Zyxel Firewall VPN – IPSec Site-to-Site VPN auf Zyxel Firewall im Stand-alone-Modus konfigurieren

Diese Anleitung führt Sie durch die Einrichtung eines Site-to-Site (S2S) VPN zwischen zwei Firewalls unter Verwendung von IKEv2 IPSec. Wir behandeln sowohl die manuelle Konfiguration als auch die Nutzung eines integrierten Assistenten sowie die Konfiguration des VPNs zur Handhabung mehrerer Subnetze innerhalb desselben Tunnels.

Falls Sie nach anderen VPN-Szenarien, Tipps und Tricks suchen, werfen Sie einen Blick auf die folgenden Artikel:

Allgemein:

• VPN-Konfigurationsbereitstellung auf einer USG-Firewall
• Zyxel Firewall [VPN] – Site-to-Site VPN Fehlerbehebung [Stand-alone-Modus]

Ein Büro möchte sich sicher über das Internet mit seiner Zentrale verbinden. Beide Büros verfügen über eine USG / ZyWall / ATP / USG FLEX, um auf das Internet zuzugreifen.

Hinweis: Bevor Sie mit der VPN-Konfiguration beginnen, stellen Sie sicher, dass beide Standorte nicht dieselben Subnetze verwenden. Die Konfiguration eines VPNs zwischen Standorten mit identischen Subnetzen ist technisch möglich, aber nicht einfach und kann aufgrund überlappender IP-Adressen zu Komplikationen führen. Wenn beide Standorte dasselbe Subnetz haben, kann dies zu Routing-Konflikten führen, da das VPN nicht weiß, an welche Seite der Verkehr gesendet werden soll, wenn es eine IP-Adresse sieht, die an beiden Standorten existiert.

Assistenten-Methode zur VPN-Einrichtung

Die einfachste und bequemste Methode, eine Site-to-Site-Verbindung herzustellen, ist die Verwendung des integrierten Assistenten. Im ersten Beispiel dieses Artikels führen wir Sie durch den Prozess. Wenn Sie bei der manuellen Konfiguration eines VPNs Probleme hatten, können Sie den Assistenten verwenden, um das VPN einzurichten und die Einstellungen zum Zweck der Fehlerbehebung zu vergleichen.

HQ-Standorteinstellungen (Assistent)

• Melden Sie sich an der Web-GUI der Firewall Ihres HQ-Standorts an und gehen Sie im linken Menü zum Bereich „Quick Setup Wizard“.
• Klicken Sie auf „VPN Setup“

Sie können zwischen Express (VPN mit Standardwerten) oder Erweitert (manuelle Einstellung von Kryptografie usw.) wählen. Für das Beispiel in diesem Artikel haben wir die Option „Erweitert“ gewählt.

• Wir empfehlen dringend, IKEv2 statt IKEv1 zu verwenden, um die Sicherheit zu verbessern, die Verbindungsherstellung zu beschleunigen, Stabilität zu erhöhen, Mobilität zu unterstützen und die Effizienz bei der Handhabung von Netzwerkänderungen zu steigern.
• Geben Sie einen verständlichen Namen ein und wählen Sie Site-to-Site VPN.
• Klicken Sie auf „Weiter“

Phase-1-Einstellungen

• Geben Sie im nächsten Schritt „Secure Gateway“ ein. Dies ist die WAN-Adresse Ihrer zweiten Firewall; in diesem Fall die IP-Adresse des Zweigstellenstandorts. (Wenn Sie mit der Konfiguration der zweiten Firewall beginnen, müssen Sie die WAN-IP-Adresse dieser Firewall eingeben.)
• Legen Sie die Phase-1-Vorschläge nach Wunsch fest. Aus Sicherheitsgründen wählen Sie ein starkes Passwort und Vorschläge mit guter Verschlüsselung/Authentifizierung, wie AES256 für Verschlüsselung, SHA512 für Authentifizierung und DH14 für die Schlüsselgruppe.

Phase-2-Einstellungen

• Stellen Sie sicher, dass die Phase-2-Einstellungen mit den Phase-1-Einstellungen übereinstimmen (z. B. AES256, SHA512).
• Lokale Richtlinie und Remote-Richtlinie – Lokale und Remote-Richtlinien definieren, welcher Verkehr in einem Site-to-Site VPN verschlüsselt wird, um eine sichere, effiziente und korrekt geroutete Kommunikation zwischen Netzwerken zu gewährleisten.
  
  Hinweis: Bitte prüfen Sie zuerst, ob die IP-Adresse des entfernten Subnetzes nicht bereits im lokalen Subnetz vorhanden ist, um eine doppelte IP-Adresskonfiguration zu vermeiden. Wenn das entfernte Subnetz dem lokalen Subnetz ähnlich ist, können Sie nur das lokale Netzwerk erreichen.

• Sobald alle Daten korrekt eingegeben wurden, klicken Sie auf „Weiter“, überprüfen Sie alle Einstellungen erneut, klicken Sie auf „Speichern“ und fahren Sie mit der Konfiguration der zweiten Firewall fort.

Zweigstellen-Einstellungen (Assistent)

Sie müssen genau dasselbe Verfahren für die Firewall im zweiten Büro befolgen. Der Hauptunterschied liegt nur in einigen Einstellungen.

• Gateway-IP muss als WAN-IP des Geräts im HQ-Standort angegeben werden
• Lokale Richtlinie und Remote-Richtlinie werden ebenfalls unterschiedlich sein. Beispiel unten:
  HQ-Standort
  Lokale Richtlinie: 192.168.40.1
  Remote-Richtlinie: 192.168.70.1
  Zweigstelle:
  Lokale Richtlinie: 192.168.70.1
  Remote-Richtlinie: 192.168.40.1

• Wenn alles korrekt konfiguriert wurde und keine Probleme mit der Verbindung, anderen Einstellungen oder der Konstruktion vorliegen, wird die VPN-Verbindung unmittelbar nach dem Speichern der Einstellungen automatisch hergestellt.

Manuelle Methode zur VPN-Einrichtung

VPN-Gateway – HQ-Standorteinstellungen manuell

• Melden Sie sich an der Web-GUI Ihrer HQ-Standort-Firewall an

Gehen Sie zu Configuration -> VPN -> VPN Ge -> Add

• Aktivieren Sie das Kontrollkästchen Enable
• Geben Sie einen klaren Namen ein
• Wählen Sie die IKE-Version aus

Wir empfehlen dringend, IKEv2 statt IKEv1 zu verwenden, um die Sicherheit zu verbessern, die Verbindungsherstellung zu beschleunigen, Stabilität zu erhöhen, Mobilität zu unterstützen und die Effizienz bei der Handhabung von Netzwerkänderungen zu steigern.

• Meine Adresse (Schnittstelle) – legt Ihre WAN-IP-Adresse fest.
• Peer-Gateway-Adresse – Dies ist die WAN-Adresse Ihrer zweiten Firewall; in diesem Fall die IP-Adresse des Zweigstellenstandorts. (Beim Start der Konfiguration der zweiten Firewall müssen Sie die WAN-IP-Adresse dieser Firewall eingeben.)
• Pre-Shared Key – Erstellen Sie ein starkes Passwort (diesen Schlüssel verwenden Sie auch auf dem entfernten Gerät).
• Phase-1-Einstellungen – Legen Sie die Phase-1-Vorschläge nach Wunsch fest. Aus Sicherheitsgründen wählen Sie ein starkes Passwort und Vorschläge mit guter Verschlüsselung/Authentifizierung, wie AES256 für Verschlüsselung, SHA512 für Authentifizierung und DH14 für die Schlüsselgruppe. 

VPN-Tunnel – HQ-Standorteinstellungen manuell

Configuration > VPN > IPSec VPN > VPN Connection > Add

Das Erste, was Sie tun müssen, ist, ein Objekt für die „Remote-Richtlinie“ zu erstellen, indem Sie auf „Create New Object“ klicken und „IPV4 Address“ auswählen.

• Name – geben Sie einen klaren Namen ein
• Adressentyp – „SUBNET“
• Netzwerk – die lokale Netzwerkadresse des entfernten Standorts
• Netzmaske – Subnetzmaske des entfernten Standorts
• Klicken Sie anschließend auf „OK“

Jetzt können wir die anderen Felder ausfüllen.

• Aktivieren Sie das Kontrollkästchen Enable
• Geben Sie einen klaren Namen ein
• Wählen Sie Site-to-Site VPN
• VPN-Gateway – Wählen Sie das im vorherigen Schritt erstellte VPN-Gateway aus
• Lokale Richtlinie und Remote-Richtlinie werden unterschiedlich sein.
• Phase-2-Einstellungen – Legen Sie die Phase-2-Vorschläge nach Wunsch fest. Aus Sicherheitsgründen wählen Sie ein starkes Passwort und Vorschläge mit guter Verschlüsselung/Authentifizierung, wie AES256 für Verschlüsselung, SHA512 für Authentifizierung und DH14 für die Schlüsselgruppe. 
• Klicken Sie auf „Ok“

Nun können wir mit der Konfiguration des Zweigstellenstandorts beginnen. Folgen Sie dazu denselben Schritten wie beim HQ-Standort, jedoch mit einigen Datenänderungen.

VPN-Gateway – Zweigstellen-Einstellungen manuell

Configuration > VPN > IPSec VPN > VPN Gateway

Wiederholen Sie die HQ-Schritte zur Konfiguration des VPN-Gateways

• Beim Konfigurieren des VPN-Gateways auf der Firewall des HQ-Standorts haben Sie im Feld „Peer Gateway Address“ die WAN-IP Ihres Zweigstellenstandorts angegeben. Nun müssen Sie bei der Konfiguration des Zweigstellenstandorts im Feld „Peer Gateway Address“ die WAN-IP Ihres HQ-Standorts angeben.
• Pre-Shared Key – muss für beide Standorte identisch sein.

VPN-Tunnel – Zweigstellen-Einstellungen manuell

Configuration > VPN > IPSec VPN > VPN Connection

Wiederholen Sie die HQ-Schritte zur Konfiguration des VPN-Tunnels

• Mit einigen Ausnahmen: Beim Konfigurieren des HQ-Standorts haben Sie das Netzwerk des Zweigstellenstandorts in der Remote-Richtlinie angegeben. Nun müssen Sie beim Konfigurieren des Zweigstellenstandorts das Netzwerk des HQ-Standorts in der Remote-Richtlinie angeben.

Aktivieren Sie die Option „Nailed-Up“, um den VPN-Tunnel automatisch herzustellen und zu verbinden.

Testergebnis

• Verbinden Sie den VPN-Tunnel beim ersten Mal manuell. Danach sollte die Verbindung automatisch neu geprüft und wiederhergestellt werden.
• Sie erkennen, dass der VPN-Tunnel verbunden ist, wenn das Erd-Symbol grün ist.

Hinweis: Bitte überprüfen Sie Ihre Firewall-Regeln, um sicherzustellen, dass die Standardregeln IPSec-to-Device und IPSec-to-Any vorhanden sind.
Andernfalls kann der Verkehr zwischen den Tunneln blockiert werden.

Einschränkung – Verwendung mehrerer Subnetze

Bei Zyxel-Firewalls gibt es die Einschränkung, dass Sie nicht mehrere Subnetze in einem VPN-Tunnel auswählen können. Die lokale Richtlinie (Subnetz) und die Remote-Richtlinie (Subnetz) können jeweils nur mit einem Subnetz konfiguriert werden.

Konfiguration -> VPN -> IPSec VPN -> VPN Connection -> Policy

Um dieses Problem zu umgehen, können Sie eine Richtlinienroute konfigurieren, um weitere Subnetze manuell in den Tunnel zu routen.

Erstellen Sie diese Richtlinienroute:

Hinweis! Es kann erforderlich sein, Antwortpakete auf der Gegenseite ebenfalls über den Tunnel zu routen.

Fehlerbehebung

Häufige Probleme und Lösungen:

• Falscher Pre-Shared Key: Überprüfen Sie den Pre-Shared Key auf beiden Geräten doppelt.
• Falsche Subnetzkonfiguration: Stellen Sie sicher, dass die korrekten lokalen und entfernten Subnetze in den VPN-Einstellungen konfiguriert sind.
• Phase-1- und Phase-2-Einstellungen:

Wichtige Einstellungen, die auf beiden Seiten überprüft werden müssen, um sicherzustellen, dass sie identisch sind

• Authentifizierungsmethode: Üblicherweise wird ein Pre-Shared Key verwendet.
• Verschlüsselungsalgorithmus: Gängige Optionen sind AES (128/256 Bit), 3DES.
• Hash-Algorithmus: Typischerweise SHA-256, SHA-512 oder SHA-1.
• DH-Gruppe (Diffie-Hellman-Gruppe): Gewährleistet einen sicheren Schlüsselaustausch (z. B. Gruppe 2, Gruppe 14).
• Lebensdauer: 

Für detailliertere Anweisungen zur Fehlerbehebung siehe den Link:

Zyxel Firewall [VPN] – Site-to-Site VPN Fehlerbehebung [Stand-alone-Modus]