Beispiel für IPsec-Konfiguration – Mandant/NAT

Beispiel für die Konfiguration eines IPsec-Tunnels innerhalb eines VergeOS-Mandanten mit der dedizierten UI-IP-Adresse und NAT-Regeln zur Weiterleitung des Tunnelverkehrs.

Das folgende Beispiel konfiguriert einen IPsec-Peer innerhalb eines VergeOS-Tenants. In diesem Beispiel wird die dedizierte IP-Adresse, die für den Zugriff auf die Tenant-Benutzeroberfläche verwendet wird, auch für den IPsec-Tunnel verwendet, wobei NAT-Regeln vorhanden sind, um den Tunnelverkehr entsprechend weiterzuleiten.

Dieses Beispiel bezieht sich auf einen Tenant mit einer dedizierten IP-Adresse; Tenants, die eine gemeinsam genutzte Adresse verwenden (über Proxy-/PAT-Regeln), erfordern eine andere Konfiguration.

IPsec ist ein komplexes Framework, das eine Vielzahl von Konfigurationskombinationen unterstützt und viele Möglichkeiten bietet, dasselbe Ziel zu erreichen, sodass es unmöglich ist, allgemeingültige Anweisungen bereitzustellen. Beispielkonfigurationen werden als Referenz angegeben und sollten an die jeweilige Umgebung und die Anforderungen angepasst werden.

Lesen Sie die IPsec-Produktleitfadenseite für allgemeine Schritt-für-Schritt-Anweisungen zum Erstellen eines IPsec-Tunnels.

Hostkonfiguration

Durch die Zuweisung der UI-Adresse zu einem Tenant werden automatisch Regeln auf dem Hostsystem (externe und Tenant-Netzwerke) erstellt, um den Datenverkehr entsprechend zu leiten. Auf dem Host sollte keine weitere Konfiguration erforderlich sein.

Alle unten beschriebenen Konfigurationen werden im Tenant-System vorgenommen.

VPN-Netzwerkkonfiguration

VPN-Netzwerkkonfiguration

Phase 1

Phase-1-Konfiguration

Phase 2

Phase-2-Konfiguration

Standardregeln des VPN-Netzwerks

Standard-Firewallregeln - Die folgenden erforderlichen Firewallregeln werden automatisch erstellt wenn ein VPN-Netzwerk erstellt wird:

• IKE zulassen: Eingehenden UDP-Verkehr auf Port 500 zulassen an Meine Router-IP
• IPsec NAT-Traversal zulassen: Eingehenden UDP-Verkehr auf Port 4500 zulassen an Meine Router-IP
• ESP zulassen: Eingehenden ESP-Protokollverkehr zulassen an Meine Router-IP
• AH zulassen: Eingehenden AH-Protokollverkehr zulassen an Meine Router-IP

Regeln überprüfen

Diese Regeln können bei Bedarf geändert werden, um sie auf bestimmte Quelladressen einzuschränken.

Zusätzliche VPN-Netzwerkregeln

Im neuen VPN-Netzwerk müssen zusätzliche Regeln erstellt werden:

VPN-NAT-Regel:

Die eingehende NAT-Regel muss an die oberste Stelle verschoben werden, vor der Akzeptieren Regeln. Anweisungen zum Ändern der Reihenfolge von Regeln finden Sie im Produktleitfaden: Netzwerkregeln – Reihenfolge der Regeln ändern

Standard-Route-Regel:

VPN-SNAT-Regel:

Regeln für das externe Netzwerk

Übersetzungsregeln sind im externen Netzwerk des Tenants erforderlich, um IPsec-Datenverkehr an das VPN-Netzwerk zu senden:

Externe UDP-NAT-Regel:

Externe ESP-NAT-Regel:

Externe AH-NAT-Regel:

Interne Netzwerke mit dem VPN verbinden

Es kann eine Weiterleitung zwischen dem VPN-Netzwerk und anderen internen Netzwerken konfiguriert werden, um diesen Netzwerken Tunnelzugriff bereitzustellen; siehe Wie man Routing zwischen Netzwerken konfiguriert.

Neue Regeln müssen auf jedem Netzwerk angewendet werden, damit sie wirksam werden.