How-to: VPN mit L2TP und Zertifikaten und dem Mac OSX VPN-Client. Securepoint Security System Version 2007nx. Seite 1

Transkript

1 How-to: VPN mit L2TP und Zertifikaten und dem Mac OSX VPN-Client Securepoint Security System Version 2007nx Seite 1

2 Inhaltsverzeichnis VPN mit L2TP und Zertifikaten und dem Mac OSX VPN-Client Konfiguration der Appliance Erstellen von Netzwerkobjekten im Securepoint Security Manager Erstellen von Firewall-Regeln Erstellen von Zertifikaten L2TP-Grundeinstellungen L2TP-Konfiguration Benutzer einrichten Konfiguration des Mac OSX-L2TP-VPN-Roadwarriors unter Mac OSX Importieren des Clientzertifikats über den Schlüsselbund von Mac OSX Erstellen der VPN-Verbindung Seite 2

3 VPN mit L2TP und Zertifikaten und dem Mac OSX VPN-Client Ein VPN verbindet einen oder mehrere Rechner oder Netzwerke miteinander, indem es ein anderes Netzwerk, z. B. das Internet, als Transportweg nutzt. Das kann z. B. der Rechner eines Mitarbeiters zu Hause oder einer Filiale sein, der mit dem Netzwerk der Zentrale über das Internet verbunden ist. Für den Benutzer sieht das VPN wie eine normale Netzwerkverbindung zum Zielrechner aus. Den tatsächlichen Übertragungsweg sieht er nicht. Das VPN stellt dem Benutzer eine virtuelle IP-Verbindung zur Verfügung, die durch eine tatsächliche getunnelt wird. Die über diese Verbindung übertragenen Datenpakete werden am Clienten verschlüsselt und vom Securepoint Server wieder entschlüsselt und umgekehrt. Zielsetzung: Aufbau einer VPN-L2TP mit Zertifikaten zwischen der Securepoint Appliance und einem Mac OSX L2TP-Client. Vorraussetzung: Die L2TP Verbindung wurde unter Mac OSX (Intel) getestet. Minimum Vorraussetzung ist Mac OSX 10.4.X. Erst dann können Sie die PKCS#12 Zertifikate importieren und mit L2TP verwenden. Abb. VPN Seite 3

4 1 Konfiguration der Appliance 1.1 Erstellen von Netzwerkobjekten im Securepoint Security Manager Gehen Sie folgendermaßen vor: Wählen Sie über Firewall den Folder Netzwerkobjekte. Legen Sie die Netzwerkobjekte wie in der nachfolgenden Abbildung an. Abb. Netzwerkobjekte Seite 4

5 1.2 Erstellen von Firewall-Regeln Gehen Sie folgendermaßen vor: Wählen Sie über Firewall den Folder Portfilter. Legen Sie die Firewall-Regeln wie in der nachfolgenden Abbildung an. Abb. Firewall-Regeln Seite 5

6 1.3 Erstellen von Zertifikaten Gehen Sie folgendermaßen vor: Wählen Sie über VPN den Folder Zertifikate. Abb. Zertifikate Als erstes muss die Certification Authority (CA) erstellt werden, mit der das Server-Zertifikat und die Client-Zertifikate für die Roadwarrior signiert werden. Als erstes wird daher ein Stamm-Zertifikat erstellt. Klicken Sie auf das Icon Neu und wählen Sie dann Stamm-Zertifikat aus. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. Erstellen einer CA Seite 6

7 Nachdem eine CA erstellt wurde, können Server- und Client-Zertifikate generiert werden. Es wird ein Server und für jeden Roadwarrior ein Client-Zertifikat benötigt. Der Mac OSX L2TP Client erwartet als IPSec ID den Hostnamen des Firewall Servers, mit dem er sich verbindet. In unserem Beispiel ist das der DynDNS Name der Firewall. Dieser wird in dem Bereich X.509 V3 Name eingetragen. Klicken Sie auf das Icon Neu und wählen Sie dann Benutzer / Server-Zertifikat aus. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. Erstellen eines Server-Zertifikates Anschließend werden Client-Zertifikate benötigt. Klicken Sie auf das Icon Neu und wählen Sie dann Benutzer / Server-Zertifikat aus. Tragen Sie die Daten wie in der nachfolgenden Abbildung dargestellt ein. Abb. Erstellen eines Client-Zertifikates Nach dem Erstellen des Client-Zertifikats Exportieren Sie nun die Zertifikate für den Einsatz auf einem Roadwarrior. Seite 7

8 Klicken Sie auf das Icon Export und wählen Sie den gewünschten Datentyp aus. Je nach Zielsystem müssen Sie auswählen, ob die Zertifikate im Standardformat (.pem) oder in der Personal Information Exchange Syntax (.p12) gesichert werden sollen. PKCS#12-Dateien werden mit einem Passwort versehen. Für den Mac OSX Client exportieren Sie das Zertifikat im PKCS#12 Format. Anschließend kann das Zertifikat lokal abgespeichert werden. Abb. Export Zertifikate Seite 8

9 1.4 L2TP-Grundeinstellungen Gehen Sie folgendermaßen vor: Wählen Sie im Hauptmenü VPN über die Auswahlliste VPN L2TP. Das lokale L2TP-Interface sollte eine freie IP-Adresse aus dem internen Netz sein. Die L2TP-IP-Adressen (L2TP Adressenpool) werden im Anschluss an das L2TP-Interface vergeben. Bei dieser Konfiguration kann der L2TP-Client über Proxy-Arp Funktionalität mit dem internen Netz kommunizieren, da ihm eine IP-Adresse aus diesem Netz bei der Einwahl zugewiesen wird. Abb. Allgemeine VPN L2TP-Einstellungen Abb. NS / WINS-VPN L2TP-Einstellungen Seite 9

10 1.5 L2TP-Konfiguration Gehen Sie folgendermaßen vor: Wählen Sie über VPN den Folder VPN Verbindungen. Ziehen Sie mit der Maus das bestehende Firewallobjekt im linken Fenster auf die VPN Arbeitsfläche. Abb. Firewall-Symbol auf die Arbeitsfläche ziehen Jetzt erstellen Sie ein neues Roadwarrior-Objekt im linken Fenster. Klicken Sie auf das Notebook-Symbol in der Bildleiste des oberen Fensters. Im Dialog-Fenster Roadwarrior hinzufügen wird der Roadwarrior ohne IP ( ) angelegt, da diese sich ständig ändern kann! Klicken Sie auf L2TP im Roadwarrior-Dialog an, um L2TP zu aktivieren. Abb. Neues Roadwarrior-Objekt erstellen Seite 10

11 Ziehen Sie nun das neu erstellte Roadwarrior-Objekt aus dem linken Fenster auch auf die VPN Arbeitsfläche. Abb. Roadwarrior-Objekt auf die Arbeitsfläche ziehen Klicken Sie nun auf das Icon Verbinden und auf das Roadwarrior-Objekt. Es erscheint eine Fahne am Roadwarrior-Objekt mit der Information Bitte Zielobjekt anklicken. Klicken Sie nun das Firewall-Objekt an. Abb. Neues Roadwarrior-Objekt erstellen Seite 11

12 Es erscheint jetzt automatisch ein neues Dialog-Fenster IP-Sec-Verbindungen Übernehmen. Wählen Sie im neuen Fenster das Authentisierungsverfahren CERT und den ID-Typ HOSTNAME. Weitere Einstellungen sind im Standardfall einfach zu übernehmen. Abb. VPN mit Roadwarrior aufbauen Wählen Sie bei Lokales Zertifikat das Serverzertifikat aus. Für den "Local gateway ID" tragen Sie die ID des Serverzertifkats ein mit einem Zeichen davor. Abb. VPN mit Roadwarrior aufbauen Arbeitet der Client-PC hinter einem Router (genatet), so ist noch das Client-Subnet einzutragen. Soll der Eintrag für alle möglichen Subnetze gelten, so muss /0 eingetragen werden. Seite 12

13 Nach einem Klick auf Icon Aktualisieren ist die Konfiguration auf der Appliance abgeschlossen. Abb. Verbindungen aktualisieren Überprüfen Sie anschließend den Status der Dienste. Für eine L2TP-Verbindung werden SERVICE_IPSEC und SERVICE_L2TP benötigt. Laden Sie nun die im Abschnitt Zertifikate erstellten Zertifikate auf die Zielsysteme. Abb. Überprüfung, ob die VPN-Services in Betrieb sind Seite 13

14 1.6 Benutzer einrichten Gehen Sie folgendermaßen vor: Klicken Sie unter Benutzerverwaltung auf das Icon Neu. Erstellen Sie einen L2TP-Benutzer mit Name, Login, Passwort etc. Abb. Erstellen Sie einen L2TP-Benutzer Optional kann dem L2TP-Benutzer eine IP-Adresse außerhalb der L2TP-Pools, direkt zugewiesen werden. Abb. Zuweisen einer IP-Adresse Seite 14

15 2 Konfiguration des Mac OSX-L2TP-VPN-Roadwarriors unter Mac OSX 2.1 Importieren des Clientzertifikats über den Schlüsselbund von Mac OSX Gehen Sie folgendermaßen vor: Öffnen Sie unter Mac OSX ein Terminal Fenster. Wenn Sie mit eingeschränkten Benutzerrechten arbeiten, wechseln Sie mit dem Befehl su <namedesadministrators> zu einem priviligierten Benutzer. Danach öffnen Sie den Schlüsselbund von Mac OSX wie im Screenshot zu sehen. Öffnen Sie nicht den Schlüsselbund unter dem Bereich Programme! sudo "/Applications/Utilities/Keychain Access.app/Contents/MacOS/Keychain Access" Abb. Starten des Schlüsselbunds Über die Importfunktion können Sie das Zertifikat in das Verzeichnis "System"des Schlüsselbund einlesen. Dabei müssen Sie das Passwort des Zertifikats eingeben. Wenn das Zertifikat eingelesen wurde, kopieren Sie die CA in das Verzeichnis "X509Anchors". Damit das Zertifikat als gültig angezeigt wird, müssen Sie Ihr System einmal neu starten. Seite 15

16 Abb. Schlüsselbund Abb. Schlüsselbund Nach dem Neustart sollte das Zertifikat im Schlüsselbund als gültig angezeigt werden. Seite 16

17 Abb. Schlüsselbund Seite 17

18 2.2 Erstellen der VPN-Verbindung Gehen Sie folgendermaßen vor: Erstellen Sie mit dem Programm "Internet-Verbindungen" eine neue VPN-Verbindung. Geben Sie als Server-Adresse den Hostnamen an der auch im Zertifikat des Firewall Servers hinterlegt ist. Abb. Standard-VPN-Verbindung unter Mac OSX erstellen Öffnen Sie die erweiterte Konfiguration und wählen Sie als Rechner-Identifizierung "Zertifikat" aus und dann das entsprechende Importierte Zertifikat. Bestätigen Sie die Angaben und testen Sie die Verbindung. Abb. Standard-VPN-Verbindung unter Mac OSX, erweiterte Einstellungen Seite 18