IPsec

Navigation: Konfiguration > VPN > IPsec

Die Seite IPsec konfiguriert verschlüsselte Site-to-Site- oder Host-to-Site-VPN-Tunnel unter Verwendung des IPsec-Protokolls. IPsec verschlüsselt den gesamten Datenverkehr zwischen dem Gerät (bzw. einem definierten lokalen Subnetz) und einer Gegenstelle (bzw. einem definierten Remote-Subnetz) und gewährleistet so Vertraulichkeit und Integrität der Daten über nicht vertrauenswürdige Netzwerke. Die Seite unterstützt sowohl Pre-Shared Key (PSK) als auch zertifikatsbasierte Authentifizierung, IKEv1 und IKEv2 Schlüsselaustausch sowie konfigurierbare Cipher Suites für Phase 1 (IKE) und Phase 2 (ESP). Es können mehrere IPsec-Verbindungen gleichzeitig konfiguriert werden. Änderungen werden nach Klick auf Anwenden wirksam, müssen aber über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überdauern. Der Verbindungsstatus kann auf der Registerkarte Status dieser Seite sowie über die Seite Systemzustand überwacht werden.

IPsec

Voraussetzungen

Das Gerät muss im Betriebsmodus IP-Router betrieben werden. Konfigurieren Sie den Betriebsmodus auf der Seite IP-Konfiguration.
Für die zertifikatsbasierte Authentifizierung müssen das Gerätezertifikat und das CA-Zertifikat auf der Seite Zertifikate hochgeladen werden, bevor die IPsec-Verbindung konfiguriert wird.
Stellen Sie sicher, dass die IP-Adresse der Gegenstelle, die Authentifizierungsdaten (PSK oder Zertifikat) und die Subnetz-Definitionen vor der Konfiguration bekannt sind.
Falls Datenverkehr durch den IPsec-Tunnel geleitet werden soll, stellen Sie sicher, dass der Paketfilter die entsprechenden Verkehrsflüsse zwischen lokalem und Remote-Subnetz erlaubt.
Falls erforderlich, konfigurieren Sie statische Routen auf der Seite IP-Routing, um den Datenverkehr in den Tunnel zu leiten.

Einstellungen

Allgemein

Aktiviere IPsec

Aktiviert die IPsec-VPN-Funktion auf dem Gerät. Bei Aktivierung kann das Gerät verschlüsselte Tunnel mit entfernten IPsec-Gegenstellen aufbauen.

Aktiviere NAT-Traversal

Aktiviert NAT-Traversal (NAT-T), das erforderlich ist, wenn ein Router zwischen dem lokalen Gerät und der Gegenstelle Network Address Translation (NAT) durchführt. NAT-T kapselt IPsec-Pakete in UDP, damit sie NAT-Geräte passieren können.

Achtung: IPsec-Passthrough auf einem zwischengeschalteten Router stört NAT-Traversal. Falls der Router dieses Feature unterstützt, muss es deaktiviert werden, wenn NAT-Traversal verwendet wird.

Aktiviere PFS

Aktiviert Perfect Forward Secrecy (PFS). Bei PFS wird ein temporärer Session-Key (unterzeichnet mit dem privaten Schlüssel) zur Verschlüsselung der Daten verwendet, anstatt des privaten Schlüssels selbst. Dieser Session-Key wird in kurzen Intervallen erneuert. Sollte der private Schlüssel später kompromittiert werden, können zuvor aufgezeichnete Übertragungen nicht entschlüsselt werden, da die temporären Session-Keys nicht mehr rekonstruierbar sind. PFS erhöht damit die Sicherheit zusätzlich.

Aktiviere Aggressive Mode

Aktiviert den IPsec Aggressive Mode für die IKEv1-Phase-1-Aushandlung. Im Aggressive Mode werden weniger Nachrichten beim Verbindungsaufbau ausgetauscht, was für die Interoperabilität mit bestimmten Gegenstellen erforderlich sein kann.

Verbindung

Betriebsmodus

Definiert das Verbindungsverhalten der lokalen Seite.

Aktiv: Das Gerät versucht sofort, die Verbindung aufzubauen, und wiederholt den Versuch periodisch bei Fehlschlag. Dies ist der Standardmodus für Site-to-Site-Tunnel.

Aktiv (geschaltet): Der Verbindungsaufbau wird durch den Schlüsselschalter-Eingang am Gerät ausgelöst.

Passiv: Das Gerät initiiert keine Verbindung, sondern wartet, bis die Gegenstelle sich verbindet. Dieser Modus ist erforderlich, wenn die Remote-IP-Adresse im Voraus nicht bekannt ist, z.B. bei einem Roadwarrior-Setup.

Uplink-Schnittstelle

Wählt die Netzwerkschnittstelle, über die der IPsec-Tunnel aufgebaut wird. Der Tunnelverkehr verlässt das Gerät über diese Schnittstelle und gelangt darüber ins Gerät.

Lokales Subnetz

Das lokale Subnetz, dessen Verkehr zum Remote-Subnetz verschlüsselt wird, wenn er über die angegebene Uplink-Schnittstelle gesendet wird. Geben Sie das Subnetz in CIDR-Notation ein (z.B. 192.168.0.0/24). Wenn kein Subnetz angegeben wird, wird die IP-Adresse der Uplink-Schnittstelle verwendet.

Achtung: Das lokale und das Remote-Subnetz dürfen nicht identisch sein. Nur Verkehr zwischen exakt den definierten lokalen und Remote-Subnetzen wird verschlüsselt. Gerouteter Verkehr, der das Gerät aus dahinterliegenden Netzwerken durchquert, wird nicht verschlüsselt, es sei denn, diese Netzwerke werden explizit als lokales Subnetz angegeben.

Lokale ID

Die Identifikationszeichenfolge, die dieses Gerät bei PSK-basierten Verbindungen zur Identifikation (nicht Authentifizierung) verwendet. Bei zertifikatsbasierter Authentifizierung werden stets die Zertifikatsinformationen als Identität verwendet. Wird dieses Feld leer gelassen, wird die IP-Adresse der lokalen Schnittstelle verwendet. Die explizite Eingabe der IP-Adresse ist nicht dasselbe wie ein leeres Feld. Leerzeichen sind nicht erlaubt.

Remote-IP-Adresse

Die IP-Adresse oder der Hostname der IPsec-Gegenstelle. Geben Sie * ein, um Verbindungen von beliebigen Remote-IP-Adressen zu akzeptieren. Diese Einstellung ist nur sinnvoll, wenn der Betriebsmodus auf Passiv eingestellt ist, da sich das Gerät nicht aktiv zu einer unbekannten Adresse verbinden kann. Wenn sowohl die Remote-IP-Adresse als auch das Remote-Subnetz auf * gesetzt werden, wird ein sogenanntes Roadwarrior-Setup definiert, bei dem sich mehrere entfernte Gegenstellen (z.B. Laptops) gleichzeitig verbinden können.

Achtung: Wenn sich ein Roadwarrior über einen Router (aus einem LAN heraus) verbindet, wird NAT-Traversal benötigt und das Remote-LAN muss einen privaten Adressbereich verwenden (10.0.0.0/8, 192.168.0.0/16 oder 172.16.0.0/12).

Remote-ID

Die Identifikationszeichenfolge der Gegenstelle (nicht zur Authentifizierung), abhängig von der gewählten Authentifizierungsmethode.

PSK: Wird dieses Feld leer gelassen, wird die IP-Adresse der Gegenstelle überprüft. Die Eingabe der IP-Adresse ist nicht dasselbe wie ein leeres Feld. Die Remote-ID darf keine Leerzeichen enthalten.

Zertifikat: Es muss die vollständige Zertifikatsinformation der Gegenstelle angegeben werden (z.B. C=..., ST=..., L=..., O=..., OU=..., CN=..., E=...). Die Reihenfolge der Elemente muss eingehalten werden, und alle Elemente müssen durch ein Komma gefolgt von einem Leerzeichen getrennt werden. Beim Warten auf Roadwarriors mit Zertifikaten kann der Platzhalter * verwendet werden (z.B. CN=*). Für ein Roadwarrior-Setup mit PSK sollten keine IDs konfiguriert werden.

Achtung: Die Remote-ID muss eindeutig sein. Verwenden mehrere Verbindungen dieselbe ID, werden deren Tunnel ständig auf- und abgebaut, was zu intermittierender Konnektivität führt.

Remote-Subnetz

Das Subnetz der Gegenstelle, zu dem Verkehr aus dem lokalen Subnetz verschlüsselt wird. Geben Sie das Subnetz in CIDR-Notation ein (z.B. 192.168.0.0/24). Wenn kein Subnetz angegeben wird, wird die IP-Adresse der Gegenstelle verwendet.

Achtung: Das lokale und das Remote-Subnetz dürfen nicht identisch sein. Nur Verkehr zwischen exakt den definierten lokalen und Remote-Subnetzen wird verschlüsselt. Gerouteter Verkehr aus dahinterliegenden Netzwerken wird nicht verschlüsselt, sofern diese Netzwerke nicht explizit angegeben sind.

Authentifizierung

Authentifizierungsmethode

Wählt die Methode zur Authentifizierung der IPsec-Verbindung. Es können entweder ein Pre-Shared Key (PSK) oder Zertifikate verwendet werden. Zertifikatsbasierte Authentifizierung wird empfohlen, da sie eine stärkere Sicherheit als PSK bietet.

PSK

Der Pre-Shared Key zur Authentifizierung des Tunnels. Der PSK muss auf beiden Seiten der Verbindung identisch sein. Der Schlüssel kann in folgenden Formaten angegeben werden:

Standard-Zeichenfolge: Alphanumerische Zeichen (a-z, A-Z, 0-9) und die Sonderzeichen - + & ! @ # $ % ^ * ( ) , . : ; _ = < > { } /. Maximale Länge: 64 Zeichen.

Hexadezimalformat: Muss mit 0x beginnen, gefolgt von hexadezimalen Ziffern (0-9, a-f, A-F). Repräsentiert bis zu 64 Bytes (maximal 128 Hexadezimalstellen nach 0x).

Base64-Format: Muss mit 0s beginnen, gefolgt von Base64-codierten Zeichen. Repräsentiert bis zu 64 Bytes (maximal 88 Base64-Zeichen nach 0s).

Wichtig: Verwenden Sie keine einfachen Wörter oder Phrasen. Der PSK sollte ein starker, zufälliger Wert sein.

Zertifikat

Wählt das Gerätezertifikat, mit dem sich dieses Gerät bei der Gegenstelle authentifiziert. Zertifikate können auf der Seite Zertifikate hochgeladen werden.

CA-Zertifikat

Wählt das CA-Zertifikat zur Überprüfung des Zertifikats der Gegenstelle. Das Zertifikat der Gegenstelle muss von dieser CA unterzeichnet worden sein, um akzeptiert zu werden.

Zertifikate senden

Steuert, wann das Gerät sein Zertifikat an die Gegenstelle sendet.

auf Anfrage: Zertifikate werden nur auf Anfrage der Gegenstelle gesendet. Dies ist die Standard- und aus Sicherheitsgründen empfohlene Einstellung.

immer: Zertifikate werden immer während der Aushandlung gesendet. Dies kann für die Kompatibilität mit bestimmten Herstellern wie Cisco oder Safenet erforderlich sein.

IKE und Verschlüsselung

IKE-Version

Wählt die IKE-Protokollversion (Internet Key Exchange) für die Schlüsselaushandlung.

ike (0): Akzeptiert sowohl IKEv1 als auch IKEv2 als Responder und initiiert Verbindungen aktiv mit IKEv2.

ikev1 (1): Verwendet ausschließlich IKEv1 (auch bekannt als ISAKMP).

ikev2 (2): Verwendet ausschließlich IKEv2.

IKE-Chiffren (Phase 1)

Wählt die Verschlüsselungsalgorithmen, die während der IKE-Phase-1-Aushandlung angeboten werden. Es können mehrere Chiffren ausgewählt werden. Verfügbare Optionen sind aes256, aes192, aes128 und 3des. Beide Seiten müssen mindestens eine gemeinsame Chiffre unterstützen, damit die Aushandlung erfolgreich ist.

IKE-Hash-Funktionen (Phase 1)

Wählt die Hash-Algorithmen, die während der IKE-Phase-1-Aushandlung zur Integritätsprüfung angeboten werden. Verfügbare Optionen sind sha2_512, sha2_384, sha2_256, sha1 und md5. Beide Seiten müssen mindestens eine gemeinsame Hash-Funktion unterstützen.

DH-Gruppe (Phase 1)

Wählt die Diffie-Hellman-Gruppen für den Schlüsselaustausch während der IKE-Phase 1. Höhere Gruppennummern bieten einen stärkeren Schlüsselaustausch, erfordern aber mehr Rechenleistung. Die verfügbaren Gruppen und ihre entsprechenden MODP-Größen sind:

ESP-Chiffren (Phase 2)

Wählt die Verschlüsselungsalgorithmen, die während der ESP-Phase-2-Aushandlung für die eigentliche Datenverschlüsselung angeboten werden. Verfügbare Optionen sind aes256, aes192, aes128 und 3des.

ESP-Hash-Funktionen (Phase 2)

Wählt die Hash-Algorithmen, die während der ESP-Phase-2-Aushandlung zur Integritätsprüfung der Daten angeboten werden. Verfügbare Optionen sind sha2_512, sha2_384, sha2_256, sha1 und md5.

Diagnose und Überwachung

Loglevel

Steuert den Detailgrad der IPsec-Meldungen im Eventlog.

none: Es werden keine IPsec-Meldungen protokolliert.

info: Nur grundlegende Informationen und kritische Fehler werden protokolliert.

debug: Statusinformationen zur Fehlersuche werden ebenfalls protokolliert.

verbose: Alle möglichen Meldungen werden protokolliert.

VPN-LED-/Ausgangssteuerung

Wählt, welche VPN-Schnittstelle den Zustand der VPN-LED und der digitalen Ausgangsfunktion VPNUP steuert. Die LED zeigt den Verbindungszustand an: aus -- Verbindung inaktiv; blinkend -- Verbindungsaufbau; an -- verbunden.

Aktuelle IPsec-Verbindungen

Diese Tabelle zeigt alle derzeit konfigurierten IPsec-Verbindungen mit ihrem Status, Verbindungsnamen, Betriebsmodus, lokaler ID, Remote-IP-Adresse, CA-Zertifikat, Remote-ID und Remote-Subnetz an. Verbindungen können über das Papierkorb-Symbol aus der Tabelle gelöscht werden.

Neue Verbindung hinzufügen

Verwenden Sie diesen Bereich, um eine neue IPsec-Verbindung hinzuzufügen. Geben Sie die Verbindungsparameter (Betriebsmodus, lokale ID, Remote-IP-Adresse, CA-Zertifikat, Remote-ID und Remote-Subnetz) ein und klicken Sie auf Eintrag hinzufügen, um die Verbindung zu erstellen.

ACHTUNG

Nur Verkehr zwischen exakt den konfigurierten lokalen und Remote-Subnetzen wird verschlüsselt. Gerouteter Verkehr, der das Gerät aus anderen Netzwerken durchquert, wird nicht automatisch verschlüsselt. Stellen Sie sicher, dass die lokalen und Remote-Subnetz-Definitionen den gesamten zu schützenden Verkehr abdecken. Werden die Subnetze leer gelassen, wird nur Verkehr verschlüsselt, der vom Gerät selbst stammt und für das Gerät bestimmt ist -- Verkehr, der von dahinterliegenden Netzwerken durch das Gerät geroutet wird, bleibt unverschlüsselt.

Sicherheit

Verwenden Sie nach Möglichkeit zertifikatsbasierte Authentifizierung anstelle von Pre-Shared Keys, da Zertifikate eine stärkere Sicherheit bieten und individuell widerrufen werden können. Falls PSK erforderlich ist, verwenden Sie einen starken, zufällig generierten Schlüssel maximaler Länge -- verwenden Sie keine Wörterbuchwörter oder einfache Phrasen. Aktivieren Sie Perfect Forward Secrecy (PFS), um vergangene Sitzungen auch bei späterer Kompromittierung des privaten Schlüssels zu schützen. Bevorzugen Sie IKEv2 gegenüber IKEv1 für verbesserte Sicherheit und Zuverlässigkeit. Wählen Sie starke Cipher Suites: verwenden Sie AES-256 für die Verschlüsselung und SHA-256 oder höher für das Hashing. Vermeiden Sie schwache Algorithmen (3DES, MD5, SHA-1, DH-Gruppen 1 und 2) in Produktionsumgebungen. Beschränken Sie den Paketfilter so, dass nur der notwendige Verkehr durch den IPsec-Tunnel erlaubt wird. Überprüfen Sie die IPsec-Verbindungskonfigurationen regelmäßig und entfernen Sie ungenutzte Verbindungen, um die Angriffsfläche gemäß IEC 62443 zu reduzieren.