Wechseln zu:Navigation, Suche
Wiki

UTM/VPN/Netmap: Unterschied zwischen den Versionen

Aus Securepoint Wiki
K (Weiterleitung auf UTM/VPN/Netmap v11.8.7 entfernt)
Markierung: Weiterleitung entfernt
KKeine Bearbeitungszusammenfassung
 
(5 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 4: Zeile 4:
{{:UTM/VPN/Netmap.lang}}
{{:UTM/VPN/Netmap.lang}}


</div>{{Select_lang}}{{TOC2}}
</div><div class="new_design"></div>{{TOC2|limit=2}}{{Select_lang}}
{{Header|09.2022 <small>(12.2.3)</small>|
{{Header|12.6.0|
* {{#var:3a| Zone des Remote-Netzes korrigiert}}
* {{#var:neu--rwi}}
* {{#var:3b| LAyoutanpassungen}}
|[[UTM/VPN/Netmap_v12.3.6 | 12.3.6]]
|[[UTM/VPN/Netmap_v11.8.7 | 11.8.7]]
[[UTM/VPN/Netmap_v11.8.7 | 11.8.7]]
[[UTM/VPN/Netmap_11.7 | 11.7]]
[[UTM/VPN/Netmap_11.7 | 11.7]]
| (1.){{Menu-UTM|Firewall|Paketfilter}} (2.){{Menu-UTM|VPN|IPSec}}
}}
}}
----


=== {{#var:Einleitung}} ===
<div class="Einrücken">
{{#var:Funktionsbeschreibung}}
<li class="list--element__alert list--element__hint">{{#var:Mapnetz-Hinweis}}</li>
<li class="list--element__alert list--element__warning">{{#var:Mapnetz-Warnung}}</li>
</div>
----
----




{{#var:5|Sollten auf beiden Seiten einer VPN Verbindung die gleichen Subnetze eingesetzt werden,  ist es normalerweise nicht möglich diese Verbindung einzurichten.<br>
=== {{#var:6}} ===
Weiterhin kann es passieren, dass hinter verschiedenen Gegenstellen die gleichen Netzwerke eingerichtet sind.<br>
<div class="einrücken">
Mit dem NAT-Typ NETMAP und Hilfsnetzwerken (Mapnetz) die auf keinen der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen trotzdem erstellt werden, ohne auf eine der Seiten das Subnetz komplett zu ändern.}}
{{#var:Vorbereitung Menu}}
----
</div>
=== {{#var:6|NATen von kompletten Subnetzen mit NETMAP}} ===


=== {{#var:7|Vorbereitungen}} ===
==== {{#var:Vorbereitungen}} ====
<div class="Einrücken">
{{Bild| {{#var:Netzwerkobjekt bearbeiten--Bild}} |{{#var:Netzwerkobjekt auf Adresse umstellen}}||{{#var:Netzwerkobjekt bearbeiten}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close|class=Bild-t}}
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }}
<p>{{Hinweis-box|{{#var:NETMAP Bedingungen}} |r}}</p>
<li class="list--element__alert list--element__hint">{{#var:Subnetze gleiche Groesse}}</li>
<li class="list--element__alert list--element__hint">{{Hinweis-box|{{#var:definierte Netzwerk IP-Adresse}} |g|fs__icon=none}} <br>{{#var:Überprüfung des Netzwerkobjektes}}</li>
</div><br clear=All>


{{pt3|{{#var:8|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_bearbeiten.png}} | {{#var:9|Netzwerkobjekt auf Adresse umstellen}} }}
<!--
==== {{#var:Vorbereitungen bei IPSec}} ====
<div class="Einrücken">
{{pt3|{{#var:Vorbereitungen--Bild}} | {{#var:Vorbereitungen--cap}} }}
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }}  
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }}  
<p>{{Hinweis-neu| !! {{#var:NETMAP Bedingungen}} }}</p>
<p>{{Hinweis-box|{{#var:NETMAP Bedingungen IPSec}}|fs__icon=em2}}</p>
<div class="Einrücken">
<div class="Einrücken">
<li class="list--element__alert list--element__hint">{{#var:Subnetze gleiche Groesse}}</li>
<li class="list--element__alert list--element__hint">{{#var:Subnetze gleiche Groesse}}</li>
<li class="list--element__alert list--element__hint top-Hinweis">{{Hinweis-neu|{{#var:definierte Netzwerk IP-Adresse}} }} {{#var:Überprüfung des Netzwerkobjektes}}</li>
<li class="list--element__alert list--element__warning top-Hinweis">{{Hinweis-box|{{#var:definierte Netzwerk IP-Adresse IPSec}} }}</li>
<li class="list--element__alert list--element__hint">{{#var:Überprüfung des Netzwerkobjektes IPSec}}</li>
</div></div>
<br clear=All>
</div>
</div>
<br clear=All>
-->
----
----


'''{{#var:16|Ausgangslage:}}'''
'''{{#var:Ausgangslage}}'''
=== {{#var:17|Zentrale und Filiale haben das gleiche Subnetz}} ===
=== {{#var:Zentrale und Filiale haben das gleiche Subnetz}} ===
<div class="Einrücken">
<div class="Einrücken">
{{pt3| {{#var:18|Netmap_sz1.png}} |hochkant=2.5}}
{{pt3| {{#var:18}} |hochkant=2.5}}
{{#var:19|In diesem Fall muss das Mapping auf '''beiden Seiten''' der Verbindung eingerichtet werden.}}
{{#var:19}}


{| class="sptable0 pd5"
{| class="sptable0 pd5"
|-
|-
| || {{#var:20|Lokales Netz}} || {{#var:21|Öffentliche IP}} || {{#var:22|Netmap}}
| || {{#var:Lokales Netz}} || {{#var:Öffentliche IP}} || Netmap
|-
|-
| {{#var:10|Zentrale:}} ||172.16.3.0/24 || 192.0.2.192 || 10.0.1.0/24
| {{#var:Zentrale}}: ||172.16.3.0/24 || 192.0.2.192 || 10.0.1.0/24
|-
|-
| {{#var:11|Filiale:}} || 172.16.3.0/24 || 192.0.2.193 || 10.0.2.0/24
| {{#var:Filiale}}: || 172.16.3.0/24 || 192.0.2.193 || 10.0.2.0/24 <sup>{{Hinweis-box||g}}</sup>
|}
|}
<p><li class="list--element__alert list--element__hint">{{#var:Ausganglage Vorgegebenes Netz}}</li></p>
<br>
<br>
'''{{#var:Die Verbindung soll über IPSec hergestellt werden}}'''
'''{{#var:Die Verbindung soll über IPSec hergestellt werden}}'''
</div><br clear=All>
</div><br clear=All>
----


----


==== {{#var:60|VPN-Verbindung anlegen}} ====
==== {{#var:VPN-Verbindung anlegen}} ====
<div class="Einrücken">
{| class="sptable2 pd5 zh1 Einrücken noborder"
{{spc|utm|s|'''{{#var:Zentrale}} '''|c=grün }}
|-
{{pt3 | {{#var:61|UTM_v11.8.7_VPN_IPSEC-Verbindung_Schritt4.png}} |hochkant=1.2|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} {{#var:62|Schritt 4 mit remote Mapnetz der Filiale}} }}
| {{h5|{{#var:Zentrale}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} }}
{{pt3 | {{#var:63|UTM_v11.8.7_VPN_IPSEC-Verbindung_Schritt3.png}} |hochkant=1.2|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} {{#var:64|Schritt 3 mit lokalem Mapnetz der Zentrale}} }}
|-
{{#var:65|Anlegen einer IPSec-Site-to-Site VPN-Verbindung, [http://wiki.securepoint.de/index.php/IPSec_Site_to_Site_v11#VPN-Verbindung_anlegen wie im Wiki beschrieben] im Menü {{Menu|VPN|IPSec}} mit der Schaltfläche {{Button|'''+''' IPSec-Verbindung hinzugügen}}.}} <br>
| {{#var:65}}
<li class="list--element__alert list--element__hint">{{#var:Lokales Mapnetz Zentrale}}</li>
<li class="list--element__alert list--element__hint">{{#var:Lokales Mapnetz Zentrale}}</li>
<li class="list--element__alert list--element__hint">{{#var:Remote Netz Zentrale}}</li>
| class=Bild rowspan="2" | {{Bild|{{#var:Zentrale Schritt 3--Bild}} | {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}} {{#var:64}}||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
 
<!--
<br clear=all>
{{Gallery3
<div style="width: 30%;"><hr></div>
|{{#var:Zentrale Schritt 3--Bild}} | {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}} {{#var:64}} | Abb1-header={{Dialog-header|{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }}
|{{#var:Zentrale Schritt 4--Bild}} | {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}} {{#var:62}} | Abb2-header={{Dialog-header|{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
{{pt3 | {{#var:68|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_remote3.png}} |hochkant=1.2|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:69|Schritt 4 mit remote Mapnetz der Zentrale}} }}
|i=2}}
{{pt3 | {{#var:70|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localvpn3.png}} |hochkant=1.2|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:71|Schritt 3 mit lokalem Mapnetz der Filiale}} }}
-->
{{#var:65|Anlegen einer IPSec-Site-to-Site VPN-Verbindung, [http://wiki.securepoint.de/index.php/IPSec_Site_to_Site_v11#VPN-Verbindung_anlegen wie im Wiki beschrieben] im Menü {{Menu|VPN|IPSec}} mit der Schaltfläche {{Button|IPSec-Verbindung hinzugügen|+}}.}}<br>
|- class="Leerzeile"
<li class="list--element__alert list--element__hint">{{#var:Lokales Mapnetz Filiale}}</li>
|
<li class="list--element__alert list--element__hint">{{#var:Remote Netz Filiale}}</li>
|-
 
| <li class="list--element__alert list--element__hint">{{#var:Remote Netz Zentrale}} <small>({{#var:Vorgegebenes Netz}})</small></li>
</div><br clear=all>
| class=Bild rowspan=2 | {{Bild| {{#var:Zentrale Schritt 4--Bild}}|{{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}} {{#var:62}}||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
|- class="Leerzeile"
|
|- class="Leerzeile"
| {{h5|{{#var:Filiale}}|{{spc|utm|s|'''{{#var:Filiale}}''' |c=grün }} }}
|-
| {{#var:65}}
<li class="list--element__alert list--element__hint">{{#var:Lokales Mapnetz Filiale}} <small>({{#var:Vorgegebenes Netz}})</small></li>
| class="Bild" rowspan="2" | {{Bild| {{#var:70}}|{{spc|utm|s|'''{{#var:Filiale}}''' |c=grün}} {{#var:71}}||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
|- class="Leerzeile"
|
|-
| <li class="list--element__alert list--element__hint">{{#var:Remote Netz Filiale}}</li>
| class=Bild rowspan=2 | {{Bild| {{#var:68}}|{{spc|utm|s|'''{{#var:Filiale}}''' |c=grün}} {{#var:69}}||{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}
|- class="Leerzeile"
|
|}
----
----




==== {{#var:Netzwerkobjekte für Transfernetz erstellen}} ====
==== {{#var:Netzwerkobjekte für Transfernetz erstellen}} ====
 
{| class="sptable2 pd5 zh1 Einrücken noborder"
<div class="Einrücken">
| {{#var:30}}<br>
{{pt3| {{#var:27|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localvpn.png}} | hochkant=1.2| {{#var:28|Netzwerkobjekt '''in der Zentrale für das eigene Netz''' (Mapnetz Lokal)}} }}
{{Menu-UTM|Firewall|Paketfilter|{{#var:Netzwerkobjekte}}|{{#var:Objekt hinzufügen}}|+}}
{{pt3| {{#var:29|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_Rmotvpn.png}} | hochkant=1.2| {{#var:29b|Netzwerkobjekt '''in der Zentrale für das Filial-Netz''' (Mapnetz Remote)}} }}
|-
<p>
| {{h5|{{#var:Zentrale}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} }}
{{#var:30|Es müssen in der Zentrale zwei Netzwerkobjekte mit Netzwerken erstellt werden, die weder in der Zentrale noch in der Filiale eingerichtet sind.}}<br>
|-
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} <br>
| * {{#var:32}}
{{Menu|{{#var:Firewall}}|{{#var:Portfilter}}|{{#var:Netzwerkobjekte}}|{{#var:Objekt hinzufügen}}|+}}</p>
 
<p>
* {{#var:32|Das Netzwerkobjekt für das ''(entfernte)'' '''Mapnetz der Filiale''' muss vom {{b|Typ}} {{Button|Netzwerk (Adresse)|dr}} sein.}}
<li class="list--element__alert list--element__warning">{{#var:Zone für IP-Sec}}</li>
<li class="list--element__alert list--element__warning">{{#var:Zone für IP-Sec}}</li>
<li class="list--element__alert list--element__hint">{{#var:SSL-VPN-Verbindungen anlegen}}</li>
<li class="list--element__alert list--element__hint">{{#var:SSL-VPN-Verbindungen anlegen}}</li>
</p>
| class=Bild rowspan=2 | {{Bild|{{#var:Remotenet Filiale--Bild}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} {{#var:29b}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
<p>{{#var:35|Das Netzwerkobjekt erhält in unserem Beispiel die Netzwerkadresse 10.0.2.0/24}}</p>
|- class="Leerzeile"
|
|-
| {{#var:36}}
| class=Bild rowspan=2 | {{Bild|{{#var:Zentrale localnet--Bild}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} {{#var:28}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|- class="Leerzeile"
|
|-
| {{h5|{{#var:Filiale}}|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} }}
|-
| {{#var:41}}<br>{{#var:42}}
| class=Bild rowspan=2 | {{Bild|{{#var:Remotenet Zentrale--Bild}}|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:38}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|- class="Leerzeile"
|
|-
| {{#var:42b}}
| class=Bild rowspan=2 | {{Bild|{{#var:Filiale localnet--Bild}}|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:40}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|- class="Leerzeile"
|
|}
----


<p>{{#var:36|Das Netzwerkobjekt für das ''(eigene)'' '''Mapnetz der Zentrale''' muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24}}</p>
<br clear=all>
<div style="width: 30%;"><hr></div>
{{pt3|{{#var:37|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localvpn2.png}} | hochkant=1.2 | {{#var:38|Netzwerkobjekt '''in der Filiale für das eigene Netz'''}}}}
{{pt3| {{#var:39|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_Remotevpn2.png}} | hochkant=1.2 | {{#var:40|Netzwerkobjekt '''in der Filiale für das Netz der Zentrale'''}} }}
<p>{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}}<br>
{{#var:41|Auf der Seite der Filiale werden ebenfalls zwei Netzwerkobjekte erstellt.}} <br>
{{#var:42|Dort ist das Netzwerk 10.0.1.0/24, das Mapnetz der Zentrale, das sich in der {{b|Zone}} {{Button|external|dr}} befindet und das Netzwerk 10.0.2.0/24 das, Mapnetz der Filiale, das mit der Zone des internen Netzwerkes {{Button|internal|dr}} angelegt wird.}}
</div><br clear=all>


----
==== {{#var:NETMAP Regel anlegen}} ====
<div class="Einrücken">


==== {{#var:43|NETMAP Regel anlegen}} ====
<br>
<div class="Einrücken">
{{#var:46|Es muss auf jeder Seite eine Portfilterregel anhand der Netzwerkobjekte erstellt werden.}} <br>


{{pt3| {{#var:44|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Zentrale.png}} |hochkant=2| {{#var:45|NETMAP Portfilterregel}} }}
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable pd5"
| class=noborder colspan=3 | {{#var:46}}
! class="Leerzeile top"  rowspan="14" | {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} {{#var:Mapping ausgehend}}
|-
| class=noborder colspan=3 | {{h5|{{#var:Zentrale}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} }}
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| internal network|dr|icon=net|iconborder=none|class=mw15}}
!! colspan=3 | {{#var:47}} {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}} {{#var:Mapping ausgehend}}
| class=Bild rowspan=17 | {{Bild| {{#var:Paketfilterregel Zentrale--Bild}}|{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün}} {{#var:45}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| netmap_remotenet |dr|icon=net|iconborder=none|class=mw15}} {{#var:Mapnetz der Filiale}}
| {{b|{{#var:Quelle}}: }} || {{ic|internal network|dr|icon=net|iconborder=none|class=available}} ||
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Ziel}} }} || {{ic|{{#var:netmap_remotenet_filiale}} |dr|icon=net|iconborder=none|class=available}} || {{#var:Mapnetz der Filiale}}
|-
|-
| {{b|{{#var:Aktion}} }} || {{Button|Accept|dr|class=mw15}} {{#var:Aktion--desc}}
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|-
|-
| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{b|{{#var:53|Typ}} }} || {{Button| NETMAP|dr|class=mw15}}
| {{b|{{#var:Aktion}}: }} || {{Button|ACCEPT|dr|class=available}} ||
|- class=noborder
| {{Kasten| [ – ] NAT}}
|-
|-
| {{b| {{#var:54|Netzwerkobjekt}} }} || {{ic| {{#var:55|Mapnetz der Zentrale}} |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Typ}}: }} || {{Button|NETMAP  |dr|class=available}} ||
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Netzwerkobjekt}}: }} || {{ic|netmap_localnet|dr|icon=net| iconborder=none|class=available}} || {{#var:55}}
|-
|-
! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} {{#var:Mapping eingehend}}
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|- class=Leerzeile
|
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| {{#var:50|Mapnetz der Filiale}} |dr|icon=net|iconborder=none|class=mw15}}
! colspan=3 | {{#var:47}} {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün }} {{#var:Mapping eingehend}}
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Quelle}}: }} || {{ic|{{#var:netmap_remotenet_filiale}} |dr|icon=net|iconborder=none|class=available}} || {{#var:Mapnetz der Filiale}}
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Ziel}} }} || {{ic|internal network |dr|icon=net|iconborder=none|class=available}} ||
|-
|-
| {{b|{{#var:Aktion}} }} || {{Button|Accept|dr|class=mw15}} {{#var:Aktion--desc}}
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|-
|-
| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{b|{{#var:53|Typ}} }} || {{Hinweis-neu| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
| {{b|{{#var:Aktion}} }} || {{Button|ACCEPT|dr|class=available}} ||
|- class=noborder
| {{Kasten| [ + ] NAT}} || colspan=2 | {{Hinweis-box|{{#var:112}} |g}}
|- class="Leerzeile"
|- class="Leerzeile"
|  
|  
|-
|-
| class="Leerzeile top"  rowspan="11" | {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }}  
| colspan=3 class=noborder | {{h5|{{#var:Filiale}}|{{spc|utm|s|'''{{#var:Filiale}}''' |c=grün}} }}
! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Filiale}} '''|c=grün }} {{#var:Mapping ausgehend}}
|-
!! colspan=3 | {{#var:47}} {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:Mapping ausgehend}}
| class=Bild rowspan=17 | {{Bild|{{#var:Paketfilterregel Filiale--Bild}}|{{spc|utm|s|'''{{#var:Filiale}}'''|c=grün}} {{#var:45}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Quelle}} }} || {{ic|internal network |dr|icon=net|iconborder=none|class=available}} ||
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| {{#var:55|Mapnetz der Zentrale}} |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Ziel}} }} || {{ic|{{#var:netmap_remotenet_zentrale}} |dr|icon=net|iconborder=none|class=available}} || {{#var:55}}
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|-
|-
| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{b|{{#var:53|Typ}} }} || {{Button| NETMAP|dr|class=mw15}}
| {{b|{{#var:Aktion}}: }} || {{Button|ACCEPT|dr|class=available}} ||
|- class=noborder
| {{Kasten| [ – ] NAT}}
|-
|-
| {{b| {{#var:54|Netzwerkobjekt}} }} || {{ic| netmap_remotenet |dr|icon=net|iconborder=none|class=mw15}} {{#var:Mapnetz der Filiale}}
| {{b|{{#var:Typ}} }} || {{Button|NETMAP|dr|class=available}} ||
|-
|-
! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Filiale}} '''|c=grün }} {{#var:Mapping eingehend}}
| {{b|{{#var:Netzwerkobjekt}} }} || {{ic|netmap_localnet|dr|icon=net|iconborder=none|class=available}} || {{#var:Mapnetz der Filiale}}
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| {{#var:50|Mapnetz der Filiale}} |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|- class="Leerzeile"
|
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
! colspan="3" | {{#var:47}} {{spc|utm|s|'''{{#var:Filiale}} ''' |c=grün}} {{#var:Mapping eingehend}}
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Quelle}} }} || {{ic|{{#var:netmap_remotenet_zentrale}} |dr|icon=net|iconborder=none|class=available}} || {{#var:55}}
|-
|-
| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{b|{{#var:53|Typ}} }} ||  {{Hinweis-neu| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
| {{b|{{#var:Ziel}} }} || {{ic|internal network |dr|icon=net|iconborder=none|class=available}} ||
|-
| {{b|{{#var:Dienst}} }} || {{ic|any |dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|-
| {{b|{{#var:Aktion}}: }} || {{Button|ACCEPT|dr|class=available}} ||
|- class=noborder
| {{Kasten| [ + ] NAT}} || colspan=2 |  {{Hinweis-box|{{#var:112}} |g}}
|- class="Leerzeile"
|
|}
|}
</div>
</div>
----
----


==== {{#var:Portfilterregeln}} ====
 
==== {{#var:Paketfilterregeln}} ====
<div class="Einrücken">
<div class="Einrücken">
{{#var:Portfilterregeln--desc}}
{{#var:Paketfilterregeln--desc}}<br>
<p>{{#var:105|Zwei Möglichkeiten stehen zur Verfügung:}}</p>
{{#var:105}}
</div>
 
===== {{#var:Implizite Regeln}} =====
===== {{#var:Implizite Regeln}} =====
<div class="Einrücken">{{pt3| {{#var:Implizite Regeln--Bild}} | {{#var:Implizite Regeln--cap}} }}
<div class="Einrücken">
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:jede Filiale}}'''|c=grün }}<br>
{{Bild| {{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln--cap}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save|class=Bild-t}}
{{#var:106|Menü {{Menu | Firewall|Implizite Regeln}} → Gruppe {{ic|IpsecTraffic}} → Regel {{ic|Acceppt}} {{ButtonAn|Ein}}<br>
{{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün }} & {{spc|utm|s|'''{{#var:jede Filiale}}'''|c=grün }}<br>
<p>In diesem Falle werden Regeln im Hintergrund angelegt, die  alle Dienste für alle Rechner auf beiden Seiten zulassen. <small>'''(Default)'''</small><br>}}
{{#var:106}}
</div><br clear=all>
</div><br clear=all>
<div style="width: 30%;"><hr></div>


===== {{#var:Dedizierte Portfilter Regeln}} =====
 
===== {{#var:Dedizierte Paketfilter Regeln}} =====
<div class="Einrücken">
<div class="Einrücken">
<p>{{Hinweis-neu|! {{#var:Empfohlen}}|gr}} </p>
<p>{{Hinweis-box|{{#var:Empfohlen}} |gr}}</p>


<!-- {{pt3| {{#var:107|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale2.png}} }} -->
<!-- {{pt3| {{#var:107|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale2.png}} }} -->
{{Gallery3 | | <p>{{#var:109|Eigene Portfilterregeln…}}</p>'''{{#var:ipsec-Netzwerkobjekt}}'''
 
| {{#var:ipsec-Netzwerkobjekt Zentrale--Bild}} | {{#var:ipsec-Netzwerkobjekt Zentrale--desc}} | Abb2={{#var:ipsec-Netzwerkobjekt Zentrale--cap}}
{{Gallery3| | <p>{{#var:109}}</p>'''{{#var:ipsec-Netzwerkobjekt}}'''
| {{#var:ipsec-Netzwerkobjekt Filiale--Bild}} | {{#var:ipsec-Netzwerkobjekt Filiale--desc}} | Abb3={{#var:ipsec-Netzwerkobjekt Filiale--cap}}
| {{#var:ipsec-Netzwerkobjekt Zentrale--Bild}} | {{#var:ipsec-Netzwerkobjekt Zentrale--desc}} | Abb2={{#var:ipsec-Netzwerkobjekt Zentrale--cap}} | Abb2-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
| {{#var:ipsec-Netzwerkobjekt Filiale--Bild}} | {{#var:ipsec-Netzwerkobjekt Filiale--desc}} | Abb3={{#var:ipsec-Netzwerkobjekt Filiale--cap}} | Abb3-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|i=3| class-cell1=blank noborder}}
|i=3| class-cell1=blank noborder}}
<br clear=all>
<br clear=all>


{| class="noborder sptable2 zh1"
|-
| {{Hinweis-box|{{#var:101}} |r}}<br> {{Hinweis-box|{{#var:112}} |g}}
|
| class="Bild" rowspan="3" | {{Bild| {{#var:Paketfilter IPSec-Regel Zentrale--Bild}} |{{#var:Paketfilter IPSec-Regel Zentrale--cap}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
| colspan="2" | {{#var:Zentrale ausgehende Regel}}
|- class=Leerzeile
|
|}
{| class="sptable2 spezial pd5 tr--bc__white zh1"
|- class="bold small no1cell"
| class="Leerzeile bc__default" |<big>{{spc|utm|s|{{#var:Zentrale}}|c=grün }}</big> {{#var:Übersicht der Paketfilterregeln}} || || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw12 |
|-
| class="bc__default" | {{#var:netmap Regel in Zentrale}}, {{#var:um das eigene lokale Netz zu mappen}} || {{spc|drag|o|-}} || 4 || {{spc|net|o|-}} internal network || {{spc|net|o|-}} {{#var:netmap_remotenet_Filiale}}1 || {{spc|other|o|-}} any || {{Kasten|NM|blau|title={{#var:Netzwerkobjekt}}: netmap_localnet}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|-
| class="bc__default" | {{#var:netmap Regel in Zentrale}}, {{#var:um das Netz der Filiale zu mappen}} || {{spc|drag|o|-}} || 5 || {{spc|net|o|-}} {{#var:netmap_remotenet_Filiale}}1 || {{spc|net|o|-}} internal network || {{spc|other|o|-}} any || || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|-
| class="bc__default" | {{#var:Eingehender Netzwerkverkehr in der Zentrale von Filiale}} <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 6 || {{spc|vpn-network|o|ipsec_remotenet_{{#var:Filiale}}1 }}  || {{spc|net|o|-}} internal network || {{spc|tcp|o|-}} ms-rdp || || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|- class="Leerzeile bc__default"
| <br>
|- class="bold small no1cell"
| class="Leerzeile bc__default" | <big>{{spc|utm|s|{{#var:Filiale}}|c=grün }}</big> {{#var:Übersicht der Paketfilterregeln}}|| || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
|-
| class="bc__default" | {{#var:netmap Regel in Filiale}}, {{#var:um das eigene lokale Netz zu mappen}} || {{spc|drag|o|-}} || 4 || {{spc|net|o|-}} internal network || {{spc|net|o|-}} {{#var:mapnet_remotenet_Zentrale}} || {{spc|other|o|-}} any || {{Kasten|NM|blau|title={{#var:Netzwerkobjekt}}: netmap_localnet}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|-
| class="bc__default" | {{#var:netmap Regel in Filiale}}, {{#var:um das Netz der Zentrale zu mappen}} || {{spc|drag|o|-}} || 5 || {{spc|net|o|-}} {{#var:mapnet_remotenet_Zentrale}} || {{spc|net|o|-}} internal network || {{spc|other|o|-}} any || || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|-
| class="bc__default" | {{#var:Ausgehender Netzwerkverkehr in der Filiale}} {{#var:zur Zentrale}} <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 6 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} ipsec_remotenet_Zentrale || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
|}
<!--
{| class="sptable pd5"
{| class="sptable pd5"
! class="Leerzeile top" rowspan=6" | {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} {{#var:für eingehenden Netzwerkverkehr}}
! class="Leerzeile top" rowspan=6" | {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} !! colspan="2" | {{#var:47}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} {{#var:für eingehenden Netzwerkverkehr}}
| class="Bild" rowspan="10" | {{Bild | {{#var:Portfilter IPSec-Regel Zentrale--Bild}}|{{#var:Portfilter IPSec-Regel Zentrale--cap}} }}
| class="Bild" rowspan="10" | {{Bild| {{#var:Paketfilter IPSec-Regel Zentrale--Bild}} |{{#var:Paketfilter IPSec-Regel Zentrale--cap}} }}
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw15}} {{#var:111|(Mapnetz der VPN Gegenstelle)}}
| {{b|{{#var:Quelle}} }} || {{ic|ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw18}} {{#var:111}}
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Ziel}} }} || {{ic|internal network |dr|icon=net|iconborder=none|class=mw18}}
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| ms-rdp |dr|icon=tcp|iconborder=none|class=mw15}} {{#var:91|Benötigte Dienste}}
| {{b|{{#var:Dienst}} }} || {{ic|ms-rdp |dr|icon=tcp|iconborder=none|class=mw18}} {{#var:91}}
|- class="Leerzeile"
|- class="Leerzeile"
|  || {{Hinweis-neu|! {{#var:101|Es wird für jede Filiale eine eigene Regel benötigt.}} }}
|  || {{Hinweis-box|{{#var:101}} }}
{{Hinweis-neu| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
{{Hinweis-box|{{#var:112}} |g}}
{{#var:Zentrale ausgehende Regel}}
{{#var:Zentrale ausgehende Regel}}
|- class="Leerzeile"
|- class="Leerzeile"
|  
|  
|-
|-
! class="Leerzeile top" rowspan=5" | {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }} für ausgehenden Netzwerkverkehr
! class="Leerzeile top" rowspan=5" | {{spc|utm|s|'''{{#var:Filiale}}''' |c=grün }} !! colspan="2" | {{#var:47}} {{spc|utm|s|'''{{#var:Filiale}}''' |c=grün}} für ausgehenden Netzwerkverkehr
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Quelle}} }} || {{ic|internal network |dr|icon=net|iconborder=none|class=mw18}}
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw15}} {{#var:111|(Mapnetz der VPN Gegenstelle)}}
| {{b|{{#var:Ziel}} }} || {{ic|ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw18}} {{#var:111}}
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| ms-rdp |dr|icon=tcp|iconborder=none|class=mw15}} {{#var:91|Benötigte Dienste}}
| {{b|{{#var:Dienst}} }} || {{ic|ms-rdp |dr|icon=tcp|iconborder=none|class=mw18}} {{#var:91}}
|- class="Leerzeile"
|- class="Leerzeile"
|
|
|}
|}
-->
</div></div>
----




</div></div>
==== {{#var:71}} ====
 
----
==== {{#var:71|Erreichbarkeit von Hosts der Gegenstelle}} ====
<div class="Einrücken">
<div class="Einrücken">
{{#var:72|Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale wird von der Zentrale aus mit der IP-Adresse 10.0.2.10 angesprochen.<br>
{{#var:72}}
Einen Rechner mit der IP-Adresse 172.16.3.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 10.0.1.120 angesprochen.}}
</div>
</div>


<div style="width: 100%; height:10px; background: {{Farbe|rot}}"></div>
<div style="width: 100%; height:10px; background: {{Farbe|rot}}"></div>


 
'''{{#var:16}} '''
'''{{#var:16|Ausgangslage:}} '''
=== {{#var:73}} ===
=== {{#var:73|Mehrere Filialen haben das gleiche Subnetz}} ===
<div class="Einrücken">
<div class="Einrücken">
{{pt3|{{#var:74|Netmap_sz2.png}} |hochkant=2}}
{{pt3| {{#var:74}} |hochkant=2}}
{| class="sptable0 pd5"
{| class="sptable0 pd5"
|-
|-
| || {{#var:75|Lokales Netz}} || {{#var:76|Öffentliche IP}} || {{#var:77|Netmap}}
| || {{#var:75}} || {{#var:76}} || Netmap
|-
|-
| {{#var:10|Zentrale:}} ||172.16.'''0'''.0/24 || 192.0.2.192 || ''{{#var:78|nicht erforderlich}} ''
| {{#var:10}} || 172.16.'''0'''.0/24 || 192.0.2.192 || ''{{#var:78}} ''
|-
|-
| {{#var:Filiale}} 1: ||  172.16.'''3'''.0/24 || 192.0.2.193 || ''{{#var:78|nicht erforderlich}}''
| {{#var:Filiale}} 1: ||  172.16.'''3'''.0/24 || 192.0.2.193 || ''{{#var:78}}''
|-
|-
| {{#var:Filiale}} 2: ||  172.16.'''3'''.0/24 || 192.0.2.194 || 10.0.1.0/24
| {{#var:Filiale}} 2: ||  172.16.'''3'''.0/24 || 192.0.2.194 || 10.0.1.0/24
|}  
|}  
<br>
<br clear=all>
{{#var:79|Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filiale unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.}}
{{#var:79}}
<li class="list--element__alert list--element__warning">{{#var:Mapnetz-Warnung}}</li>
</div><br clear=all>
</div><br clear=all>
----
----


==== {{#var:60|VPN-Verbindung anlegen}} ====
<div class="xnop">
{{pt3| {{#var:93|UTM_v11.8.7_VPN_IPSEC-Verbindung_Schritt4b.png}} | hochkant=1.6| {{#var:93b|Schritt 4 mit Remotenetz}} }}
{{pt3 | {{#var:94|UTM_v11.8.7_VPN_IPSEC-Verbindung_Schritt3.png}} | hochkant=1.6| {{#var:95|Schritt 3  in {{spc|utm|s|'''Filiale 2'''|c=grün }} mit lokalem '''Map'''netz}} }}
<p>{{#var:65|Anlegen einer IPSec-Site-to-Site VPN-Verbindung, [http://wiki.securepoint.de/index.php/IPSec_Site_to_Site_v11#VPN-Verbindung_anlegen wie im Wiki beschrieben].}}<br></p><br>


<p>{{spc|utm|s|'''{{#var:Filiale}} 1'''|c=grün }} <small>{{#var:nicht abgebildet}}</small>
==== {{#var:VPN-Verbindung anlegen}} ====
<div class="Einrücken">
{| class="sptable2 pd5 zh1 Einrücken noborder"
| {{#var:65}}
|-
| {{spc|utm|s|'''{{#var:Filiale}} 1''' |c=grün}} <small>{{#var:nicht abgebildet}}</small>
* {{#var:Filiale1 behält Subnetz}}
* {{#var:Filiale1 behält Subnetz}}
<li class="list--element__alert list--element__hint">{{#var:96|In Schritt 3 muss das lokale Netz (ohne mapping) freigegeben werden.<br>Im Beispiel: }} {{cb|172.16.3.0/24}}</li>
<li class="list--element__alert list--element__hint">{{#var:96}}</li>
</div></p><br>
| rowspan="5" | {{Gallery3|{{#var:94}}|{{#var:95}}|Abb1-header={{Dialog-header|{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}|{{#var:93}}|{{#var:93b}}|Abb2-header={{Dialog-header|{{#var:IPSec Verbindung hinzufügen}}|VPN|IPSec}}|i=2}}
 
|-
<p>{{spc|utm|s|'''{{#var:Filiale}} 2'''|c=grün }} <small>{{#var:97|(und ggf. weitere Filialen)}}</small>
| {{spc|utm|s|'''{{#var:Filiale}} 2'''|c=grün }} <small>{{#var:97}}</small>
<div class="Einrücken">
<li class="list--element__alert list--element__hint">{{#var:Schritt 3 lokales Mapnetz freigeben}} {{cb|10.0.1.0/24}} </li>
<li class="list--element__alert list--element__hint">{{#var:Schritt 3 lokales Mapnetz freigeben}} {{cb|10.0.1.0/24}} </li>
</div></p><br>
|-
 
| {{spc|utm|s|'''{{#var:jede Filiale}}''' |c=grün}}
<p>{{spc|utm|s|'''{{#var:jede Filiale}} '''|c=grün }}
<div class="Einrücken">
<li class="list--element__alert list--element__hint">{{#var:Remote-Netz der Zentrale freigeben}} {{cb|172.16.0.0/24}}</li>
<li class="list--element__alert list--element__hint">{{#var:Remote-Netz der Zentrale freigeben}} {{cb|172.16.0.0/24}}</li>
</div></p><br>
|-
| {{spc|utm|s|'''{{#var:Zentrale}}''' |c=grün}}
<li class="list--element__alert list--element__warning">{{#var:101}}</li>


<p>{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }}
* {{#var:102}} {{cb|172.16.0.0/24}}
<div class="Einrücken">
* {{#var:103}} {{cb|10.0.1.0/24}}
<li class="list--element__alert list--element__warning">{{#var:101|Es wird für '''jede Filiale''' eine Verbindung benötigt.}}</li>
|- class="Leerzeile"
 
|
* {{#var:102|In Schritt 3 muss das lokale Netz freigegeben werden.<br>Im Beispiel:}} {{cb|172.16.0.0/24}}
|}
* {{#var:103|in Schritt 4 wird das gemapte Remote-Netz der entsprechenden Filiale freigegeben.<br>Im Beispiel:}} {{cb|10.0.1.0/24}}
 
</div></p>
 
 
</div>
<br clear=all>
----
----




==== {{#var:26|Netzwerkobjekte erstellen}} ====
==== {{#var:Netzwerkobjekte erstellen}} ====
{| class="sptable2 pd5 zh1 Einrücken noborder"
| {{#var:mapnet der Zentrale für Filialen}}
| rowspan=4 | {{Gallery3|{{#var:83b}}|{{#var:84b}}|Abb1-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}|{{#var:83}}|{{#var:84}}|Abb2-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}|i=2}}
|-
| {{#var:Lokales Mapnetz für Filialen}}
|-
| <li class="list--element__alert list--element__warning">{{#var:Lokales Mapnetz für Filialen--Hinweis}}</li>
|- class="Leerzeile"
|
|}


==== {{#var:86}} ====


<div class="Einrücken">
{| class="sptable2 pd5 zh1 Einrücken"
{{pt3| {{#var:83|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-filiale2.png}} | hochkant=1.2| {{#var:84|Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die '''Filiale 2''' für die Zentrale gemapt.}} }}
|+ {{#var:89}}  
{{pt3 | {{#var:83b| UTM_v11.8.7_Netzwerk_Portfilter_Netzwerkobjekte_f2z.png }} | hochkant=1.2 | {{#var:84b| Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale }} }}
|-
<p>{{#var:mapnet der Zentrale für Filialen}}</p>
!! colspan="3" | {{#var:47}} {{spc|utm|s|'''{{#var:Filiale}} 2''' |c=grün}} {{#var:Mapping ausgehend}}
<p>{{#var:Lokales Mapnetz für Filialen}}</p>
| class=Bild rowspan=10 | {{Bild|{{#var:87}} |{{spc|utm|s|'''{{#var:Filiale}} 2''' |c=grün}} {{#var:88}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
<li class="list--element__alert list--element__warning">{{#var:Lokales Mapnetz für Filialen--Hinweis}}</li>
</div><br clear=All>
<div style="width: 30%;"><hr></div>
 
 
 
==== {{#var:86|NETMAP Regel anlegen}} ====
 
{{pt3| {{#var:87|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale.png}} |{{#var:88|NETMAP Portfilterregel}} }}
{{#var:89|Portfilterregeln in der '''Filiale 2''' (und in jeder weiteren Filiale, die ein bereits genutztes Subnetz verwendet)}}
 
{| class="sptable pd5"
! class="Leerzeile top"  rowspan="14" | {{spc|utm|s|'''{{#var:Filialen}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Filialen}}'''|c=grün }} {{#var:Mapping ausgehend}}
|-
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| internal network|dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Quelle}} }} || {{ic|internal network|dr|icon=net|iconborder=none|class=available}} ||
|-
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| {{#var:mapnet_remotenet_Zentrale}} |dr|icon=vpn-network|iconborder=none|class=mw15}}
| {{b|{{#var:Ziel}} }} || {{ic|{{#var:mapnet_remotenet_Zentrale}} |dr|icon=network|iconborder=none|class=available}} ||
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Dienst}} }} || {{ic|any|dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|-
|-
| {{b|{{#var:Aktion}} }} || {{Button|Accept|dr|class=mw15}} {{#var:Aktion--desc}}
| {{b|{{#var:Aktion}} }} || {{Button|ACCEPT|dr|class=available}} ||
|- class=noborder
| {{Kasten| [ – ] NAT}}
|-
|-
| {{Kasten| <nowiki>[–]</nowiki> NAT}} {{b|{{#var:53|Typ}} }} || {{Button| NETMAP|dr|class=mw15}}
| {{b|{{#var:Typ}} }} || {{Button|NETMAP|dr|class=available}} ||
|-
|-
| {{b| {{#var:54|Netzwerkobjekt}} }} || {{ic| {{#var:mapnet_localnet_Filiale2}} |dr|icon=net|iconborder=none|class=mw15}}
| {{b|{{#var:Netzwerkobjekt}} }} || {{ic|{{#var:mapnet_localnet_Filiale2}} |dr|icon=net|iconborder=none|class=available}} ||
|-
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| any |dr|icon=other|iconborder=none|class=mw15}} {{#var:any-Dienst--desc}}
| {{b|{{#var:Dienst}} }} || {{ic|any|dr|icon=other|iconborder=none|class=available}} || {{#var:any-Dienst--desc}}
|- class="Leerzeile"
|
|}
|}
----




<br clear=All>
==== {{#var:Paketfilterregeln}} ====
<div class="Einrücken">
{{#var:Paketfilterregeln--desc}}
<p>{{#var:105}}</p>
</div>


----


 
===== {{#var:Implizite Regeln}} =====
 
==== {{#var:Portfilterregeln}} ====
<div class="Einrücken">
<div class="Einrücken">
{{#var:Portfilterregeln--desc}}
{{Bild| {{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln--cap}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save|class=Bild-t}}
<p>{{#var:105|Zwei Möglichkeiten stehen zur Verfügung:}}</p>
===== {{#var:Implizite Regeln}} =====
<div class="Einrücken">{{pt3| {{#var:Implizite Regeln--Bild}} | {{#var:Implizite Regeln--cap}} }}
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:jede Filiale}}'''|c=grün }}<br>
{{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} & {{spc|utm|s|'''{{#var:jede Filiale}}'''|c=grün }}<br>
{{#var:106|Menü {{Menu | Firewall|Implizite Regeln}} → Gruppe {{ic|IpsecTraffic}} → Regel {{ic|Acceppt}} {{ButtonAn|Ein}}<br>
{{#var:106}}
<p>In diesem Falle werden Regeln im Hintergrund angelegt, die  alle Dienste für alle Rechner auf beiden Seiten zulassen. <small>'''(Default)'''</small><br>}}
</div><br clear=all>
</div><br clear=all>
<div style="width: 30%;"><hr></div>


===== {{#var:Dedizierte Portfilter Regeln}} =====
 
===== {{#var:Dedizierte Paketfilter Regeln}} =====
<div class="Einrücken">
<div class="Einrücken">
<p>{{Hinweis-neu|! {{#var:Empfohlen}}|gr}} </p>
<p>{{Hinweis-box|{{#var:Empfohlen}} |gr}}</p>


<!-- {{pt3| {{#var:107|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale2.png}} }} -->
<!-- {{pt3| {{#var:107}} }} -->
{{Gallery3 | | <p>{{#var:109|Eigene Portfilterregeln…}}</p>'''{{#var:ipsec-Netzwerkobjekt}}'''
{{Gallery3| | <p>{{#var:109}}</p>''' {{#var:ipsec-Netzwerkobjekt}}'''
| {{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--Bild}} | {{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--desc}} | Abb2={{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--cap}}
| {{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--Bild}} | {{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--desc}} | Abb2={{#var:Netzwerkobjekt ipsec-vpn Filiale2 in Zentrale--cap}} | Abb2-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
| {{#var:Netzwerkobjekt ipsec-vpn Zentrale in Filiale2--Bild}} | {{#var:ipsec-Netzwerkobjekt Filiale2--desc}} | Abb3={{#var:Netzwerkobjekt ipsec-vpn Zentrale in Filiale2--cap}}
| {{#var:Netzwerkobjekt ipsec-vpn Zentrale in Filiale2--Bild}} | {{#var:ipsec-Netzwerkobjekt Filiale2--desc}} | Abb3={{#var:Netzwerkobjekt ipsec-vpn Zentrale in Filiale2--cap}} | Abb3-header={{Dialog-header|{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|i=3| class-cell1=blank noborder}}
|i=3| class-cell1=blank noborder}}
<br clear=all>
<br clear=all>




{| class="sptable2 spezial pd5 tr--bc__white zh1"
{| class="sptable2 spezial pd5 tr--bc__white zh1"
|- class="bold small no1cell"
|- class="bold small no1cell"
| class="Leerzeile bc__default" |<big>{{spc|utm|s|{{#var:Zentrale}}|c=grün }}</big> {{#var:Übersicht der Portfilterregeln}} || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
| class="Leerzeile bc__default" |<big>{{spc|utm|s|{{#var:Zentrale}}|c=grün }}</big> {{#var:Übersicht der Paketfilterregeln}} || || <nowiki>#</nowiki> || class=mw12 | {{#var:Quelle}} || class=mw12 | {{#var:Ziel}} || class=mw12 | {{#var:Dienst}} || class=mw6 | NAT || {{#var:Aktion}} || {{#var:Aktiv}} || class=mw12 |
 
|-
|-
| class="bc__default" | {{#var:Eingehender Netzwerkverkehr in der Zentrale von Filiale}}1 || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|-}} ipsec_remotenet_{{#var:Filiale}}1 || {{spc|net|o|-}} internal network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
| class="bc__default" | {{#var:Eingehender Netzwerkverkehr in der Zentrale von Filiale}}1 <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|ipsec_remotenet_{{#var:Filiale}}1 }}  || {{spc|net|o|-}} internal network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|-
|-
| class="bc__default" | {{#var:Eingehender Netzwerkverkehr in der Zentrale von Filiale}}2 || {{spc|drag|o|-}} || 5 || {{spc|vpn-network|o|-}} ipsec_remotenet_{{#var:Filiale}}2 || {{spc|net|o|-}} internal network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
| class="bc__default" | {{#var:Eingehender Netzwerkverkehr in der Zentrale von Filiale}}2 <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 5 || {{spc|vpn-network|o|ipsec_remotenet_{{#var:Filiale}}2 }} || {{spc|net|o|-}} internal network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|- class="Leerzeile bc__default"
|- class="Leerzeile bc__default"
| <br>
| <br>
|- class="bold small no1cell"
|- class="bold small no1cell"
| class="Leerzeile bc__default" | <big>{{spc|utm|s|{{#var:Filiale}}1|c=grün }}</big> {{#var:Übersicht der Portfilterregeln}}|| || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
| class="Leerzeile bc__default" | <big>{{spc|utm|s|{{#var:Filiale}}1|c=grün }}</big> {{#var:Übersicht der Paketfilterregeln}}|| || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
 
|-
|-
| class="bc__default" | {{#var:Ausgehender Netzwerkverkehr in der Filiale}}1 {{#var:zur Zentrale}}|| {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} IPSec-Network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
| class="bc__default" | {{#var:Ausgehender Netzwerkverkehr in der Filiale}}1 {{#var:zur Zentrale}} <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} ipsec_remotenet_Zentrale || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|- class="Leerzeile bc__default"
|- class="Leerzeile bc__default"
| <br>
| <br>
|- class="small bold no1cell"
|- class="small bold no1cell"
| class="Leerzeile bc__default" | <big>{{spc|utm|s|{{#var:Filiale}}2|c=grün }}</big> {{#var:Übersicht der Portfilterregeln}} || || <nowiki>#</nowiki> || style="min-width:12em;" class=bold | {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
| class="Leerzeile bc__default" | <big>{{spc|utm|s|{{#var:Filiale}}2|c=grün }}</big> {{#var:Übersicht der Paketfilterregeln}} || || <nowiki>#</nowiki> || style="min-width:12em;" class=bold | {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
 
|-
|-
| class="bc__default" | {{#var:Mapnetz Regel in Filiale}}2, {{#var:um das eigene lokale Netz zu mappen}} || {{spc|drag|o|-}} || 4 || {{spc|net|o|-}} internal network || {{spc|net|o|-}} mapnet_remotenet_Zentrale || {{spc|other|o|-}} any || {{Kasten|NM|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
| class="bc__default" | {{#var:netmap Regel in Filiale}}2, {{#var:um das eigene lokale Netz zu mappen}} || {{spc|drag|o|-}} || 4 || {{spc|net|o|-}} internal network || {{spc|net|o|-}} {{#var:mapnet_remotenet_Zentrale}} || {{spc|other|o|-}} any || {{Kasten|NM|blau|title="Netzwerkobjekt: {{#var:mapnet_localnet_Filiale2}}"}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|-
|-
| class="bc__default" | {{#var:Ausgehender Netzwerkverkehr in der Filiale}}2 {{#var:zur Zentrale}}|| {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} IPSec-Network || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
| class="bc__default" | {{#var:Ausgehender Netzwerkverkehr in der Filiale}}2 {{#var:zur Zentrale}} <small>({{#var:Beispielhafte Paketfilterregel}})</small> || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} ipsec_remotenet_Zentrale || {{spc|tcp|o|-}} ms-rdp ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}
 
|}
|}
----




 
==== {{#var:114}} ====
----
<!--
{| class="sptable pd5"
! class="Leerzeile top" rowspan=6" | {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }} {{#var:für eingehenden Netzwerkverkehr}}
| class="Bild" rowspan="10" | {{Bild |  {{#var:Portfilter IPSec-Regel Zentrale--Bild}}|{{#var:Portfilter IPSec-Regel Zentrale--cap}} }}
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw15}} {{#var:111|(Mapnetz der VPN Gegenstelle)}}
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| ms-rdp |dr|icon=tcp|iconborder=none|class=mw15}} {{#var:91|Benötigte Dienste}}
|- class="Leerzeile"
|  || {{Hinweis-neu|! {{#var:101|Es wird für jede Filiale eine eigene Regel benötigt.}} }}
{{Hinweis-neu| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}
{{#var:Zentrale ausgehende Regel}}
|- class="Leerzeile"
|
|-
! class="Leerzeile top" rowspan=5" | {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }} !! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Filiale}}'''|c=grün }} für ausgehenden Netzwerkverkehr
|-
| {{b| {{#var:48|Quelle}} }} || {{ic| internal network |dr|icon=net|iconborder=none|class=mw15}}
|-
| {{b| {{#var:49|Ziel}} }} || {{ic| ipsec_remotenet |dr|icon=vpn-network|iconborder=none|class=mw15}} {{#var:111|(Mapnetz der VPN Gegenstelle)}}
|-
| {{b| {{#var:51|Dienst}} }} || {{ic| ms-rdp |dr|icon=tcp|iconborder=none|class=mw15}} {{#var:91|Benötigte Dienste}}
|- class="Leerzeile"
|
|}
-->
<!--
----
<div class="Einrücken">
<div class="Einrücken">
{{pt3| {{#var:80|UTM_v11.8.7_Firewall_Portfilter_Netzwerkobjekte_localnet-zentrale.png}} |hochkant=1.2| {{spc|utm|s|'''{{#var:Filiale}} 1'''|c=grün }}<br>{{#var:81|Netzwerkobjekt in den Filialen für das Netz der Zentrale. Es kann direkt das Subnetz der Zentrale verwendet werden.}} }}
{{#var:115}}
In {{spc|utm|s|'''{{#var:Filiale}} 1'''|c=grün }} {{#var:82|(und in jeder weiteren Filiale) wird ein IPSec-Netzwerkobjekt für die Zentrale eingerichtet.<br>
<br clear=all></div>
Das Netzwerkobjekt für das Netz der Gegenstelle muss sich in der Zone vpn-ipsec befinden und hat in unserem Beispiel die Netzwerkadresse 172.16.0.0/24.}}
 
<br clear=all>
 
{{pt3| {{#var:107|UTM_v11.8.7_Firewall_Portfilter_Regel_Netmap-Filiale2.png}} }}
* {{Hinweis|! {{#var:108|Besser:}}|gr}} {{#var:109|Eigene Portfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.<br>Dazu wird im Menü {{Menu|Firewall|Implizite Regeln}} im Abschnitt {{ic|IpsecTraffic}} die Option {{ic|Accept}} deaktiviert {{ButtonAus|Aus}} und Portfilterregeln manuell angelegt.<br>Beispiel:}}
 
{| class="sptable pt5 einrücken"
! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:Zentrale}}'''|c=grün }}
|-
| {{Kasten| {{#var:48|Quelle}} }} || {{Button| {{#var:110|mapnet_remotenet_Filiale''1''}} |blau}} {{#var:111|(Mapnetz der VPN Gegenstelle)}}
|-
| {{Kasten| {{#var:49|Ziel}} }} || {{Button| internal network |blau}}
|-
| {{Kasten| {{#var:51|Dienst}} }} || {{Button| {{#var:91|Benötigte Dienste}} |blau}}
|-
| colspan="2" | {{Hinweis|! {{#var:101|Es wird für jede Filiale eine eigene Regel benötigt.}} }}<br>
{{Hinweis| {{#var:112|! Hierfür wird kein NAT vom Typ NETMAP mehr benötigt}} |gelb}}.
|-
| class="Leerzeile" |
|-
! colspan="2" | {{#var:47|Auf der Seite der}} {{spc|utm|s|'''{{#var:11|Filialen}}'''|c=grün }}
|-
| {{Kasten| {{#var:48|Quelle}} }} || {{Button| ipsec_remotenet |blau}} {{#var:113|(Netz der Zentrale)}}
|-
| {{Kasten| {{#var:49|Ziel}} }} || {{Button| internal network |blau}}
|-
| {{Kasten| {{#var:51|Dienst}} }} || {{Button| {{#var:91|Benötigte Dienste}} |blau}}
|}
 
-->
 
==== {{#var:114|Erreichbarkeit von Hosts der Gegenstelle}} ====
 
{{#var:115|Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 1 wird von der Zentrale aus mit eben dieser IP-Adresse (172.1.6.3.10) angesprochen.<br>
Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 2 wird von der Zentrale aus mit der gemapten IP-Adresse 10.0.1.10 angesprochen.<br>
Einen Rechner mit der IP-Adresse 172.16.0.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 172.16.0.120 angesprochen.}}

Aktuelle Version vom 14. Mai 2024, 12:26 Uhr





























































































































De.png
En.png
Fr.png






Verbinden von VPN-Netzen mit den gleichen Broadcast-Domains (IP-Bereiche)
Letzte Anpassung zur Version: 12.6.0
Neu:
  • Aktualisierung zum Redesign des Webinterfaces
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

12.3.6 11.8.7 11.7

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115 (1.) Firewall Paketfilter (2.) VPN IPSec

Einleitung

Sollten auf beiden Seiten einer VPN Verbindung die gleichen Subnetze eingesetzt werden, ist es normalerweise nicht möglich diese Verbindung einzurichten.
Weiterhin kann es passieren, dass hinter verschiedenen Gegenstellen die gleichen Netzwerke eingerichtet sind.
Mit dem NAT-Typ NETMAP und Hilfsnetzwerken (Mapnetz), die auf keinen der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen trotzdem erstellt werden, ohne auf eine der Seiten das Subnetz komplett zu ändern.

  • Ein NETMAP ist immer nur eine Hilfslösung, falls sich keines der beteiligten Netze mit vertretbarem Aufwand auf eine anderes Netz umstellen lässt.
  • Es sollte vermieden werden, in der Zentrale für mehr als eine Gegenstelle NETMAP-Konfigurationen zu nutzen.


    • NATen von kompletten Subnetzen mit NETMAP

    Firewall Netzwerkobjekte öffnen.

    Vorbereitungen

    Netzwerkobjekt bearbeiten UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt internal-network.pngNetzwerkobjekt auf Adresse umstellen  Zentrale &  Filiale

    notempty

    Zur Nutzung der NETMAP Funktion sind folgende Bedingungen zu beachten:

  • Die Subnetze der am NETMAP beteiligten Objekte müssen alle die gleiche Größe haben, zum Beispiel alle /24.
  • notempty
    Alle beteiligten Objekte müssen eine definierte Netzwerk IP-Adresse eingetragen haben.

    Es dürfen keine Schnittstellen für die Festlegung des Netzwerkobjektes ausgewählt werden.
    Das Netzwerkobjekt des internen Netzwerkes muss überprüft und gegebenenfalls als Ziel: die Netz-IP des internen Netzes, das gemappt werden soll, eingetragen werden.
    In diesem Beispiel wird auf beiden Seiten das Netzwerk 172.16.3.0/24 verwendet.


    • Ausgangslage:

    Zentrale und Filiale haben das gleiche Subnetz

    Netmap sz1.png

    In diesem Fall muss das Mapping auf beiden Seiten der Verbindung eingerichtet werden.

    Lokales Netz Öffentliche IP Netmap
    Zentrale: 172.16.3.0/24 192.0.2.192 10.0.1.0/24
    Filiale: 172.16.3.0/24 192.0.2.193 10.0.2.0/24

  • Wird eine lokale Netz-IP für die Filiale vorgegeben, mit der sich diese in den Tunnel zur Zentrale verbinden soll, muss diese als Netmap-IP verwendet werden.


    • Die Verbindung soll über IPSec hergestellt werden.



    VPN-Verbindung anlegen

    Zentrale
     Zentrale
    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü VPN IPSec mit der Schaltfläche IPSec-Verbindung hinzufügen.
  • In Schritt 3 muss das lokale Mapnetz der Zentrale freigegeben werden.
    Hier » ✕10.0.1.0/24
    		•  IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Zentrale Schritt 3.png  Zentrale Schritt 3 mit lokalem Mapnetz der Zentrale
  • In Schritt 4 wird die öffentliche IP der Filiale als Remote Gateway: benötigt
    und das remote Mapnetz der Filiale als freigegebenes Netzwerk.
    Hier » ✕10.0.2.0/24 (ggf. durch vorgegebene Netz-IP für die Filiale ersetzen)
    		•  IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Zentrale Schritt 4.png Zentrale Schritt 4 mit remote Mapnetz der Filiale
    Filiale
     Filiale
    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü VPN IPSec mit der Schaltfläche IPSec-Verbindung hinzufügen.
  • In Schritt 3 muss das lokale Mapnetz der Filiale freigegeben werden.
    Hier » ✕10.0.2.0/24 (ggf. durch vorgegebene Netz-IP für die Filiale ersetzen)
    		•  IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Filiale Schritt 3.png Filiale Erreichbarkeit von Hosts der Gegenstelle
  • In Schritt 4 wird die öffentliche IP der Zentrale als Remote Gateway: benötigt
    und das remote Mapnetz der Zentrale als freigegebenes Netzwerk.
    Hier » ✕10.0.1.0/24
    		•  IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Filiale Schritt 4.png Filiale Schritt 4 mit remote Mapnetz der Zentrale


    Netzwerkobjekte für Transfernetz erstellen

    Es müssen in der Zentrale zwei Netzwerkobjekte mit Netzwerken erstellt werden, die weder in der Zentrale noch in der Filiale eingerichtet sind.

    Firewall Paketfilter  Bereich Netzwerkobjekte Schaltfläche Objekt hinzufügen

    Zentrale
     Zentrale
    * Das Netzwerkobjekt für das (entfernte) Mapnetz der Filiale muss vom Typ Netzwerk (Adresse) sein.
  • Bei IPSec-Verbindungen, muss sich das Netzwerkobjekt für das Transfernetz in der Zone external befinden
  • Beim Anlegen einer SSL-VPN-Verbindung wird eine Zone VPN-SSL-Verbindungsname angelegt.
    Das Netzwerkobjekt muss dann mit dieser Zone angelegt werden.
    		•  Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt remotenet Filiale.png Zentrale Netzwerkobjekt in der Zentrale für das Filial-Netz (Mapnetz Remote)
    Das Netzwerkobjekt für das (eigene) Mapnetz der Zentrale muss sich in der Zone des internen Netzwerkes befinden und bekommt in unserem Beispiel die Netzwerkadresse 10.0.1.0/24 Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt Zentrale localnet.png Zentrale Netzwerkobjekt in der Zentrale für das eigene Netz (Mapnetz Lokal)
    Filiale
     Filiale
    Auf der Seite der Filiale werden ebenfalls zwei Netzwerkobjekte erstellt.
    Dort ist das Netzwerk 10.0.1.0/24, das Mapnetz der Zentrale, das sich in der Zone external befindet     		Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt remotenet Zentrale.png Filiale Netzwerkobjekt in der Filiale für das eigene Netz
    und das Netzwerk 10.0.2.0/24, das Mapnetz der Filiale, das mit der Zone des internen Netzwerkes internal angelegt wird. Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt Filiale localnet.png Filiale Netzwerkobjekt in der Filiale für das Netz der Zentrale


    NETMAP Regel anlegen


    Es müssen auf jeder Seite zwei Paketfilterregeln erstellt werden, die das Mapping ausgehend sowie ausgehend durchführen.
    Zentrale
     Zentrale
    Auf der Seite der  Zentrale für ausgehendes Mapping Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6.4 Netmap Paketfilterregel Zentrale.png Zentrale NETMAP Paketfilterregel
     Das Mapnetz kann als Netzwerkobjekt nicht ausgewählt werden, wenn es noch mit einer Schnittstelle anstatt mit einer IP-Adresse verknüpft ist.
    Quelle: Network.svg internal network
    Ziel: Network.svg netmap_remotenet_Filiale1 Mapnetz der Filiale
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Aktion: ACCEPT
    [ – ] NAT
    Typ: NETMAP
    Netzwerkobjekt: Network.svg netmap_localnet Mapnetz der Zentrale
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Auf der Seite der  Zentrale für eingehendes Mapping
    Quelle: Network.svg netmap_remotenet_Filiale1 Mapnetz der Filiale
    Ziel: Network.svg internal network
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Aktion ACCEPT
    [ + ] NAT
    		 notempty
    Hierfür wird kein NAT vom Typ NETMAP mehr benötigt
    Filiale
     Filiale
    Auf der Seite der  Filiale für ausgehendes Mapping Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6.4 Netmap Paketfilterregel Filiale.png Filiale NETMAP Paketfilterregel
     Das Mapnetz kann als Netzwerkobjekt nicht ausgewählt werden, wenn es noch mit einer Schnittstelle anstatt mit einer IP-Adresse verknüpft ist.
    Quelle Network.svg internal network
    Ziel: Network.svg netmap_remotenet_Zentrale Mapnetz der Zentrale
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Aktion: ACCEPT
    [ – ] NAT
    Typ NETMAP
    Netzwerkobjekt Network.svg netmap_localnet Mapnetz der Filiale
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Auf der Seite der  Filiale für eingehendes Mapping
    Quelle Network.svg netmap_remotenet_Zentrale Mapnetz der Zentrale
    Ziel: Network.svg internal network
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Aktion: ACCEPT
    [ + ] NAT
    		 notempty
    Hierfür wird kein NAT vom Typ NETMAP mehr benötigt


    Paketfilterregeln

    Zusätzlich zu den Netmap-Regeln werden weitere Regeln benötigt, die den Datenverkehr zwischen dem jeweiligen lokalen Netz und dem jeweiligen Remotenetz zulassen.
    Zwei Möglichkeiten stehen zur Verfügung:

    Implizite Regeln

    Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall UTM v12.6.4 Netmap Implizite Regeln IPSec.pngIPSec-Abschnitt in den implizierten Regeln  Zentrale &  jede Filiale

    Menü Firewall Implizite Regeln → Gruppe IpsecTraffic → Regel Accept Ein

    In diesem Falle werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. (Default)



    Dedizierte Paketfilter Regeln

    notempty

    Empfohlen


    Eigene Paketfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.

    Dazu wird im Menü Firewall Implizite Regeln im Abschnitt IpsecTraffic die Option Accept deaktiviert Aus und Paketfilterregeln manuell angelegt.

    Im Beispiel wird davon ausgegangen, das aus der Filiale heraus auf Server der Zentrale zugegriffen werden soll.

    Es wird auf jeder Seite ein Netzwerkobjekt für das jeweils entfernte VPN-Netzwerk benötigt
    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt ipsec Filiale1.png
    Netzwerkobjekt in der  Zentrale für das VPN-Netzwerk
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.2.0/24 Netz-IP des Transfernetzes der Filiale

    Zone: vpn-ipsec

    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt ipsec Zentrale.png
    Netzwerkobjekt in der  Filiale für das VPN-Netzwerk
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.1.0/24 Netz-IP des Transfernetzes der Zentrale

    Zone: vpn-ipsec














    notempty
    Es wird für jede Filiale eine Verbindung benötigt.

    notempty
    Hierfür wird kein NAT vom Typ NETMAP mehr benötigt
    		Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6.4 Netmap Paketfilter ipsec remotenet Filiale1.pngPaketfilter Regel Zentrale für eingehendes IPSec-VPN
    Soll auch von der Zentrale aus, auf die Filiale zugegriffen werden, sind entsprechend weitere Regeln notwendig (z.B. um VoIP-Verbindungen aufbauen zu können).


     Zentrale Übersicht der Paketfilterregeln # Quelle Ziel: Dienst: NAT Aktion Aktiv
    Netmap Regel in Zentrale, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Filiale1 Other.svg any NM Accept Ein
    Netmap Regel in Zentrale, um das Netz der Filiale zu mappen Dragndrop.png 5 Network.svg netmap_remotenet_Filiale1 Network.svg internal network Other.svg any Accept Ein
    Eingehender Netzwerkverkehr in der Zentrale von Filiale (Beispielhafte Paketfilterregel) Dragndrop.png 6 Vpn-network.svg ipsec_remotenet_Filiale1 Network.svg internal network Tcp.svg ms-rdp Accept Ein

     Filiale Übersicht der Paketfilterregeln # Quelle Ziel: Dienst: NAT Aktion Aktiv
    Netmap Regel in Filiale, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Zentrale Other.svg any NM Accept Ein
    Netmap Regel in Filiale, um das Netz der Zentrale zu mappen Dragndrop.png 5 Network.svg netmap_remotenet_Zentrale Network.svg internal network Other.svg any Accept Ein
    Ausgehender Netzwerkverkehr in der Filiale zur Zentrale (Beispielhafte Paketfilterregel) Dragndrop.png 6 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein


    Erreichbarkeit von Hosts der Gegenstelle

    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale wird von der Zentrale aus mit der IP-Adresse 10.0.2.10 angesprochen. (Erforderliche Regel wird im Beispiel nicht gezeigt!)
    Ein Rechner mit der IP-Adresse 172.16.3.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 10.0.1.120 angesprochen.

    Mehrere Filialen haben das gleiche Subnetz

    Netmap sz2.png
    Lokales Netz Öffentliche IP Netmap
    172.16.0.0/24 192.0.2.192 nicht erforderlich
    Filiale 1: 172.16.3.0/24 192.0.2.193 nicht erforderlich
    Filiale 2: 172.16.3.0/24 192.0.2.194 10.0.1.0/24


    Hierbei wird das Mapping nur auf den Filialen eingerichtet, die das gleiche Netzwerk nutzen wie auf einer schon eingerichteten VPN-Verbindung. In der Zentrale wird kein Mapping benötigt, sofern sich das interne Netz der Zentrale von denen der Filialen unterscheidet. Ebenfalls kann in einer Filiale das vorhandene Netz ohne Mapping verwendet werden.

  • Es sollte vermieden werden, in der Zentrale für mehr als eine Gegenstelle NETMAP-Konfigurationen zu nutzen.



    • VPN-Verbindung anlegen

    Anlegen einer IPSec-Site-to-Site VPN-Verbindung, wie im Wiki beschrieben im Menü VPN IPSec mit der Schaltfläche IPSec-Verbindung hinzufügen.
     Filiale 1 nicht abgebildet
    • Filiale1 behält ihr ursprüngliches lokales Netz bei:
  • In Schritt 3 muss das lokale Netz (ohne mapping) freigegeben werden.
    Im Beispiel:
    		•
    IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Schritt 3.png
    Schritt 3 in  Filiale 2 mit lokalem Mapnetz
    IPSec Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNIPSec UTM v12.6.4 Netmap IPSec Verbindung Schritt 4.png
    Schritt 4 mit Remotenetz













     Filiale 2 (und ggf. weitere Filialen)
  • In Schritt 3 muss das lokale Mapnetz freigegeben werden.
    Im Beispiel: » ✕10.0.1.0/24
    •  jede Filiale
  • in Schritt 4 wird das direkte Remote-Netz der Zentrale (ohne mapping) freigegeben.
    Im Beispiel: » ✕172.16.0.0/24
    •  Zentrale
  • Es wird für jede Filiale eine Verbindung benötigt.
    • In Schritt 3 muss das lokale Netz freigegeben werden.
      Im Beispiel: » ✕172.16.0.0/24
    • In Schritt 4 wird das gemappte Remote-Netz der entsprechenden Filiale freigegeben.
      Im Beispiel: » ✕10.0.1.0/24


    Netzwerkobjekte erstellen

    In der  Filiale 2 (und in jeder weiteren Filiale, die ein auch an anderer Stelle genutztes lokales Netz verwendet) wird ein Netzwerkobjekt für die Zentrale in der Zone external
    benötigt, mit dem das Mapping durchgeführt werden kann.

    Hier kann direkt das genutze lokale Netz der Zentrale verwendet werden.
    Im Beispiel 172.16.0.0/24

    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt remotenet Zentrale2.png
    Netzwerkobjekt in der Filiale 2 für das Netz der Zentrale
    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt remotenet Filiale2.png
    Netzwerkobjekt in der Filiale 2 für das eigene Mapnetz (Lokal). So wird die Filiale 2 für die Zentrale gemappt.













    Zusätzlich wird ein zweites Netzwerkobjekt für das lokale Netz der jeweiligen Filiale erstellt, das gemappt wird.
    Das Netzwerkobjekt für das Mapnetz in der Filiale muss sich in der Zone des internen Netzwerkes befinden internal und bekommt im Beispiel die Netz-IP 10.0.1.0/24.
    (Weitere Filialen erhalten an dieser Stelle ein anderes Mapnet!)
  • Das Mapnet darf weder in der Filiale, noch in der Zentrale, noch auf einer der anderen Filialen die per VPN Verbindungen an die Zentrale angebunden sind, genutzt werden.

    • NETMAP Regel anlegen

    Paketfilterregeln in der Filiale 2
    Auf der Seite der  Filiale 2 für ausgehendes Mapping Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter UTM v12.6.4 Netmap Paketfilter remotenet Filiale2.png Filiale 2 NETMAP Paketfilterregel
    Quelle Network.svg internal network
    Ziel: Network.svg netmap_remotenet_Zentrale
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll
    Aktion ACCEPT
    [ – ] NAT
    Typ NETMAP
    Netzwerkobjekt Network.svg netmap_localnet_Filiale2
    Dienst: Other.svg any Ausnahmsweise ist hier eine any-Regel sinnvoll


    Paketfilterregeln

    Zusätzlich zu den Netmap-Regeln werden weitere Regeln benötigt, die den Datenverkehr zwischen dem jeweiligen lokalen Netz und dem jeweiligen Remotenetz zulassen.

    Zwei Möglichkeiten stehen zur Verfügung:


    Implizite Regeln

    Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall UTM v12.6.4 Netmap Implizite Regeln IPSec.pngIPSec-Abschnitt in den implizierten Regeln  Zentrale &  jede Filiale

    Menü Firewall Implizite Regeln → Gruppe IpsecTraffic → Regel Accept Ein

    In diesem Falle werden Regeln im Hintergrund angelegt, die alle Dienste für alle Rechner auf beiden Seiten zulassen. (Default)



    Dedizierte Paketfilter Regeln

    notempty

    Empfohlen

    Eigene Paketfilterregeln, die nur die Dienste zuzulassen, die auch benötigt werden.

    Dazu wird im Menü Firewall Implizite Regeln im Abschnitt IpsecTraffic die Option Accept deaktiviert Aus und Paketfilterregeln manuell angelegt.

    Im Beispiel wird davon ausgegangen, das aus der Filiale heraus auf Server der Zentrale zugegriffen werden soll.

    Es wird auf jeder Seite ein Netzwerkobjekt für das jeweils entfernte VPN-Netzwerk benötigt
    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt ipsec Filiale2.png
    Netzwerkobjekt für die Filiale2 in der  Zentrale
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 10.0.2.0/24 Netz-IP des Transfernetzes der Filiale2

    Zone: vpn-ipsec

    Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6.4 Netmap Netzwerkobjekt ipsec Zentrale2.png
    Netzwerkobjekt für die Zentrale in  Filiale2
    Einstellungen für das Netzwerkobjekt
    Typ: VPN-Netzwerk

    Adresse: 172.16.0.0/24 Netz-IP des lokalen Netzes der Zentrale

    Zone: vpn-ipsec















     Zentrale Übersicht der Paketfilterregeln # Quelle Ziel: Dienst: NAT Aktion Aktiv
    Eingehender Netzwerkverkehr in der Zentrale von Filiale1 (Beispielhafte Paketfilterregel) Dragndrop.png 4 Vpn-network.svg ipsec_remotenet_Filiale1 Network.svg internal network Tcp.svg ms-rdp Accept Ein
    Eingehender Netzwerkverkehr in der Zentrale von Filiale2 (Beispielhafte Paketfilterregel) Dragndrop.png 5 Vpn-network.svg ipsec_remotenet_Filiale2 Network.svg internal network Tcp.svg ms-rdp Accept Ein

     Filiale1 Übersicht der Paketfilterregeln # Quelle Ziel: Dienst: NAT Aktion Aktiv
    Ausgehender Netzwerkverkehr in der Filiale1 zur Zentrale (Beispielhafte Paketfilterregel) Dragndrop.png 5 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein

     Filiale2 Übersicht der Paketfilterregeln # Quelle Ziel: Dienst: NAT Aktion Aktiv
    Netmap Regel in Filiale2, um das eigene lokale Netz zu mappen Dragndrop.png 4 Network.svg internal network Network.svg netmap_remotenet_Zentrale Other.svg any NM Accept Ein
    Ausgehender Netzwerkverkehr in der Filiale2 zur Zentrale (Beispielhafte Paketfilterregel) Dragndrop.png 5 Network.svg internal-network Vpn-network.svg ipsec_remotenet_Zentrale Tcp.svg ms-rdp Accept Ein


    Erreichbarkeit von Hosts der Gegenstelle

    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 1 wird von der Zentrale aus mit eben dieser IP-Adresse (172.1.6.3.10) angesprochen.
    Ein Rechner mit der IP-Adresse 172.16.3.10 in der Filiale 2 wird von der Zentrale aus mit der gemappten IP-Adresse 10.0.1.10 angesprochen.
    Einen Rechner mit der IP-Adresse 172.16.0.120 in der Zentrale wird von der Filiale aus mit der IP-Adresse 172.16.0.120 angesprochen.


    Abgerufen von „https://wiki.securepoint.de/index.php?title=UTM/VPN/Netmap&oldid=91160“