seite - 1 - - neo-one.de ipsec... · 2012-10-31 · emailaddress: z.b. [email protected]. seite - 4 -...
TRANSCRIPT
Seite - 1 -
1. IKEv2 zwischen Windows 7 und Gateway mit Zertifikaten (PKCS#12)
1.1 Einleitung
Im Folgenden wird die Konfiguration einer IPSec-Verbindung mit IKEv2 von einem Windows
7 Rechner zum bintec IPSec-Gateway beschrieben. Der Windows 7 Rechner erhält über den
IKE-Config-Mode eine IP-Adresse, um auf das IP-Subnetz der Zentrale zuzugreifen. Das
Szenario kann sowohl mit dynamischen als auch mit festen IP-Adressen konfiguriert werden.
Die Authentifizierung erfolgt über Zertifikate, die von einer Zertifizierungsstelle ausgestellt
wurden (PKCS#12). Diese Anleitung zeigt die Konfiguration der Zentrale auf Basis eines
RS232bw und einem Windows 7 Rechner mit SP1.
Zur Konfiguration wird das Graphical User Interface (GUI) verwendet.
1.2 Voraussetzungen
Folgende Voraussetzungen für die Konfiguration müssen erfüllt sein:
Eine Grundkonfiguration des Gateways.
Die Konfiguration erfordert einen funktionsfähigen Internetzugang.
Client Rechner mit Windows 7 SP1.
Eine installierte Zertifizierungsstelle (CA) z.B. XCA Version 0.9.3.
Seite - 2 -
1.3 Zertifizierungsstelle
Installieren Sie die Zertifizierungsstelle xca und erstellen Sie eine neue Datenbank. Gehen
Sie anschließend in folgendes Menü, um für das eigene Zertifikat der Zertifizierungsstelle, für
den IKEv2-IPSec-Client und für das IPSec-Gateway jeweils einen Schlüssel zu generieren:
XCA Private Schlüssel Neuer Schlüssel
Gehen Sie in folgendes Menü, um das Zertifikat der Zertifizierungsstelle zu erstellen:
XCA Zertifikate Neues Zertifikat
Wählen Sie als Schlüsselnamen z.B.
key1, key2 und key3. Stellen Sie die
Schlüssellänge auf z.B. 1024 bit und
den Schlüsseltyp auf z.B. RSA.
Auf der Registerkarte Herkunft
wählen Sie als Signaturalgorithmus
z.B. SHA 1. Als Vorlage für das neue
Zertifikat nutzen Sie [default] CA
und klicken auf Übernehmen.
Seite - 3 -
Füllen Sie auf der Registerkarte Besitzer alle Angaben zur Zertifizierungsstelle wie folgt aus:
Für den Router und den Client brauchen Sie jeweils ein eigenes Zertifikat. Gehen Sie in
folgendes Menü, um zwei Zertifikate mit folgenden Parametern zu erstellen:
XCA Zertifikate Neues Zertifikat
Auf der Registerkarte Herkunft aktivieren Sie
Verwende dieses Zertifikat zum
Unterschreiben und wählen z.B. Teldat-CA
aus. Den Signaturalgorithmus setzen Sie auf
z.B. SHA 1.
Unter Privater Schlüssel wählen Sie den für die CA
generierten Schlüssel, z.B. key1 (RSA). Bestätigen
Sie Ihre Eingaben mit OK.
Interner Name: z.B. Teldat-CA.
countryName: z.B. DE.
stateOrProvinceName: z.B. NRW.
localityName: z.B. Krefeld.
organizationName: z.B. Teldat.
organizationUnitName: z.B. Training.
commonName: z.B. ca.
emailAddress: z.B. [email protected].
Seite - 4 -
INFO
Windows 7 erfordert bei IKEv2 im Zertifikat vom Router als Üblicher Name (CN, Common
Name) die öffentliche IP-Adresse oder den Domänen Namen, den man in der VPN
Verbindung im Client als Ziel angibt. Ausserdem muss das Zertifikat die erweiterte
Schlüsselverwendung serverAuth unterstützen.
INFO
Wenn Sie nicht möchten, dass Windows 7 die erweiterten Parameter des Router Zertifikats
überprüft, können Sie die Sicherheitsüberprüfung über die Registry deaktivieren. Öffnen Sie
dazu folgenden Pfad in der Registry:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\RasMan\Parameters\
Erzeugen Sie einen DWORD Eintrag mit dem Namen DisableIKENameEkuCheck und
dem Wert 1.
Auf der Registerkarte Inhaber verwenden Sie für den
Router als Interner Name z.B. zentrale und als Üblicher
Name z.B. 62.10.20.30. Für den Client verwenden Sie als
Interner Name und als Üblicher Name z.B. client.
Als Privater Schlüssel wählen Sie für den Router
z.B. key2 und für den Client z.B. key3 aus.
Für das Router Zertifikat müssen Sie
zusätzlich auf der Registerkarte Key usage
die Erweiterte Schlüsselbenutzung TLS
Web Server Authentication markieren.
Seite - 5 -
Gehen Sie in folgendes Menü, um die Zertifikate für den Router und den Client inklusive
privatem Schlüssel und Zertifikat der Zertifizierungsstelle als Datei zu exportieren:
XCA Zertifikate
1.4 Zertifikat importieren
Um das erstellte Zertifikat in den Router zu importieren, gehen Sie in folgendes Menü:
GUI Systemverwaltung Zertifikate Zertifikatsliste Importieren
Markieren Sie das Zertifikat,
welches exportiert werden soll
z.B. zentrale und klicken Sie
auf Export.
Wählen Sie als Dateinamen für den Router z.B.
C:\zentrale.p12 und für den Client z.B.
C:\client.p12. Als Exportformat geben Sie z.B.
PKCS#12 with Certificate chain an. Geben Sie
anschließend ein Passwort ein z.B. bintec.
Seite - 6 -
Folgende Punkte sind hier relevant:
Feld Bedeutung
Externer Dateiname Der Pfad zum Zertifikat, welches importiert werden soll.
Lokale Zertifikatsbeschreibung Der interne Dateiname für das Zertifikat.
Dateikodierung Wählen Sie das Kodierformat der Datei aus.
Passwort Optionales Kennwort zur Absicherung des Zertifikats.
Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren:
Bei Externer Dateiname geben Sie z.B. C:\zentrale.p12 an.
Als Lokale Zertifikatsbeschreibung verwenden Sie z.B. zentrale.
Unter Dateikodierung wählen Sie z.B. Auto.
Als Passwort verwenden Sie z.B. bintec.
1.5 Verbindung im Router konfigurieren
Um den IKE-Config Modus für die Vergabe von IP-Adressen an die Clients zu nutzen, müssen
Sie einen IP-Adressen Pool erstellen. Gehen Sie in folgendes Menü, um einen IP-Pool für den
IPSec-Client zu erstellen:
GUI VPN IPSec IP Pools Hinzufügen
Folgende Punkte sind hier relevant:
Feld Bedeutung
IP-Poolname Die Bezeichnung des IP-Pools.
IP-Poolbereich Die erste und letzte IP-Adresse aus dem Pool.
Seite - 7 -
Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren:
Unter Beschreibung tragen Sie z.B. IPSec-Pool ein.
Als IP-Poolbereich verwenden Sie z.B. 192.168.0.100 - 192.168.0.120.
Gehen Sie jetzt in folgendes Menü, um die IPSec-Verbindung für den Client zu erstellen:
GUI VPN IPSec IPSec Peers Neu
Folgende Punkte sind hier relevant:
Feld Bedeutung
Beschreibung Die Bezeichnung des VPN-Tunnels.
Peer-Adresse Die öffentliche IP-Adresse / Domain Name vom Partner.
Peer-ID Die Identifikation vom einwählenden Client.
IKE (Internet Key Exchange) Das verwendete Protokoll für den Verbindungsaufbau.
Authentifizierungsmethode Die Art der Authentifizierung.
Lokales Zertifikat Das eigene Zertifikat für die Authentifizierung.
Lokale ID Die eigene Identität für die Authentifizierung.
Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren:
Unter Beschreibung tragen Sie z.B. Client ein.
Seite - 8 -
Das Feld Peer-Adresse bleibt bei einer Client Einwahl leer.
Als Peer-ID verwenden Sie z.B. ASN.1-DN / CN=client.
Bei IKE (Internet Key Exchange) wählen Sie IKEv2.
Die Authentifizierungsmethode setzten Sie auf z.B. RSA-Signatur.
Als Lokales Zertifikat wählen Sie z.B. zentrale aus.
Unter Lokale ID setzten Sie den Haken: Subjektname aus Zertifikat verwenden.
Konfigurieren Sie die Routenparameter folgendermaßen:
Folgende Punkte sind hier relevant:
IP-Adressenvergabe Wählen Sie zwischen statischer / dynamischer IP-Adresse.
Konfigurationsmodus Auf welche Art soll die IP-Adresse vergeben werden.
IP-Zuordnungspool Der IP-Adressen Pool für die Vergabe an die Clients.
Lokale IP-Adresse Die Lokale IP-Adresse der LAN-Schnittstelle.
Gehen Sie folgendermaßen vor, um den Eintrag zu konfigurieren:
Unter IP-Adressenvergabe wählen Sie z.B. Server im IKE-Konfigurationsmodus.
Wählen Sie als Konfigurationsmodus z.B. Pull.
Als IP-Zuordnungspool verwenden Sie z.B. IPSec-Pool.
Bei Lokale IP-Adresse tragen Sie z.B. 192.168.0.1 ein.
INFO
Wenn Sie dem Client eine IP-Adresse aus dem selben Subnetz geben wie im LAN der
Zentrale, müssen Sie im Tunnel unter Erweiterte Einstellungen als auch im LAN Interface
unter LAN IP-Konfiguration en1-0 Erweiterte Einstellungen Proxy ARP einschalten.
Seite - 9 -
INFO
Wenn Sie Zertifikate zur Authentifizierung nutzen, müssen Sie in folgendem Menü Datum
und Uhrzeit überprüfen um sicher zu stellen, dass die verwendeten Zertifikate gültig sind:
GUI Systemverwaltung Globale Einstellungen Datum und Uhrzeit
1.8 Windows IKEv2-IPSec-Client konfigurieren
Unter Windows 7 müssen Sie das Zertifikat für den Client als Computerzertifikat importieren.
Führen Sie dazu folgende Schritte aus:
Öffnen Sie eine Microsoft Management Console (MMC)
Start Ausführen MMC
Fügen Sie das Snap-In Zertifikate hinzu.
Wählen Sie Computerkonto und Lokaler Computer aus.
Klappen Sie das Menü Zertifikate Eigene Zertifikate Zertifikate auf.
Mit der Rechten Maustaste wählen Sie Alle Aufgaben Importieren aus.
Wählen Sie das Client Zertifikat zum importieren aus.
Geben Sie das Zertifikatskennwort an z.B. bintec.
Wählen Sie Zertifikatsspeicher automatisch auswählen aus.
Überprüfen Sie unter eigene Zertifikate und Vertrauenswürdige
Stammzertifizierungsstellen den erfolgreichen Import.
Seite - 10 -
Für die Konfiguration des IKEv2-VPN-Clients, gehen Sie unter Windows in folgendes Menü
und erstellen eine VPN-Verbindung:
Netzwerk und Freigabecenter Neue Verbindung oder neues Netzwerk einrichten
In den Eigenschaften der Verbindung konfigurieren Sie folgende Parameter:
In der Registerkarte Allgemein geben
Sie die IP-Adresse des entfernten
Gateways an z.B. 62.10.20.30.
In der Registerkarte Sicherheit wählen
Sie als VPN-Typ z.B. IKEv2. Die
Authentifizierung stellen Sie auf
Computerzertifikat verwenden.
Seite - 11 -
1.9 Konfiguration überprüfen
Um die IPSec-Verbindung zu testen, bauen Sie die Verbindung vom Client aus auf und geben
Sie in der Eingabeaufforderung des Client-PCs einen Ping zum zentralen Router ab.
c:\>ping 192.168.0.1 Ping wird ausgeführt für 192.168.0.1 mit 32 Bytes Daten: Antwort von 192.168.0.1: Bytes=32 Zeit=3ms TTL=61 Antwort von 192.168.0.1: Bytes=32 Zeit=1ms TTL=61 Ping-Statistik für 192.168.0.1: Pakete: Gesendet = 2, Empfangen = 2, Verloren = 0 (0% Verlust), Ca. Zeitangaben in Millisek.: Minimum = 1ms, Maximum = 3ms, Mittelwert = 2ms
Die Systemmeldungen vom Router können Sie sich in folgendem Menü anzeigen lassen:
GUI Monitoring Internes Protokoll