R&S GP-U gateprotect Firewall How-To

Transkript

1 gateprotect Firewall How-To Konfiguration eines VPN-SSL-Site-to-Site-Tunnels (T^WÉ3) Cyber-Sicherheit How-To

2 2017 Rohde & Schwarz Cybersecurity GmbH Mühldorfstraße 15, München, Deutschland Telefon: +49 (0) Internet: cybersecurity.rohde-schwarz.com Änderungen vorbehalten Daten ohne Genauigkeitsangabe sind unverbindlich. R&S ist ein eingetragenes Warenzeichen der Firma Rohde & Schwarz GmbH & Co. KG. Eigennamen sind Warenzeichen der jeweiligen Eigentümer.

3 Einleitung 1 Einleitung Im Folgenden wird die Einrichtung eines VPN-Tunnels mittels SSL Site-to-Site zwischen zwei gateprotect Firewalls erläutert. Dieses How-To bezieht sich auf Version 9.6. Das Vorgehen gilt jedoch im Wesentlichen schon für Version 9.4 bis 9.8. Dabei ist lediglich auf durch Überarbeitungen der GUI verursachte Abweichungen, z.b. bei der Regelerstellung, zu achten. Weitere Informationen finden Sie im für Ihre jeweilige Softwareversion gültigen gateprotect Bedienhandbuch. 2 Voraussetzungen Es wird ein VPN-SSL-Tunnel zwischen zwei gateprotect Appliances mit der Firmware Version 9.6 eingerichtet. Dabei müssen folgende Voraussetzungen erfüllt werden: Beide gateprotect Appliances sind per DSL-Modem direkt mit dem Internet verbunden. Wenn Sie zur Anbindung Ihrer gateprotect Appliances an das Internet einen Router verwenden, stellen Sie sicher, dass die für VPN SSL relevanten Ports von Ihrem Router an die gateprotect Appliance weitergeleitet werden. Entsprechende Schritte entnehmen Sie der Anleitung Ihres Routers. Die gateprotect Firewall nutzt die folgenden Standardeinstellungen für Site-to-Site VPN-Verbindungen über SSL: Port: Protokoll: TCP Hinweis: Sollten Sie bereits Änderungen an Ihrem VPN-SSL-Modul vorgenommen haben, ändern Sie die Einstellungen unter dem Menüpunkt VPN-Einstellungen > VPN-SSL > Einstellungen unter Site-to-Site Einstellungen. Das Routing muss eindeutig sein. Deshalb dürfen auf den Standorten, die über VPN verbunden werden, keine doppelten Subnetze verwendet werden. Dies gilt auch für die Netze, die nicht über VPN miteinander verbunden werden sollen. Tabelle 2-1: Routing-Beispiel Firewall A Firewall B eth0: /24 eth0: /24 eth1: /24 eth1: /24 eth2: /24 eth2: /24 eth3: /24 eth3: /24 3

4 Zertifikate bereitstellen Zertifikate erstellen 3 Zertifikate bereitstellen Für die Erstellung eines VPN-SSL-Tunnels benötigen Sie für jede Firewall ein X.509- Zertifikat (Host-Zertifikat). Die Erstellung der Zertifikate sollte dabei auf beiden Firewalls unabhängig voneinander erfolgen. Anschließend werden die öffentlichen Zertifikate (PEM-Format) exportiert und auf der jeweils anderen Firewall importiert, da sie als Verbindungszertifikate dienen. Führen Sie daher die in diesem Kapitel beschriebenen Schritte auf beiden Firewalls aus, ehe Sie mit Kapitel 4, "VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren", auf Seite 9 fortfahren. Auf beiden Firewalls benötigen Sie je: eine Certificate Authority (CA) und ein Host-Zertifikat für die Firewall. Es wird keine Authentifizierung mittels Benutzername/Passwort oder Pre-Shared Key unterstützt. 3.1 Zertifikate erstellen CA erstellen Zur Erstellung eines X.509-Zertifikats auf der gateprotect Firewall benötigen Sie zuerst eine CA, die das zu erstellende Host-Zertifikat signiert. 1. Öffnen Sie den Administration Client und verbinden Sie sich mit der Firewall. 2. Öffnen Sie den Menüpunkt Sicherheit > Zertifikate. Der Zertifikatsmanager öffnet sich. 3. Klicken Sie auf die Plus-Schaltfläche unten links in der Menüleiste. Ein Wizard zum Erstellen von Zertifikaten öffnet sich. 4. Wählen Sie die Option CA erstellen. Klicken Sie auf Weiter. 5. Wählen Sie die Option CA für Anwendungszertifikate. Klicken Sie auf Weiter. 6. Als Anwendungsbereich wählen Sie VPN-Verbindungen. Klicken Sie auf Weiter. 7. Optional: Falls gewünscht, aktivieren Sie die Protokolle OCSP bzw. CRL. Weitere Informationen finden Sie im gateprotect Bedienhandbuch. Klicken Sie auf Weiter. 8. Geben Sie unter Allgemeiner Name den Namen der CA (Common Name, CN) an. 4

5 Zertifikate bereitstellen Zertifikate erstellen Bild 3-1: CN-Einstellungen für die CA. Hinweis: Der allgemeine Name identifiziert die CA und muss daher eindeutig sein. Verwenden Sie deshalb auf beiden zu verbindenden Firewalls unterschiedliche CNs (z.b. den Standortnamen). Andernfalls schlägt später beim Aufbau der VPN- Verbindung die Authentifizierung fehl. 9. Optional: Wenn gewünscht, geben Sie über die Schaltfläche Hinzufügen einen Subject Alternative Name an. 10. Klicken Sie auf Weiter. 11. Vergeben Sie ein Passwort für den privaten Schlüssel der CA. Wählen Sie mindestens eine Schlüsselgröße von 2048 Bit. Kleinere Schlüssel werden zwar unterstützt, gelten jedoch als unsicher. Hinweis: Das Passwort wird später für die Signierung von Zertifikaten benötigt und lässt sich nach der Erstellung nicht mehr ändern. Sollten Sie das Passwort verlieren, müssen Sie deshalb die CA und alle von ihr signierten Zertifikate neu erstellen. 12. Klicken Sie auf Weiter. 13. Definieren Sie die Gültigkeit der CA. Empfohlen wird ein Zeitraum von mindestens 10 Jahren, da sich nach Ablauf der Gültigkeit mit der CA keine neuen Zertifikate mehr erstellen lassen und alle erstellten Zertifikate ebenfalls ihre Gültigkeit verlieren. Nach Ablauf der Gültigkeit kann zwar eine Verlängerung im Zertifikatsmanager erfolgen, dabei wird jedoch eine vollständig neue CA erstellt und lediglich CN und SAN werden übernommen. Hinweis: VPN-Verbindungen mit abgelaufenen Zertifikaten werden von der Firewall abgewiesen. 14. Klicken Sie auf Ausführen. Die CA wird mit den angegebenen Daten erstellt. 15. Klicken Sie auf Schließen, um den Wizard zu beenden und zum Zertifikatsmanager zurückzukehren. Die neue CA wird im Zertifikatsmanager angezeigt. Host-Zertifikat erstellen Verwenden Sie die neue CA, um ein Zertifikat für die VPN-Verbindung zu erstellen. 5

6 Zertifikate bereitstellen Zertifikate erstellen 1. Klicken Sie im Administration Client unter Sicherheit > Zertifikate auf die Plus- Schaltfläche unten links in der Menüleiste. Der Wizard zum Erstellen von Zertifikaten öffnet sich. 2. Wählen Sie die Option Zertifikat erstellen. Klicken Sie auf Weiter. 3. Als Anwendungsbereich wählen Sie VPN. Klicken Sie auf Weiter. 4. Geben Sie unter Allgemeiner Name einen Namen an, der das Zertifikat eindeutig als Host-Zertifikat der entsprechenden Firewall identifiziert (z.b. den Standortnamen). Das erleichtert nach dem Export die Zuordnung der einzelnen Zertifikate. Bild 3-2: CN-Einstellungen für das Host-Zertifikat. 5. Klicken Sie auf Weiter. 6. Vergeben Sie ein Passwort für den privaten Schlüssel des Zertifikats. Klicken Sie auf Weiter. 7. Wählen Sie unter Signierende CA aus der Drop-down-Liste die zuvor erstellte CA aus. 8. Unter CA Passwort geben Sie das Passwort für den privaten Schlüssel der CA ein. 6

7 Zertifikate bereitstellen Zertifikate exportieren Bild 3-3: Auswahl der signierenden CA. 9. Klicken Sie auf Weiter. 10. Definieren Sie die Gültigkeit für dieses Zertifikat. Das Anfangs- und Ablaufdatum muss innerhalb der Lebensdauer der CA liegen. Andernfalls erscheint eine entsprechende Fehlermeldung. Das Host-Zertifikat der Firewall sollte genauso lange gültig sein wie die CA. 11. Klicken Sie auf Ausführen. Das Zertifikat wird mit den angegebenen Daten erstellt. Hinweis: Sollte Ihnen bei der Eingabe der Passwörter für die privaten Schlüssel ein Fehler unterlaufen sein, erscheint eine entsprechende Meldung. In diesem Fall müssen Sie die Zertifikatserstellung erneut beginnen. 12. Klicken Sie auf Schließen, um den Wizard zu beenden und zum Zertifikatsmanager zurückzukehren. Das neue Zertifikat wird im Zertifikatsmanager im Baum unterhalb der CA angezeigt. 3.2 Zertifikate exportieren Die erstellten Host-Zertifikate müssen zwischen den beiden Firewalls ausgetauscht werden, da jede Seite den öffentlichen Schlüssel des Host-Zertifikates der jeweiligen Remote-Firewall benötigt, um eine Authentifizierung und eine verschlüsselte Kommunikation zu ermöglichen. Führen Sie deshalb die folgenden Schritte auf beiden Firewalls aus. Um ein Host-Zertifikat zu exportieren, verfahren Sie wie folgt: 1. Öffnen Sie im Administration Client den Menüpunkt Sicherheit > Zertifikate. Der Zertifikatsmanager öffnet sich. 7

8 Zertifikate bereitstellen Zertifikate importieren Bild 3-4: Zertifikatsmanager. 2. Wählen Sie im Reiter Zertifikate das Host-Zertifikat aus der Liste aus. Klicken Sie in der Menüleiste unten links auf das Diskettensymbol (Zertifikat exportieren). Der Exportdialog öffnet sich. 3. Wählen Sie PEM als Exportformat. 4. Definieren Sie einen Pfad auf Ihrem lokalen PC, wo das Zertifikat gespeichert werden soll. 5. Bestätigen Sie die Einstellungen mit Ok. Das Zertifikat wird exportiert. 3.3 Zertifikate importieren Um ein Host-Zertifikat zu importieren, führen Sie folgende Schritte aus: 1. Öffnen Sie im Administration Client den Menüpunkt Sicherheit > Zertifikate. Der Zertifikatsmanager öffnet sich. 2. Klicken Sie in der Menüleiste unten links auf das Ordnersymbol (Zertifikat importieren). Der Importdialog öffnet sich. 3. Wählen Sie PEM als Importformat. 8

9 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren 4. Wählen Sie unter Zertifikat das Host-Zertifikat der Remote-Firewall aus. 5. Bestätigen Sie die Einstellungen mit Ok. Das Zertifikat wird importiert. Nach dem Import erscheinen sowohl die CA als auch das importierte Host-Zertifikat im Zertifikatsmanager. Es wird kein Schlüssel angezeigt. Daran erkennen Sie, dass der private Schlüssel für dieses Zertifikat nicht zur Verfügung steht. 4 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren Um den VPN-SSL-Site-to-Site-Tunnel auf der Firewall A zu konfigurieren, führen Sie folgende Schritte aus: 1. Öffnen Sie im Administration Client auf der Firewall A den Menüpunkt VPN-Einstellungen > VPN-SSL. Der Dialog VPN-SSL öffnet sich. Hinweis: Sollten Sie den Dialog zum ersten Mal öffnen, erscheint der folgende Hinweis: Bild 4-1: Bestätigungsfenster beim erstmaligen Öffnen des Dialogs VPN-SSL. Bestätigen Sie den Hinweis mit einem Klick auf Ja, um in die Einstellungen des VPN-SSL-Moduls zu gelangen. 2. Im Reiter Einstellungen wählen Sie das Host Zertifikat der Firewall A aus: 9

10 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren Bild 4-2: Auswahl des Host-Zertifikats. Hinweis: Es sollte nur 1 Zertifikat auswählbar sein. 3. Prüfen Sie unter Site-to-Site Einstellungen den Adressbereich. Dieser definiert das Transfernetz für alle VPN-S2S-Tunnel, wenn eine Verbindung als Serververbindung konfiguriert wird. Hinweis: Sollte Ihre Firewall, sobald mehrere VPN-Verbindungen konfiguriert werden, sowohl als Server fungieren als auch eine Verbindung zu einer anderen Firewall aufbauen, achten Sie darauf, dass die Transfernetze unter Einstellungen unterschiedlich sind, da sonst das Routing gestört ist. 4. Klicken Sie auf den Reiter Allgemein und fahren Sie wie folgt fort: a) Unter VPN-SSL Status selektieren Sie das Kontrollkästchen Aktiv. 10

11 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren b) Klicken Sie unter VPN-SSL Clients auf die Schaltfläche Hinzufügen, um einen neuen VPN-SSL-Tunnel zu konfigurieren. Bild 4-3: Einstellungen im Reiter Allgemein. Der Dialog VPN SSL-Verbindung öffnet sich. 5. In dem Dialog VPN SSL-Verbindung fahren Sie wie folgt fort: a) Geben Sie einen aussagekräftigen Namen, zum Beispiel unter Verwendung der beiden Standortnamen, für die VPN-SSL-Verbindung ein. 11

12 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren b) Wählen Sie aus der Drop-down-Liste Zertifikat das Host-Zertifikat der Gegenstelle (in diesem Beispiel das Zertifikat der Firewall B) aus. Bild 4-4: Auswahl des Host-Zertifikats der Gegenstelle. c) Unter Verbindungstyp selektieren Sie Site-to-Site. Hinweis: Da die Verbindung immer nur von einer Firewall aus aufgebaut werden darf (in unserem Beispiel soll die Verbindung von Firewall B aufgebaut werden), selektieren Sie nicht das Kontrollkästchen Verbindung von dieser Seite aus aufbauen. Damit fungiert diese Firewall als VPN-Server. d) Optional: Das Feld Fremde IP-Adresse definiert die IP-Adresse des Tunnelendpunkt auf der Gegenseite und wird, wenn es nicht definiert ist, automatisch dem in den globalen VPN-SSL-Einstellungen definierten Adressbereich (Standard-Netz: /24) entnommen. Firewall A wird als VPN-Server in diesem Fall die erste verfügbare Adresse ( /24) erhalten, Firewall B die zweite Adresse ( /24). e) Klicken Sie unter Fremde Netzwerke auf die Schaltfläche Hinzufügen, um ein Remote-Subnetz hinzuzufügen, welches vom Standort der Firewall A aus erreichbar sein soll. Der Dialog Routing öffnet sich. 12

13 VPN-SSL-Site-to-Site-Tunnel auf Firewall A konfigurieren f) Geben Sie im Dialog Routing das Netz (IP-Adresse und Subnetzmaske) an, das über den VPN-Tunnel geroutet werden soll. Bild 4-5: Routing-Einstellungen. Hinweis: Stellen Sie sicher, dass sich die hier angegebenen Netze nicht mit den Netzen auf Firewall A überschneiden, da es ansonsten zu Routing-Problemen kommen wird. Wenn nötig, wählen Sie eine abweichende Subnetzmaske. g) Bestätigen Sie Ihre Einstellungen mit Ok. h) Optional: Wiederholen Sie die letzten drei Schritte für jedes weitere Subnetz, das hinzugefügt werden soll. i) Klicken Sie unter Zusätzliche eigene Netzwerke auf die Schaltfläche Hinzufügen, um ein Netz hinzuzufügen, das für die Firewall B erreichbar sein soll. Der Dialog Routing öffnet sich. j) Geben Sie im Dialog Routing das Netz (IP-Adresse und Subnetzmaske) an, das über den VPN-Tunnel geroutet werden soll. Diese Netze werden zusätzlich zu den unter VPN-Einstellungen > VPN-SSL > Einstellungen in Globale Routing-Einstellungen eingetragenen Netzen von Firewall B nach Firewall A geroutet. k) Bestätigen Sie Ihre Einstellungen mit Ok. l) Optional: Wiederholen Sie die letzten drei Schritte für jedes weitere Subnetz, das hinzugefügt werden soll. m) Klicken Sie auf die Schaltfläche Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 6. Speichern Sie Ihre VPN-SSL-Einstellungen mit einem Klick auf die Schaltfläche Ok. Damit ist die Einrichtung des Tunnels auf Firewall A abgeschlossen. 13

14 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren 5 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren Um den VPN-SSL-Site-to-Site-Tunnel auf der Firewall B, von der aus die VPN-Verbindung aufgebaut werden soll, zu konfigurieren, führen Sie folgende Schritte aus: 1. Öffnen Sie im Administration Client auf der Firewall B den Menüpunkt VPN-Einstellungen > VPN-SSL. Der Dialog VPN-SSL öffnet sich. Hinweis: Sollten Sie den Dialog zum ersten Mal öffnen, erscheint der folgende Hinweis: Bild 5-1: Bestätigungsfenster beim erstmaligen Öffnen des Dialogs VPN-SSL. Bestätigen Sie den Hinweis mit einem Klick auf Ja, um in die Einstellungen des VPN-SSL-Moduls zu gelangen. Hinweis: Bevor Sie mit der Konfiguration des VPN-SSL-Site-to-Site-Tunnels fortfahren, müssen Sie Folgendes sicherstellen: Im Reiter Einstellungen müssen unter Site-to-Site Einstellungen das gleiche Protokoll (UDP oder TCP) und der gleiche Verschlüsselungs-Algorithmus wie auf der Remote-Firewall (in diesem Beispiel auf der Firewall A) ausgewählt sein. 2. Im Reiter Einstellungen wählen Sie das Host Zertifikat der Firewall B aus: 14

15 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren Bild 5-2: Auswahl des Host-Zertifikats. Hinweis: Das Host-Zertifikat der Firewall A wird nicht angezeigt, da kein privater Schlüssel vorhanden ist. 3. Klicken Sie auf den Reiter Allgemein und fahren Sie wie folgt fort: a) Unter VPN-SSL Status selektieren Sie das Kontrollkästchen Aktiv. 15

16 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren b) Klicken Sie unter VPN-SSL Clients auf die Schaltfläche Hinzufügen, um einen neuen VPN-SSL-Tunnel zu konfigurieren. Bild 5-3: Einstellungen im Reiter Allgemein. Der Dialog VPN SSL-Verbindung öffnet sich. 4. In dem Dialog VPN SSL-Verbindung fahren Sie wie folgt fort: a) Geben Sie einen aussagekräftigen Namen, zum Beispiel unter Verwendung der beiden Standortnamen, für die VPN-SSL-Verbindung ein. 16

17 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren b) Wählen Sie aus der Drop-down-Liste Zertifikat das Host-Zertifikat der Gegenstelle (in diesem Beispiel das Zertifikat der Firewall A) aus. Bild 5-4: Auswahl des Host-Zertifikats der Gegenstelle. c) Unter Verbindungstyp selektieren Sie Site-to-Site. d) Selektieren Sie das Kontrollkästchen Verbindung von dieser Seite aus aufbauen. e) Den Eintrag für das Feld Server Port entnehmen Sie den Einstellungen Ihres VPN-SSL-Moduls auf der Firewall A. f) Klicken Sie auf die Schaltfläche Hinzufügen. Der Dialog Server-Adresse öffnet sich. g) Geben Sie im Dialog Server-Adresse entweder die öffentliche IP-Adresse oder den DNS-Namen der Firewall A ein. h) Bestätigen Sie Ihre Einstellungen mit Ok. 17

18 VPN-SSL-Site-to-Site-Tunnel auf Firewall B konfigurieren i) Optional: Wiederholen Sie die letzten drei Schritte für jede weitere Server- Adresse, die hinzugefügt werden soll, wenn die Firewall A über mehrere Internetverbindungen verfügt. Bild 5-5: VPN-SSLSite-to-Site-Verbindung mit mehreren Server-Adressen. Tipp: Sollten Sie mehrere Server-Adressen für Firewall A eingegeben haben, können Sie mittels der Pfeil-Schaltflächen die Reihenfolge der einzelnen Adressen für den Verbindungsaufbau definieren. j) Klicken Sie auf die Schaltfläche Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 5. Speichern Sie Ihre VPN-SSL-Einstellungen mit einem Klick auf die Schaltfläche Ok. Firewall B wird nun den VPN-Verbindungsaufbau initiieren. Sobald die Verbindung erfolgreich aufgebaut wurde, wechselt die Anzeige in der Tabellenspalte Status von Getrennt auf Verbunden und in den Berichten für VPN wird die Zeile connection established ausgegeben. Eine Aktualisierung des Status erfolgt alle 30 Sekunden. Falls Sie später eine weitere S2S-Verbindung hinzufügen und ein Verbindungszertifikat auswählen, das von einer CA signiert wurde, die bisher noch nicht für VPN-SSL verwendet wurde, müssen Sie die VPN-SSL-Funktion zunächst komplett deaktivieren und erneut aktivieren, ehe die Verbindung aufgebaut werden kann. So können Sie selber festlegen, wann alle Verbindungen getrennt werden. 18

19 Firewall-Regeln konfigurieren 6 Firewall-Regeln konfigurieren Nun existiert eine Verbindung zwischen Firewall A und Firewall B, das heißt, das Routing zwischen den beiden Standorten ist realisiert. Es fehlt noch ein Regelwerk, um eine Kommunikation zwischen den Netzen zu ermöglichen und festzulegen, welche Protokolle (Dienste) über den Tunnel erlaubt sein sollen. Im folgenden Beispiel werden Regeln für die Kommunikation der Clients vom Standort der Firewall B zu einem Drucker, File- und Webserver am Standort der Firewall A erstellt. Bild 6-1: Darstellung des VPN-Tunnels. Folgende Ports werden für die Kommunikation zwischen den Clients im Netzwerk /24 und dem Drucker, File- und Webserver im Netz /24 benötigt: Webserver HTTP: 80/TCP Webserver HTTPS: 443/TCP File-Server NetBIOS: /UDP; TCP 445 Drucker (RAW/LPR): 9100/TCP Diese Regeln müssen auf beiden Firewalls konfiguriert werden, sodass sie über den gleichen Regelsatz verfügen. Hier wird die Regelerstellung am Beispiel der Firewall A illustriert. Dabei wird davon ausgegangen, dass noch keine Regeln außer der Internetverbindung angelegt wurden. 1. Öffnen Sie den Administration Client. 2. Ziehen Sie ein Rechnerobjekt aus der Werkzeugleiste auf den Desktop, falls Sie noch kein Objekt für den Drucker angelegt haben. Ein Konfigurationsdialog öffnet sich. 3. Geben Sie im Konfigurationsdialog folgende Informationen ein: a) einen Namen für das Objekt b) die Art des Objekts, indem Sie die entsprechende Schaltfläche anklicken c) das Interface, über welches das Objekt verbunden ist d) die IP-Adresse 19

20 Firewall-Regeln konfigurieren Bild 6-2: Einstellungen des Host-Objekts. 4. Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Konfigurationsdialog zu schließen. 5. Ziehen Sie ein VPN-Gruppensymbol aus der Werkzeugleiste auf den Desktop. Ein Konfigurationsdialog öffnet sich. 6. Nehmen Sie im Konfigurationsdialog folgende Einstellungen vor: a) Vergeben Sie einen aussagekräftigen Namen für die VPN-Gruppe. b) Unter Modus wählen Sie Netzwerk. c) Als Verbindungstyp wählen Sie VPN-SSL. d) Wählen Sie aus der Drop-down-Liste den zuvor erstellten Tunnel zu Firewall B aus. 20

21 Firewall-Regeln konfigurieren Bild 6-3: Konfiguration der VPN-Gruppe. 7. Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Konfigurationsdialog zu schließen. 8. Wählen Sie aus der Werkzeugleiste das Verbindungswerkzeug (oder betätigen Sie die Leertaste) und klicken Sie erst auf das Druckerobjekt und anschließend auf das VPN-Objekt. Der Regeleditor öffnet sich. 9. Fügen Sie mit den Pfeilsymbolen die benötigten Regeln aus der Liste links zur Tabelle rechts hinzu (eine Verbindung zum Internetsymbol ist nicht notwendig). 21

22 Firewall-Regeln konfigurieren Bild 6-4: Ansicht Regeleditor. 10. Da in den vordefinierten Diensten noch kein Eintrag für das RAW/LPR-Protokoll existiert, muss dieser Dienst manuell hinzugefügt werden: a) Klicken Sie auf Dienste verwalten. b) Wählen Sie Benutzerdefinierte Dienste. c) Klicken Sie auf Dienst erstellen. Ein Konfigurationsdialog öffnet sich. d) Klicken Sie auf Hinzufügen. e) Legen Sie einen neuen Dienst mit dem Port 9100 an. f) Wählen Sie als Transportprotokoll das TCP-Protokoll aus. g) Schließen Sie alle Dialoge mit Ok bis Sie sich wieder im Regeleditor befinden. h) Fügen Sie den neuen Dienst mit dem Pfeilsymbol zur Regeltabelle hinzu. 11. Passen Sie die Aktion für den RAW/LPR-Dienst an. Die Standardeinstellung erlaubt einen Verbindungsaufbau in beide Richtungen. Im vorliegenden Beispiel erfolgt jedoch der Zugriff ausschließlich aus dem Netzwerk von Firewall B, so dass die Einstellung angepasst werden muss. Klicken Sie in der Spalte Aktion auf den Pfeil. Mit jedem Klick ändert der Pfeil die Zugriffsrichtung. Im unteren Bereich zeigen die Symbole an, welche Seite eine 22

23 Firewall-Regeln konfigurieren Verbindung aufbauen darf. Klicken Sie auf den Pfeil, bis das VPN-Objekt auf den Drucker zugreifen, dieser aber nur antworten darf. 12. Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Regeleditor zu schließen. 13. Legen Sie auf dem Desktop Regeln für den Webserver an: a) Ziehen Sie ein Rechnersymbol auf den Desktop. b) Ein Konfigurationsdialog öffnet sich. Geben Sie hier die nötigen Informationen ein (siehe Schritt 3). c) Verwenden Sie das Verbindungswerkzeug, um das Rechnerobjekt mit dem VPN-Objekt zu verbinden. Der Regeleditor öffnet sich. d) Fügen Sie die Dienste HTTP und HTTPS mit dem Pfeilsymbol zur Regeltabelle hinzu. e) Die Aktion für beide Dienste muss vom VPN-Objekt auf das Serverobjekt weisen. f) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 14. Legen Sie auf dem Desktop Regeln für den File-Server an: a) Ziehen Sie ein Rechnersymbol auf den Desktop. b) Ein Konfigurationsdialog öffnet sich. Geben Sie hier die nötigen Informationen ein (siehe Schritt 3). c) Verwenden Sie das Verbindungswerkzeug, um das Rechnerobjekt mit dem VPN-Objekt zu verbinden. Der Regeleditor öffnet sich. d) Fügen Sie den Dienst NetBIOS mit dem Pfeilsymbol zur Regeltabelle hinzu. e) Die Aktion muss vom VPN-Objekt auf das Serverobjekt weisen. f) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 15. Optional: Fügen Sie eine Ping-Regel hinzu, um über den Tunnel Erreichbarkeitsprüfungen und Traceroutes durchführen zu können. a) Führen Sie einen Doppelklick auf die Verbindung durch, zu der Sie die Ping- Regel hinzufügen möchten. Der Regeleditor öffnet sich. b) Fügen Sie den Dienst Ping zur Regeltabelle hinzu. c) Achten Sie auf den Pfeil, um festzulegen, in welche Richtung Pakete initiiert werden dürfen. Ein Doppelpfeil ermöglicht Erreichbarkeitsprüfungen von beiden Seiten. d) Klicken Sie auf Ok, um Ihre Einstellungen zu speichern und den Dialog zu schließen. 23