name für die Verbindung}} || class="bild width-m" rowspan="5" | {{Bild| {{#var: Schritt2--bild| UTMv11.8.8_IPSEC_S2E_ikev1_Assitent2.png }} <!-- UTMv11.8.8_IPSEC_Assitent2.png --> | {{#var:Einrichtungsschritt}} 2 }}
|-
|-
| {{b| {{#var: Schritt2--verbindungstyp--cap| Verbindungstyp: }} }} || {{Button| IKEv1 - Native |dr|w=140px}} || {{cl|{{#var: Schritt2--mögliche-verbindungstypen|Mögliche Verbindungstypen: }} | {{Button| IKEv1 - L2TP|dr|w=140px}}<br>{{Button| IKEv1 - XAuth |dr|w=140px}}<br>{{Button| IKEv1 - Native |dr|w=140px}}<br>{{Button| IKEv2 - Native |dr|w=140px}} | w=130px}}<br>
| {{b| {{#var: Schritt2--verbindungstyp--cap| Verbindungstyp: }} }} || {{Button| IKEv1 - Native |dr|w=140px}} || {{cl|{{#var: Schritt2--mögliche-verbindungstypen|Mögliche Verbindungstypen: }} | {{Button| IKEv1 - L2TP|dr|w=140px}}<br>{{Button| IKEv1 - XAuth |dr|w=140px}}<br>{{Button| IKEv1 - Native |dr|w=140px}}<br>{{Button| IKEv2 - Native |dr|w=140px}} | w=130px}}<br>
Zeile 387: Zeile 387:
==== {{#var:Schritt}} 4 {{#var: Gegenstelle| Gegenstelle }} ====
==== {{#var:Schritt}} 4 {{#var: Gegenstelle| Gegenstelle }} ====
|-
|-
| {{b| Remote Gateway ID: }} || {{ic| 192.0.2.192 |dr}} <br><small>{{#var: oder| oder }}</small><br>{{ic| {{#var: Schritt4--gatewayID--val| Mein_Roadwarrier }} |dr}}|| {{Hinweis|!}} {{#var: Schritt4--gatewayID--desc| Wird mehr als '''eine''' IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft. }} {{info|{{#var: Schritt4--gatewayID--info| Wird als ID keine IP-Adresse angegeben, sind bei Site-to-Site-Verbindungen weitere Einstellungen vorzunehmen. }} }} || class="bild width-m" rowspan="3" | {{Bild| {{#var: Schritt4--gatewayID--bild| UTMv11.8.8_IPSEC_S2E_ikev1_Assitent4.png }} <!-- UTMv11.8.8_IPSEC_Assitent4.png --> | {{#var:Einrichtungsschritt}} 4 }}
| {{b| Remote Gateway ID: }} || {{ic| 192.0.2.192 |dr}} <br><small>{{#var: oder| oder }}</small><br>{{ic| {{#var: Schritt4--gatewayID--val| Mein_Roadwarrior }} |dr}}|| {{Hinweis|!}} {{#var: Schritt4--gatewayID--desc| Wird mehr als '''eine''' IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft. }} {{info|{{#var: Schritt4--gatewayID--info| Wird als ID keine IP-Adresse angegeben, sind bei Site-to-Site-Verbindungen weitere Einstellungen vorzunehmen. }} }} || class="bild width-m" rowspan="3" | {{Bild| {{#var: Schritt4--gatewayID--bild| UTMv11.8.8_IPSEC_S2E_ikev1_Assitent4.png }} <!-- UTMv11.8.8_IPSEC_Assitent4.png --> | {{#var:Einrichtungsschritt}} 4 }}
|-
|-
| <!-- Mit '''IKEv2''': {{b|IP Adresse / Pool: }}<br> --> {{b|{{#var: Schritt4--IPadresse--cap| IP-Adresse(n): }} }} || {{ic| 192.168.222.35 }} || {{#var: Schritt4--IPadresse--desc| IP-Adresse für den Roadwarrier. }}
| <!-- Mit '''IKEv2''': {{b|IP Adresse / Pool: }}<br> --> {{b|{{#var: Schritt4--IPadresse--cap| IP-Adresse(n): }} }} || {{ic| 192.168.222.35 }} || {{#var: Schritt4--IPadresse--desc| IP-Adresse für den Roadwarrior. }}
<li class="list--element__alert list--element__hint">{{#var: Schritt4--IPadresse--hinweis| Sollen viele Roadwarrier den gleichen Tunnel verwenden, kann später in {{Button|Phase 2|w}}  / {{Reiter| Subnetze}} eine Netzwerkadresse konfiguriert werden. }}<br>{{#var: Schritt4--IPadresse--phase2| Für dieses Beispiel wird das nach Beendigung des Assistenten das soeben angelegte Subnetz bearbeitet {{Button||w}} und für das {{b|Remote-Netzwerk}} der Wert {{ic|192.168.22.0/24}} eingebtragen. }}</li>
<li class="list--element__alert list--element__hint">{{#var: Schritt4--IPadresse--hinweis| Sollen viele Roadwarrior den gleichen Tunnel verwenden, kann später in {{Button|Phase 2|w}}  / {{Reiter| Subnetze}} eine Netzwerkadresse konfiguriert werden. }}<br>{{#var: Schritt4--IPadresse--phase2| Für dieses Beispiel wird das nach Beendigung des Assistenten das soeben angelegte Subnetz bearbeitet {{Button||w}} und für das {{b|Remote-Netzwerk}} der Wert {{ic|192.168.22.0/24}} eingebtragen. }}</li>
|-
|-
| class=" Leerzeile" colspan="3" | {{#var: wizard-beenden| Beenden des Einrichtungsassistenten mit {{Button| Fertig }} }}
| class=" Leerzeile" colspan="3" | {{#var: wizard-beenden| Beenden des Einrichtungsassistenten mit {{Button| Fertig }} }}
Zeile 408: Zeile 408:
{{Menu| Firewall | Portfilter | {{#var: Netzwerkobjekte| Netzwerkobjekte }} |{{#var:Netzwerkobjekte--hinzufügen| Objekt hinzufügen }} |+}}
{{Menu| Firewall | Portfilter | {{#var: Netzwerkobjekte| Netzwerkobjekte }} |{{#var:Netzwerkobjekte--hinzufügen| Objekt hinzufügen }} |+}}
|-
|-
| {{b| Name:}} || {{ic| ngrp-IPSec-Roadwarrier }} || {{#var: Netzwerkobjekte--name--desc| Name für das IPSec-Netzwerkobjekt }} || class="bild width-m" rowspan="5" | {{Bild| {{#var: Netzwerkobjekte--bild| UTM v11.8.8 Netzwerkobjekt IPSec-native.png }} | {{#var: Netzwerkobjekte--bild--cap| Netzwerkobjekt }} }}
| {{b| Name:}} || {{ic| ngrp-IPSec-Roadwarrior }} || {{#var: Netzwerkobjekte--name--desc| Name für das IPSec-Netzwerkobjekt }} || class="bild width-m" rowspan="5" | {{Bild| {{#var: Netzwerkobjekte--bild| UTM v11.8.8 Netzwerkobjekt IPSec-native.png }} | {{#var: Netzwerkobjekte--bild--cap| Netzwerkobjekt }} }}
|-
|-
| {{b| {{#var: Netzwerkobjekte--typ| Typ: }} }} || {{ic| {{#var: Netzwerkobjekte----typ--val| VPN-Netzwerk }} |dr}} || {{#var: Netzwerkobjekte--typ--desc| zu wählender Typ }}
| {{b| {{#var: Netzwerkobjekte--typ| Typ: }} }} || {{ic| {{#var: Netzwerkobjekte----typ--val| VPN-Netzwerk }} |dr}} || {{#var: Netzwerkobjekte--typ--desc| zu wählender Typ }}
Zeile 433: Zeile 433:
|-
|-
<!--
<!--
| class="Leerzeile" colspan="3"| <br>{{#var: regel2--desc| Die zweite Regel erlaubt dem Roadwarrier den Zugriff auf die Schnittstelle der dmz um dessen Netzwerk auflösen zu können. }}
| class="Leerzeile" colspan="3"| <br>{{#var: regel2--desc| Die zweite Regel erlaubt dem Roadwarrior den Zugriff auf die Schnittstelle der dmz um dessen Netzwerk auflösen zu können. }}
|-
|-
| {{Kasten|{{#var:Quelle}} }} || {{ic| IPSec Roadwarrier|icon=vpn-network}} || {{#var: regel2--quelle--desc| Roadwarrier -Host oder -Netzwerk }}
| {{Kasten|{{#var:Quelle}} }} || {{ic| IPSec Roadwarrior|icon=vpn-network}} || {{#var: regel2--quelle--desc| Roadwarrior -Host oder -Netzwerk }}
|-
|-
| {{Kasten| {{#var:Ziel}} }} || {{ic| dmz1-interface |icon=interface}} || {{#var: regel2--ziel| Schnittstelle, die vor dem Netz liegt, auf das zugegriffen werden soll. }}
| {{Kasten| {{#var:Ziel}} }} || {{ic| dmz1-interface |icon=interface}} || {{#var: regel2--ziel| Schnittstelle, die vor dem Netz liegt, auf das zugegriffen werden soll. }}
Zeile 442: Zeile 442:
|-
|-
-->
-->
| class="Leerzeile" colspan="3"| <br>{{#var: regel3--desc| Eine zweite Regel erlaubt dann dem Roadwarrier den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe. }}
| class="Leerzeile" colspan="3"| <br>{{#var: regel3--desc| Eine zweite Regel erlaubt dann dem Roadwarrior den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe. }}
|-
|-
| {{Kasten| {{#var:Quelle}} }} || {{ic| IPSec Roadwarrier|icon=vpn-network}} || {{#var: regel3--quelle--desc| Roadwarrier -Host oder -Netzwerk }}
| {{Kasten| {{#var:Quelle}} }} || {{ic| IPSec Roadwarrior|icon=vpn-network}} || {{#var: regel3--quelle--desc| Roadwarrior -Host oder -Netzwerk }}
|-
|-
| {{Kasten| {{#var:Ziel}} }} || {{ic| dmz1-network |icon=net}} || {{#var: regel3--ziel--desc| Netzwerk, auf das zugegriffen werden soll. }}
| {{Kasten| {{#var:Ziel}} }} || {{ic| dmz1-network |icon=net}} || {{#var: regel3--ziel--desc| Netzwerk, auf das zugegriffen werden soll. }}
Zeile 452: Zeile 452:




<p>{{#var: verbindung-herstellen| Jetzt kann eine Verbindung mit einem Roadwarrier hergestellt werden. }}<br>
<p>{{#var: verbindung-herstellen| Jetzt kann eine Verbindung mit einem Roadwarrior hergestellt werden. }}<br>
{{#var: verbindung--parameter--desc| Hierzu muss ggf. ein Client verwendet werden. {{Hinweis|!|g}} Es muss darauf geachtet werden, dass in allen Phasen der Verbindung die Parameter auf beiden Seiten jeweils identisch sind. }}</p>
{{#var: verbindung--parameter--desc| Hierzu muss ggf. ein Client verwendet werden. {{Hinweis|!|g}} Es muss darauf geachtet werden, dass in allen Phasen der Verbindung die Parameter auf beiden Seiten jeweils identisch sind. }}</p>
<p>{{#var: verbindung--parameter--val| Bei Verwendung des bintec-elmeg-Clients müssen z.B. die Parameter
<p>{{#var: verbindung--parameter--val| Bei Verwendung des bintec-elmeg-Clients müssen z.B. die Parameter

Version vom 29. Juni 2020, 11:31 Uhr


















































































De.png
En.png
Fr.png

Konfiguration einer End-to-Site-Verbindung mit IPSec für Roadwarrior

Changelog

Letzte Anpassung zur Version: 11.8


Neu:

  • Designanpassung
  • Übersetzung


Vorherige Versionen: 11.6.12


Einleitung

Eine Roadwarrior-Verbindung verbindet einzelne Hosts mit dem lokalen Netzwerk. Dadurch kann sich beispielsweise ein Außendienstmitarbeiter mit dem Netzwerk der Zentrale verbinden.
In dieser Schritt für Schritt Anleitung wird die Konfiguration einer End-to-Site Verbindung gezeigt. Der gewählte Verbindungstyp ist native IPSec mit IKEv1.
Für native IPSec Verbindungen mit IKEv1 benötigt der Client ein separates Programm.

Konfiguration einer nativen IPSec Verbindung

Nach dem Login auf das Administrations-Interface der Firewall (im Auslieferungszustand: https://192.168.175.1:11115) kann im Menü → VPN →IPSec Schaltfläche IPSec Verbindung hinzufügen eine IPSec Verbindung hinzugefügt werden.

Einrichtungsassistent

Beschriftung Wert Beschreibung
Schritt 1 Verbindungstyp
Auswahl des Verbindungs-Typs Es stehen folgende Verbindungen zur Verfügung:
  • Roadwarrior
  • Site to Site
 Für die Konfiguration einer E2S / End-to-Site-Verbindung wird Roadwarrior ausgewählt. UTMv11.8.8 IPSEC Assitent1.png
Einrichtungsschritt 1

Schritt 2 Allgemein

Name: IPSec Roadwarrior Name für die Verbindung UTMv11.8.8 IPSEC S2E ikev1 Assitent2.png
Einrichtungsschritt 2
Verbindungstyp: IKEv1 - Native
Mögliche Verbindungstypen:

IKEv1 - L2TP
IKEv1 - XAuth
IKEv1 - Native
IKEv2 - Native

Bitte beachten, welcher Typ vom Betriebssystem unterstützt wird.

Authentifizierungsmethode: PSK Alternativ:
  • X.509 Zertifikat
  • RSA (Nicht bei IKEv2 !)
Pre-Shared Key: 12345 Ein beliebiger PSK. Mit der Schaltfläche wird ein sehr starker Schlüssel erzeugt.
X.509 Zertifikat: Server-Zertifikat Auswahl eines Zertifikates

Schritt 3 Lokal

Local Gateway ID: eth0 Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein. UTMv11.8.8 IPSEC Assitent3.png
Einrichtungsschritt 3
Netzwerk freigeben: 192.168.122.0/24 Das lokale Netzwerk, das über die VPN-Verbindung verbunden werden soll

Schritt 4 Gegenstelle

Remote Gateway ID: 192.0.2.192
oder
Mein_Roadwarrior		 Wird mehr als eine IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft.
Wird als ID keine IP-Adresse angegeben, sind bei Site-to-Site-Verbindungen weitere Einstellungen vorzunehmen.
  		 UTMv11.8.8 IPSEC S2E ikev1 Assitent4.png
Einrichtungsschritt 4
IP-Adresse(n): 192.168.222.35 Zusätzliche IP-Adresse für den Roadwarrior, mit der die IPSec-Verbindung aufgebaut wird.
  • Sollen viele Roadwarrior den gleichen Tunnel verwenden, kann später in Phase 2 Subnetze eine Netzwerkadresse konfiguriert werden.
    Für dieses Beispiel wird nach Beendigung des Assistenten die soeben angegebene Adresse bearbeitet und für das Remote-Netzwerk der Wert 192.168.22.0/24 eingetragen.
    • Beenden des Einrichtungsassistenten mit Fertig

    Regelwerk

    Um den Zugriff, auf das Interne Netz zu gewähren muss die Verbindung erlaubt werden.

    Implizite Regeln

    Es ist möglich, aber nicht empfehlenswert dies mit impliziten Regeln unter → Firewall →Implizite Regeln Abschnitt VPN und Abschnitt IPSec Traffic zu konfigurieren. Diese Impliziten Regeln geben die Ports, die für IPSec Verbindungen genutzt werden, jedoch auf allen Schnittstellen frei.
    UTM v11.8.8 Implizite-Regeln IPSec.png
    Implizite Regeln, Abschnitt VPN
    UTM v11.8.8 Implizite-Regeln IPSec-Traffic.png
    Implizite Regeln, Abschnitt IPSec Traffic

    Netzwerkobjekt anlegen

    → Firewall →PortfilterReiter Netzwerkobjekte Schaltfläche Objekt hinzufügen

    Name: ngrp-IPSec-Roadwarrior Name für das IPSec-Netzwerkobjekt UTM v11.8.8 Netzwerkobjekt IPSec-native.png
    Netzwerkobjekt
    Typ: VPN-Netzwerk zu wählender Typ
    Adresse: 192.168.222.0/24 Roadwarrior IP-Adresse oder der Roadwarrior Pool angegeben, der im Installationsassistenten im Schritt 4 eingetragen (oder nachträglich in Phase 2 angepasst) wurde.
    In diesem Beispiel also das Netzwerk 192.168.222.0/24.
    Zone: vpn-ipsec zu wählende Zone
    Gruppe:     Optional: Gruppe

    Portfilter Regeln
    UTM v11.8.8 Portfilter-Regel IPSec-ikev1.png
    Portfilter-Regel
    Die erste Regel ermöglicht, das der IPSec-Tunnel überhaupt aufgebaut wird.
    Quelle
    		World.svg internet Quelle, aus welcher der Zugriff auf das interne Netz erfolgen soll.
    Ziel
    		Interface.svg external-interface Schnittstelle, auf der die Verbindung ankommt.
    Dienst
    		Service-group.svg ipsec Vordefinierte Dienstgruppe für IPSec
    Dienst / Protokoll, Port isakmp / udp 500 nat-traversal / udp 4500 Protokoll esp
      

    Eine zweite Regel erlaubt dem Roadwarrior den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe.
    Quelle
    		Vpn-network.svg IPSec Roadwarrior Roadwarrior -Host oder -Netzwerk
    Ziel
    		Network.svg dmz1-network Netzwerk, auf das zugegriffen werden soll.
    Dienst
    		Service-group.svg xyz Gewünschter Dienst oder Dienstgruppe


    Jetzt kann eine Verbindung mit einem Roadwarrior hergestellt werden.
    Hierzu muss ggf. ein Client verwendet werden. Es muss darauf geachtet werden, dass in allen Phasen der Verbindung die Parameter auf beiden Seiten jeweils identisch sind.

    Bei Verwendung eines NCP-Clients müssen z.B. die Parameter

    • Diffie-Hellman Group: (UTM) bzw. IKE-DH-Gruppe (NCP) und
    • DH-Gruppe (PFS) (UTM) bzw. IKE DH-Gruppe (NCP)

    entweder in der UTM oder im NCP-Client angepasst werden.
    Bei Verwendung von IKEv1 muss außerdem der

    • Austausch-Modus

    im NCP-Client auf den sicheren Main Mode (IKEv1) eingestellt werden.


    Default-Werte IKEv1 / IKEv2
    Beschriftung Default-Werte UTM Default-Werte NCP-Client

    Phase 1
    Verschlüsselung: aes128 AES 128 Bit
    Authentifizierung: sha2_256 Hash: SHA2 256 Bit
    Diffie-Hellman Group: modp2048 IKE DH-Grupe: DH2 (modp1024)
    Strict: Aus
    IKE Lifetime: 1 Stunde
    Rekeying: default

    Phase 2
    Verschlüsselung: aes128 AES 128 Bit
    Authentifizierung: sha2_256 SHA2 256 Bit
    DH-Gruppe (PFS): modp2048 keine
    Schlüssel-Lebensdauer: 8 Stunden 8 Stunden
    Neustart nach Abbruch: Aus
    Austausch-Modus Main Mode (nicht konfigurierbar) Agressive Mode (IKEv1)
    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/IPSec-S2E_v11.8&oldid=74797“