Traffic to specified Remote Subnet PPTP VPN ermöglicht es, einen PPTP VPN Tunnel und Internetzugang zur gleichen Zeit aufzubauen.

Transkript

1 VPN - PPTP Der Router unterstützt PPTP VPN, um sichere, end-to-end private Netzwerk- Verbindungen über eine öffentliche Netzwerk-Infrastruktur aufzubauen. Es gibt zwei Arten von PPTP VPN Verbindungen, eine ist Traffic to specified Remote Subnet, die andere ist All traffic to tunnel. Traffic to specified Remote Subnet PPTP VPN ermöglicht es, einen PPTP VPN Tunnel und Internetzugang zur gleichen Zeit aufzubauen. All traffic to tunnel PPTP VPN wird gebraucht, um PPTP VPN Tunnels aufzubauen, um einen PPTP VPN Server fernzusteuern, und zusätzlich Daten über einen sicheren VPN Tunnel zu übertragen. Diese VPN Funktion kann einen PPTP Tunnel verbinden und aufbauen, um den PPTP Server im WAN fernzusteuern. Somit muss der Router zuerst mit dem ISP verbinden, und dann PPTP VPN benützen, um eine VPN Verbindung aufzubauen. PPTP VPN unterstützt Fixed IP und dynamic IP (PPPoE und DHCP Clients). Wenn Sie die WAN Schnittstelle als PPTP Klient konfigurieren, wird die VPN-PPTP Funktion nicht aktiviert, weil der VPN-PPTP Klient über den WAN-PPTP Klient Mechanismus nicht implementiert wurde. Wenn Sie aber eine andere der drei Methoden, Internetzugang zu erhalten, wählen, wird eine VPN (PPTP) Verbindung, basierend auf diesen drei Methoden, erlaubt. Ein Beispiel, wie ein eine remote access PPTP VPN dial-out Verbindung konfiguriert wird Hintergrund dieses Beispiels Es wird mit einem File Server, der sich auf der Remoteseite befindet, eine PPTP VPN Verbindung aufgebaut. Der Router ist im Büro installiert und mit einigen PCs und Servern verbunden. 1

2 Konfiguration des PPTP VPN Um diese Funktion zu aktivieren, wählen Sie den Enable Button. Somit werden folgende Felder aktiviert. 1. Verkehr zu einem spezifischen Remote Subnetz Username: Geben Sie den Benutzernamen ein. 128 alphanumerische Zeichen sind das Maximum (Gross/Kleinschreibung beachten). 2

3 Password: Geben Sie das Passwort ein. 128 alphanumerische Zeichen sind das Maximum (Gross/Kleinschreibung beachten). Server IP Address: Geben Sie die IP Adresse des PPTP Servers ein. Zum Beispiel Traffic to specified Remote Subnet: Falls Sie diese Funktion aktivieren wollen, wählen Sie diesen Button. Somit werden die Felder Remote Destination und Remote Subnet Mask aktiviert. Remote Destination: Die Subnetz IP der Remote LAN Umgebung, Netzwerk ID. Zum Beispiel Remote Subnet Mask: Der Bereich von Remote IPs kann kommuniziert werden. Zum Beispiel All Traffic to Tunnel: Diese Funktion ist nun deaktiviert. Always on: Wählen Sie diesen Button, wenn Sie einen PPTP VPN Tunnel immer für eine lange Zeit aufbauen wollen. Dial on demand: Wählen Sie diesen Button, wenn Sie nur einen PPTP VPN Tunnel aufbauen möchten, wenn ein Paket anfordert, ins Internet geschickt zu werden. Auto-disconnect if idle for more than minutes: Trennt den Router automatisch, wenn nach einer bestimmten Zeit keine Aktivitäten zu verzeichnen sind. Sie können Werte von 0 bis 999 eingeben. Standardwert ist 5 Minuten. Wenn Sie die WAN Schnittstelle als PPPoE konfigurieren, können Sie die Dial-on-Demand Funktion nicht für WAN-PPPoE und VPN-PPTP zugleich aktivieren. Hier sind keine DNS Einstellungen, weil der Router die DNS IP der WAN Seite verwenden wird. Bevor Sie PPTP VPN einstellen, sollten Sie die WAN IP auf der WAN Seite definieren. Danach gehen Sie bitte zur VPN-PPTP Seite und wählen Sie Enable falls PPTP VPN noch nicht aktiviert ist. 3

4 2. All Traffic to Tunnel Username: Geben Sie den Benutzernamen ein. 128 alphanumerische Zeichen sind das Maximum (Gross/Kleinschreibung beachten). Password: Geben Sie das Passwort ein. 128 alphanumerische Zeichen sind das Maximum (Gross/Kleinschreibung beachten). Server IP Address: Geben Sie die IP Adresse des PPTP Servers ein. Zum Beispiel Traffic to specified Remote Subnet: Diese Funktion ist nun deaktiviert All Traffic to Tunnel: Wenn Sie diese Funktion aktivieren möchten, wählen Sie diesen Button. Always on: Wählen Sie diesen Button, wenn Sie einen PPTP VPN Tunnel immer für eine lange Zeit aufbauen wollen. Dial on demand: Wählen Sie diesen Button, wenn Sie nur einen PPTP VPN Tunnel aufbauen möchten, wenn ein Paket anfordert, ins Internet geschickt zu werden. Auto-disconnect if idle for more than minutes: Trennt den Router automatisch, wenn nach einer bestimmten Zeit keine Aktivitäten zu verzeichnen sind. Sie können Werte von 0 bis 999 eingeben. Standardwert ist 5 Minuten. Wenn Sie die WAN Schnittstelle als PPPoE konfigurieren, können Sie die Dial-on-Demand Funktion nicht für WAN-PPPoE und VPN-PPTP zugleich aktivieren. 4

5 Wenn Sie einen VPN Tunnel aufbauen, ist der aktive DNS Server derjenige, hier aufgelistete, und nicht derjenige im WAN Abteil. Weil Sie einen Tunnel mit dem Remote PPTP Server aufgebaut haben, ist Ihr Netzwerk direkt mit dem Remote Netzwerk verbunden. Alle ausgehenden Pakete von Ihrem Netzwerk werden zum Remote Netzwerk gesendet; deshalb müssen Sie einstellen, dass die DNS vom Remote Netzwerk geliefert wird, für Domänennamen und IP Adressen Konversation. Bevor Sie PPTP VPN einstellen, sollten Sie die WAN IP auf der WAN Seite definieren. Danach gehen Sie bitte zur VPN-PPTP Seite und wählen Sie Enable falls PPTP VPN noch nicht aktiviert ist. PPTP VPN Status Im Systemstatus sehen Sie den VPN (PPTP Klient) Verbindungsstatus und Einstellungen. Drücken Sie den Connect Button wenn die Verbindung getrennt ist, oder drücken Sie Disconnect wenn die Verbindung verbunden ist. 5

6 Konfiguration des PPTP Server 1. Wählen Sie Neue Verbindung erstellen. 2. Drücken Sie den Weiter Button. 6

7 3. Wählen Sie Eingehende Verbindungen zulassen und drücken Sie den Weiter Button. 4. Wählen Sie Ihre Netzwerkkarte aus und drücken Sie den Weiter Button. 7

8 5. Wählen Sie VPN Verbindungen zulassen und drücken Sie den Weiter Button. 6. Wählen Sie den/die Benutzernamen. 8

9 7. Wählen Sie Internet Protokoll (TCP/IP) und drücken Sie den Eigenschaften Button. 8. Wählen Sie TCP/IP Adressen angeben um die PPTP IP Adressen einzurichten. ( z.b. : ~ ) 9

10 9. Drücken Sie den Fertig stellen Button. 10. Die PPTP Server Konfiguration ist beendet. 10

11 VPN IPSec Der Router unterstützt IPSec VPN, um eine sichere, end-to-end private Netzwerkverbindung über eine öffentliche Netzwerkinfrastruktur aufzubauen. PC Server mit IPSec (z.b. W2000 Server / Win XP) BÜRO A Subnetz: /24 BÜRO B Subnetz: /24 VPN Tunnel #2 Internet VPN Tunnel #1 VPN Router #1 Gateway IP: VPN Router #2 Gateway IP: (Host Name: jet.dyndns.org) 11

12 VPN/IPSec Features: Unterstützt LAN-to-LAN Verbindungen durch Benützung von IP Sec Tunnel Unterstützt gleichzeitiger Mehrfachtunnelzugang Unterstützte IKE Authentisierungsmethode: pre-shared keys Unterstützte Sicherheitsmethoden:.ESP: DES ohne Authentisierung.ESP: 3DES ohne Authentisierung.ESP: DES mit MD5.ESP: DES mit SHA-1.ESP: 3DES mit MD5.ESP: 3DES mit SHA-1.ESP: MD5 ohne Verschlüsselung.ESP: SHA-1 ohne Verschlüsselung.AH: MD5 oder SHA-1 Unterstützt PFS (Perfect Forward Secrecy) Unterstützt Main Mode und Quick Mode für IKE. On-demand connection setup: Aller Verkehr vom lokalen LAN zum Remote LAN löst die IPSec Verbindung gemäss den Regeln aus. Verbindungsstatus-Seite und manuelles aufbauen/trennen der Verbindung Unterstützt Fixed IP und dynamic IP (PPPoE und DHCP Clients) für IPSec/IKE Verbindungen Beispiel 1 : Vor dem definieren der IPSec Regeln sollten Sie einen Sicherheitsplan haben. Wir benützen den VPN Tunnel #1 im Bild für unsere Beispiele. Wir möchten einen Sicherheitskanal zwischen Büro A und Büro B mit der LAN-to-LAN Tunnelmodus Verbindung. Beide Seiten haben fixe IP Adressen. VPN Router#1 im Büro A ist unser Router. Die folgende Tabelle zeigt den Plan: BÜRO A BÜRO B Lokale Netzwerk ID / /24 Lokale Gateway IP Remote Netzwerk ID / /24 Remote Gateway IP jet.dyndns.org (oder ) IKE pre-shared Key VPN Verbindungstyp Tunnelmodus Tunnelmodus Sicherheitsalgorithmus ESP:MD5 mit 3DES ESP:MD5 mit 3DES 12

13 VPN/IPSec Setupführer: In diesem Abschnitt führen wir VPN Einstellungen ein, um einen sicheren Kommunikationspfad mit der Remote Seite, basierend auf IPSec, zu erstellen. Wählen Sie Enable und klicken Sie den Add Button. Dann sehen Sie die IKE Setup Seite. Somit können Sie die Regeln für ihren Sicherheitsplan konfigurieren. 13

14 Active: Um die VPN Tunnel Einstellungen zu aktivieren oder nicht. Remote Gateway IP or Host Name: Die öffentliche IP Adresse oder der Hostname des Remote VPN Gerätes. Es kann zum Beispiel jet.dyndns.org oder sein. Remote Subnet: Die IP des Subnetzes der Remote LAN Umgebung. Zum Beispiel Remote Subnet Mask: Der Bereich der Remote IPs kann kommuniziert werden. Zum Beispiel Proposal: Es gibt zwei Methoden um die Authentifizierungsinformation zu überprüfen, AH und ESP. ESP: Daten werden verschlüsselt und/oder authentisiert. DES und 3DES Verschlüsselungsmethoden werden unterstützt. DES benützt 56 Bits als Verschlüsselungsmethode. 3DES verwendet 128 Bits. Die Authentisierungsprotokolle MD5 und SHA1 werden unterstützt. Die Authentisierungsschlüssel sind Zeichenketten und müssen exakt 16 Buchstaben bei MD5 und 20 Buchstaben bei SHA1 lang sein. Folgende Einstellungen sind möglich: ESP: DES ohne Authentisierung ESP: 3DES ohne Authentisierung ESP: DES mit MD5 ESP: DES mit SHA-1 ESP: 3DES mit MD5 ESP: 3DES mit SHA-1 ESP: MD5 ohne Verschlüsselung ESP: SHA-1 ohne Verschlüsselung AH: Daten werden nur authentisiert. Die Authentisierungsprotokolle MD5 und SHA1 werden unterstützt. Die Authentisierungsschlüssel sind Zeichenketten und müssen exakt 16 Buchstaben bei MD5 und 20 Buchstaben bei SHA1 lang sein. Pre-Shared Key: IKE Authentisierungsmethode. Dies ist eine Zeichenkette mit 8 bis 128 Buchstaben. Beide Seiten sollten den gleichen Schlüssel verwenden. Advanced IKE Setup: Drücken Sie den Advanced IKE Setup Button und Sie werden die fortgeschrittene IKE Setup Seite sehen. Dann können Sie die Parameter des IKE konfigurieren. 14

15 PHASE 1 SA LIFE TIME: Muss länger als 60 Minuten sein. Standardeinstellung ist 450 Minuten. PHASE 2 SA LIFE TIME: Muss länger als 60 Minuten sein. Standardeinstellung ist 450 Minuten. Beachten Sie: Die Life time der Phase 1 muss länger sein als bei Phase 2. Perfect Forward Secrecy: Bezieht sich darauf, dass ein einzelner Schlüssel nur Zugang zu Daten ermöglicht, die durch einen einzelnen Schlüssel geschützt werden. Wenn alle Parameter richtig konfiguriert sind, drücken Sie den Apply Button und dann den Close Button um das Fenster zu schliessen. Nachdem Sie die Regeln editiert haben, klicken Sie den OK Button um zur Seite mit den Regeln zurückzukehren. Wenn Sie die Regel verwenden möchten, wählen Sie den Button und drücken Sie den Apply Button und dann den Save Config Button, um alle Konfigurationsparameter zu speichern. Das System wird neu gestartet, um das IPSec Untersystem zu aktivieren. (Falls das IPSec Untersystem schon aktiviert ist, muss dass System nicht neu starten, ausser wenn Verbindungen aufgebaut sind) 15

16 VPN/IPSec Connect Status: Die VPN/IPSec Verbindungsstatus Seite liefert Statusinformationen über die Verbindungen: Rule No: Gibt die entsprechende Regel auf der VPN-IPSec Seite an. Remote Gateway: Die öffentliche IP Adresse oder der Hostname des Remote VPN Gerätes. Falls ein Hostname verwendet wird und die entsprechende IP Adresse mit DNS nicht aufgelöst werden kann, wird angezeigt. Remote network: Das IP Netzwerk des Remote LAN-Umgebung, Netzwerk ID und die Maske. Connect Type: Wenn eine Verbindung aufgebaut ist, wird hier der Verbindungstyp angezeigt. Zum Beispiel kann Tunnel ESP MD5 3DES angezeigt werden. Connect Time: Die Zeit, die während der Verbindung abgelaufen ist. Dieser Wert wird für jede IKE Phase für jede Verbindung auf 0 zurückgestellt. Tx Packets: Pakete, die während der Verbindung gesendet wurden. Rx Packets: Pakete, die während der Verbindung empfangen wurden. Connect Status: Zeigt den Verbindungsstatus der Regeln an. Es wird Not Connected, Connecting, Connected oder Disconnecting angezeigt. Es kann en Connect oder rein drop Button in diesem Feld vorhanden sein. So können Sie manuell die Verbindung aufbauen oder abbrechen. Es kann auch sein, dass in diesem Feld kein Button angezeigt wird. Wenn zum Beispiel für den lokalen Gateway keine IP Adresse verfügbar ist (z.b. PPPoE ist noch nicht verbunden, dann gibt es keine gültige WAN IP Adresse für den Router) wird 16

17 Disconnected(No Valid WAN IP) angezeigt. Refresh time: Hier können Sie das Zeitintervall für das Aktualisieren der IKE Verbindungsstatus-Seite einstellen. Oder Sie können einfach den Refresh Button drücken, um den Status sofort zu aktualisieren. Beispiel 2 : OFFICE A OFFICE B Lokale Netzwerk ID / /24 Lokale Gateway IP Remote Netzwerk ID / /24 Remote Gateway IP IKE Pre-shared Key VPN Verbindungstyp Tunnelmodus Tunnelmodus Sicherheitsalgorithmus ESP:MD5 mit DES ESP:MD5 mit DES Wie IPSec Richtlinien für Win2000/XP eingerichtet werden: 1. Klicken Sie auf Start, dann auf Ausführen und geben Sie secpol.msc ein. 2. Klicken Sie mit rechts auf IP Sicherheitsrichtlinien auf Lokaler Computer klicken Sie dann auf IP Sicherheitsrichtlinie erstellen. 17

18 18

19 3. Klicken Sie auf Weiter und geben Sie dann einen Namen für Ihre Sicherheitseinstellungen ein (zum Beispiel IPSec Tunnel mit Gateway von dritten) 19

20 4. Entfernen Sie das Häkchen bei der Checkbox Die Standardantwortregel aktivieren und klicken Sie dann auf Weiter. 20

21 Erstellen einer Filterliste von Netzwerk A zu Netzwerk B : 1. Bei den Eigenschaften der neuen Sicherheitsrichtlinie entfernen Sie bitte das Häkchen bei der Checkbox Assistenten verwenden und klicken Sie dann auf Hinzufügen, um eine neue Regel zu erstellen. 2. Klicken Sie bei der Tafel IP-Filterliste auf Hinzufügen. 21

22 3. Geben Sie einen Namen für die IP Liste ein und entfernen Sie das Häkchen bei der Checkbox Assistenten verwenden und klicken Sie dann auf Hinzufügen. 4. Bei Quelladresse wählen Sie bitte spezielles IP Subnetz und geben Sie dann die Werte für die Felder IP-Adresse und Subnetzmaske ein, um Netzwerk A zu repräsentieren. 5. Bei Zieladresse wählen Sie bitte spezielles IP Subnetz und geben Sie dann die Werte für die Felder IP-Adresse und Subnetzmaske ein, um Netzwerk B zu repräsentieren. 6. Entfernen Sie das Häkchen bei der Checkbox Diese Filterangabe wird auch auf Pakete mit gegenteiliger Quell- und Zieladresse angewendet. 22

23 7. Bei der Tafel Protokoll müssen Sie sicherstellen, dass der Protokolltyp Beliebig ist, weil IPSec Tunnels keine protokoll- oder portspezifischen Filter unterstützt. 8. Falls Sie eine Beschreibung für Ihren Filter erstellen möchten, wählen Sie die Beschreibung Tafel. Es ist generell eine gute Idee, dem Filter den gleichen Namen zu geben wie der Filterliste. Der Filter wird beim IPSec Bildschirm angezeigt, wenn der Tunnel aktiv ist. 9. Klicken Sie OK und dann auf Schliessen. 23

24 Erstellen einer Filterliste von Netzwerk B zu Netzwerk A 1. Klicken Sie bei der Tafel IP-Filterliste auf Hinzufügen. 2. Geben Sie einen Namen für die IP Liste ein und entfernen Sie das Häkchen bei der Checkbox Assistenten verwenden und klicken Sie dann auf Hinzufügen. 3. Bei Quelladresse wählen Sie bitte spezielles IP-Subnetz und geben Sie dann die Werte für die Felder IP-Adresse und Subnetzmaske ein, um Netzwerk B zu repräsentieren. 4. Bei Zieladresse wählen Sie bitte spezielles IP-Subnetz und geben Sie dann die Werte für die Felder IP-Adresse und Subnetzmaske ein, um Netzwerk A zu repräsentieren. 5. Entfernen Sie das Häkchen bei der Checkbox Diese Filterangabe wird auch auf Pakete mit gegenteiliger Quell- und Zieladresse angewendet. 24

25 6. Falls Sie eine Beschreibung für Ihren Filter erstellen möchten, wählen Sie die Tafel Beschreibung. 7. Klicken Sie OK und dann Schliessen. Erstellen einer Regel für ein NetzA-zu-NetzB Tunnel: 1. Bei der Tafel IP-Filterliste wählen Sie bitte Ihre Filterliste aus. 2. Bei der Tunneleinstellungen Tafel wählen Sie bitte Der Tunnelendpunkt wird durch diese IP Adresse spezifiziert und geben Sie dann 3rdextip ein. (wobei 3rdextip die IP Adresse ist, die dem externen Netzwerkadapter des Gateway von Dritten ist.) 25

26 3. Bei der Tafel Verbindungstyp wählen Sie bitte Alle Netzwerkverbindungen (oder LAN, falls W2KextIP keine ISDN, PPP oder direkte serielle Verbindung ist). 4. Bei der Tafel Filteraktion entfernen Sie bitte das Häkchen bei der Assistenten verwenden Checkbox und klicken Sie dann Hinzufügen um eine neue Filteraktion zu erstellen. 5. Lassen Sie die Option Sicherheit aushandeln aktiviert und entfernen Sie das Häkchen bei der Checkbox Unsichere Kommunikat. annehmen, aber immer mit IPSec antworten. 26

27 6. Klicken Sie Hinzufügen und behalten Sie die Option Verschlüsselung und Integrität bei (oder Sie können die Option Benutzerdefiniert wählen, wenn Sie spezifische Lebenszeiten für Algorithmen und Sitzungsschlüssel definieren möchten). 7. Klicken Sie OK. Bei der Tafel Allgemein geben Sie bitte einen 27

28 Namen für die neue Filteraktion ein (z.b. IPSec Tunnel: ESP DES/MD5) und klicken Sie dann OK. 8. Wählen Sie die soeben erstellte Filteraktion. 9. Bei der Tafel Authentifizierungsmethoden können Sie Ihre bevorzugte Authentifizierungsmethode wählen (benützen Sie installierter Schlüssel um zu testen, und benützen Sie andernfalls Zertifikate). Kerberos ist technisch möglich, wenn beide Enden des Tunnels in vertrauten Domänen sind und die IP Adresse dieser Domänen im Netzwerk von beiden Enden des Tunnels während der IKE Verhandlung des Tunnels erreichbar sind (bevor es aufgebaut ist). Dies ist ein sehr seltener Fall. 28

29 10. Klicken Sie auf Schliessen. Erstellen einer Regel für ein NetzA-zu-NetzB Tunnel: 1. Bei den Eigenschaften von der IP Sicherheitsrichtlinie klicken Sie bitte Hinzufügen um eine neue Regel zu erstellen. 2. Bei der Tafel IP-Filterliste wählen Sie bitte Ihre Filterliste aus. (von Netzwerk B zu Netzwerk A). 3. Bei der Tunneleinstellungen Tafel wählen Sie bitte Der Tunnelendpunkt wird durch diese IP Adresse spezifiziert, und geben Sie dann w2kextip ein (wobei w2kextip IP Adresse ist, welche dem externen Windows 2000 Gateway Netzwerkadapter zugewiesen ist. 29

30 4. Bei der Tafel Verbindungstyp wählen Sie bitte Alle Netzwerkverbindungen (oder LAN, falls W2KextIP keine ISDN, PPP oder direkte serielle Verbindung ist). 5. Bei der Tafel Filteraktion wählen Sie bitte den von Ihnen erstellten Filter. 6. Bei der Tafel Authentifizierungsmethoden wählen Sie bitte dieselbe Methode wie in der ersten Regel. 7. Klicken Sie auf Schliessen und vergewissern Sie sich, dass beide von Ihnen erstellte Regeln aktiviert sind und klicken Sie dann auf Schliessen. 30

31 Zuweisung der neuen IPSec Richtlinien zu Ihrem Windows 2000 Gateway Bei den IP Sicherheitsrichtlinien auf Lokaler Computer klicken Sie bitte mit rechts auf Ihre neue Richtlinie und dann auf Zuweisen. 31

32 VPN L2TP Der L2TP Klient des Routers unterstützt zwei verschiedene Andwendungs-Verbindungstypen: 1. Aller Verkehr zu einem Fernsubnetz, z.b. ISP (Wir werden in diesem Dokument die ISP Verbindung verwenden) Heimbenutzer Subnetz: /24 L2TP Ihr lokales ISP POP Gateway IP: L2TP LNS Server IP: (Oder Hostname: ms4.hinet.net) L2TP Tunnel IP: Internet VPN Router WAN IP: (Dynamic IP/DHCP client) Remote DNS Server: geliefert vom L2TP PPP L2TP Tunnel IP (PPP zugeteilt): Verbindung zu einem Fernbüro. Es kann eine LAN-to-LAN Verbindung von Büro zu Büro oder ein Fernzugriff von zuhause auf das Fernnetzwerk sein. Büro (A) oder Heimbenutzer Subnetz: /24 Büro (B) Subnetz: /24 Internet VPN Router WAN IP: L2TP Tunnel IP (PPP zugeteilt): L2TP Tunnel L2TP LNS Server L2TP LNS Server IP: (oder Hostname: com) L2TP Tunnel IP:

33 IP L2TP PPP IP neue IP Überschrift L2TP Nachrichtenüberschrift PPP Überschrift ursprüngliche IP Überschrift IP payload Nachrichten-Nutzlast payload PPP Client+ LAC Internet L2TP Tunnel LNS PPP Client mit LAC L2TP Netzwerk Server LAN VPN/L2TP Client Eigenschaften: Unterstützt den L2TP Voluntary Tunneling Client, um Zugriff auf das Remote LAN zu erhalten Unterstützt fixe IP und dynamische IP (PPPoE, PPTP und DHCP Klienten) für L2TP Klient Verbindungen. Unterstützt DNS Serverkonfiguration für Tunnels bei einer Verbindung zum ISP. Die IP des Remote Gateways kann eine fixe IP oder ein Hostname sein. Benutzername und Passwort sind veränderbar. Spezielle Zeichen # und andere ASCII-Zeichen werden unterstützt, z.b. username#mydomain@hisdomain. Die maximale Länge beträgt 40 Zeichen. On-demand Verbindungsaufbau für eine LAN-zu-LAN/Fernzugriff Verbindung. Aller Verkehr vom lokalen LAN zum Remote LAN wird die L2TP Verbindung gemäss den Regeln auslösen. Verbindungsstatus-Seite und manuelles Aufbauen/Trennen der Verbindung. 33

34 Zwei Verbindungstypen werden unterstützt:.verbindung zu ISP: für Internetzugang von einem ISP.Verbindung zu einem Fern-Subnetz für Heimbenutzer, um auf ein anderes LAN zuzugreifen oder für LAN-zu-LAN Zugang zwischen zwei Büros. VPN/L2TP Klient Setup Führer: 1. Setup für eine ISP Verbindung ( All traffic to Tunnels ) Beispiel 1: Wir werden die ISP Verbindung aus Bild 1.1 hier als Beispiel verwenden. Die folgende Tabelle zeigt die notwenige Konfiguration: VPN Router lokale Netzwerk IP /24 DHCP Klient Lokale WAN IP (zugewiesene dynamische IP: ) Remote L2TP Server (LNS) Hostname: ms4.hinet.net ( oder ) Benutzername Passwort DNS Einstellungen abc#defgh.com@ijkl.com abc^_^or@_@* DNS Server IP automatisch beziehen vom L2TP PPP Vor der Einrichtung des VPN/L2TP Klients sollten Sie die lokale Netzwerk IP bei der LAN Tafel und die lokale WAN IP bei der WAN Tafel gemäss der Konfiguration oben einrichten. Danach gehen Sie bitte zur VPN/L2TP Seite und wählen Sie Enable. 34

35 Die VPN-L2TP Setup Seite wird erscheinen. Wählen Sie bitte bei VPN Connection Type die Option All Traffic to Tunnels (e.g., ISP). Dann konfigurieren Sie die Seite gemäss den Informationen in der Tabelle. L2TP Module: Um das ganze L2TP Modul zu de-/aktivieren. VPN Connection Type: Wählen Sie den VPN Verbindungstyp. Falls eine L2TP Verbindung zu ISP benutzt wird, wählen Sie bitte All Traffic to Tunnels (e.g., ISP). Bei Zugriff auf ein Fernnetzwerk wählen Sie bitte Traffic to Specific Remote Subnets (e.g., Remote Offices). 35

36 PPP Authentication Type: Sie können wählen zwischen AUTO (PPP oder CHAP), (nur) PPP, (nur) CHAP, NONE. User Name: Der Benutzername für den Zugang auf den Remote L2TP Server. Password: Das Passwort für den Zugang auf den Remote L2TP Server. Remote L2TP LNS Server IP or Host Name: Die öffentliche IP Adresse oder der Hostname des Remote L2TP Server Gerätes. Zum Beispiel ms4.hinet.net oder DNS Settings: Obtain DNS Address automatically: Die DNS Server werden automatisch durch die L2TP PPP Sessions zugewiesen. Use predefined DNS Addresses: Wenn dies ausgewählt ist, werden folgende DNS Einstellungen angezeigt. Dann können Sie eine vorgegebene bevorzugte/alternative DNS Adresse angeben. *Beachten Sie: Falls die PCs im lokalen LAN DNS Adresse automatisch zuweisen benützen, wird die DNS Übertragung im Router die eigene IP Adresse als DNS Server Adresse für die lokalen LAN PCs zuweisen. Wenn der Router DNS Anfragen von PCs im lokalen LAN empfängt, überträgt die DNS Übertragung diese DNS Anfragen zu den hier (automatisch oder manuell) zugewiesenen DNS Servern. Wenn alle Parameter richtig konfiguriert sind, drücken Sie Apply und dann Save Config, um alle Konfigurationsparameter zu speichern. Das System wird neu gestartet, um das L2TP Subsystem zu aktivieren (falls das L2TP Subsystem schon aktiviert ist, braucht das System nicht neu zu starten, ausser wenn Verbindungen aufgebaut werden). 2. Zugang zu einem Remote LAN Beispiel 2: Wir werden die LAN-to-LAN Verbindung zwischen 2 Büros wie in Bild 1.2 als Beispiel verwenden. Die folgende Tabelle zeigt die notwendige Konfiguration: VPN Router Remote L2TP Server Lokale Netzwerk ID / /24 36

37 Lokale WAN Gateway IP Remote Netzwerk ID / /24 Anwendungstyp LAN to LAN Remote L2TP Server Host Name: com ( (LNS) or ) Benutzername abc#defgh.com@ijkl.com Passwort abc^_^or@_@* Vor der Einrichtung des VPN/L2TP Klients sollten Sie die lokale Netzwerk IP bei der LAN Tafel und die lokale WAN IP bei der WAN Tafel gemäss der Konfiguration oben einrichten. Danach gehen Sie bitte zur VPN/L2TP Seite und wählen Sie Enable, falls Sie dies noch nicht getan haben. Wählen Sie bitte bei VPN Connection Type die Option traffic to Specific Remote Subnets (e.g. Remote Offices) und klicken Sie auf Add, um eine neue Regel hinzuzufügen. Folgende Setup-Seite wird erscheinen. Dann können Sie die Seite gemäss den Informationen in der Tabelle konfigurieren. Active: Um diese VPN Tunnel Einstellung zu aktivieren oder nicht. Remote L2TP LNS Server IP or Host Name: Die öffentliche IP Adresse oder der Hostname des Remote L2TP Servergerätes. Zum Beispiel com oder Remote Subnet: Das IP Subnetz der Remote LAN Umgebung. Zum Beispiel Remote Subnet Mask: Der Bereich von den Remote IPs kann festgelegt 37

38 werden. Zum Beispiel Application Type: Auswahlmöglichkeiten: LAN to LAN: Für eine L2TP Verbindung zwischen zwei Büros. So kann jedes Subnetz auf beiden Seiten das andere sehen und darauf zugreifen. Remote Access: Für den Aufbau einer L2TP Verbindung von einem Heimbenutzer, um Fernzugriff auf ein anderes LAN zu erhalten. PPP Authentication Type: Auswahlmöglichkeiten: AUTO (PPP oder CHAP), (nur) PPP, (nur) CHAP, NONE. User Name: Der Benutzername für den Zugang auf den Remote L2TP Server. Password: Das Passwort für den Zugang auf den Remote L2TP Server. Preassigned PPP IP Address(Option): Falls die vordefinierte IP Adresse des L2TP Tunnels bekannt ist, können Sie Ihn in dieses Feld eintragen. Beachten Sie aber: Falls der Remote L2TP PPP Server diese vordefinierte IP Adresse nicht akzeptiert, kann die L2TP PPP Verbindung fehlschlagen. Nachdem Sie die Regel fertig editiert haben, drücken Sie den OK Button, um zu der Seite mit den aufgelisteten Regeln zurückzukehren. Wenn alle Parameter richtig konfiguriert sind, drücken Sie Apply und dann Save Config, um alle Konfigurationsparameter zu speichern. Das System wird neu gestartet, um das L2TP Subsystem zu aktivieren (falls das L2TP Subsystem schon aktiviert ist, braucht das System nicht neu zu starten, ausser wenn Verbindungen aufgebaut werden). 38

39 L2TP Module: Um das ganze L2TP Modul zu de-/aktivieren. VPN Connection Type: Wählen Sie den VPN Verbindungstyp. Falls eine L2TP Verbindung zu ISP benutzt wird, wählen Sie bitte All Traffic to Tunnels (e.g., ISP). Bei Zugriff auf ein Fernnetzwerk wählen Sie bitte Traffic to Specific Remote Subnets (e.g., Remote Offices). PPP Authentication Type: Sie können wählen zwischen AUTO (PPP oder CHAP), (nur) PPP, (nur) CHAP, NONE. User Name: Der Benutzername für den Zugang auf den Remote L2TP Server. Password: Das Passwort für den Zugang auf den Remote L2TP Server. Remote L2TP LNS Server IP or Host Name: Die öffentliche IP Adresse oder der Hostname des Remote L2TP Server Gerätes. Zum Beispiel ms4.hinet.net oder DNS Settings: Obtain DNS Address automatically: Die DNS Server werden automatisch durch die L2TP PPP Sessions zugewiesen. Use predefined DNS Addresses: Wenn dies ausgewählt ist, werden folgende DNS Einstellungen angezeigt. Dann können Sie eine vorgegebene bevorzugte/alternative DNS Adresse angeben. 39

40 * Beachten Sie: Falls die PCs im lokalen LAN DNS Adresse automatisch zuweisen benützen, wird die DNS Übertragung im Router die eigene IP Adresse als DNS Server Adresse für die lokalen LAN PCs zuweisen. Wenn der Router DNS Anfragen von PCs im lokalen LAN empfängt, überträgt die DNS Übertragung diese DNS Anfragen zu den hier (automatisch oder manuell) zugewiesenen DNS Servern. Wenn alle Parameter richtig konfiguriert sind, drücken Sie Apply und dann Save Config, um alle Konfigurationsparameter zu speichern. Das System wird neu gestartet, um das L2TP Subsystem zu aktivieren (falls das L2TP Subsystem schon aktiviert ist, braucht das System nicht neu zu starten, ausser wenn Verbindungen aufgebaut werden). VPN Verbindungsstatus: Es kann sein, dass Sie die Verbindung für jede Regel für L2TP und IPSec kontrollieren möchten. Die VPN Verbindungsstatus Seite liefert Statusinformationen über die Verbindungen (hier achten wir nur auf L2TP. Für IPSec vergleichen Sie bitte mit den dazugehörigen Dokumenten). Die folgenden zwei Bilder zeigen den Verbindungsstatus für die obigen Beispiele. L2TP Verbindungsstatus für Beispiel 1 (ISP Verbindungen): L2TP Verbindungsstatus für Beispiel 2 (Zugriff auf ein Remote LAN): 40

41 Protocol: Sollte hier L2TP sein. Rule No: Zeigt die entsprechende Regel auf de VPN-IPSec und VPN-L2TP Seiten an. Für die L2TP ISP Verbindung ist es leer (N/A). Remote Gateway: Die öffentliche IP Adresse oder der Hostname des Remote VPN L2TP Servers. Falls der Hostname benutzt wird und die entsprechende IP Adresse durch DNS nicht aufgelöst werden kann, wird angezeigt, wie in der folgenden Graphik. Remote network: Das IP Netzwerk der Fernnetzwerkumgebung, Netzwerk ID und die Maske. Bei einer Verbindung zu ISP wird es nicht spezifiziert. Connect Type: Wenn die Verbindung aufgebaut ist, wird der Verbindungstyp dieses Kanals so wie in der folgenden Graphik angezeigt. Connect Time: Die Zeit, seit der die Verbindung läuft. Tx Packets: Während der Verbindung gesendete Pakete. Rx Packets: Während der Verbindung empfangen Pakete. Connect Status: Zeigt den Verbindungsstatus der Regeln. Folgende 41

42 Anzeigen sind möglich: Not Connected, Connecting, Connected oder Disconnecting. Es kann in diesem Feld einen Connect oder drop Button vorhanden sein. Sie können manuell die Verbindung aufbauen oder trennen, neben dem on-demand Verbindungsaufbau, wenn Datenverkehr vorhanden ist, der den Regeln entspricht. Es kann auch kein Button in diesem Feld sein. Zum Beispiel, wenn keine IP Adresse für den lokalen Gateway vorhanden ist (z.b., die dynamische WAN IP kann nicht von einem DHCP Server bezogen werden. Somit gibt es keine gültige WAN IP Adresse für diesen Router), wird Not Connected(No Valid WAN IP) angezeigt. Wenn der Status Not Connected ist, werden weitere Nachrichten geliefert: No Valid WAN IP: wie oben erklärt Can not Resolve Remote Domain Name: Falls die IP Werte des Remote Gateway ein Domänennamen ist und beim Versuch, eine L2TP Verbindung zum Server aufzubauen, nicht aufgelöst werden kann. No Response From Peer:SCCRQ: Es ist nicht möglich, eine L2TP Kontrollverbindung mit dem Remote Server aufzubauen. No Response From Peer:SCCCN: Es ist nicht möglich, eine L2TP Rufverbindung mit dem Remote Server aufzubauen (Kontrollverbindungen sind erstellt). Authentication Failed: L2TP Tunnels sind erstellt. PPP ist gestartet, scheiterte aber in der PPP Authentisierungsphase. User Drop Connection: L2TP Tunnels wurden manuell getrennt. Peer Drop Connection: L2TP Tunnels wurden durch den Remote Server getrennt. Normal: L2TP Tunnels sind noch nicht aufgebaut, in einem Anfangsstadium. Refresh time: Sie können das Zeitintervall festlegen, während dem die IKE Verbindungsstatus Seite aktualisiert werden soll. Oder Sie können den Refresh Button drücken, um die Seite sofort zu aktualisieren. 42