Site-To-Site VPN Anleitung IAAS Smart <-> IAAS Premium. Version: 1.0

Transkript

1 Site-To-Site VPN Anleitung IAAS Smart <-> IAAS Premium Version: 1.0

2 Inhaltsverzeichnis Inhaltsverzeichnis... ii 1 Einleitung Vorraussetzungen IPFire Firewall vcloud Director Konfiguration des Edge Gateway im vcloud Director Nützliche Hinweise im Edge-Gateway des vcloud Director Link Konfiguration eines Site-to-Site VPN auf einer IPFire - Firewall Prüfung der Funktion vcloud Director IPFire Client Systeme ii 2

3 1 Einleitung Dieses Dokument beschreibt die Konfiguration eines Site-to-Site VPN zwischen einer IpFire Firewall (IaaS smart) und einem Edge Gateway in einem vcloud Director (IaaS premium). Grundsätzlich können auch andere Endgeräte als VPN-Endpunkte konfiguriert werden. In diesem Fall kann dieses Dokument Hinweise geben, wie die Konfiguration erfolgen kann. Im Einzelfall werden aber immer wieder Anpassungen erforderlich sein. In diesem Beispiel werden 2 Standorte mit jeweils einem lokalen, privaten Subnetz miteinander verbunden. Seite 3 von 11

4 2 Vorraussetzungen 2.1 IPFire Firewall Eine installierte Instanz einer IPFire Firewall: mindestens eine öffentlich IP Adresse (Interface RED) ein lokales IP-Subnetz (Interface GREEN) Zugriff auf das Webinterface der Firewall ( 2.2 vcloud Director Zugang zum vcloud Director ( Ein Organisations-vDC mindestens ein VDC-Organisationsnetzwerk Edge Gateway mindestens eine öffentlich IP Adresse (Externe IP-Zuweisung) 3 Konfiguration des Edge Gateway im vcloud Director Im Contextmenu des Edge-Gateway wählt man die Funktion "Edge-Gateway Dienste" Seite 4 von 11

5 In der oberen Menuleiste wählt man die Funktion "VPN" Die VPN Funktion kann mit der Checkbox aktiviert. Mit einem Klick auf "Öffentliche Netze" gelangt man in ein Dialogfeld, in dem eine IP Adresse für den lokalen Tunnel-Endpunkt vergeben wird. Verwenden Sie dazu eine der Ihnen zugewiesenen öffentlichen IP Adressen. Über die Funktion "Hinzufügen" am unteren Bildschirmrand kann ein neuer Tunnelendpunkt angelegt werden. Vergeben Sie einen Namen und wählen aus dem Listenmenu "VPN herstellen zu" das Remotenetzwerk aus. Diese Einstellung verändert die nachfolgenden Menüpunkte und sollte daher zuerst ausgeführt werden. Wählen Sie die Lokalen Netze aus der Auswahlliste aus. Auch wenn nur ein einziges Lokales Netzwerk vorhanden ist, muss es durch einen Mausklick ausgewählt werden, da sich sonst das Dialogfeld nicht schließen lässt. Die Netze auf der anderen Seite des Tunnels müssen in das darunterliegende Freitextfeld eingegeben werden. Achten Sie darauf, dass die Definitionen der lokalen Netze auf beiden Tunnelendpunkten übereinstimmen, da andernfalls kein Tunnel aufgebaut wird. Seite 5 von 11

6 Definieren Sie die lokalen und entfernten Endpunkte des VPN Tunnels. Der lokale Endpunkt muss in den meisten Fällen nicht gewählt werden. Die Ausliste enthält normalerweise nur eine einzige Option. Als Lokale- und Peer-ID können die IP Adressen der Endpunkte verwendet werden. Ein kleiner Text unterhalb der Eingabefelder enthält zusätzliche Informationen. Als Verschlüsselungsprotokoll wählen Sie "AES-256". Der gemeinsam verwendete Schlüssel sollte eine einmalige und nur Ihnen bekannte Zeichenkette sein. Diese wird später auf der anderen Seite des Tunnel konfiguriert. Seite 6 von 11

7 Weitere Parameter sind in den Menüs nicht konfigurierbar. Trotzdem ist es für den Aufbau eines VPN Tunnel erforderlich die exakt identischen Parameter auf beiden Seiten des Tunnels zu verwenden. Die folgenden Parameter sind im Edge Gateway fest vorgegeben: Phase 1: IKEv2 AES256 SHA1 Lifetime 8h Group 2 (MODP-1024) Phase 2: AES256 SHA1 Lifetime 1h Group 2 (MODP-1024) Perfect forward secrecy (PFS) enabled 4 Nützliche Hinweise im Edge-Gateway des vcloud Director 4.1 Link Seite 7 von 11

8 5 Konfiguration eines Site-to-Site VPN auf einer IPFire - Firewall Im Hauptmenü der Web-Oberfläche wählt man unter "Services" den Punkt "IPSEC" Im ersten Eingabefeld trägt man den DNS-Namen oder die IP Adresse des öffentlichen Interface ein und setzt ein Häkchen bei "Enabled". Achtung: Standardmäßig ist hier der FQDN zum Zeitpunkt der Erstinstallation vordefiniert. Sollte sich die öffentliche IP Adresse nach der Installation geändert haben, muss dieser Eintrag korrigiert werden. Diese Einstellungen müssen zunächst mit Save gesichert werden. Danach kann man im Bereich "Connection Status and -Control" mit Save eine neue Verbindung anlegen. Der Connection Type ist in diesem Beispiel das " Net-to-Net Virtual Private Network". Mit "ADD" gelangt man auf die nächste Konfigurationsseite. Seite 8 von 11

9 Im Connection Menü vergibt man zunächst einen beliebigen Namen. Das Häkchen bei "Enabled" ist bereits per Default gesetzt. Unter "Local subnet" ist bereits der IP Bereich des GREEN-Interface vordefiniert. Dies muss normalerweise nicht mehr geändert werden. Unter "Remote host/ip" wird die IP Adresse oder der FQDN der Gegenstelle, in diesem Fall also das Edge Gateway des vcloud Directors, eingegeben. Das "Remote Subnet" ist das private Netz innerhalb der vcloud Director Umgebung, in diesem Beispiel also / Die Local- und Remote-ID müssen nicht zwingend angegeben werden. Das Häkchen bei "Edit advanced settings" muss aktiviert werden, da wir in einem zusätzlichen Menü die Parameter für die IPSEC Verschlüsselung vorgeben müssen. Unter "Authentication - Use a preshared key" wird die Zeichenfolge die auf dem Edge-Gateway als "Gemeinsam verwendeter Schlüssel" angegeben wurde, eingetragen. Im Avanced Menü müssen jetzt die gleichen Parameter angegeben werden, wie sie auf der gegenüberliegenden Seite des Tunnels verwendet werden. Für eine Verbindung zu einem Edge-Gateway verwenden Sie möglichst exakt die Einstellungen, wie sie in diesem Screenshot gezeigt werden. Achtung: Auch die Einstellungen für den Kexexchange und die Lifetime weichen von der Default Konfiguration ab und müssen angepasst werden! Seite 9 von 11

10 6 Prüfung der Funktion 6.1 vcloud Director Im Dienste Menü des Edge findet man unter dem Reiter "VPN" eine Anzeige des Status. Leider wird diese oft als fehlerhaft angezeigt, obwohl eine funktionierende Verbindung besteht. Dies ist ein bekanntestes Problem und wird voraussichtlich in einer späteren Version des vcloud Directors beseitigt. Seite 10 von 11

11 6.2 IPFire Im Hauptmenü der IPFire Firewall findet man eine Übersicht der bestehenden VPN Verbindungen. Im Menü "Services - IPSEC" findet man eine vergleichbare Übersicht. 6.3 Client Systeme In diesem Beispiel kann ein Clientsystem aus dem /24 Netz (Edge Gateway) ein Clientsystem im /24 Netz (IPFire) erreichen. Seite 11 von 11