R&S GP-U gateprotect Firewall How-To

Transkript

1 gateprotect Firewall How-To Konfiguration eines VPN-SSL-Client-to-Site-Tunnels zu einem ios-gerät (T^X33) Cyber-Sicherheit How-To

2 2017 Rohde & Schwarz Cybersecurity GmbH Mühldorfstraße 15, München, Deutschland Telefon: +49 (0) Internet: cybersecurity.rohde-schwarz.com Änderungen vorbehalten Daten ohne Genauigkeitsangabe sind unverbindlich. R&S ist ein eingetragenes Warenzeichen der Firma Rohde & Schwarz GmbH & Co. KG. Eigennamen sind Warenzeichen der jeweiligen Eigentümer.

3 Einleitung 1 Einleitung Im Folgenden wird die Einrichtung eines VPN-Tunnels mittels SSL Client-to-Site zwischen einer gateprotect Firewall und einem ios-gerät (ab ios Version 9.3.5) am Beispiel eines iphones und der App OpenVPN erläutert. Dieses How-To bezieht sich auf Version 9.8. Das Vorgehen gilt jedoch im Wesentlichen schon ab Version 9.4. Dabei ist lediglich auf durch Überarbeitungen der GUI verursachte Abweichungen, z.b. bei der Regelerstellung, zu achten. Die Zertifikate müssen mindestens mit Version erstellt worden sein. Weitere Informationen finden Sie im für Ihre jeweilige Softwareversion gültigen gateprotect Bedienhandbuch. 2 Voraussetzungen Es wird ein Client-to-Site-Tunnel mittels VPN SSL zwischen einer gateprotect Firewall mit der Firmware Version 9.8 und einem iphone via OpenVPN eingerichtet. Dabei müssen folgende Voraussetzungen erfüllt werden: Die gateprotect Firewall ist per DSL-Modem direkt mit dem Internet verbunden. Wenn Sie zur Anbindung Ihrer gateprotect Firewall an das Internet einen maskierenden Router (NAT) verwenden, stellen Sie sicher, dass die für VPN SSL relevanten Ports von Ihrem Router an die gateprotect Firewall weitergeleitet werden. Entsprechende Schritte entnehmen Sie der Anleitung Ihres Routers. Die gateprotect Firewall nutzt die folgenden Standardeinstellungen für Client-to- Site VPN-Verbindungen über SSL: Port: 1194 Protokoll: TCP Hinweis: Sollten Sie bereits Änderungen an Ihrem VPN-SSL-Modul vorgenommen haben, ändern Sie die Einstellungen unter dem Menüpunkt VPN-Einstellungen > VPN-SSL > Einstellungen unter Client-to-Site-Einstellungen. Das VPN-Client-Netz ist standardmäßig /24 ( ist der VPN-Server). Das Routing muss eindeutig sein. Deshalb dürfen an den Standorten, die über VPN verbunden werden, keine Adressenkonflikte bestehen. Tabelle 2-1: Routing-Beispiel gateprotect Firewall Remote-Seite eth0: / /24 eth1: /24 eth2: /24 eth3: /24 3

4 Zertifikate erstellen 3 Zertifikate erstellen Für die Erstellung eines C2S-Tunnels mittels VPN SSL benötigen Sie X.509-Zertifikate für die gateprotect Firewall und alle Clients, die Zugang erhalten sollen. Für das vorliegende Szenario benötigen Sie Folgendes: eine Certificate Authority (CA) zum Signieren der Zertifikate ein Host-Zertifikat für die Firewall ein Host-Zertifikat für das ios-gerät (im Folgenden Client-Zertifikat) eine OVPN-Konfigurationsdatei Es wird keine Authentifizierung mittels Benutzername/Passwort oder Pre-Shared Key unterstützt. CA erstellen Zur Erstellung eines X.509-Zertifikats auf der gateprotect Firewall benötigen Sie zunächst eine CA, die das zu erstellende Host-Zertifikat signiert. 1. Öffnen Sie den Administration Client und verbinden Sie sich mit der Firewall. 2. Öffnen Sie den Menüpunkt Sicherheit > Zertifikate. Der Zertifikatsmanager öffnet sich. 3. Klicken Sie auf die Plus-Schaltfläche unten links in der Menüleiste. Ein Wizard zum Erstellen von Zertifikaten öffnet sich. 4. Wählen Sie die Option CA erstellen. Klicken Sie auf Weiter. 5. Wählen Sie die Option CA für Anwendungszertifikate. Klicken Sie auf Weiter. 6. Als Anwendungsbereich wählen Sie VPN-Verbindungen und Webserver. Klicken Sie auf Weiter. 7. Optional: Falls gewünscht, aktivieren Sie die Protokolle OCSP bzw. CRL. Weitere Informationen finden Sie im gateprotect Bedienhandbuch. Klicken Sie auf Weiter. 8. Geben Sie unter Allgemeiner Name den Namen der CA (Common Name, CN) an. Bild 3-1: CN-Einstellungen für die CA. 4

5 Zertifikate erstellen Hinweis: Der allgemeine Name identifiziert die CA und muss daher eindeutig sein. 9. Optional: Wenn gewünscht, geben Sie über die Schaltfläche Hinzufügen einen Subject Alternative Name an. 10. Klicken Sie auf Weiter. 11. Vergeben Sie ein Passwort für den privaten Schlüssel der CA. Wählen Sie mindestens eine Schlüsselgröße von 2048 Bit. Kleinere Schlüssel werden zwar unterstützt, gelten jedoch als unsicher. Hinweis: Das Passwort wird später für die Signierung von Zertifikaten benötigt und lässt sich nach der Erstellung nicht mehr ändern. Sollten Sie das Passwort verlieren, müssen Sie deshalb die CA und alle von ihr signierten Zertifikate neu erstellen. 12. Klicken Sie auf Weiter. 13. Definieren Sie die Gültigkeit der CA. Empfohlen wird ein Zeitraum von mindestens 10 Jahren, da sich nach Ablauf der Gültigkeit mit der CA keine neuen Zertifikate mehr erstellen lassen und alle erstellten Zertifikate ebenfalls ihre Gültigkeit verlieren. Nach Ablauf der Gültigkeit kann zwar eine Verlängerung im Zertifikatsmanager erfolgen, dabei wird jedoch eine vollständig neue CA erstellt und lediglich CN und SAN werden übernommen. Hinweis: VPN-Verbindungen mit abgelaufenen Zertifikaten werden von der Firewall abgewiesen. 14. Klicken Sie auf Ausführen. Die CA wird mit den angegebenen Daten erstellt. 15. Klicken Sie auf Schließen, um den Wizard zu beenden und zum Zertifikatsmanager zurückzukehren. Die neue CA wird im Zertifikatsmanager angezeigt. Host-Zertifikat erstellen Verwenden Sie die neue CA, um Host-Zertifikate für die VPN-Verbindung zu erstellen. 1. Klicken Sie im Administration Client unter Sicherheit > Zertifikate auf die Plus- Schaltfläche unten links in der Menüleiste. Der Wizard zum Erstellen von Zertifikaten öffnet sich. 2. Wählen Sie die Option Zertifikat erstellen. Klicken Sie auf Weiter. 3. Als Anwendungsbereich wählen Sie VPN. Klicken Sie auf Weiter. 4. Geben Sie unter Allgemeiner Name einen Namen an, der das Zertifikat eindeutig identifiziert (z.b. für die Firewall über den Standortnamen). 5

6 Zertifikate erstellen Bild 3-2: CN-Einstellungen für das Host-Zertifikat. 5. Klicken Sie auf Weiter. 6. Vergeben Sie ein Passwort für den privaten Schlüssel des Zertifikats. Klicken Sie auf Weiter. 7. Wählen Sie unter Signierende CA aus der Drop-down-Liste die zuvor erstellte CA aus. 8. Unter CA Passwort geben Sie das Passwort für den privaten Schlüssel der CA ein. Bild 3-3: Auswahl der signierenden CA. 9. Klicken Sie auf Weiter. 10. Definieren Sie die Gültigkeit für dieses Zertifikat. Das Anfangs- und Ablaufdatum muss innerhalb der Lebensdauer der CA liegen. Andernfalls erscheint eine entsprechende Fehlermeldung. Das Host-Zertifikat der Firewall sollte genauso lange gültig sein wie die CA. 11. Klicken Sie auf Ausführen. Das Zertifikat wird mit den angegebenen Daten erstellt. 6

7 VPN-SSL-Client-to-Site-Tunnel konfigurieren Hinweis: Sollte Ihnen bei der Eingabe des Passworts für die privaten Schlüssel ein Fehler unterlaufen sein, erscheint eine entsprechende Meldung. In diesem Fall müssen Sie die Zertifikatserstellung erneut beginnen. 12. Klicken Sie auf Schließen, um den Wizard zu beenden und zum Zertifikatsmanager zurückzukehren. Das neue Zertifikat wird im Zertifikatsmanager im Baum unterhalb der CA angezeigt. 13. Wiederholen Sie die Schritte 1 bis 12, um ein weiteres Zertifikat für das ios-gerät anzulegen. Tipp: Den Gültigkeitszeitraum können Sie nach Bedarf kürzer wählen. Sollten Sie später das Host-Zertifikat der Firewall ändern, müssen Sie alle C2S-Verbindungen nur dann neu ausrollen, wenn Sie auch eine neue CA für das Host-Zertifikat verwendet haben. 4 VPN-SSL-Client-to-Site-Tunnel konfigurieren Um den VPN-SSL-Client-to-Site-Tunnel auf der Firewall zu konfigurieren, führen Sie folgende Schritte aus: 1. Öffnen Sie im Administration Client den Menüpunkt VPN-Einstellungen > VPN- SSL. Der Dialog VPN-SSL öffnet sich. Hinweis: Sollten Sie den Dialog zum ersten Mal öffnen, erscheint der folgende Hinweis: Bild 4-1: Bestätigungsfenster beim erstmaligen Öffnen des Dialogs VPN-SSL. Bestätigen Sie den Hinweis mit einem Klick auf Ja, um in die Einstellungen des VPN-SSL-Moduls zu gelangen. 2. Im Reiter Einstellungen wählen Sie das Host Zertifikat der Firewall aus: 7

8 VPN-SSL-Client-to-Site-Tunnel konfigurieren Bild 4-2: Auswahl des Host-Zertifikats der Firewall. 3. Geben Sie unter DNS und WINS die IP-Adresse Ihres DNS/WINS-Servers an. 4. Optional: Passen Sie die Einstellungen unter Client-to-Site-Einstellungen nach Bedarf an. Hinweis: Falls Sie nachträglich nach dem Export der C2S-Verbindung den Verschlüsselungsalgorithmus ändern, müssen Sie ihn ebenso bei allen Clients ändern, damit wieder erfolgreich eine Verbindung aufgebaut werden kann. 5. Klicken Sie auf den Reiter Allgemein und fahren Sie wie folgt fort: a) Unter VPN-SSL Status selektieren Sie das Kontrollkästchen Aktiv. 8

9 VPN-SSL-Client-to-Site-Tunnel konfigurieren b) Klicken Sie unter VPN-SSL Clients auf die Schaltfläche Hinzufügen, um einen neuen VPN-SSL-Tunnel zu konfigurieren. Bild 4-3: Einstellungen im Reiter Allgemein. Der Dialog VPN SSL-Verbindung öffnet sich. 6. In dem Dialog VPN SSL-Verbindung fahren Sie wie folgt fort: a) Geben Sie einen aussagekräftigen Namen für die VPN-SSL-Verbindung ein. b) Wählen Sie aus der Drop-down-Liste Zertifikat das Client-Zertifikat des ios- Geräts aus. c) Unter Verbindungstyp selektieren Sie gateprotect VPN-Client. d) Unter Zusätzliche Netzwerke tragen Sie über Hinzufügen die lokalen Netze ein, die über VPN erreichbar sein sollen. Hinweis: Falls Ihr DNS-Server nicht Teil dieses Netzwerks ist, sollten Sie die IP-Adresse des DNS-Servers mit der Netzmaske (/32) angeben e) Optional: Wenn der gesamte Traffic an die Firewall weitergeleitet werden soll, aktivieren Sie Standard-Gateway setzen. f) Optional: Sie können dem Client unter IP-Adresse des Client-Rechners eine IP-Adresse zuweisen. Wenn Sie das Feld frei lassen, wird ihm automatisch eine IP-Adresse aus dem C2S-Netz zugewiesen (empfohlen). 9

10 Konfiguration der Firewall-Regeln g) Bild 4-4: Konfiguration des VPN-SSL-C2S-Tunnels. Klicken Sie auf die Schaltfläche Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 7. Speichern Sie Ihre VPN-SSL-Einstellungen mit einem Klick auf die Schaltfläche Ok. Hinweis: Stellen Sie sicher, dass die verwendeten Netze (also das C2S-Netz des VPN-Servers sowie die lokalen Netze der Firewall) sich bei Hotspot-Nutzung (WLAN) nicht mit dem Remote-Netz überschneiden, da es sonst zu Routing-Problemen kommt. Eine Anpassung der lokalen Netze der Firewall kann später einen hohen Aufwand bedeuten. Damit ist die Einrichtung des C2S-Tunnels auf der Firewall abgeschlossen. 5 Konfiguration der Firewall-Regeln Erstellen Sie ein Regelwerk, das die Kommunikation zwischen der Firewall und dem ios-gerät regelt und festlegt, welche Protokolle (Dienste) über den Tunnel erlaubt sein sollen. 1. Öffnen Sie den Administration Client. 2. Ziehen Sie ein VPN-Rechnerobjekt aus der Werkzeugleiste auf den Desktop. Tipp: Falls Sie mehrere C2S-Verbindungen in einer Benutzersammlung zusammenfassen möchten, legen Sie stattdessen ein VPN-Gruppenobjekt an. Ein Konfigurationsdialog öffnet sich. 3. Nehmen Sie im Konfigurationsdialog folgende Einstellungen vor: 10

11 Konfiguration der Firewall-Regeln a) Vergeben Sie einen aussagekräftigen Namen für das Objekt. b) Unter VPN-Verbindung selektieren Sie VPN-SSL. c) Wählen Sie den zuvor erstellten Tunnel aus der Drop-down-Liste aus. d) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Konfigurationsdialog zu schließen. 4. Ziehen Sie ein Rechnerobjekt für Ihren DNS-Server aus der Werkzeugleiste auf den Desktop. Ein Konfigurationsdialog öffnet sich. 5. Geben Sie im Konfigurationsdialog folgende Informationen ein: a) Definieren Sie einen Namen für das Objekt. b) Wählen Sie unter Verbunden über das Interface, das mit dem DNS-Server verbunden werden soll. c) Geben Sie die IP-Adresse des DNS-Servers ein. d) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Konfigurationsdialog zu schließen. 6. Falls noch nicht vorhanden, ziehen Sie ein Gruppenobjekt für das Servernetz, das sie über VPN erreichen möchten, auf den Desktop. Ein Konfigurationsdialog öffnet sich. 7. Nehmen Sie im Konfigurationsdialog folgende Einstellungen vor: a) Definieren Sie einen Namen für das Objekt. b) Unter Modus wählen Sie Netzwerk. c) Wählen Sie unter Verbunden über das Interface, das mit dem Servernetz verbunden werden soll. d) Geben Sie die IP-Adresse des Servernetzes ein. e) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Konfigurationsdialog zu schließen. 8. Wählen Sie aus der Werkzeugleiste das Verbindungswerkzeug (oder betätigen Sie die Leertaste) und klicken Sie erst auf das VPN-Objekt und anschließend auf das Rechnerobjekt für den DNS-Server. Der Regeleditor öffnet sich. 9. Richten Sie für die Verbindung folgende Regeln ein: a) Fügen Sie mit den Pfeilsymbolen den Dienst DNS aus der Liste links zur Tabelle rechts hinzu. Dadurch können Sie lokale DNS-Namen auch über VPN verwenden. b) Optional: Fügen Sie für Verbindungstests den Dienst Ping zur Regeltabelle hinzu. c) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Regeleditor zu schließen. 10. Wählen Sie das Verbindungswerkzeug und legen Sie eine Verbindung zwischen dem VPN-Objekt und dem Servernetz an. Der Regeleditor öffnet sich. 11

12 Konfiguration der Firewall-Regeln 11. Richten Sie für die Verbindung folgende Regeln gemäß Ihren Anforderungen ein: a) Für Terminal-Server-Verbindungen fügen Sie den Dienst RDP aus der Liste links zur Tabelle rechts hinzu. b) Für den direkten Zugriff auf Netzwerkfreigaben auf dem Dateiserver fügen Sie den Dienst NetBIOS hinzu. c) Optional: Fügen Sie für Verbindungstests den Dienst Ping zur Regeltabelle hinzu. 12. Optional: Falls Sie auf Netzwerkdrucker zugreifen möchten, geben Sie die LPR- Ports frei. Da in den vordefinierten Diensten noch kein Eintrag für das RAW/LPR-Protokoll existiert, muss dieser Dienst manuell hinzugefügt werden: a) Klicken Sie auf Dienste verwalten. b) Wählen Sie Benutzerdefinierte Dienste. c) Klicken Sie auf Dienst erstellen. Ein Konfigurationsdialog öffnet sich. d) Klicken Sie auf Hinzufügen. e) Legen Sie einen neuen Dienst mit dem Port 9100 an. f) Wählen Sie als Transportprotokoll das TCP-Protokoll aus. g) Schließen Sie alle Dialoge mit Ok bis Sie sich wieder im Regeleditor befinden. h) Fügen Sie den neuen Dienst mit dem Pfeilsymbol zur Regeltabelle hinzu. 13. Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Regeleditor zu schließen. 12

13 Konfiguration der Firewall-Regeln Bild 5-1: Verbindungen auf dem Desktop, wenn die gateprotect Firewall nicht als Standard-Gateway fungiert. Hinweis: Stellen Sie sicher, dass die Firewall das (Standard-)Gateway der Server ist, wenn diese versuchen, auf das C2S-VPN-Netz zuzugreifen. So können die Antwortpakete durch den Tunnel geroutet werden. 14. Wenn Sie bei der Konfiguration des VPN-Tunnels die gateprotect Firewall als Standard-Gateway (siehe Kapitel 4, "VPN-SSL-Client-to-Site-Tunnel konfigurieren", auf Seite 7) konfiguriert haben, wird der gesamte Traffic des Clients an die Firewall weitergeleitet. Damit Nutzer über VPN auch auf Internetressourcen zugreifen können, erstellen Sie zusätzlich eine Verbindung zwischen dem Internetobjekt und dem VPN-Objekt: a) Wählen Sie das Verbindungswerkzeug und klicken Sie erst auf das VPN- Objekt und dann auf das Internetobjekt. Der Regeleditor öffnet sich. b) Fügen Sie die benötigten Dienste gemäß Ihren Anforderungen aus der Liste links zur Tabelle rechts hinzu (zum Beispiel RDP, SMTP(S), IMAP(S), POP3(S), HTTP(S), FTP, Ping und NTP). c) Aktivieren Sie NAT für jeden Dienst: Wählen Sie den Dienst aus der Tabelle aus. Klicken Sie auf Bearbeiten. Aktivieren Sie das Kontrollkästchen NAT für diesen Dienst aktivieren. Klicken Sie auf Ok. d) Wenn Sie alle benötigten Regeln hinzugefügt haben, klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Regeleditor zu schließen. 13

14 VPN-Konfiguration exportieren Bild 5-2: Verbindungen auf dem Desktop, wenn die gateprotect Firewall als Standard-Gateway fungiert. Wenn Sie die Option Standard-Gateway setzen für den VPN-Tunnel aktiviert haben, müssen Sie beachten, dass die Bandbreite des Internetanschlusses bei zunehmender Anzahl VPN-Nutzer entsprechend ausgelastet wird. 6 VPN-Konfiguration exportieren Um den VPN-SSL-Client-to-Site-Tunnel auf dem ios-gerät einrichten zu können, muss die Konfiguration exportiert werden. Export mit v9.8 Wenn auf Ihrer gateprotect Firewall die Software v9.8 installiert ist, führen Sie folgende Schritte aus (andernfalls siehe "Export mit v9.4-v9.7" auf Seite 16): 1. Öffnen Sie im Administration Client den Menüpunkt VPN-Einstellungen > VPN- SSL. Der Dialog VPN-SSL öffnet sich. 2. Wählen Sie unter VPN-SSL Clients den erstellten C2S-Tunnel aus. 14

15 VPN-Konfiguration exportieren 3. Klicken Sie auf das Diskettensymbol unten rechts in der Werkzeugleiste. Der Exportdialog öffnet sich. 4. Definieren Sie unter Adresse der Firewall die öffentliche Adresse mit der sich der VPN-Client verbinden soll: a) Klicken Sie auf die Schaltfläche Hinzufügen. Der Dialog Server-Adresse öffnet sich. b) Geben Sie die öffentliche IP-Adresse oder den DNS-Namen des WAN- Anschlusses der Firewall ein. c) Klicken Sie auf Ok. Der Dialog Server-Adresse schließt sich. 5. Klicken Sie auf OpenVPN als Exportformat. 6. Unter Private-Key-Passwort geben Sie das Passwort des Zertifikats an. 7. Legen Sie unter PKCS-Passphrase ein Passwort für das ios-gerät fest und bestätigen Sie dieses. Dieses Passwort muss beim Import des Zertifikat auf dem ios-gerät eingegeben werden. 8. Deaktivieren Sie das Kontrollkästchen Zertifikate in die Konfigurationsdatei integrieren, da ios-geräte dies nicht unterstützen. 9. Geben Sie unter Export-Datei den Pfad an, an dem die OVPN-, PKCS12- und PEM-Datei gespeichert werden soll. 15

16 VPN-Konfiguration exportieren Bild 6-1: Export der VPN-Konfiguration. 10. Klicken Sie auf Ok. Die VPN-Konfiguration wird als OVPN-Datei, das Client-Zertifikat als PKCS12- Datei und die CA als PEM-Datei exportiert. Export mit v9.4-v9.7 Wenn auf Ihrer gateprotect Firewall eine ältere Softwareversion als v9.8 installiert ist, führen Sie folgende Schritte aus: 1. Exportieren Sie Ihre CA als PEM-Datei. Weitere Informationen finden Sie im gateprotect Bedienhandbuch. 2. Legen Sie in Ihrem Dateisystem eine Textdatei an. 3. Fügen Sie den Inhalt der PEM-Datei in die Textdatei ein. Die fertige Textdatei hat folgenden Inhalt: client dev tun resolv-retry infinite nobind persist-key persist-tun 16

17 VPN-Konfiguration importieren mute 20 verb 1 proto tcp remote comp-lzo no route-delay 2 reneg-sec 3600 cipher AES-128-CBC <ca> -----BEGIN CERTIFICATE----- <Inhalt Ihrer CA.PEM> -----END CERTIFICATE----- </ca> Passen Sie dabei die Variablen proto <prot>, remote <ip oder dns> <port> und cipher <cipher> gemäß ihren Einstellungen an. 7 VPN-Konfiguration importieren Um fortzufahren muss die App OpenVPN auf dem ios-gerät installiert sein. 1. Übertragen Sie die PKCS12- und die OVPN-Datei auf das ios-gerät. Das PKCS12-Zertifikat muss dabei in den Zertifikatsspeicher des ios Geräts importiert werden. Dazu muss das Zertifikat entweder über itunes synchronisiert oder per an das ios-gerät gesendet werden (das Postfach muss in der App Mail eingerichtet sein, da nur über diese App das Zertifikat in den Zertifikatsspeicher importiert werden kann). 2. Installieren Sie das Zertifikat. Geben Sie dabei das Passwort für den Private Key an. 3. Tippen Sie danach auf die OVPN-Datei. Die OpenVPN-App öffnet sich. 17

18 VPN-Konfiguration importieren Bild 7-1: Anzeige der OpenVPN-App. 4. Wählen Sie unter Certificate das installierte Zertifikat aus. 5. Aktivieren Sie die AES-Verschlüsselung auf dem ios-gerät (auf der Firewall ist AES-128 standardmäßig als Verschlüsselungsalgorithmus eingestellt): a) Öffnen Sie die OpenVPN-Einstellungen in den Einstellungen des ios-geräts. 18

19 VPN-Konfiguration importieren b) Aktivieren Sie Force AES-CBC-Ciphersuites. Bild 7-2: AES-Einstellungen. 6. Tippen Sie in der OpenVPN-App auf Connection, um die Verbindung zu aktivieren. Zwischen dem ios-gerät und der Firewall wird eine C2S-Verbindung mittels VPN SSL aufgebaut. 19