...
3.1 Wechseln Sie in das Menü RADIUS → Server und aktivieren die Option RADIUS-Authentisierung aktiv, um den RADIUS-Server zu aktivieren. Stellen Sie sicher, das im Menü RADIUS-Dienste-Ports die RADIUS Ports 1.812 und 1.813 eingetragen sind (Standardeinstellung).
3.2 Wechseln Sie in das Menü RADIUS → Server → EAP.
3.3 Wählen Sie im Dropdownmenü bei Default-Methode die Option OTP aus.
3.4 Wechseln Sie in das Menü RADIUS → Server → Benutzerkonten.
3.5 Erstellen Sie einen neuen Benutzer und passen die folgenden Parameter an:
...
| Info |
|---|
Wiederholen Sie diesen Schritt für jeden weiteren VPN-Benutzer. Optional können Sie in dem Feld Attributwerte dem VPN-Client mit dem Parameter Framed-IP-Address eine feste IP-Adresse zuweisen. Diese muss in der Syntax Framed-IP-Address=<IP-Adresse> angegeben werden (z.B. Framed-IP-Address=192.168.1.10). Die IP-Adresse muss sich innerhalb des in Schritt 2.6 gewählten IPv4-Adress-Pools befinden. Durch die Zuweisung einer festen IP-Adresse ist es möglich, einzelnen Benutzern individuelle Berechtigungen über die Firewall zu erteilen. |
3.6 Wechseln Sie in das Menü RADIUS → Server → OTP-Benutzerkonten.
3.7 Erstellen Sie ein neues OTP-Benutzerkonto und passen die folgenden Parameter an:
...
| Hinweis |
|---|
Bei einigen älteren Android Geräten und dem Microsoft Authenticator wird der Hash-Algorithmus SHA256 nicht unterstützt. Verwenden Sie in diesem Fall bitte SHA1. Bei Verwendung des Google Authenticators muss mindestens ein 16-stelliges Secret vergeben werden, da ansonsten der Scan des QR-Codes fehlschlägt. |
4. Export des CA-Zertifikats vom LANCOM Router und Import im Advanced VPN Client:
4.1 Verbinden Sie sich mit dem Webinterface des LANCOM Routers, wechseln in das Menü Extras → Aktuelles CA Zertifikat herunterladen und speichern das Zertifikat ab.
4.2 Kopieren Sie das Zertifikat auf dem Computer, der die VPN-Verbindung aufbauen soll, in den Ordner C:\ProgramData\LANCOM\Advanced VPN Client\cacerts.
...
4.3 Starten Sie den Advanced VPN Client und wechseln in das Menü Verbindung → Zertifikate → CA-Zertifikate anzeigen.
4.4 Prüfen Sie, ob das Zertifikat vom Advanced VPN Client erkannt wird.
5. Einrichtung einer IKEv2-EAP-OTP Verbindung mit dem Advanced VPN Client:
5.1 Wechseln Sie im Advanced VPN Client in das Menü Konfiguration → Profile.
5.2 Klicken Sie auf Hinzufügen / Import, um eine neue VPN-Verbindung zu erstellen.
5.3 Wählen Sie Verbindung zum Firmennetz über IPSec aus und klicken auf Weiter.
5.4 Vergeben Sie einen aussagekräftigen Profil-Namen.
5.5 Wählen Sie im Dropdownmenü das verwendete Verbindungsmedium aus, mit dem die VPN-Verbindung aufgebaut werden soll.
| Info |
|---|
Soll die VPN-Verbindung mit unterschiedlichen Verbindungsmedien aufgebaut werden können (etwa LAN und WLAN), wählen Sie automatische Medienerkennung aus. |
5.6 Tragen Sie bei Gateway (Tunnel-Endpunkt) die öffentliche IP-Adresse oder den DNS-Namen des Routers ein.
5.7 Passen sie folgende Parameter an:
- Austausch-Modus: Wählen Sie im Dropdownmenü IKEv2 aus.
- PFS-Gruppe: Wählen Sie im Dropdownmenü DH14 (modp2048) aus.
5.8 Da die Authentifizierung per EAP-OTP nicht im Assistenten konfiguriert werden kann, muss dies im Nachgang manuell vorgenommen werden (siehe Schritte 5.12 - 5.13). Klicken Sie daher auf Weiter ohne Änderungen vorzunehmen.
5.9 Wählen Sie bei IP-Adressen-Zuweisung im Dropdownmenü IKE Config Mode verwenden aus, damit der Advanced VPN Client bei der VPN-Einwahl eine IP-Adresse vom Router bezieht.
5.10 Tragen Sie das Zielnetzwerk ein, zu dem die VPN-Verbindung aufgebaut werden soll. Dadurch wird nur der für das Zielnetzwerk bestimmte Datenverkehr über den VPN-Tunnel geroutet.
...
| Info |
|---|
Weitere Informationen zum Split Tunneling finden Sie in diesem Knowledge Base Artikel. |
5.11 Markieren Sie das in Schritt 5.1 - 5.10 erstellte VPN-Profil und klicken auf Bearbeiten.
5.12 Wechseln Sie in den Reiter IPSec-Einstellungen und setzen die IKEv2-Authentisierung auf EAP.
5.13 Wechseln Sie in den Reiter Identität und tragen den Benutzer-Namen des RADIUS-Benutzers als Lokale Identität sowie den Namen des OTP-Benutzers als Benutzername für die EAP-Authentisierung ein. Zusätzlich muss für die EAP-Authentisierung ein beliebiges Passwort hinterlegt werden, da das Feld nicht leer bleiben darf.
5.14 Wechseln Sie in den Expertenmodus, klicken auf Verbindungssteuerung und wählen bei OTP-Token die Option VPN-Einwahl aus.
5.15 Die Einrichtung der VPN-Verbindung im Advanced VPN Client ist damit abgeschlossen. Bestätigen Sie die manuell vorgenommenen Änderungen mit einem Klick auf OK.
...
6.1 Verbinden Sie sich per WEBconfig mit dem Router und wechseln in das Menü Extras → EAP-OTP-Benutzer.
6.2 Klicken Sie bei dem Benutzer auf das "Augen-Symbol", um den QR-Code anzuzeigen.
6.3 Scannen Sie den QR-Code mit einer Authenticator-App ein. Es werden nun OTP-Codes generiert und in der App angezeigt.
6.4 Beim Aufbau der VPN-Verbindung wird nun das in Schritt 3.5 vergebene Passwort des RADIUS-Benutzers als auch das von der Authenticator-App angezeigte Einmalpasswort (OTP) abgefragt.
