Einrichtung von Source-NAT für eine IKEv2-Verbindung auf einer LANCOM R&S®Unified Firewall (Extranet-VPN)

Beschreibung:

In bestimmten Szenarien kann es erforderlich sein bei Kommunikation über einen VPN-Tunnel das lokale Netzwerk hinter einer bestimmten IP-Adresse zu maskieren. Dadurch muss auf der Gegenseite nur eine VPN-Regel für eine IP-Adresse erstellt werden und nicht für ein ganzes Netzwerk. Ein Nachteil ist, dass von der Gegenseite kein Zugriff auf Ressourcen hinter der maskierten Verbindung möglich ist. Daher bietet sich die Maskierung in der Regel nur für Filialen an, die auf Ressourcen in der Zentrale zugreifen.

In diesem Artikel wird beschrieben, wie Source-NAT für eine bestehende IKEv2-Verbindung auf einer Unified Firewall eingerichtet wird.

Voraussetzungen:

LANCOM R&S®Unified Firewall mit LCOS FX ab Version 10.7 Rel
Bereits eingerichtetes und funktionsfähiges lokales Netzwerk
Bereits eingerichtete und funktionsfähige Internet-Verbindung
Bereits eingerichtete und funktionsfähige IKEv2-Verbindung
Web-Browser zur Konfiguration der Unified Firewall.

Es werden folgende Browser unterstützt:
- Google Chrome
- Chromium
- Mozilla Firefox

Szenario:

Vorgehensweise:

1. Konfigurationsschritte in der Filiale:

1.1 Verbinden Sie sich mit dem Webinterface der Unified Firewall in der Filiale, wechseln in das Menü VPN → IPSec → Verbindungen und klicken bei der verwendeten VPN-Verbindung auf das Stift-Symbol, um diese zu bearbeiten.

1.2 Wechseln Sie in den Reiter Tunnel, löschen bei Lokale Netzwerke das hinterlegte Netzwerk und tragen stattdessen die IP-Adresse in CIDR-Schreibweise (Classless Inter Domain Routing) ein, hinter der die VPN-Verbindung in Richtung der Zentrale maskiert werden soll (in diesem Beispiel die 10.10.10.1/32).

Die Subnetzmaske /32 ist eine andere Schreibweise für 255.255.255.255 und stellt eine einzelne IP-Adresse dar.

1.3 Wechseln Sie in den Reiter Routing, aktivieren das Routen-basierte IPSec und klicken auf Speichern.

1.4 Wechseln Sie in das Menü Netzwerk → Routing → Routing-Tabellen und klicken bei der Tabelle 254 auf das Stift-Symbol, um diese zu bearbeiten.

1.5 Klicken Sie auf das "Plus-Symbol", um eine neue Route zu erstellen.

1.6 Passen Sie die folgenden Parameter an und klicken auf OK:

Interface: Wählen Sie im Dropdownmenü die VPN-Verbindung zur Zentrale aus, die maskiert werden soll.
Ziel: Tragen Sie das Zielnetzwerk in der Zentrale ein, mit dem über die VPN-Verbindung kommuniziert werden soll (in diesem Beispiel das Netzwerk 192.168.5.0/24).