UTM/VPN/IPSec-S2E v12.2.3

notempty

Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty

Der Artikel für die neueste Version steht hier

notempty

Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht

IKE

---

12.2.3

11.8 11.6.12

/ Menü → VPN →IPSecVerbindungen

Einrichtungsassistent

Schritt 1 -
			Einrichtungsschritt 1
Auswahl des Verbindungs-Typs	es stehen folgende Verbindungen zur Verfügung: Roadwarrior Site to Site	Für die Konfiguration einer Roadwarrior Verbindung wird eben diese ausgewählt.
2 -
Name:	IPSec Roadwarrior	Name für die Verbindung	2
Verbindungstyp:	IKEv1 - Native	Mögliche Verbindungstypen: IKEv1 - L2TP IKEv1 - XAuth IKEv1 - Native IKEv2 - Native Bitte beachten, welcher Typ vom Betriebssystem unterstützt wird.
Authentifizierungsmethode:	PSK	Alternativ: * X.509 Zertifikat * RSA (Nicht bei IKEv2 !)
Pre-Shared Key:	12345	Ein beiliebiger PSK. Mit der Schaltfläche wird ein sehr starker Schlüssel erzeugt.
X.509 Zertifikat:	Server-Zertifikat	Auswahl eines Zertifikates
3 -
Local Gateway ID:	eth0	Die Gateway ID fließt in die Authentifizierung mit ein. Dies kann eine IP-Adresse, ein Hostname oder eine Schnittstelle sein.	3
Netzwerk freigeben:	192.168.122.0/24	Das lokale Netzwerk, das über die VPN-Verbindung verbunden werden soll
4 -
Remote Gateway ID:	192.0.2.192 oder Mein_Roadwarrior	Wird mehr als eine IPSec-Verbindung eingerichtet, sollte hier unbedingt eine eindeutige ID eingetragen werden. Das Kennwort ankommender Verbindungen wird anhand der ID der IPSec-Verbindung überprüft. Wird als ID keine IP-Adresse angegeben, sind bei Site-to-Site-Verbindungen weitere Einstellungen vorzunehmen.	4
IP-Adresse(n):	192.168.222.35	IP-Adresse für den Roadwarrior. Sollen viele Roadwarrior den gleichen Tunnel verwenden, kann später in Phase 2 / Subnetze eine Netzwerkadresse konfiguriert werden. Für dieses Beispiel wird das nach Beendigung des Assistenten das soeben angelegte Subnetz bearbeitet und für das Remote-Netzwerk der Wert 192.168.22.0/24 eingebtragen.
Beenden des Einrichtungsassistenten mit Fertig
Regelwerk Um den Zugriff, auf das Interne Netz zu gewähren muss die Verbindung erlaubt werden.
Implizite Regeln Es ist möglich, aber nicht empfehlenswert dies mit impliziten Regeln unter → Firewall →Implizite Regeln Abschnitt VPN und Abschnitt IPSec Traffic zu konfigurieren. Diese Impliziten Regeln geben die Ports, die für IPSec Verbindungen genutzt werden, jedoch auf allen Schnittstellen frei.			Implizite Regeln, Abschnitt VPN Implizite Regeln, Abschnitt IPSec Traffic
Netzwerkobjekt anlegen → Firewall →PortfilterNetzwerkobjekte Objekt hinzufügen
Name:	ngrp-IPSec-Roadwarrior	Name für das IPSec-Netzwerkobjekt	Netzwerkobjekt
Typ:	VPN-Netzwerk	zu wählender Typ
Adresse:	192.168.222.0/24	Roadwarrior IP-Adresse oder der Roadwarrior Pool angegeben, der im Installationsassistenten im Schritt 4 eingetragen wurde. In diesem Beispiel also das Netzwerk 192.168.222.0/24.
Zone:	vpn-ipsec	zu wählende Zone
Gruppe:		Optional: Gruppe
Portfilter Regeln
Die erste Regel ermöglicht, das der IPSec-Tunnel überhaupt aufgebaut wird.
	internet	Quelle, aus welcher der Zugriff auf das interne Netz erfolgen soll.
	external-interface	Schnittstelle, auf der die Verbindung ankommt.
	ipsec	Vordefinierte Dienstgruppe für IPSec Dienst / Protokoll, Port isakmp / udp 500 nat-traversal / udp 4500 Protokoll esp
Eine zweite Regel erlaubt dann dem Roadwarrior den Zugriff auf das gewünschte Netzwerk, einen Host oder eine Netzwerkgruppe.
	IPSec Roadwarrior	Roadwarrior -Host oder -Netzwerk
	dmz1-network	Netzwerk, auf das zugegriffen werden soll.
	xyz	Gewünschter Dienst oder Dienstgruppe

notempty

---

Phase 1
→ VPN →IPSec Phase 1
			[[Datei: ]]
	Default
	Outgoing
	Incoming
	Route
	Ignore
1 12.2.3	30
12.2.3	10
	Default-Werte UTM	Default-Werte NCP-Client	[[Datei: ]]
Verschlüsselung:	aes128	AES 128 Bit
Authentifizierung:	sha2_256	Hash: SHA2 256 Bit
Diffie-Hellman Group:	modp2048	IKE DH-Grupe: DH2 (modp1024)
:
Strict:
	1 Stunde
Phase 2
→ VPN →IPSec Phase 2 :
	Default-Werte UTM	Default-Werte NCP-Client	[[Datei: ]]
	aes128	AES 128 Bit
	sha2_256	SHA2 256 Bit
DH-Gruppe (PFS):	modp2048	keine
Schlüssel-Lebensdauer:	8
Austausch-Modus	Main Mode (nicht konfigurierbar)	Aggressive Mode (IKEv1)
:
2
2
	' root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24 root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24 IPSec$20S2S_7: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.193.0/24		[[Datei: ]]
	' root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 192.168.219.0/24 remote: 192.168.192.0/24 192.168.193.0/24 root@firewall:~# swanctl --list-conns IPSec$20S2S: IKEv2, reauthentication every 3060s, no rekeying, dpd delay 10s local: %any remote: 192.0.2.192 local pre-shared key authentication: id: 192.168.175.218 remote pre-shared key authentication: id: 192.0.2.192 IPSec$20S2S_4: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.192.0/24 IPSec$20S2S_5: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.218.0/24 remote: 192.168.193.0/24 IPSec$20S2S_6: TUNNEL, rekeying every 28260s, dpd action is restart local: 192.168.219.0/24 remote: 192.168.192.0/24		[[Datei: ]]