Quelle anzeigen

Description:

In diesem Artikel wird beschrieben, wie eine Route-based IKEv2-Verbindung zwischen zwei LANCOM R&S®Unified Firewalls eingerichtet wird.

Die Einrichtung einer Policy-based IKEv2 VPN-Verbindung zwischen zwei Unified Firewalls ist in dem folgenden Knowledge Base Artikel beschrieben:

Setting up a policy-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls (as of LCOS FX 10.4)

Requirements:

LANCOM R&S®Unified Firewall ab LCOS FX 10.4
Bereits eingerichtete und funktionsfähige Internet-Verbindung auf den Unified Firewalls
Web-Browser zur Konfiguration der Unified Firewall.

Es werden folgende Browser unterstützt:
- Google Chrome
- Chromium
- Mozilla Firefox

Scenario:

Die Unified Firewalls sind direkt mit dem Internet verbunden und verfügen über eine öffentliche IPv4-Adresse:

Ein Unternehmen möchte seine Filiale, in welcher eine LANCOM R&S®Unified Firewall vorhanden ist, per IKEv2 Site-To-Site Verbindung mit der Firmenzentrale verbinden, in welcher ebenfalls eine LANCOM R&S®Unified Firewall verwendet wird.
Die Zentrale verfügt über eine Internetverbindung mit der festen öffentlichen IP-Adresse 82.82.82.1.
Die Filiale verfügt über eine Internetverbindung mit der festen öffentlichen IP-Adresse 81.81.81.1.
Die Unified Firewall in der Zentrale soll die VPN-Verbindung zur Filiale aufbauen.
Das lokale Netzwerk der Zentrale hat den IP-Adressbereich 192.168.100.0/24.
Das lokale Netzwerk der Filiale hat den IP-Adressbereich 192.168.200.0/24.

Wenn der Unified Firewall ein LANCOM Router vorgeschaltet ist, welcher die Internetverbindung herstellt, muss auf dem vorgeschalteten Gerät der annehmenden Seite je ein Port-Forwarding für die Ports 4500 und 500 auf die LAN-IP-Adresse der Unified Firewall eingerichtet werden. Handelt es sich um einen Router eines anderen Herstellers, muss zusätzlich das Protokoll ESP an die Unified Firewall weitergeleitet werden.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > Scenario.png

Procedure:

1. Konfigurationsschritte auf der Unified Firewall in der Zentrale:

1.1 Konfiguration der VPN-Verbindung auf der Unified Firewall in der Zentrale:

1.1.1 Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln in das Menü VPN → IPSec → IPSec-Einstellungen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 1.png

1.1.2 Aktivieren Sie IPSec über den Schieberegler und klicken anschließend auf Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 2.png

1.1.3 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken auf das "Plus-Symbol", um eine neue IPSec-Verbindung zu erstellen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 3.png

1.1.4 Passen Sie die folgenden Parameter an:

Name: Vergeben Sie einen aussagekräftigen Namen für die VPN-Verbindung (in diesem Beispiel IKEv2_S2S_UF-Filiale).
Sicherheits-Profil: Wählen Sie ein Sicherheitsprofil aus (in diesem Beispiel LANCOM LCOS Default IKEv2).
Verbindung: Wählen Sie im Dropdown-Menü die Netzwerk-Verbindung aus, welche für die Internet-Verbindung verwendet wird.
Remote-Gateways: Tragen Sie die öffentliche IP-Adresse oder den öffentlichen DNS-Namen der Filiale ein (in diesem Beispiel 81.81.81.1).
Verbindung aufbauen: Aktivieren Sie diese Option, damit die Unified Firewall in der Zentrale die VPN-Verbindung aufbaut.

Wenn Sie eine eigene Vorlage oder ein eigenes Sicherheits-Profil erstellt haben, können Sie diese/s hier ebenfalls verwenden.

Das vorgefertigte Sicherheits-Profil IKEv2 Suite-B-GCM-256 (RFC 6379) sollte nicht verwendet werden, da sowohl die IKE-, als auch die IPSec-Lifetime (SA-Lebensdauer) auf 0 steht. Dadurch kann es zu Verbindungs-Problemen kommen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 4.png

1.1.5 Wechseln Sie in den Reiter Tunnel und passen die folgenden Parameter an:

Lokale Netzwerke: Geben Sie hier (in CIDR-Notation) die lokalen Netzwerke an, welche von der Filiale erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Zentrale mit dem Adressbereich
192.168.100.0/24.
Remote-Netzwerke: Geben Sie hier (in CIDR-Notation) die entfernten Netzwerke an, welche von der Zentrale erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Filiale mit dem Adressbereich
192.168.200.0/24.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 5.png

1.1.6 Wechseln Sie in den Reiter Authentifizierung und passen die folgenden Parameter an:

Authentifizierungstyp: Wählen Sie im Dropdown-Menü die Option PSK (Preshared Key) aus.
PSK (Preshared Key): Vergeben Sie einen Preshared Key für diese Verbindung (in diesem Beispiel Passwort123).
Lokaler Identifier: Vergeben Sie die Lokale Identität (in diesem Beispiel UF@Zentrale).
Remote Identifier: Vergeben Sie die Entfernte Identität (in diesem Beispiel UF@Filiale).

Der Local und Remote Identifier dürfen nicht übereinstimmen!

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 6.png

1.1.7 Wechseln Sie in den Reiter Routing und aktivieren die Option Routen-basiertes IPSec. Klicken Sie anschließend auf Erstellen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 7.png

1.2 Erstellen der Routing-Einträge für die VPN-Verbindung:

Wiederholen Sie die folgenden Schritte für jedes weitere lokale bzw. entfernte Netzwerk.

1.2.1 Wechseln Sie in das Menü Netzwerk → Routing → Routing-Tabellen und klicken bei der Tabelle 254 auf das "Stift-Symbol", um die Tabelle zu editieren.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 8.png

1.2.2 Klicken Sie auf das "Plus-Symbol", um einen neuen Routing-Eintrag zu erstellen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 9.png

1.2.3 Passen Sie die folgenden Parameter an und klicken auf OK:

Interface: Wählen Sie im Dropdownmenü die in Schritt 1.1 erstellte VPN-Verbindung aus (in diesem Beispiel IKEv2_S2S_UF-Filiale).
Ziel: Tragen Sie das Ziel-Netzwerk der Filiale in CIDR-Schreibweise ein (in diesem Beispiel 192.168.200.0/24).

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 10.png

1.2.4 Klicken Sie auf Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 11.png

1.2.5 Bestätigen Sie die Warnmeldung mit einem Klick auf Dennoch Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 12.png

1.3 Erlauben der Kommunikation mittels Firewall-Regeln:

1.3.1 Klicken Sie in der Menü-Leiste für die Desktop-Objekte auf das Symbol zum Erstellen eines neuen VPN-Netzwerks.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 13.png

1.3.2 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

Name: Vergeben Sie einen aussagekräftigen Namen für das VPN-Netzwerk (in diesem Beispiel IKEv2_S2S_UF-Filiale).
Verbindungstyp: Stellen Sie sicher, dass die Option IPSec ausgewählt ist.
IPSec-Verbindung: Wählen Sie im Dropdownmenü die in Schritt 1.1 erstellte VPN-Verbindung aus.
Remote-Netzwerke: Wählen Sie aus, ob alle konfigurierten Remote Netzwerke oder bestimmte Netzwerke verwendet werden sollen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 14.png

1.3.3 Klicken Sie in dem in Schritt 1.3.2 erstellten VPN-Netzwerk auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt für das lokale Netzwerk, mit dem über die VPN-Verbindung kommuniziert werden soll.

Wiederholen Sie diesen Schritt für jedes weitere Netzwerk, das über die VPN-Verbindung kommunizieren soll.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 15.png

1.3.4 Weisen Sie über die "Plus-Symbole" die erforderlichen Protokolle der Verbindung zu und klicken auf Erstellen.

Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 16.png

1.3.5 Klicken Sie zuletzt in der Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 18.png

1.3.6 Die Konfigurationsschritte auf der Unified Firewall in der Zentrale sind damit abgeschlossen.

2. Konfigurationsschritte auf der Unified Firewall in der Filiale:

2.1 Konfiguration der VPN-Verbindung auf der Unified Firewall in der Filiale:

2.1.1 Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln in das Menü VPN → IPSec → IPSec-Einstellungen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 1.png

2.1.2 Aktivieren Sie IPSec über den Schieberegler und klicken anschließend auf Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 2.png

2.1.3 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken auf das "Plus-Symbol", um eine neue IPSec-Verbindung zu erstellen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 3.png

2.1.4 Passen Sie die folgenden Parameter an:

Name: Vergeben Sie einen aussagekräftigen Namen für die VPN-Verbindung (in diesem Beispiel IKEv2_S2S_UF-Zentrale).
Sicherheits-Profil: Wählen Sie ein Sicherheitsprofil aus (in diesem Beispiel LANCOM LCOS Default IKEv2).
Verbindung: Wählen Sie im Dropdown-Menü die Netzwerk-Verbindung aus, welche für die Internet-Verbindung verwendet wird.
Remote-Gateways: Tragen Sie die öffentliche IP-Adresse oder den öffentlichen DNS-Namen der Zentrale ein (in diesem Beispiel 82.82.82.1).

Wenn Sie eine eigene Vorlage oder ein eigenes Sicherheits-Profil erstellt haben, können Sie diese/s hier ebenfalls verwenden.

Das vorgefertigte Sicherheits-Profil IKEv2 Suite-B-GCM-256 (RFC 6379) sollte nicht verwendet werden, da sowohl die IKE-, als auch die IPSec-Lifetime (SA-Lebensdauer) auf 0 steht. Dadurch kann es zu Verbindungs-Problemen kommen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 19.png

2.1.5 Wechseln Sie in den Reiter Tunnel und passen die folgenden Parameter an:

Lokale Netzwerke: Geben Sie hier (in CIDR-Notation) die lokalen Netzwerke an, welche von der Zentrale erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Filiale mit dem Adressbereich
192.168.200.0/24.
Remote-Netzwerke: Geben Sie hier (in CIDR-Notation) die entfernten Netzwerke an, welche von der Filiale erreicht werden sollen. In diesem Beispiel das lokale Netzwerk der Zentrale mit dem Adressbereich
192.168.100.0/24.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 20.png

2.1.6 Wechseln Sie in den Reiter Authentifizierung und passen die folgenden Parameter an:

Authentifizierungstyp: Wählen Sie die Option PSK (Preshared Key) aus.
PSK (Preshared Key): Vergeben Sie einen Preshared Key für diese Verbindung (in diesem Beispiel Passwort123).
Lokaler Identifier: Vergeben Sie die Lokale Identität (in diesem Beispiel UF@Filiale).
Remote Identifier: Vergeben Sie die Entfernte Identität (in diesem Beispiel UF@Zentrale).

Der Local und Remote Identifier dürfen nicht übereinstimmen!

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 21.png

2.1.7 Wechseln Sie in den Reiter Routing und aktivieren die Option Routen-basiertes IPSec. Klicken Sie anschließend auf Erstellen.

2.2 Erstellen der Routing-Einträge für die VPN-Verbindung:

2.2.1 Wechseln Sie in das Menü Netzwerk → Routing → Routing-Tabellen und klicken bei der Tabelle 254 auf das "Stift-Symbol", um die Tabelle zu editieren.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 8.png

2.2.2 Klicken Sie auf das "Plus-Symbol", um einen neuen Routing-Eintrag zu erstellen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 23.png

2.2.3 Passen Sie die folgenden Parameter an und klicken auf OK:

Interface: Wählen Sie im Dropdownmenü die in Schritt 2.1 erstellte VPN-Verbindung aus (in diesem Beispiel IKEv2_S2S_UF-Zentrale).
Ziel: Tragen Sie das Ziel-Netzwerk in der Zentrale in CIDR-Schreibweise ein (in diesem Beispiel 192.168.100.0/24).

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 24.png

2.2.4 Klicken Sie auf Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 25.png

2.2.5 Bestätigen Sie die Warnmeldung mit einem Klick auf Dennoch Speichern.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 26.png

2.3 Erlauben der Kommunikation mittels Firewall-Regeln:

2.3.1 Klicken Sie in der Menü-Leiste für die Desktop-Objekte auf das Symbol zum Erstellen eines neuen VPN-Netzwerks.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 13.png

2.3.2 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

Name: Vergeben Sie einen aussagekräftigen Namen für das VPN-Netzwerk (in diesem Beispiel IKEv2_S2S_UF-Zentrale).
Verbindungstyp: Stellen Sie sicher, dass die Option IPSec ausgewählt ist.
IPSec-Verbindung: Wählen Sie im Dropdownmenü die in Schritt 2.1 erstellte VPN-Verbindung aus.
Remote-Netzwerke: Wählen Sie aus, ob alle konfigurierten Remote Netzwerke oder bestimmte Netzwerke verwendet werden sollen.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 27.png

2.3.3 Klicken Sie in dem in Schritt 2.3.2 erstellten VPN-Netzwerk auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt für das lokale Netzwerk, mit dem über die VPN-Verbindung kommuniziert werden soll.

Wiederholen Sie diesen Schritt für jedes weitere Netzwerk, in welches die Filiale Zugriff haben soll.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 28.png

2.3.4 Weisen Sie über die "Plus-Symbole" die erforderlichen Protokolle der Verbindung zu und klicken auf Erstellen.

Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 29.png

2.3.5 Klicken Sie zuletzt in der Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.

LANCOM Support Knowledge Base EN > Setting up a route-based IKEv2 VPN connection (site-to-site) between two LANCOM R&S®Unified Firewalls > 18.png

2.3.6 Die Konfigurationsschritte auf der Unified Firewall in der Filiale sind damit abgeschlossen.