OpenVPN-Anbindung Sysmess Multi und Compact Firmware 3.7.X 06/2016

Transkript

1 OpenVPN-Anbindung Sysmess Multi und Compact Firmware 3.7.X 06/2016 Alarm XML CSV Webinterface Internet TCP / RTU Slave IP-Router FTP / SFTP UDP RS 232 GLT RS 485 GPRS / EDGE / UMTS SPS S0-Eingänge Digitaleingänge Analogeingänge Temperaturfühlereingänge Relaisausgänge TCP / RTU Slave, Server und Gateway Empfänger und Gateway Pegelwandler und Gateway 1 von 14

2 Inhaltsverzeichnis OpenVPN-Anbindung RmCU DIN Rail + RmCU Compact Firmware 3.7.X 06/ Einleitung... 3 Einrichtung des OpenVPN-Clienten Config-Datei Keepalive t1 t reneg-sec t connect-retry t tls-timeout t hand-window t Zertifikate und Keys Zugriffsbeschränkungnen Netzwerkzugriff GPRS Netzwerkzugriff LAN VPN - LAN Gateway Erlaube SSH / Allow SSH Installationsszenarien Support: von 14

3 1 Einleitung In diesem Dokument werden kurz die Filtereinstellungen für den Netzwerkzugriff beschrieben. Unsichtbar wird das RmCU in einem Netz erst wenn der Eingehende Verkehr blockiert (verworfen) wird. Die Filtereinstellungen werden nur bei laufendem VPN angewandt. Ohne VPN ist ein Abschotten des RmCU nicht vorgesehen (auch nicht sinnvoll) 2 Einrichtung des OpenVPN-Clienten 1.1 Config-Datei Einträge und ihre Bedeutung Die Konfigurationsinformationen befinden sich in der Datei /flash/etc/ovpn/client.conf. Im folgenden wird darauf eingegangen, welche relevanten Einträge anpassungsbedürftig sein könnten und was diese bewirken/bedeuten. Hinweis: Zum Auskommentieren der Zeilen ist bis Firmware 3.6.X ausschliesslich eine führendes '#' zu verwenden. Ab Fw. 3.7.x ist auch ein Semikolon (';') zulässig. dev tun proto tcp-client tls-client port 1194 remote <remote-ip/host> Die Art des Tunneladapters. RmCU wird normalerweise mit TUN betrieben. TAP wurde nicht getestet. Der Transport findet auf tcp statt. Der client baut die Verbindung auf. Dies ist im RmCU die Standardvorgabe, da viele Netzwerkadministratoren keinen eingehenden UDP-Verkehr zulassen möchten/dürfen. RmCU startet die Verschlüsselung Port auf dem der Server die OpenVPN- Verbindung annimmt Die IP-Adresse bzw. Der Domainname des Servers Hinweis: Der Port darf nicht, wie es von openvpn her gültig wäre, in der remote-zeile hinter der remote- IP eingetragen werden, er wird in diesem Falle von der Firewall nicht erkannt. 3 von 14

4 comp-lzo verb 4 pull Kompression wird verwendet Log-Intensität wird festgelegt Akzeptieren von vom Server angebotenen (push) routing informationen, keepalive u.ä. ca /flash/etc/ovpn/ca.crt Zertifikat der Zertifizierungsstelle. Dieses wird benötigt um die Signatur des Zertifikats der Gegenstelle zu überprüfen cert key /flash/etc/ovpn/<name>.crt Zertifikat des RmCU. Dieses wird der Gegenstelle zur Verfügung gestellt um den sicheren Kanal aufzubauen /flash/etc/ovpn/<name>.key Geheimer Schlüssel des RmCU. Dieser stellt das Gegenstück zum Zertifikat dar. Dieser Schlüssel sollte NUR DIESEM RmCU bekannt sein. keepalive Stellt das Ping Intervall und das Timeout nachdem die Verbindung als verloren angenommen wird ein (default 10 60) Diese Einstellung wird meist von Server gepusht. remote-cert-tls server reneg-sec connect-retry 300 tls-timeout 15 Aktiviert die Signaturüberprüfung der Keys Legt fest nach wieviel Sekunden ein neuer TLS-Key ausgehandelt wird (default 3600) Ab FW wird der Wert 300 von RmCU gesetzt sofern dieser in der Config-Datei nicht festgelegt wurde Legt die Dauer fest, die nach einem fehlgeschlagenen Verbindungsversuch gewartet wird, bis ein neuer Versuch unternommen wird. (OpenVPN default: 5) Ab FW wird der Wert 300 von RmCU gesetzt sofern dieser in der Config-Datei nicht festgelegt wurde Legt die Dauer fest nachdem die Einleitung eines TLS-Handshakes wiederholt wird (OpenVPN default 2) Ab FW wird der Wert 15 von RmCU gesetzt sofern dieser in der Config-Datei nicht festgelegt wurde 4 von 14

5 hand-window 100 Legt fest in welchem Zeitraum der TLS- Handshake abgeschlossen werden muss (OpenVPN default 60) Ab FW wird der Wert 100 von RmCU gesetzt sofern dieser in der Config-Datei nicht festgelegt wurde ca, cert und key beschreiben die Pfade zu den Dateien, der Public-Key- Infrastruktur (PKI). Diese können vereinfacht mit easy RSA (wie hier beschreiben) erzeugt werden. Die Konfigurationsdatei MUSS client.conf heißen, oder es muss einen symbolischen Link mit dem Namen geben der auf die Konfigurationsdatei verweist. Die Namen der Schlüssel und Zertifikate werden in der Konfigurationsdatei eingetragen und sind somit frei wählbar. Hinweis: Ab Firmware wird ein erfolgreicher VPN- Tunnel Aufbau über die rote Alarm-LED visualisiert (blinkt ca 3 Sekunden). 5 von 14

6 Beispiel einer Konfigurationsdatei: dev tun proto tcp-client tls-client port 1194 remote comp-lzo verb 4 pull ca "/flash/etc/ovpn/ca.crt" cert "/flash/etc/ovpn/rmcu.crt" key "/flash/etc/ovpn/rmcu.key" keepalive #equvalent #ping 60 #ping-restart 300 remote-cert-tls server reneg-sec connect-retry 300 hand-window 100 tls-timeout 15 6 von 14

7 1.2 Keepalive t1 t2 Der Paramter t1 [sec] gibt an in welchen Zeitabständen mittels einem Ping überprüft wird ob der VPN Tunnel noch besteht. Der Parameter t2 [sec] beschreibt die maximale Zeitspanne zwischen 2 Pings der Gegenseite. Bei Überschreitung wird der Tunnel neu aufgebaut. Diese Einstellung wird in der Regel am Server vorgenommen und vom Server an den Clienten übermittelt (gepusht). Ein kleines Ping-Intervall erhöht den Traffic unnötig, während ein zu langes Intervall dazu führt das ein Verbindungsverlust entsprechend spät erkannt wird. Ein zu grosser Timeout führt dazu, dass eine verlorene Verbindung entsprechend spät detektiert wird, wodurch RmCU entsprechend lang nicht erreichbar ist. Die Standard-Einstellungen ist keepalive Wir verwenden bei Mobilfunkanbindungen keepalive , um die Traffic entsprechend zu reduzieren. Ein keepalive-ping erzeugt jeweils 121 Bytes upload und im download, das ergibt bei keepalive ca 10MB Traffic pro Monat. 1.3 reneg-sec t Legt fest nach welcher Zeit ein neuer TLS-Key ausgehandelt wird. Die Standard- Einstellung beträgt 3600 Sekunden (1h). Um die Traffic zu reduzieren wird mittels reneg-sec ein Intervall von 3 h vorgegeben. Damit wird der monatliche Traffic für den TLS- Handshake von 15 MB auf 5 MB reduziert. 1.4 connect-retry t Legt fest wie lange nach einem gescheiterten Verbindungsaufbau gewartet wird, bevor ein neuer Versuch gestartet wird. Der Default-Wert von OpenVPN liegt bei 5 Sekunden. Unter Umständen gibt bei schlechter Anbindung viele erfolglose Versuche, was zu einem hohen Verbrauch an Datenvolumen führen kann. Wir empfehlen im Mobilfunkbetrieb einen Wert von 300 Sekunden. Ab FW wird dieser Wert verwendet sofern in der Config-Datei kein Anderer angegeben ist. 1.5 tls-timeout t Legt fest wie lange beim TLS-Handshake auf Antworten gewartet wird, bevor die Anfrage widerholte wird. Der Default-Wert von OpenVPN liegt bei 2 Sekunden, was für langsame GPRS-Verbindungen zu kurz sein kann. Wir empfehlen im Mobilfunkbetrieb einen Wert von 15 Sekunden. Ab FW wird dieser Wert verwendet sofern in der Config-Datei kein Anderer angegeben ist. 7 von 14

8 1.6 hand-window t Legt fest wieviele Sekunden der TLS-Handshake maximal benötigen darf. Wird dieser Zeitraum überschritten, so wird die Verbindung abgebrochen. Der Default- Wert von OpenVPN liegt bei 60 Sekunden Wir empfehlen im Mobilfunkbetrieb einen Wert von 100 Sekunden. Ab FW wird dieser Wert verwendet sofern in der Config-Datei kein Anderer angegeben ist. 1.7 Zertifikate und Keys Zertifikate sind Dateien, welche diverse Informationen über Gültigkeitsbereich, Aussteller, den Eigentümer sowie den öffentlichen Schlüssel des Eigentümer und ggf noch weiter Informationen. Der Key enthält nur den privaten Schlüssel des Eigentümers. Dieser muss nicht verifiziert werden, da dieser nicht ausgegeben wird. Alle benötigten Zertifikate und Keys werden direkt in /flash/etc/ovpn/ abgelegt 8 von 14

9 Zertifizierungsstelle (Certificate Authority): Dient dazu die anderen Schlüsselpaare mit ihrem privaten (geheimen) Schlüssel zu signieren (streng hierarchische PKI). Daher ist der private Schlüssel der CA ein sensibles Geheimnis. Mit dem öffentlichen wird die Signatur vom Clienten (RmCU) überprüft. Schlüsselpaare (Server/Client): Die Schlüsselpaare für Server und jeden Clienten werden mit den privaten Schlüssel (key) der CA signiert, damit die Authenzität des von der Gegenstelle übermittelten öffentlichen Schlüssels (Bestandteil des Zertifikats) mit dem öffentlichen Schlüssen der CA überprüft werden kann. Erzeugen eines Server-Schlüsselpaars Erzeugen eines Client-Schlüsselpaars Übersicht über die Funktion und die Sensibillität der Schlüssel Hinweis: Damit der Key von RmCU automatisch genutzt werden kann, muss dieser ohne Passwort erzeugt werden. 9 von 14

10 3 Zugriffsbeschränkungnen RmCU kann nur bei aktivem VPN, je nach Notwendigkeit mit unterschiedlichen Zugriffsbeschränkungen betrieben werden. Bei nicht aktiviertem VPN sind die Dienste des RmCU uneingeschränkt erreichbar. 1.8 Netzwerkzugriff GPRS Einstellung Funktion 1 RmCU --X-- GPRS Auf RmCU kann von aussen ausschliesslich über den OpenVPN zugegriffen werden. 2 RmCU <-- GPRS Während einer aktiven OpenVPN Verbindung kann über das Internet von aussen über die vom Mobilfunkbetreiber zugeteilte IP- Adresse auf RmCU zugegriffen werden (z.b. Aufruf des Webinterfaces, etc) 3 RmCU --> GPRS Auch während einer aktiven OpenVPN Verbindung kann RmCU auf öffentliche IP- Adressen im Internet zugreifen. (z.b. SMTP- Server, NTP- Server, etc.) 4 RmCU <--> GPRS Die unter 2 und 3 aufgeführten Zugriffe sind möglich Antworte auf Ping / Answer Ping Die Funktion ist ab FW verfügbar. Sofern aktiviert werden eingehende Ping- Requests über GPRS beantwortet. 1.9 Netzwerkzugriff LAN Einstellung Funktion 1 RmCU --X-- LAN Während einer aktiven OpenVPN Verbindung ist kein Netzwerkverkehr zwischen RmCU und LAN möglich. 2 RmCU <-- LAN Während einer aktiven OpenVPN Verbindung kann über den LAN Port z.b. das RmCU- Webinterface aufgerufen werden 3 RmCU --> LAN Auch während einer aktiven OpenVPN Verbindung kann RmCU z.b. auf an RmCU über LAN angeschlossene IPfähige Geräte (z.b. Strommessgeräte mit Modbus TCP Schnittstelle) zugreifen. 4 RmCU <--> LAN Die unter 2 und 3 aufgeführten Zugriffe sind möglich Antworte auf Ping / Answer Ping Die Funktion ist ab FW verfügbar. Sofern aktiviert werden eingehende Ping- Requests über LAN beantwortet. 10 von 14

11 1.10VPN - LAN Gateway Einstellung Funktion 1 OVPN --X-- LAN Alle lokal an RmCU angeschlossenen IP- fähige Geräte sind vom OpenVPN Tunnel getrennt. 2 OVPN <-- LAN Lokal an RmCU angeschlossenen IP- fähige Geräte können Datenverbindungen über den OpenVPN Tunnel aufbauen. 3 OVPN --> LAN Über den OpenVPN Tunnel können Verbindungen zu lokal an RmCU angeschlossene IP-fähige Geräte aufgebaut werden (z.b. Aufruf des Webinterfaces eines BHKW s). 4 OVPN <--> LAN Die unter 2 und 3 aufgeführten Zugriffe sind möglich 1.11 Erlaube SSH / Allow SSH Erlaube SSH / Allow SSH Bei aktiviertem VPN und somit aktivierter Firewall wird hier vorgegeben ob trozdem ein SSH (SCP) Zugriff auf das RmCU Dateisystem über LAN IP- Adresse und die zugewiesene GPRS- IP- Adresse möglich ist. Hinweis: Diese Einstellung sollte nur temporär und nach Absprache mit dem zuständigen IP Security Beauftragten aktiviert werden und dient ausschliesslich dem Support. 11 von 14

12 1.12Installationsszenarien Variante 1: Dienste im Internet werden verwendet (zb NTP und SMTP) Hier muss das RmCU Verbindungen zu Diensten im Intenet aufbauen können. Wenn kein Zugriff vom Internet aus (externe IP) vorgesehen ist, kann die Sicherheit erhöht werden indem nur ausgehende Verbindungen zugelassen werden (eingehende Verbindungen werden verworfen RmCU ----> GPRS ) 12 von 14

13 Beispiel 2: OpenVPN ist für den Fernzugriff konfiguriert, und JEDER benötigte Dienst ist im VPN verfügbar (Server oder Portweiterleitung) In diesem Falle ist keinerlei Verbindung (bis auf den VPN-Tunnel) zwischen dem RmCU und dem Internet notwendig. Network-Access kann auf RmCU --x-- GPRS gestellt werden. Analog dazu kann der Verkehr zwischen RmCU und LAN, sowie zwischen VPN und LAN den Bedürfnissen entsprechend angepasst werden. Eine Zugriffbeschränkung für den Verkehr zwischen RmCU und VPN ist nicht vorgesehen. Das RmCU kann auch Internetzugriff über das VPN erhalten. Hierzu muss der Netzwerkadministrator den OpenVPN-Server entsprechend einrichten. (push route) WICHTIGER HINWEIS!: Wenn die default-route auf ein Gateway im VPN zeigt, muss zwingend eine Route mit dem VPN-Server als Ziel auf das vorherige Standard- Gateway zeigen, da sonst der VPN-Tunnel abbricht und sich Ihr RmCU isoliert. 13 von 14

14 4 Support: Tel: von 14