IPSec-VPN mit Software-Client. ZyXEL USG Firewall-Serie ab Firmware Version Knowledge Base KB-3516 August Studerus AG

Transkript

1 IPSec-VPN mit Software-Client ZyXEL USG Firewall-Serie ab Firmware Version 4.10 Knowledge Base KB-3516 August 2014 Studerus AG

2 IPSEC-VPN MIT SOFTWARE-CLIENT Einige Einstellungen zeigt die USG erst nach der Auswahl von Show Advanced Settings im oberen linken Bereich des Konfigurationsfensters. USG KONFIGURATION VPN Gateway (Phase 1), Teil 1 Configuration > VPN > IPSec VPN > VPN Gateway > Add... > Gateway Settings > My Address > Interface Unter Gateway Settings das aktive Interface auswählen: Mit Login-Daten des Providers wan1_ppp, ohne Login-Daten des Providers wan1. IPSec-VPN mit Software-Client 2 KB-3516 / FZA

3 ... > Authentication > Local ID Type und Peer ID Type Diese Werte haben keinen direkten Bezug auf die tatsächlich vorliegenden Verbindungswerte. Sie können mit beliebigen, aber auf beiden Seiten übereinstimmenden Werten als zusätzliche Sicherheitsmerkmale dienen. VPN Gateway (Phase 1), Teil 2... > Phase 1 Settings > Negotiation Mode Ab der Firmwareversion 4.10 ist die Default-Einstellung neu auf Aggressive eingestellt. So kann die USG die Werte Local ID Type und Peer ID Type auch als Kriterien zur Unterscheidung der VPN- Definitionen (VPN-Rule-Swapping) nutzen.... > Phase 1 Settings > Proposal Diese Verschlüsselungsmethode wird für den Verbindungsaufbau eingesetzt. In der Regel genügt die Vorgabe. Die Verschlüsselungsart für die eingentliche Datenübertragung wird in der Phase 2 (VPN Connection) definiert.... > Phase 1 Settings > NAT Traversal Aktivieren, wenn sich der VPN-Client hinter einem NAT-Router befindet. IPSec-VPN mit Software-Client 3 KB-3516 / FZA

4 VPN Connection (Phase 2), Teil 1 Configuration > VPN > IPSec VPN > VPN Connection > Add... > General Settings > Enable NetBIOS broadcast over IPSec Per Default nicht aktiv. In einigen Netzwerkumgebungen kann es notwendig sein, die Übertragung von NetBIOS-Paketen zu erlauben, um die Namensauflösung über den Tunnel zu unterstützen.... > VPN Gateway > Application Scenario Remote Access (Server Role) bestimmt die USG als Endpunkt für VPN-Verbindungen von Clients mit unterschiedlichen IP-Adressen (Dynamic VPN).... > VPN Gateway > VPN Gateway Die zuvor in der Phase 1 erstellte Definition für den VPN-Gateway auswählen. Der Wert für die Gateway-IP zeigt, dass die Herkunft der VPN-Verbindung nicht bekannt sein muss.... > Policy > Local policy Legt das zu erreichende Ziel fest. Oft das lokale Subnetz, kann aber auch eine einzelne IP-Adresse oder ein IP-Bereich sein. IPSec-VPN mit Software-Client 4 KB-3516 / FZA

5 VPN Connection (Phase 2), Teil 2... > Phase 2 Setting Proposal Für die eigentliche Datenübertragung kann durchaus eine höhere Verschlüsselungsmethode wie 3DES, AES128, AES192 oder AES256 zur Anwendung gelangen. Je stärker die Verschlüsselung, desto höher die Belastung von Client und USG-Firewall.... > Related Settings > Zone Die IPSec_VPN-Zone wählen, damit die vordefinierten Policy Control-Regeln (Firewall) greifen. IPSec-VPN mit Software-Client 5 KB-3516 / FZA

6 VPN Connection > Global Setting VPN-Pakete werden um zusätzliche Information ergänzt. Das kann dazu führen, dass Pakete zur Übertragung fragmentiert werden müssen. Die Option Ignore Don t Fragment setting in IP header erlaubt der USG auch die Fragmentierung eigentlich als unfragmentierbar bezeichneter Pakete. Dies kann erforderlich sein, wenn beispielweise der VPN-Tunnel aufgebaut, aber keine Daten übertragen werden. Policy Control (Firewall) Die Policy Control ist so vorkonfiguriert, dass sowohl der IPSec-VPN-Tunnel mit der Default_Allow_WAN-TO_ZyWALL-Regel (Regel Nr. 10) zur ZyWALL aufgebaut werden kann so wie auch Daten von und zum IPSec VPN-Tunnel durchgelassen werden (Regeln Nr. 1, 2, 4 und 11). IPSec-VPN mit Software-Client 6 KB-3516 / FZA

7 ZYXEL VPN-CLIENT KONFIGURATION Mit der rechten Maustaste auf VPN-Konfiguration eine Neue Phase 1 erstellen: Gateway > Authentisierung Remote Gateway: (WAN IP-Adresse der ZyWALL USG) Preshared Key: Verschlüsselung: DES Authentisierung: MD5 Key Gruppe: DH1 IPSec-VPN mit Software-Client 7 KB-3516 / FZA

8 Gateway > Erweitert Agressive Mode aktivieren (Standard-Einstellung USG ab FW V4.10) Mit der rechten Maustaste auf den soeben erstellten Gateway eine Neue Phase 2 erstellen: IPSec-VPN mit Software-Client 8 KB-3516 / FZA

9 Tunnel > IPsec Adressen ESP Die VPN Client Adresse kann auf belassen werden. Der Client nutzt dann die dem Rechner zugewiesene IP-Adresse. Führt dies zu Konflikten im Routing, lässt sich optional eine IP-Adresse aus einem der USG gänzlich unbekannten Netz eintragen (Fake IP). Adresstyp: Subnetzadresse Remote LAN Adresse: Subnetzmaske: Verschlüsselung: DES Authentisierung: SHA-1 Modus: Tunnel PFS PFS deaktivieren Konfiguration > Speichern sichert die Einstellungen. IPSec-VPN mit Software-Client 9 KB-3516 / FZA

10 Verbindungsaufbau Mit einem Rechtsklick auf das Icon Z in der Taskleiste und der Auswahl des Tunnels wird die VPN-Verbindung geöffnet. Ein grünes Status-Symbol bestätigt den erfolgreichen Tunnel-Aufbau. Die Konsole des ZyXEL VPN-Clients liefert weitere Informationen zum Aufbau des Tunnels. IPSec-VPN mit Software-Client 10 KB-3516 / FZA