VPN mit ZyXEL IPSec-Client. Konfigurationsbeispiel ZyXEL ZyWALL USG-Serie Firmware V2.2x 3.x. August 2012 / ALN

Transkript

1 VPN mit ZyXEL IPSec-Client Konfigurationsbeispiel ZyXEL ZyWALL USG-Serie Firmware V2.2x 3.x August 2012 / ALN

2 ÜBERSICHT Dieses Beispiel zeigt zwei Varianten auf, eine Verbindung mit dem ZyWALL IPSec Client zu einer ZyWALL USG aufzubauen: Der Client befindet in einem von der USG-Firewall abweichenden Subnetz Der Client befindet sich im gleichen Subnetz wie das Ziel-LAN der USG-Firewall Hinweis: Während der Konfiguration der USG-Firewall sind einige Einstellungen erst nach der Auswahl von Show Advanced Settings im oberen linken Bereich des Konfigurationsfensters erreichbar. 2 Client to Site VPN

3 USG KONFIGURATION VPN GATEWAY (PHASE 1), TEIL 1 Gateway Settings > My Address > Interface: Das aktive Interface auswählen. Bei korrekter Auswahl erscheint die aktuelle WAN-IP. Mit Login-Daten des Providers: wan1_ppp, wan2_ppp Ohne Login-Daten des Providers: wan1, wan2 Authentication > Local ID Type und Peer ID Type: Diese Werte haben keinen direkten Bezug auf die tatsächlich vorliegenden Verbindungswerte. Sie können mit beliebigen, aber auf beiden Seiten übereinstimmenden Werten als zusätzliche Sicherheitsmerkmale dienen. Für die Grundkonfiguration am besten auf den Standardwerten belassen. 3 Client to Site VPN

4 VPN GATEWAY (PHASE 1), TEIL 2 Phase 1 Settings > Proposal: Diese Verschlüsselungsmethode wird für den Verbindungsaufbau eingesetzt, in der Regel genügt die Vorgabe. Die Verschlüsselungsart für die eigentliche Datenübertragung wird später in der Phase 2 definiert. Phase 1 Settings > NAT Traversal: Aktivieren, wenn sich der VPN-Client hinter einem NAT-Router befindet. 4 Client to Site VPN

5 VPN CONNECTION (PHASE 2), TEIL 1 VPN Gateway > Application Scenario: Um als Server eingehende Client-Verbindungen zu bedienen, die Option Remote Access (Server Role) auswählen. VPN Gateway > VPN Gateway: Den zuvor in Phase 1 erstellten VPN-Gateway auswählen. 5 Client to Site VPN

6 VPN CONNECTION (PHASE 2) TEIL 2 Policy > Local Policy: Hier das zu erreichende Netz angeben. In der Regel das lokale Subnetz, kann aber auch eine einzelne IP-Adresse oder ein IP-Bereich sein. Phase 2 Settings > Proposal: Für die eigentliche Datenübermittlung kann durchaus eine höhere Verschlüsselungsmethode wie 3DES oder AES zur Anwendung gelangen. Je stärker die Verschlüsselung, desto höher die Belastung von Client und USG-Firewall. Related Settings > Zone: Die IPSec-Zone wählen, damit die vordefinierten Firewall-Regeln greifen. 6 Client to Site VPN

7 GLOBAL SETTING VPN Connection > Global Setting: VPN-Pakete werden um zusätzliche Informationen ergänzt. Das kann dazu führen, dass Pakete zur Übertragung fragmentiert werden müssen. Die Option Ignore "Don t Fragment" setting in IP Header erlaubt auch die Fragmentierung eigentlich als unfragmentierbar bezeichneter Pakete. Dies kann erforderlich sein, wenn beispielsweise der VPN-Tunnel aufgebaut, aber keine Daten übertragen werden. FIREWALL Die Firewall ist so vorkonfiguriert, dass VPN-Pakte mit der Default_Allow_WAN_To_Zywall-Regel zugelassen sind. Falls jedoch die Default -Regel der Firewall auf deny gesetzt ist, müssen zwei weitere Einträge definiert sein. Mit Firmware 3.0 neu aufgesetzte Firewalls enthalten diese Regeln bereits in der Grundkonfiguration. 1. From IPSec_VPN to LAN1, allow 2. From IPsec_VPN to ZyWALL, allow 7 Client to Site VPN

8 CLIENT KONFIGURATION 8 Client to Site VPN

9 Phase 1 (Authentisierung) Menüstruktur Phase 1 = Gateway Phase 2 = Tunnel Mit Doppelklick auf Gateway oder Tunnel lassen sich die Namen editieren. Konfigurationsregister Authentisierung Die Einstellungen müssen denen der USG-Firewall entsprechen. 9 Client to Site VPN

10 Phase 1 (Erweitert) Lokale und Entfernte ID Die Optionen dieses Registers bedürfen normalerweise keiner speziellen Einstellungen. Wurden auf der USG-Firewall in der Phase 1 (siehe Seite 3) unter Authentication Änderungen für Local ID Type und Peer ID vorgenommen, müssen diese hier als Lokale ID und Entfernte ID übernommen werden. 10 Client to Site VPN

11 Phase 2 ESP & PFS Gemäss Vorgaben in der USG Phase 2 konfigurieren (siehe Seiten 5 und 6). 11 Client to Site VPN

12 Alternative Phase 2 VPN Client Adresse IP-SEC VPN setzt voraus, dass sich zu verbindender Client und das Zielnetz in unterschiedlichen Subnetzen befinden. Falls sich der Client mit seiner IP im gleichen Subnetz befindet, kann der ZyXEL VPN-Client die eigentliche IP-Adresse hinter einer selbstgewählten IP-Adresse maskieren. Tragen Sie dazu in der Phase 2 im Register IPSec unter VPN Client Adresse eine IP-Adresse ausserhalb des Bereichs der ZyWALL-USG ein. 12 Client to Site VPN

13 Allgemein Dead Peer Detection (DPD) Hilft einseitig getrennte VPN-Verbindungen zu erkennen und ganz zu trennen. 13 Client to Site VPN

14 Verbindungsaufbau Rechtsklick auf Icon Z in der Taskleiste und Tunnel öffnen wählen. Ein grünes Status-Symbol bestätigt den erfolgreichen Tunnel-Aufbau. 14 Client to Site VPN