1. IKEv2 zwischen Windows 7 und Gateway mit Zertifikaten (PKCS#12)

Transkript

1 1. IKEv2 zwischen Windows 7 und Gateway mit Zertifikaten (PKCS#12) 1.1 Einleitung Im Folgenden wird die Konfiguration einer IPSec-Verbindung mit IKEv2 von einem Windows 7 Rechner zum bintec IPSec-Gateway beschrieben. Der Windows 7 Rechner erhält über den IKE-Config-Mode eine IP-Adresse, um auf das IP-Subnetz der Zentrale zuzugreifen. Das Szenario kann sowohl mit dynamischen als auch mit festen IP-Adressen konfiguriert werden. Die Authentifizierung erfolgt über Zertifikate, die von einer Zertifizierungsstelle ausgestellt wurden (PKCS#12). Diese Anleitung zeigt die Konfiguration der Zentrale auf Basis eines RS232bw und einem Windows 7 Rechner mit SP1. Zur Konfiguration wird das Graphical User Interface (GUI) verwendet. 1.2 Voraussetzungen Folgende Voraussetzungen für die Konfiguration müssen erfüllt sein: Eine Grundkonfiguration des Gateways. Die Konfiguration erfordert einen funktionsfähigen Internetzugang. Client Rechner mit Windows 7 SP1. Eine installierte Zertifizierungsstelle (CA) z.b. XCA Version Seite - 1 -

2 1.3 Zertifizierungsstelle Installieren Sie die Zertifizierungsstelle xca und erstellen Sie eine neue Datenbank. Gehen Sie anschließend in folgendes Menü, um für das eigene Zertifikat der Zertifizierungsstelle, für den IKEv2-IPSec-Client und für das IPSec-Gateway jeweils einen Schlüssel zu generieren: XCA Private Schlüssel Neuer Schlüssel Wählen Sie als Schlüsselnamen z.b. key1, key2 und key3. Stellen Sie die Schlüssellänge auf z.b bit und den Schlüsseltyp auf z.b. RSA. Gehen Sie in folgendes Menü, um das Zertifikat der Zertifizierungsstelle zu erstellen: XCA Zertifikate Neues Zertifikat Auf der Registerkarte Herkunft wählen Sie als Signaturalgorithmus z.b. SHA 1. Als Vorlage für das neue Zertifikat nutzen Sie [default] CA und klicken auf Übernehmen. Seite - 2 -

3 Füllen Sie auf der Registerkarte Besitzer alle Angaben zur Zertifizierungsstelle wie folgt aus: Interner Name: z.b. Teldat-CA. organizationname: z.b. Teldat. countryname: z.b. DE. organizationunitname: z.b. Training. stateorprovincename: z.b. NRW. commonname: z.b. ca. localityname: z.b. Krefeld. address: z.b. Unter Privater Schlüssel wählen Sie den für die CA generierten Schlüssel, z.b. key1 (RSA). Bestätigen Sie Ihre Eingaben mit OK. Für den Router und den Client brauchen Sie jeweils ein eigenes Zertifikat. Gehen Sie in folgendes Menü, um zwei Zertifikate mit folgenden Parametern zu erstellen: XCA Zertifikate Neues Zertifikat Auf der Registerkarte Herkunft aktivieren Sie Verwende dieses Zertifikat zum Unterschreiben und wählen z.b. Teldat-CA aus. Den Signaturalgorithmus setzen Sie auf z.b. SHA 1. Seite - 3 -

4 Auf der Registerkarte Inhaber verwenden Sie für den Router als Interner Name z.b. zentrale und als Üblicher Name z.b Für den Client verwenden Sie als Interner Name und als Üblicher Name z.b. client. Als Privater Schlüssel wählen Sie für den Router z.b. key2 und für den Client z.b. key3 aus. Für das Router Zertifikat müssen Sie zusätzlich auf der Registerkarte Key usage die Erweiterte Schlüsselbenutzung TLS Web Server Authentication markieren. INFO Windows 7 erfordert bei IKEv2 im Zertifikat vom Router als Üblicher Name (CN, Common Name) die öffentliche IP-Adresse oder den Domänen Namen, den man in der VPN Verbindung im Client als Ziel angibt. Ausserdem muss das Zertifikat die erweiterte Schlüsselverwendung serverauth unterstützen. INFO Wenn Sie nicht möchten, dass Windows 7 die erweiterten Parameter des Router Zertifikats überprüft, können Sie die Sicherheitsüberprüfung über die Registry deaktivieren. Öffnen Sie dazu folgenden Pfad in der Registry: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\Parameters\ Erzeugen Sie einen DWORD Eintrag mit dem Namen DisableIKENameEkuCheck und dem Wert 1. Seite - 4 -

5 Gehen Sie in folgendes Menü, um die Zertifikate für den Router und den Client inklusive privatem Schlüssel und Zertifikat der Zertifizierungsstelle als Datei zu exportieren: XCA Zertifikate Markieren Sie das Zertifikat, welches exportiert werden soll z.b. zentrale und klicken Sie auf Export. Wählen Sie als Dateinamen für den Router z.b. C:\zentrale.p12 und für den Client z.b. C:\client.p12. Als Exportformat geben Sie z.b. PKCS#12 with Certificate chain an. Geben Sie anschließend ein Passwort ein z.b. bintec. 1.4 Zertifikat importieren Um das erstellte Zertifikat in den Router zu importieren, gehen Sie in folgendes Menü: GUI Systemverwaltung Zertifikate Zertifikatsliste Importieren Seite - 5 -

6 Folgende Punkte sind hier relevant: Feld Externer Dateiname Lokale Zertifikatsbeschreibung Dateikodierung Passwort Bedeutung Der Pfad zum Zertifikat, welches importiert werden soll. Der interne Dateiname für das Zertifikat. Wählen Sie das Kodierformat der Datei aus. Optionales Kennwort zur Absicherung des Zertifikats. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Bei Externer Dateiname geben Sie z.b. C:\zentrale.p12 an. Als Lokale Zertifikatsbeschreibung verwenden Sie z.b. zentrale. Unter Dateikodierung wählen Sie z.b. Auto. Als Passwort verwenden Sie z.b. bintec. 1.5 Verbindung im Router konfigurieren Um den IKE-Config Modus für die Vergabe von IP-Adressen an die Clients zu nutzen, müssen Sie einen IP-Adressen Pool erstellen. Gehen Sie in folgendes Menü, um einen IP-Pool für den IPSec-Client zu erstellen: GUI VPN IPSec IP Pools Hinzufügen Folgende Punkte sind hier relevant: Feld IP-Poolname IP-Poolbereich Bedeutung Die Bezeichnung des IP-Pools. Die erste und letzte IP-Adresse aus dem Pool. Seite - 6 -

7 Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter Beschreibung tragen Sie z.b. IPSec-Pool ein. Als IP-Poolbereich verwenden Sie z.b Gehen Sie jetzt in folgendes Menü, um die IPSec-Verbindung für den Client zu erstellen: GUI VPN IPSec IPSec Peers Neu Folgende Punkte sind hier relevant: Feld Bedeutung Beschreibung Die Bezeichnung des VPN-Tunnels. Peer-Adresse Die öffentliche IP-Adresse / Domain Name vom Partner. Peer-ID Die Identifikation vom einwählenden Client. IKE (Internet Key Exchange) Das verwendete Protokoll für den Verbindungsaufbau. Authentifizierungsmethode Die Art der Authentifizierung. Lokales Zertifikat Das eigene Zertifikat für die Authentifizierung. Lokale ID Die eigene Identität für die Authentifizierung. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter Beschreibung tragen Sie z.b. Client ein. Seite - 7 -

8 Das Feld Peer-Adresse bleibt bei einer Client Einwahl leer. Als Peer-ID verwenden Sie z.b. ASN.1-DN / CN=client. Bei IKE (Internet Key Exchange) wählen Sie IKEv2. Die Authentifizierungsmethode setzten Sie auf z.b. RSA-Signatur. Als Lokales Zertifikat wählen Sie z.b. zentrale aus. Unter Lokale ID setzten Sie den Haken: Subjektname aus Zertifikat verwenden. Konfigurieren Sie die Routenparameter folgendermaßen: Folgende Punkte sind hier relevant: IP-Adressenvergabe Konfigurationsmodus IP-Zuordnungspool Lokale IP-Adresse Wählen Sie zwischen statischer / dynamischer IP-Adresse. Auf welche Art soll die IP-Adresse vergeben werden. Der IP-Adressen Pool für die Vergabe an die Clients. Die Lokale IP-Adresse der LAN-Schnittstelle. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter IP-Adressenvergabe wählen Sie z.b. Server im IKE-Konfigurationsmodus. Wählen Sie als Konfigurationsmodus z.b. Pull. Als IP-Zuordnungspool verwenden Sie z.b. IPSec-Pool. Bei Lokale IP-Adresse tragen Sie z.b ein. INFO Wenn Sie dem Client eine IP-Adresse aus dem selben Subnetz geben wie im LAN der Zentrale, müssen Sie im Tunnel unter Erweiterte Einstellungen als auch im LAN Interface unter LAN IP-Konfiguration en1-0 Erweiterte Einstellungen Proxy ARP einschalten. Seite - 8 -

9 INFO Wenn Sie Zertifikate zur Authentifizierung nutzen, müssen Sie in folgendem Menü Datum und Uhrzeit überprüfen um sicher zu stellen, dass die verwendeten Zertifikate gültig sind: GUI Systemverwaltung Globale Einstellungen Datum und Uhrzeit 1.8 Windows IKEv2-IPSec-Client konfigurieren Unter Windows 7 müssen Sie das Zertifikat für den Client als Computerzertifikat importieren. Führen Sie dazu folgende Schritte aus: Öffnen Sie eine Microsoft Management Console (MMC) Start Ausführen MMC Fügen Sie das Snap-In Zertifikate hinzu. Wählen Sie Computerkonto und Lokaler Computer aus. Klappen Sie das Menü Zertifikate Eigene Zertifikate Zertifikate auf. Mit der Rechten Maustaste wählen Sie Alle Aufgaben Importieren aus. Wählen Sie das Client Zertifikat zum importieren aus. Geben Sie das Zertifikatskennwort an z.b. bintec. Wählen Sie Zertifikatsspeicher automatisch auswählen aus. Überprüfen Sie unter eigene Zertifikate und Vertrauenswürdige Stammzertifizierungsstellen den erfolgreichen Import. Seite - 9 -

10 Für die Konfiguration des IKEv2-VPN-Clients, gehen Sie unter Windows in folgendes Menü und erstellen eine VPN-Verbindung: Netzwerk und Freigabecenter Neue Verbindung oder neues Netzwerk einrichten In den Eigenschaften der Verbindung konfigurieren Sie folgende Parameter: In der Registerkarte Allgemein geben Sie die IP-Adresse des entfernten Gateways an z.b In der Registerkarte Sicherheit wählen Sie als VPN-Typ z.b. IKEv2. Die Authentifizierung stellen Sie auf Computerzertifikat verwenden. Seite

11 1.9 Konfiguration überprüfen Um die IPSec-Verbindung zu testen, bauen Sie die Verbindung vom Client aus auf und geben Sie in der Eingabeaufforderung des Client-PCs einen Ping zum zentralen Router ab. c:\>ping Ping wird ausgeführt für mit 32 Bytes Daten: Antwort von : Bytes=32 Zeit=3ms TTL=61 Antwort von : Bytes=32 Zeit=1ms TTL=61 Ping-Statistik für : Pakete: Gesendet = 2, Empfangen = 2, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 1ms, Maximum = 3ms, Mittelwert = 2ms Die Systemmeldungen vom Router können Sie sich in folgendem Menü anzeigen lassen: GUI Monitoring Internes Protokoll Seite