Internet. ZyWALL- und CheckPoint-NG/VPN-Konfiguration. Konfigurationsbeispiel ZyXEL ZyWALL

Transkript

1 ZyWALL- und CheckPoint-NG/VPN-Konfiguration CheckPoint Next-Generation ZyWALL Internet Dieses Konfigurationsbeispiel erklärt, wie man eine VPN-Verbindung zwischen einer ZyWall und einem CheckPoint-Next-Generation herstellt. Die Firewall-Rules des Checkpoints müssen so konfiguriert sein, dass die ZyWALL selbst sowie auch allfällige PCs hinter der ZyWALL auf das LAN des CheckPoints zugreifen können. Als erstes muss die ZyWALL als externer Gateway definiert werden. Klicken Sie bei den Network-Objects mit der linken Maustaste auf das Icon mit der Bezeichnung Check Point. Wählen Sie New Check Point und anschliessend Externally Managed Gateway. Änderungen vorbehalten Seite 1/16 Studerus Telecom AG

2 Geben Sie im neu erschienenen Fenster dem Gateway einen Namen und erfassen Sie die öffentliche IP-Adresse der ZyWALL. Selektieren Sie ebenfalls unter Check Point Products das Kästchen VPN-1 Pro (FireWall-1 wird automatisch mitgewählt). Tipp: Wenn die ZyWALL einen öffentlichen Hostname hat (z.b. kann mittels dem Button Get Address die öffentliche IP-Adresse ermittelt werden. Änderungen vorbehalten Seite 2/16

3 Klicken Sie nun auf das Menü Topology. Hier müssen die Netzwerke der ZyWALL erfasst werden indem Sie auf Add... klicken. Geben Sie nun den Namen des internen LANs, die entsprechende Netz-ID und die dazugehörige Subnetzmaske ein. Änderungen vorbehalten Seite 3/16

4 Wählen Sie nun das Register Topology und selektieren Sie Internal sowie Network defined.... Mit OK haben Sie das LAN der ZyWALL erfasst. Änderungen vorbehalten Seite 4/16

5 Ebenfalls muss noch das WAN-Netzwerk erfasst werden. Klicken Sie dazu wieder auf Add... und tragen Sie den Namen, die öffentliche IP-Adresse der ZyWALL und die Subnetzmaske ein. Änderungen vorbehalten Seite 5/16

6 Im Register Topology wählen Sie External und bestätigen die Konfiguration mit OK. So sollte schlussendlich die Netzwerktopologie der ZyWALL aussehen. Änderungen vorbehalten Seite 6/16

7 Wenn dies der Fall ist, klicken Sie auf OK, um das Fenster zu schliessen und die ZyWALL als Gateway erfasst zu haben. Änderungen vorbehalten Seite 7/16

8 Wählen Sie das Register VPN Manager und klicken Sie mit der rechten Maustaste auf die leere Fläche wo sich ebenfalls das Remote Access -Icon befindet. Unter New Community wählen Sie Star Änderungen vorbehalten Seite 8/16

9 Geben Sie nun der Star-Community einen Namen. Diese darf jedoch nicht gleich heissen wie die der CheckPoint oder die ZyWALL als Gateway. Änderungen vorbehalten Seite 9/16

10 Im Menü Central Gateways klicken Sie auf Add... und markieren den CheckPoint- Gateway. Mit OK können Sie ihn der Liste hinzufügen. Änderungen vorbehalten Seite 10/16

11 Im Menü Satelite Gateways können Sie nun den ZyWALL-Gateway hinzufügen. Änderungen vorbehalten Seite 11/16

12 Unter VPN Properties definieren Sie den Hash- sowie den Encryption-Algorithmus. In diesem Beispiel wird in beiden Phasen mit 3DES und SHA1 gearbeitet. Änderungen vorbehalten Seite 12/16

13 Im Advanced Properties werden die weiteren IPSec -Einstellungen vorgenommen. Beachten Sie bitte, dass die Renegotiate-IKE -Zeit (SA-Life-Time) in der ersten Phase in Minuten und nicht in Sekunden eingetragen werden muss. 480 Minuten entsprechen also Sekunden. Änderungen vorbehalten Seite 13/16

14 Aktivieren Sie zuletzt im Menü Shared Secret das Kästchen Use only Shared Secret und klicken Sie auf Edit.... Geben Sie nun den Pre-Shared-Key ein, mit mindestens acht Stellen und bestätigen Sie mit OK. Schliessen Sie am Schluss mit OK das Star-Community-Fenster. Änderungen vorbehalten Seite 14/16

15 Geben Sie auf der ZyWALL die genau gleichen Daten ein, wie sie Sie auf der CheckPoint definiert haben. Geben Sie unter My IP Address die öffentliche IP-Adresse der ZyWALL ein. Es kann auch eingegeben werden. Unter Secure Gateway Addr muss die öffentliche IP- Adresse des CheckPoint eingetragen werden. Änderungen vorbehalten Seite 15/16

16 Unter Advanced können Sie die weiteren IPSec-Angaben eintragen. Starten Sie nun einen Ping von einem PC auf der ZyWALL Seite zur internen IP-Adresse des CheckPoint. Wählen Sie anschliessend im Menü Advanced -> VPN den Connection- Monitor aus. Hier sollte der VPN-Tunnel als Eintrag erscheinen. Sollte dies nicht der Fall sein, wählen Sie das VPN-Log und prüfen Sie allenfalls die Fehlermeldungen mit unserem Knowledgebase-Eintrag: Weitere Hilfe: checkpoint Änderungen vorbehalten Seite 16/16