Application Note MiniRouter: IPsec-Konfiguration und -Zugriff

Transkript

1 Application Note MiniRouter: IPsec-Konfiguration und -Zugriff Dieses Dokument beschreibt die Konfiguration für den Aufbau einer IPsec-Verbindung von einem PC mit Windows XP Betriebssystem und dem 1. Ethernet-Port des Routers. Die IPsec-Verbindung terminiert am 1. Ethernet-Port und ermöglicht die gesicherte Verbindung zu Netzwerk-Clients hinter dem 2. Ethernet-Port des Routers. Voraussetzungen Contemporary Controls minirouter mit zwei Ethernet-Ports (EIRM) Firmware Durchführung (1) Router-Konfiguration Die IPsec-Einstellungen im Router befinden sich im Menü VPN -> IPsec/L2TP. Für die Konfiguration des Routers muss zunächst die Checkbox aktiviere IPsec/L2TP aktiviert werden

2 Die im Screenshot des Routers zu sehenden Einstellungen haben folgende Bedeutung: IPsec Zieladresse: Interface: IP-Adress des PPP- Gerätes: PPP-Adressbereich von und bis: Feld für die IP-Adresse des IPsec-Clients, der sich auf den Router einwählen darf. Die Adresse ist ein Platzhalter und gestattet die Einwahl von allen IP-Adressen. Dient der Angabe, zu welcher Netzwerschnittstelle des Routers die IPsec-Verbindung aufgebaut werden soll, z.b. Ethernet 1. Dies ist die Adresse, die dem Router nach dem Aufbau der IPsec-Verbindung zugewiesen wird und unter dieser der Router dann auch erreichbar ist. IP-Adress-Intervall, aus welchem den VPN-Clients eine neue IP-Adresse nach erfolgreichen Aufbau der Verbindung zugewiesen wird. Zugang Schlüssel: Hier ist der Schlüssel für die Authentifizierung der Windowseigenen IPsec-Einstellungen einzutragen (siehe weiter unten in diesem Dokument). Dieser Schlüssel muss später noch verwendet werden. Es ist daher eine gute Idee, sich den Schlüssel temporär zu notieren. Username: Passwort: Username für die VPN-Verbindung Passwort des VPN-Users Username und Passwort müssen später noch unter Windows eingetragen werden. Hinweise: In dieser Anleitung wird beschrieben, wie eine IPsec-Verbindung hin zum 1. Ethernet-Port des minirouters eingerichtet wird. Nach der Einwahl in den Router via IPsec wird ein virtuelles Netzwerk bestehend aus den eingewählten IPsec-Clients und den Clients im 2. Netzwerk hinter dem Router aufgebaut. Somit sind IPsec-Adresse und Vergabeadr. von/bis sind immer IP-Adressen aus dem 2. Netzwerk des Routers (Port: Ethernet 2) und sollten in diesem noch nicht belegt sein. Default Netzwerk-Adresse am 2. Ethernet-Port: Die neuen Einstellungen müssen jetzt im IPsec-Menü noch übernommen und im Menü - 2 -

3 Aktionen alles peichern ausgewählt werden. Anschließend ist der Router einmal neu zu starten! - 3 -

4 (2) Konfiguration von Windows XP Im Bereich Netzwerkverbindungen von Windows XP den Assisten für neue Verbindungen starten. - Netzwerkverbindungstyp: Verbindung mit dem Netzwerk am Arbeitsplatz herstellen auswählen

5 - 5 -

6 Anschließend VPN-Verbindung auswählen. Beliebigen Namen (Firmenname) der VPN-Verbindung eintragen. Eine Anfangsverbindung nicht automatisch wählen lassen

7 - 7 -

8 Nun ist die IP-Adresse des ersten Ethernet-Ports (Ethernet 1) des Routers einzutragen, zu der die VPN-Verbindung letztendlich aufgebaut werden soll. Dies ist dann der Fall, wenn im IPsec- Menü des Routers das Interface Ethernet 1 ausgewählt würde - wie in diesem Beispiel geschehen. Die Default-Adresse des Router am 1. Ethernet-Port ist die Werden, von den Default-Einstellungen, abweichende Adressen verwendet, bitte im Router-Menü: Allgemein -> Basis -> IP-Adresse Ethernet 1 nachsehen und die geänderte IP-Adresse hier eintragen. Eine Smartcard soll nicht verwendet werden. Es ist möglich, dass dieses Fenster nicht bei allen Windows XP-Versionen erscheint. Anschließend kann eine Auswahl getroffen werden, von welchen angelegten Windows XP Usern die VPN-Verbindung genutzt werden darf

9 - 9 -

10 Bei Fertigstellung des Assistenten ist es sinnvoll, eine Verknüpfung zum Desktop hinzufügen zu lassen. Auf dem Desktop befindet sich jetzt ein zusätzliches Icon minirouter_via_ipsec (analog einer DFÜ-Netzwerkverbindung). Nach dem Aufruf dieser Verbindung erscheint ein Fenster, wie das im nachstehenden Screenshot. Als Benutzername und Passwort sind die Einträge aus dem L2TP Bereich (Menü: IPsec) des Routers zu übernehmen

11 Für ein korrektes Verhalten, sind noch zwei Änderungen in den Eigenschaften vorzunehmen. Unter Eigenschaften (Knopf Eigenschaften der Verbindung), Reiter Sicherheit ist die Checkbox Datenverschlüsselung ist erforderlich zu deaktivieren. Diese Datenverschlüsselung gilt der L2TP-Verbindung, auf die Microsoft seine IPsec-Implementierung aufsetzt. Da aber schon die IPsec-Verbindung verschlüsselt wird, ist die Datenverschlüsselung für L2TP hier nicht erforderlich. Weiterhin müssen im Reiter Sicherheit die IPsec-Einstellungen angepasst werden. Im Feld Schlüssel ist der Preshared Key aus den IPsec-Angaben im Router-Menü einzutragen und zu aktivieren. Damit ist die IPsec-Konfiguration unter Windows XP beendet. Die beiden letzten Fenter können mit OK geschlossen und im Fenster Verbindung mit Router herstellen, der Knopf Verbinden, zum Aufbau der IPsec-Verbindung mit dem Router angewählt werden

12 - 12 -

13 (3) IPsec-Verbindung Die aufgebaute IPsec-Verbindung, lässt sich in der Eingabeaufforderung von Windows überprüfen: Start -> ausführen -> Öffnen: cmd oder: Start -> Programme -> Zubehör -> Eingabeaufforderung Gibt man in der Eingabeaufforderung den Befehl ipconfig ein, bekommt man eine Übersicht über vorhandene Netzwerkeinstellungen im System. Unter PPP-Adapter minirouter_via_ipsec ist z.b. die IP-Adresse von Windows für die IPsec- Verbindung zu sehen: Diese Adresse wurde Windows während dem Aufbau der IPsec-Verbindung, vom Router automatisch zugewiesen. Die IP-Adresse stammt dabei aus dem Adress-Intervall Vergabeadr. von/bis im Router (Menü: IPsec/L2TP). Der Windows-Rechner ist jetzt ein Teil des Netzwerkes hinter dem 2. Ethernet-Port des Routers, außerdem wird der Datentransfer zum Router durch die IPsec-Verbindung verschlüsselt. Erst im 2. Netzwerk hinter dem Router findet der Datentransfer wieder unverschlüsselt statt