Beschreibung: In diesem Dokument ist beschrieben, wie eine IKEv2-Verbindung (Site-to-Site) zwischen einem LANCOM Router und einer LANCOM R&S®Unified Firewall eingerichtet werden kann. Voraussetzungen: Szenario:1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse: - Ein Unternehmen möchte seine Filiale, in welcher ein LANCOM Router als Internet-Gateway verwendet wird, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden.
- Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und eine Internetverbindung mit der festen öffentlichen IP-Adresse 81.81.81.81.
- Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Firmenzentrale aufbauen.
- Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.66.0/24.
- Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.50.0/23.
 Übersicht einer Unified Firewall und LANCOM-Router für eine IKEv2-VPN-Verbindung 2. Die Unified Firewall geht über einen vorgeschalteten Router ins Internet: - Ein Unternehmen möchte seine Filiale, in welcher ein LANCOM Router als Internet-Gateway verwendet wird, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden.
- Die Firmenzentrale verfügt über eine Unified Firewall als Gateway und einen vorgeschalteten Router, welcher die Internet-Verbindung herstellt. Der Router die feste öffentliche IP-Adresse 81.81.81.81.
- Der LANCOM Router in der Filiale soll die VPN-Verbindung zur Firmenzentrale aufbauen.
- Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.66.0/24.
- Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.50.0/23.
 Ergänzung des Szenarios um einen LANCOM-Router vor der Firewall Vorgehensweise:Die Einrichtung ist bei Szenario 1 und 2 grundsätzlich gleich. Bei Szenario 2 muss zusätzlich ein Port- und Protokollforwarding auf dem vorgeschalteten Router eingerichtet werden (siehe Abschnitt 3). 1. Konfigurationsschritte auf der Unified Firewall: 1.1 Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln auf VPN → IPSec-Einstellungen.  WEB-UI der Firewall Auswahl des Menüpunkts VPN und des Unterpunkts IPsec-Einstellungen1.2 Aktivieren Sie IPSec.  Aktivieren von IPsec-Einstellungen1.3 Wechseln Sie auf VPN → IPSec-Verbindungen und klicken auf das "Plus-Symbol", um eine neue IPSec-Verbindung zu erstellen.  In VPN-Verbindungen in IPsec-Verbindungen den Knopf zum Hinzufügen von IPsec-Verbindungen1.4 Hinterlegen Sie folgende Parameter: - Name: Vergeben Sie einen aussagekräftigen Namen.
- Sicherheits-Profil: Wählen Sie das Profil LANCOM LCOS Default IKEv2 aus.
- Verbindung: Wählen Sie im Dropdown-Menü die Netzwerk-Verbindung aus, welches für die Internet-Verbindung verwendet wird.
- Remote Gateway: Tragen Sie die öffentliche IP- oder DNS-Adresse des LANCOM Routers ein.
 Beispiel Konfiguration einer IKEv2 VPN-Verbindung1.5 Wechseln Sie in den Reiter Tunnel und hinterlegen folgende Parameter: - Lokale Netzwerke: Geben Sie hier (in CIDR-Notation) die lokalen Netzwerke an, welche von der Gegenstelle erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Zentrale mit dem Adressbereich 192.168.66.0/24.
- Remote-Netzwerke: Geben Sie hier (in CIDR-Notation) die entfernten Netzwerke an, welche von der Firewall erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Filiale mit dem Adressbereich
192.168.50.0/23. - Aktivieren Sie die Option IKEv2-Kompatibilitätsmodus.
 Eingabefelder für Lokale Netzwerke und Remote Netzwerke und IKEv2-Kompatiabilitätsmodus1.6 Wechseln Sie in den Reiter Authentifizierung und hinterlegen folgende Parameter: - Authentifizierungstyp: Wählen Sie hier die Option PSK (Preshared Key) aus.
- PSK (Preshared Key): Vergeben Sie einen Preshared Key für diese Verbindung.
- Lokaler Identifier: Vergeben Sie die Lokale Identität.
- Remote Identifier: Vergeben Sie die Entfernte Identität.
 Preshared Key und Konfigurationsmenü1.7 Klicken Sie auf das Symbol zum Erstellen eines neuen VPN-Hosts.  Startbildschirm der Firewall Web-UI1.8 Hinterlegen Sie folgende Parameter: - Name: Vergeben Sie einen aussagekräftigen Namen.
- VPN-Verbindungstyp: Wählen Sie den Typ IPSec.
- IPSec-Verbindung: Wählen Sie im Dropdownmenü bei IPSec die in Schritt 1.4 -1.6 erstellte VPN-Verbindung aus.
 Namesgebung der VPN Verbindung1.9 Klicken Sie in dem VPN-Host auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt, auf welches das Objekt (die eingerichtete Site-to-Site Verbindung) zugreifen können soll, damit die Firewall-Objekte geöffnet werden. Wiederholen Sie diesen Schritt für jedes weitere Netzwerk, in welches die Filiale Zugriff haben soll.  VPN Verbindung auf dem Startbildschirm1.10 Weisen Sie über die "Plus-Zeichen" die erforderlichen Protokolle dem VPN-Host zu.  Pakettypen die in der Firewall bei der VPN Verbindung aktiviert werden1.11 Klicken Sie zuletzt in der Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.  Änderungen Aktivieren auf dem Startbildschirm1.12 Die Konfigurationsschritte auf der Unified Firewall sind damit abgeschlossen.
2. Konfigurationsschritte im LANCOM Router: 2.1 Starten Sie den Setup-Assistent und wählen Sie die Option Zwei lokale Netze verbinden (VPN). 2.2 Wählen Sie die Option IKEv2 aus,  Setup-Assisten für VPN IKEv2 Auswahl2.3 IPSec-over-HTTPS muss deaktiviert sein.  Setup-Assistent IPsec-over-HTTPS nicht aktiviert2.4 Vergeben Sie einen Namen für die neue VPN-Gegenstelle.  Setup-Assistent Name der Gegenstelle2.5 Tragen Sie die Bezeichnung der lokalen Identität ein, welche Sie im Schritt 1.6 als Remote Identifier konfiguriert haben. Als entferntes Passwort muss der im Schritt 1.6 vergebene Preshared Key eingetragen werden.  Setup-Assistent lokale Identität und Passwort2.6 Tragen Sie die Bezeichnung der entfernten Identität ein, welche Sie im Schritt 1.6 als Local Identifier konfiguriert haben. Als entferntes Passwort muss der im Schritt 1.6 vergebene Preshared Key eingetragen werden.  Setup-Assistent entfernte Identität und Passwort2.7 In diesem Beispiel soll die Filiale die VPN-Verbindung zur Zentrale aufbauen.  Setup-Assistent Auswahlmenü für Initatior oder Responder2.8 Tragen Sie die öffentliche IP-Adresse der Unified Firewall (oder des vorgeschalteten Routers) in das Feld Gateway ein. In den Feldern Adresse und Netzmaske müssen Sie den LAN-Adressbereich der Zentrale (192.168.66.0) sowie die zugehörige Netzmaske eintragen.  Setup-Assistent Konfigurationsmenü für entferte Seite2.9 Klicken Sie auf Fertig stellen, um die Konfiguration in den LANCOM Router zurück zu schreiben.  Setup-Assistent Fertigstellen des Konfigurationsdialogs
3. Einrichtung eines Port- und Protokoll-Forwarding auf einem LANCOM Router (nur Szenario 2): Für IPSec werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP benötigt. Diese müssen auf die Unified Firewall weitergeleitet werden. Werden die UDP-Ports 500 und 4500 weitergeleitet, wird das Protokoll ESP automatisch mit weitergeleitet. 3.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router → Maskierung → Port-Forwarding-Tabelle .  LANconfig IP-Router Maskierung auswahl Port-Forwarding-Tabelle3.2 Hinterlegen Sie folgende Parameter: - Anfangs-Port: Hinterlegen Sie den Port 500.
- End-Port: Hinterlegen Sie den Port 500.
- Intranet-Adresse: Hinterlegen Sie die IP-Adresse der Unified-Firewall im Transfernetz zwischen Unified Firewall und LANCOM Router.
- Protokoll: Wählen Sie im Dropdown-Menü UDP aus.
 Konfiguration eines weiteren Ports in der Port-Forwarding-Tabelle3.3 Erstellen Sie einen weiteren Eintrag und hinterlegen den UDP-Port 4500.  LANconfig Port-Forwarding-Tabelle3.4 Schreiben Sie die Konfiguration in den Router zurück. | 
