OpenVPN-Anbindung Sysmess Multi und Compact Firmware 3.7.X 03/2015

Transkript

1 OpenVPN-Anbindung Sysmess Multi und Compact Firmware 3.7.X 03/2015 Alarm XML CSV Webinterface Internet TCP / RTU Slave IP-Router FTP / SFTP UDP RS 232 GLT RS 485 GPRS / EDGE / UMTS SPS S0-Eingänge Digitaleingänge Analogeingänge Temperaturfühlereingänge Relaisausgänge TCP / RTU Slave, Server und Gateway Empfänger und Gateway Pegelwandler und Gateway 1 von 12

2 Inhaltsverzeichnis OpenVPN-Anbindung RmCU DIN Rail + RmCU Compact Firmware 3.7.X 03/ Einleitung... 3 Einrichtung des OpenVPN-Clienten Config-Datei Keepalive t1 t reneg-sec t Zertifikate und Keys Zugriffsbeschränkungnen Netzwerkzugriff GPRS Netzwerkzugriff LAN VPN - LAN Gateway Erlaube SSH / Allow SSH Installationsszenarien Support: von 12

3 1 Einleitung In diesem Dokument werden kurz die Filtereinstellungen für den Netzwerkzugriff beschrieben. Unsichtbar wird das RmCU in einem Netz erst wenn der Eingehende Verkehr blockiert (verworfen) wird. Die Filtereinstellungen werden nur bei laufendem VPN angewandt. Ohne VPN ist ein Abschotten des RmCU nicht vorgesehen (auch nicht sinnvoll) 2 Einrichtung des OpenVPN-Clienten 2.1 Config-Datei Einträge und ihre Bedeutung Die Konfigurationsinformationen befinden sich in der Datei /flash/etc/ovpn/client.conf. Im folgenden wird darauf eingegangen, welche relevanten Einträge anpassungsbedürftig sein könnten und was diese bewirken/bedeuten. Hinweis: Zum Auskommentieren der Zeilen ist bis Firmware 3.6.X ausschliesslich eine führendes '#' zu verwenden. Ab Fw. 3.7.x ist auch ein Semikolon (';') zulässig. dev tun proto tcp-client tls-client port 1194 remote <remote-ip/host> Die Art des Tunneladapters. RmCU wird normalerweise mit TUN betrieben. TAP wurde nicht getestet. Der Transport findet auf tcp statt. Der client baut die Verbindung auf. Dies ist im RmCU die Standardvorgabe, da viele Netzwerkadministratoren keinen eingehenden UDP-Verkehr zulassen möchten/dürfen. RmCU startet die Verschlüsselung Port auf dem der Server die OpenVPN- Verbindung annimmt Die IP-Adresse bzw. Der Domainname des Servers Hinweis: Der Port darf nicht, wie es von openvpn her gültig wäre, in der remote-zeile hinter der remote- IP eingetragen werden, er wird in diesem Falle von der Firewall nicht erkannt. 3 von 12

4 comp-lzo verb 4 pull Kompression wird verwendet Log-Intensität wird festgelegt Akzeptieren von vom Server angebotenen (push) routing informationen, keepalive u.ä. ca /flash/etc/ovpn/ca.crt Zertifikat der Zertifizierungsstelle. Dieses wird benötigt um die Signatur des Zertifikats der Gegenstelle zu überprüfen cert key /flash/etc/ovpn/<name>.crt Zertifikat des RmCU. Dieses wird der Gegenstelle zur Verfügung gestellt um den sicheren Kanal aufzubauen /flash/etc/ovpn/<name>.key Geheimer Schlüssel des RmCU. Dieser stellt das Gegenstück zum Zertifikat dar. Dieser Schlüssel sollte NUR DIESEM RmCU bekannt sein. keepalive remote-cert-tls server reneg-sec Stellt das Ping Intervall und das Timeout nachdem die Verbindung als verloren angenommen wird ein (default 10 60) Diese Einstellung wird meist von Server gepusht. Aktiviert die Signaturüberprüfung der Keys Legt fest nach wieviel Sekunden ein neuer TLS-Key ausgehandelt wird (default 3600) ca, cert und key beschreiben die Pfade zu den Dateien, der Public-Key- Infrastruktur (PKI). Diese können vereinfacht mit easy RSA (wie hier beschreiben) erzeugt werden. Die Konfigurationsdatei MUSS client.conf heißen, oder es muss einen symbolischen Link mit dem Namen geben der auf die Konfigurationsdatei verweist. Die Namen der Schlüssel und Zertifikate werden in der Konfigurationsdatei eingetragen und sind somit frei wählbar. 4 von 12

5 Beispiel einer Konfigurationsdatei: dev tun proto tcp-client tls-client port 1194 remote comp-lzo verb 4 pull ca "/flash/etc/ovpn/ca.crt" cert "/flash/etc/ovpn/rmcu.crt" key "/flash/etc/ovpn/rmcu.key" keepalive remote-cert-tls server reneg-sec von 12

6 2.2 Keepalive t1 t2 Der Paramter t1 [sec] gibt an in welchen Zeitabständen mittels einem Ping überprüft wird ob der VPN Tunnel noch besteht. Der Parameter t2 [sec] beschreibt die maximale Zeitspanne zwischen 2 Pings der Gegenseite. Bei Überschreitung wird der Tunnel neu aufgebaut. Diese Einstellung wird in der Regel am Server vorgenommen und vom Server an den Clienten übermittelt (gepusht). Ein kleines Ping-Intervall erhöht den Traffic unnötig, während ein zu langes Intervall dazu führt das ein Verbindungsverlust entsprechend spät erkannt wird. Ein zu grosser Timeout führt dazu, dass eine verlorene Verbindung entsprechend spät detektiert wird, wodurch RmCU entsprechend lang nicht erreichbar ist. Die Standard-Einstellungen ist keepalive Wir verwenden bei Mobilfunkanbindungen keepalive , um die Traffic entsprechend zu reduzieren. Ein keepalive-ping erzeugt jeweils 121 Bytes upload und im download, das ergibt bei keepalive ca 10MB Traffic pro Monat. 2.3 reneg-sec t Legt fest nach welcher Zeit ein neuer TLS-Key ausgehandelt wird. Die Standard- Einstellung beträgt 3600 Sekunden (1h). Um die Traffic zu reduzieren wird mittels reneg-sec ein Intervall von 3 h vorgegeben. Damit wird der monatliche Traffic für den TLS- Handshake von 15 MB auf 5 MB reduziert. 2.4 Zertifikate und Keys Zertifikate sind Dateien, welche diverse Informationen über Gültigkeitsbereich, Aussteller, den Eigentümer sowie den öffentlichen Schlüssel des Eigentümer und ggf noch weiter Informationen. Der Key enthält nur den privaten Schlüssel des Eigentümers. Dieser muss nicht verifiziert werden, da dieser nicht ausgegeben wird. Alle benötigten Zertifikate und Keys werden direkt in /flash/etc/ovpn/ abgelegt 6 von 12

7 Zertifizierungsstelle (Certificate Authority): Dient dazu die anderen Schlüsselpaare mit ihrem privaten (geheimen) Schlüssel zu signieren (streng hierarchische PKI). Daher ist der private Schlüssel der CA ein sensibles Geheimnis. Mit dem öffentlichen wird die Signatur vom Clienten (RmCU) überprüft. Schlüsselpaare (Server/Client): Die Schlüsselpaare für Server und jeden Clienten werden mit den privaten Schlüssel (key) der CA signiert, damit die Authenzität des von der Gegenstelle übermittelten öffentlichen Schlüssels (Bestandteil des Zertifikats) mit dem öffentlichen Schlüssen der CA überprüft werden kann. Erzeugen eines Server-Schlüsselpaars Erzeugen eines Client-Schlüsselpaars Übersicht über die Funktion und die Sensibillität der Schlüssel Hinweis: Damit der Key von RmCU automatisch genutzt werden kann, muss dieser ohne Passwort erzeugt werden. 7 von 12

8 3 Zugriffsbeschränkungnen RmCU kann nur bei aktivem VPN, je nach Notwendigkeit mit unterschiedlichen Zugriffsbeschränkungen betrieben werden. Bei nicht aktiviertem VPN sind die Dienste des RmCU uneingeschränkt erreichbar. 3.1 Netzwerkzugriff GPRS Einstellung Funktion 1 RmCU --X-- GPRS Auf RmCU kann von aussen ausschliesslich über den OpenVPN zugegriffen werden. 2 RmCU <-- GPRS Während einer aktiven OpenVPN Verbindung kann über das Internet von aussen über die vom Mobilfunkbetreiber zugeteilte IP- Adresse auf RmCU zugegriffen werden (z.b. Aufruf des Webinterfaces, etc) 3 RmCU --> GPRS Auch während einer aktiven OpenVPN Verbindung kann RmCU auf öffentliche IP- Adressen im Internet zugreifen. (z.b. SMTP- Server, NTP- Server, etc.) 4 RmCU <--> GPRS Die unter 2 und 3 aufgeführten Zugriffe sind möglich 3.2 Netzwerkzugriff LAN Einstellung Funktion 1 RmCU --X-- LAN Während einer aktiven OpenVPN Verbindung ist kein Netzwerkverkehr zwischen RmCU und LAN möglich. 2 RmCU <-- LAN Während einer aktiven OpenVPN Verbindung kann über den LAN Port z.b. das RmCU- Webinterface aufgerufen werden 3 RmCU --> LAN Auch während einer aktiven OpenVPN Verbindung kann RmCU z.b. auf an RmCU über LAN angeschlossene IPfähige Geräte (z.b. Strommessgeräte mit Modbus TCP Schnittstelle) zugreifen. 4 RmCU <--> LAN Die unter 2 und 3 aufgeführten Zugriffe sind möglich 8 von 12

9 3.3 VPN - LAN Gateway Einstellung Funktion 1 OVPN --X-- LAN Alle lokal an RmCU angeschlossenen IP- fähige Geräte sind vom OpenVPN Tunnel getrennt. 2 OVPN <-- LAN Lokal an RmCU angeschlossenen IP- fähige Geräte können Datenverbindungen über den OpenVPN Tunnel aufbauen. 3 OVPN --> LAN Über den OpenVPN Tunnel können Verbindungen zu lokal an RmCU angeschlossene IP-fähige Geräte aufgebaut werden (z.b. Aufruf des Webinterfaces eines BHKW s). 4 OVPN <--> LAN Die unter 2 und 3 aufgeführten Zugriffe sind möglich 3.4 Erlaube SSH / Allow SSH Erlaube SSH / Allow SSH Bei aktiviertem VPN und somit aktivierter Firewall wird hier vorgegeben ob trozdem ein SSH (SCP) Zugriff auf das RmCU Dateisystem über LAN IP- Adresse und die zugewiesene GPRS- IP- Adresse möglich ist. Hinweis: Diese Einstellung sollte nur temporär und nach Absprache mit dem zuständigen IP Security Beauftragten aktiviert werden und dient ausschliesslich dem Support. 9 von 12

10 3.5 Installationsszenarien Variante 1: Dienste im Internet werden verwendet (zb NTP und SMTP) Hier muss das RmCU Verbindungen zu Diensten im Intenet aufbauen können. Wenn kein Zugriff vom Internet aus (externe IP) vorgesehen ist, kann die Sicherheit erhöht werden indem nur ausgehende Verbindungen zugelassen werden (eingehende Verbindungen werden verworfen RmCU ----> GPRS ) 10 von 12

11 Beispiel 2: OpenVPN ist für den Fernzugriff konfiguriert, und JEDER benötigte Dienst ist im VPN verfügbar (Server oder Portweiterleitung) In diesem Falle ist keinerlei Verbindung (bis auf den VPN-Tunnel) zwischen dem RmCU und dem Internet notwendig. Network-Access kann auf RmCU --x-- GPRS gestellt werden. Analog dazu kann der Verkehr zwischen RmCU und LAN, sowie zwischen VPN und LAN den Bedürfnissen entsprechend angepasst werden. Eine Zugriffbeschränkung für den Verkehr zwischen RmCU und VPN ist nicht vorgesehen. Das RmCU kann auch Internetzugriff über das VPN erhalten. Hierzu muss der Netzwerkadministrator den OpenVPN-Server entsprechend einrichten. (push route) WICHTIGER HINWEIS!: Wenn die default-route auf ein Gateway im VPN zeigt, muss zwingend eine Route mit dem VPN-Server als Ziel auf das vorherige Standard- Gateway zeigen, da sonst der VPN-Tunnel abbricht und sich Ihr RmCU isoliert. 11 von 12

12 4 Support: Tel: von 12