Beschreibung:

LANCOM Trusted Access (LTA) ist die vertrauenswürdige Network Access Security-Lösung für Unternehmensnetzwerke. Es ermöglicht einen sicheren und skalierenden Zugriff auf Unternehmensanwendungen für Mitarbeitende im Büro, zuhause oder unterwegs und schützt damit modernes hybrides Arbeiten von überall und jederzeit.

Die LANCOM Trusted Access-Lösung passt sich an steigende Sicherheitsanforderungen in Ihrer Organisation an und ermöglicht sowohl Cloud-managed VPN-Client-Vernetzung für den Zugriff auf ganze Netze als auch den Umstieg auf eine Zero-Trust-Sicherheitsarchitektur für eine umfassende Netzwerksicherheit. Dabei erhalten Benutzer auf Basis granularer Zugriffsrechte ausschließlich Zugangsberechtigung auf Anwendungen, die ihnen zugewiesen wurden (Zero-Trust-Prinzip). Bestehende Systeme zur Verwaltung von Benutzern und Benutzergruppen (Active Directory) lassen sich vollständig in die LANCOM Management Cloud (LMC) integrieren. Für kleinere Netzwerke bietet die LMC alternativ eine interne Benutzerverwaltung.

In diesem Artikel wird beschrieben wie der LTA-Client in der LMC unter Verwendung der externen Benutzerverwaltung mit Microsoft Entra ID (ehemals Azure AD) konfiguriert werden kann.


Voraussetzungen:

Der in der LMC integrierte DynDNS-Dienst unterstützt keinen "TXT Resource Record" und kann daher leider nicht verwendet werden.


Vorgehensweise:

1. Konfigurations-Schritte in der LMC:

1.1 Aktivierung der VPN-Funktionalität:

1.1.1 Wechseln Sie in der LMC in das Menü Netze und klicken auf das Netzwerk, in das sich der LTA-Client einbuchen soll (in diesem Beispiel INTRANET).

1.1.2 Klicken Sie in der Übersicht auf Netz bearbeiten.

1.1.3 Passen Sie die folgenden Parameter an und klicken auf Speichern:


1.2 LTA-Funktion aktivieren:

1.2.1 Wechseln Sie im Menü Sicherheit in den Reiter LANCOM Trusted Access und klicken bei LTA aktivieren auf den Schieberegler.

1.2.2 Klicken Sie auf Aktivieren.


1.3 Client-Konfiguration:

In der Client-Konfiguration werden grundlegende Parameter wie die Adresse des LTA-Gateways hinterlegt. Diese Einstellungen gelten global und können nicht für einzelne Benutzer konfiguriert werden.

1.3.1 Wechseln Sie in den Reiter Client-Konfiguration und passen die folgenden Parameter an:

Für die Getunnelten Domains für DNS-Auflösung kann die Wildcard * verwendet werden. Diese steht für beliebig viele Zeichen. Mehrere Einträge können durch ein Komma separiert werden.

1.3.2 Passen Sie bei Bedarf die Parameter für den autarken Weiterbetrieb an. Auch wenn die LMC nicht erreichbar ist, kann für den angegebenen Zeitraum eine VPN-Verbindung mit dem LTA-Client aufgebaut werden.

1.3.3 Wählen Sie bei Split Tunnel die Option Nur Netzwerkverkehr zu konfigurierten Netzwerken durch den Tunnel (Split Tunnel) aus und klicken auf das "Plus-Zeichen", um die Ziel-Netzwerke anzugeben.

Wird die Option Gesamter Netzwerkverkehr durch Tunnel verwendet oder bei der Option Nur Netzwerkverkehr zu konfigurierten Netzwerken durch den Tunnel (Split Tunnel) kein Ziel-Netzwerk hinterlegt, wird jeglicher Datenverkehr über den VPN-Tunnel übertragen. Dies führt dazu, dass lokale Ressourcen im Netzwerk des Benutzers bei aufgebautem VPN-Tunnel nicht erreicht werden können. Zudem kann es zu einer langsameren Übetragung des Internet-Datenverkehrs kommen, da dieser über das LTA-Gateway übertragen wird.

1.3.4 Tragen Sie die Ziel-Netzwerke in CIDR-Schreibweise ein und klicken auf Speichern.


1.4 Endpoint Security (optional):

Optional kann die Endpoint Security aktiviert werden. Der LTA-Client prüft dann, ob die vorgegebenen Parameter erfüllt sind und baut nur dann die VPN-Verbindung auf. Diese Einstellungen gelten global und können nicht für einzelne Benutzer konfiguriert werden.

1.4.1 Wechseln Sie in den Reiter Endpoint Security, passen die folgenden Parameter an und klicken auf Speichern:


1.5 Benutzerverwaltung:

In der Benutzerverwaltung wird die eigene Domäne hinterlegt. Benutzer können - sofern vorhanden - über ein Active Directory angebunden oder in der LMC konfiguriert werden.

1.5.1 Wechseln Sie in den Reiter Benutzerverwaltung und aktivieren die Option IdP-verwaltet.

1.5.2 Passen Sie die folgenden Parameter an:

Die Konfiguration kann an dieser Stelle noch nicht gespeichert werden, da hierfür noch die IdP-Metadaten-URL hinterlegt werden muss. Diese wird in Schritt 2.x in Entra ID ausgelesen und wird anschließend in der LMC eingetragen.

1.5.3 Klicken Sie auf Einrichtung abschließen.

1.5.4 Kopieren Sie die folgenden Parameter:



2. Grund-Konfiguration in Entra ID:

2.1

2.2

2.3

2.4

2.5

2.6

2.7

2.8

2.9

2.10

2.11

2.12

2.13

2.14

2.15

2.16

2.17

2.18

2.19

2.20

2.21

2.22

2.23

2.24



3. Weitere Konfigurationsschritte in der LMC:

3.1 Abschließender Konfiguration der Benutzerverwaltung:

3.1.1

3.1.2

3.1.3


3.2 Verbindungsziele:

In den Verbindungszielen werden Ressourcen angelegt, welche den Benutzern zugewiesen werden können (siehe Schritt 3.3).

3.2.1 Wechseln Sie in den Reiter Verbindungsziele und klicken auf Verbindungsziel hinzufügen.

3.2.2 Passen Sie die folgenden Parameter an und klicken auf Speichern:


3.3 Berechtigungsprofile:

In den Berechtigungsprofilen werden die Benutzer mit den Verbindungszielen verknüpft. Dabei ist es möglich unterschiedlichen Benutzern individuelle Verbindungsziele zuzuweisen. Die LMC erstellt anhand der vorgenommenen Einstellungen automatisch Firewall-Regeln, welche die Kommunikation zu den Verbindungszielen erlaubt.

3.3.1 Wechseln Sie in den Reiter Berechtigungsprofile und klicken auf Berechtigungsprofil hinzufügen.

3.3.2 Aktivieren Sie das Berechtigungsprofil über den Schieberegler und passen die folgenden Parameter an:

3.3.3 Aktivieren Sie unter Status die gewünschten Verbindungsziele für den Benutzer (siehe Schritt 3.2.2) und klicken auf Erstellen.



4. Konfigurations-Schritte im LTA-Client:

4.1 Klicken Sie im LTA-Client auf Einstellungen und wählen die Option LMC Domäne aus.

4.2 Passen Sie die folgenden Parmeter an: