Beschreibung:
In diesem Artikel wird beschrieben, wie eine Route-based IKEv2-Verbindung zwischen zwei LANCOM R&S®Unified Firewalls eingerichtet wird.
Voraussetzungen:
- LANCOM R&S®Unified Firewall ab LCOS FX 10.4
- Bereits eingerichtete und funktionsfähige Internet-Verbindung auf den Unified Firewalls
- Web-Browser zur Konfiguration der Unified Firewall.
Es werden folgende Browser unterstützt:- Google Chrome
- Chromium
- Mozilla Firefox
Szenario:
Die Unified Firewalls sind direkt mit dem Internet verbunden und verfügen über eine öffentliche IPv4-Adresse:
- Ein Unternehmen möchte seine Filiale, in welcher eine LANCOM R&S®Unified Firewall vorhanden ist, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden, in welcher ebenfalls eine LANCOM R&S®Unified Firewall verwendet wird.
- Die Filiale verfügt über eine Internetverbindung mit der festen öffentlichen IP-Adresse 81.81.81.81.
- Die Zentrale verfügt über eine Internetverbindung mit der festen öffentlichen IP-Adresse 82.82.82.82.
- Die Unified Firewall in der Zentrale soll die VPN-Verbindung zur Filiale aufbauen.
- Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.100.0/24.
- Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.200.0/24.
Wenn der Unified Firewall ein (LANCOM) Router vorgeschaltet ist, welcher die Internetverbindung herstellt, muss auf dem vorgeschalteten Gerät der annehmenden Seite je ein Port-Forwarding für die Ports 4500 und 500 auf die LAN-IP-Adresse der Unified Firewall eingerichtet werden.
Vorgehensweise:
- Name: Vergeben Sie einen aussagekräftigen Namen.
- Sicherheits-Profil: Wählen Sie z.B. das Sicherheitsprofil LANCOM LCOS Default IKEv2 aus.
- Verbindung: Wählen Sie im Dropdown-Menü die Netzwerk-Verbindung aus, welche für die Internet-Verbindung verwendet wird.
- Remote-Gateway: Tragen Sie die öffentliche IP-Adresse oder den öffentlichen DNS-Namen der Filiale ein.
- Da die Unified Firewall der Zentrale in diesem Konfigurationsbeispiel die VPN-Verbindung aufbauen soll, müssen Sie Verbindung aufbauen auswählen.
Wenn Sie eine eigene Vorlage oder ein eigenes Sicherheits-Profil erstellt haben, können Sie diese/s hier ebenfalls verwenden.
Das vorgefertigte Sicherheits-Profil IKEv2 Suite-B-GCM-256 (RFC 6379) sollte nicht verwendet werden, da sowohl die IKE-, als auch die IPSec-Lifetime (SA-Lebensdauer) auf 0 steht. Dadurch kann es zu Verbindungs-Problemen kommen.
1.5 Wechseln Sie in den Reiter Tunnel und hinterlegen folgende Parameter:
- Lokale Netzwerke: Geben Sie hier (in CIDR-Notation) die lokalen Netzwerke an, welche von der Gegenstelle erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Zentrale mit dem Adressbereich
192.168.50.0/23. - Remote-Netzwerke: Geben Sie hier (in CIDR-Notation) die entfernten Netzwerke an, welche von der Firewall erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Filiale mit dem Adressbereich
192.168.66.0/24.
- Authentifizierungstyp: Wählen Sie hier die Option PSK (Preshared Key) aus.
- PSK (Preshared Key): Vergeben Sie einen Preshared Key für diese Verbindung.
- Lokaler Identifier: Vergeben Sie die Lokale Identität.
- Remote Identifier: Vergeben Sie die Entfernte Identität.
Der Local und Remote Identifier dürfen nicht übereinstimmen!
- Name: Vergeben Sie einen aussagekräftigen Namen.
- Verbindungstyp: Wählen Sie den Typ IPSec.
- IPSec-Verbindung: Wählen Sie im Dropdownmenü bei IPSec die in Schritt 1.4 -1.6 erstellte VPN-Verbindung aus.
- Remote-Netzwerke: Wählen Sie aus, ob alle konfigurierten Remote Netzwerke oder ein oder mehrere bestimmte Netzwerke verwendet werden sollen.
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.