Beschreibung:
In diesem Dokument ist beschrieben, wie eine IKEv2-Verbindung (Site-to-Site) zwischen einem LANCOM Router und einer LANCOM R&S®Unified Firewall eingerichtet werden kann.
Voraussetzungen:
Szenario:
1. Die Unified Firewall ist direkt mit dem Internet verbunden und verfügt über eine öffentliche IPv4-Adresse:
2. Die Unified Firewall geht über einen vorgeschalteten Router ins Internet:
Vorgehensweise:
Die Einrichtung ist bei Szenario 1 und 2 grundsätzlich gleich. Bei Szenario 2 muss zusätzlich ein Port- und Protokollforwarding auf dem vorgeschalteten Router eingerichtet werden (siehe Abschnitt 3).
1. Konfigurationsschritte auf der Unified Firewall:
1.1 Verbinden Sie sich mit der Konfigurationsoberfläche der Unified Firewall und wechseln auf VPN → IPSec-Einstellungen.
1.2 Aktivieren Sie IPSec und klicken auf Speichern.
1.3 Wechseln Sie auf VPN → IPSec → Verbindungen und klicken auf das "Plus-Symbol", um eine neue IPSec-Verbindung zu erstellen.
1.4 Hinterlegen Sie folgende Parameter:
Wenn Sie eine eigene Vorlage oder ein eigenes Sicherheits-Profil erstellt haben, können Sie diese hier ebenfalls verwenden. |
1.5 Wechseln Sie in den Reiter Tunnel und hinterlegen folgende Parameter:
Die Option IKEv2-Kompatibilitätsmodus muss zwingend aktiviert werden, wenn auf einer oder beiden Seiten mehr als ein Netzwerk verwendet wird. Ohne diese Option ist der VPN-Tunnel nicht funktionsfähig! Daher empfiehlt LANCOM Systems die Option IKEv2-Kompatibilitätsmodus bei einer VPN-Verbindung zwischen LANCOM Router und Unified Firewall pauschal zu aktivieren. |
1.6 Wechseln Sie in den Reiter Authentifizierung und hinterlegen folgende Parameter. Klicken Sie abschließend auf Erstellen.
Der Local und Remote Identifier dürfen nicht übereinstimmen! |
1.7 Klicken Sie auf dem Desktop auf das Symbol zum Erstellen eines neuen VPN-Netzwerks.
1.8 Hinterlegen Sie folgende Parameter und klicken auf Erstellen:
1.9 Klicken Sie auf dem Desktop in dem Objekt für das VPN-Netzwerk auf das "Verbindungswerkzeug" und klicken anschließend auf das Netzwerk-Objekt, auf welches das Objekt (die eingerichtete Site-to-Site Verbindung) zugreifen können soll, damit die Firewall-Objekte geöffnet werden. Wiederholen Sie diesen Schritt für jedes weitere Netzwerk, in welches die Filiale Zugriff haben soll.
1.10 Weisen Sie der Verbindung die erforderlichen Protokolle über die "Plus-Zeichen" zu.
Eine Unified Firewall verwendet eine Deny-All Strategie. Die Kommunikation muss also explizit erlaubt werden. |
Die Firewall-Objekte können Sie auch über Desktop → Desktop-Verbindungen aufrufen, indem Sie auf das "Bearbeiten-Symbol" klicken. |
1.11 Klicken Sie zuletzt in der Firewall auf Aktivieren, damit die Konfigurations-Änderungen umgesetzt werden.
1.12 Die Konfigurationsschritte auf der Unified Firewall sind damit abgeschlossen.
2. Konfigurationsschritte im LANCOM Router:
2.1 Starten Sie den Setup-Assistent und wählen Sie die Option Zwei lokale Netze verbinden (VPN).
2.2 Wählen Sie die Option IKEv2 aus,
2.3 IPSec-over-HTTPS muss deaktiviert sein.
2.4 Vergeben Sie einen Namen für die neue VPN-Gegenstelle.
2.5 Tragen Sie die Bezeichnung der lokalen Identität ein, welche Sie im Schritt 1.6 als Remote Identifier konfiguriert haben.
Als entferntes Passwort muss der im Schritt 1.6 vergebene Preshared Key eingetragen werden.
2.6 Tragen Sie die Bezeichnung der entfernten Identität ein, welche Sie im Schritt 1.6 als Local Identifier konfiguriert haben.
Als entferntes Passwort muss der im Schritt 1.6 vergebene Preshared Key eingetragen werden.
2.7 In diesem Beispiel soll die Filiale die VPN-Verbindung zur Zentrale aufbauen.
2.8 Tragen Sie die öffentliche IP-Adresse der Unified Firewall (oder des vorgeschalteten Routers) in das Feld Gateway ein.
In den Feldern Adresse und Netzmaske müssen Sie den LAN-Adressbereich der Zentrale (192.168.66.0) sowie die zugehörige Netzmaske eintragen.
2.9 Klicken Sie auf Fertig stellen, um die Konfiguration in den LANCOM Router zurück zu schreiben.
3. Einrichtung eines Port- und Protokoll-Forwarding auf einem LANCOM Router (nur Szenario 2):
Für IPSec werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP benötigt. Diese müssen auf die Unified Firewall weitergeleitet werden.
Werden die UDP-Ports 500 und 4500 weitergeleitet, wird das Protokoll ESP automatisch mit weitergeleitet.
Sollte ein Router eines anderen Herstellers verwendet werden, erfragen Sie die Vorgehensweise bei dem jeweiligen Hersteller. |
Werden die UDP-Ports 500 und 4500 sowie das Protokoll ESP auf die Unified Firewall weitergeleitet, kann eine IPSec-Verbindung auf dem LANCOM Router nur noch verwendet werden, wenn diese in HTTPS gekapselt wird (IPSec-over-HTTPS). Ansonsten kann keine IPSec-Verbindung mehr aufgebaut werden! |
3.1 Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü IP-Router → Maskierung → Port-Forwarding-Tabelle.
3.2 Hinterlegen Sie folgende Parameter:
3.3 Erstellen Sie einen weiteren Eintrag und hinterlegen den UDP-Port 4500.
3.4 Schreiben Sie die Konfiguration in den Router zurück.
|