Wechseln zu:Navigation, Suche
Wiki
KKeine Bearbeitungszusammenfassung
K (Textersetzung - „#WEITERLEITUNG(.*)Version1262\n“ durch „“)
Markierungen: Weiterleitung entfernt Manuelle Zurücksetzung
 
(41 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 1: Zeile 1:
{{Set_lang}}
{{Set_lang}}


</div>{{DISPLAYTITLE:SSL-VPN Site-to-Site}}{{TOC_limit | 3}}
{{#vardefine:headerIcon|spicon-utm}}
<p>'''Konfiguration von SSL-VPN Site-to-Site-Verbindungen'''</p>
{{:UTM/VPN/SSL VPN-S2S.lang}}


<p>Letzte Anpassung zur Version: '''11.8.7''' </p>
{{var | neu--Route nur bei aufgebauter Verbindung
| Neue Funktion: [[#Routen|Route nur bei aufgebauter Verbindung]]
|  }}
{{var | neu--Statischer SSL-VPN Schlüssel
| Neue Funktion: [[#Abschnitt_Allgemein | Statischer SSL-VPN Schlüssel für ''tls-auth'' oder ''tls-crypt'']]
|  }}
{{var | neu--Connection Rate Limit
| Neue Funktion zum Absichern der genutzten Ports: [[#Connection_Rate_Limit | Connection Rate Limit]]
| New function to secure the ports in use: [[#Connection_Rate_Limit | Connection Rate Limit]] }}


<p>{{cl | {{#var:neu|Neu:}} |  
</div><div class="new_design"></div>{{TOC2|toclevel=3}}{{Select_lang}}
* Defaultwert für Verschlüsselungs-Algorythmus geändert
{{Header|12.6.2|
* Defaultwert für Hashverfahren geändert
* {{#var:neu--Route nur bei aufgebauter Verbindung}}
|w=60px }} </p>
* {{#var:neu--Connection Rate Limit}}
* {{#var:neu--Statischer SSL-VPN Schlüssel}} <small>(v12.6.1)</small>
|[[UTM/VPN/SSL VPN-S2S_v12.4.1 | 12.4.1]]
[[UTM/VPN/SSL VPN-S2S_v11.8.7 | 11.8.7]]
[[UTM/VPN/SSL VPN-S2S_v11.7.3 | 11.7.3]]
[[UTM/VPN/SSL_VPN-S2S_v11.7 | 11.7]]
[[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]]
| {{Menu-UTM|VPN|SSL-VPN}}
}}
----
 
 
=== {{#var:Einleitung}} ===
: {{#var:Einleitung--desc}}
{{h4| Site-to-Site Server | Site-to-Site Server | 4=<i class="host utm"> S2S Server</i> }}
: {{#var:Site-to-Site Server--desc}}


<p>Vorherige Versionen: [[UTM/VPN/SSL_VPN-S2S_v11.6 | 11.6.12]], [[UTM/VPN/SSL_VPN-S2S_v11.7 | 11.7]]</p>
{{h4| Site-to-Site Client | Site-to-Site Client | 4=<i class="host utm"> S2S Client</i> }}
<br>
: {{#var:Site-to-Site Client--desc}}
----


=== Einleitung ===
:Mithilfe von SSL VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes  explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.
{{h4| Site to Site Server | Site to Site Server | 4=<i class="host utm"> S2S Server</i> }}
: Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.
{{h4| Site to Site Client | Site to Site Client | 4=<i class="host utm"> S2S Client</i> }}
: Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.


=== Site to Site Server Konfiguration ===
=== {{#var:Site-to-Site Server Konfiguration}} ===
{{Hinweis| !! Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt. }}
<div class="Einrücken">
<br clear=both>
{{Hinweis-box|{{#var:Site-to-Site Server Konfiguration-Hinweis}} |fs__icon=em2 }}
==== SSL-VPN-Verbindung ====
</div>
Einrichten der Verbindung im Menü {{Menu| VPN | SSL-VPN || SSL-VPN Verbindung hinzufügen |+}}
===== Installationsassistent =====
{{h6 | Schritt 1 | 2= Schritt 1 <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss1.png | Installationsschritt 1 }}
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
* Roadwarrior Server
* '''Site to Site Server'''
* Site to Site Client
Für die Konfiguration des Site to Site Server wird dieser ausgewählt.
<div style="clear: both;"></div>


{{h6 | Schritt 2 | 2= Schritt 2 <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss2.png | Installationsschritt 2 }}
Soll ein lokales IPv6-Netz angebunden werden, muss die Option {{b| IPv6 über IPv4 verwenden:}} aktiviert {{ButtonAn | Ja }} werden.
<div style="clear: both;"></div>


==== {{#var:SSL-VPN-Verbindung}} ====
<div class="Einrücken">
{{#var:SSL-VPN-Verbindung--desc}}
</div>


{{h6 | Schritt 3 | 2= Schritt 3 <i class="host utm"> S2S Server</i> }}
 
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss3.png | Installationsschritt 3 }}
===== {{#var:Installationsassistent}} =====
Lokale Einstellungen für den Site to Site Server<br>
 
<br clear=all>
{{h6| {{#var:Schritt}} 1 | 2= {{#var:Schritt}} 1 <i class="host utm"> S2S Server</i> }}
{| class="sptable2"
{{Bild| {{#var:S2S Server Schritt 1--Bild}} | {{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
<div class="Einrücken">
{{#var:S2S Server Schritt 1--desc}}
<br clear=all></div>
 
 
{{h6| {{#var:Schritt}} 2 | 2= {{#var:Schritt}} 2 <i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:S2S Server Schritt 2--Bild}} | {{#var:Installationsschritt}} 2|class=Bild-t}}
<div class="Einrücken">
{{#var:S2S Server Schritt 2--desc}}
<br clear=all></div>
 
 
{{h6| {{#var:Schritt}} 3 | 2= {{#var:Schritt}} 3 <i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
{{#var:S2S Server Schritt 3--desc}}
</div>
 
{| class="sptable2 pd5 zh1 Einrücken"
|-
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="7" | {{Bild| {{#var:S2S Server Schritt 3--Bild}} | {{#var:Installationsschritt}} 3}}
|-
|-
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| {{b|Name:}} || {{ic|S2S}}-server || {{#var:Eindeutiger Name}}
|-
|-
| {{b| Name: }} || {{ ic | S2S }}-server || Eindeutige Bezeichnung
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=mw8}} || {{#var:Protokoll--desc}}
|-
|-
| {{b| Protokoll: }} || {{Button| UDP | dr }} || gewünschtes Protokoll
| {{b|Port:}} || {{ic|1194|c}} || {{#var:Port--desc}}
|-
|-
| {{b| Serverzertifikat: }} || {{ Button| Server-Zertifikat|dr}} || Auswahl des Zertifikates, mit dem der Server sich Authentifiziert<br>
| {{b|{{#var:Serverzertifikat}}: }} || {{Button|cs-ttt-point|dr|class=available}} || {{#var:Serverzertifikat--desc}}
Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit {{Button||mw}} <br>
* Erstellung einer CA im Reiter {{Reiter | CA}} mit der Schaltfläche {{Button | CA hinzufügen|+}}
* Erstellung eines Serverzertifikates im Reiter {{Reiter| Zertifikate }} mit der Schaltfläche {{Button| Zertifikat hinzufügen |+}}<br>Bitte beachten: {{b|Serverzertifikat:}} {{ButtonAn|Ein}} aktivieren
* Erstellung des Client-Zertifikates mit der Schaltfläche {{Button | Zertifikat hinzufügen |+}}<br>
{{Hinweis | !|g}} Beide Zertifikate müssen mit der selben CA erstellt werden!<br>
{{Hinweis| !|g}} Das ''Client''-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche {{Button||d}} exportiert werden. Zur Nutzung bei einer UTM als Client wird das {{Button|PEM|dr}}-Format benötigt.
 
Weitere Hinweise im Wiki-Artikel zur Nutzung von [[UTM/AUTH/Zertifikate | Zertifikaten.]]
|-
|-
| {{ b | Servernetzwerke freigeben: }} || {{ic| {{cb|192.168.175.0/24}} |cb}} || An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.
| {{b|{{#var:Servernetzwerke freigeben}}: }} || {{ic| {{cb| 192.168.175.0/24}} |cb}} || {{#var:Servernetzwerke freigeben--desc}}
|- class="Leerzeile"
|
|- class="Leerzeile"
|}
|}


<div style="clear: both;"></div>


{{h6 | Schritt 4 | 2= Schritt 4 <i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Schritt}} 4 | 2= {{#var:Schritt}} 4 <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss4.png | Installationsschritt 4 }}
<div class="Einrücken">
Im Installationsschritt 4 wird das Transfernetz für den Site to Site Server eingetragen.<br>
{{#var:S2S Server Schritt 4--desc}}
{| class="sptable2 pd5"
</div>
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
 
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="5" | {{Bild| {{#var:S2S Server Schritt 4--Bild}} | {{#var:Installationsschritt}} 4}}
|-
|-
| {{b| Transfer-Netzwerk: }} || {{ic | 192.168.190.0/24 }} || Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
| {{b|{{#var:Transfer-Netzwerk}}: }} || {{ic|192.168.190.0/24|class=available}} || {{#var:Transfer-Netzwerk--desc}}
|-
|-
| {{b| Server-Tunneladresse:}} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/32 }} || rowspan="2" | Die Server- und Client-Tunneladresse wird automatisch ermittelt.
| {{b|{{#var:Server-Tunneladresse}}:}} || {{ic|192.168.190.1/32|class=available}} || rowspan="2" | {{#var:Server-Tunneladresse--desc}}
|-
|-
| {{b| IPv4 Client-Tunneladresse: }} || {{ic | &emsp;&emsp;&emsp;&emsp;&emsp;&emsp;&ensp;/24 }}  
| {{b|{{#var:IPv4 Client-Tunneladresse}}: }} || {{ic|192.168.190.2/24|class=available}}  
|- class="Leerzeile"
|
|}
|}
<div style="clear: both;"></div>




{{h6 | Schritt 5 | 2= Schritt 5 <i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Schritt}} 5 | 2= {{#var:Schritt}} 5 <i class="host utm"> S2S Server</i> }}
{{pt3| UTM_v11.8.7_VPN_SSLVPN_S2Ss5.png | Installationsschritt 5 }}
{| class="sptable2 pd5 zh1 Einrücken"
{| class="sptable2 pd5"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="6" | {{Bild| {{#var:S2S Server Schritt 5--Bild}} |{{#var:Installationsschritt}} 5}}
|-
|-
| {{b| Name: }} || {{b|S2S-client}} || Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet
| {{b|Name:}} || {{ic|S2S-client|tr-odd|class=available|tr-odd}} || {{#var:Name-S2S Server Schritt 5--desc}}
|-
|-
| {{b|Client-Zertifikat:}} || style="width: 220px;" | {{button| CC-S2S-Client-Network1|dr}} || Zertifikat des Client-Netzwerks
| {{b|{{#var:Client-Zertifikat}}:}} || {{Button|.ttt-point.de|dr|class=available}} || {{#var:Client-Zertifikat--desc}}
|-
|-
| {{b| Clientnetzwerke freigeben: }} || {{ic| {{cb|192.168.174.0/24}} |cb}} || Netzwerke der Gegenstelle, die freigegebn werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)
| {{b|{{#var:Clientnetzwerke freigeben}}: }} || {{ic| {{cb|192.168.174.0/24}} |cb|class=available}} || {{#var:Clientnetzwerke freigeben--desc}}
|- class="Leerzeile"
| colspan="3" | {{Hinweis-box|{{#var:S2S Server Schritt 5-Hinweis}} |g|c=graul|fs__icon=em2}}
|- class="Leerzeile"
|
|}
|}
<br>
{{Hinweis|!! Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden. | g |s=true}}
<div style="clear: both;"></div>
----
----
{{h5 | Weitere Client-Gegenstellen | 2= Weitere Client-Gegenstellen <i class="host utm"> S2S Server</i> }}
{{pt3|UTM_v11.8.7_VPN_SSL-VPN.png | Übersicht der SSL-VPN-Verbindungen }}
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_client2.png | hochkant=1.25 |Weitere Gegenstellen des S2S-SSL-.VPNs }}
<p>Weitere Gegenstellen, welche über diesen Site to Site Server angebunden werden sollen, können über die Schaltfläche {{Button | |+}} hinzugefügt werden.</p>
<p>Anzeige der Gegenstellen mit Klick auf das Ordnersymbol {{Button| {{spc|folder|o|-}} }}
<div style="clear: both;"></div>


----


==== Regelwerk ====
{{h-6| {{#var:Reiter Allgemein}} | 2= {{Reiter|{{#var:Allgemein}} }} <i class="host utm"> S2S Server</i> }}
{{h5 | Implizite Regeln | Implizite Regeln | 4=<i class="host utm"> S2S Server</i> }}
<div class="Einrücken">
{{pt3|UTM_v11.8.7_Firewall_Implizite-Regeln_VPN_SSL-VPN-UDP.png | Implizite Regeln }}
{{#var:Reiter Allgemein--desc}}
Unter {{Menu | Firewall | Implizierte Regeln }} Abschnitt {{ic|VPN}} kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier {{ButtonAn|Ein}} SSL VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.
</div>
<div style="clear: both;"></div>


 
{| class="sptable2 pd5 zh1 Einrücken"
{{h5 | Netzwerkobjekte | Netzwerkobjekte | 4=<i class="host utm"> S2S Server</i> }}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>". 
| class="Bild" rowspan="20" | {{Bild| {{#var:S2S Server Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt angelegt werden.<br>
|-
{{f| Der Site-to-Site-Client erhält eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.}}
| {{b|Name:}} || {{ic|S2S-Server|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
{{pt3| UTM_v11.8.7_Firewall_Netzwerkobjekt_SSLVPN_S2S-Server.png | Netzwerkobjekt für das Tunnelnetzwerk}}
|-
{| class="sptable"
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun0|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
! Beschriftung || Wert !! Beschreibung
|-
| {{b|Modus:}} || {{ic|SERVER|class=available|tr-odd}} || {{#var:Je nach Verbindungstyp}}
|-
| {{b|{{#var:Protokoll}}:}} || {{Button|UDP|dr}} (Default)<br> {{Button|TCP|dr}} || {{#var:S2S Protokoll--desc}}
|-
| {{b|Port:}} || {{ic|1194|c}} || {{#var:Port--desc}}
|-
| {{b|{{#var:Authentifizierung}}:}} || {{Button|NONE|dr|class=available}} (Default)<br> {{Button|LOCAL|dr|class=available}}<br> {{Button|RADIUS|dr|class=available}} || {{#var:Authentifizierung--desc}}
|-
| {{b|{{#var:Zertifikat}}:}} || {{Button|cs-ttt-point|dr|class=available}} || {{#var:Zertifikat--desc}}
|-
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || class=mw11 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
|-
| {{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
|-
| rowspan="2" | {{b|{{#var:Cipher für Datenverbindung}}:}} || {{Button|Default|dr|class=available}} || {{#var:Cipher für Datenverbindung--desc}}
|-
| colspan="2" | {{Button|BF-CBC|dr|class=mw9}} {{Button|DES-EDE-CBC|dr|class=mw9}} {{Button|DES-EDE3-CBC|dr|class=mw9}} {{Button|CAST5-CBC|dr|class=mw9}} {{Button|AES-128-CBC|dr|class=mw9}} {{Button|AES-192-CBC|dr|class=mw9}} {{Button|AES-256-CBC|dr|class=mw9}} {{Button|AES-128-GCM|dr|class=mw9}} {{Button|AES-192-GCM|dr|class=mw9}} {{Button|AES-256-GCM|dr|class=mw9}}
|-
| rowspan="2" | {{b|{{#var:Hash für Datenverbindung}}:}} || {{Button|Default|dr|class=available}} || {{#var:Hash für Datenverbindung--desc}}
|-
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA256|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} {{Button|whirlpool|dr|class=mw6}}
|-
| {{b|{{#var:Erlaubt Cipher für automatische Aushandlung}}:}} || {{ic| |class=available}} || {{#var:Erlaubt Cipher für automatische Aushandlung--desc}}
|-
|-
| {{b| Name: }} || {{ic|sslvpn-S2S-client-network}} || Frei wählbarer Name
| {{b|IPv4 {{#var:Transfer-Netzwerk}}:}} || {{ic|192.168.190.0/24|class=available}} || {{#var:Pool-Adresse eintragen}}
|-
|-
| {{b| Typ: }} || {{Button| VPN-Netzwerk | dr}} || Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch {{Button| VPN-Host|dr}} ausgewählt werden.
| {{b|IPv6 {{#var:Transfer-Netzwerk}}:}} || {{ic|&emsp;&emsp;&emsp;&emsp;&emsp;&emsp;/64}} || {{#var:Pool-Adresse eintragen}}
|-
|-
| {{b| Adresse: }} || {{ic| 192.168.174.0/24}} || Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde.<br>
| {{b|{{#var:Servernetzwerk global freigeben}}:}} || {{ic| |class=available}} || {{#var:Servernetzwerk global freigeben--desc}}
{{Einblenden | Hinweis bei mehreren Clientnetzwerken | ausblenden | true | dezent}}  
Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.</span></div>
|-
|-
| {{b|Zone:}} || {{Button | vpn-ssl-S2S-Server | dr }} || die Zone auf dem <i class="host utm"> S2S Server</i>, über die das <i class="host utm"> S2S Client</i>-Netzwerk angesprochen wird.
| {{b|Search Domain:}} || {{ic| |class=available}} || <li class="list--element__alert list--element__hint">{{#var:Search Domain--desc}} {{Einblenden2|{{#var:Alternativen anzeigen}}|{{#var:hide}}|true|dezent|{{#var:Search Domain--alternative}} }}</li>
|-
|-
| {{b| Gruppe: }} || {{Button | &emsp;&emsp;&emsp;|dr}} || Optional
| {{b|Renegotiation:}} || {{Button|{{#var:nie}}|dr|class=available}}<br> {{Button|1 {{#var:Stunde}}|dr|class=available}}<br> (Default)<br> {{Button|2 {{#var:Stunden}}|dr|class=available}}<br> {{Button|4 Stunden|dr|class=available}}<br> {{Button|8 Stunden|dr|class=available}}<br> {{Button|12 Stunden|dr|class=available}} || {{#var:Renegotiation--desc}}
|- class="Leerzeile"
|
|}
|}
<br>
{{Button| Speichern }}




{{h5 | Portfilter-Regeln | Portfilter-Regeln | 4=<i class="host utm"> S2S Server</i> }}
{{h6| {{#var:Reiter Erweitert}} | 2= {{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Server</i> }}
{{pt3 | UTM_v11.8.5_Firewall_Portfilter_SSL-VPN.png | hochkant=2.5 | Portfilter-Regeln }}
{| class="sptable2 pd5 zh1 Einrücken"
<p>Menü {{Menu | Firewall | Portfilter }} Reiter {{Reiter | Portfilter}} Schaltfläche {{Button | Regel hinzufügen |+}}</p>
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
<p>Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw, aus dem Netzwerk:</p>
| class="Bild" rowspan="17" | {{Bild| {{#var:S2S Server Reiter Erweitert--Bild}} |{{#var:Reiter Erweitert}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
<br clear=all>
|-
{| class="sptable"
| {{b|MTU:}} || {{ic|1500|c|class=mw5}} || {{#var:MTU--desc}}
! Beschriftung || Wert !! Beschreibung
|-
| {{b|{{#var:Maximale Clients}}:}} || {{ic|1024|class=available}} || {{#var:Maximale Clients--desc}}
|-
| {{b|{{#var:DNS übermitteln}}:}} || {{ButtonAus|{{#var:Nein}} }} || {{#var:DNS übermitteln--desc}} {{Einblenden2|{{#var:Menü zeigen}}|{{#var:hide}}|true|dezent|{{#var:DNS-WINS übermitteln--Hinweis}} }}
|-
| {{b|{{#var:WINS übermitteln}}:}} || {{ButtonAus|{{#var:Nein}} }} || {{#var:WINS übermitteln--desc}}{{Einblenden2|{{#var:Menü zeigen}}|{{#var:hide}}|true|dezent|{{#var:DNS-WINS übermitteln--Hinweis}} }}
|-
| {{b|Multihome:}} || {{ButtonAn|{{#var:Ein}} }} || {{#var:Multihome--desc}}
|-
| <span id=Nur_zugewiesene_Zertifikate_akzeptieren></span> <br> {{b|{{#var:Nur zugewiesene Zertifikate akzeptieren}}:}} || {{ButtonAn|{{#var:Ein}} }} || {{#var:Nur zugewiesene Zertifikate akzeptieren--desc}}
|-
| {{b|LZO:}} || {{ButtonAus|{{#var:Aus}} }} || {{#var:LZO--desc}}
|-
| {{b|{{#var:Deaktiviert}}:}} || {{ButtonAus|{{#var:Nein}} }} ||
|-
| {{b|Pass TOS:}} || {{ButtonAus|{{#var:Aus}} }} || {{#var:Pass TOS--desc}}
|-
| {{b|{{#var:Ping Intervall}}:}} || {{ic|10|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Intervall--desc}}
|-
| {{b|{{#var:Ping Wartezeit}}:}} || {{ic|120|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Wartezeit--desc}}
|-
| {{b|{{#var:Ausgehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Ausgehende Puffergröße--desc}} <li class="list--element__alert list--element__hint">{{#var:Ausgehende Puffergröße--Hinweis}}</li>
|-
|-
| class="Leerzeile" | 1. Regel
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes || {{#var:Eingehende Puffergröße--desc}}
|-
|-
| {{b| Quelle }} || {{ic| sslvpn-S2S-client-network}} || Eingehende Regel
| {{b|{{#var:Replay window Sequenzgröße}}:}} || {{ic|64|c|class=mw5}} || {{#var:Replay window Sequenzgröße--desc}}
|-
|-
| {{b| Ziel }} || {{ic| internal-network }} ||
| {{b|{{#var:Replay window Wartezeit}}:}} || {{ic|15|c|class=mw5}} {{#var:Sekunden}} || {{#var:Replay window Wartezeit--desc}}
|- class="Leerzeile"
|
|}
 
 
{{h5| {{#var:Weitere Client-Gegenstellen}} | 2= {{#var:Weitere Client-Gegenstellen}} <i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:Weitere Client-Gegenstellen--Bild}} | {{#var:Weitere Client-Gegenstellen--cap}}||SSL-VPN|VPN|icon=fa-chart-bar|icon-text=SSL-VPN Log|icon2=fa-redo-alt|icon2-text={{#var:Neustarten}}|class=Bild-t}}
<div class="Einrücken">
{{#var:Weitere Client-Gegenstellen--desc}}
<br clear=all></div>
{{Bild|{{#var:SSL-VPN Übersicht--Bild}} |{{#var:SSL-VPN Übersicht--cap}}||SSL-VPN Server-Gegenstelle hinzufügen|VPN|SSL-VPN|icon=fa-floppy-disk-circle-xmark|icon2=fa-fw fa-close|class=Bild-t}}
<br clear=all>
----
 
 
==== {{#var:Regelwerk}} ====
 
{{h5| {{#var:Implizite Regeln}} | {{#var:Implizite Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{Bild|{{#var:Implizite Regeln--Bild}} |{{#var:Implizite Regeln}}||{{#var:Implizite Regeln}}|Firewall|icon=fa-save|class=Bild-t}}
<div class="Einrücken">
{{#var:Implizite Regeln--desc}}
<br clear=all></div>
 
 
{{h5| {{#var:Netzwerkobjekte}} | {{#var:Netzwerkobjekte}} | 4=<i class="host utm"> S2S Server</i> }}
<div class="Einrücken"><br>
{{#var:Netzwerkobjekte--desc}}
<br></div>
 
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class=Bild rowspan="7" | {{Bild| {{#var:Netzwerkobjekte--Bild}} |{{#var:Netzwerkobjekte--cap}}||{{#var:Netzwerkobjekte hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|g}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|Name:}} || {{ic|sslvpn-S2S-Client-Network|class=available}} || {{#var:Eindeutiger Name}}
|-
|-
| class="Leerzeile" | 2. Regel
| {{b|{{#var:Typ}}:}} || {{Button|VPN-Netzwerk|dr|class=available}} || {{#var:Typ--desc}}
|-
|-
| {{b| Quelle }} || {{ic| internal-network }} || Ausgehende Regel
| {{b|{{#var:Adresse}}: }} || {{ic|192.168.174.0/24|class=available}} || {{#var:Adresse--desc}}<br>
{{Einblenden3| {{#var:Hinweis bei mehreren Clientnetzwerken}} |ausblenden|true|dezent}}
{{#var:Hinweis bei mehreren Clientnetzwerken--desc}}</span></div>
|-
|-
| {{b| Ziel }} || {{ic| sslvpn-S2S-client-network}} ||
| {{b|Zone:}} || {{Button|vpn-ssl-S2S-Server|dr|class=available}} || {{#var:Zone--desc}}
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|g}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Gruppe}}: }} || {{ic| |class=available}} || Optional
|- class="Leerzeile"
|
|}
|}




{{h5| {{#var:Portfilter-Regeln}} | {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Server</i> }}
{{Bild| {{#var:Portfilter-Regeln--Bild}} |{{#var:Portfilter-Regeln}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t}}
<div class="Einrücken">
{{#var:Portfilter-Regeln--desc}}
<br clear=all></div>
{| class="sptable2 spezial pd5 tr--bc__white zh1"
|- class="bold small no1cell"
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
|-
| class="bc__default" | {{#var:IPSec-Regel-external-interface--desc}} || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|-}} sslvpn-S2S-client-network || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|-
| class="bc__default" | {{#var:Zugriff auf IPSec-Netzwerk--desc}} || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} sslvpn-S2S-client-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|}




{{h5 | Routen | Routen | 4=<i class="host utm"> S2S Server</i> }}
{{h5|Routen|Routen| 4=<i class="host utm"> S2S Server</i> }}
{{pt3| UTM_v11.8.5_Netzwerk_Routing_SSL-VPN.png | Route für Gegenstelle }}
<div class="Einrücken">
Menü {{Menu| Netzwerk | Netzwerkkonfiguration | Routing | Route hinzufügen | +}}
{{#var:Routen--desc}}
Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.
</div>


{| class="sptable"
{| class="sptable2 pd5 zh1 Einrücken"
! Beschriftung || Wert !! Beschreibung
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="4" | {{Bild| {{#var:Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b | Gateway Schnittstelle: }} || {{Button | tun0 | dr }} || Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun2|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}
|-
|-
| {{b| Zielnetzwerk: }} || {{ic| 192.168.174.0/24 }} || Das Netzwerk der Gegenstelle (S2S Client)
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.174.0/24|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Client)
|- class="Leerzeile"
| colspan=3 | {{:UTM/VPN/Blackhole}}{{Hinweis-box|{{#var:neu ab}} 12.6.2|gr|status=neu|version=12.6.2}}
|}
|}
<div style="clear: both;"></div>
----




=== Site to Site Client Konfiguration ===
=== {{#var:Site-to-Site Client Konfiguration}} ===
==== SSL-VPN-Verbindung ====
===== Installationsassistent =====
{{ Hinweis | !! Für die Einrichtung des S2S ''Clients'' wird die <u>CA</u> und das <u>Client-Zertifikat</u> vom S2S ''Server'' benötigt. }}


==== {{#var:SSL-VPN-Verbindung}} ====


{{h6 | Schritt 1 | 2= Schritt 1 <i class="host utm"> S2S Client</i> }}
===== {{#var:Installationsassistent}} =====
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step1.png | Installationsschritt 1 }}
<div class="Einrücken">
Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung.
{{Hinweis-box| {{#var:Site-to-Site Server Konfiguration-Hinweis}}|fs__icon=em2 }}
* Roadwarrior Server
</div>
* Site to Site Server
* '''Site to Site Client'''
Für die Konfiguration des Site to Site Client wird dieser ausgewählt.
<div style="clear: both;"></div>


{{h6 | Schritt 2 | 2= Schritt 2 <i class="host utm"> S2S Client</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSLVPN_S2Ss2.png | Installationsschritt 2 }}
Soll ein lokales IPv6-Netz angebunden werden, muss die Option {{b| IPv6 über IPv4 verwenden:}} aktiviert {{ButtonAn | Ja }} werden.
<div style="clear: both;"></div>


{{h6 | Schritt 3 | 2= Schritt 3 <i class="host utm"> S2S Client</i> }}
{{h6|{{#var:Schritt}} 1 | 2= {{#var:Schritt}} 1 <i class="host utm"> S2S Client</i> }}
{{pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step3.png | Installationsschritt 3 }}
{{Bild| {{#var:S2S Client Schritt 1--Bild}} |{{#var:Installationsschritt}} 1||{{#var:SSL-VPN Verbindung hinzufügen}}|VPN|SSL-VPN|class=Bild-t }}
Lokale Einstellungen für den Site to Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.
<div class="Einrücken">
{{#var:S2S Client Schritt 1--desc}}
<br clear=all></div>


{| class="sptable2"
 
{{h6| {{#var:Schritt}} 2 | 2= {{#var:Schritt}} 2 <i class="host utm"> S2S Client</i> }}
{{Bild| {{#var:S2S Client Schritt 2--Bild}} |{{#var:Installationsschritt}} 2|class=Bild-t}}
<div class="Einrücken">
{{#var:S2S Client Schritt 2--desc}}
<br clear=all></div>
 
 
{{h6| {{#var:Schritt}} 3 | 2= {{#var:Schritt}} 3 <i class="host utm"> S2S Client</i> }}
<div class="Einrücken">
{{#var:S2S Client Schritt 3--desc}}
</div>
 
{| class="sptable2 pd5 zh1 Einrücken"
|-
|-
! style="min-width: 225px;" | {{#var:cap}} !! style="min-width: 175px;" | {{#var:val}} !! {{#var:desc}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="5" | {{Bild| {{#var:S2S Client Schritt 3--Bild}} |{{#var:Installationsschritt}} 3}}
|-
|-
| {{b| Name: }} || {{ ic | S2S }}-client || Eindeutige Bezeichnung
| {{b|Name:}} || {{ic|S2S}}-client || {{#var:Eindeutiger Name}}
|-
|-
| {{b| Protokoll: }} || {{Button| UDP | dr }} || gewünschtes Protokoll {{Hinweis|!|gelb}} Es muss das gleiche Protokoll, wie beim Site to Site Server ausgewählt werden.
| {{b|{{#var:Protokoll}}: }} || {{Button|UDP|dr|class=available}} || {{#var:Protokoll--desc}} <li class="list--element__alert list--element__hint">{{#var:S2S Client Protokoll-Hinweis}}</li>
|-
|-
| {{b| Client-Zertifikat: }} || {{ Button| Client-Zertifikat|dr}} || Auswahl des Zertifikates, mit dem der Client sich Authentifiziert<br>
| {{b|{{#var:Client-Zertifikat}}: }} || {{Button|CC-S2S-Client-Network1|dr|class=available}} || {{#var:S2S Client-Zertifikat--desc}}
{{Hinweis| !|g}} Hier muss das gleiche Zertifikat verwendet werden, daß beim Site to Site ''Server'' in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde.
|- class="Leerzeile"
Aufruf mit {{Button||mw}}
|
* Reiter {{Reiter | CA}} Schaltfläche {{ Button | CA importieren | u }} Import der CA vom <div class="host utm">S2S Server</div>
* Reiter {{Reiter| Zertifikate}} Schaltfläche {{Button| Zertifikat importieren | u}} Import des Client-Zertifikates, das auf dem <div class="host utm">S2S Server</div> erstellt wurde.
|}
|}
<div style="clear: both;"></div>




{{h6 | Schritt 4 | 2= Schritt 4 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt}} 4 | 2= {{#var:Schritt}} 4 <i class="host utm"> S2S Client</i> }}
Dieser Installationsschritt entfällt beim Site to Site ''Client''.
<div class="Einrücken">
{{#var:Dieser Installationsschritt entfällt}}
</div>




{{h6 | Schritt 5 | 2= Schritt 5 <i class="host utm"> S2S Client</i> }}
{{h6| {{#var:Schritt}} 5 | 2= {{#var:Schritt}} 5 <i class="host utm"> S2S Client</i> }}
{{ pt3 | UTM_v11.8.7_VPN_SSL-VPN_S2S_client_Step5.png | Installationsschritt 5 }}
{{Bild| {{#var:S2S Client Schritt 5--Bild}} |{{#var:Installationsschritt}} 5|class=Bild-t}}
Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site to Site ''Servers'' als Gegenstelle eingetragen.
<div class="Einrücken">
{{Hinweis | !! Die Portadresse mus mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden. | gelb}}<br>
{{#var:S2S Client Schritt 5--desc}}<br>
{{Hinweis|!|gr}} Ist der Port 1194, kann diese Angabe auch weggelassen werden.
<br clear=all></div>
<div style="clear: both;"></div>
----




{{h4 | Regelwerk | Regelwerk | <i class="host utm"> S2S Client</i>}}
{{h-6| {{#var:Reiter Allgemein}} | 2= {{Reiter|{{#var:Allgemein}} }} <i class="host utm"> S2S Client</i> }}
===== Implizite Regeln =====
<div class="Einrücken">
Da der Site to Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der der Firewall selbst per default immer erlaubt sind, sind '''keine''' impliziten Regeln notwendeig.
{{#var:Reiter Allgemein--desc}}
</div>


 
{| class="sptable2 pd5 zh1 Einrücken"
===== Netzwerkobjekte =====
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
{{pt3| UTM_v11.8.8_Firewall_Portfilter_Netzwerkobjekte_SSL-VPN-Servernetwork.png | Netzwerkobjekt für das Tunnelnetzwerk}}
| class="Bild" rowspan="15" | {{Bild| {{#var:S2S Client Reiter Allgemein--Bild}} |{{#var:Reiter Allgemein}}||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
 
|-
{| class="sptable"
| {{b|Name:}} || {{ic|S2S-client|class=available|tr-odd}} || {{#var:Name der SSL-Verbindung }}
! Beschriftung || Wert !! Beschreibung
|-
| {{b|{{#var:Schnittstelle}}:}} || {{ic|tun4|class=available|tr-odd}} || {{#var:Schnittstelle--desc}}
|-
| {{b|Modus:}} || {{ic|CLIENT|class=available|tr-odd}} ||
|-
| {{b|{{#var:Protokoll}}:}} || {{Button|UDP|dr}} (Default)<br> {{Button|TCP|dr}} || {{#var:Protokoll--desc}}
|-
| {{b|{{#var:Zertifikat}}:}} || {{Button|CC-S2S-Client-Network1|dr|class=available}} || {{#var:S2S Client Zertifikat--desc}}
|-
| {{b|{{#var:Statischer SSL-VPN Schlüsseltyp}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || class=mw10 | {{Button|{{#var:Aus}} }}{{Button|tls-auth}}{{Button|tls-crypt|class=aktiv}} || {{#var:Statischer SSL-VPN Schlüsseltyp--desc}}
|-
| {{b|{{#var:Statischer SSL-VPN Schlüssel}}: }} {{Hinweis-box|{{#var:neu ab}} v12.6.1|gr|12.6.1|status=neu}} || {{Button|SSL-VPN S2S|dr|class=available}} || {{#var:Statischer SSL-VPN Schlüssel--desc}}
|-
| rowspan="2" | {{b|{{#var:Cipher für Datenverbindung}}:}} || {{Button|Default|dr|class=available}} || {{#var:Cipher für Datenverbindung--desc}}
|-
|-
| {{b| Name: }} || {{ic|sslvpn-S2S-server-network}} || Frei wählbarer Name
| colspan="2" | {{Button|BF-CBC|dr|class=mw9}} {{Button|DES-EDE-CBC|dr|class=mw9}} {{Button|DES-EDE3-CBC|dr|class=mw9}} {{Button|CAST5-CBC|dr|class=mw9}} {{Button|AES-128-CBC|dr|class=mw9}} {{Button|AES-192-CBC|dr|class=mw9}} {{Button|AES-256-CBC|dr|class=mw9}} {{Button|AES-128-GCM|dr|class=mw9}} {{Button|AES-192-GCM|dr|class=mw9}} {{Button|AES-256-GCM|dr|class=mw9}}
|-
|-
| {{b| Typ: }} || {{Button| VPN-Netzwerk | dr}} || Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch {{Button| VPN-Host|dr}} ausgewählt werden.
| rowspan="2" | {{b|{{#var:Hash für Datenverbindung}}:}} || {{Button|Default|dr|class=available}} || {{#var:Hash für Datenverbindung--desc}}
|-
|-
| {{b| Adresse: }} || {{ic| 192.168.175.0/24}} || Die Netzwerk-Adresse, die in Schritt 3 der <i class="host utm"> S2S Server</i>-Konfiguration als Servernetzwerk freigegeben wurde.<br>
| colspan="2" | {{Button|SHA1|dr|class=mw6}} {{Button|SHA224|dr|class=mw6}} {{Button|SHA256|dr|class=mw6}} {{Button|SHA384|dr|class=mw6}} {{Button|SHA512|dr|class=mw6}} {{Button|whirlpool|dr|class=mw6}}
{{Einblenden | Hinweis bei mehreren Servernetzwerken | ausblenden | true | dezent}}  
Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkeobjekte dann zu einer Gruppe zusammengefasst werden.</span></div>
|-
|-
| {{b|Zone:}} || {{Button | vpn-ssl-S2S-client | dr }} || die Zone auf dem <i class="host utm"> S2S Client</i>, über die das <i class="host utm"> S2S Server</i>-Netzwerk angesprochen wird.
| {{b|{{#var:Erlaubt Cipher für automatische Aushandlung}}:}} || {{ic| |class=available}} || {{#var:Erlaubt Cipher für automatische Aushandlung--desc}}
|-
|-
| {{b| Gruppe: }} || {{Button | &emsp;&emsp;&emsp;|dr}} || Optional
| {{b|Renegotiation:}} || {{Button|{{#var:nie}}|dr|class=available}}<br> {{Button|1 {{#var:Stunde}}|dr|class=available}}<br> (Default)<br> {{Button|2 {{#var:Stunden}}|dr|class=available}}<br> {{Button|4 {{#var:Stunden}}|dr|class=available}}<br> {{Button|8 {{#var:Stunden}}|dr|class=available}}<br> {{Button|12 {{#var:Stunden}}|dr|class=available}} || {{#var:Renegotiation--desc}}
|- class="Leerzeile"
|
|}
|}




 
{{h6| {{#var:Reiter Erweitert}} | 2= {{Reiter|{{#var:Erweitert}} }} <i class="host utm"> S2S Client</i> }}
{{h5 | Portfilter-Regeln | Portfilter-Regeln | 4=<i class="host utm"> S2S Client</i> }}
{| class="sptable2 pd5 zh1 Einrücken"
{{pt3 | UTM_v11.8.5_Firewall_Portfilter_SSL-VPN2.png | hochkant=2.5 | 2=Portfilter-Regeln im <i class="host utm"> S2S Client</i>}}
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
<p>Menü {{Menu | Firewall | Portfilter | Portfilter | Regel hinzufügen |+}}</p>
| class="Bild" rowspan="10" | {{Bild| {{#var:S2S Client Reiter Erweitert--Bild}} |{{#var:Reiter Erweitert}} ||{{#var:SSL-VPN Verbindung bearbeiten}}|VPN|SSL-VPN||icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
<p>Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw, aus dem Netzwerk:</p>
|-
<br clear=all>
| {{b|MTU:}} || {{ic|1500|c|class=mw5}} || {{#var:MTU--desc}}
{| class="sptable"
|-
! Beschriftung || Wert !! Beschreibung
| {{b|LZO:}} || {{ButtonAus|{{#var:Aus}} }} || {{#var:LZO--desc}}
|-
|-
| class="Leerzeile" | 1. Regel (#7)
| {{b|{{#var:Deaktiviert}}:}} || {{ButtonAus|{{#var:Nein}} }} ||
|-
|-
| {{b| Quelle }} || {{ic| internal-network }} || Ausgehende Regel
| {{b|Pass TOS:}} || {{ButtonAus|{{#var:Aus}} }} || {{#var:Pass TOS--desc}}
|-
|-
| {{b| Ziel }} || {{ic| sslvpn-S2S-server-network}} ||
| {{b|{{#var:Ping Intervall}}:}} || {{ic|10|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Intervall--desc}}
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|g}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Ping Wartezeit}}:}} || {{ic|120|c|class=mw5}} {{#var:Sekunden}} || {{#var:Ping Wartezeit--desc}}
|-
|-
| class="Leerzeile" | 2. Regel
| {{b|{{#var:Ausgehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes ||  
|-
|-
| {{b| Quelle }} || {{ic| sslvpn-S2S-server-network}} || Eingehende Regel
| {{b|{{#var:Eingehende Puffergröße}}:}} || {{ic|65536|c|class=mw5}} Bytes ||  
|-
|-
| {{b| Ziel }} || {{ic| internal-network }} ||
| {{b|{{#var:Replay window Sequenzgröße}}:}} || {{ic|64|c|class=mw5}} ||  
|-
|-
| {{b| Dienst }} || {{ic | benötigter Dienst}} || {{Hinweis|!|g}} Es sollten nur tatsächlich benötigte Dienste freigegeben werden !
| {{b|{{#var:Replay window Wartezeit}}:}} || {{ic|15|c|class=mw5}} {{#var:Sekunden}} ||  
|- class="Leerzeile"
|
|}
|}
<div style="clear: both;"></div>


==== S2S Client {{#var:Regelwerk}} ====
===== S2S Client {{#var:Implizite Regeln}} =====
<div class="Einrücken">
{{#var:Regelwerk-Implizite Regeln--desc}}
</div>
===== S2S Client {{#var:Netzwerkobjekte}} =====
<div class="Einrücke">
{{#var:S2S Client Netzwerkobjekte-Pfad}}
</div>
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="7" | {{Bild| {{#var:Netzwerkobjekte hinzufügen--Bild}} |{{#var:Netzwerkobjekte hinzufügen--cap}}||{{#var:Netzwerkobjekt hinzufügen}}|Firewall|{{#var:Netzwerkobjekte}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}}
|-
| {{b|Name:}} || {{ic|sslvpn-S2S-Server-Network|class=available}} || {{#var:Eindeutiger Name}}
|-
| {{b|{{#var:Typ}}: }} || {{Button|{{#var:VPN-Netzwerk}} |dr|class=available}} || {{#var:Regelwerk-Typ--desc}}
|-
| {{b|{{#var:Adresse}}: }} || {{ic|192.168.175.0/24|class=available}} || {{#var:Regelwerk-Adresse--desc}}
{{Einblenden3| {{#var:Hinweis bei mehreren Servernetzwerken}} |ausblenden|true|dezent}}
{{#var:Hinweis bei mehreren Servernetzwerken--desc}}</span></div>
|-
| {{b|Zone:}} || {{Button|vpn-ssl-S2S-client|dr|class=available}} || {{#var:Regelwerk-Zone--desc}}
|-
| {{b|{{#var:Gruppe}}:}} || {{ic| |class=available}} || Optional
|- class="Leerzeile"
|
|}




{{h5 | Routen | Routen | 4=<i class="host utm"> S2S Client</i> }}
{{h5| S2S Client {{#var:Portfilter-Regeln}} | S2S Client {{#var:Portfilter-Regeln}} | 4=<i class="host utm"> S2S Client</i> }}
{{pt3| UTM_v11.8.5_Netzwerk_Routing_SSL-VPN2.png | Route für Gegenstelle }}
{{Bild| {{#var:Regelwerk-Portfilter-Regeln--Bild}} | {{#var:Regelwerk-Portfilter-Regeln--cap}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text=Regeln aktualisieren|class=Bild-t }}
Menü {{Menu| Netzwerk | Netzwerkkonfiguration | Routing | Route hinzufügen | +}}
<div class="Einrücken">
Damit das Netzwerk des Site to Site Servers zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.
{{#var:Regelwerk-Portfilter-Regeln--desc}}
</div>


{| class="sptable"
{| class="sptable2 spezial pd5 tr--bc__white zh1"
! Beschriftung || Wert !! Beschreibung
|- class="bold small no1cell"
| class="Leerzeile bc__default" | || || <nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"|
|-
|-
| {{b | Gateway Schnittstelle: }} || {{Button | tun0 | dr }} || Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
| class="bc__default" | || {{spc|drag|o|-}} || 5 || {{spc|network|o|-}} internal-network || {{spc|vpn-network|o|-}} sslvpn-S2S-server-network || {{spc|dienste|o|-}} default-internet ||  || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|-
|-
| {{bZielnetzwerk: }} || {{ic| 192.168.175.0/24 }} || Das Netzwerk der Gegenstelle (S2S Server)
| class="bc__default" | || {{spc|drag|o|-}} || 4 || {{spc|vpn-network|o|-}} sslvpn-S2S-server-network || {{spc|network|o|-}} internal-network || {{spc|dienste|o|-}} default-internet ||| {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || {{Button||w|fs=14}}{{Button||trash|fs=14}}{{Button||copy|fs=14}}
|}
|}




{{h5| S2S Client Routen | S2S Client Routen | 4=<i class="host utm"> S2S Client</i> }}
<div class="Einrücken">
{{#var:Routen--desc}}
</div>


{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}}
| class="Bild" rowspan="4" | {{Bild| {{#var:Regelwerk-Routen--Bild}} |{{#var:Routen--cap}}||{{#var:Route hinzufügen}}|{{#var:Netzwerk}}|{{#var:Netzwerkkonfiguration}}|icon=fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
| {{b|{{#var:Gateway Schnittstelle}}: }} || {{Button|tun4|dr|class=available}} || {{#var:Gateway Schnittstelle--desc}}
|-
| {{b|{{#var:Zielnetzwerk}}: }} || {{ic|192.168.175.0|rechts|icon=/24 |iconw=x|class=available}} || {{#var:Zielnetzwerk--desc}} (S2S Server)
|- class="Leerzeile"
| colspan=3 | {{:UTM/VPN/Blackhole}}{{Hinweis-box|{{#var:neu ab}} 12.6.2|gr|status=neu|version=12.6.2}}
|}
----


[[Datei:Utm ssl-vpn route.png|right|Route für Gegenstelle|thumb ]]
<br>
Die Route muss ebenfalls noch gesetzt werden, diese wird nicht durch den Einrichtungsassistent geschrieben. Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-openvpn-<servername>". Die Route muss als Gateway-Schnittstelle das TUN-Interface bekommen und als Zielnetzwerk das Netzwerk der Gegenstelle.
<div style="clear: both;"></div>


=== Hinweise ===
=== {{#var:Hinweise}} ===


==== Verschlüsselung ====
<!--
<p>Per Vorgabe wird ein AES128-CBC Verfahren angewendet. Das Verschlüsselungsverfahren kann im Server- oder/und Clientprofil angepasst werden.</p>
==== {{#var:Verschlüsselung}} ====
{{Hinweis| ! Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich |g|c=graul}}
<div class="Einrücken">
{{#var:Verschlüsselung--desc}}<br>
{{Hinweis-box| {{#var:Verschlüsselung-Hinweis}}|g}}
</div>
-->


==== Hashverfahren ====
<!--
<p>Per Vorgabe  wird ein SHA256 Hashverfahren angewendet. Das Hashverfahren kann im Server- oder/und Clientprofil angepasst werden.</p>
==== {{#var:Hashverfahren}} ====
{{Hinweis| ! Die Parameter müssen auf Server- und Client-Seite identisch sein. Ansonsten ist eine Datenübertragung nicht möglich |g|c=graul}}
<div class="Einrücken">
{{#var:Hashverfahren--desc}}<br>
{{Hinweis-box| {{#var:Verschlüsselung-Hinweis}}|g}}
</div>
-->


<!--
==== QoS ====
==== QoS ====
Für die VPN-Verbindung können die TOS-Felder für das automatische QoS in den Paketen gesetzt werden. <br>
<div class="Einrücken">
Diese Einstellung kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Erweitert}} unter {{b| Pass TOS:}} {{ButtonAn| {{#var:ein|Ein}} }} aktiviert werden.
{{#var:QoS--desc}}
</div>
-->
 
 
{{h4| Multipath | Multipath |4=<i class="host utm"> S2S Client</i>}}
<div class="Einrücken">
{{#var:Multipath--desc}} {{code|openvpn get}} {{#var:die ID der Verbindung ausfindig gemacht}} {{code|openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES}} {{#var:kann dann die ausgehende IP gesetzt werden}}
</div>


==== Multipath ====
{{f|1=<i class="host utm"> S2S Client</i>}} Bei Multipath auf der Client Seite, muss der Client auf eine Schnittstelle gebunden werden.<br>
Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl <code>openvpn get</code> die ID der Verbindung ausfindig gemacht werden. <br>
Über den Befehl <code>openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES</code> kann dann die ausgehende IP gesetzt werden.<br>
Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.


{{h4 | Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
<!--
Die Search Domain kann automatisch übermittelt werden. <br>
{{h4| Search Domain | Search Domain |4=<i class="host utm"> S2S Server</i>}}
Der Eintrag kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Allgemein}} unter {{b| Search Domain: }} {{ic|&emsp;&emsp;&emsp;}} vorgenommen werden.
<div class="Einrücken">
{{#var:Hinweise Search Domain--desc}}
</div>
-->


{{h4 | DNS/WINS übermitteln | DNS/WINS übermitteln |4=<i class="host utm"> S2S Server</i>}}
<!--
<p>Der DNS und der WINS können automatisch übermittelt werden. Diese Einstellung kann in den Einstellungen der VPN Verbindung {{Button||w}} im Reiter {{Reiter| Erweitert}} unter
==== {{#var:Sachen übermitteln}} ====
* {{b| DNS übermitteln: }} {{ButtonAn| {{#var:ein|Ein}} }}
<div class="Einrücken">
* {{b|  WINS übermitteln:  }} {{ButtonAn| {{#var:ein|Ein}} }}
{{#var:Sachen übermitteln--desc}}
aktiviert werden.<br>
</div>
Die IP-Adressen vom DNS und WINS werden im Menü {{ Menu |VPN | Globale VPN-Einstellungen }} {{Kasten | Domain Name System }} gesetzt.</p>
-->


Eine Anleitung zum Einrichten des DNS-Relay findet sich [[UTM/VPN/DNS_Relay#DNS_Relay_f.C3.BCr_einen_OpenVPN_Site-to-Site_Tunnel | hier.]]
<!--
==== {{#var:IPv6 für eingehende Verbindungen}} ====
<div class="Einrücken">
{{#var:IPv6 für eingehende Verbindungen--desc}}
</div>
-->


====IPv6 für eingehende Verbindungen====
In den Einstellungen des Site-to-Site Server kann unter Allgemein -> Protokoll das Protokoll UDP6 oder TCP6 für IPv6 aktiviert werden.


==== Der transparente HTTP-Proxy ====
==== {{#var:Der transparente HTTP-Proxy}} ====
<p>Wenn aus dem internen Netzwerk via HTTP auf einen '''Server''' hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen. </p>
<div class="Einrücken">
{{#var:Der transparente HTTP-Proxy--desc}}
</div>


<p>Damit dies nicht passiert muss im Menü {{Menu | Anwendungen | HTTP-Proxy | Transparenter Modus | Transparente Regel hinzufügen |+}} eine Regel hinzugefügt werden:
{| class="sptable2 pd5 zh1 Einrücken noborder bc__white" style="border: 1px solid black !important; margin-top:5px; padding: 1px;"
{| class="sptable"
|- class="noborder"
! Beschriftung !!Wert
| colspan="2" | {{Dialog-header|{{#var:Transparente Regel hinzufügen}}|{{#var:Anwendung}}|HTTP-Proxy|icon=fa fa-fw fa-floppy-disk-circle-xmark|icon2=fa-close}}
|-
|-
| {{b| Protokoll }} || {{Button| HTTP | dr }}
| {{b|{{#var:Protokoll}}: }} || {{Button|HTTP|dr|class=available}}
|-
|-
| {{b | Typ }} || {{Button| Exclude | dr }}
| {{b|{{#var:Typ}}: }} || {{Button|Exclude|dr|class=available}}
|-
|-
| {{b | Quelle }} || {{Button| internal-network | dr }}
| {{b|{{#var:Quelle}}: }} || {{Button|internal-network|dr|class=available}}
|-
|-
| {{b | Ziel }} || {{Button| name-vpn-netzwerk-objekt | dr }}
| {{b|{{#var:Ziel}}: }} || {{Button|name-vpn-netzwerk-objekt|dr|class=available}}
|- class="Leerzeile"
|
|}
|}


Wird die SSL-Interception verwendet sollte das zusätzlich für das Protokoll {{Button| HTTPS | dr }} vorgenommen werden.
<div class="Einrücken">
<li class="list--element__alert list--element__hint">{{#var:Wird die SSL-Interception verwendet sollte}}</li>
</div>
 
----
{{:UTM/APP/Connection-Rate-Limit}}

Aktuelle Version vom 12. März 2024, 18:49 Uhr































De.png
En.png
Fr.png






Konfiguration von SSL-VPN Site-to-Site-Verbindungen
Letzte Anpassung zur Version: 12.6.2
Neu:
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

12.4.1 11.8.7 11.7.3 11.7 11.6.12

Aufruf: UTM-IP:Port oder UTM-URL:Port
Port wie unter Netzwerk / Servereinstellungen / Webserver konfiguriert
Default-Port: 11115
z.B.: https://utm.ttt-point.de:11115
Default: https://192.168.175.1:11115
VPN SSL-VPN


Einleitung

Mithilfe von SSL-VPN können auch Site-to-Site-Verbindungen aufgebaut werden. Da hierzu die entsprechende Instanz des Dienstes explizit im Client- oder Servermodus laufen muss, ist es möglich, mehrere Instanzen des SSL-VPN-Dienstes zu erzeugen.

Site-to-Site Server

Site-to-Site Server
S2S Server
Diese Methode wird verwendet, wenn die Gegenstelle der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Servermodus starten.

Site-to-Site Client

Site-to-Site Client
S2S Client
Diese Methode wird verwendet, wenn die UTM selbst der Initiator der Verbindung ist. Hierzu muss der Dienst explizit im Clientmodus starten.


Site-to-Site Server Konfiguration

notempty
Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt.


SSL-VPN-Verbindung

Einrichten der Verbindung unter VPN SSL-VPN  Schaltfläche + SSL-VPN Verbindung hinzufügen


Installationsassistent

Schritt 1
Schritt 1 S2S Server

SSL-VPN Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6 SSL-VPN hinzufügen S1.png Installationsschritt 1

Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:

  • Roadwarrior Server
  • Site-to-Site Server
  • Site-to-Site Client

Für die Konfiguration des Site-to-Site Server wird dieser ausgewählt.



Schritt 2
Schritt 2 S2S Server
UTM v12.6 SSL-VPN hinzufügen S2.png
Installationsschritt 2

Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.



Schritt 3
Schritt 3 S2S Server

Lokale Einstellungen für den Site-to-Site Server

Beschriftung Wert Beschreibung UTM v12.6 SSL-VPN hinzufügen S3.png
Installationsschritt 3
Name: S2S-server Eindeutiger Name
Protokoll: UDP Gewünschtes Protokoll wählen
Port: 1194Link= Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt.
Serverzertifikat: cs-ttt-point Auswahl des Zertifikates, mit dem der Server sich authentifiziert.
Sollte noch kein Serverzertifikat vorliegen, kann dieses (und ggf. auch eine CA) in der Zertifikatsverwaltung erstellt werden. Aufruf mit
  • Erstellung einer CA im Abschnitt CA mit der Schaltfläche + CA hinzufügen
  • Erstellung eines Serverzertifikates im Abschnitt Zertifikate mit der Schaltfläche + Zertifikat hinzufügen
    Bitte beachten: Serverzertifikat: Ein aktivieren
  • Erstellung des Client-Zertifikates mit der Schaltfläche Zertifikat hinzufügen

Beide Zertifikate müssen mit der selben CA erstellt werden!
Das Client-Zertifikat und die zugehörige CA werden ebenfalls zur Konfiguration der Gegenstelle (Client) benötigt. Sie müssen mit der Schaltfläche exportiert werden. Zur Nutzung bei einer UTM als Client wird das PEM-Format benötigt.
Weitere Hinweise im Wiki-Artikel zur Nutzung von Zertifikaten.

Servernetzwerke freigeben: » 192.168.175.0/24 An dieser Appliance (VPN-Server) befindliches Netzwerk, das über SSL-VPN erreichbar sein soll.


Schritt 4
Schritt 4 S2S Server

Im Installationsschritt 4 wird das Transfernetz für den Site-to-Site Server eingetragen.

Beschriftung Wert Beschreibung UTM v12.6 SSL-VPN hinzufügen S4.png
Installationsschritt 4
Transfer-Netzwerk: 192.168.190.0/24 Es muss eine Netzwerkadresse angegeben werden, die in keinem Netz der beteiligten Appliances verwendetet wird.
Server-Tunneladresse: 192.168.190.1/32 Die Server- und Client-Tunneladresse wird automatisch ermittelt.
IPv4 Client-Tunneladresse: 192.168.190.2/24


Schritt 5
Schritt 5 S2S Server
Beschriftung Wert Beschreibung UTM v12.6 SSL-VPN hinzufügen S5.png
Installationsschritt 5
Name: S2S-client Wird automatisch aus dem in Schritt 3 festgelegtem Namen gebildet
Client-Zertifikat: .ttt-point.de Zertifikat des Client-Netzwerks
Clientnetzwerke freigeben: »192.168.174.0/24 Netzwerke der Gegenstelle, die freigegeben werden sollen. (Eingabe mit Klick in die Klickbox und anschließend über die Tastatur.)
notempty
Das ausgewählte Zertifikat sollte mit keinem anderen Client / -Netzwerk verwendet werden.


Abschnitt Allgemein Allgemein S2S Server

Bereits angelegte SSL-VPN-Verbindungen können unter VPN SSL-VPN  Schaltfläche bearbeitet werden.

Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6.1 SSL-VPN S2S Server Allgemein.pngAbschnitt Allgemein
Name: S2S-Server Name der SSL-Verbindung
Schnittstelle: tun0 Verwendete Schnittstelle
Modus: SERVER Je nach Verbindungstyp
Protokoll: UDP (Default)
TCP
Bevorzugtes Protokoll wählen (UDP und TCP können jeweils auf IPv4 oder IPv6 begrenzt werden)
Port: 1194Link= Default Port für die erste SSL-VPN Verbindung. Darf nicht anderweitig genutzt werden. Bei weiteren Verbindungen wird der jeweils nächste freie Port gewählt.
Authentifizierung: NONE (Default)
LOCAL
RADIUS
Passende Authentifizierungsmethode wählen
Zertifikat: cs-ttt-point Das verwendete Zertifikat kann hier geändert werden
Statischer SSL-VPN Schlüsseltyp: notempty
Neu ab v12.6.1
Aus tls-authtls-crypt
  • Die Aktivierung von tls-auth bewirkt eine zusätzliche Authentifizerung des Kontrollkanals
  • tls-crypt bewirkt eine zusätzliche Authentifizerung und Verschlüssung des Kontrollkanals
Statischer SSL-VPN Schlüssel: notempty
Neu ab v12.6.1
SSL-VPN S2S Schlüssel zur Absicherung der Verbindung
  • Der Schlüssel muss den Typ OVPN_STATIC_KEY haben
  • Cipher für Datenverbindung: Default Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss denselben Cipher nutzen!
    BF-CBC DES-EDE-CBC DES-EDE3-CBC CAST5-CBC AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    Hash für Datenverbindung: Default Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss dasselbe Hashverfahren nutzen!
    SHA1 SHA224 SHA256 SHA384 SHA512 whirlpool
    Erlaubt Cipher für automatische Aushandlung (NCP):     Es lassen sich gezielt einzelne Cipher aus eine Liste auswählen
    IPv4 Transfer-Netzwerk: 192.168.190.0/24 Pool-Adresse eintragen
    IPv6 Transfer-Netzwerk:       /64 Pool-Adresse eintragen
    Servernetzwerk global freigeben:     Netz-IP für Netzwerke hinter der UTM, die über die SSL-VPN-Verbindung erreichbar sein sollen können editiert werden.
    Search Domain:    
  • Die Angabe einer Search Domain ist nur bei einer Roadwarrior-Verbindung sinnvoll!
    Alternativen:

    1. Die Domain immer komplett ausschreiben
    2. Die Domain in den DHCP-Server eintragen, damit der sie vergibt
    3. Ein Active Directory nutzen

  • Renegotiation: nie
    1 Stunde
    (Default)
    2 Stunden
    4 Stunden
    8 Stunden
    12 Stunden
    Zeitraum, ab dem die Verbindung erneut vermittelt wird


    Abschnitt Erweitert
    Erweitert S2S Server
    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6 SSL-VPN S2S Server Erweitert.pngAbschnitt Erweitert
    MTU: 1500Link= Maximale Übertragungseinheit des größten Pakets (Byte)
    Maximale Clients: 1024 Maximale Anzahl an Clients.
    Wird kein Wert festgelegt, gilt der Default-Wert von 1024.
    DNS übermitteln: Nein Erlaubt die DNS-Übermittlung
    Die IP-Adressen vom DNS und WINS werden im Menü VPN Globale VPN Einstellungen gesetzt.
    WINS übermitteln: Nein Erlaubt die WINS-Übermittlung
    Die IP-Adressen vom DNS und WINS werden im Menü VPN Globale VPN Einstellungen gesetzt.
    Multihome: Ein Erlaubt die Nutzung von mehrere Default-Routen

    Nur zugewiesene Zertifikate akzeptieren:
    Ein Es können nur noch zugewiesene Zertifikate akzeptiert werden
    LZO: Aus LZO-Kompression
    Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen!
    Deaktiviert: Nein
    Pass TOS: Aus Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen
    Ping Intervall: 10Link= Sekunden Intervall der Ping-Anfragen
    Ping Wartezeit: 120Link= Sekunden Wartezeit der Ping-Anfragen
    Ausgehende Puffergröße: 65536Link= Bytes Steuert die Größe des Puffers für den Socket
  • Je größer, desto mehr kann zwischen gespeichert werden. Das kann aber auch die Latenz erhöhen.
  • Eingehende Puffergröße: 65536Link= Bytes s.o.
    Replay window Sequenzgröße: 64Link= Anzahl der Pakete innerhalb derer noch ältere Sequenznummern akzeptiert werden.
    Replay window Wartezeit: 15Link= Sekunden Zeitfenster in dem die Sequenzgröße maximal angewendet wird


    Weitere Client-Gegenstellen
    Weitere Client-Gegenstellen S2S Server

    SSL-VPN UTMbenutzer@firewall.name.fqdnVPN SSL-VPN Log Neustarten UTM v12.6 SSL-VPN Übersicht mit Gegenstelle.png Übersicht der SSL-VPN-Verbindungen

    Weitere Gegenstellen, welche über diesen Site-to-Site Server angebunden werden sollen, können über die Schaltfläche hinzugefügt werden.
    Anzeige der Gegenstellen mit Klick auf das Ordnersymbol


    SSL-VPN Server-Gegenstelle hinzufügen UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6 VPN SSL-VPN client2.pngWeitere Gegenstellen des S2S-SSL-.VPNs



    Regelwerk

    Implizite Regeln
    Implizite Regeln
    S2S Server

    Implizite Regeln UTMbenutzer@firewall.name.fqdnFirewall UTM v12.6 Firewall Implizite Regeln SSL VPN UDP.pngImplizite Regeln

    Unter Firewall Implizite Regeln Abschnitt VPN kann das Protokoll, das für die Verbindung genutzt wird aktiviert werden. Hier Ein SSL-VPN UDP. Diese Implizite Regel gibt die Ports, die für SSL-VPN Verbindungen genutzt werden, auf der WAN-Schnittstelle frei.



    Netzwerkobjekte
    Netzwerkobjekte
    S2S Server

    Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt. Es erhält automatisch die erste IP aus dem in der Verbindung konfigurierten Transfernetz und eine Zone "vpn-ssl-<servername>".
    Um das Clientnetzwerk der Gegenstelle erreichen zu können, muss dafür ein Netzwerkobjekt unter Firewall Netzwerkobjekte  Schaltfläche + Objekt hinzufügen angelegt werden.
    Das TUN-Interface des Site-to-Site-Clients erhält ebenfalls eine IP aus diesem Netz. Diese dient als Gateway in das Subnetz des Site-to-Site-Clients. Das Subnetz des Clients muss als Netzwerkobjekt angelegt werden und befindet sich in der Zone auf dem zugehörigen TUN-Interface.


    Beschriftung Wert Beschreibung Netzwerkobjekte hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6 SSL VPN S2S Server Netzwerkobjekt hinzufügen.pngNetzwerkobjekt für das Tunnelnetzwerk
    Name: sslvpn-S2S-Client-Network Eindeutiger Name
    Typ: VPN-Netzwerk Soll im Client-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
    Adresse: 192.168.174.0/24 Die Netzwerk-Adresse, die in Schritt 5 als Clientnetzwerk freigegeben wurde
    Wurden mehrere Clientnetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
    Zone: vpn-ssl-S2S-Server Die Zone auf dem S2S Server, über die das S2S Client-Netzwerk angesprochen wird.
    Gruppe:     Optional


    Paketfilter-Regeln
    Paketfilter-Regeln
    S2S Server

    Paketfilter UTMbenutzer@firewall.name.fqdnFirewall Regeln aktualisieren UTM v12.6 Firewall Paketfilter Regel hinzufügen S2S Client Network.pngPaketfilter-Regeln

    Menü Firewall Paketfilter Schaltfläche + Regel hinzufügen

    Zwei Regeln erlauben den Zugriff auf das S2S-Client-Netzwerk bzw. aus dem Netzwerk:


    # Quelle Ziel Dienst NAT Aktion Aktiv
    Dragndrop.png 4 Vpn-network.svg sslvpn-S2S-client-network Network.svg internal-network Service-group.svg default-internet Accept Ein
    Dragndrop.png 5 Network.svg internal-network Vpn-network.svg sslvpn-S2S-client-network Service-group.svg default-internet Accept Ein


    Routen
    Routen
    S2S Server

    Die Routen werden automatisch gesetzt.
    Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
    Menü Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Route hinzufügen.
    Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.

    Beschriftung Wert Beschreibung Route hinzufügen UTMbenutzer@firewall.name.fqdn UTM v12.6 SSL VPN S2S Server Route hinzufügen.pngRoute für Gegenstelle
    Gateway-Schnittstelle: tun2 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
    Zielnetzwerk: 192.168.174.0/24 Das Netzwerk der Gegenstelle (S2S Client)



































    Ausgangslage

    Es kann gewünscht sein, die Routen für VPN-Verbindungen Nur für interne Prüfzwecke erst dann zu setzen, wenn die Verbindung wirklich steht.

    1. Dadurch wird verhindert das Pakete in das Internet geroutet und vom Conntrack gespeichert werden und so einen korrekten Aufbau der Verbindung verhindern.
    2. Dies kann von Vorteil sein wenn zum Beispiel VoIP durch den Tunnel gehen soll.
    3. Load Balancing über eine zweite Firewall wird deutlich vereinfacht, wenn nur die UTM eine Route bekommt, bei der der Tunnel auch tatsächlich aufgebaut wird.

    CLI-Befehl

    Verbindung per SSH oder über Menü Extras CLI : route set id <ID> flags BLACKHOLE_IF_OFFLINE

    Z.B.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    Dieser Befehl verwirft Pakete zu diesem Ziel wenn die Route nicht vorhanden ist.
    Bei SSL-VPN oder bei Wireguard zum Beispiel wenn der Tunnel nicht steht.
    Zuvor kann mit route get die korrekte Verbindungs-ID ermittelt werden

    notempty
    Neu ab 12.6.2


    Site-to-Site Client Konfiguration

    SSL-VPN-Verbindung

    Installationsassistent
    notempty
    Für die Einrichtung des S2S Server wird eine CA, ein Server- und ein Client-Zertifikat benötigt.


    Schritt 1
    Schritt 1 S2S Client

    SSL-VPN Verbindung hinzufügen UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6 SSL-VPN S2S Client S1.pngInstallationsschritt 1

    Im Installationsschritt 1 wird der Verbindungstyp ausgewählt, es stehen folgende Verbindungen zur Verfügung:

    • Roadwarrior Server
    • Site-to-Site Server
    • Site-to-Site Client

    Für die Konfiguration des Site-to-Site Client wird dieser ausgewählt.



    Schritt 2
    Schritt 2 S2S Client
    UTM v12.6 SSL-VPN S2S Client S2.png
    Installationsschritt 2

    Soll ein lokales IPv6-Netz angebunden werden, muss die Option IPv6 über IPv4 verwenden: aktiviert Ja werden.



    Schritt 3
    Schritt 3 S2S Client

    Lokale Einstellungen für den Site-to-Site Client können im Schritt 3 getätigt werden. Hier kann ein Name für die Verbindung eingetragen, Protokoll ausgewählt, ein Serverzertifikat gewählt werden- durch einen Klick auf die Schaltfläche mit dem Fenster kann eine CA und ein Zertifikat importiert werden.

    Beschriftung Wert Beschreibung UTM v12.6 SSL-VPN S2S Client S3.png
    Installationsschritt 3
    Name: S2S-client Eindeutiger Name
    Protokoll: UDP Gewünschtes Protokoll wählen
  • Es muss das gleiche Protokoll, wie beim Site-to-Site Server ausgewählt werden.
  • Client-Zertifikat: CC-S2S-Client-Network1 Auswahl des Zertifikates, mit dem der Client sich authentifiziert
    Hier muss das gleiche Zertifikat verwendet werden, dass beim Site-to-Site Server in Schritt 5 als Zertifikat der Gegenstelle (Client) ausgewählt wurde.

    Aufruf mit

    • Abschnitt CA Schaltfläche CA importieren Import der CA vom
      S2S Server
    • Abschnitt Zertifikate Schaltfläche Zertifikat importieren Import des Client-Zertifikates, das auf dem
      S2S Server
      erstellt wurde.


    Schritt 4
    Schritt 4 S2S Client

    Dieser Installationsschritt entfällt beim Site-to-Site Client.


    Schritt 5
    Schritt 5 S2S Client
    UTM v12.6 SSL-VPN S2S Client S5.png
    Installationsschritt 5
    Im Schritt 5 wird die öffentliche Remotegateway IP-Adresse oder SPDyn-Adresse des Site-to-Site Servers als Gegenstelle eingetragen.
    notempty
    Die Portadresse muss mit einem Doppelpunkt hinter die IP-Adresse gesetzt werden.

    Wird der Port 1194 verwendet, kann diese Angabe auch weggelassen werden.



    Abschnitt Allgemein Allgemein S2S Client

    Bereits angelegte SSL-VPN-Verbindungen können unter VPN SSL-VPN  Schaltfläche bearbeitet werden.

    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6.1 SSL-VPN S2S Client Allgemein.pngAbschnitt Allgemein
    Name: S2S-client Name der SSL-Verbindung
    Schnittstelle: tun4 Verwendete Schnittstelle
    Modus: CLIENT
    Protokoll: UDP (Default)
    TCP
    Gewünschtes Protokoll wählen
    Zertifikat: CC-S2S-Client-Network1 Das verwendete Zertifikat kann hier geändert werden
    Statischer SSL-VPN Schlüsseltyp: notempty
    Neu ab v12.6.1
    Aus tls-authtls-crypt
    • Die Aktivierung von tls-auth bewirkt eine zusätzliche Authentifizerung des Kontrollkanals
    • tls-crypt bewirkt eine zusätzliche Authentifizerung und Verschlüssung des Kontrollkanals
    Statischer SSL-VPN Schlüssel: notempty
    Neu ab v12.6.1
    SSL-VPN S2S Schlüssel zur Absicherung der Verbindung
  • Der Schlüssel muss den Typ OVPN_STATIC_KEY haben
  • Cipher für Datenverbindung: Default Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss denselben Cipher nutzen!
    BF-CBC DES-EDE-CBC DES-EDE3-CBC CAST5-CBC AES-128-CBC AES-192-CBC AES-256-CBC AES-128-GCM AES-192-GCM AES-256-GCM
    Hash für Datenverbindung: Default Default-Einstellungen von OpenSSL werden verwendet.
    notempty
    Die Gegenstelle muss dasselbe Hashverfahren nutzen!
    SHA1 SHA224 SHA256 SHA384 SHA512 whirlpool
    Erlaubt Cipher für automatische Aushandlung (NCP):     Es lassen sich gezielt einzelne Cipher aus eine Liste auswählen
    Renegotiation: nie
    1 Stunde
    (Default)
    2 Stunden
    4 Stunden
    8 Stunden
    12 Stunden
    Zeitraum, ab dem die Verbindung erneut vermittelt wird


    Abschnitt Erweitert
    Erweitert S2S Client
    Beschriftung Wert Beschreibung SSL-VPN Verbindung bearbeiten UTMbenutzer@firewall.name.fqdnVPNSSL-VPN UTM v12.6 SSL-VPN S2S Client Reiter Erweitert.pngAbschnitt Erweitert
    MTU: 1500Link= Maximale Übertragungseinheit des größten Pakets (Byte)
    LZO: Aus LZO-Kompression
    Nach der Änderung dieser Option müssen die entsprechenden Client-Gegenstellen ihre Konfiguration anpassen!
    Deaktiviert: Nein
    Pass TOS: Aus Erlaubt das Weiterleiten der TOS-Felder für das automatische QoS in den Paketen
    Ping Intervall: 10Link= Sekunden Intervall der Ping-Anfragen
    Ping Wartezeit: 120Link= Sekunden Wartezeit der Ping-Anfragen
    Ausgehende Puffergröße: 65536Link= Bytes
    Eingehende Puffergröße: 65536Link= Bytes
    Replay window Sequenzgröße: 64Link=
    Replay window Wartezeit: 15Link= Sekunden


    S2S Client Regelwerk

    S2S Client Implizite Regeln

    Da der Site-to-Site Client die Verbindung zum S2S Server aufbaut und ausgehende Verbindungen der Firewall selbst per Default immer erlaubt sind, sind keine impliziten Regeln notwendig.

    S2S Client Netzwerkobjekte

    Ein neues Netzwerkobjekt kann unter Firewall Netzwerkobjekte  Schaltfläche + Objekt hinzufügen erstellt werden.

    Beschriftung Wert Beschreibung Netzwerkobjekt hinzufügen UTMbenutzer@firewall.name.fqdnFirewallNetzwerkobjekte UTM v12.6 Firewall Netzwerkobjekt hinzufügen S2S Client.pngNetzwerkobjekt für das Tunnelnetzwerk
    Name: sslvpn-S2S-Server-Network Eindeutiger Name
    Typ: VPN-Netzwerk Soll im Server-Netzwerk nur ein einzelner Host freigegeben werden, kann hier auch VPN-Host ausgewählt werden.
    Adresse: 192.168.175.0/24
    Wurden mehrere Servernetzwerke freigegeben, muss für jedes dieser Netzwerke ein eigenes Netzwerkobjekt angelegt werden. Anschließend können die Netzwerkobjekte dann zu einer Gruppe zusammengefasst werden.
    Zone: vpn-ssl-S2S-client die Zone auf dem S2S Client, über die das S2S Server-Netzwerk angesprochen wird.
    Gruppe:     Optional


    S2S Client Paketfilter-Regeln
    S2S Client Paketfilter-Regeln
    S2S Client

    Paketfilter UTMbenutzer@firewall.name.fqdnFirewall Regeln aktualisieren UTM v12.6 Firewall Paketfilter Regeln S2S Client.png Paketfilter-Regeln im

    Menü Firewall Paketfilter  Schaltfläche + Regel hinzufügen.
    Zwei Regeln erlauben den Zugriff auf das S2S-Server-Netzwerk bzw. aus dem Netzwerk:

    # Quelle Ziel Dienst NAT Aktion Aktiv
    Dragndrop.png 5 Network.svg internal-network Vpn-network.svg sslvpn-S2S-server-network Service-group.svg default-internet Accept Ein
    Dragndrop.png 4 Vpn-network.svg sslvpn-S2S-server-network Network.svg internal-network Service-group.svg default-internet Accept Ein


    S2S Client Routen
    S2S Client Routen
    S2S Client

    Die Routen werden automatisch gesetzt.
    Bei Verwendung von VoIP durch den Tunnel sollten jedoch Routen gesetzt werden, damit die Verbindung der Telefone korrekt zur TK-Anlage gewährleistet ist.
    Menü Netzwerk Netzwerkkonfiguration  Bereich Routing Schaltfläche + Route hinzufügen.
    Damit das Netzwerk der Gegenstelle zuverlässig gefunden werden kann, sollte noch eine Route gesetzt werden.

    Beschriftung Wert Beschreibung Route hinzufügen UTMbenutzer@firewall.name.fqdn UTM v12.6 Netzwerkkonfiguration Route S2S Client.pngRoute für Gegenstelle
    Gateway-Schnittstelle: tun4 Mit der Einrichtung der Verbindung wurde ein TUN-Interface erzeugt, das hier angegeben werden muss.
    Zielnetzwerk: 192.168.175.0/24 Das Netzwerk der Gegenstelle (S2S Server)



































    Ausgangslage

    Es kann gewünscht sein, die Routen für VPN-Verbindungen Nur für interne Prüfzwecke erst dann zu setzen, wenn die Verbindung wirklich steht.

    1. Dadurch wird verhindert das Pakete in das Internet geroutet und vom Conntrack gespeichert werden und so einen korrekten Aufbau der Verbindung verhindern.
    2. Dies kann von Vorteil sein wenn zum Beispiel VoIP durch den Tunnel gehen soll.
    3. Load Balancing über eine zweite Firewall wird deutlich vereinfacht, wenn nur die UTM eine Route bekommt, bei der der Tunnel auch tatsächlich aufgebaut wird.

    CLI-Befehl

    Verbindung per SSH oder über Menü Extras CLI : route set id <ID> flags BLACKHOLE_IF_OFFLINE

    Z.B.: route set id "2" flags BLACKHOLE_IF_OFFLINE
    Dieser Befehl verwirft Pakete zu diesem Ziel wenn die Route nicht vorhanden ist.
    Bei SSL-VPN oder bei Wireguard zum Beispiel wenn der Tunnel nicht steht.
    Zuvor kann mit route get die korrekte Verbindungs-ID ermittelt werden

    notempty
    Neu ab 12.6.2


    Hinweise

    Multipath

    Multipath
    S2S Client

    Bei Multipath auf der Client Seite, muss die VPN-Verbindung im Client auf eine Schnittstelle gebunden werden.
    Um eine Client-Verbindung an eine Schnittstelle zu binden, muss über den CLI-Befehl openvpn get die ID der Verbindung ausfindig gemacht werden.
    Über den Befehl openvpn set id $ID_DES_TUNNELS local_addr $IP_DES_INTERFACES kann dann die ausgehende IP gesetzt werden.
    Zusätzlich wird in der ausgehenden Regel (internal-network → VPN-Netzwerk → $DIENST) eine Rule-Route über die entsprechende tunX-Schnittstelle benötigt.




    Der transparente HTTP-Proxy

    Wenn aus dem internen Netzwerk via HTTP auf einen Server hinter der Site-to-Site Verbindung zugegriffen werden soll, kann es sein das der transparente HTTP-Proxy die Pakete filtert. Dies kann zu Fehlern bei den Zugriffen auf das Ziel führen.
    Damit dies nicht passiert muss im Menü Anwendungen HTTP-Proxy  Bereich Transparenter Modus Schaltfläche + Transparente Regel hinzufügen eine Regel hinzugefügt werden:

    Transparente Regel hinzufügen UTMbenutzer@firewall.name.fqdnAnwendungHTTP-Proxy

    Protokoll: HTTP
    Typ: Exclude
    Quelle: internal-network
    Ziel: name-vpn-netzwerk-objekt
  • Wird die SSL-Interception verwendet, sollte das zusätzlich für das Protokoll HTTPS vorgenommen werden.
































  • Connection Rate Limit

    Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports

    notempty

    Bei Connection Rate Limit handelt es sich um eine Beta-Funktion, die sich noch in der Entwicklung befindet.
    Bei zu gering gesetztem Rate Limit kann es zu unerwartete Effekten kommen, z.B. das ggfs. Dienste eingeschränkt werden können.

    notempty

    Die Funktion befindet sich noch in der Erprobungsphase und wird weiter ausgebaut.
    Die Funktion ist zunächst ausschließlich über das CLI zu konfigurieren

    Die Funktion soll helfen Angriffe abzuwehren.
    SSL-VPN-Zugänge können so z.B. vor aggressiven Scans oder Anmeldeversuchen geschützt werden.


    Connection Rate Limit.png
    Connection Rate Limit Access.png

    Die UTM kann ab v12.6.2 die Anzahl der TCP- und/oder UDP-Verbindungen von einer externen IP-Adresse auf einen Port limitieren.
    Dabei gelten folgende Bedingungen:

    • Es werde nur eingehende Verbindungen überwacht, für die eine Default-Route existiert
    • Es werden die Verbindungen von einer IP-Adresse auf einen Port der UTM innerhalb einer Minute gezählt
    • Bei Aktivierung werden 5 Verbindungen / Verbindungsversuche je Minute zugelassen.
      Danach werden die Verbindungen limitiert:
      • Dabei werden die zusätzlich zugelassenen Verbindungen innerhalb von 60 Sekunden seit der ersten Verbindung gleichmäßig verteilt.
      • Bei einem CONNECTION_RATE_LIMIT-Wert von 20 kommt also alle 3 Sekunden eine zusätzliche Verbindung hinzu.
      • 10 Sekunden nach der 1 Anmeldung könnten 3 weitere Verbindungen aufgebaut werden (jeweils von der gleichen IP-Adresse aus auf den selben Ziel-Port)
    • Die Sperrung einer IP-Adresse wirkt nur für den Zugriff auf den Port, der zu oft genutzt wurde.
      Andere Ports können weiterhin erreicht werden.
    • Die Funktion ist bei Neuinstallationen per Default auf 20 UDP-Verbindungen / Minute auf allen Ports aktiviert
    • Bei Updates muss die Funktion manuell aktiviert werden
    extc-Variable Default-Wert Beschreibung
    CONNECTION_RATE_LIMIT_TCP 0 Anzahl der zugelassenen TCP-Verbindungen einer IP-Adresse je Port
    0 = Funktion deaktiviert, es werden keine Sperrungen vorgenommen
    CONNECTION_RATE_LIMIT_TCP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports würden (bei Aktivierung) überwacht werden.
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
    CONNECTION_RATE_LIMIT_UDP 20 / 0
    Default Einstellung bei Neuinstallationen ab v12.6.2: 20
    Bei Update Installationen ist der Wert 0, damit ist die Funktion deaktiviert.
      
    Anzahl der zugelassenen UDP-Verbindungen einer IP-Adresse je Port
    CONNECTION_RATE_LIMIT_UDP_PORTS Ports die überwacht werden sollen. Per Default leer=alle Ports werden überwacht (nur bei Neuinstallationen!).
    Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]

    Konfiguration mit CLI-Befehlen

    CLI-Befehl Funktion
    extc value get application securepoint_firewall
    Alternativ als root-User:
    spcli extc value get application securepoint_firewall | grep RATE
    Listet alle Variablen der Anwendung securepoint_firewall auf.
    Für das Connection Limit sind die Variablen zuständig, die mit CONNECTION_RATE_LIMIT_ beginnen.

    application |variable |value --------------------+-------------------------------+----- securepoint_firewall |… |… |CONNECTION_RATE_LIMIT_TCP |0 |CONNECTION_RATE_LIMIT_TCP_PORTS| |CONNECTION_RATE_LIMIT_UDP |20 |CONNECTION_RATE_LIMIT_UDP_PORTS|

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    system update rule
    Begrenzt die zugelassene Anzahl von TCP-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
  • Soll der Wert geändert werden, muss er zunächst auf 0 gesetzt und ein Regelupdate durchgeführt werden. Anschließend kann ein neuer Wert eingetragen werden.
  • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0
    system update rule
    Deaktiviert die Überwachung von TCP-Verbindungen
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    system update rule
    Beschränkt die Überwachung von TCP-Verbindungen auf die Ports 443 und 11115
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ]
    system update rule
    Ein NULL-Wert hebt die Einschränkung auf bestimmte Ports auf
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    system update rule
    Begrenzt die zugelassene Anzahl von UDP-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
    Default Einstellung bei Neuinstallationen ab v12.6.2: 20
    Bei Update Installationen ist der Wert 0, damit ist die Funktion deaktiviert.
  • Soll der Wert geändert werden, muss er zunächst auf 0 gesetzt und ein Regelupdate durchgeführt werden. Anschließend kann ein neuer Wert eingetragen werden.
  • extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0
    system update rule
    Deaktiviert die Überwachung von UDP-Verbindungen
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ]
    system update rule
    Beschränkt die Überwachung von UDP-Verbindungen auf die Ports 1194 und 1195.
    (Beispielhaft für 2 angelegte SSL-VPN Tunnel.)
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule
    Ein NULL-Wert hebt die Einschränkung auf bestimmte Ports auf
    Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!

    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ]
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20
    extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ]
    system update rule

    notempty

    Zum Abschluss muss der CLI-Befehl system update rule eingegeben werden, damit die Werte in den Regeln angewendet werden.

    Beispiel, um maximal 20 Verbindungen pro Minute je IP-Adresse und Port zuzulassen. Bei TCP wird die Überwachung auf die Ports 443 und 11115 beschränkt. Es werden alle Ports auf UDP-Verbindungen überwacht.