IPSec-VPN site-to-site. Zyxel USG Firewall-Serie ab Firmware-Version Knowledge Base KB-3514 September Zyxel Communication Corp.

Transkript

1 Zyxel USG Firewall-Serie ab Firmware-Version 4.20 Knowledge Base KB-3514 September 2016 Zyxel Communication Corp.

2 IPSEC-VPN SITE-TO-SITE Virtual Private Network (VPN) erstellt einen sicheren, verschlüsselten Tunnel durch das öffentlichen Internet. Der Tunnel zwei lokale, private Netze (site-to-site). VPN-Tunnel WAN: Subnetz: WAN: Subnetz: Adress-Objekte anlegen USG (Dtandort 1) > Configuration > Object > Address / GeoIP > Address > Add definiert Adress-Objekte, welche später zum Konfigurieren der Phase 2 (VPN Connection) der beiden Standorte benötigt werden. Die beiden Adress-Objekte beschreiben das lokale und das entfernte Netzwerk. Sie bestimmen, welche Netzwerkadressen durch den Tunnel kommunizieren dürfen. Die gleichen Objekte werden auch auf der gegenüber liegenden Firewall erstellt, jedoch in vertauschter Reihenfolge eingesetzt. 2

3 Phase 1 (VPN Gateway) konfigurieren USG (Standort 1) > Configuration > VPN > IPSec VPN > VPN Gateway > IPv4 Configuration > Add > Show Advanced Settings definiert zwischen den beiden Standorten die TunnelVerbindung. *Falls ein Provider-Anschluss mit Login und Passwort vorliegt, muss als Interface wan1_ppp gewählt werden. *eigenes wan Interface für den Tunnelaufbau Entferntes wan Interface IP-Zieladresse für den Tunnelaufbau Schlüssel für Verschlüsselung NAT Traversal wird nur aktiviert, wenn sich der VPN-Client (Firewall) hinter einem Router mit aktivem NAT befindet und IKEv1 im Einsatz steht. Dead Peer Detection (DPD) hilft einseitig beendete (abgebrochene) Tunnels zu erkennen und erleichtert den schnellen Wiederaufbau. 3

4 Phase 2 (VPN Connection) konfigurieren USG (Standort 1) > Configuration > VPN > IPSec VPN > VPN Connection > IPv4 Configuration > Add > Show Advanced Settings definiert die Verbindung in die lokalen Netze. General Settings > Nailed-Up hält den Tunnel immer aufrecht. Wichtig ist, dass die Funktion nur auf einer Seite aktiviert wird. Üblicherweise am Standort mit dynamisch zugewiesener IPAdresse. 4

5 USG Standort 1 > Configuration > VPN > IPSec VPN > VPN Connection > Global Settings Ignore Don t Fragment setting in IP header Falls ein erstellter Tunnel erfolgreich verbindet jedoch keine Daten durchgehen, dann sind womöglich die Pakete zu gross. Aktivieren Sie diese Option um die Daten dennoch zu fragmentieren. Der MTU eines Tunnels ist 40 Bytes kleiner als der MTU der Ethernet Schnittstelle. Um unnötige Fragmentierung zu verhindern, kann die Maximum Segment Size (MSS) in der Phase 2 entsprechend tiefer festgelegt werden. Proposal in Phase 2 Settings Diese Verschlüsselungsmethode wird für die eigentliche Datenübertragung angewendet. Die Verschlüsselungsart für den Verbindungsaufbau wird bereits in Phase 1 definiert. Für die Datenübermittlung kann durchaus eine höhere Verschlüsselungsmethode wie 3DES oder AES zur Anwendung gelangen. Je stärker die Verschlüsselung, desto höher wird die Belastung von Client und der Firewall. 5

6 Tunnel aufbauen und Verbindung prüfen USG Standort 1 > Configuration > VPN > IPSec VPN > VPN Connection > IPv4 Configuration ermöglicht die Verbindung manuell aufzubauen oder diese zu auch zu deaktivieren. Im Normalfall wird der Tunnel jedoch automatisch hochgefahren. Der Befehl ipconfig zeigt in der Kommandozeile die eigene Adapter-Konfiguration an. Ein Ping zur gegenüber liegenden Firewall oder einem Endgerät endet erfolgreich. Lokale IP-Adresse des Clients Ping auf entferntes laninterface der Firewall Ping auf Rechner im entfernten Netzwerk. Wird in der StandardKonfiguration von Windows geblockt > Windows > Firewall 6

7 USG > Monitor > VPN Monitor > IPSec > Current IPSec Security Association gibt Auskunft über aktiv existierende Tunnelverbindungen. Direkt aus diesem Menüpunkt lässt sich die Erreichbarkeit eines Endgerätes überprüfen: Das Log der USG führt weitere Informationen zum Tunnelaufbau, unterteilt in die Phase 1 und Phase 2, auf. 7