Versionen im Vergleich

Schlüssel

  • Diese Zeile wurde hinzugefügt.
  • Diese Zeile wurde entfernt.
  • Formatierung wurde geändert.

...

  • Bestandsinstallation einer LANCOM R&S® Unified Firewall mit Firmware bis LCOS FX ab Version 10.37
  • Bereits eingerichtete und funktionsfähige Internet-Verbindung auf den Unified Firewalls
  • Web-Browser zur Konfiguration der Unified Firewalls.

    Es werden folgende Browser unterstützt:
    • Google Chrome
    • Chromium
    • Mozilla Firefox
Info
Stellen Sie bitte sicher, dass die Adressbereiche der per VPN zu verbindenden lokalen Netzwerke sich nicht mit den auf den Unified Firewall-Ports konfigurierten Standard-Netzwerken (z.B. 192.168.2.0/24, 192.168.3.0/24) überschneiden!


Szenario:

1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:

Ein Unternehmen möchte die Unified Firewall in der Zentrale mit der Unified Firewall in der Filiale über eine VPN-SSL

...

-Verbindung koppeln.

Zentrale:

  • Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und eine Internetverbindung Internet-Verbindung mit der festen öffentlichen IP-Adresse 81.81.81.1.
  • Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.23.0/24.
  • Die Zentrale wird als Site-to-Site Server konfiguriert, welcher eingehende VPN-SSL-VPN-Verbindungen annimmt.

Filiale:

  • Die Filiale verfügt über eine Unified Firewall als Gateway und eine Internetverbindung Internet-Verbindung mit der festen öffentlichen IP-Adresse 82.82.82.2.
  • Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.24.0/24.
  • Die Filiale wird als Site-to-Site Client konfiguriert, welcher ausgehende SSL VPN-VPNSSL-Verbindungen initiiert.

Image Modified


2. Die Unified Firewall geht über einen vorgeschalteten Router ins Internet:

Ein Unternehmen möchte die Unified Firewall in der Zentrale mit der Unified Firewall in der Filiale über eine VPN-SSL-

VPN-

Verbindung koppeln.

Zentrale:

  • Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router hat die feste öffentliche IP-Adresse 81.81.81.1.
  • Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.23.0/24.
  • Die Zentrale wird als Site-to-Site Server konfiguriert, welcher eingehende VPN-SSL-VPN-Verbindungen annimmt.

Filiale:

  • Die Filiale verfügt über eine Unified Firewall als Gateway und eine Internetverbindung mit der festen öffentlichen einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router hat die feste öffentliche IP-Adresse 82.82.82.2.
  • Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.24.0/24.
  • Die Filiale wird als Site-to-Site Client konfiguriert, welcher ausgehende SSL VPN-VPNSSL-Verbindungen initiiert.
  • Die Filiale verfügt über eine Unified Firewall als Gateway und einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router hat die feste öffentliche IP-Adresse 82.82.82.2.
Info
Dieses Szenario beinhaltet auch die "Parallel"-Lösung wie in diesem Artikel beschrieben.

Image Modified



Vorgehensweise:

Die Einrichtung ist bei Szenario 1 und 2 grundsätzlich gleich. Bei Szenario 2 muss zusätzlich ein Portforwarding auf dem vorgeschalteten Router eingerichtet werden (siehe Abschnitt 34 ).

...

Damit sowohl die Unified Firewall in der Zentrale als auch die Unified Firewall in der Filiale VPN-SSL Einwahl-Verbindungen annehmen können, muss auf beiden Unified Firewalls jeweils eine eigene CA sowie ein VPN-SSL Zertifikat erstellt werden. Das VPN-SSL-Zertifikat wird jeweils in den VPN-SSL-Einstellungen hinterlegt und dient zum Entschlüsseln der Verbindung. Das Zertifikat wird anschließend exportiert und in der jeweils anderen Unified Firewall importiert. Dort wird das importierte Zertifikat in der VPN-SSL Verbindung hinterlegt und dient dort zum Verschlüsseln der Verbindung.


1. Erstellen der Zertifikate und Konfiguration der VPN-SSL-Einstellungen:

1.1 Erstellen der Zertifikate und Konfiguration der VPN-SSL-Einstellungen auf der Unified Firewall in der Zentrale:

1.1.1 Verbinden Sie sich mit der Unified Firewall in der Zentrale, wechseln in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das "Plus-Zeichen", um ein eine neues Zertifikat zu erstellen.

Image Modified

1.1.2 Hinterlegen Passen Sie folgende die folgenden Parameter an, um eine CA zu erstellen und klicken auf Erstellen:

  • Zertifikatstyp : Wählen Sie Zertifikat aus.
  • Vorlage: Wählen Sie die Vorlage Certificate Authority aus.
  • Common - Name (CN): Vergeben Sie einen aussagekräftigen Common Name .Gültigkeit: Legen Sie fest wie lange das Zertifikat gültig sein soll. Bei einer CA wird die Gültigkeitsdauer üblicherweise sehr hoch gewählt(in diesem Beispiel VPN-SSL-CA-Zentrale).
  • Private-Key-Passwort: Hinterlegen Sie ein Passwor t. Dieses dient dazu den Private Key zu verschlüsseln.
  • Private-Key-Verschlüsselung: Wählen Sie im Dropdownmenü RSA aus.
  • Private-Key-Größe: Setzen Sie den Wert im Dropdownmenü auf 4096.

Image Removed

Image Added

1.1.3 Erstellen Sie mit einem Klick auf das "Plus-Zeichen" ein weiteres Zertifikat, welches in Schritt 1.1.4 exportiert und anschließend in den VPN-SSL-Einstellungen der Zentrale hinterlegt wird (siehe Schritt 1.1.7). Passen Sie dazu die folgenden Parameter an und klicken auf Erstellen:

  • Zertifikatstyp: Wählen Sie Zertifikat aus.
  • Vorlage: Wählen Sie die Vorlage

...

  • Certificate aus.
  • Common

...

  • Name (CN): Vergeben Sie einen aussagekräftigen Common Name (in diesem Beispiel VPN-SSL-Zentrale).
  • Private-Key-Passwort: Hinterlegen Sie ein Passwor t. Dieses dient dazu, den Private Key zu verschlüsseln.
  • Gültigkeit:

...

  • Setzen Sie die Gültigkeit auf mindestens 5 Jahre. Dies ist sinnvoll, da dieses Zertifikat für alle SSL-VPN-Verbindungen verwendet wird.
  • Signierende CA: Wählen Sie im Dropdownmenü die in Schritt 1.1.2 erstellte CA aus.
  • CA-Passwort: Hinterlegen Sie das in Schritt 1.1.2 vergebene Private-Key-Passwort.

...

Image Added

1.4 Dieses Zertifikat müssen Sie im *.pem-Format exportieren.

  • Geben Sie das Private-Key-Passwort des Zertifikats ein.
  • Erstellen Sie ein Transport-Passwort.

Image Removed

1.1.4 Klicken Sie bei dem in Schritt 1.1.3 erstellten Zertifikat auf die Schaltfläche für den Zertifikat-Export.

Image Added

1.1.5 Wählen Sie das Format PEM / CRT, aktivieren die Option Zertifikatskette exportieren und klicken auf Exportieren.

Image Added

1.1.6 Wechseln Sie in das Menü VPN → VPN-SSL → VPN-SSL-Einstellungen.

Image Added

1.1.7 Aktivieren Sie den VPN-SSL-Dienst über den Schieberegler, passen die folgenden Parameter an und klicken auf Speichern:

  • Host-Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 1.1.3 erstellte VPN-Zertifikat aus.
  • Private-Key-Passwort: Tragen Sie das in Schritt 1.1.3 vergebene Private-Key-Passwort ein.
  • Routen: Hinterlegen Sie die Netzwerke in CIDR Schreibweise (Classless InterDomain Routing), in welche die VPN-Verbindung Zugriff haben soll. In diesem Beispiel ist dies das lokale Netzwerk der Zentrale mit dem Adressbereich 192.168.23.0/24.
  • Verschlüsselungs-Algorithmus: Wählen Sie auf der Registerkarte Site-to-Site im Dropdownmenü AES 256 aus.
Info

Bei Bedarf können Sie das Protokoll sowie den Port abändern. Bei dem Adressbereich handelt es sich um den Einwahl-Adressbereich, aus dem ein VPN-SSL-Client eine IP-Adresse zugewiesen bekommt. Dieser Adressbereich darf nicht bereits als internes Netzwerk in der Unified Firewall verwendet werden.

Image Added


1.2 Erstellen der Zertifikate und Konfiguration der VPN-SSL-Einstellungen auf der Unified Firewall in der Filiale:

1.2.1 Verbinden Sie sich mit der Unified Firewall in der Filiale, wechseln in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das "Plus-Zeichen", um ein neues Zertifikat zu erstellen.

Image Added

1.2.2  Passen Sie die folgenden Parameter an, um eine CA zu erstellen und klicken auf Erstellen:

  • Zertifikatstyp : Wählen Sie Zertifikat aus.
  • Vorlage: Wählen Sie die Vorlage Certificate Authority aus.
  • Common Name (CN): Vergeben Sie einen aussagekräftigen Common Name (in diesem Beispiel VPN-SSL-CA-Filiale).
  • Private-Key-Passwort: Hinterlegen Sie ein Passwor t. Dieses dient dazu den Private Key zu verschlüsseln.

Image Added

1.2.3 1.5 Erstellen Sie mit einem Klick auf das "Plus-Zeichen" ein weiteres Zertifikat, welches in Schritt 1.2.4 exportiert und anschließend in den VPN-SSL-Einstellungen der Filiale hinterlegt wird (siehe Schritt 1.2.7). Passen Sie dazu die folgenden Parameter an und klicken auf Erstellen:

  • Zertifikatstyp: Wählen Sie Zertifikat aus.
  • Vorlage: Wählen Sie die Vorlage Legacy VPN Certificate aus.
  • Common-Name (CN): Vergeben Sie einen aussagekräftigen Common Name (in diesem Beispiel VPN-SSL-Filiale).
  • Private-Key-Passwort: Hinterlegen Sie ein Passwor t. Dieses dient dazu, den Private Key zu verschlüsseln.
  • Gültigkeit: Legen Sie fest wie lange das Zertifikat gültig sein sollSetzen Sie die Gültigkeit auf mindestens 5 Jahre. Dies ist sinnvoll, da dieses Zertifikat für alle SSL-VPN-Verbindungen verwendet wird.
  • Signierende CA: Wählen Sie im Dropdownmenü die in Schritt 1.2.2 erstellte CA aus.
  • CA-Passwort: Hinterlegen Sie das in Schritt 1.2.2 vergebene Private-Key-Passwort.

Image Removed

1.6 Dieses Zertifikat müssen Sie im PKCS 12-Format exportieren.

  • Geben Sie das Private-Key-Passwort des Zertifikats ein.
  • Erstellen Sie ein Transport-Passwort.

Image Removed

Image Added

1.2.4 Klicken Sie bei dem in Schritt 1.2.3 erstellten Zertifikat auf die Schaltfläche für den Zertifikat-Export.

Image Added

1.2.5 Wählen Sie das Format PEM / CRT, aktivieren die Option Zertifikatskette exportieren und klicken auf Exportieren.

Image Added

1.2.6 1.7 Wechseln Sie in das Menü VPN → VPN-SSL → VPN-SSL-Einstellungen.

Image Added

1.2.8 7 Aktivieren Sie den VPN-SSL-Dienst und hinterlegen folgende Parameterüber den Schieberegler, passen die folgenden Parameter an und klicken auf Speichern:

  • Host-Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 1.2.3 erstellte VPN-Zertifikat aus.
  • Private-Key-Passwort: Tragen Sie das in Schritt 1.2.3 vergebene Private-Key-Passwort ein.
  • Routen: Hinterlegen Sie die Netzwerke in CIDR Schreibweise (Classless InterDomain Routing), in welche die VPN-Verbindung Zugriff haben soll. In diesem Beispiel ist dies das lokale Netzwerk der Zentrale Filiale mit dem Adressbereich 192.168.2324.0/24,
  • Verschlüsselungs-Algorithmus: Wählen Sie auf der Registerkarte Site-to-Site im Dropdownmenü AES 256 aus.
Info
Bei Bedarf können Sie das Protokoll sowie den Port abändern. Bei dem Adressbereich handelt es sich um den Einwahl-Adressbereich, aus dem ein VPN-SSL-Client eine IP-Adresse zugewiesen bekommt. Dieser Adressbereich darf nicht bereits als internes Netzwerk in der Unified Firewall verwendet werden.

...

Image Removed

Image Added



2. Import der Zertifikate:

2.1 Import des VPN-SSL-Zertifikats auf der Unified Firewall in der Zentrale:

2.1.1 Wechseln Sie auf der Unified Firewall in der Zentrale in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf die Schaltfläche für den Zertifikat-Import.

Image Added

2.1.2 Belassen Sie die Auswahl auf Zertifikat importieren, wählen die in Schritt 1.2.5 exportierte Zertifikatsdatei der Filiale aus und klicken auf Importieren.

Info

Es müssen keine Passwörter angegeben werden, da der Private Key nicht mit exportiert wurde.

Image Added


2.2 Import des VPN-SSL-Zertifikats auf der Unified Firewall in der Filiale:

2.2.1 Wechseln Sie auf der Unified Firewall in der Filiale in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf die Schaltfläche für den Zertifikat-Import.

Image Added

2.2.2 Belassen Sie die Auswahl auf Zertifikat importieren, wählen die in Schritt 1.1.5 exportierte Zertifikatsdatei der Zentrale aus und klicken auf Importieren

Info

Es müssen keine Passwörter angegeben werden, da der Private Key nicht mit exportiert wurde.

Image Added



3. Konfiguration der SSL-VPN-Verbindungen und Erstellen von Firewall-Regeln:

3.1 Konfiguration der SSL-VPN-Verbindungen und Erstellen von Firewall-Regeln auf der Unified Firewall in der Zentrale:

3.1.1 Wechseln Sie in der Zentrale 1.9 Wechseln Sie in das Menü VPN → VPN-SSL → Verbindungen und klicken auf das "Plus-Zeichen", um eine neue VPN-SSL-Verbindung zu erstellen.

Image RemovedImage Added

3.1.10 Aktivieren 2 Passen Sie die VPN-Verbindung und hinterlegen folgende Parameterfolgenden Parameter an und klicken auf Erstellen:

  • Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel VPN_SSL_Filiale). Beachten Sie dabei, dass der Name nur Buchstaben, Zahlen und Unterstriche enthalten darf.
  • Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 2.1.5 erstellte 2 importierte VPN-Zertifikat aus.
  • Verbindungstyp: Wählen Sie die Option Site-To-Site (Server) aus.
  • Remote-Netzwerke: Fügen Tragen Sie das lokale Netzwerk der Filiale (hier ein und fügen dieses über das"Plus-Zeichen"hinzu (in diesem Beispiel 192.168.24.0/24) der Liste hinzu.
Info
Sollen von der Filiale weitere Netzwerke angesprochen werden können, welche über die Zentrale erreichbar sind (etwa über eine weitere VPN-Verbindung), so müssen diese Netzwerke unter Zusätzliche lokale Netzwerke hinterlegt werden. Die Konfiguration wird von der Zentrale (Server) an die Filiale (Client) ausgerollt, welche Routing-Einträge für die übermittelten Netzwerke erstellt.

Image RemovedImage Added

3.1.11 3 Klicken Sie auf die Schaltfläche das Symbol zum Erstellen eines neuen VPN-HostsNetzwerks.

Image Added

3.1.12 Hinterlegen Sie folgende Parameter4 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

  • Name : Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel VPN-SSL-Filiale).
  • VPN-Verbindungstyp : Wählen Sie die Option VPN-SSL aus.
  • VPN-SSL-Verbindung : Wählen Sie im Dropdownmenü die in Schritt 3.1.

...

  • 2 erstellte VPN- Verbindung aus.

...

Image Added

3.1.

...

5 Klicken Sie

...

auf dem Desktop auf das in Schritt 3.1.4 erstellte VPN-Netzwerk, wählen das "Verbindungswerkzeug" aus und klicken anschließend auf das Netzwerk-Objekt, auf welches die Site-to-Site VPN-

...

Verbindung zugreifen können soll, damit die Firewall-Objekte geöffnet werden.

...

Image Added

3.1.

...

6 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle

...

der Verbindung zu.

Info
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

Image Removed

Info
Die Firewall-Objekte können Sie auch über Desktop → Desktop-Verbindungen aufrufen, indem Sie auf das "Stift-Symbol" zum Bearbeiten klicken.

Image Added Image Added

3.1.7 Klicken Sie abschließend

...

auf Aktivieren, damit die

...

vorgenommenen Änderungen von der Unified Firewall umgesetzt werden.

...

Image Removed

...

Die Konfigurationsschritte auf der Unified Firewall in der Zentrale sind damit abgeschlossen.

Image Added

2. Konfigurationsschritte auf der Unified Firewall in der Filiale:

2.1 Importieren Sie zunächst die beiden Zertifikate, welche Sie in den Schritten 1.4 und 1.6 aus der Unified Firewall der Zentrale exportiert haben.

Dies können Sie im Menü Zertifikatsverwaltung mit der Importieren-Schaltfläche tun. Die CA sowie beide Zertifikate werden daraufhin in der Zertifikatsliste angezeigt.

Image Removed

2.2 Wechesln Sie in das Menü VPN → VPN-SSL → VPN-SSL-Einstellungen.

2.3 Aktivieren Sie den VPN-SSL-Dienst und hinterlegen folgende Parameter:

  • Host-Zertifikat: Wählen Sie im Dropdownmenü das VPN-Zertifikat für die Filiale aus.
  • Routen: Hinterlegen Sie die Netzwerke in CIDR Schreibweise (Classless InterDomain Routing), in welche die VPN-Verbindung Zugriff haben soll. In diesem Beispiel ist dies das lokale Netzwerk der Filiale mit dem Adressbereich 192.168.24.0/24,
  • Verschlüsselungs-Algorithmus: Wählen Sie auf der Registerkarte Site-to-Site im Dropdownmenü AES 256 aus.
Info

Bei Bedarf können Sie das Protokoll sowie den Port abändern. Bei dem Adressbereich handelt es sich um den Einwahl-Adressbereich, aus dem ein VPN-SSL-Client eine IP-Adresse zugewiesen bekommt. Dieser Adressbereich darf nicht bereits als internes Netzwerk in der Unified Firewall verwendet werden.

Image Removed


3.2 Konfiguration der SSL-VPN-Verbindungen und Erstellen von Firewall-Regeln auf der Unified Firewall in der Filiale:

3.2.1 Wechseln Sie in der Filiale

...

in das Menü VPN → VPN-SSL →

...

Verbindungen und klicken auf das "Plus-Zeichen", um eine neue VPN-SSL-Verbindung zu erstellen.

...

Image Added

3.2.

...

2 Passen Sie die

...

folgenden Parameter an und klicken auf Erstellen:

  • Name: Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel VPN_SSL_Zentrale). Beachten Sie dabei, dass der Name nur Buchstaben, Zahlen und Unterstriche enthalten darf.
  • Zertifikat: Wählen Sie im Dropdownmenü das in Schritt 2.2.2 importierte VPN-Zertifikat

...

  • aus.
  • Verbindungstyp: Wählen Sie die Option Site-To-Site (Client) aus.
  • Remote-Adressen:

...

  • Tragen Sie

...

  • die öffentliche IP-Adresse

...

Image Removed

2.6 Klicken Sie auf den Button zum Erstellen eines neuen VPN-Hosts.

Image Removed

  • oder den DNS-Namen der Unified Firewall in der Zentrale ein und fügen diese über das "Plus-Zeichen" hinzu.

Image Added

3.2.3 Klicken Sie auf das Symbol zum Erstellen eines VPN-Netzwerks.

Image Added

3.2.4 Passen Sie die folgenden Parameter an und klicken auf Erstellen

...

:

  • Name : Vergeben Sie einen aussagekräftigen Namen (in diesem Beispiel VPN-SSL-Zentrale).
  • VPN-Verbindungstyp : Wählen Sie die Option VPN-SSL aus.
  • VPN-SSL-Verbindung : Wählen Sie im Dropdownmenü die in Schritt 3.2.

...

  • 2 erstellte VPN

...

  • - Verbindung aus.

...

Image Added

3.2.

...

5 Klicken Sie

...

auf dem Desktop auf das in Schritt 3.2.4 erstellte VPN-Netzwerk, wählen das "Verbindungswerkzeug" aus und klicken anschließend auf das Netzwerk-Objekt, auf welches die

...

Site-to-Site VPN-Verbindung zugreifen können soll, damit die Firewall-Objekte geöffnet werden.

...

Image Added

3.2.

...

6 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle

...

der Verbindung zu.

Info
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

...

Image Added Image Added

3.2.

...

7 Klicken Sie

...

abschließend auf Aktivieren, damit die

...

vorgenommenen Änderungen von der Unified Firewall umgesetzt werden.

...

Image Removed

...

Die Konfigurationsschritte auf der Unified Firewall in der Filiale sind damit abgeschlossen.

Image Added

 



34. Einrichtung eines Port-Forwarding auf den LANCOM Routern (nur Szenario 2):
Für Site-to-Site VPN-SSL wird im in der Standard-Einstellung der TCPUDP-Port 49152 verwendet verwendet. Dieser muss auf die Unified Firewall weitergeleitet werden.
Info
  • Der Port für VPN-SSL -VPN lässt sich in der Unified Firewall ändern .
  • Sollte ein Router eines anderen Herstellers verwendet werden, erfragen Sie die Vorgehensweise bei dem jeweiligen Hersteller.

34.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router → Maskierung → Port-Forwarding-Tabelle .

Image Modified

34.2 Hinterlegen Sie folgende Parameter:

  • Anfangs-Port : Hinterlegen Sie den Port 49152 .
  • End-Port : Hinterlegen Sie den Port 49152 .
  • Intranet-Adresse : Hinterlegen Sie die IP-Adresse der Unified-Firewall im Transfernetz zwischen Unified Firewall und LANCOM Router.
  • Protokoll : Wählen Sie im Dropdown-Menü TCP UDP aus.

Image RemovedImage Added

34.3 Schreiben Sie die Konfiguration in den Router zurück.