VPN2

Navigation: Konfiguration > VPN > OpenVPN > VPN2

Diese Registerkarte konfiguriert eine der OpenVPN-Tunnel-Instanzen des Geräts. Sie ist hier als OpenVPN-Client konfiguriert, der sich mit einem entfernten OpenVPN-Server verbindet; VPN1 dokumentiert dieselbe Registerkarte als Server konfiguriert. Alle OpenVPN-Instanzen sind strukturell identisch — jede kann als Server oder Client mit eigenem Zertifikat, Protokoll und eigener Adressierung betrieben werden. Eine Übersicht aller konfigurierten Tunnel und globale OpenVPN-Einstellungen finden Sie auf der übergeordneten Seite OpenVPN. Änderungen werden nach Klick auf Anwenden wirksam, müssen jedoch über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überstehen.

VPN2

Voraussetzungen

Ein für OpenVPN geeignetes Clientzertifikat muss auf der Seite Zertifikate hochgeladen sein, signiert von derselben Zertifizierungsstelle (CA) wie der entfernte Server.
Adresse und Port des entfernten OpenVPN-Servers müssen bekannt sein.
Für Layer-3-Tunnel weisen Sie die Tunnel-IP-Adresse auf der Seite IP-Konfiguration zu und stellen Sie sicher, dass das VPN-Subnetz nicht mit vorhandenen LAN- oder WAN-Subnetzen überlappt.

Einstellungen

Grundeinstellungen

VPN-Instanz aktivieren: Aktiviert oder deaktiviert diese VPN-Tunnel-Instanz. Bei Deaktivierung wird der Tunnel nicht gestartet.
Schnittstellenmodus: Wählt den Verbindungsmodus. In diesem Beispiel ist er auf Client gesetzt: Das Gerät baut eine Verbindung zu einem entfernten OpenVPN-Server auf. (Im Server-Modus betreibt das Gerät einen Server, mit dem sich mehrere Clients verbinden — siehe VPN1.)
Permanente Verbindung: Wenn bei einer Client-Instanz aktiviert, verbindet sich der Client automatisch erneut, falls die Verbindung unterbrochen wird. Bei Deaktivierung kann die Verbindung über die Trigger VPN KEY, CUT oder ALARM, Modbus TCP oder die API gestartet werden.
Layer: Wählt die Netzwerkebene, auf der die OpenVPN-Schnittstelle arbeitet. Layer 2 überbrückt (Bridge) die VPN-Schnittstelle mit der LAN-Schnittstelle. Layer 3 weist der VPN-Schnittstelle eine eigene IP-Adresse zu, die auf der Seite IP-Konfiguration konfiguriert werden muss.
OpenVPN-Gerätetyp: Wählt den virtuellen Netzwerkgerätetyp für Layer-3-Tunnel, entweder TUN oder TAP (TAP ist auf diesem Gerätetyp der Standard). Beide VPN-Endpunkte müssen denselben Gerätetyp verwenden.
Serveradresse: Die Adresse des entfernten OpenVPN-Servers, zu dem die Verbindung aufgebaut wird. Dies kann ein DNS-Name oder eine IP-Adresse sein.
Remote cert TLS type: server: Stellt sicher, dass das Zertifikat des entfernten Servers die TLS-Eigenschaften eines Serverzertifikats besitzt, indem die OpenVPN-Option remote-cert-tls server aktiviert wird. Dies hilft, Man-in-the-Middle-Angriffe zu verhindern, und sollte bei Client-Instanzen aktiviert werden.
Server-Port: Die TCP/UDP-Portnummer des entfernten OpenVPN-Servers (z. B. 1194).
Protokoll: Das Transportprotokoll für die Verbindung. UDP bietet etwas bessere Leistung, kann jedoch nicht durch HTTP-Proxys geleitet werden und wird von einigen Mobilfunkanbietern blockiert. TCP ist auf diesem Gerätetyp der Standard. Die Einstellung muss mit dem Server übereinstimmen.
Zertifikat: Wählt das Clientzertifikat zur Authentifizierung gegenüber dem Server; neue Zertifikate werden auf der Seite Zertifikate hochgeladen. Zertifikate mit Extended Key Usage (EKU)-Feldern können nur als Clientzertifikat (EKU: TLS Web Client Authentication) oder nur als Serverzertifikat verwendet werden. Client und Server müssen Zertifikate derselben CA verwenden.
Mit Benutzername und Passwort authentifizieren: Aktiviert eine zusätzliche Authentifizierung mit Benutzername und Passwort neben der zertifikatsbasierten Authentifizierung. Die Felder Benutzername und Passwort erscheinen, wenn diese Option aktiviert ist.
Routen vom Server abrufen: Aktiviert die OpenVPN-Option pull, die Routen vom Server abruft, sofern der Server diese bereitstellt.
HTTP-Proxy verwenden: Ermöglicht dem OpenVPN-TCP-Client, die VPN-Verbindung durch einen HTTP-Proxy zu tunneln. Für den Proxy erscheint der Datenverkehr als HTTPS-Webverkehr. Der systemweite HTTP-Proxy muss auf der Seite HTTP-Proxy konfiguriert sein.

TLS-Einstellungen

Mindestversion: Legt die mindestens erforderliche TLS-Protokollversion für die Verbindung fest.
TLS-Schutz: Fügt eine zusätzliche HMAC-Authentifizierungsschicht über dem TLS-Steuerkanal hinzu. Verfügbare Optionen sind tls-auth, tls-crypt oder deaktiviert. Bei Verwendung von tls-auth wird der OpenVPN-Richtungsparameter für Client-Instanzen auf 1 gesetzt. Das Feld Statischer Schlüssel erscheint, wenn der TLS-Schutz aktiviert ist; die Schlüsseldatei wird auf der Seite Zertifikate hochgeladen und muss mit dem Server übereinstimmen.

Zusätzliche Einstellungen

Log-Level: Steuert die Ausführlichkeit der OpenVPN-Logmeldungen im Eventlog.
LZO-Komprimierung: Konfiguriert die OpenVPN-LZO-Komprimierungsoption. Nein deaktiviert die Komprimierung (Standard), Ja aktiviert sie dauerhaft, Adaptiv entscheidet dynamisch, ob eine Komprimierung vorteilhaft ist. Alle VPN-Endpunkte müssen dieselbe Einstellung verwenden.
Cipher: Wählt den Verschlüsselungsalgorithmus für die Verbindung. Alle VPN-Endpunkte müssen denselben Cipher verwenden.
Authentifizierungsmethode: Wählt den HMAC-Authentifizierungsalgorithmus für die Paketauthentifizierung des Datenkanals.
Keepalive-Intervall: Zeit in Sekunden zwischen Keepalive-Ping-Nachrichten, die an den VPN-Partner gesendet werden.
Keepalive-Timeout: Zeit in Sekunden, nach der die Verbindung neu gestartet wird, wenn kein Ping-Paket vom VPN-Partner empfangen wurde.

Felder im Server-Modus

Die Optionen Client-Konfiguration und Authentifizierung (Adresspool, RADIUS, Client-zu-Client-Kommunikation) sowie die Routen-Push-Optionen werden nur angezeigt, wenn der Schnittstellenmodus auf Server gesetzt ist. Sie sind auf VPN1 dokumentiert.

Sicherheit

Aktivieren Sie Remote cert TLS type: server, damit der Client sich nur mit einer Gegenstelle verbindet, die ein echtes Serverzertifikat vorweist — dies verhindert Man-in-the-Middle-Angriffe. Verwenden Sie starke Zertifikate mit ausreichender Schlüssellänge sowie Zertifikate mit Extended Key Usage (EKU)-Feldern, damit Client- und Serverzertifikate nicht vertauscht werden können. Aktivieren Sie den TLS-Schutz (tls-auth oder tls-crypt), um eine HMAC-Authentifizierung über dem Steuerkanal hinzuzufügen. Beschränken Sie den Datenverkehr durch den Tunnel mit Paketfilter-Regeln auf die notwendigen Protokolle und Ziele, gemäß den Anforderungen der IEC 62443 an Zonen und Übergänge.