Beschreibung:

In diesem Artikel wird beschrieben, wie eine zertifikatsbasierte IKEv2 VPN-Verbindung zwischen zwei LANCOM R&S®Unified Firewalls eingerichtet werden kann.

In LCOS FX 10.7 wurde das Zertifikatsmodul erneuert, sodass die entsprechenden Menüs von älteren LCOS FX Versionen abweichen. Die Konfiguration einer zertifikatsbasierten IKEv2-Verbindung zwischen zwei Unified Firewalls ab LCOS FX 10.7 ist in dem folgenden Artikel beschrieben:

Einrichtung einer zertifikatsbasierten IKEv2 VPN-Verbindung zwischen zwei LANCOM R&S®Unified Firewalls (ab LCOS FX 10.7)



Voraussetzungen:


Szenario:

1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:

Diagramm einer VPN-Verbindung zwischen einer Hauptzentrale und einer Filiale, angezeigt als technische Benutzeroberfläche mit Feldern für öffentliche IP-Adressen und lokale Netzwerke.


2. Die Unified Firewall ist über einen vorgeschalteten Router mit dem Internet verbunden:

Schematische Darstellung einer Netzwerkverbindung mit zentralen und filialen LANCOM-Routern, die über UnifiedFirewall VPN miteinander verbunden sind, einschließlich öffentlicher IP-Adressen.



Vorgehensweise:

Die Einrichtung ist bei Szenario 1 und 2 grundsätzlich gleich. Bei Szenario 2 muss zusätzlich ein Port- und Protokollforwarding auf dem vorgeschalteten Router eingerichtet werden (siehe Abschnitt 3).


1. Konfigurations-Schritte auf der Unified Firewall in der Zentrale:

1.1 Erstellen und Export der Zertifikate:

1.1.1 Verbinden Sie sich per Web-Browser mit der Unified Firewall in der Zentrale, wechseln in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das "Plus-Symbol", um ein neues Zertifikat zu erstellen. 

Bildschirmansicht einer technischen Benutzeroberfläche zur Verwaltung von Sicherheitseinstellungen, einschließlich Firewall, Benutzerauthentifizierung, HTTPS-Proxy, Mail-Proxy und Zertifikatsverwaltung.

1.1.2 Erstellen Sie als Erstes eine CA (Certificate Authority). Passen Sie dazu die folgenden Parameter an und klicken auf Erstellen:

Screenshot einer technischen Benutzeroberfläche mit Optionen für Zertifikate wie Zertifikatstyp, Gültigkeit, Private Key-Optionen, Verschlüsselungseinstellungen und Details zum Distinguished Name, Common Name, und zusätzlichen Einstellungen für Subject Alternative Names und Certificate Authority-Dienste.

1.1.3 Erstellen Sie anschließend ein VPN-Zertifikat für die Zentrale. Passen Sie dazu die folgenden Parameter an und klicken auf Erstellen:

Ein Bildschirmfoto einer technischen Konfigurationsoberfläche, das verschiedene Zertifikats- und Sicherheitseinstellungen wie PrivateKey, Distinguished Name (DN), Common Name, und Felder für Bundesland- und Abteilungs-Informationen anzeigt, sowie Optionen für Subject Alternative Name und E-Mail-Verwaltungen umfasst.

1.1.4 Erstellen Sie abschließend ein VPN-Zertifikat für die Filiale. Passen Sie dazu die folgenden Parameter an und klicken auf Erstellen:

Bildschirmanzeige eines technischen Konfigurationsmenüs für ein VPN-Zertifikat, das Optionen für Passwörter, Verschlüsselung und Benutzeridentifizierung inklusive eines Bereichs für Distinguished Name und Subject Alternative Names zeigt.

1.1.5 Klicken Sie in der Zertifikatsverwaltung bei dem Zertifikat der Filiale auf die Schaltfläche zum Export.

Screenshot einer technischen Benutzeroberfläche mit verschiedenen Optionen wie Aktivieren von Firewalls, Zertifikatsverwaltung, MonitoringStatistiken, Netzwerkeinstellungen und Benutzerauthentifizierung.

1.1.6 Wählen Sie als Format die Option PKCS #12 aus, tragen die Passwörter ein und klicken auf Exportieren:

Bildschirmfoto einer technischen Benutzeroberfläche zur Konfiguration von Zertifikatsexporten, zeigt Optionen für den Export öffentlicher Teile der Zertifizierungsstelle sowie vollständige Zertifikate inklusive privater Schlüssel mit Sicherheitshinweisen.

1.1.7 Klicken Sie in der Zertifikatsverwaltung bei dem Zertifikat der Zentrale auf die Schaltfläche zum Export.

Bildschirmansicht einer technischen Benutzeroberfläche mit Einstellungen für Firewall, Zertifikatsverwaltung, Netzwerk, Benutzerauthentifizierung und verschiedene Proxy-Konfigurationen.

1.1.8 Wählen Sie als Format die Option PEM aus und klicken auf Exportieren.

Bildschirmansicht eines Konfigurationsmenüs für den Export von Zertifikaten, das Optionen für das Exportieren des öffentlichen Teils der Zertifizierungsstelle sowie das vollständige Zertifikat mit privatem Schlüssel zeigt, jeweils mit Hinweisen zum Schutz und zur Verwendung.


1.2 Einrichtung der VPN-Verbindung:

1.2.1 Wechseln Sie in das Menü VPN → IPSec → IPSec-Einstellungen.

Bildschirmansicht einer technischen Konfigurationsoberfläche mit Optionen für Firewall, Monitoring, Netzwerkstatistiken, Desktop-Einstellungen, Benutzerauthentifizierung und IPsec-Sicherheitsprofile.

1.2.2 Aktivieren Sie die IPSec-Funktionalität über den Schieberegler und klicken auf Speichern.

1.2.3 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken auf das "Plus-Symbol", um eine neue VPN-Verbindung zu erstellen.

Screenshot einer technischen Benutzeroberfläche mit verschiedenen Menüoptionen für Netzwerkverbindungen, Benutzerauthentifizierung, IPsec-Einstellungen und Sicherheitsprofile.

1.2.4 Passen Sie die folgenden Parameter an:

Screenshot einer technischen Konfigurationsbenutzeroberfläche zur Einstellung von Verbindungen, Sicherheitsprofilen und Authentifizierungsoptionen mit Menüpunkten und Einstellungen, die Änderungen bis zum Logout oder Abbrechen des Dialogs beibehalten.

1.2.5 Wechseln Sie in den Reiter Tunnel und passen die folgenden Parameter an:

Screenshot einer technischen Benutzeroberfläche eines Konfigurationsmenüs mit Optionen einschließlich Sicherheitsprofil, Verbindung, Authentifizierung und Routing-Einstellungen.

1.2.6 Wechseln Sie in den Reiter Authentifizierung, passen die folgenden Parameter an und klicken auf Erstellen:

Bildschirmansicht einer technischen Benutzeroberfläche für Netzwerkverbindungen, die Optionen wie Tunnelauthentifizierung, Routing und Certifikatspezifikationen zeigt.

1.2.7 Klicken Sie auf das Symbol zum Erstellen eines VPN-Netzwerks.

Bild der Benutzeroberfläche eines Konfigurationsmenüs mit dem Wort Firewall als markanter Text, umgeben von unklaren Fragmenten ähnlicher Textelemente.

1.2.8 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

Benutzeroberfläche eines Netzwerk-Konfigurationsmenüs, zeigt Optionen zur Einstellung und Speicherung von Änderungen an Remote-Netzwerken.


1.3 Kommunikation über die VPN-Verbindung in der Firewall freigeben:

1.3.1 Klicken sie auf dem Desktop auf das in Schritt 1.2.8 erstellte VPN-Netzwerk, wählen das Verbindungswerkzeug aus und klicken auf das Netzwerk-Objekt, für welches die Kommunikation erlaubt werden soll.

Bildschirmanzeige einer Benutzeroberfläche oder eines Menüs mit dem unvollständigen Text IKEvZFiliale a.

1.3.2 Wählen Sie auf der rechten Seite die erforderlichen Protokolle aus und fügen diese über die "Plus-Symbole" hinzu.

Screenshot eines Konfigurationsmenüs für eine Verbindungsanwendung mit Optionen für URLContentFilter, ApplicationFilter und ApplicationBasedRouting, sowie einer Aufforderung zum Hinzufügen von Einträgen durch Klicken auf das entsprechende Symbol.  Bildschirmansicht einer technischen Benutzeroberfläche mit verschiedenen, unklar beschrifteten Menüoptionen und Konfigurationseinstellungen.

1.3.3 Klicken Sie auf Erstellen, um die Firewall-Regel anzulegen.

Bildschirmansicht einer technischen Benutzeroberfläche mit verschiedenen Konfigurationseinstellungen wie URL Content Filter, Application Filter und Application Based Routing, wobei Änderungen bis zum Abmelden oder Schließen des Dialogs erhalten bleiben.

1.3.4 Die Konfiguration der Unified Firewall in der Zentrale ist damit abgeschlossen. Klicken Sie auf Aktivieren, damit die auf dem Desktop vorgenommenen Änderungen umgesetzt werden.

Grafische Darstellung einer Firewall mit zugehörigen Konfigurationseinstellungen auf einem technischen Monitor.



2. Konfigurations-Schritte auf der Unified Firewall in der Filiale:

2.1 Import der Zertifikate:

2.1.1 Verbinden Sie sich per Web-Browser mit der Unified Firewall in der Filiale, wechseln in das Menü Zertifikatsverwaltung → Zertifikate und klicken auf das Symbol zum Import eines Zertifikates.

Bildschirmansicht einer technischen Benutzeroberfläche mit Optionen für Firewall, Zertifikatsverwaltung, Monitoring, Netzwerkverwaltung und verschiedene Proxy-Konfigurationen.

2.1.2 Wählen Sie bei Zertifikatsdatei das Zertifikat der Filiale aus, geben die Passwörter an und klicken auf Importieren:

Screenshot einer Benutzeroberfläche zur Verwaltung von Sicherheitszertifikaten, die Optionen zur Passworteingabe, Passworterneuerung und Auswahl einer Zertifikatsdatei zeigt.

2.1.3 Importieren Sie ein weiteres Zertifikat. Wählen sie bei Zertifikatsdatei das Zertifikat der Zentrale aus und klicken auf Importieren:

Die Passwörter müssen nicht angegeben werden, da bei dem Export des Zertifikats für die Zentrale keine Passwörter angegeben wurden.

Bildschirmansicht eines Konfigurationsmenüs zur Eingabe eines neuen Passworts und zum Import eines Zertifikats, wobei der private Schlüssel des Zertifikats durch das eingegebene Passwort geschützt wird.

2.1.4 Die Zertifikatsverwaltung sieht nach dem Import der Zertifikate wie folgt aus.

Screenshot einer technischen Benutzeroberfläche zur Netzwerkverwaltung, die verschiedene Module wie Firewall, Zertifikatsverwaltung, Benutzerauthentifizierung und HTTPS-Proxy-Konfigurationen anzeigt.


2.2 Einrichtung der VPN-Verbindung:

2.2.1 Wechseln Sie in das Menü VPN → IPSec → IPSec-Einstellungen.

Screenshot einer technischen Benutzeroberfläche mit Optionen für Firewall, IPsec-Einstellungen, Netzwerküberwachung, Sicherheitsprofile und Benutzerauthentifizierung.

2.2.2 Aktivieren Sie die IPSec-Funktionalität über den Schieberegler und klicken auf Speichern.

Bildschirmansicht eines Netzwerkkonfigurationsmenüs mit IPsec-Einstellungen, die ausgenommene Interfaces und IP-Adressen anzeigen, mit Optionen zur Verwaltung des Datenverkehrs, DHCP-Server, Proxy und Radius-Server Einstellungen.

2.2.3 Wechseln Sie in das Menü VPN → IPSec → Verbindungen und klicken auf das "Plus-Symbol", um eine neue VPN-Verbindung zu erstellen.

Screenshot einer technischen Benutzeroberfläche für Netzwerkmanagement mit Abschnitten für Benutzerauthentifizierung, IPsec-Einstellungen, Sicherheitsprofile und virtuelle IP-Pools.

2.2.4 Passen Sie die folgenden Parameter an:

Screenshot einer technischen Benutzeroberfläche zur Konfiguration von IKEv2 Verbindungen, inklusive Optionen für Authentifizierung, Routing und NAT-Einstellungen.

2.2.5 Wechseln Sie in den Reiter Tunnel und passen die folgenden Parameter an:

Screenshot einer technischen Benutzeroberfläche mit Optionen für zentrale Verbindungen, Authentifizierung, Routing, lokale und Remote-Netzwerke sowie Sicherheitseinstellungen.

2.2.6 Wechseln Sie in den Reiter Authentifizierung, passen die folgenden Parameter an und klicken auf Erstellen:

Screenshot einer technischen Konfigurationsseite für eine Netzwerkverbindung mit Einstellungen wie Sicherheitsprofil, Authentifizierungstypen und Identifikatoren.

2.2.7 Klicken Sie auf das Symbol zum Erstellen eines VPN-Netzwerks.

Screenshot einer technischen Benutzeroberfläche mit unleserlichem Text und dem Begriff Firewall deutlich erkennbar.

2.2.8 Passen Sie die folgenden Parameter an und klicken auf Erstellen:

Bildschirmansicht einer technischen Benutzeroberfläche zur Konfiguration einer IPsec-Netzwerkverbindung mit Optionen zur Anpassung von Remote-Netzwerken und Tags, wobei Änderungen bis zur Abmeldung oder Abbruch des Dialogs erhalten bleiben.


2.3 Kommunikation über die VPN-Verbindung in der Firewall freigeben:

2.3.1 Klicken sie auf dem Desktop auf das in Schritt 2.2.8 erstellte VPN-Netzwerk, wählen das Verbindungswerkzeug aus und klicken auf das Netzwerk-Objekt, für welches die Kommunikation erlaubt werden soll.

Screenshot einer Benutzeroberfläche mit dem unvollständigen oder undeutlich dargestellten Text AS EaN IKEvZZentrale.

2.3.2 Wählen Sie auf der rechten Seite die erforderlichen Protokolle aus und fügen diese über die "Plus-Symbole" hinzu.

Screenshot einer technischen Benutzeroberfläche für eine Internetverbindung, die Einstellungen für IKEvZentraleINTRANET und Filteroptionen wie URLContentFilter, ApplicationFilter und ApplicationBasedRouting zeigt, mit einer Aufforderung zum Hinzufügen von Einträgen durch Klicken auf das Pluszeichen.  Bild einer technischen Benutzeroberfläche mit unklarem, schlecht formatiertem Text, möglicherweise ein Fehler im Anzeigesystem oder ein Konfigurationsmenü.

2.3.3 Klicken Sie auf Erstellen, um die Firewall-Regel anzulegen.

Screenshot einer technischen Benutzeroberfläche für Netzwerkeinstellungen, inklusive Optionen für IKEv2, URL Content Filter, Application Filter und Application Based Routing, mit Hinweisen auf Erhalt von Änderungen bis zum Abmelden oder Schließen des Dialogs.

2.3.4 Die Konfiguration der Unified Firewall in der Zentrale ist damit abgeschlossen. Klicken Sie auf Aktivieren, damit die auf dem Desktop vorgenommenen Änderungen umgesetzt werden.

Bildschirmansicht einer technischen Benutzeroberfläche, die Einstellungen oder Informationen zu einer Firewall anzeigt.



3. Einrichtung eines Port- und Protokoll-Forwarding auf einem LANCOM Router (nur Szenario 2):

Für IPSec werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP benötigt. Diese müssen auf die Unified Firewall weitergeleitet werden.

Werden die UDP-Ports 500 und 4500 weitergeleitet, wird das Protokoll ESP automatisch mit weitergeleitet.

Sollte ein Router eines anderen Herstellers verwendet werden, erfragen Sie die Vorgehensweise bei dem jeweiligen Hersteller.

Werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP auf die Unified Firewall weitergeleitet, kann eine IPSec-Verbindung auf dem LANCOM Router nur noch verwendet werden, wenn diese in HTTPS gekapselt wird (IPSec-over-HTTPS). Ansonsten kann keine IPSec-Verbindung mehr aufgebaut werden!

3.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router → Maskierung → Port-Forwarding-Tabelle.

Screenshot einer technischen Benutzeroberfläche zur Netzwerkverwaltung mit verschiedenen Konfigurationsoptionen wie Management, IPsec-Monitoring, Kommunikationsfragmentierung und Routing-Tabellen.

3.2 Hinterlegen Sie folgende Parameter:

Bildschirmaufnahme einer technischen Benutzeroberfläche mit einer Port-Forwarding-Tabelle und verschiedenen unvollständigen Textfragmenten wie Neuer Eintrag, aktiv, und Rent.

3.3 Erstellen Sie einen weiteren Eintrag und hinterlegen den UDP-Port 4500.

Screenshot einer Port-Forwarding-Tabelle auf einer Netzwerkkonfigurationsoberfläche mit Spalten für Aktivstatus, Anfangsport, Endport, Gegenstellenadresse, MapPort, Protokoll und WAN-Adresse.

3.4 Schreiben Sie die Konfiguration in den Router zurück.