Seitenhistorie

Seiteneigenschaften

Beschreibung:

In diesem Dokument ist beschrieben, wie eine zertifikatsbasierte IKEv2-Verbindung (Site-to-Site) zwischen einem LANCOM Router und einer LANCOM R&S®Unified Firewall eingerichtet werden kann.

Info

In LCOS FX 10.7 wurde das Zertifikatsmodul erneuert, sodass die entsprechenden Menüs von älteren LCOS FX Versionen abweichen. Die Konfiguration einer zertifikatsbasierten IKEv2-Verbindung zwischen einem LANCOM Router und einer Unified Firewall ab LCOS FX 10.7 ist in dem folgenden Artikel beschrieben:

Einrichtung einer zertifikatsbasierten IKEv2 VPN-Verbindung (Site-to-Site) zwischen einem LANCOM Router und einer LANCOM R&S®Unified Firewall (ab LCOS FX 10.7)

Voraussetzungen:

LANCOM R&S®Unified Firewall ab LCOS FX 10.4 bis einschließlich LCOS FX 10.6
LANCOM VPN-Router
LCOS ab Version 10.20 (download aktuelle Version)
LANtools ab Version 10.20 (download aktuelle Version)
Bereits eingerichtete und funktionsfähige Internet-Verbindung auf der Unified Firewall
Web-Browser zur Konfiguration der Unified Firewall.

Es werden folgende Browser unterstützt:
- Google Chrome
- Chromium
- Mozilla Firefox

Szenario:

1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:

Ein Unternehmen möchte seine Filiale, in welcher ein LANCOM Router als Internet-Gateway verwendet wird, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden.
Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und eine Internetverbindung mit der festen öffentlichen IP-Adresse 81.81.81.81.
Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Firmenzentrale aufbauen.
Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.66.0/24.
Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.50.0/23.
Die VPN-Verbindung soll über Zertifikate authentifiziert werden. Es wird die CA der Unified

-

Firewall verwendet.

Image Removed

Image Added

2. Die Unified Firewall geht über einen vorgeschalteten Router ins Internet:

Ein Unternehmen möchte seine Filiale, in welcher ein LANCOM Router als Internet-Gateway verwendet wird, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden.
Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router die feste öffentliche IP-Adresse 81.81.81.81.
Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Firmenzentrale aufbauen.
Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.66.0/24.
Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.50.0/23.
Die VPN-Verbindung soll über Zertifikate authentifiziert werden. Es wird die CA der Unified

-

Firewall verwendet.

Image Removed

Image Added

Vorgehensweise:

Die Einrichtung ist bei Szenario 1 und 2 grundsätzlich gleich. Bei Szenario 2 muss zusätzlich ein Port- und Protokollforwarding auf dem vorgeschalteten Router eingerichtet werden (siehe Abschnitt 5).

1. Erstellen der CA und der VPN-Zertifikate auf der Unified Firewall:

1.1

Klicken

Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall, wechseln Sie in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das "Plus-Symbol", um einen neuen Eintrag zu erstellen.

Image Modified

1.2 Zunächst muss eine Zertifizierungsstelle (CA) für VPN-Verbindungen erstellt werden.

Wählen Sie im Drop-Down Menü "Zertifikatstyp" des oben links eingeblendeten Fensters die Option „CA für VPN/Webserver-Zertifikate“ aus.
Wählen Sie im Feld "Private-Key-Größe" den Wert 4096 Bi t aus.
Tragen Sie einen beliebigen Common Name ein.
Stellen Sie einen Gültigkeitszeitraum ein.
Vergeben Sie ein beliebiges Private-Key-Passwort.

1.3 Klicken Sie dann auf die Schaltfläche Erstellen.

Image Modified

1.

3

4 Klicken auf das "Plus-Symbol", um

einen neuen Eintrag zu erstellen.

ein Zertifikat für den LANCOM Router in der Filiale zu erstellen:

Wählen Sie im Drop-Down Menü "Zertifikatstyp" des oben links eingeblendeten Fensters die Option „VPN-Zertifikat“ aus.
Wählen Sie als "Signierende CA" die VPN-CA aus Schritt 1.2 aus.
Wählen Sie im Feld "Private-Key-Größe" den Wert 4096 Bi t aus.
Tragen Sie einen beliebigen Common Name ein.
Stellen Sie einen Gültigkeitszeitraum ein.
Tragen Sie in den Feldern CA-Passwort das Passwort ein, welches Sie im Schritt 1.2 vergeben haben.
Vergeben Sie ein beliebiges Private-Key-Passwort.

1.5 Klicken Die dann auf die Schaltfläche Erstellen.

1.4

Image Modified

1.

5

6 Klicken auf das "Plus-Symbol", um

einen neuen Eintrag zu erstellen.

1.6

ein VPN-Zertifikat für die Unified Firewall in der Zentrale zu erstellen:

Wählen Sie im Drop-Down Menü "Zertifikatstyp" des oben links eingeblendeten Fensters die Option „VPN-Zertifikat“ aus.
Wählen Sie als "Signierende CA" die VPN-CA aus Schritt 1.2 aus.
Wählen Sie im Feld "Private-Key-Größe" den Wert 4096 Bi t aus.
Tragen Sie einen beliebigen Common Name aus.
Stellen Sie einen Gültigkeitszeitraum ein.
Tragen Sie in den Feldern CA-Passwort das Passwort ein, welches Sie im Schritt 1.2 vergeben haben.
Vergeben Sie ein beliebiges Private-Key-Passwort.

1.7 Klicken Die dann auf die Schaltfläche Erstellen.

Image Added

Image Removed

1.7

Image Removed

2. Erstellen der VPN-Verbindung auf der Unified Firewall:

2.1

Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln auf VPN ->

Wechseln Sie in das Menü VPN → IPSec → IPSec-Einstellungen.

Image Removed

Image Added

2.2 Aktivieren Sie IPSec.

Image Modified

2.3 Wechseln Sie auf VPN

->

→ IPSec → IPSec-Verbindungen und klicken auf das "Plus-Symbol", um eine neue IPSec-Verbindung zu erstellen.

Image Removed

Image Added

2.4 Hinterlegen Sie folgende Parameter:

Name: Vergeben Sie einen aussagekräftigen Name n.
Sicherheits-Profil: Wählen Sie das Profil LANCOM LCOS Default IKEv2 aus.
Verbindung: Wählen Sie im Dropdown-Menü die Netzwerk-Verbindung aus, welches für die Internet-Verbindung verwendet wird.
Remote Gateway: Tragen Sie die öffentliche IP- oder DNS-Adresse des LANCOM Routers in der Filiale ein.

Wenn Sie eine eigene Vorlage oder ein eigenes Sicherheits-Profil erstellt haben, können Sie diese hier ebenfalls verwenden.

Image Modified

2.5 Wechseln Sie in den Reiter Tunnel und hinterlegen folgende Parameter:

Lokale Netzwerke: Geben Sie hier (in CIDR-Notation) die lokalen Netzwerke an, welche von der Gegenstelle erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Zentrale mit dem Adressbereich 192.168.66.0/24.
Remote-Netzwerke: Geben Sie hier (in CIDR-Notation) die entfernten Netzwerke an, welche von der Firewall erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Filiale mit dem Adressbereich

192.168.50.0/23.

Image Modified

2.6 Wechseln Sie in den Reiter Authentifizierung und hinterlegen folgende Parameter:

Authentifizierungstyp: Wählen Sie hier die Option Zertifikat aus.
Lokales Zertifikat: Wählen Sie hier das im Schritt 1.6 erstellte VPN-Zertifikat für die Unified Firewall aus.
Remote-Zertifikat: Wählen Sie hier das im Schritt 1.4 erstellte VPN-Zertifikat für den LANCOM Router aus.

2.7 Klicken Sie auf Erstellen, um die Konfiguration zu speichern.

Image Modified

2.8 Klicken Sie auf das Symbol zum Erstellen eines neuen VPN-Host s.

Image Removed

Image Added

2.9 Hinterlegen Sie folgende Parameter:

Name: Vergeben Sie einen aussagekräftigen Namen.
VPN-Verbindungstyp: Wählen Sie den Typ IPSec.
IPSec-Verbindung: Wählen Sie im Dropdownmenü bei IPSec die in Schritt 2.4 -2.7 erstellte VPN-Verbindung aus.

Image Modified

2.10 Klicken Sie in dem VPN-Host auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt, auf welches das Objekt (die eingerichtete Site-to-Site Verbindung) zugreifen können soll, damit die Firewall-Objekte geöffnet werden. Wiederholen Sie diesen Schritt für jedes weitere Netzwerk, in welches die Filiale Zugriff haben soll.

Image Modified

2.11 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle dem VPN-Host zu.

Info:

Info
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

Image Modified

Info:
Die Firewall-Objekte können Sie auch über Desktop -> Desktop-Verbindungen aufrufen, indem Sie auf das "Bearbeiten-Symbol" klicken.

2.12 Klicken Sie zuletzt in der Firewall auf Aktivieren , damit die Konfigurations-Änderungen umgesetzt werden.

Image Modified

2.13 Die Konfigurationsschritte auf der Unified Firewall sind damit abgeschlossen.

3. Export des VPN-Zertifikats für den LANCOM Router in der Filiale:

3.

1Wechseln

1 Wechseln Sie in das Menü Zertifikatsverwaltung → Zertifikate und

wählen

expandieren Sie das Menü mit der Schaltfläche >> neben dem Filterfeld.

Image Added

Wählen Sie beim VPN-Zertifikat für den LANCOM Router die Export-Schaltfläche.

Image Modified

3.2 Wählen Sie das PKCS 12-Format und vergeben Sie ein beliebiges Kennwort sowie ein Transport-Kennwort.

3.3 Klicken Sie auf Exportieren und speichern Sie die Zertifikatsdatei auf Ihrem PC ab.

Image Modified

4. Konfigurationsschritte im LANCOM Router:

4.1 Hochladen des

Router

VPN-Zertifikats in den LANCOM Router:

4.1.1 Führen Sie einen rechten Mausklick auf den LANCOM Router in LANconfig aus und wählen Sie die Option Konfigurations-Verwaltung → Zertifikat oder Datei hochladen.

Image Removed

Image Added

4.1.2 Wählen Sie im folgenden Dialog die in Schritt 3.3 exportierte VPN-Zertifikatsdatei für den LANCOM Router aus.

4.1.3 Im Feld Zertifikattyp müssen Sie einen VPN-Container auswählen. In diesem Beispiel wird der Container "VPN1" verwendet.

4.1.4 Im Feld Zert.-Passwort müssen Sie das Passwort der Zertifikatsdatei eintragen (siehe Schritt 3.2).

4.1.5 Klicken Sie dann auf Öffnen, um den Hochladevorgang zu starten.

4.2 Konfigurieren der zertifikatsbasierten VPN-Verbindung im LANCOM Router:

4.2.1 Starten Sie den Setup-Asistenten in LANconfig und wählen Sie die Option

Einwahl-Zugang bereitstellen (RAS,

Zwei lokale Netze verbinden (VPN).

Image Modified

4.2.2 Wählen Sie die Option IKEv2.

Image Modified

4.2.3 IPsec-over-HTTPS wird in diesem Beipiel nicht verwendet.

4.2.4 Vergeben Sie einen Namen für die neue VPN-Verbindung.

Image Modified

4.2.5 In diesem Dialog können Sie beliebige Werte eintragen, da diese s päter in der Konfiguration des LANCOM Routers manuell gegen Zertifikats-Authentifizierungs-Parameter ersetzt werden (siehe Schritt 4.2.

9

11).

4.2.6 Aktivieren Sie die Option Diese Angaben auch für die entfernte Identität verwenden.

Image Modified

4.2.

6

7 Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Zentrale aufbauen.

Image Added

4.2.8 Geben Sie die öffentliche IP-Adresse oder die öffentliche DNS-Adresse des LANCOM Routers in der Zentrale ein und geben Sie an, um welchen lokalen IP-Adressbereich es sich auf der Gegenseite handelt.

Image Modified

4.2.

7 Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Zentrale aufbauen.

Image Removed

4.2.8

9 Schreiben Sie die Konfiguration mit Fertig stellen in den LANCOM Router zurück.

Image Modified

4.2.

9

10 Öffnen Sie die Konfiguration des LANCOM Routers in LANconfig und wechseln Sie in das Menü VPN → IKEv2/IPSec → Authentifizierung.

Image Modified

4.2.

10

11 Wählen Sie den bestehenden Eintrag für die zertifikatsbasierte VPN-Verbindung aus (hier: ZENTRALE).

Passen Sie die Parameter für die lokale und entfernte Authentifizierung jeweils auf die Werte RSA-Signature und ASN.1 Distinguished Name an.

Tragen Sie als lokale Identität den Namen (CN, Common Name) des Zertifikats vom LANCOM Router (siehe Schritt 1.4) ein.

Tragen Sie als entfernte Identität den Namen (CN, Common Name) des Zertifikats der Unified Firewall (siehe Schritt 1.6) ein.

Wählen Sie als Lokales Zertifikat den VPN-Container aus, den Sie in Schritt 4.1.3 verwendet haben.

Image Modified

4.2.

11

12 Schreiben Sie die Konfiguration in den LANCOM Router zurück.

Die zertifikatsbasierte VPN-Verbindung zur Unified Firewall in der Zentrale wird nach kurzer Zeit aufgebaut.

5. Einrichtung eines Port- und Protokoll-Forwarding auf einem LANCOM Router (nur Szenario 2):

Für IPSec werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP benötigt. Diese müssen auf die Unified Firewall weitergeleitet werden.

Werden die UDP-Ports 500 und 4500 weitergeleitet, wird das Protokoll ESP automatisch mit weitergeleitet.

Info:

Info
Sollte ein Router eines anderen Herstellers verwendet werden, erfragen Sie die Vorgehensweise bei dem jeweiligen Hersteller.

Wichtig:

Hinweis
Werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP auf die Unified Firewall weitergeleitet, kann eine IPSec-Verbindung auf dem LANCOM Router nur noch verwendet werden, wenn diese in HTTPS gekapselt wird (IPSec-over-HTTPS). Ansonsten kann keine IPSec-Verbindung mehr aufgebaut werden!

5.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router

->

→ Maskierung

->

→ Port-Forwarding-Tabelle .

Image Removed

Image Added

5.2 Hinterlegen Sie folgende Parameter:

Anfangs-Port: Hinterlegen Sie den Port 500.
End-Port: Hinterlegen Sie den Port 500.
Intranet-Adresse: Hinterlegen Sie die IP-Adresse der Unified-Firewall im Transfernetz zwischen Unified Firewall und LANCOM Router.
Protokoll: Wählen Sie im Dropdown-Menü UDP aus.