Dynamisches VPN mit FW V3.64

Transkript

1 Dieses Konfigurationsbeispiel zeigt die Definition einer dynamischen VPN-Verbindung von der ZyWALL 5/35/70 mit der aktuellen Firmware Version 3.64 und der VPN-Software "ZyXEL Remote Security Client" Die VPN-Definitionen auf der ZyWALL 5/35/70 sind seit der Version 3.64 in zwei Phasen unterteilt. Die erste Phase beschreibt die Gateway-Information (Gateway-Policy: öffentliche IP Adressen), die zweite Phase (Network-Policy: LAN interne IP-Adressen) erstellt das VPN Routing. ZyWALL - Neue VPN Regel erstellen Wechseln Sie vom Hauptmenü der ZyWALL ins Menü VPN (1). Durch einen Mausklick auf Add Gateway Policy (2) erscheint das Eingabefenster für die Phase 1 der VPN Definition. 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 1/9

2 Gateway Policy In diesem Menü werden nur die öffentlichen IP Adressen konfiguriert. Da in diesem Beispiel die ZyWALL nur VPN Tunnels entgegen nimmt, muss unter "My ZyWALL" (3) nichts ausgefüllt werden. Als "Remote Gateway Address"(4) darf keine IP Adresse eingetragen werden. Unter "Pre-Shared Key" (5) kann ein beliebiger Schlüssel eingetragen werden. Dieser Schlüssel muss dann auch in der Software eingetragen werden. "Local ID Type" (6) und "Peer ID Type" (7) kann leer übernommen werden. Die "IKE Proposal"-Einstellungen (8) können ebenfalls übernommen werden. Drücken Sie, nachdem Sie die Einstellungen vorgenommen haben, auf "Apply". Damit wird die Gateway Policy gespeichert. 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 2/9

3 Network Policy Als nächstes muss die dazugehörige "Network Policy" erstellt werden. Klicken Sie dazu auf "Add Network Policy" (9). 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 3/9

4 Aktivieren sie die Option "Active" (10). Möchten Sie über den VPN Tunnel Net- BIOS erlauben, so muss "Allow NetBIOS Traffice Through IP Sec Tunnel" (11) ebenfalls aktiviert werden. Um auf das gesamte Netzwerk zugreifen zu können, müssen Sie als Local Network Address Type (12) "Subnet Address" auswählen. Dies bezieht sich auf das Netzwerk, in welchem sich die ZyWALL selbst befindet. Bei der Auswahl "Starting IP Address" muss die Netzwerk-ID, in diesem Beispiel ist dies , und die Subnet Maske angegeben werden Unter "Remote Network" muss als Address Type (14) "Single Address" ausgewählt und als "Starting IP Address" (15) " " eingetragen werden. Um die Network Policy zu speichern, klicken Sie auf "Apply". 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 4/9

5 Am Schluss sehen Sie die Übersicht der soeben erstellten VPN Regel. Damit ist die Konfiguration der ZyWALL abgeschlossen. 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 5/9

6 ZyXEL Remote Security Client Klicken Sie auf "add new connection" (1) und tragen Sie den Namen der neuen Verbindung (2) ein oder übernehmen Sie die Vorgabe. Geben Sie unter "ID Type", "IP Subnet" das IP-Subnet des lokalen Netzes der ZyWALL ein (3). Aktivieren Sie "Connect Using Secure Gateway Tunnel" und geben Sie unter "ID Type" im Feld "IP Address" die WAN IP Adresse der ZyWALL ein (4). Unter "My Identity" (5) "Select Certificate" auf "None" (6) und "Virtual Adapter" auf "Preferred" umstellen (7). Danach auf "Pre-Shared Key" klicken (8). 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 6/9

7 Über "Enter Key" (9) können Sie das Passwort eingeben (mindestens 8-stellig) und dann auf "OK" (10) klicken. Unter "Security Policy" (11) deaktivieren Sie "Enable Replay Detection" (12). 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 7/9

8 Wählen Sie im Menü "Authentication (Phase 1)" unter "Proposal 1" (13) folgende Optionen: "Encrypt Alg" = "DES", "Hash Alg" = "MD5" (14), "Key Group" = "DH1" (15). Diese Angaben müssen identisch sein zur Phase 1 der ZyWALL. Um die Konfiguration Ihrer Verbindung mit der ZyWall Remote Security Client-Software zu beenden, stellen Sie die Phase 2 (16) auf "Encrypt Alg" = "DES" (17) und aktivieren nur "Encapsulation Protocol (ESP)". Diese Angaben müssen wiederum identisch mit der Phase 2 der ZyWALL sein. 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 8/9

9 Mit einem Ping in das Remote Netzwerk (z.b ) wird der Tunnel aufgebaut. Im Connection Monitor wird die VPN Verbindung angezeigt. Sollte der Tunnel nicht aufgebaut werden, so kann unter "Konsole" nachgesehen werden, weshalb der Tunnelaufbau nicht geklappt hat. In der Studerus Knowledgebase sind die Fehlermeldungen und deren Bedeutungen ersichtlich. 06/2005/FZA Copyright by ZyXEL - Änderungen vorbehalten Seite 9/9