Seite IPsec Client / Gateway mit Zertifikaten (CA / DynDNS) 12.1 Einleitung

Transkript

1 12. IPsec Client / Gateway mit Zertifikaten (CA / DynDNS) 12.1 Einleitung Sie konfigurieren eine IPsec Verbindung zwischen dem IPsec Client und der UTM. Die UTM hat eine dynamische IP-Adresse und ist über DynDNS zu erreichen. Die Authentifizierung der IPsec Verbindung erfolgt mittels Zertifikaten. Die Zertifizierungsstelle wird in der UTM eingerichtet und stellt die Zertifikate für die UTM und den Client aus. Der Client hat eine fest Konfigurierte virtuelle IP-Adresse für den Tunnel Voraussetzungen Folgende Voraussetzungen für die Konfiguration müssen erfüllt sein: Eine Firmware ab Version Grundkonfiguration der UTM. Internet Zugang z.b. PPPoE. Registrierter DynDNS Namen. Rechner mit vorinstalliertem IPsec Client. Seite - 1 -

2 12.3 Entities anlegen Für die IPsec Verbindung in der UTM brauchen Sie ein Objekt die die virtuelle IP-Adresse vom IPsec Client beinhalten. Gehen Sie für die Konfiguration in folgendes Menü: GUI Entities Network Items New Folgende Punkte sind hier relevant: Name Type IP Address Gibt den Namen des Objekts an. Bestimmt die Art des Netzwerk Objekts. Die IP-Adresse des Netzwerk Objekts. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Als Namen wählen Sie z.b. Client. Den Type stellen Sie auf: Host. Bei IP-Address tragen Sie z.b ein. Bestätigen Sie ihre Eingaben mit OK. Seite - 2 -

3 12.4 DynDNS konfigurieren Gehen Sie für die Konfiguration von DynDNS in folgendes Menü: GUI Local Services Dynamic DNS Folgende Punkte sind hier relevant: Name Interface Type Hostname Username Password Geben Sie dem Eintrag einen Namen. Das Interface mit der zu registrierenden IP-Adresse. Wählen Sie einen DynDNS Provider. Der komplette Hostname im DNS. Der Benutzername für die Registrierung. Das Passwort für die Registrierung. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Als Name verwenden Sie z.b. Zentrale. Das Interface setzen Sie auf z.b. Internet. Unter Type wählen Sie z.b. DynDNS.com. Bei Hostname tragen Sie z.b. zentrale.dyndns.org ein. Als Username verwenden Sie z.b. Benutzername. Als Password verwenden Sie z.b. Kennwort. Bestätigen Sie Ihre Eingaben mit OK. Seite - 3 -

4 12.5 Zertifikats Management Bevor Sie mit den Zertifikaten arbeiten, sollten Sie die aktuelle Uhrzeit in der UTM einstellen. Gehen Sie für eine Überprüfung der Uhrzeit in folgendes Menü: GUI System Management Global Settings Date & Time 12.5a Zertifizierungsstelle anlegen Um Zertifikate ausstellen zu können, brauchen Sie eine Zertifizierungsstelle. Gehen Sie für die Konfiguration in folgendes Menü: GUI Entities Certificates Authorities New Folgende Punkte sind hier relevant: Name Type Die Bezeichnung der Zertifizierungsstelle. Art der Zertifizierungsstelle. Seite - 4 -

5 CRL Path CRL valid days Passphrase Confirm Pfad zur Zertifikatssperrliste. Gültigkeitszeit der Zertifikatssperrliste. Ein Passwort zum Erstellen von Zertifikaten. Wiederholung des Passworts zum Erstellen von Zertifikaten. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter Name verwenden Sie z.b. Teldat-CA. Den Type stellen Sie auf z.b. Local Certificate Authority. Als CRL Path geben Sie z.b. ein. Den Punkt CRL valid days setzen Sie auf z.b Bei Passphrase tragen Sie z.b. passwort ein. Bei Confirm tragen Sie z.b. passwort ein. Folgende Punkte sind hier relevant: Key Size Country / State / City / Organisation / OU / Common Name Address Valid Days Die Zertifikatsschlüssellänge. Der Subjekt Name für das Zertifikat nach dem X.500 Standard. Der Subjekt Name für das Zertifikat nach dem X.500 Standard. Der Subjekt Name für das Zertifikat nach dem X.500 Standard. Die Adresse. Die Gültigkeitszeit des Zertifikats. Seite - 5 -

6 Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Die Key Size stellen Sie auf z.b bit. Bei Country tragen Sie z.b. DE ein. Bei State tragen Sie z.b. NRW ein. Bei City tragen Sie z.b. Krefeld ein. Bei Organisation tragen Sie z.b. Teldat ein. Bei OU tragen Sie z.b. Training ein. Bei Common Name tragen Sie z.b. CA-Cert ein. Als Address verwenden Sie z.b. Unter Valid Days schreiben Sie z.b Bestätigen Sie ihre Eingaben mit OK. INFO Die Pflichtangaben bei der Erstellung der Zertifizierungsstelle sind: Name / CRL Path / CRL valid days / Country / Common Name / Address / Valid Days. 12.5b Zertifikate ausstellen Erstellen Sie jetzt sowohl für die UTM ein eigenes Zertifikat, als auch für den Client ein Zertifikat. Gehen Sie für die Konfiguration des UTM Zertifikat in folgendes Menü: GUI Entities Certificates User Certs New Seite - 6 -

7 Folgende Punkte sind hier relevant: Name Type Root CA Passphrase Die Bezeichnung des Zertifikats. Art des auszustellenden Zertifikats. Die Zertifizierungsstelle die das Zertifikat Signiert. Das CA Passwort zum Erstellen von Zertifikaten. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter Name verwenden Sie z.b. UTM. Den Type stellen Sie auf z.b. Local Certificate. Den Punkt Root CA setzen Sie auf z.b. Teldat-CA. Bei Passphrase tragen Sie z.b. passwort ein. Folgende Punkte sind hier relevant: Key Size Country Common Name Address Valid Days Die Zertifikatsschlüssellänge. Das Land zur Identifikation im Zertifikat. Der Name zur Identifikation im Zertifikat. Die Adresse zur Identifikation im Zertifikat. Die Gültigkeitszeit des Zertifikats. Seite - 7 -

8 Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Die Key Size stellen Sie auf z.b bit. Bei Country tragen Sie z.b. DE ein. Bei Common Name tragen Sie z.b. utm ein. Als Address verwenden Sie z.b. Unter Valid Days schreiben Sie z.b Bestätigen Sie ihre Eingaben mit OK. Erstellen Sie jetzt ein Zertifikat für den Client. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Unter Name verwenden Sie z.b. Client. Den Type stellen Sie auf z.b. Local Certificate. Den Punkt Root CA setzen Sie auf z.b. Teldat-CA. Bei Passphrase tragen Sie z.b. passwort ein. Die Key Size stellen Sie auf z.b bit. Bei Country tragen Sie z.b. DE ein. Bei Common Name tragen Sie z.b. client ein. Als Address verwenden Sie z.b. Unter Valid Days schreiben Sie z.b Bestätigen Sie ihre Eingaben mit OK. Das Client Zertifikat muss inkl. dem privaten Schlüssel im PKCS#12 Format exportiert und auf den Client Rechner kopiert werden. Die Passphrase wird später beim importieren benötigt. Gehen Sie in folgendes Menü um das Zertifikat mit Download zu exportieren: GUI Entities Certificates User Certs Info Seite - 8 -

9 12.6 IPsec Richtlinie Für die IPsec Verbindung brauchen Sie eine Sicherheitsrichtlinie, in der Sie bestimmen, welche Verschlüsselungs und Authentifizierungsalgorithmen Sie verwenden möchten. Legen Sie eigene Vorlagen in folgendem Menü an: GUI VPN IPsec Policies New Folgende Punkte sind hier relevant: Name Hier steht die Bezeichnung der Richtlinie. Encryption Algorithm Das Verschlüsselungs-Protokoll für die Phase 1. Authentication Algorithm Das Authentifizierungs-Protokoll für die Phase 1. Oakley DH Group Die Phase 1 Schlüssellänge und DH Gruppe. SA Lifetime Die Gültigkeitszeit der Schlüssel in der Phase 1. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Als Namen wählen Sie z.b. Client. Den Encryption Algorithm stellen Sie auf z.b. AES (128 bit). Den Authentication Algorithm stellen Sie auf z.b. SHA1 (160 bit). Unter Oakley DH Group wählen Sie z.b. Oakley Group 2 (1024 bit). Bei SA Lifetime tragen Sie z.b ein. Seite - 9 -

10 Der untere Teil der Richtlinie gibt die IPsec Parameter der Phase 2 an: Folgende Punkte sind hier relevant: Mode Wählen Sie zwischen Tunnel und Transport Modus. Protocol Das Tunnel und Transport Protokoll. Encryption Algorithm Das Verschlüsselungs-Protokoll für die Phase 2. Authentication Algorithm Das Authentifizierungs-Protokoll für die Phase 2. SA Lifetime Die Gültigkeitszeit der Schlüssel in der Phase 2. PFS DH Group Die optionale Phase 2 Schlüssellänge und DH Gruppe. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Als Mode wählen Sie z.b. Tunnel. Unter Protocol wählen Sie z.b. ESP aus. Den Encryption Algorithm stellen Sie auf z.b. AES (128 bit). Den Authentication Algorithm stellen Sie auf z.b. SHA1 (160 bit). Unter PFS DH Group wählen Sie z.b. Disabled. Bei SA Lifetime tragen Sie z.b ein. Bestätigen Sie Ihre Eingaben mit OK. INFO Um die Sicherheit zu erhöhen, können Sie auf beiden Seiten AES auf 256 Bit einstellen und das Feature Perfect Forward Secrecy (PFS) einschalten. Seite

11 12.7 IPsec Verbindung Die IPsec Verbindung gibt an, mit wem Sie den Tunnel mit bestimmten Richtlinien aufbauen möchten. Gehen Sie in folgendes Menü, um die Verbindung zu konfigurieren: GUI VPN IPsec Connections New Folgende Punkte sind hier relevant: Name Geben Sie der IPsec Verbindung einen Namen. Tunnel Authentication Type Wählen Sie die Authentifizierungsmethode aus. Status Schalten Sie die Verbindung ein oder aus. IPSec Policy Wählen Sie die IPsec Richtlinie für die Verbindung. L2TP Encapsulation Schaltet die zusätzliche L2TP Authentifizierung ein. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Bei Name tragen Sie z.b. Client ein. Unter Tunnel Authentication Type wählen Sie z.b. Certificates aus. Den Status setzen Sie auf: Enabled. Die IPSec Policy stellen Sie auf z.b. Client. Unter L2TP Encapsulation wählen Sie z.b. Disabled. Seite

12 Folgende Punkte sind hier relevant: Tunnel Endpoint (Local) Geben Sie an, auf welchem ext. Interface der Tunnel endet. Reachable Network (Local) Das eigene durch den Tunnel zu erreichende IP-Netzwerk. Remote Endpoint Die entfernte öffentliche IP-Adresse. Reachable Network Das entfernte private IP-Netzwerk. Local Certificate Dies ist das eigene Zertifikat der UTM. Remote DN Hier steht der Subjectname des IPsec Clients. Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Bei Tunnel Endpoint (Local) wählen Sie z.b. Internet. Unter Reachable Network (Local) wählen Sie z.b. Local-Net aus. Den Remote Endpoint setzen Sie auf z.b. Any. Das Reachable Network stellen Sie auf z.b. Client. Als Local Certificate wählen Sie z.b. UTM. Als Remote DN wählen Sie: C=DE, CN=client, Bestätigen Sie ihre Eingaben mit OK. INFO Da die UTM die CA für die IPsec Verbindung ist, können Sie für eine einfachere Eingabe des Remote DN den Subject Name aus dem Client Zertifikat in folgendem Menü generieren: GUI Entities Certificates Calculator Seite

13 12.8 Firewall Regel Für den Aufbau der IPsec Verbindung brauchen Sie keine Firewall Regeln. Damit aber der Datenverkehr durch den Tunnel erlaubt ist, müssen Sie die Daten vom remote Client zum lokalen Netz freigeben. Gehen Sie für die Konfiguration in folgendes Menü: GUI Firewall Policies Filter New Folgende Punkte sind hier relevant: Name Source Interface Source Item Destination Interface Destination Item Service Action Ist die Bezeichnung des Eintrags. Gibt das Interface an, woher die Pakete kommen. Gibt die IP-Adresse / Netz an, woher die Pakete kommen. Gibt das Ziel Interface an, wohin die Pakete geroutet werden. Gibt die Ziel IP-Adresse / Netz an. Bestimmt einen Dienst, den die Firewall beachten soll. Geben Sie die Aktion für den Filter an. Seite

14 Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren: Als Namen wählen Sie z.b. Client. Das Source Interface stellen Sie auf: Internet. Bei Source Item wählen Sie das entfernte Netz z.b. Client. Unter Destination Interface wählen Sie z.b. INT aus. Bei Destination Item wählen Sie: Local_Net. Den Service setzen Sie auf: any. Die Action setzen Sie auf z.b. Accept. Bestätigen Sie ihre Eingaben mit OK bintec IPsec Client Nach der ersten Installation des Clients müssen Sie über den Secure Client Monitor Ihre Verbindung konfigurieren. Legen Sie für jede Verbindung ein Profil an. Der Wizard startet nach der Installation automatisch. Gehen Sie folgendermaßen vor, um eine Verbindung zur Zentrale zu konfigurieren: Secure Client Monitor Konfiguration Profil Einstellungen Neuer Eintrag 1. Wählen Sie die Konfiguration einer IPsec Verbindung aus. 2. Benennen Sie den Eintrag Zentrale. 3. Wählen Sie LAN (over IP) aus, da Sie sich hinter einem Router im Ethernet befinden. Seite

15 4. Hier geben Sie die Gateway IP Adresse oder Dyndns Namen der Zentrale an z.b. zentrale.dyndns.org. 5. Den IKE Modus setzen Sie auf Main Mode, da Sie Zertifikate für die Authentifizierung in der Verbindung implementiert haben. 6. Shared Secret bleibt frei, da Sie Zertifikate für die Authentifizierung nutzen. Bei Type wählen Sie ASN1 Distinguished Name aus und geben bei ID keine Identifikation ein. Die Identifikation wird mit dem Zertifikat übergeben Optional können Sie die Stateful Inspection Firewall aktivieren. Belassen Sie den Eintrag anfangs auf Aus. Seite

16 Wenn Sie den Wizard ausgeführt haben müssen Sie die Verbindungs-Parameter noch anpassen. Gehen Sie in folgendes Menü, um die Konfiguration anzupassen: Secure Client Monitor Konfiguration Profil Einstellungen Konfigurieren 9. In den IPsec Einstellungen müssen Sie im Editor die IKE und IPsec Richtlinien konfigurieren. Erstellen Sie unter Editor neue Einträge, die Sie im Anschluss in diesem Menü für die Verbindung auswählen. 10. Benennen Sie den Eintrag Zentrale. Wählen Sie in der Reihenfolge aus: RSA Signature AES 128 Bit SHA DH-Gruppe 2 (1024 Bit) 11. Benennen Sie den Eintrag Zentrale. Wählen Sie in der Reihenfolge aus: AES 128 Bit SHA Seite

17 12. Geben Sie unter VPN IP-Netze das Netzwerk der Zentrale an, auf welches Sie zugreifen möchten. z.b / Binden Sie jetzt das Zertifikat, welches Sie aus der UTM exportiert und auf den Client Computer gespeichert haben, in den Client ein, um darüber die Authentifizierung zu übernehmen. Für die Konfiguration gehen Sie im IPsec Client in folgendes Menü: Secure Client Monitor Konfiguration Zertifikate Benutzer Zertifikat 13. Das Zertifikat stellen Sie auf aus PKCS#12-Datei und wählen bei PKCS12-Dateiname den Pfad und die Datei vom Client Zertifikat aus z.b. C:\Client.p12. Seite

18 12.10 IPsec Verbindung testen Gehen Sie folgendermaßen vor, um die Verbindung zu testen: Wählen Sie das Profil Zentrale aus und bauen Sie die Verbindung mit Verbinden auf. Vor dem Verbindungsaufbau werden Sie nach einem PIN gefragt. Geben Sie hier das Passwort ein, welches Sie beim export des Client Zertifikats eingegeben haben z.b. secret. Nach dem Verbindungsaufbau, geben Sie in der Eingabeaufforderung einen Ping vom lokalen Rechner zum entfernten Rechner oder der UTM ab: c:\>ping Ping wird ausgeführt für mit 32 Bytes Daten: Antwort von : Bytes=32 Zeit=3ms TTL=61 Antwort von : Bytes=32 Zeit=1ms TTL=61 Antwort von : Bytes=32 Zeit=2ms TTL=61 Antwort von : Bytes=32 Zeit=2ms TTL=61 Ping-Statistik für : Pakete: Gesendet = 4, Empfangen = 4, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 1ms, Maximum = 3ms, Mittelwert = 2ms Seite