VPN1

Navigation: Konfiguration > VPN > OpenVPN > VPN1

Diese Registerkarte konfiguriert eine der OpenVPN-Tunnel-Instanzen des Geräts. Sie ist hier als OpenVPN-Server konfiguriert, mit dem sich entfernte Clients verbinden; VPN2 dokumentiert dieselbe Registerkarte als Client konfiguriert. Alle OpenVPN-Instanzen sind strukturell identisch — jede kann als Server oder Client mit eigenem Zertifikat, Protokoll und eigener Adressierung betrieben werden. Eine Übersicht aller konfigurierten Tunnel und globale OpenVPN-Einstellungen finden Sie auf der übergeordneten Seite OpenVPN. Änderungen werden nach Klick auf Anwenden wirksam, müssen jedoch über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überstehen.

VPN1

Voraussetzungen

Ein für OpenVPN geeignetes Serverzertifikat muss auf der Seite Zertifikate hochgeladen sein. Der Server und alle verbindenden Clients müssen Zertifikate verwenden, die von derselben Zertifizierungsstelle (CA) signiert sind.
Planen Sie die Tunnel-IP-Adressierung so, dass das VPN-Subnetz nicht mit vorhandenen LAN- oder WAN-Subnetzen überlappt. Für Layer-3-Tunnel weisen Sie die Tunnel-IP-Adresse auf der Seite IP-Konfiguration zu.

Einstellungen

Grundeinstellungen

VPN-Instanz aktivieren: Aktiviert oder deaktiviert diese VPN-Tunnel-Instanz. Bei Deaktivierung wird der Tunnel nicht gestartet.
Schnittstellenmodus: Wählt den Verbindungsmodus. In diesem Beispiel ist er auf Server gesetzt: Das Gerät betreibt einen TCP/UDP-Server, mit dem sich mehrere Clients verbinden können. (Im Client-Modus baut das Gerät eine Verbindung zu einem entfernten Server auf — siehe VPN2.)
Permanente Verbindung: Wenn bei einer Server-Instanz aktiviert, ist der Server stets aktiv. Bei Deaktivierung kann die Instanz bei Bedarf über die Trigger VPN KEY, CUT oder ALARM, Modbus TCP oder die API gestartet werden.
Layer: Wählt die Netzwerkebene, auf der die OpenVPN-Schnittstelle arbeitet. Layer 2 überbrückt (Bridge) die VPN-Schnittstelle mit der LAN-Schnittstelle. Layer 3 weist der VPN-Schnittstelle eine eigene IP-Adresse zu, die auf der Seite IP-Konfiguration konfiguriert werden muss.
OpenVPN-Gerätetyp: Wählt den virtuellen Netzwerkgerätetyp für Layer-3-Tunnel, entweder TUN oder TAP (TAP ist auf diesem Gerätetyp der Standard). Beide VPN-Endpunkte müssen denselben Gerätetyp verwenden. TUN-Verbindungen verwenden stets den OpenVPN-Topologiemodus subnet; um Subnetze hinter Clients im TUN-Modus zu erreichen, sind iroute-Einträge erforderlich, die aus den in der Client-Konfigurationstabelle des Servers konfigurierten Routen abgeleitet werden.
Server-Port: Die TCP/UDP-Portnummer, auf der der Server lauscht (z. B. 1194). Jede OpenVPN-Server-Instanz muss einen eigenen Port verwenden. Wenn ein Server auf TCP-Port 443 aktiviert wird, muss der HTTPS-Webserver auf der Seite Webserver deaktiviert werden, um einen Port-Konflikt zu vermeiden.
Protokoll: Das Transportprotokoll für diese VPN-Verbindung. UDP bietet etwas bessere Leistung, kann jedoch nicht durch HTTP-Proxys geleitet werden und wird von einigen Mobilfunkanbietern blockiert. TCP ist auf diesem Gerätetyp der Standard.
Zertifikat: Wählt das Serverzertifikat zur Authentifizierung; neue Zertifikate werden auf der Seite Zertifikate hochgeladen. Zertifikate mit Extended Key Usage (EKU)-Feldern können nur als Serverzertifikat (EKU: TLS Web Server Authentication) oder nur als Clientzertifikat verwendet werden. Der Server und alle seine Clients müssen Zertifikate derselben CA verwenden.
Mit Benutzername und Passwort authentifizieren: Aktiviert eine zusätzliche Authentifizierung mit Benutzername und Passwort neben der zertifikatsbasierten Authentifizierung. Die Felder Benutzername und Passwort erscheinen, wenn diese Option aktiviert ist.

Client-Konfiguration und Authentifizierung

Diese Einstellungen legen fest, wie der Server verbindenden Clients Adressen zuweist und sie authentifiziert.

Client-Konfiguration und Authentifizierung

Wählt die Quelle der Client-Konfiguration.

deaktiviert: Es wird kein Adresspool verwendet.

aus IP-Adressen-Pool: Verbindenden Clients werden Adressen aus einem konfigurierten Bereich zugewiesen.

von RADIUS-Server: Clients werden gegen einen RADIUS-Server authentifiziert.

aus Konfigurationstabelle: Es werden statische Einträge pro Client verwendet.

Erste IP-Adresse des Pools

Die Start-IP-Adresse für den Adresspool, aus dem den verbindenden Clients IP-Adressen zugewiesen werden (sichtbar, wenn der IP-Adressen-Pool gewählt ist). Der Bereich muss innerhalb des IP-Subnetzes der VPN-Schnittstelle liegen und darf sich nicht mit einem DHCP-Server oder einer anderen Schnittstelle überschneiden.

Client-zu-Client-Kommunikation erlauben

Aktiviert oder deaktiviert die OpenVPN-Option client-to-client, die steuert, ob Datenverkehr zwischen Clients, die mit dieser Server-Instanz verbunden sind, erlaubt ist.

Routing-Konfiguration

OpenVPN-Server als Standard-Gateway pushen: Aktiviert die OpenVPN-Option push redirect-gateway def1, die alle verbundenen Clients so konfiguriert, dass ihr Standard-Gateway über die VPN-Verbindung geroutet wird. Die Route zum OpenVPN-Server selbst bleibt erhalten.
Route für LAN-Schnittstelle pushen: Pusht eine Route für das am lokalen LAN-Anschluss angeschlossene Netzwerk an alle verbundenen Clients.
Routen der statischen Routing-Tabelle pushen: Pusht alle Einträge der statischen Routing-Tabelle (konfiguriert auf der Seite IP-Routing) an die verbundenen Clients.

TLS-Einstellungen

Mindestversion: Legt die mindestens erforderliche TLS-Protokollversion für die VPN-Verbindung fest.
TLS-Schutz: Fügt eine zusätzliche HMAC-Authentifizierungsschicht über dem TLS-Steuerkanal hinzu. Verfügbare Optionen sind tls-auth, tls-crypt oder deaktiviert. Bei Verwendung von tls-auth wird der OpenVPN-Richtungsparameter für Server-Instanzen auf 0 gesetzt. Das Feld Statischer Schlüssel erscheint, wenn der TLS-Schutz aktiviert ist; die Schlüsseldatei wird auf der Seite Zertifikate hochgeladen.

Zusätzliche Einstellungen

Log-Level: Steuert die Ausführlichkeit der OpenVPN-Logmeldungen im Eventlog.
LZO-Komprimierung: Konfiguriert die OpenVPN-LZO-Komprimierungsoption. Nein deaktiviert die Komprimierung (Standard), Ja aktiviert sie dauerhaft, Adaptiv entscheidet dynamisch, ob eine Komprimierung vorteilhaft ist. Alle VPN-Endpunkte müssen dieselbe Einstellung verwenden.
Cipher: Wählt den Verschlüsselungsalgorithmus für die VPN-Verbindung. Alle VPN-Endpunkte müssen denselben Cipher verwenden.
Authentifizierungsmethode: Wählt den HMAC-Authentifizierungsalgorithmus für die Paketauthentifizierung des Datenkanals.
Keepalive-Intervall: Zeit in Sekunden zwischen Keepalive-Ping-Nachrichten, die an den VPN-Partner gesendet werden.
Keepalive-Timeout: Zeit in Sekunden, nach der die VPN-Verbindung neu gestartet wird, wenn kein Ping-Paket vom VPN-Partner empfangen wurde.

Felder im Client-Modus

Serveradresse, Remote cert TLS type: server, Routen vom Server abrufen und HTTP-Proxy verwenden werden nur angezeigt, wenn der Schnittstellenmodus auf Client gesetzt ist. Sie sind auf VPN2 dokumentiert.

ACHTUNG

Jede OpenVPN-Server-Instanz muss eine eigene TCP/UDP-Portnummer verwenden. Wenn eine Server-Instanz auf TCP-Port 443 aktiviert wird, deaktivieren Sie zuvor den HTTPS-Webserver auf der Seite Webserver, um einen Port-Konflikt zu vermeiden.

Sicherheit

Verwenden Sie starke Zertifikate mit ausreichender Schlüssellänge für OpenVPN-Tunnel. Zertifikate mit Extended Key Usage (EKU)-Feldern verhindern, dass Server- und Clientzertifikate vertauscht werden. Aktivieren Sie den TLS-Schutz (tls-auth oder tls-crypt), um eine HMAC-Authentifizierung über dem Steuerkanal hinzuzufügen, die Denial-of-Service-Angriffe abmildern hilft. Beschränken Sie den Datenverkehr durch den Tunnel mit Paketfilter-Regeln auf die notwendigen Protokolle und Ziele, gemäß den Anforderungen der IEC 62443 an Zonen und Übergänge.