Beschreibung:

Dieses Dokument bescheibt, wie Sie eine Netzkopplung per IKEv2 Site-To-Site VPN-Verbindung zwischen zwei LANCOM Routern einrichten können. Zur Authentifizierung wird ein FreeRADIUS-Server verwendet.


Voraussetzungen:



Szenario:




Vorgehensweise:
1. Konfigurationsschritte auf dem FreeRADIUS-Server:
1.1 Die folgende Datei enthält die VSAs (Vendor Specific Attributes) von LANCOM Systems (siehe auch ). Kopieren Sie diese in das Verzeichnis /usr/share/freeradius/.
1.2 Öffnen Sie die Konfigurationsdatei clients und fügen Sie das lokale Netzwerk der Zentrale als erlaubtes RADIUS-Client Netzwerk hinzu. In diesem Beispiel wird daher 192.168.1.0/24 eingetragen.
1.3 Als Shared-Secret müssen Sie ein Passwort vergeben. Dieses Passwort benötigen Sie bei der RADIUS-Konfiguration des LANCOM Routers in der Zentrale (siehe Schritt 2.5).
1.4 Öffnen Sie die Datei users und erstellen Sie einen neuen Benutzereintrag für den LANCOM Router in der Filiale:
filiale.firma.com Cleartext-Password:=lancom [lokale Identität der Filiale, sowie ein Challenge-Passwort, welches Sie im Schritt 2.6 verwenden müssen]
Service-Type=Outbound-User,
Tunnel-Password="12345678", [das lokale Passwort der Filiale, siehe Schritt 3.5]
LCS-VPN-IPv4-Rule="192.168.1.0/24 * 192.168.2.0/24" [die VPN-Netzbeziehungen (SAs) die aufgebaut werden müssen]
1.5 Starten Sie den FreeRADIUS-Server neu, damit die Änderungen wirksam werden.


2. Manuelle Konfigurationsschritte auf dem LANCOM Router der Zentrale:
2.1 Öffnen Sie die Konfiguration des LANCOM Routers in der Zentrale und wechseln Sie in das Menü VPN → Allgemein.
2.2 Aktivieren Sie die Funktion Virtual Private Network. Als Parameter für den Aufbau der Netzbeziehungen (SAs) wählen Sie Immer alle gemeinsam.
Ab der LCOS-Version 10.20 ist der Parameter Aufbau der Netzbeziehungen (SAs) fest auf den Wert Immer alle gemeinsam eingestellt, und wird daher im Konfigurationsdialog nicht mehr angezeigt.
2.3 Wechseln Sie in das Menü VPN → IKEv2/IPSec und klicken Sie auf die Schaltfläche Erweiterte Einstellungen.
2.4 Klicken Sie im Bereich RADIUS-Authentifizierung auf die Schaltfläche RADIUS-Server und fügen Sie einen neuen Eintrag hinzu.
2.5 Den Namen des Eintrags können Sie frei vergeben.
2.6 Schließen Sie den Dialog mit OK und bestimmen Sie im Feld Passwort ein Challenge-Passwort, das der RADIUS-Server im Access-Request-Attribut als Benutzer-Passwort erhält.
Der RADIUS-Server ordnet dieses Passwort normalerweise direkt einem VPN-Peer zu, um diesen für den Netzwerkzugang zu autorisieren. Bei IKEv2 autorisiert jedoch nicht der RADIUS-Server den anfragenden VPN-Peer, sondern das LANCOM-Gateway, nachdem es die entsprechende Autorisierung in der Access-Accept-Nachricht des RADIUS-Servers erhalten hat.
Entsprechend geben Sie an dieser Stelle ein Challenge-Passwort ein. In diesem Beispiel wird als Challenge-Passwort lancom verwendet (siehe auch Schritt 1.4).
2.7 Wechseln Sie in das Menü VPN → IKEv2/IPSec und klicken Sie auf die Schaltfläche Authentifizierung.
2.8 Klicken Sie auf die Schaltfläche Hinzufügen um einen neuen Eintrag zu erzeugen.
2.9 Tragen Sie in dem Konfigurationsfenster die Informationen zur Authentifizierung für die VPN-Verbindung ein.

2.10 Wechseln Sie in das Menü VPN → IKEv2/IPSec und klicken Sie auf die Schaltfläche Verbindungs-Liste.
2.11 Öffnen Sie den bereits vorhandenen Standard-Eintrag und modifizieren Sie diesen in folgenden Parametern.

2.12 Schreiben Sie die Konfiguration in den LANCOM Router der Zentrale zurück.

Die IP-Route wird beim Verbindungsaufbau automatisch im LANCOM Router der Zentrale angelegt. Ein manueller Routing-Eintrag ist daher nicht notwendig.



3. Manuelle Konfigurationsschritte auf dem LANCOM Router der Filiale:
3.1 Öffnen Sie die Konfiguration des LANCOM Routers in der Filiale und wechseln Sie in das Menü VPN → Allgemein.
3.2 Aktivieren Sie die Funktion Virtual Private Network. Als Parameter für den Aufbau der Netzbeziehungen (SAs) wählen Sie Immer alle gemeinsam.

Ab der LCOS-Version 10.20 ist der Parameter Aufbau der Netzbeziehungen (SAs) fest auf den Wert Immer alle gemeinsam eingestellt, und wird daher im Konfigurationsdialog nicht mehr angezeigt.

3.3 Wechseln Sie in das Menü VPN → IKEv2/IPSec und klicken Sie auf die Schaltfläche Authentifizierung.
3.4 Klicken Sie auf die Schaltfläche Hinzufügen um einen neuen Eintrag zu erzeugen.
3.5 Tragen Sie in dem Konfigurationsfenster die Informationen zur Authentifizierung für die VPN-Verbindung ein.

3.6 Wechseln Sie in das Menü VPN → IKEv2/IPSec und klicken Sie auf die Schaltfläche Verbindungs-Liste.
3.7 Klicken Sie auf die Schaltfläche Hinzufügen, um einen neuen Eintrag zu erzeugen.

3.8 Geben Sie im Konfigurationsdialog die folgenden Parameter ein:

Name der Verbindung:
Geben Sie die Bezeichnung für die VPN-Verbindung an. Dieser Eintrag wird später in der Routing-Tabelle genutzt (siehe Schritt 3.10).

Haltezeit:
Geben Sie die Haltezeit in Sekunden für die VPN-Verbindung an. In diesem Beispiel wird beim LANCOM Router in der Filiale der Wert 9999 Sekunden eingetragen. Dies bedeutet, dass dieser Router die VPN-Verbindung aktiv aufbaut.

Entferntes Gateway:
Geben Sie die öffentliche IP-Adresse an, unter der LANCOM Router in der Zentrale erreichbar ist. In diesem Beispiel ist das die Adresse 81.81.81.81.

Authentifizierung:
Wählen Sie die Authentifizierung aus. Der Eintrag entspricht hierbei dem Namen der Authentifizierung, welchen Sie in Schritt 3.5 festgelegt haben.

IKE-CFG:
Der IKE Config Mode wird nicht benötigt, daher muss er ausgeschaltet werden.

Regelerzeugung:
Die Regelerzeugung wird automatisch durchgeführt.

3.9 Wechseln Sie in das Menü IP-Router →  Routing → IPv4-Routing-Tabelle.
3.10 Erstellen Sie einen neuen Routing-Eintrag.

3.11 Schreiben Sie die Konfiguration in den LANCOM Router der Filiale zurück.
Nachdem die Konfiguration in den LANCOM Router der Filiale zurückgeschrieben wurde, wird die VPN-Verbindung zwischen beiden LANCOM Routern aufgebaut. Überprüfen können Sie dies, indem Sie z.B. beide LANCOM Router in den LANmonitor laden.

Sollten beim Verbindungsaufbau Probleme auftreten oder die aufgebaute VPN-Verbindung nicht ordnungsgemäß funktionieren kann ein VPN-Status Trace bei der Diagnose helfen. Informationen erhalten Sie in diesem Knowledge Base-Artikel. 

Vielen Dank für Ihr Feedback! Konstruktive Vorschläge zur Verbesserung unserer Knowledge Base oder Anregungen zu neuen Artikeln können Sie uns auch per E-Mail an knowledgebase@lancom.de senden.