Securepoint Security Systems Version 2007nx Release 3 & NCP Secure Entry Client

Transkript

1 Securepoint Security Systems Version 2007nx Release 3 & NCP Secure Entry Client Konfigurationsguide für NCP's Secure Entry Client und Securepoint Security Systems Prepared by: NCP Engineering GmbH Dombuehler Strasse 2, Nürnberg, Germany Phone: Fax:

2 Disclaimer Considerable care has been taken in the preparation of this quick guide, errors in content, typographical or otherwise may occur. If you have any comments or recommendations concerning the accuracy, then please contact NCP as desired. NCP makes no representations or warranties with respect to the contents or use of this quick guide, and explicitly disclaims all expressed or implied warranties of merchantability or use for any particular purpose. Furthermore, NCP reserves the right to revise this publication and to make amendments to the content, at any time, without obligation to notify any person or entity of such revisions and changes. Copyright This quick guide is the sole property of NCP and may not be copied for resale, commercial distribution or translated to another language without the express written permission of NCP engineering GmbH, Dombühler Str.2, D Nürnberg, Germany. Trademarks All trademarks or registered trademarks appearing in this manual belong to their respective owners NCP Engineering GmbH. All rights reserved. 2

3 Inhalt 1 Konfiguration der Appliance Erstellen von Netzwerkobjekten im Securepoint Security Manager Erstellen von Firewallregeln Erstellen von Zertifikaten IPSec Konfiguration Konfiguration mit dem Assistenten Konfiguration über die Layer-Ansicht Konfiguration des VPN-Client NCP unter Windows Zertifikat auswählen Profil anlegen Verbindung herstellen

4 VPN mit IPSec, Roadwarrior, Zertifikat und NCP-VPN-Client Ein VPN verbindet einen oder mehrere Rechner oder Netzwerke miteinander, indem es ein anderes Netzwerk, z. B. das Internet, als Transportweg nutzt. Das kann z. B. der Rechner eines Mitarbeiters zu Hause oder einer Filiale sein, der mit dem Netzwerk der Zentrale über das Internet verbunden ist. Für den Benutzer sieht das VPN wie eine normale Netzwerkverbindung zum Zielrechner aus. Den tatsächlichen Übertragungsweg sieht er nicht. Das VPN stellt dem Benutzer eine virtuelle IP-Verbindung zur Verfügung, die durch eine tatsächliche getunnelt wird. Die über diese Verbindung übertragenen Datenpakete werden am Clienten verschlüsselt und vom Securepoint Server wieder entschlüsselt und umgekehrt. Zielsetzung: Aufbau eines VPN mit IPSec zwischen der Securepoint Appliance und einem Roadwarrior (VPN-Client) Abb. 1 VPN Layer 4

5 1 Konfiguration der Appliance 1.1 Erstellen von Netzwerkobjekten im Securepoint Security Manager Als erstes müssen einige Netzwerkobjekte erstellt werden. Die Roadwarrior wurden in diesem Beispiel als einzelne Objekte angelegt und in die Gruppe Grp-roadwarrior geschoben. Sie können auch in einem Subnetz ( /24) zusammengefasst werden. Dies ist sinnvoll, wenn alle Roadwarrior immer die gleichen Berechtigungen haben. In diesem Fall wäre auch eine genaue Identifikation wie in Abschnitt (A) beschrieben nicht notwendig. Eine Konfiguration wie in Abschnitt (B) ist dann ausreichend. Es werden 4 Rechner und 3 Rechnergruppen erstellt: Rechnergruppe Rechner Bedeutung Grp-external-interface external-interface das externe Firewall Interface Grp-internal-net internal-net das interne Netzwerk Grp-roadwarrior Roadwarrior01 Roadwarrior02 die Roadwarrior (VPN-Clients) 5

6 Gehen Sie folgendermaßen vor: Wählen Sie über Firewall die Registerkarte Netzwerkobjekte. Klicken Sie auf den Button Rechner. Es werden Ihnen hier zwei Möglichkeiten dargestellt. Wenn Sie über eine feste IP-Adresse verfügen fahren Sie mit 1. (Feste IP-Adresse) fort. Im Fall von dynamischen IP-Adressen fahren Sie mit 2. (Dynamische IP-Adresse) fort. 1. Feste IP-Adresse: Die IP wird angegeben, daher muss der Bitcount 32 (= Host) sein. Die Zone ist firewall-external. Bei der Gruppe Grp-external-interface muss ein Symbol ausgewählt werden. Abb. 2 externes Interface mit fester IP-Adresse 6

7 2. Dynamische IP-Adresse: Falls keine feste externe IP vorhanden ist, sondern ein dynamischer DNS Dienst (dyn-dns) verwendet wird, muss das Interface mit der IP und der Maske 0 angelegt werden. Abb. 3 externes Interface mit dynamischer IP-Adresse Legen Sie nun das interne Netz (Abb. 4) und die Roadwarrior (Abb. 5 und Abb. 6) wie dargestellt an. Der erste Roadwarrior erhält hier die IP Der 2. Roadwarrior erhält die IP Abb. 4 internes Netz einrichten Abb. 5 Roadwarrior01 anlegen 7

8 Abb. 6 Roadwarrior02 anlegen Die Abb. 7 zeigt das Ergebnis. Abb. 7 Ergebnis Netzwerkobjekte erstellen 8

9 1.2 Erstellen von Firewallregeln Gehen Sie folgendermaßen vor: Wählen Sie über Firewall die Registerkarte Portfilter und legen Sie die Firewall- Regeln wie in den Abbildungen an. Sie benötigen nur 2 Regeln. Die erste Regel erlaubt den externen Rechnern eine IPSec- Verbindung zum externen Interface der Appliance aufzubauen. Abb. 8 Firewall Regel Internet 9

10 Die zweite Regel ermöglicht den Roadwarrior vollen Zugriff auf das interne Netzwerk. Abb. 9 Firewall Regel Roadwarrior Führen Sie abschließend ein Regelupdate zum Aktivieren der Regeln durch. Abb. 10 Regelupdate durchführen 10

11 1.3 Erstellen von Zertifikaten Gehen Sie folgendermaßen vor: Wählen Sie über VPN die Registerkarte Zertifikate. Abb. 11 VPN Registerkarte Zertifikate 11

12 Als erstes muss die Certification Authority (CA) erstellt werden, mit der das Server-Zertifikat und die Client-Zertifikate für die Roadwarrior signiert werden. Als erstes wird daher ein Stamm-Zertifikat erstellt. Klicken Sie auf das Icon Neu und wählen Sie dann Stamm-Zertifikat aus. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. 12 Stammzertifikat erstellen Wenn Sie auf OK klicken, öffnet sich der gleiche Dialog nochmal, damit Sie Benutzerzertifikate erstellen können. 12

13 Nachdem eine CA erstellt wurde, können Server- und Client-Zertifikate generiert werden. Es wird ein Server und für jeden Roadwarrior ein Client-Zertifikat benötigt. Diese Zertifikate müssen sich nur im Namen unterscheiden. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. 13 Server-Zertifikat erstellen Wenn Sie auf OK klicken, öffnet sich der gleiche Dialog nochmal, damit Sie weitere Benutzerzertifikate erstellen können. 13

14 Anschließend werden Client-Zertifikate benötigt. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. 14 Zertifikat für Roadwarrior01 erstellen Abb. 15 Zertifikat für Roadwarrior02 erstellen Klicken Sie auf den neu geöffneten Dialog auf Abbrechen, um die Zertifikaterstellung zu beenden. 14

15 Nach dem Erstellen des Client-Zertifikats Exportieren Sie nun die Zertifikate für den Einsatz auf einem Roadwarrior. Klicken Sie auf den Unterpunkt Certs und markieren Sie das Zertifikat des Roadwarriors01. Klicken Sie auf das Icon Export und wählen Sie den Datentyp pkcs #12 aus. Geben Sie in dem folgenden Dialog ein Kennwort ein, um das Zertifikat zu verschlüsseln. Anschließend kann das Zertifikat lokal abgespeichert werden. Verfahren Sie mit dem Zertifikat des Roadwarriors02 genauso. Abb. 16 Zertifikat exportieren 15

16 1.4 IPSec Konfiguration Die Konfiguration kann auf zwei Weisen vorgenommen werden. Entweder über einen Assistenten geführte Konfiguration oder zeichnungsbasierte manuelle Konfiguration Konfiguration mit dem Assistenten Gehen Sie folgendermaßen vor: Wählen Sie auf über VPN die Registerkarte VPN Verbindungen. Wechseln Sie durch Klicken auf das Icon Ansicht in die Listen-Ansicht. Klicken Sie auf das Icon Neu. Es öffnet sich der IPSec Wizard. Wählen Sie Roadwarrior und klicken Sie auf weiter. Abb. 17 Konfiguration mit dem Assistenten Schritt 1 16

17 Wählen Sie natives IPSec und klicken Sie auf weiter. Abb. 18 Konfiguration mit dem Assistenten Schritt 2 Geben Sie der Verbindung einen Namen. Wählen Sie als Authentifizierung Zertifikat und wählen Sie das roadwarrior01 Zertifikat aus der Dropdown-Liste. Abb. 19 Konfiguration mit dem Assistenten Schritt 3 17

18 Geben Sie das lokale Netz ein, auf das der Roadwarrior zugreifen darf und teilen Sie ihm eine feste IP-Adresse zu. Schließen Sie die Konfiguration mit den Assistenten durch klicken auf Fertig ab. Abb. 20 Konfiguration mit dem Assistenten Schritt 4 Das Ergebnis der Konfiguration sollte wie in Abb. 21 aussehen. Verfahren Sie mit dem zweiten Roadwarrior genau so. Abb. 21 Ergebnis der Konfiguration 18

19 1.4.2 Konfiguration über die Layer-Ansicht Gehen Sie folgendermaßen vor: Wählen Sie auf über VPN die Registerkarte VPN Verbindungen. Ziehen Sie mit der Maus das bestehende Firewallobjekt aus dem linken Fenster auf die VPN Arbeitsfläche. Abb. 22 Firewall auf den VPN-Layer ziehen 19

20 Jetzt erstellen Sie ein neues Roadwarrior-Objekt im linken Fenster. Klicken Sie auf das Notebook-Symbol in der Bildleiste des linken Fensters. Im Dialog-Fenster Roadwarrior hinzufügen wird der Roadwarrior mit der IP angelegt, da diese sich ständig ändern kann! Abb. 23 Roadwarrior hinzufügen Ziehen Sie nun das neu erstellte Roadwarrior-Objekt aus dem linken Fenster auch auf die VPN Arbeitsfläche. Abb. 24 Roadwarrior-Objekt auf den Layer ziehen 20

21 Wenn Sie mehr als einen Roadwarrior erstellen wollen, verfahren Sie wie vorab dargestellt und ziehen diese dann auf die VPN Arbeitsfläche. Klicken Sie nun auf das Icon Verbinden und dann auf das Roadwarrior-Objekt. Es erscheint eine Fahne am Roadwarrior-Objekt mit der Information Bitte Zielobjekt anklicken. Klicken Sie nun das Firewall-Objekt an. Abb. 25 VPN-Verbindung herstellen Es erscheint jetzt automatisch ein neues Dialog-Fenster IP-Sec-Verbindungen Übernehmen (Abb. 26). Sie können nun zwischen zwei Vorgehensweisen wählen: Vorgehensweise A: Soll ein Roadwarrior genau identifiziert werden, empfiehlt sich die Angabe des Zertifikat Betreffs. Die konfigurierte Verbindung wird so genau einem Roadwarrior zugewiesen. Vorgehensweise B: Beschreibt, wie eine Konfiguration für mehrere Roadwarrior mit gültigem Zertifikat erstellt wird. 21

22 Vorgehensweise A Wählen Sie im Dialog-Fenster IPSec-Verbindungen Übernehmen Registerkarte Allgemein das Authentisierungsverfahren CERT und den ID-Typ SUBJECT. Weitere Einstellungen sind im Standardfall einfach zu übernehmen. Wählen Sie im Folder firewall.foo.local das Serverzertifikat aus und bestätigen die Eingaben mit OK. Abb. 26 Registerkarte Allgemein Abb. 27 Registerkarte Name der Appliance Es müssen noch die Subnetze für die Verbindung angelegt werden, durch die das Routing geregelt wird. Klicken Sie auf das Icon Neu und es erscheint der Dialog IPSec-Subnetze. Tragen Sie hier die gezeigten Daten ein. Achten Sie darauf, dass in diesem Beispiel die Daten des roadwarrior02 verwendet werden. 22

23 Abb. 28 Registerkarte Subnetz Abb. 29 Subnetz und feste IP-Adresse angeben Vorgehensweise B Wenn bei dem ID-Typ CERT ausgewählt wird, können alle Roadwarrior mit gültigem Zertifikat diese Verbindung verwenden (sofern die Subnetzkonfiguration kompatibel ist). Wählen Sie in der Registerkarte firewall.foo.local das Serverzertifikat aus und bestätigen die Eingaben mit OK. Abb. 30 VPN-Verbindung ID-Typ CERT Abb. 31 VPN-Verbindung nur mit lokalem Zertifikat Der Vorteil bei dieser Konfiguration ist, dass alle Roadwarrior-IPs in einem einzigen Fenster konfiguriert werden können.

24 Auch hier muss das Subnetz festgelegt werden, welches das Routing zwischen Roadwarrior und internem Netz regelt. Klicken Sie hierzu auf die Registerkarte Subnetz und hier auf das Icon Neu. Der Dialog IPSec-Subnetze erscheint. Abb. 33 Subnetze anlegen Abb. 32 Registerkarte Subnetz Überprüfen Sie anschließend den Status der Dienste unter Applikationen in der Registerkarte Dienste Status. Für die VPN-Verbindung wird der SERVICE_IPSEC benötigt. 24

25 Kopieren Sie nun die im Abschnitt Zertifikate (vgl. 1.3) erstellten Zertifikate auf die Zielsysteme. 25

26 2 Konfiguration des VPN-Client NCP unter Windows Gehen Sie folgendermaßen vor: Installieren Sie den NCP-VPN-Client auf einen vorgesehenen Rechner und starten Sie den Client. 2.1 Zertifikat auswählen Bevor Sie eine neue Konfiguration für den Roadwarrior erstellen, sollten Sie die erforderlichen Zertifikate dem NCP-VPN-Client zuweisen. Klicken Sie in der Menüleiste auf den Punkt Konfiguration und wählen Sie aus dem Dropdownmenü den Punkt Zertifikate. Es öffnet sich der Dialog Zertifikate. Wählen Sie hier aus dem Dropdownmenü als Zertifikatquelle aus PKCS#12-Datei aus. Geben Sie bei PKCS#12-Dateiname den Pfad zu dem Roadwarrior Zertifikat an. Bestätigen Sie dann mit OK. Abb. 35 Zertifikat auswählen Abb. 34 Zertifikat zuweisen 26

27 2.2 Profil anlegen Für die Konfiguration zur Verbindung mit der Securepoint Firewall muss ein neues Profil erstellt werden. Klicken Sie in der Menüleiste auf Konfiguration und wählen aus dem Dropdownmenü den Punkt Profil-Einstellungen. Es öffnet sich der Dialog Profil-Einstellungen. Abb. 37 Ein neues Profil hinzufügen Abb. 36 Profile bearbeiten Klicken Sie auf den Button Neuer Eintrag, um eine neue Verbindung zu definieren. Es öffnet sich der Assistent für ein neues Profil. Wählen Sie hier Verbindung zum Firmennetz über IPSec und klicken Sie auf Weiter. Abb. 38 Verbindungstyp auswählen 27

28 Für das neue Profil muss ein Name angegeben werden. Tragen Sie einen Namen ein und bestätigen mit Weiter. Abb. 39 Namen für das Profil angeben Die Verbindungsart muss ausgewählt werden. Wählen Sie automatische Medienerkennung aus und klicken Sie auf Weiter. Abb. 40 Verbindungsart festlegen 28

29 Nun müssen die Parameter für das entfernte Gateway also die Securepoint Firewall angegeben werden. Geben Sie unter Gateway die externe IP Adresse der Firewall ein und klicken Sie auf Weiter. Abb. 41 externe IP der Firewall eingeben Es folgt die Konfiguration des IPSec. Wählen Sie als Austausch-Modus Main Mode und als PFS-Gruppe DH-Gruppe 2 (1024 Bit). Klicken Sie auf Weiter. Abb. 42 Parameter für das IPSec festlegen 29

30 Da zur Authentifizierung Zertifikate benutzt werden, lassen Sie die Felder für den Preshared Key im nächsten Dialog frei. Wählen Sie lediglich ASN1 Distinguished Name für den Typ der lokalen Identität aus. Klicken Sie dann auf Weiter. Abb. 43 Type der lokalen Identität auswählen Als nächstes wird die IP Adressvergabe im Tunnel abgefragt. Da die Roadwarrior in der Securepoint Firewall Konfiguration als Objekte mit fester IP-Adresse eingetragen sind, wählen Sie hier IP-Adresse manuell vergeben aus und geben die entsprechende IP an. Lassen Sie die Felder für die IP-Adressen des DNS- und WINS-Server auf den voreingestellten Werten. Klicken Sie auf Weiter. Abb. 44 IP Adresse für den Tunnel manuell eintragen 30

31 Für die Firewall Einstellungen aktivieren Sie Stateful Inspection durch den Eintrag bei bestehender Verbindung. Lassen Sie NetBIOS über IP aktiviert. Klicken Sie auf Fertigstellen. Abb. 45 Firewall Einstellungen vornehmen Der Assistent ist abgeschlossen und das Profil wird im Dialog Profil-Einstellungen angezeigt. Markieren Sie das eben angelegte Profil und klicken Sie auf Konfigurieren, um das entfernte Netzwerk zu definieren. Abb. 46 Profil bearbeiten 31

32 Der Dialog Profil-Einstellungen Name_der_Verbindung öffnet sich. Wählen Sie im linken Bereich VPN IP-Netze aus und klicken dann auf den Button Neu. Es öffnet sich der Dialog IP-Netze. Geben Sie das interne Netz der Securepoint Firewall mit der entsprechenden Subnetz-Maske an. Klicken Sie dann auf OK. Das Netzwerk wird im vorherigen Dialog angezeigt. Klicken Sie dann auf OK. Schließen Sie den Dialog Profil-Einstellungen mit OK. Abb. 48 Subnetz hinzufügen Abb. 47 Subnetz Einstellungen 32

33 2.3 Verbindung herstellen Stellen Sie nun die Verbindung zur Securepoint Firewall her. Im Hauptfenster des NCP-VPN-Client wählen Sie unter Profil das eben angelegte Profil und klicken dann auf den Button Verbinden. Sie können auch das Taskleisten Icon benutzen. Klicken Sie mit der rechten Maustaste auf das Ampel Icon und wählen Sie Verbinden. Es erscheint der Dialog PIN Eingabe zur Abfrage des Kennworts des Zertifikats. Geben Sie das Kennwort ein und klicken Sie auf OK. Der VPN Client stellt die Verbindung her. Abb. 50 Verbindung über das Taskleisten Icon herstellen Abb. 49 Verbindung herstellen und Kennwort des Zertifikats eingeben 33