UTM/VPN/SSL VPN-S2S v11.7.3: Unterschied zwischen den Versionen

Version vom 30. Oktober 2012, 15:55 Uhr

Einrichtung des SSL VPN Servers

Zertifikate

Gehen Sie auf Authentifizierung > Zertifikate
Erstellen Sie ihre CA.
Gehen Sie auf die Registerkarte Zertifikate
Erstellen Sie ein Server und ein Client Zertifikat (Keine Leerzeichen im Namen!)
Speichern Sie die CA und das Client Zertifikat als PEM auf Ihrem Rechner. (Diese werden Sie später auf den Client importieren müssen)
Öffnen Sie die CA mit einem Editor und löschen alles was ab -----BEGIN PRIVATE KEY----- kommt. (Nur bei der CA!)

SSL VPN

Gehen Sie auf VPN > SSL VPN
Klicken Sie auf „Site-to-Site-Server“
Geben Sie dem Server einen Namen ein
Wählen Sie das Protokoll aus
Der Port wird automatisch selbst gesetzt.
Bei Zertifikat wählen Sie das Server Zertifikat aus, welches Sie erstellt haben.
Als letztes geben Sie dem Server die IP 192.168.250.1/24
Klicken Sie auf weiter

Nun erstellen Sie das Client Profil

Wählen Sie das Client Zertifikat aus.
Bestimmen Sie die IP des Clients 192.168.250.X/24 (x > 1, in der V11 stehen Ihnen alle IPs im Subnetz zur Verfügung, d.h. im /24 Netz haben Sie 253 IPs zur Auswahl.
Als Subnetz geben Sie das Netzwerk hinter dem Client an.
Klicken Sie auf weiter.
Die MTU lassen Sie auf 1500
Klicken Sie auf fertig.

Überprüfen Sie ob der SSL Server gestartet ist Dies machen Sie über Anwendungen > Anwendungsstatus. Hat SSL-VPN eine grüne Lampe, dann ist der Dienst gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet das der Server aus ist).

Routen

Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk

Regelwerk

Gehen Sie auf Firewall > Implied Rules > VPN
Setzen Sie den Haken bei Openvpn UDP (sollten Sie bei der Einrichtung des Servers als Protokoll TCP ausgewählt haben, dann müssen Sie den Haken bei Openvpn TCP setzen und nicht bei UDP)
Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
Erstellen Sie ein Netzwerkobjekt für das Clientnetzwerk (Remotenetzwerk).
Geben Sie einen Namen an
Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
Als Typ wählen Sie Netzwerk aus
Die Zone lautet vpn-openvpn-<Name des Remote Client Profils>

Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter Erstellen Sie nun das Regelwerk Internal Network > <Ihre angelegtes Objekt> > any > ACCEPT <Ihr angelegtes Objekt> > Internal Network > any > ACCEPT

Einrichtung des Clients

Zertifikate

Gehen Sie auf Authentifizierung > Zertifikate
Importieren Sie die CA und das Client Zertifikat.

SSL VPN

Gehen Sie auf VPN > SSL VPN
Klicken Sie auf „Site-to-Site Client“
Geben Sie der Verbindungen einen Namen.
Geben Sie den Remotehost an.
Wählen Sie das Protokoll aus (muss mit dem Protokoll vom Server übereinstimmen)
Wählen Sie das Client Zertifikat aus.
Klicken Sie auf Weiter
Belassen Sie die MTU auf 1500 (ansonsten muss dies auf den Wert des Servers eingestellt werden)
Klicken Sie auf Fertig

Überprüfen Sie ob der SSL Server gestartet ist Dies machen Sie über Anwendungen > Anwendungsstatus. Hat SSL-VPN eine grüne Lampe, dann ist der Dienst gestartet (Rot bedeutet es besteht ein Fehler und Grau bedeutet das der Server aus ist).

Routen

Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk

Regelwerk

Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
Erstellen Sie ein Netzwerkobjekt für das Servernetzwerk (Remotenetzwerk).
Geben Sie einen Namen an
Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit *Netzwerkobjektgruppen zu bilden.
Als Typ wählen sie Netzwerk aus
Die Zone ist vpn-openvpn-<Name des Openvpn Servers>

Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter Erstellen Sie nun das Regelwerk

Internal Network > <Ihre angelegtes Objekt> > any > ACCEPT <Ihr angelegtes Objekt> > Internal Network > any > ACCEPT

@@ Zeile 4: / Zeile 4: @@
 === Zertifikate ===
-Gehen Sie auf Authentifizierung > Zertifikate
+*Gehen Sie auf Authentifizierung > Zertifikate
-Erstellen Sie ihre CA.
+*Erstellen Sie ihre CA.
-Gehen Sie auf die Registerkarte Zertifikate
+*Gehen Sie auf die Registerkarte Zertifikate
-Erstellen Sie ein Server und ein Client Zertifikat (Keine Leerzeichen im Namen!)
+*Erstellen Sie ein Server und ein Client Zertifikat (Keine Leerzeichen im Namen!)
-Speichern Sie die CA und das Client Zertifikat als PEM auf Ihrem Rechner. (Diese werden Sie später auf den Client importieren müssen)
+*Speichern Sie die CA und das Client Zertifikat als PEM auf Ihrem Rechner. (Diese werden Sie später auf den Client importieren müssen)
-Öffnen Sie die CA mit einem Editor und löschen alles was ab -----BEGIN PRIVATE KEY-----
+*Öffnen Sie die CA mit einem Editor und löschen alles was ab -----BEGIN PRIVATE KEY----- kommt. (Nur bei der CA!)
-kommt. (Nur bei der CA!)
 === SSL VPN ===
-Gehen Sie auf VPN > SSL VPN
+*Gehen Sie auf VPN > SSL VPN
-Klicken Sie auf „Site-to-Site-Server“
+*Klicken Sie auf „Site-to-Site-Server“
-Geben Sie dem Server einen Namen ein
+*Geben Sie dem Server einen Namen ein
-wählen Sie das Protokoll aus
+*Wählen Sie das Protokoll aus
-der Port wird automatisch selbst gesetzt.
+*Der Port wird automatisch selbst gesetzt.
-Bei Zertifikat wählen Sie das Server Zertifikat aus, welches Sie erstellt haben.
+*Bei Zertifikat wählen Sie das Server Zertifikat aus, welches Sie erstellt haben.
-Als letztes geben Sie dem Server die IP 192.168.250.1/24
+*Als letztes geben Sie dem Server die IP 192.168.250.1/24
-klicken Sie auf weiter
+*Klicken Sie auf weiter
 Nun erstellen Sie das Client Profil
-Wählen Sie das Client Zertifikat aus.
+*Wählen Sie das Client Zertifikat aus.
-Bestimmen Sie die IP des Clients 192.168.250.X/24 (x > 1, in der V11 stehen Ihnen alle IPs im Subnetz zur Verfügung, d.h. im /24 Netz haben Sie 253 IPs zur Auswahl.
+*Bestimmen Sie die IP des Clients 192.168.250.X/24 (x > 1, in der V11 stehen Ihnen alle IPs im Subnetz zur Verfügung, d.h. im /24 Netz haben Sie 253 IPs zur Auswahl.
-Als Subnetz geben Sie das Netzwerk hinter dem Client an.
+*Als Subnetz geben Sie das Netzwerk hinter dem Client an.
-Klicken Sie auf weiter.
+*Klicken Sie auf weiter.
-Die MTU lassen Sie auf 1500
+*Die MTU lassen Sie auf 1500
-Klicken Sie auf fertig.
+*Klicken Sie auf fertig.
 Überprüfen Sie ob der SSL Server gestartet ist
@@ Zeile 35: / Zeile 34: @@
 === Routen ===
-Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
+*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
-Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
+*Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
 === Regelwerk ===
-Gehen Sie auf Firewall > Implied Rules > VPN
+*Gehen Sie auf Firewall > Implied Rules > VPN
-Setzen Sie den Haken bei Openvpn UDP (sollten Sie bei der Einrichtung des Servers als Protokoll TCP ausgewählt haben, dann müssen Sie den Haken bei Openvpn TCP setzen und nicht bei UDP)
+*Setzen Sie den Haken bei Openvpn UDP (sollten Sie bei der Einrichtung des Servers als Protokoll TCP ausgewählt haben, dann müssen Sie den Haken bei Openvpn TCP setzen und nicht bei UDP)
-Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
+*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
-Erstellen Sie ein Netzwerkobjekt für das Clientnetzwerk (Remotenetzwerk).
+*Erstellen Sie ein Netzwerkobjekt für das Clientnetzwerk (Remotenetzwerk).
-Geben Sie einen Namen an
+*Geben Sie einen Namen an
-Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
+*Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
-Als Typ wählen sie Netzwerk aus
+*Als Typ wählen Sie Netzwerk aus
-Die Zone ist vpn-openvpn-<Name des Remote Client Profils>
+*Die Zone lautet vpn-openvpn-<Name des Remote Client Profils>
 Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter
@@ Zeile 58: / Zeile 57: @@
 ===Zertifikate===
-Gehen Sie auf Authentifizierung > Zertifikate
+*Gehen Sie auf Authentifizierung > Zertifikate
-Importieren Sie die CA und das Client Zertifikat.
+*Importieren Sie die CA und das Client Zertifikat.
 ===SSL VPN===
-Gehen Sie auf VPN > SSL VPN
+*Gehen Sie auf VPN > SSL VPN
-Klicken Sie auf „Site-to-Site Client“
+*Klicken Sie auf „Site-to-Site Client“
-Geben Sie der Verbindungen einen Namen.
+*Geben Sie der Verbindungen einen Namen.
-Geben Sie den Remotehost an.
+*Geben Sie den Remotehost an.
-Wählen Sie das Protokoll aus (muss mit dem Protokoll vom Server übereinstimmen)
+*Wählen Sie das Protokoll aus (muss mit dem Protokoll vom Server übereinstimmen)
-Wählen Sie das Client Zertifikat aus.
+*Wählen Sie das Client Zertifikat aus.
-Klicken Sie auf Weiter
+*Klicken Sie auf Weiter
-Belassen Sie die MTU auf 1500 (ansonsten muss dies auf den Wert des Servers eingestellt werden)
+*Belassen Sie die MTU auf 1500 (ansonsten muss dies auf den Wert des Servers eingestellt werden)
-Klicken Sie auf Fertig
+*Klicken Sie auf Fertig
 Überprüfen Sie ob der SSL Server gestartet ist
@@ Zeile 77: / Zeile 76: @@
 ===Routen===
-Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
+*Gehen Sie auf Netzwerk > Netzwerkkonfiguration > Routing
-Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
+*Erstellen Sie eine Route über das Gateway „tun0“ zum Zielnetzwerk
 ===Regelwerk===
-Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
+*Gehen Sie auf Firewall > Portfilter > Netzwerkobjekte.
-Erstellen Sie ein Netzwerkobjekt für das Servernetzwerk (Remotenetzwerk).
+*Erstellen Sie ein Netzwerkobjekt für das Servernetzwerk (Remotenetzwerk).
-Geben Sie einen Namen an
+*Geben Sie einen Namen an
-Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit Netzwerkobjektgruppen zu bilden.
+*Die Gruppe können Sie leer lassen, da es in der V11 nicht mehr zwingend erforderlich ist das Regelwerk mit *Netzwerkobjektgruppen zu bilden.
-Als Typ wählen sie Netzwerk aus
+*Als Typ wählen sie Netzwerk aus
-Die Zone ist vpn-openvpn-<Name des Openvpn Servers>
+*Die Zone ist vpn-openvpn-<Name des Openvpn Servers>
 Wenn das Objekt angelegt worden ist gehen Sie wieder auf die Registerkarte Portfilter