Auf dieser Seite finden Sie:
Mit VPN können zwei lokale Netzwerke über unsichere Netzwerke wie das Internet direkt miteinander verbunden werden. Der gesamte Datenverkehr über die VPN-Verbindung wird innerhalb eines verschlüsselten Tunnels übertragen und vor unerwünschtem Zugriff geschützt. Solche Konfigurationen werden Gateway-zu-Gateway-VPN oder kurz Gw2Gw-VPN genannt. Ebenso kann ein einzelner externer Computer einen VPN-Tunnel nutzen, um sich mit einem lokalen vertrauenswürdigen LAN zu verbinden. Wenn der VPN-Tunnel aktiv ist, scheint der externe Computer – auch Road Warrior genannt – direkt mit dem vertrauenswürdigen LAN verbunden zu sein.
Die Panda GateDefender-Appliance unterstützt die Erstellung von VPNs, die auf dem IPsec-Protokoll (wird von den meisten Betriebssystemen und Netzwerkgeräten unterstützt) bzw. auf dem OpenVPN-Dienst basieren.
Die Panda GateDefender-Appliance kann entweder als OpenVPN-Server oder als Client eingerichtet werden. Sie kann sogar beide Rollen zur gleichen Zeit übernehmen, um ein Netzwerk von Anwendungen zu erstellen, die über OpenVPN verbunden sind. Folgende Menüelemente stehen im Untermenü zur Verfügung:
Wenn die Panda GateDefender-Appliance als OpenVPN-Server konfiguriert ist, können Remote-Verbindungen vom Uplink akzeptiert und VPN-Clients wie lokale Workstations oder Server eingerichtet werden.
Beim Öffnen der Seite wird in zwei Feldern eine Übersicht der aktuellen Server-Konfiguration angezeigt: Globale Einstellungen und Verbindungsstatus und -kontrolle. Über zwei weitere Registerkarten erhalten Sie Zugriff auf die Erweiterten Einstellungen und den VPN-Client-Download.
Bemerkung
Bei Änderung der Konfiguration des OpenVPN-Servers bzw. der Interaktionsart zwischen Benutzern (z. B. über die Option Netzwerke hinter dem Client, siehe unten), muss der OpenVPN-Server neu gestartet werden, damit die Änderungen auf alle Benutzer angewendet werden. Nach dem Vornehmen einer Änderung werden Sie in einem kleinen Textfeld an die Notwendigkeit des Neustarts erinnert. Die Verbindung der Clients wird getrennt und nach einem kurzen Timeout automatisch wiederhergestellt, üblicherweise ohne dass Sie es bemerken.
In diesem Abschnitt werden zwei Felder angezeigt: In einem Feld können Sie globale Einstellungen vornehmen; das andere Feld ist rein informativ und zeigt die verbundenen Clients an.
Globale Einstellungen
Im oberen Feld werden die aktuellen Einstellungen angezeigt. Diese können nach Bedarf durch Modifikation der folgenden Optionen, die für den gebridgeten OpenVPN-Server zur Verfügung stehen, geändert werden. Bei gerouteten VPN-Konfigurationen ist nur eine Option verfügbar: VPN Subnetz.
Durch Aktivieren dieses Kontrollkästchens wird der OpenVPN-Server im gebridgeten Modus gestartet, d. h. innerhalb einer der bestehenden Zonen.
Bemerkung
Wenn der OpenVPN-Server nicht gebridget ist (also geroutet), erhalten die Clients ihre IP-Adressen von einem dedizierten Subnetz. In diesem Fall sollten unter VPN Firewall geeignete Regeln erstellt werden, um sicherzustellen, dass die Clients auf alle Zonen bzw. bestimmte Server/Ressourcen (beispielsweise ein Quellcode-Repository) zugreifen können. Wenn der OpenVPN-Server gebridget ist, übernimmt er die Firewall-Einstellungen der Zone, der er zugeordnet ist.
Die letztmögliche IP-Adresse im Netzwerk der ausgewählten Zone, die für die OpenVPN-Clients verwendet werden soll.
Bemerkung
Der an diesen IP-Pool gerichtete Datenverkehr muss mithilfe der VPN Firewall gefiltert werden.
Beim Erststart des Dienstes wird ein neues, selbst signiertes CA-Zertifikat erzeugt. Dieser Vorgang kann einige Zeit in Anspruch nehmen. Nach seiner Erstellung kann das Zertifikat durch Klicken auf den Link CA Zertifikat herunterladen heruntergeladen werden. Dieses Zertifikat muss für alle Clients verwendet werden, die mit diesem OpenVPN-Server verbunden werden sollen. Andernfalls können die Clients nicht auf den Server zugreifen.
Nach Einrichtung des Servers können Konten für Clients erstellt und konfiguriert werden. Eine Verbindung zur Panda GateDefender-Appliance kann über die Registerkarte Konten hergestellt werden.
Verbindungsstatus und -kontrolle
Im unteren Feld wird eine Liste mit den aktuell verbundenen Clients angezeigt. Die Liste wird erst gefüllt, wenn der OpenVPN-Server gestartet wird, die Clients erstellt wurden und ein Zugriff der Clients auf den OpenVPN-Server stattgefunden hat. Dieses Feld ist mit dem Feld unter Menüleiste ‣ Status ‣ OpenVPN-Verbindungen identisch und enthält für jeden Client folgende Informationen: Name, zugewiesene und tatsächliche IP-Adresse, Datenverkehr (empfangen/übertragen) in Byte, Verbindungszeit, Betriebszeit und mögliche Aktionen. Dazu gehören:
Fehlerbehebung für VPN Verbindungen
Zahlreiche Probleme mit VPN-Verbindungen können durch Überprüfen der Konfigurationen leicht entdeckt werden. Problematisch wird es allerdings bei falschen MTU-Werten. Die Panda GateDefender-Appliance begrenzt die MTU-Größe für VPNs auf 1450 Byte, um Probleme mit dem vom Internetdienstanbieter (ISP) verwendeten gängigen MTU-Wert, der bei 1500 Byte liegt, zu verhindern. Einige Internetdienstanbieter verwenden möglicherweise einen geringeren MTU-Wert, wodurch der MTU-Wert von Panda zu groß wird und Probleme bei der Verbindung verursacht werden (erkennbar beispielsweise an der Tatsache, dass große Dateien nicht heruntergeladen werden können). Sie können diesen Wert durch Zugriff auf die PandaGateDefender-Appliance über die Kommandozeilenschnittstelle (CLI) anhand der folgenden Richtlinien ändern:
Siehe auch
Weitere Informationen zum MTU-Wert.
Diese Registerkarte bietet drei Felder, in denen Sie erweiterte Einstellungen für den OpenVPN-Server vornehmen können. Unter anderem können Sie hier die Authentifizierung auf Grundlage von Zertifikaten (anstatt auf Grundlage von Passworten) festlegen.
Bemerkung
Für normale Standardanwendungen können Sie die vorgegebenen Werte beibehalten.
Erweiterte Einstellungen
Dieses Feld enthält einige globale Einstellungen zum Dämon:
Globale Pushoptionen
Im zweiten Feld können Sie die Netzwerkeinstellungen ändern, die an den Client gesendet werden. Nach der Modifikation sollten Sie jede Option durch Auswahl des entsprechenden Kontrollkästchens aktivieren.
Authentifzierungs Einstellungen
Im letzten Feld können Sie eine von drei verfügbaren Methoden zur Authentifizierung auswählen, womit auch die verfügbaren Konfigurationsoptionen bestimmt werden.
PSK (Benutzername/Kennwort)
Die auf der Panda GateDefender-Appliance voreingestellte Methode lautet PSK (Benutzername/Passwort): Der Client wird anhand des Benutzernamens und Passworts authentifiziert. Für diese Methode sind keine weiteren Änderungen nötig. Die anderen beiden Methoden werden nachfolgend beschrieben.
Durch Klicken auf den Link CA Zertifikat herunterladen wird das öffentliche Zertifikat des betreffenden OpenVPN-Servers heruntergeladen. Das Zertifikat wird von den Clients zur Authentifizierung des Servers benötigt, mit dem sie verbunden sind. Durch Klicken auf die Dateiverknüpfung Exportiere CA als PKCS#12 wird das Zertifikat im PKCS#12-Format (sollte privat gehalten werden) heruntergeladen. Dieses kann anschließend in jeden beliebigen OpenVPN-Server importiert werden, der als Fallback-Server verwendet werden sollte.
Handelt es sich hierbei um ein Fallback-System, stehen zwei weitere Optionen zur Verfügung:
X.509-Zertifikat und X.509-Zertifikat & PSK (Zweifaktor)
Die Konfiguration einer auf X.509-Zertifikaten basierenden Authentifizierungsmethode (entweder Zertifikat oder Zertifikat zuzüglich Benutzername und Passwort) ist etwas komplizierter. Zu diesem Zweck wird eine unabhängige Zertifizierungsstelle (CA, certificate authority) benötigt. Es ist weder möglich noch gewünscht, eine solche Zertifizierungsstelle auf der Panda GateDefender-Appliance zu hosten.
Die Erstellung und Signierung von Zertifikaten ist für den Server sowie für sämtliche Clients erforderlich, die die ausgewählte Zertifizierungsstelle nutzen. Der Zertifikatstyp muss explizit angegeben und im Feld “Netscape Zertifikatstyp” unter „Server“ oder „Client“ geführt werden.
Die Server-Zertifikatsdatei im PKCS#12-Format muss in diesem Abschnitt heruntergeladen werden (geben Sie das Challenge-Passwort an, das vor bzw. im Laufe der Zertifikatserstellung bei der Zertifizierungsstelle festgelegt wurde).
Bei den Client-Zertifikaten müssen die Einträge im Feld „Gemeinsamer Name“ mit den jeweiligen OpenVPN-Benutzernamen übereinstimmen.
Warnung
Bei Verwendung einer ausschließlich zertifikatsbasierten Authentifizierung erhalten Clients mit gültigem Zertifikat Zugriff auf den OpenVPN-Server, auch wenn diese über kein gültiges Konto verfügen!
Schließlich kann bei Verlust eines Client-Zertifikats eine Sperrliste (CRL, certificate revocation list) hochgeladen werden, um das Client-Zertifikat bei der Zertifizierungsstelle zu sperren.
Auf dieser Seite wird die Liste der als OpenVPN-Clients ausgewiesenen Verbindungen der Panda GateDefender-Appliances angezeigt, d. h. sämtliche Tunnelverbindungen zu externen OpenVPN-Servern. Für jede Verbindung werden in der Liste folgende Informationen angezeigt: Status, Name, zusätzliche Optionen, eine Anmerkung sowie verfügbare Aktionen. Wenn die Verbindung deaktiviert ist, wird der Status beendet angezeigt, bei aktivierter Verbindung hingegen der Status aufgebaut. Zu den verfügbaren Aktionen gehören außer dem Aktivieren und Deaktivieren von Verbindungen auch das Bearbeiten oder Löschen von Verbindungen. Im ersteren Fall wird dasselbe Formular wie beim Hinzufügen einer Verbindung (siehe unten) geöffnet, in dem Sie die aktuellen Einstellungen anzeigen und modifizieren können. Im letzteren Fall können Sie ausschließlich die zuvor erwähnten modifizierten Einstellungen von der Panda GateDefender-Appliance löschen.
Die Erstellung neuer OpenVPN-Client-Verbindungen ist unkompliziert und kann auf zwei Arten erfolgen: Klicken Sie entweder auf die Schaltfläche Tunnelkonfiguration hinzufügen, und geben Sie die erforderlichen Informationen zum OpenVPN-Server ein, zu dem eine Verbindung hergestellt werden soll (mehrere Verbindungen sind möglich), oder importieren Sie die Client-Einstellungen vom OpenVPN-Zugriffsserver, indem sie auf die Schaltfläche Profil von OpenVPN Access Server importieren klicken.
Tunnelkonfiguration hinzufügen
Es gibt zwei Arten von Einstellungen, die bei jeder Tunnelkonfiguration modifiziert werden können: Die Basiskonfiguration sieht die Integration obligatorischer Optionen für den Tunnel vor. Die erweiterte Konfiguration ist optional und sollte nur vorgenommen werden, wenn der OpenVPN-Server nicht standardkonform eingerichtet wurde. Klicken Sie auf die Schaltfläche >> neben Erweiterte Tunnelkonfiguration, um zu den erweiterten Einstellungen zu gelangen. Nachfolgend werden die Grundeinstellungen aufgezählt:
Erweiterte Tunnelkonfiguration
Nachdem Sie auf die Schaltfläche >> im vorherigen Feld geklickt haben, wird dieses Feld angezeigt, in dem Sie zusätzliche Optionen ändern können. Die Werte in diesem Feld sollten nur geändert werden, wenn die Serverseite nicht gemäß den Standardwerten konfiguriert wurde.
Wenn die Panda GateDefender-Appliance nur über einen vorgelagerten HTTP-Proxy auf das Internet zugreifen kann, ist es weiterhin möglich, die Appliance in einem Gateway-zu-Gateway-Szenario als OpenVPN-Client zu verwenden. Das TCP-Protokoll für OpenVPN muss allerdings für beide Seiten ausgewählt werden. Außerdem müssen die folgenden Kontoinformationen des HTTP-Proxy in die Textfelder eingegeben werden:
Nach Konfiguration der Verbindung wird unten auf der Seite ein neues Feld mit der Bezeichnung TLS Authentifizierung angezeigt. Hier können Sie die TLS-Schlüsseldatei hochladen, die für die Verbindung verwendet werden soll. Folgende Optionen stehen zur Auswahl:
Profil von OpenVPN Access Server importieren
Die zweite Möglichkeit, ein Konto hinzuzufügen, besteht darin, das Profil direkt von einem OpenVPN-Zugriffsserver zu importieren. In diesem Fall müssen folgende Informationen bereitgestellt werden:
Die URL des OpenVPN-Zugriffsservers.
Bemerkung
Beachten Sie, dass die Panda GateDefender-Appliance nur die XML-RPC-Konfiguration des OpenVPN-Zugriffsservers unterstützt. Demzufolge wird die URL folgendermaßen dargestellt: https://<SERVERNAME>/RPC2.
Die Seite „IPsec“ enthält zwei Registerkarten (IPsec und L2TP), welche es erlauben die IPsec-Tunnel zu konfigurieren bzw. den L2TP-Support zu aktivieren.
Die Registerkarte „IPsec“ enthält drei Felder: Im Feld Globale Einstellungen kann IPsec aktiviert und konfiguriert werden. Im Feld Verbindungsstatus und -kontrolle können Sie sämtliche Verbindungen anzeigen und neue Verbindungen hinzufügen. Schließlich können im Feld Zertifizierungstellen die Zertifikate verwalten werden. Beachten Sie, dass durch das Hinzufügen einer neuen Verbindung neue Felder angezeigt werden, die bei der Konfiguration der Verbindungstypen und -optionen helfen.
IPSec auf einen Blick.
IPsec ist eine standardisierte Erweiterung des IP-Protokolls, bei der auf der Schicht 3 des OSI-Modells Verschlüsselungs- und Authentifizierungsmechanismen ausgeführt werden. IPsec muss daher im IP-Stapel des Kernels implementiert sein. Auch wenn IPsec ein standardisiertes Protokoll ist, das mit den IPsec-Lösungen der meisten Anbieter kompatibel ist, kann sich die Implementierung je nach Anbieter sehr unterschiedlich gestalten und zuweilen schwerwiegende Probleme hinsichtlich der Interoperabilität hervorrufen.
Zudem erweist sich die Konfiguration und Verwaltung von IPsec aufgrund seiner Komplexität und Struktur in der Regel als schwierig. Bestimmte Aufgaben wie die Verwendung von NAT sind u. U. gar nicht möglich.
Im Vergleich zu IPsec ist die Installation, Konfiguration und Verwaltung von OpenVPN unkomplizierter. Die Panda GateDefender-Appliance verfügt über eine leicht zu bedienende Administrationsoberfläche, die verschiedene Authentifizierungsverfahren unterstützt. Es wird empfohlen, IPsec nur in Ausnahmefällen zu verwenden, beispielsweise zur Unterstützung bestehender IPsec-Installationen oder für Geräte, die OpenVPN aufgrund potenzieller Interoperabilitätsprobleme nicht unterstützen. In allen anderen Fällen hingegen wird die Verwendung von OpenVPN empfohlen, insbesondere, wenn die Nutzung von NAT notwendig ist.
Globale Einstellungen
In diesem Feld können Sie die Konfiguration der wichtigsten Parameter für die IPsec-Konfiguration vornehmen:
Verbindungsstatus und -kontrolle
Im Folgenden finden Sie eine Liste der Konten und des jeweiligen Verbindungsstatus: Für jede Verbindung werden in der Liste folgende Informationen angezeigt: Name, Typ, gemeinsamer Name, Anmerkung und Status. Neue Verbindungen können durch Klicken auf ie Schaltfläche Hinzufügen hinzugefügt werden (siehe unten).
Zertifizierungsstellen
Auf der Hauptseite von „IPsec“ können im letzten Feld die Root- und Hostzertifikate ngezeigt sowie vorhandene Zertifikate verwaltet werden. Wenn noch keine Root- und ostzertifikate erzeugt wurden, wird die Nachricht „Nicht vorhanden“ angezeigt.
Durch Klicken auf diese Schaltfläche im unteren Seitenbereich können bereits erstellte Zertifikate gelöscht werden.
Warnung
Beachten Sie, dass beim Zurücksetzen von Root-Zertifikaten nicht nur die Zertifikate, sondern auch zertifikatsbasierte Verbindungen gelöscht werden.
Root/Host Zertifikat erstellen
Geben Sie folgende Daten ein, um neue Host- und Rootzertifikate zu erstellen.
Durch Klicken auf die Schaltfläche Root/Host Zertifikat erstellen werden die Zertifikate erzeugt. Dieser Vorgang kann einige Minuten dauern.
Anstatt neue Zertifikate zu erzeugen, können Sie eine zuvor erstellte PKCS12-Zertifikatsdatei im unteren Feld der Seite hochladen.
Tunnel hinzufügen/Verbindungstyp
Durch Klicken auf Hinzufügen unter Verbindungsstatus und -kontrolle wird eine neue Seite geöffnet, in der Sie entweder ein Host-to-Net-, Net-to-Net- oder L2TP-Host-to-Net-VPN auswählen können. Nach Auswahl des Verbindungstyps und Klicken auf die Schaltfläche Hinzufügen wird die Seite für den Verbindungseditor geöffnet. Diese enthält zwei Felder mit verschiedenen Optionstypen: Verbindungskonfiguration und Authentifizierung.
Verbindungskonfiguration
Im ersten Feld werden die Netzwerkparameter konfiguriert:
Aktion, die bei der Verbindungstrennung von Peers durchgeführt wird. Verfügbare Optionen im Dropdown-Menü sind: Löschen, Halten oder Neustart des Peer.
Bemerkung
An dieser Stelle wird durch Klicken auf bzw. durch Bewegen des Mauszeigers über das ? kein Tooltip angezeigt. Stattdessen wird eine Webseite mit einer ausführlichen Beschreibung der Funktionen zur Dead-Peer-Erkennung angezeigt.
Authentifizierung
In diesem Feld können Sie die Authentifizierung konfigurieren.
Geben Sie ein Kennwort zur Authentifizierung der anderen Tunnelseite ein. Wählen Sie diese Option bei einfachen Net-to-Net-VPNs aus.
Warnung
Verwenden Sie zur Authentifizierung von Host-to-Net-Verbindungen keine PSKs!
Erweiterte Einstellungen
Diese Seite wird nach Definition und Speicherung einer neuen Verbindung geöffnet. Sie ermöglicht die Definition einiger erweiterter Einstellungen für die betreffende Verbindung.
Warnung
Ungeübte Benutzer sollten die folgenden erweiterten Einstellungen nicht ändern.
Erstellung von Net-To-Net-VPNs mithilfe von IPsec durch Verwendung der Zertifikatsauthentifizierung.
Szenario:
Problem: Verbinden Sie LocalFW mit CoreFW mithilfe von IPSec.
Lösung:
Das Layer-2-Tunneling-Protokoll (L2TP) wird unter RFC 2661 beschrieben. Kurz gesagt handelt es sich hierbei um ein Protokoll, das Tunnelverbindungen mit PPP-Paketen erlaubt. Es wird verwendet, um VPN-Verbindungen mit IPSec zu unterstützen.
Folgende Optionen sind für das Konfigurieren von L2TP verfügbar.
Im Feld auf dieser Seite ist die zunächst leere Liste der OpenVPN-Benutzer enthalten. Die einzig verfügbare Aktion lautet demnach Neuen Benutzer hinzufügen. In der Liste ist die Liste mit den bereits definierten Konten und einigen Informationen enthalten: Kontonamen, Anmerkungen, Angaben zum Benutzer (OpenVPN- oder L2TP-Benutzer), die vom Konto verwendeten Netzwerke und deren Status sowie die verfügbaren Aktionen.
Klicken Sie auf Neuen Benutzer hinzufügen, um ein VPN-Konto hinzuzufügen. Es wird ein Formular geöffnet, in dem für jeden Benutzer folgende Optionen festgelegt werden können:
Benutzer hinzufügen
Im Abschnitt VPN Protokolle können Sie zwei Kontrollkästchen aktivieren, um das für die VPN-Verbindung verwendete Protokoll auszuwählen:
Nachstehend können Sie erweiterte Einstellungen für sämtliche Protokolle vornehmen, die der Benutzer verwenden soll. Durch Klicken auf den Hyperlink Erweiterte Einstellungen werden zwei weitere Hyperlinks angezeigt: Durch Klicken auf die Hyperlinks wird ein neuer Abschnitt angezeigt, in dem Sie weitere Einstellungen für die Verbindung vornehmen können.
OpenVPN Optionen
Bemerkung
Wenn zwei oder mehr Zweigstellen über ein Gateway-to-Gateway-VPN verbunden werden sollen, empfiehlt es sich, unterschiedliche Subnetze für die lokalen Netzwerke der verschiedenen Zweigstellen auszuwählen. Sie können beispielsweise einer Zweigstelle in der GRÜNEN Zone das Subnetz 192.168.1.0/24 zuweisen und einer anderen Zweigstelle in derselben Zone das Subnetz 192.168.2.0/24. Auf diese Weise können verschiedene potenzielle Fehlerquellen und Konflikte vermieden werden. Diese Option bietet verschiedene Vorteile, z. B.: automatische Zuweisung der richtigen Routen, ohne dass benutzerdefinierte Routen gesendet werden müssen; keine Warnmeldungen zu potenziell widersprüchlichen Routen; korrekte Auflösung des lokalen Namens; vereinfachte WAN-Netzwerkeinrichtung.
L2TP-Optionen
Geben Sie Suchbegriffe oder einen Modul-, Klassen- oder Funktionsnamen ein.