Seitenhistorie

...

• Bestandsinstallation einer LANCOM R&S® Unified Firewall mit Firmware Version 10.8
• Bereits eingerichtete und funktionsfähige Internet-Verbindung auf den Unified Firewalls
• Web-Browser zur Konfiguration der Unified Firewalls.
  
  Es werden folgende Browser unterstützt:
  • Google Chrome
  • Chromium
  • Mozilla Firefox

Szenario:

1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:

...

• Zertifikatstyp: Wählen Sie Zertifikat aus.
• Vorlage: Wählen Sie die Vorlage Certificate Authority aus.
• Common Name (CN): Vergeben Sie einen aussagekräftigen Common Name (in diesem Beispiel VPN-SSL-CA-Zentrale).
• Private-Key-Passwort: Hinterlegen Sie ein Passwort. Dieses dient dazu den Private Key zu verschlüsseln.

Image Modified1.1.3 Erstellen Sie mit einem Klick auf das "Plus-Zeichen" ein weiteres Zertifikat.

• Zertifikatstyp: Wählen Sie Zertifikat aus.
• Vorlage: Wählen Sie die Vorlage Certificate aus.
• Common-Name (CN): Vergeben Sie einen aussagekräftigen Common Name (in diesem Beispiel VPN-SSL-Zentrale).
• Private-Key-Passwort: Hinterlegen Sie ein Passwort. Dieses dient dazu, den Private Key zu verschlüsseln.
• Gültigkeit: Setzen Sie die Gültigkeit auf 5 Jahre. Dies ist sinnvoll, da dieses Zertifikat für alle SSL-VPN-Verbindungen verwendet wird.
• Signierende CA: Wählen Sie im Dropdownmenü die in Schritt 1.1.2 erstellte CA aus.
• CA-Passwort: Hinterlegen Sie das in Schritt 1.1.2 vergebene Private-Key-Passwort.

Image Modified

Image Modified

Image Modified

1.1.6 Wechseln Sie in das Menü VPN → VPN-SSL → VPN-SSL-Einstellungen.

...

• Host-Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 1.1.3 erstellte VPN-Zertifikat aus.
• Private-Key-Passwort: Tragen Sie das in Schritt 1.1.3 vergebene Private-Key-Passwort ein.
• Routen: Hinterlegen Sie die Netzwerke in CIDR Schreibweise (Classless InterDomain Routing), in welche die VPN-Verbindung Zugriff haben soll. In diesem Beispiel ist dies das lokale Netzwerk der Zentrale mit dem Adressbereich 192.168.10.0/24,
  
• Verschlüsselungs-Algorithmus: Wählen Sie auf der Registerkarte Site-to-Site im Dropdownmenü AES 256 aus.

Info
Bei Bedarf können Sie das Protokoll sowie den Port abändern. Bei dem Adressbereich handelt es sich um den Einwahl-Adressbereich, aus dem ein VPN-SSL-Client eine IP-Adresse zugewiesen bekommt. Dieser Adressbereich darf nicht bereits als internes Netzwerk in der Unified Firewall verwendet werden.

Image Modified

1.2 Erstellen der Zertifikate und Konfiguration der VPN-SSL-Einstellungen auf der Unified Firewall in der Filiale:

1.2.1 Verbinden Sie sich mit der Unified Firewall in der Filiale, wechseln in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das "Plus-Zeichen", um ein neues Zertifikat zu erstellen.

...

• Name: Vergeben Sie einen aussagekräftigen Namen.
• Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 1.5 erstellte VPN-Zertifikat aus.
• Verbindungstyp: Wählen Sie Site-To-Site (Server) aus.
• Remote-Netzwerke: Fügen Sie das lokale Netzwerk der Filiale (hier 192.168.24.0/24) der Liste hinzu.

1.11 Klicken Sie auf die Schaltfläche zum Erstellen eines neuen VPN-Hosts.

...

• Name: Vergeben Sie einen aussagekräftigen Namen.
• VPN-Verbindungstyp: Wählen Sie VPN-SSL aus.
• VPN-SSL-Verbindung: Wählen Sie im Dropdownmenü die in Schritt 1.10 erstellte VPN-Verbindung aus.

Image Modified1.13 Klicken Sie in dem VPN-Host auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt, auf welches die Site-to-Site VPN-Verbindung  zugreifen können soll, damit die Firewall-Objekte geöffnet werden.Image Modified1.14 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle dem VPN-Host zu.

Info
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

Image Modified

Info
Die Firewall-Objekte können Sie auch über Desktop → Desktop-Verbindungen aufrufen, indem Sie auf das "Stift-Symbol" zum Bearbeiten klicken.

1.15 Klicken Sie zuletzt in der Unified Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.Image Modified1.16 Die Konfigurationsschritte auf der Unified Firewall in der Zentrale sind damit abgeschlossen.

2. Konfigurationsschritte auf der Unified Firewall in der Filiale:2.1 Importieren Sie zunächst die beiden Zertifikate, welche Sie in den Schritten 1.4 und 1.6 aus der Unified Firewall der Zentrale exportiert haben.Dies können Sie im Menü Zertifikatsverwaltung mit der Importieren-Schaltfläche tun. Die CA sowie beide Zertifikate werden daraufhin in der Zertifikatsliste angezeigt.Image Modified2.2 Wechesln Sie in das Menü VPN → VPN-SSL → VPN-SSL-Einstellungen.2.3 Aktivieren Sie den VPN-SSL-Dienst und hinterlegen folgende Parameter:

• Host-Zertifikat: Wählen Sie im Dropdownmenü das VPN-Zertifikat für die Filiale aus.
• Routen: Hinterlegen Sie die Netzwerke in CIDR Schreibweise (Classless InterDomain Routing), in welche die VPN-Verbindung Zugriff haben soll. In diesem Beispiel ist dies das lokale Netzwerk der Filiale mit dem Adressbereich 192.168.24.0/24,
  
• Verschlüsselungs-Algorithmus: Wählen Sie auf der Registerkarte Site-to-Site im Dropdownmenü AES 256 aus.

Info
Bei Bedarf können Sie das Protokoll sowie den Port abändern. Bei dem Adressbereich handelt es sich um den Einwahl-Adressbereich, aus dem ein VPN-SSL-Client eine IP-Adresse zugewiesen bekommt. Dieser Adressbereich darf nicht bereits als internes Netzwerk in der Unified Firewall verwendet werden.

Image Modified

2.5 Aktivieren Sie die VPN-Verbindung und hinterlegen folgende Parameter:

• Name: Vergeben Sie einen aussagekräftigen Namen.
• Zertifikat: Wählen Sie im Dropdownmenü das VPN-Zertifikat für die Zentrale aus.
• Verbindungstyp: Wählen Sie Site-To-Site (Client) aus.
• Remote-Adressen: Geben Sie hier die öffentliche IP-Adresse der Zentrale ein (hier 81.81.81.1).

Image Modified

2.6 Klicken Sie auf den Button zum Erstellen eines neuen VPN-Hosts.Image Modified2.7 Hinterlegen Sie folgende Parameter:

• Name: Vergeben Sie einen aussagekräftigen Namen.
• VPN-Verbindungstyp: Wählen Sie VPN-SSL aus.
• VPN-SSL-Verbindung: Wählen Sie im Dropdownmenü die in Schritt 2.5 erstellte VPN-SSL-Verbindung aus

Image Modified2.8 Klicken Sie in dem VPN-Host auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt, auf welches die Zentrale zugreifen können soll, damit die Firewall-Objekte geöffnet werden.Image Modified2.9 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle dem VPN-Host zu.

...

3. Einrichtung eines Port-Forwarding auf den LANCOM Routern (nur Szenario 2):Für Site-to-Site VPN-SSL wird im Standard der TCP-Port 49152 verwendet. Dieser muss auf die Unified Firewall weitergeleitet werden.

Info
Der Port für SSL-VPN lässt sich in der Unified Firewall ändern. Sollte ein Router eines anderen Herstellers verwendet werden, erfragen Sie die Vorgehensweise bei dem jeweiligen Hersteller.

3.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router → Maskierung → Port-Forwarding-Tabelle.Image Modified3.2 Hinterlegen Sie folgende Parameter:

• Anfangs-Port: Hinterlegen Sie den Port 49152.
• End-Port: Hinterlegen Sie den Port 49152.
• Intranet-Adresse: Hinterlegen Sie die IP-Adresse der Unified-Firewall im Transfernetz zwischen Unified Firewall und LANCOM Router.
• Protokoll: Wählen Sie im Dropdown-Menü TCP aus.

Image Modified3.3 Schreiben Sie die Konfiguration in den Router zurück.