> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/run-the-platform/de/vpn/ipsec.md). # IPsec-Konfiguration VergeOS bietet IPsec-Kompatibilität, um die Konfiguration eines VPN-Tunnels zwischen einem VergeOS-Netzwerk und einem IPsec-Peer eines Drittanbieters zu ermöglichen. {% hint style="info" %} **IPsec verwenden** Die IPsec-Funktionalität wird für Situationen bereitgestellt, in denen eine spezielle IPsec-Anforderung besteht. Es wird empfohlen, stattdessen nach Möglichkeit WireGuard zu verwenden. WireGuard bietet eine bessere Leistung als IPsec und kann aufgrund seiner einfacheren Konfiguration weniger anfällig für unbeabsichtigte Fehlkonfigurationen in Bezug auf die Sicherheit sein. {% endhint %} Dieses Dokument bietet allgemeine Schritt-für-Schritt-Anweisungen zur Konfiguration von VergeOS als IPsec-Peer. Spezifische Beispielkonfigurationen sind unten auf dieser Seite verlinkt. ## Schritte auf hoher Ebene * Erstellen Sie ein **VPN-Netzwerk** und bearbeiten Sie die IPsec-Konfiguration, falls erforderlich * Erstellen Sie ein **Phase 1** Konfiguration * Erstellen Sie ein **Phase 2** Konfiguration * Konfigurieren **Firewall- und Routing-Regeln** ## Erstellen Sie ein VPN-Netzwerk 1. Navigieren Sie zu **Netzwerke** > **+ Neues VPN**. 2. Konfigurieren Sie die Netzwerkfelder. * **Layer-2-Typ:** Keine * **IP-Adress-Typ:** statisch * **IP-Adresse:** Adresse des VPN-Routers * **Netzwerkadresse:** lokaler Netzwerkbereich für diesen Peer * **Schnittstellennetzwerk:** * ***--Keine--*** um ein separates VPN-Netzwerk zu erstellen, in dem Verbindungen zu anderen VergeOS-Netzwerken vollständig über Layer-3-Routing abgewickelt werden. (Empfohlene Methode) * **Wählen Sie ein bestehendes Netzwerk aus** um das VPN-Netzwerk über Layer 2 direkt an dieses Netzwerk anzubinden. Informationen zu anderen Netzwerkfeldern finden Sie unter: [Allgemeine Anweisungen für interne Netzwerke](/run-the-platform/de/netzwerk/internal-networks.md) ## IPsec-Konfiguration bearbeiten (falls erforderlich) Allgemeine IPsec-Einstellungen sind auf übliche Standardwerte gesetzt. Diese Einstellungen können bei Bedarf geändert werden: über das **VPN-Netzwerk-Dashboard**, klicken Sie auf **IPsec bearbeiten** im linken Menü. {% hint style="info" %} Lesen Sie die Dokumentation Ihres IPsec-Anbieters von Drittanbietern und/oder allgemeine Dokumentationsquellen, wie z. B. die von NIST bereitgestellten, um Hinweise zu einzelnen IPsec-Einstellungen, möglichen Kompromissen verschiedener Auswahlmöglichkeiten und bewährten Sicherheitspraktiken zu erhalten. {% endhint %} * **Konfigurationsmodus** * *normal (Standard)* - diese Option wird typischerweise verwendet und umfasst die üblichen IPsec-Felder * *erweitert* - ermöglicht umfangreiche oder ungewöhnliche IPsec-Konfigurationen mithilfe von Konfigurations-(conf-)Dateien * **Eindeutige IDs** * *Ja (Standard)* - hält bestimmte Teilnehmer-IDs eindeutig. (Auch bekannt als die *Ersetzen* Option) * *Nie* - ignoriert die INITIAL\_CONTACT-Benachrichtigung und ersetzt weiterhin keine alten IKE\_SAs * *Nein* - ersetzt IKE\_SAs nur bei INITIAL\_CONTACT-Benachrichtigung. * **IPComp-Komprimierung vorschlagen (Standard deaktiviert):** Verwendet ein spezielles Protokoll zum Komprimieren der Nutzlast von IP-Paketen; muss vom entfernten Peer unterstützt werden. Diese Komprimierung kann vorteilhaft sein, wenn die übertragenen Daten stark komprimierbar sind; sie verursacht jedoch zusätzlichen Rechenaufwand. Zusätzliche Firewall-Regeln sind in der Regel erforderlich, um IPIP-Verkehr zu handhaben. * **Mein Netzwerk ausschließen:** Diese Einstellung sollte typischerweise aktiviert sein. * **Cisco-Erweiterungen:** Diese Einstellung sollte deaktiviert bleiben, sofern sie nicht ausdrücklich zur Unterstützung der Konfiguration des entfernten IPsec-Peers benötigt wird. * **Unverschlüsselte ID- und HASH-Nutzdaten im IKEv1-Main-Mode (Standard=deaktiviert):** Deaktiviert wird empfohlen, da der IKEv1-Main-Mode, bei dem ID- und HASH-Nutzdaten während des initialen Austauschs unverschlüsselt übertragen werden, mehrere Sicherheitslücken mit sich bringt. * **MSS-Clamp (Standard=0/deaktiviert):** In einigen Situationen kann MSS-Clamping die Leistung in IPsec-Tunneln verbessern. Es ist jedoch entscheidend, Ihr Netzwerk gründlich zu verstehen, um MSS korrekt zu berechnen und festzulegen, da eine falsche Einstellung zu suboptimaler Leistung und/oder Paketverlusten führen kann. * **Strenge CRL-Richtlinie (Standard=Nein):** Eine strenge CRL-(Certificate Revocation List-)Richtlinie in IPsec legt fest, dass widerrufene Zertifikate während der Authentifizierung nicht akzeptiert werden. * **Make-Before-Break (Standard deaktiviert):** neue SAs werden eingerichtet, während alte noch aktiv sind; alte SAs werden entfernt, wenn die neuen bereit sind. ## Erstellen Sie eine Phase-1-Konfiguration 1. Von der **VPN-Netzwerk-Dashboard**, klicken Sie auf **IPsec-Tunnel** > **Neu**. 2. Geben Sie einen **Namen** und optional **Beschreibung** für Phase 1. 3. Konfigurieren **Schlüsselaustauschversion** * *Automatisch* - verwendet die Version, die der entfernte Peer initiiert (IKEv1 oder IKEv2) * *IKEv1* * *IKEv2* {% hint style="success" %} **IKEv2 wird aus Sicherheitsgründen dringend empfohlen.** {% endhint %} 4. Geben Sie **Adresse des Remote-Gateways:** (erforderlich) die WAN-Adresse des anderen IPsec-Peers. 5. Konfigurieren **Phase-1-Verschlüsselungseinstellungen** * **Algorithmus**(Standard AES) * **Einstellungen für Schlüssellänge, Hash und DH-Gruppe** (die Optionen variieren je nach ausgewähltem Algorithmus). * **Lebensdauer/Einheiten** - Einstellung für das automatische Ablaufen von SAs (Standard: 3 Stunden) {% hint style="info" %} *Hinweis: Einige Algorithmen bieten keine starke Sicherheit und werden daher nicht empfohlen, z. B. Blowfish, 3DES, CAST128, MD5, SHA1, DH-Gruppen 1,2,22,23,24* {% endhint %} 6. Konfigurieren **Einstellungen für Phase-1-Vorschlag (Authentifizierung)** * **Vorab vereinbarter Schlüssel:** kann manuell eingegeben werden oder die Schaltfläche „Generieren“ kann verwendet werden, um einen zufälligen, sicheren Wert für einen vorab vereinbarten Schlüssel zu erstellen. * **Aushandlungsmodus:** * *Hauptmodus* - Standard, empfohlener Modus * *Aggressiv* - weniger sicher als der Hauptmodus, bietet aber mehr Flexibilität * **Kennung:** die Identität, die dem entfernten Peer während der IKE-Aushandlung präsentiert wird. Wenn sie leer gelassen wird, wird die aktuelle IP verwendet. Typischerweise sollte die WAN-Adresse dieses IPsec-Peers eingetragen werden, da dies die Quelladresse ist, die beim Zugriff auf den entfernten Peer identifiziert wird. * **Peer-Kennung:** die vom entfernten Peer erwartete Identität; kann typischerweise leer gelassen werden, um die Adresse zu verwenden, die derzeit als VPN-Remote-Gateway angegeben ist. 7. Konfigurieren **Erweiterte Phase-1-Optionen** * **Verbindungsverhalten** definiert das Verhalten beim Start von IPsec: * *Nur Responder* - lädt die Verbindung, startet sie jedoch nicht. * *Bei Bedarf* - lädt eine Verbindung und startet sie, wenn zwischen den Netzwerken Verkehr erkannt wird * *Start* - lädt und startet die Verbindung sofort * **UDP-Kapselung erzwingen** (Standard=deaktiviert) - wenn aktiviert, wird die UDP-Kapselung erzwungen, auch wenn kein NAT erkannt wird. * **Anzahl der Aushandlungsversuche:** die Anzahl der Versuche, eine Verbindung oder deren Ersatz auszuhandeln, bevor aufgegeben wird. Der Wert 0 bedeutet, niemals aufzugeben; diese Einstellung ist nur lokal relevant, daher muss die andere Seite nicht dieselbe Einstellung haben. * **Neuaushandlung:** (Standard=aktiviert) kann deaktiviert/ausgeschaltet werden, um zu verhindern, dass lokal die Neuverhandlung einer bald ablaufenden Verbindung initiiert wird; dies hat jedoch keinen Einfluss auf Neuverhandlungsanfragen, die von dem anderen Peer kommen. * **Pufferzeit:** definiert die Zeitspanne, die vergehen soll, bevor eine Ersatzverhandlung für einen abgelaufenen Schlüsselaushandlungskanal/eine abgelaufene Verbindung erfolgt; diese Einstellung ist nur lokal relevant, daher muss die andere Seite nicht dieselbe Einstellung haben. * **Dead-Peer-Erkennung:** definiert die Standardaktion, die bei einem Timeout ausgeführt wird: * *Löschen* - schließt die Verbindung * *Anhalten* - überwacht neuen Verkehr und handelt die Verbindung neu aus, wenn Verkehr zwischen den Netzwerken erkannt wird. * *Neustart (Standard)* - versucht, die Verbindung sofort neu auszuhandeln * *Keine* - deaktiviert das Senden von DPD-Nachrichten * **DPD-Verzögerung:** (Standard=30 Sekunden) definiert das Zeitintervall für an den Peer gesendete R\_U\_There-Nachrichten/INFORMATIONAL-Austausche, die nur gesendet werden, wenn kein anderer Verkehr vorhanden ist. * **DPD-Fehler:** definiert die maximale Anzahl von Fehlern, nach denen Peer-Verbindungen nach Inaktivität automatisch gelöscht werden (Diese Einstellung gilt nicht für IKEv2.) {% hint style="info" %} Falls erforderlich, können zusätzliche Phase-1-Definitionen hinzugefügt werden. Über das VPN-Netzwerk-Dashboard: **IPsec-Tunnel** > **Neu** {% endhint %} ## Erstellen Sie eine Phase-2-Konfiguration {% hint style="info" %} Eine Phase-2-Konfiguration muss erstellt werden, um eine funktionierende IPsec-Verbindung herzustellen. {% endhint %} 1. Von der **VPN-Netzwerk-Dashboard**, klicken Sie auf **IPsec-Tunnel** im linken Menü; doppelklicken Sie auf die passende Phase 1, um zu diesem Phase-1-Dashboard zu gelangen; klicken Sie **Neu** im linken Menü. 2. Geben Sie einen **Namen** und **Optionale Beschreibung** für die neue Phase-2-Konfiguration. 3. Wählen Sie ein **Modus:** * *Tunnel* (Standard) - empfohlene Methode für Site-to-Site-VPN; es werden zwei IP-Header gesendet, wobei das ursprüngliche Paket gekapselt wird * *Transport* - verschlüsselt nur die Nutzlast und den ESP-Trailer. 4. Geben Sie die **Lokales Netzwerk:** (erforderlich) das Subnetz der IP-Adressen, die auf dieser Seite des VPN enthalten sein sollen, z. B. 192.168.0.0/24. 5. Geben Sie die **Remote-Netzwerk:** das Netzwerk des entfernten Peers im CIDR-Format, z. B. 50.x.x.x/28. 6. Wählen Sie ein **Protokoll:** * *ESP* (empfohlen) * *AH* (nur Authentifizierung) 7. Geben Sie **Lebensdauer** in Einheiten (Sekunden, Minuten, Stunden, Tage, Jahre) oder *Für immer* für die Dauer der während Phase 2 aufgebauten SA. 8. Wählen Sie die Verschlüsselung **Algorithmus** und **Schlüssellänge, Hash und DH-Gruppe** Einstellungen. 9. Klicken Sie **Senden** um die Phase-2-Konfiguration zu speichern. ## Firewall- und Routing-Regeln konfigurieren Für IPsec-Verkehr wird eine Netzwerkkonfiguration erforderlich sein. Die folgenden Netzwerkregeln werden für ein neues VPN-Netzwerk automatisch erstellt: * eingehend IKE UDP 500 zulassen * eingehend IPsec NAT-Traversal 4500 zulassen * eingehend ESP zulassen * eingehend AH zulassen Zusätzliche Netzwerkkonfigurationen (z. B. Firewall-Regeln, Routing) sind abhängig vom jeweiligen Netzwerk- und IPsec-Design erforderlich. Siehe unten die Links zu spezifischen IPsec-Beispielen, die die Konfiguration von Netzwerkregeln enthalten. ### Um den VPN-Tunnel von der VergeOS-Seite aus zu initiieren 1. Von der **VPN-Netzwerk-Dashboard**, klicken Sie auf **Einschalten** im linken Menü. 2. Klicken Sie unter **IPsec-Verbindungen**. ![auf die IPsec-Verbinden-Schaltfläche](/files/f1e974f1a68cf36e9cf6b8976268b66893bccaa9) 3. Achten Sie darauf, dass der IPsec-Status als verbunden angezeigt wird. ## Beispielkonfigurationen für IPsec Beispielkonfigurationen für IPsec sind als Referenz verfügbar: * [Dedizierte öffentliche Adresse mit gebrücktem internem Netzwerk](/knowledge-base/de/networking/ipsec-example-dedicated-ip.md) * [Mandant mit NAT-übersetzter UI-Adresse](/knowledge-base/de/networking/ipsec-example-tenant-nat-ui-ip.md) ## Tipps zur Fehlerbehebung ### Gegenseitig kompatible Einstellungen zwischen den Peers überprüfen IPsec reagiert sehr empfindlich auf Konfigurationsabweichungen. Die meisten Einstellungen erfordern eine präzise Abstimmung zwischen den Peers der Verbindung. Lesen Sie die Dokumentation Ihres Nicht-VergeOS-IPsec-Peers und stellen Sie sicher, dass alle Parameter auf beiden Seiten genau übereinstimmen. ### Protokolle des VPN-Netzwerk-Containers Auf die Protokolle des Netzwerk-Containers kann über das VPN-Netzwerk-Dashboard zugegriffen werden: **Diagnose > Diagnoseabfrage:** ***Protokolle*** Diese Protokolle enthalten oft hilfreiche Informationen zur Fehlerbehebung, z. B. IPsec-Fehlermeldungen, Quell- und Zieladressen usw. ### Netzwerkverkehr nachverfolgen Das Nachverfolgen des Verkehrs im VPN-Netzwerk sowie in den zugehörigen externen und internen Netzwerken kann bei der Fehlerbehebung oft helfen, indem festgestellt wird, ob Tunnelverkehr ein Netzwerk erreicht, sowie die Quell- und Zieladressen von Paketen identifiziert werden usw. **Diagnose > Diagnoseabfrage:** ***TCP-Dump***. Die [Leitfaden zur Netzwerkdiagnose](/run-the-platform/de/netzwerk/network-diagnostics.md) bietet eine Referenz für die Verwendung des Netzwerkdiagnosetools. --- # Agent Instructions This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com. ## Querying This Documentation If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question. Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter: ``` GET https://docs.verge.io/run-the-platform/de/vpn/ipsec.md?ask=&goal= ``` `ask` is the immediate question: it should be specific, self-contained, and written in natural language. `goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal. The response will contain a direct answer to the question and relevant excerpts and sources from the documentation. Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.