Einrichtung einer WireGuard-Verbindung zwischen einer LANCOM R&S®Unified Firewall und dem WireGuard Windows Client

Beschreibung:

In diesem Artikel wird beschrieben, wie eine WireGuard-Verbindung zwischen einer LANCOM R&S®Unified Firewall und dem WireGuard Windows Client eingerichtet werden kann.

Voraussetzungen:

• LANCOM R&S®Unified Firewall ab LCOS FX 10.12
• WireGuard Windows Client
  
• Bereits eingerichtete und funktionsfähige Internet-Verbindung samt lokalem Netzwerk auf der Unified Firewalls
• Web-Browser zur Konfiguration der Unified Firewall.
  
  Es werden folgende Browser unterstützt:
  • Google Chrome
  • Chromium
  • Mozilla Firefox

Vorgehensweise:

1. Konfiguration von WireGuard auf der Unified Firewall:

1.1 Konfiguration des WireGuard-Interfaces auf der Unified Firewall:

1.1.1 Verbinden Sie sich per Webinterface mit der Unified Firewall und wechseln in das Menü Netzwerk → WireGuard-Interfaces. Klicken Sie anschließend auf das "Plus-Zeichen", um ein neues WireGuard-Interface zu erstellen.

1.1.2 Klicken Sie auf Erstellen, um das Interface anzulegen.

1.2 Konfiguration der WireGuard-Verbindung auf der Firewall-1:

1.2.1 Wechseln Sie in das Menü VPN → WireGuard und klicken auf das "Plus-Zeichen", um eine WireGuard-Verbindung zu erstellen.

1.2.2 Passen Sie die folgenden Parameter an:

• Name: Vergeben Sie einen aussagekräftigen Namen für die WireGuard-Verbindung (in diesem Beispiel WG-Firewall-1).
• Interface: Wählen Sie im Dropdownmenü das in Schritt 1.1 erstellte WireGuard-Interface aus.
• Adresse: Vergeben Sie eine IP-Adresse aus einem bisher nicht verwendeten IP-Adressbereich (in diesem Beispiel 192.168.222.1).

1.2.3 Wechseln Sie in den Reiter Authentifizierung und klicken auf die Schaltfläche Schlüsselpaar erzeugen. Dadurch werden der Private-Key und der Public-Key automatisch erzeugt.

1.2.4 Klicken Sie auf Public-Key kopieren und speichern diesen in einer Text-Datei ab.

1.2.5 Wechseln Sie zurück auf den Reiter Peers und klicken auf das "Plus-Zeichen", um die Verbindungs-Parameter für die Gegenseite anzugeben.

1.2.6 Passen Sie die folgenden Parameter an und klicken auf OK:

• Name: Vergeben Sie einen aussagekräftigen Namen für die Verbindung zur Gegenseite (in diesem Beispiel WG-Firewall-2).
• Remote-Adresse: Tragen Sie die IP-Adresse ein, unter welcher die Gegenseite im Internet erreichbar ist (in diesem Beispiel wird ein Transfer-Netzwerk verwendet und die Firewall-2 hat in diesem die IP-Adresse 192.168.168.254)
• Remote-Port: Tragen Sie den Port 51820 ein. Sollten Sie in Schritt 1.2.4 einen anderen Port gewählt haben oder dieser durch Erstellen mehrerer Wireguard-Verbindungen automatisch auf einen höheren Port gesetzt worden sein, müssen Sie diesen hier entsprechend hinterlegen.
• Public-Key: Tragen Sie den in Schritt 2.2.4 kopierten Public-Key der Firewall-2 ein.
• Keep-Alive:  Tragen Sie den Wert 25 ein, damit die Firewall-1 die Verbindung aufbaut und die Verbindung dauerhaft aufrechterhalten wird (Keep-Alive-Wert von 25 Sekunden).
• Erlaubte IP-Adressen: Tragen Sie ein oder mehrere IP-Netzwerke der Gegenseite in CIDR-Schreibweise (Classless Inter Domain Routing) ein, welche über die WireGuard-Verbindung mit den lokalen Netzwerken kommunizieren sollen (in diesem Beispiel 192.168.1.0/24).

1.2.7 Klicken Sie abschließend auf Erstellen.

1.3 Datenverkehr zwischen dem lokalen Netzwerk und dem WireGuard-Netzwerk erlauben:

1.3.1 Klicken Sie auf das Symbol zum Erstellen eines Netzwerks.

1.3.2 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

• Name: Vergeben Sie einen aussagekräftigen Namen für das Netzwerk (in diesem Beispiel WireGuard-Netzwerk).
• Interface: Wählen Sie im Dropdown-Menü das in Schritt 1.1 erstellte WireGuard-Interface aus.
• Netzwerk-IP: Klicken Sie in das Feld, damit das in Schritt 1.2.6 unter Erlaubte IP-Adressen hinterlegte Netzwerk angezeigt wird und wählen dieses aus (in diesem Beispiel 192.168.1.0/24). Haben Sie dort mehrere Netzwerke hinterlegt, werden alle angezeigt und Sie müssen eines davon auswählen.

1.3.3 Klicken Sie auf dem Desktop auf das Objekt für das lokale Netzwerk (in diesem Beispiel INTRANET), wählen das Verbindungs-Werkzeug aus und klicken auf das Objekt für das in Schritt 1.3.2 erstellte WireGuard-Netzwerk.

1.3.4 Fügen Sie die für die Kommunikation erforderlichen Protokolle hinzu.

1.3.5 Klicken Sie auf Erstellen, damit die Verbindungs-Regeln angelegt werden.

1.3.6 Klicken Sie abschließend auf Aktivieren, damit die vorgenommenen Änderungen umgesetzt werden.

2. Konfiguration des WireGuard Windows Client:

2.1 Starten Sie den WireGuard-Client in Windows und klicken auf Tunnel hinzufügen → Einen leeren Tunnel hinzufügen.

2.2 Vergeben Sie einen aussagekräftigen Namen für den Tunnel (in diesem Beispiel WireGuard-Client-UF).

2.3 Ergänzen Sie die Konfigurations-Datei, indem Sie die Schablone einfügen und die Parameter anpassen. Klicken Sie anschließend auf Speichern:

• Address: Vergeben Sie eine IP-Adresse in CIDR-Schreibweise aus einem bisher nicht verwendeten IP-Adressbereich (in diese Beispiel 10.0.5.40/32).
• PublicKey: Tragen Sie den Public Key der Unified Firewall ein.
• AllowedIPs: Tragen Sie ein IP-Netzwerk in CIDR-Schreibweise ein, mit dem auf der Unified Firewall kommuniziert werden soll (in diesem Beispiel 192.168.1.0/24).
• Endpoint: Tragen Sie die IP-Adresse der Unified Firewall im Internet sowie den verwendeten Port in der Syntax <IP-Adresse der Unified Firewall im Internet>:<WireGuard Port> (in diesem Beispiel 81.81.81.1:51820).
• PersistentKeepalive: Tragen Sie den Wert 25 ein, damit der WireGuard-Client die Verbindung 25 Sekunden ohne Datenverkehr aufrecht erhält.

2.4 Klicken Sie auf Aktivieren, damit die WireGuard-Verbindung aufgebaut wird.