Fernwartung über den Compact-Server CS200

Transkript

1 Fernwartung über den Compact-Server CS200 Dipl.-Ing. Volker Schulze, ISK-Automation GmbH 1. Aufgabenstellung Es soll eine CS200-vermittelte VPN-Kopplung zwischen einem Fernwartungs-PC und dem LAN1Subnetz eines CR230U konfiguriert und getestet werden. Zur Lösung dieser Aufgabe sind folgende Teilaufgaben abzuarbeiten: 1. Verbinden des VPN-Servers CS200 mit dem Internet. 2. Allgemeine OpenVPN-Server-Konfigurationen. 3. Konfiguration eines Fernwartungs-PCs und eines Subnet-Routers im CS200. Für den Fernwartungs-PC benutzen wir den Namen: Sniffer1. Für das LAN1-Subnetz des CR230U den Namen: UMTS-Subnet1. 4. Konfiguration aller Zugriffsrechte im CS200. Sniffer1 soll Zugriff auf UMTS-Subnet1 erhalten und auch der Rückweg UMTS-Subnet1 Sniffer1 soll freigeschaltet werden, da jeder Datenaustausch (z.b. ping-befehl) immer beide Zugriffsrichtungen benötigt. Außerdem soll der Fernwartungs-PC die Erlaubnis erhalten, den CS200 zu konfigurieren. 5. Download aller im CS200 erzeugten Zertifikatedateien, der Firewalldatei für den CR230U und der Konfigurationsdatei für den Ferwartungs-PC. 6. Laden des CR230U mit der neu erzeugten Zertifikate- und Firewalldatei. 7. Laden des Fernwartungs-PCs mit der für ihn vorbereiteten Konfigurations- und Zertifikatedatei. 8. Test der VPN-Verbindungen. 9. Test, ob der Fernwartungs-PC Zugriff auf die Konfigurationsseiten des CS200 hat.

2 2. Netzwerkstruktur der Fernwartung mit Beispieladressen Internet Internetzugang (z..b. Speedport W701V) CS200A CR230UFernwartungsrouter LAN1: /24 Fernwartungs-PC: Sniffer1 global (VPN): /32 Fernwartungs-Subnetz: UMTS-Subnet1 global (VPN): /24 lokal: /24 def.-gw: IO1: /24 def.gw.: IO2: /24 def.gw.: IO3: /24 def.gw.: Testzugriffe: PC CR230U PC IO1: PC IO2: PC IO3: IO1 IO2: ping ping ping ping ping (globaler VPN-Zugriff) (globaler VPN-Zugriff) (globaler VPN-Zugriff) (globaler VPN-Zugriff) (lokaler Zugriff)

3 Tipp1: Ein globaler Zugriff ist ein VPN-Zugriff auf ein Fernwartungs-Subnetz über das Internet. Ein lokaler Zugriff ist ein Zugriff innerhalb eines Fernwartungs-Subnetzes. Tipp2: Die globale IP-Adresse Ihres Fernwartungs-Subnetzes ist für jeden am CS200 arbeitenden Router einmalig und wird vom CS200 vorgegeben. Diese Adresse ist Bestandteil des Dateinamens aller CS200generierten Zertifikate. Tipp3: So finden Sie die Zieladresse für einen globalen Zugriff auf den Teilnehmer IO1 Ihres Fernwartungs-Subnetzes: globale Adresse des Fernwartungs-Subnetzes: gesuchte Zieladresse: lokale Adresse des Teilnehmers IO1: / /24 Tipp4: Durch die Zuordnung der globalen IP-Adresse zur lokalen IP-Adresse des FernwartungsSubnetzes können Sie die lokale IP-Adresse frei konfigurieren, ohne Rücksicht auf später hinzukommende Fernwartungs-Subnetze nehmen zu müssen. Tipp5: Das LAN2 des CR230U ist von der Fernwartung getrennt und kann für lokale Teilnehmer benutzt werden, auf die die Fernwartung nicht zugreifen darf (z.b. PCs). LAN2-Teilnehmer können mit LAN1-Teilnehmern kommunizieren. Tipp6: LAN1- und LAN2-Teilnehmer des CR230U können das Internet benutzen.

4 3. Checkliste zur Inbetriebnahme der Fernwartungs-Aufgabenstellung 3.1. Verbinden des VPN-Servers CS200 mit dem Internet (Bild1, Bild2) Verbinden Sie den CS-200 über ETH1 mit Ihrem Netzwerk. ETH1 ist im Auslieferungszustand auf die feste IP-Adresse vorkonfiguriert. Wählen Sie sich über mit dem Login Password: admin in die Konfigurationsseiten des CS200 ein. Passen Sie zuerst die Parameter unter General LAN Configuration an Ihre konkrete Netzwerksituation an. Im Beispiel arbeitet der CS200 mit einer fest eingestellten IP-Adresse (siehe Bild1). Sie können auch den DHCP-Server Ihres Netzes zur Adresszuweisung benutzen (CS200-Parameter: DHCP-client ). Achten Sie in diesem Fall darauf, dass Ihnen der DHCP-Server nicht ein Subnetz für ETH1 zuweist, dass sich mit dem fest konfigurierten Subnetz für ETH2 überlappt. Falls Sie lieber, wie hier im Beispiel, mit festen IP-Adressen arbeiten, haken Sie zunächst die CS200-Parameter Use a DNS server address und Use a gateway address an und setzen anschließend Primary DNS Server und Default Gateway auf den Wert der IP-Adresse Ihres Internet-Routers. Zum Speichern und Aktivieren der geänderten Parameter betätigen Sie die ApplyTaste. Sobald der Cursor von der Waitform wieder in die Normalform wechselt, sind die Parameter gespeichert und aktiviert. Damit der CS200 auch aus dem Internet erreichbar ist, müssen Sie in Ihrem Internetrouter den VPN-Standardport 1194 und den https-port 443 auf die IP-Adresse des CS200 ( ) forwarden (siehe Bild2). Hier die IP-Adresse Ihres Internetrouters eintragen. Hier ebenfalls die IP-Adresse Ihres Internetrouters eintragen. Bild1 CS200-LAN-Konfiguration

5 Bild2 Portforwarding des OpenVPN-Ports und des https-ports auf den CS200. Hier am Beispiel eines Speedport W 701V, der den Internetzugang herstellt. Achten Sie darauf, dass Ihr Internetrouter einen DSL-Vertrag mit fixer public IP hat, damit Sie ihn aus dem Internet erreichen können Allgemeine OpenVPN-Server-Konfigurationen (Bild3-4) Bild3 Public IP des Internet-Zugangs konfigurieren.

6 Wichtig ist hier die fixe-public-ip des Internet-Zugangs. Alle anderen Parameter können auf den Vorgabewerten stehen bleiben (siehe Online-Kommentare zu diesen Parametern). Der CS200 benötigt die fixe-public-ip als Parameter, da er eine Konfigurationsdatei für den Fernwartungs-PC erzeugt. Tipp: Falls Sie derzeit noch keinen DSL-Vertrag mit fixer-public-ip haben, sondern nur einen mit dynamischer-public-ip, können Sie über einen speziellen DNS-Server (z.b. DYNDNS) Ihre dynamische IP zyklisch zwischenspeichern. Sehr viele Internetrouter bieten eine DYNDNS-Konfigurationsmöglichkeit, so auch der im Bild2 verwendete Speedport W 701V. Bild4 CA Generation Die CA Generation (CA...certificate authority) ist Voraussetzung für die Erzeugung von OpenVPNZertifikaten durch den CS200. Prinzipiell könnten Sie die CA des Auslieferungszustandes unverändert lassen, allerdings sind dann nicht Ihre Firmendaten in den erzeugten Zertifikaten enthalten. Füllen Sie also alle Felder mit Ihren Daten und betätigen Sie den Apply-Button. Achtung: Die Erzeugung des CA-Zertifikates kann bis zu 20Minuten dauern, da hier komplizierte Zufallszahlengeneratoren im Hintergrund laufen. Sie bekommen 2 Warntafeln beim Betätigen des Apply-Schalters, da die CA-Erzeugung sämtliche schon erzeugten Zertifikate im CS200 unwiderruflich löscht. Diese Operation wird man also nur bei der ersten Inbetriebnahme des CS200 einmal durchlaufen.

7 3.3. Konfiguration eines Fernwartungs-PCs und eines Subnet-Routers im CS200 (Bild 5-7) Für den Fernwartungs-PC benutzen wir den Namen: Sniffer1. Für das LAN1-Subnetz des CR230U den Namen: UMTS-Subnet1. Die eigentliche Konfiguration ist sehr einfach (s. Bild5-7). Die globale Subnet-IP wird grundsätzlich vom System vergeben. Dadurch werden doppelte SubnetIPs im System verhindert. Gleiches gilt für die globale Road-Warrior-IP. Wenn Sie die Konfiguration nach Bild5 bis 7 einmal durchlaufen haben, bekommen Sie schnell einen Eindruck, in welch kurzer Zeit man eine globale Fernwartung mit verteilten FernwartungsPCs und verteilten Subnetzen aufbauen kann. Die Konfigurationssoftware benutzt den VPN-Begriff Road Warrior für alle Fernwartungs-PCs. Anstelle eines Fernwartungs-PCs kann aber auch ein Industrie-PC mit Steuerungsfunktionen als Teilnehmer verwendet werden. Auch beliebige OpenVPN-Router sind in dieser Betriebsart nutzbar, müssen dann aber über Portforwarding zur IO-Zieladresse geführt werden. Beachten Sie, dass die Inbetriebnahme von Port-Forwarding-Routern nicht schrittweise erfolgen kann und daher ungleich schwerer ist als die Inbetriebnahme des hier eingesetzten Routers für Subnetkopplung (CR230U). Bild5 Auswahl des vorkonfigurierten Projekt1 aus der Projektliste. 1 Bild6 Erzeugen eines neuen Subnetzes mit dem frei vergebbaren Namen UMTS-Subnet1 Die globale Subnet IP wird vom System vergeben (nicht editierbar).

8 Bild7 Erzeugen eines neuen Fernwartungs-PCs mit dem frei vergebbaren Namen Sniffer1 Die globale Road Warrior IP wird vom System vergeben (nicht editierbar) Konfiguration aller Zugriffsrechte im CS200 (Bild 8-11) Wie in der Aufgabenstellung festgelegt, soll der Fernwartungs-PC Sniffer1 Zugriff auf das Subnetz UMTS-Subnet1 erhalten und auch der Rückweg UMTS-Subnet1 Sniffer1 soll freigeschaltet werden, da jeder Datenaustausch (z.b. ping-befehl) immer beide Zugriffsrichtungen benötigt. Außerdem soll der Fernwartungs-PC die Erlaubnis erhalten, den CS200 zu konfigurieren. 1 Bild 8 Das konfigurierte UMTS-Subnet1 erscheint in der Subnet-Table. Mit Edit konfigurieren wir die Zugriffsrechte.

9 1 Bild9 Zugriffsrecht vom UMTS-Subnet1 zum Fernwartungs-PC Sniffer1 aktivieren. Bild10 Der Fernwartungs-PC Sniffer1 erscheint in der RW Table (Road-Warrior-Tabelle). Mit Edit konfigurieren wir die Zugriffsrechte. 1: Bild11 Zugriffsrecht vom Fernwartungs-PC Sniffer1 zum UMTS-Subnet1 konfigurieren und Zugriffsrecht zur Konfiguration des CS200 erteilen (Enable/Disable CRASER-Config-Access).

10 3.5. Download aller im CS200 erzeugten Zertifikate- Firewall- und Konfigurationsdateien (Bild12-13). Während der bisherigen CS200-Konfiguration sind 4 Dateien enstanden: - Die Zertifikatedatei für den CR230U: - die Firewalldatei für den CR230U: - die Zertifikatedatei für den Fernwartungs-PC: - die Konfigurationsdatei für den Fernwartungs-PC: UMTS-Subnet1( ).p12 UMTS-Subnet1( ).sh Sniffer1( ).p12 Sniffer1( ).ovpn Alle 4 Dateien werden jetzt gedownloadet: 1 Bild12 Download der Firewalldatei und der Zertifikatedatei für den CR230U. Bild13 Download der Konfigurationsdatei und der Zertifikatedatei für den Fernwartungs-PC.

11 3.6. Laden des CR230U mit der neu erzeugten Zertifikate- und Firewalldatei. (Bild14-15) Hier können wir uns kurz fassen, denn für den CR230U gibt es bereits unseren Applikationsbericht Fernwartung-UMTS.pdf. Dort ist die Konfiguration des WAN- und LAN-Interfaces erklärt, so dass hier nur kurz die Dateiladeoperationen für Firewall und Zertifikat beschrieben werden muss: Bild14: Firewalldatei UMTS-Subnet1( ).sh in den CR230U laden Bild15: Zertifikatedatei UMTS-Subnet1( ).p12 in den CR230U laden. Bitte beachten Sie die Reihenfolge (1. bis 6.) beim Importieren eines Zertifikates. Der Parameter Server address erhält die fixe public IP des Internetrouters, an den der CS200 gekoppelt ist. In unserem Beispiel ist dies die Internetadresse des Speedport W701V.

12 3.7. Laden des Fernwartungs-PCs mit der für ihn vorbereiteten Konfigurations- und Zertifikatedatei. Die Zertifikatedatei für den Fernwartungs-PC Sniffer1( ).p12 und die Konfigurationsdatei für den Fernwartungs-PC: Sniffer1( ).ovpn werden in das Verzeichnis C:\Program Files\OpenVPN\config (WIN7-PC) kopiert. Unterhalb des config-verzeichnisses kann auch ein Unterverzeichnis mit einem frei vergebenen Namen angelegt werden. Wenn Sie die Dateien in dieses Unterverzeichnis kopieren, haben Sie eine bessere Übersicht, da später meist viele Zertifikate auf dem PC gespeichert sein werden. Falls Sie mit der OpenVPN-GUI-Software für WIN-PCs noch nicht vertraut sind, lesen Sie unseren Applikationsbericht VPN_PC_Client_Install.pdf Test der VPN-Verbindungen (Bild 16-18) Starten Sie den fertig konfigurierten CR230U. Wenn alles richtig konfiguriert ist, baut dieser nach dem Booten eine VPN-Verbindung zum CS200 auf. Sie können das am CS200 kontrollieren (Bild16). Starten Sie die OpenVPN-GUI-Software auf dem Fernwartungs-PC. Bei WIN7 muss diese Software im Administratormode gestartet werden, da der CS200 nach der VPNVerbindungsaufnahme automatisch die Fernwartungsrouten im WIN-PC einrichtet. Durch die automatisch eingerichteten Fernwartungsrouten ist der PC sofort nach der Verbindungsaufnahme pingbereit. Auch hier können Sie im CS200 kontrollieren, ob die VPN-Verbindung steht (Bild17). 1 Bild16 Der CR230U hat eine VPN-Verbindung zum CS200 aufgebaut. Bild17 Der Fernwartungs-PC Sniffer1 hat eine VPN-Verbindung zum CS200 aufgebaut.

13 Bild18 Falls es beim VPN-Verbindungsaufbau zu Problemen kommt, finden Sie die Ursache im VPN-Logfile. Den direkten Zugriff auf die Zieladressen testen Sie, indem Sie die folgenden ping-befehle abarbeiten. Testzugriffe: PC CR230U PC IO1: PC IO2: PC IO3: ping ping ping ping Sollten diese ping-befehle keine Antwort zurückgeben, überprüfen Sie Folgendes: - Korrekte Konfiguration der Standard-Gatewayadresse auf den Stationen IO1 bis IO3 - VPN-Verbindung zum CS200 (Bild 16,17,18) - Korrekte Konfiguration der Zugriffsrechte im CS200 (Bild8-11) - Wurde die korrekte Firewalldatei in den CR230U geladen (Bild14)? - Wurde das korrekte Zertifikat in den CR230U geladen (Bild15)? - Wurde das korrekte Zertifikat im WinPC installiert? - Wurde das korrekte Konfigfile im WinPC installiert? - Wurde die OpenVPN-GUI-Software im WIN7-PC im Administratormode gestartet? Falls nicht, folgendermaßen vorgehen: OpenVPN-GUI-Software beenden, rechte Maustaste auf OpenVPN-GUI-Icon, Kommando im Administratormode starten ausführen - WIN-PC hat die automatische Einrichtung der Fernwartungsrouten blockiert. Geben sie den Befehl route print und prüfen Sie, ob Sie die Fernwartungsrouten in der Tabelle finden. - OpenVPN-GUI-Logfile im WIN-PC auswerten: - rechte Maustaste auf OpenVPN-GUI-Icon - Verbindungsname mit Mauszeiger berühren, Kommando View Log anclicken, Logfile studieren.

14 Tipp: Die Reihenfolge der Testzugriffe (ping-befehle) wurde bewusst so gewählt, dass zuerst der Subnet-Router (CR230U) getestet wird und danach erst die IO-Teilnehmer. Somit ist eine schrittweise Inbetriebnahme Ihrer Fernwartungsanwendung möglich. In der Praxis zeigt sich, dass sich mit dieser Methode Konfigurationsfehler schnell eingrenzen lassen. Dagegen müssen Fernwartungslösungen mit beliebigen Portforwarding-Routern auf den ping-test gänzlich verzichten und erfordern daher einen wesentlich größeren Zeitaufwand bei der Inbetriebnahme Test, ob der Fernwartungs-PC Zugriff auf die Konfigurationsseiten des CS200 hat Für diesen Test muss die OpenVPN-GUI-Software auf dem Fernwartungs-PC gestartet sein und der VPN-Tunnel zum CS200 aktiv sein. Dann zum Test folgende URL verwenden: Daraufhin meldet sich der CS200 mit seiner Login-Seite. In der Hoffnung, dass Ihnen der CS200 neue Möglichkeiten bei der Realisierung Ihrer Fernwartungsprojekte eröffnet, wünsche ich Ihnen viel Erfolg. Ihr Dipl.-Ing. Volker Schulze, ISK-Automation GmbH, Softwareentwicklung