Security + Firewall. 3.0 IPsec Client Einwahl. 3.1 Szenario

Transkript

1 3.0 IPsec Client Einwahl 3.1 Szenario In dem folgenden Szenario werden Sie eine IPsec Verbindung zwischen einem IPsec Gateway und dem IPsec Client konfigurieren. Die Zentrale hat eine feste IP-Adresse und der Client eine dynamische IP-Adresse. 3.2 Voraussetzungen - Mindestens 2 DFL Firewalls - Grundkonfiguration der Firewall - Mindestens 2 Computer - Internet Zugang mit fester IP-Adresse in der Zentrale - Alle Standard Regeln in IP-Rule sind gelöscht - Installierten D-Link IPsec Client 3.3 Szenario Vorgaben Tragen Sie hier in der nebenstehenden Tabelle die Parameter für die Konfiguration ein, die der Trainer Ihnen nennt und beginnen Sie mit der Übung unter Punkt 3.4 Verschlüsselung Authentifizierung Preshared Key - 1 -

2 3.4 IPsec Gateway konfigurieren Gehen Sie in das Menü Objects > Address Book > InterfaceAddresses Fügen Sie mit Add eine IP4 Host/Network Adresse hinzu Benennen Sie den Eintrag Client und geben Sie bei IP Address z.b an Wechseln Sie in das Menü Objects > VPN Objects > Pre-Shared Keys und legen Sie mit Add einen Pre-Shared Key an. Geben Sie dem Preshared Key einen Namen z.b. PSK Markieren Sie den Punkt Passphrase und geben Sie in die Felder den Preshared Key ein z.b. dlink - 2 -

3 Gehen Sie jetzt in die Menüpunkte IKE Algorithms und IPsec Algorithms und legen Sie jeweils eine Vorlage für die IPsec Verbindung an. Geben Sie der Vorlage den Namen Client und wählen den Algorithmus AES aus Stellen Sie die Schlüssellänge vom AES auf 256 Bit und wählen den Hash Algorithmus MD5 aus. Gehen Sie in das Menü Interfaces > IPsec Tunnels und legen Sie mit Add eine IPsec Verbindung an - 3 -

4 Geben Sie der IPsec Verbindung einen Namen z.b. Client und wählen bei Local Network lannet aus. Unter Remote Network wählen Sie die Client IP Adresse aus z.b und den Remote Endpoint belassen Sie auf all-nets, da der Internetzugang vom Client eine dynamische IP Adresse hat. Bei den IKE und IPsec Algorithmen wählen Sie jeweils die Client Vorlage. In der Registerkarte Authentication wählen Sie jetzt den Preshared Key aus, den Sie angelegt haben z.b. PSK - 4 -

5 Da Sie dynamische IP-Adressen verwenden, müssen Sie in der Registerkarte IKE Settings den Mode auf Aggressive stellen Gehen Sie jetzt in das Menü Rules > IP Rules und legen Sie mit Add eine IP Rule an Geben Sie der Regel den Namen IPsec und stellen Sie die Action auf Allow. Den Service stellen Sie auf all_services. Als Source wählen Sie sowohl das Interface als auch das Network den Client und als Destination wählen Sie Ihr lokales Netzwerk lan / lannet - 5 -

6 3.5 IPsec Client konfigurieren Nach der Installation erstellen Sie in dem Menü Configuration > Profil Settings > New Entry neues Profil für Ihre Verbindung zur Zentrale Geben Sie dem Profil einen Namen z.b. Zentrale. Als Internet Verbindung unter Communication media wählen Sie z.b. LAN (over IP) Unter Gateway geben Sie die IP Adresse der Zentrale ein z.b Bei Shared Secret geben Sie den Preshared Key aus der Zentrale ein z.b. dlink - 6 -

7 Nach dem IPsec Wizard bearbeiten Sie Ihren Eintrag. Gehen Sie dazu in das Menü Configuration > Profil Settings Markieren Sie die Zentrale und wählen Sie Configure Wählen Sie IPSec General Settings aus Stellen Sie den Exchange Mode auf Aggressive Mode und legen Sie im Menü Policy Editor zwei neue Profile für die Verschlüsselung an

8 Markieren Sie einmal den Eintrag IKE Policy und und einmal den Eintrag IPsec Policy und wählen New Entry Setzen Sie hier bei IKE Policy die Verschlüsselungsparameter auf die gleichen Werte wie in der Zentrale und benennen Sie Ihn z.b. Zentrale Setzen Sie hier bei IPsec Policy ebenfalls die Verschlüsselungsparameter auf die gleichen Werte wie in der Zentrale und benennen Sie Ihn z.b. Zentrale Wählen Sie jetzt die soeben angelegten Vorlagen für die Zentrale aus - 8 -

9 Gehen Sie jetzt in das Menü IP Address Assignment Hier markieren Sie den Eintrag Manual IP address und schreiben die IP Adresse in das Feld Wechseln Sie in das Menü Remote Networks Geben Sie das Netz und die Subnetmask der Zentrale an z.b / Um die Verbindung zu testen wählen Sie unter Profile die Zentrale und klicken auf Connect - 9 -