VPN-IPSec Verbindung zwischen IPhone und bintec Router mit Zertifikaten on Demand

Transkript

1 VPN-IPSec Verbindung zwischen IPhone und bintec Router mit Zertifikaten on Demand Diese Anleitung zeigt, wie man das IPhone per VPN IPSec Tunnel an einen bintec Router anbindet. Die VPN Verbindung wird mit Zertifikaten abgesichert und nur bei Bedarf aufgebaut, wenn man bestimmte Domänennamen (z.b. server.neo-one.de) versucht aufzulösen. Seite - 1 -

2 Zertifikate ertellen Um Zertifikate zu erstellen wird XCA verwendet. Nach der Installation und dem Erstellen einer neuen Datenbank mit einem Wunschkennwort, beginnen Sie mit dem Erzeugen der Zertifikate. Sie brauchen ein CA Zertifikat, ein Zertifikat für den IPSec Router und eins für das IPhone. Beginnen Sie mit dem Erstellen des CA Zertifikats. Über die Registerkarte Zertifikate können Sie durch den Button "Neues Zertifikat" ihre Zertifikate erstellen. Seite - 2 -

3 CA Zertifikat erstellen Drücken Sie den Button "Alles übernehmen" um die Vorlage CA zu laden. Seite - 3 -

4 Wechseln Sie zur Registerkarte Inhaber (1). Füllen Sie alle Identitätsmerkmale für die CA aus (2). Drücken Sie "Erstelle einen neuen Schlüssel" (3). Bestätigen Sie das Erstellen des Schlüssels mit den Standardwerten (4). Erstellen Sie das CA Zertifikat mit dem OK Button (5). Seite - 4 -

5 IPSec Router und IPhone Zertifikat erstellen Um weitere Zertifikate für den Router und das IPhone zu erstellen, müssen das Zertifikat der CA markieren (auswählen) (1) und auf den Button "Neues Zertifikat" drücken (2). Erstellen Sie sowohl für den Router als auch für das IPhone jeweils ein Zertifikat. Seite - 5 -

6 Wechseln Sie zur Registerkarte Inhaber (1). Sie brauchen nicht alle Identitätsmerkmale ausfüllen. Interner Name und commonname sind ausreichend (2) (WICHTIG: als CN für den Router muss der DynDns Name eingetragen sein z.b. zentrale.dyndns.org). Drücken Sie "Erstelle einen neuen Schlüssel" (3). Bestätigen Sie das Erstellen des Schlüssels mit den Standardwerten (4). Erstellen Sie das Zertifikat mit dem OK Button (5). Führen Sie diese Schritte sowohl für den Router als auch für das IPhone durch. Seite - 6 -

7 Zertifikate exportieren Markieren Sie beide Client Zertifikate (1). Drücken Sie den Button Export (2). Wählen Sie als Exportformat "PKCS#12 with Certificate chain" und einen Pfad und Dateinamen (3) aus. Nach dem OK (4) drücken werden Sie nach einem Kennwort zur Absicherung der Zertifikate gefragt (dieses müssen Sie später beim importieren im Rechner und Router wieder angeben) Seite - 7 -

8 IPhone Zertifikat unter Windows importieren Das Zertifikat muss man erstmal unter Windows in den Zertifikatsspeicher importieren, damit man es später in dem "Configuration Utility for IPhone" auswählen kann. Über den Windows Explorer können Sie durch einen Doppelklick auf das "IPhone Zertifikat" das Zertifikat importieren. Seite - 8 -

9 Geben Sie das Kennwort an (1), welches Sie beim Export der Zertifikate bestimmt haben. Setzen Sie den Haken "Schlüssel als exportierbar markieren (2). Seite - 9 -

10 Wählen Sie "Zertifikatsspeicher automatisch auswählen" aus Seite

11 Bestätigen Sie den Import mit "Ja" Seite

12 IPhone Configuration Utility Das "Configuration Utility for IPhone" erhalten Sie direkt von der Apple-Webseite. Nach der Installation wählen Sie das Untermenü Konfigurationsprofile aus (1) und erzeugen ein neues Profil (2). Markieren Sie den Unterpunkt Zertifikate (3) und drücken auf den Button Konfigurieren (4). Seite

13 CA Zertifikat importieren Importieren Sie das CA Zertifikat, indem Sie es in der Liste auswählen und mit OK bestätigen. Seite

14 IPhone Zertifikat importieren Über den + Button (1) können Sie ein weiteres Zertifikat importieren. Wählen Sie das Zertifikat für das IPhone (2) aus und bestätigen Sie mit OK (3). Sie werden anschließend wieder nach dem Zertifikatskennwort gefragt, welches Sie beim exportieren vergeben haben. Seite

15 Geben Sie nochmals das Kennwort beim IPhone Zertifikat an, damit beim importieren ins IPhone später keine weiteren Nachfragen kommen. VPN Verbindung konfigurieren Wechseln Sie zum Menü VPN (1) und drücken Sie den Button konfigurieren (2). Seite

16 Geben Sie als Verbindungsnamen den Namen des VPN Tunnels an (1). Der Verbindungstyp ist Cisco IPSec (2). Der Server ist die öffentliche IP-Adresse oder der Dyndns Name vom IPSec Router (3). Der Account und das Kennwort sind die erweiterte Authentifizierung (X-Auth) (4). Als Geräte Authentifizierung wählen Sie Zertifikat aus (5). Wählen Sie bei Identitätszertifikat das vom IPhone aus (6). Setzen Sie den Haken bei "VPN on Demand aktivieren" (7). Erstellen Sie über das + Zeichen ein Objekt und geben den Domänennamen des Servers an und als Aktion "immer herstellen", bei welchem der Tunnel aufgebaut werden soll (8). INFO: Jedesmal, wenn Sie im IPhone den Domainnamen server.neo-one.de ansprechen wird der VPN-Tunnel aufgebaut. Seite

17 Profilnamen vergeben Wählen Sie das Menü Allgemein aus. Geben Sie dem Profil einen Namen und eine beliebige Kennung. Konfigurationsprofil auf das IPhone exportieren Wenn Sie das IPhone am Windows Rechner angeschlossen haben, wählen Sie es aus (1) und drücken Sie auf der rechten Seite, bei dem zu exportierenden Profil den Button "Install" (2). Auf dem IPhone erscheint ein Dialog, welchen Sie bestätigen müssen um das Profil mit den Zertifikaten zu installieren. bintec Router Konfiguration Als VPN-Gateway steht ein bintec Router der RS-Serie zur Verfügung mit Software Das lokale Netzwerk ist das IP-Subnetz Die Grundkonfiguration samt Internet Zugang ist Seite

18 bereits konfiguriert. Die Konfiguration wird ausschließlich über die Weboberfläche (GUI) durchgeführt. Zertifikate importieren Gehen Sie in folgendes Menü (GUI > Systemverwaltung > Zertifikate > Zertifikatsliste > importieren). Wählen Sie über den Button "Durchsuchen" das Zertifikat vom Router aus (1). Geben Sie eine beliebige Zertifikatsbeschreibung an (2). Bei Passwort tragen Sie das Kennwort ein, welches Sie beim exportieren des Zertifikats ursprünglich verwendet haben (3). Bestätigen Sie Ihre Eingaben mit OK. VPN-Verbindung Konfigurieren IP-Pool anlegen Gehen Sie in folgendes Menü (GUI > VPN > IPSec > IP Pools > Hinzufügen). Geben Sie einen beliebigen Poolnamen ein (1). Tragen Sie im Poolbereich die erste und letzte IP-Adresse für den IP-Pool ein (2). Bestätigen Sie Ihre Eingaben mit OK. Seite

19 X-Auth Profil konfigurieren Gehen Sie in folgendes Menü (GUI > VPN > IPSec > XAUTH-Profile > Neu). Geben Sie eine beliebigen Beschreibung ein (1). Die Rolle stellen Sie auf Server und den Modus auf Lokal (2). Als Benutzername und Kennwort verwenden Sie die Eingaben aus der VPN-Profil Konfiguration im "Configuration Utility" (3). Bestätigen Sie Ihre Eingaben mit OK. Seite

20 VPN-Verbindung anlegen Gehen Sie in folgendes Menü (GUI > VPN > IPSec > IPSec-Peers > Neu). Geben Sie eine beliebige Beschreibung ein (1). Als Peer ID wählen Sie ASN.1 und tragen den vollständigen Subjectname des Zertifikats vom IPhone ein (2). Die IP-Adressenvergabe stellen Sie auf "Server im IKE-Konfigurationsmodus" und wählen als IP- Zuordnungspool den Pool für das IPhone aus (3). Unter Lokale IP- Adresse wird die IP-Adresse vom LAN Interface des Routers eingetragen (4). Als XAUTH-Profil wählen Sie das Konfigurierte für das IPhone aus (5). Seite

21 Phase 1 Profil bearbeiten Gehen Sie in folgendes Menü (GUI > VPN > IPSec > Phase-1-Profil). Die Zertifikatskonfiguration für alle VPN Verbindungen muss man im Standard Profil vornehmen. Das Standard Profil erkennen Sie bei mehreren Profilen an dem markierten Profil durch einen Radio Button (1). Bearbeiten Sie das Profil über den bearbeiten Button (2). Seite

22 Wählen Sie in der obersten Proposal AES-256 und SHA1 aus und deaktivieren Sie die beiden anderen Parameter (1). Die Authentifizierung stellen Sie auf RSA-Signatur (2). Als Lokales Zertifikat wählen Sie das Router Zertifikat aus (3). Den Modus stellen Sie auf Main Mode (4). Setzen Sie den Haken bei "Subjektname aus Zertifikat verwenden" (5) und bestätigen Sie mit OK. Phase 2 Profil bearbeiten Gehen Sie in folgendes Menü (GUI > VPN > IPSec > Phase-2-Profil) und bearbeiten das Phase 2 Profil. Wählen Sie in der obersten Proposal AES-256 und SHA1 aus und deaktivieren Sie die beiden anderen Parameter (1). Nehmen Sie den Haken bei PFS-Gruppe verwenden heraus (2). Wählen Sie bei Lebensdauer 100% und bestätigen Sie mit OK. Seite

23 DNS-Server Konfiguration Damit das IPhone nach der VPN Einwahl die Namen aus der gewünschten Domain auflösen kann, sollte man bei der Vergabe der IP-Adresse an den IPhone Client auch die IP-Adresse eines DNS- Servers mitgeben. Um den Router als DNS Server anzugeben, stellen Sie die Ansicht auf SNMP-Browser (1). Wechseln Sie in das Menü "IP > ipdynaddrpooltable" (2). Bearbeiten Sie den Pool für die IPSec- Einwahl (3). Seite

24 Tragen Sie bei "ipdynaddrpooldnsserver1" die IP-Adresse ihres DNS- Servers (oder Router) ein. Kontrolle Um die VPN Verbindung zu testen, greifen Sie im Safari Browser auf den konfigurierten Domänennamen zu z.b. server.neo-one.de. Die VPN Verbindung wird automatisch aufgebaut und der Name wird von dem konfigurierten DNS Server aufgelöst. Seite