Beschreibung:
In bestimmten Szenarien ist es erforderlich, dass an zwei per VPN verbundenen Standorten ein Netzwerk mit dem gleichen IP-Adressbereich verwendet wird und die Kommunikation somit auf dem Layer-2 (MAC-Adresse) erfolgt anstatt auf Layer-3 (Routing). Bei einer normalen VPN-Verbindung müssen an den Standorten allerdings unterschiedliche IP-Adressbereiche verwendet werden, sodass Routing unabdingbar ist. Mithilfe eines EoGRE-Tunnels (Ethernet-over-GRE) können zwei Standorte über einen GRE-Tunnel (Generic Routing Encapsulation) miteinander verbunden und Pakete über Layer-2 übertragen werden. Dadurch ist es möglich an beiden Standsorten den gleichen IP-Adressbereich zu verwenden.
Da ein GRE-Tunnel unverschlüsselt ist, empfiehlt LANCOM Systems den Datenverkehr innerhalb des EoGRE-Tunnels verschlüsselt zu übertragen (etwa über eine IKEv2-Verbindung).
In diesem Artikel wird beschrieben, wie auf zwei Routern mit dem gleichen IP-Adressbereich ein EoGRE-Tunnel sowie eine IKEv2-Verbindung eingerichtet wird.
Voraussetzungen:
- LCOS ab Version 10.12 (download aktuelle Version)
- LANtools ab Version 10.12 (download aktuelle Version)
- Bereits konfiguriertes und funktionsfähiges lokales Netzwerk samt Internet-Verbindung
Szenario:
Vorgehensweise:
1. Einrichtung der IKEv2-Verbindung auf den beiden Routern:
Richten Sie die VPN-Verbindungen auf den beiden Routern über den Setup-Assistenten ein. Die Vorgehensweise ist in dem folgenden Knowledge Base Artikel beschrieben:
2. Konfiguration des EoGRE-Tunnels auf dem Router in der Zentrale:
2.1 Verbinden Sie sich per LANconfig mit dem Router in der Zentrale, wechseln in das Menü Schnittstellen → LAN → Ethernet-Ports und prüfen die Zuordnung des Ethernet-Ports zu dem logischen LAN-Interface bei dem für das lokale Netzwerk verwendeten Port (in diesem Beispiel ist das lokale Netzwerk mit dem Port ETH-1 verbunden; ETH-1 ist das logische Interface LAN-1 zugeordnet).
2.2 Wechseln Sie in das Menü Schnittstellen → LAN → LAN-Bridge.
2.3 Stellen Sie sicher, dass die Option Verbindung über eine Bridge herstellen (Standard) ausgewählt ist. Wechseln Sie anschließend in das Menü Port-Tabelle.
2.4 Stellen Sie sicher, dass sowohl bei dem verwendeten logischen LAN-Interface (siehe Schritt 2.1) sowie bei dem verwendeten GRE-Tunnel (siehe Schritt 2.6) die Bridge-Gruppe BRG-1 ausgewählt ist.
2.5 Wechseln Sie in das Menü Kommunikation → Gegenstellen → GRE-Tunnel.
2.6 Klicken Sie auf EoGRE-Tunnel und wählen einen bisher nicht verwendeten GRE-Tunnel aus (in diesem Beispiel GRE-Tunnel-1).
2.7 Aktivieren Sie den GRE-Tunnel und tragen bei IP-Adresse eine Adresse aus einem bisher nicht verwendeten IP-Adressbereich ein (in diesem Beispiel die 193.1.1.1). Diese Adresse stellt den Endpunkt des GRE-Tunnels dar.
2.8 Wechseln Sie in das Menü Kommunikation → Protokolle → IP-Parameter.
2.9 Wählen Sie bei Gegenstelle die in Schritt 1. erstellte VPN-Verbindung aus (in diesem Beispiel FILIALE) und tragen bei Maskierungs-IP-Adresse die IP-Adresse des in Schritt 3.7 vergebenen GRE-Tunnel-Endpunktes der Filiale ein (in diesem Beispiel die 193.1.1.2).
Da es bei IKEv2 im Gegensatz zu IKEv1 keine Extranet-Adresse mehr gibt, muss die Maskierung bei IKEv2 über die IP-Parameter erfolgen.
.
2.10 Wechseln Sie in das Menü IPv4 → Allgemein → IP-Netzwerke.
2.11 Stellen Sie sicher, dass in dem lokalen Netzwerk bei Schnittstellen-Zuordnung die Bridge-Gruppe BRG-1 ausgewählt ist.
2.12 Wechseln Sie in das Menü IP-Router → Routing → IPv4-Routing-Tabelle.
2.13 Wählen Sie den Routing-Eintrag aus, welcher für die VPN-Verbindung zur Filiale erstellt wurde und klicken auf Bearbeiten.
2.14 Passen Sie die folgenden Parameter an:
- IP-Adresse: Tragen Sie die in Schritt 2.9 vergebene Maskierungs-IP-Adresse ein (in diesem Beispiel die 193.1.1.2).
- Netzmaske: Tragen Sie die 255.255.255.255 ein. Diese steht für genau eine IP-Adresse.
2.15 Die Konfiguration des EoGRE-Tunnels des Routers in der Zentrale ist damit abgeschlossen, Schreiben Sie die Konfiguration in das Gerät zurück.
3. Konfiguration des EoGRE-Tunnels auf dem Router in der Filiale:
3.1 Verbinden Sie sich per LANconfig mit dem Router in der Filiale, wechseln in das Menü Schnittstellen → LAN → Ethernet-Ports und prüfen die Zuordnung des Ethernet-Ports zu dem logischen LAN-Interface bei dem für das lokale Netzwerk verwendeten Port (in diesem Beispiel ist das lokale Netzwerk mit dem Port ETH-1 verbunden; ETH-1 ist das logische Interface LAN-1 zugeordnet).
3.2 Wechseln Sie in das Menü Schnittstellen → LAN → LAN-Bridge.
3.3 Stellen Sie sicher, dass die Option Verbindung über eine Bridge herstellen (Standard) ausgewählt ist. Wechseln Sie anschließend in das Menü Port-Tabelle.
3.4 Stellen Sie sicher, dass sowohl bei dem verwendeten logischen LAN-Interface (siehe Schritt 3.1) sowie bei dem verwendeten GRE-Tunnel (siehe Schritt 3.6) die Bridge-Gruppe BRG-1 ausgewählt ist.
3.5 Wechseln Sie in das Menü Kommunikation → Gegenstellen → GRE-Tunnel.
3.6 Klicken Sie auf EoGRE-Tunnel und wählen einen bisher nicht verwendeten GRE-Tunnel aus (in diesem Beispiel GRE-Tunnel-1).
3.7 Aktivieren Sie den GRE-Tunnel und tragen bei IP-Adresse eine Adresse aus einem bisher nicht verwendeten IP-Adressbereich ein (in diesem Beispiel die 193.1.1.2). Diese Adresse stellt den Endpunkt des GRE-Tunnels dar.
3.8 Wechseln Sie in das Menü Kommunikation → Protokolle → IP-Parameter.
3.9 Wählen Sie bei Gegenstelle die in Schritt 1. erstellte VPN-Verbindung aus (in diesem Beispiel ZENTRALE) und tragen bei Maskierungs-IP-Adresse die IP-Adresse des in Schritt 2.7 vergebenen GRE-Tunnel-Endpunktes der Filiale ein (in diesem Beispiel die 193.1.1.1).
Da es bei IKEv2 im Gegensatz zu IKEv1 keine Extranet-Adresse mehr gibt, muss die Maskierung bei IKEv2 über die IP-Parameter erfolgen.
3.10 Wechseln Sie in das Menü IPv4 → Allgemein → IP-Netzwerke.
3.11 Stellen Sie sicher, dass in dem lokalen Netzwerk bei Schnittstellen-Zuordnung die Bridge-Gruppe BRG-1 ausgewählt ist.
3.12 Wechseln Sie in das Menü IP-Router → Routing → IPv4-Routing-Tabelle.
3.13 Wählen Sie den Routing-Eintrag aus, welcher für die VPN-Verbindung zur Zentrale erstellt wurde und klicken auf Bearbeiten.
3.14 Passen Sie die folgenden Parameter an:
- IP-Adresse: Tragen Sie die in Schritt 3.9 vergebene Maskierungs-IP-Adresse ein (in diesem Beispiel die 193.1.1.1).
- Netzmaske: Tragen Sie die 255.255.255.255 ein. Diese steht für genau eine IP-Adresse.
3.15 Die Konfiguration des EoGRE-Tunnels des Routers in der Filiale ist damit abgeschlossen, Schreiben Sie die Konfiguration in das Gerät zurück.
