Dieses Handbuch hilft bei der Konfiguration des Zyxel IPSec VPN-Clients (Version 3.8.204.61.32) für VPN-Konnektivität mit der Funktion Nebula CC IPSec Remote Access VPN (C2S) unter Verwendung von Nebula Security Gateway (NSG).

Inhaltsverzeichnis

1. Überblick
2. Unterstützte Geräte
3. Einrichtung des Nebula-Kontrollzentrums
4. VPN-Client-Setup (SecuExtender IPSEC VPN-Client)

Überblick

Ein VPN ( Virtual Private Network) bietet eine sichere Kommunikation zwischen Standorten ohne die Kosten für Standleitungen. VPNs werden verwendet, um Datenverkehr sicher über das Internet eines unsicheren Netzwerks zu transportieren, das TCP/IP-Kommunikation verwendet. Ein Fernzugriffs-VPN (Client-to-Site) ermöglicht Mitarbeitern, die unterwegs sind, oder Telearbeitern, einen sicheren Zugriff auf die Ressourcen des Unternehmensnetzwerks. Es gibt mehrere Arten von VPN-Protokollen/-Technologien, die verwendet werden können, um eine sichere Verbindung zum Unternehmensnetzwerk herzustellen, L2TP, PPTP, SSL, OpenVPN usw. Diese Anleitung bezieht sich auf das IPSec-Protokoll, um einen sicheren VPN-Tunnel zwischen externen Hosts einzurichten ( Benutzer, die außerhalb der Unternehmensnetzwerkstruktur mit dem Internet verbunden sind) und das Gateway NebulaCC. IPSec-Software von Drittanbietern ist erforderlich, um die VPN-Verbindung herzustellen, da aktuelle Betriebssysteme keinen integrierten IPSec-Client haben. Diese exemplarische Vorgehensweise hilft bei der Konfiguration des VPN-Setups auf dem IPSec-VPN-Client (Version 3.8.204.61.32).

Unterstützte Geräte

NSG-Serie (50/100/200/300)
USG FLEX-Serie (100/100W/200/500/700)

Nebula CC VPN-Setup

Hinweis: Auf Nebula Control Center besteht die Anforderung, dass im Hintergrund eine Benutzerdatenbank vorhanden sein muss, zu der sich der IPSec-Client hin authentifiziert. Damit dies funktioniert, müssen wir im Client "X-Auth" und "Config Mode" einrichten.

Klicken Sie in die neue Nebula CC-Benutzeroberfläche und gehen Sie zu:

Security gateway (or USG FLEX) → Configure → Remote access VPN

Geben Sie den Client-VPN-Server als IPSec-Client an. Wenn sich Ihr NSG/USG FLEX hinter dem NAT-Gateway befindet, müssen Sie NAT-Traversal eingeben.

Erstellen Sie ein VPN-Client-Konto zur Authentifizierung. Der Typ ist Nebula Cloud Authentifizierung. Achten Sie darauf, im jeweiligen Untermenü einen Benutzer anzulegen

Security Gateway (or USG FLEX) -> Site-Wide -> Configure -> Cloud Authentication

Zyxel VPN-Client-Setup

Die neueste Version des Zyxel IPSec VPN-Clients kann von heruntergeladen werden hier . Starten Sie nach der Installation des Clients das Programm und öffnen Sie die Konfigurationspanel . Klicken Sie darunter auf den Ordner „IKE V1“. VPN-Konfiguration , sobald der Ordner ausgewählt ist, drücken Sie die Tasten „Strg + N“ auf der Tastatur, um eine „Ikev1Gateway“-Regel hinzuzufügen. Nehmen Sie die folgenden Änderungen an der Regel vor:

1. Remote Gateway
   
   • Schnittstelle – Wählen Sie die Schnittstelle aus, die der Computer zum Herstellen der VPN-Verbindung verwendet. Stellen Sie dies ein Beliebig ob der VPN-Client jede auf dem Computer verfügbare Verbindung verwenden darf.
   • Remote Gateway – Geben Sie den FQDN/DDNS/IP des Gateways NebulaCC ein, mit dem Sie sich verbinden werden.
2. Authentifizierung
   
   • Wählen Sie die Option „Vorinstallierter Schlüssel“.
   • Geben Sie den vorinstallierten Schlüssel ein, der in der IPSec-Konfiguration NebulaCC verwendet wird, und "bestätigen" Sie den Schlüssel.
3. X-Auth
   
   • Aktivieren – Dieses Kontrollkästchen sollte aktiviert sein.
   • X-Auth Popup – Dieses Kästchen sollte nur aktiviert werden, wenn Sie beim Verbindungsaufbau zur Eingabe des Benutzernamens und Passworts aufgefordert werden möchten
     • Anmeldung – Geben Sie den Benutzernamen des VPN-Kontos NebulaCC ein. Nur wenn „X-Auth Popup“ deaktiviert ist.
     • Passwort – Geben Sie das Passwort für das VPN-Konto NebulaCC an. Nur wenn „X-Auth Popup“ deaktiviert ist.
4. Kryptografie (Beispielaufbau)
   • Verschlüsselung – Wählen Sie AES256 aus der Dropdown-Liste aus.
   • Authentifizierung – Auswählen SHA-256 aus der Dropdown-Liste.
   • Schlüsselgruppe – Auswählen DH14 (1024) aus der Dropdown-Liste.

Klicken Sie im "Ikev1Gateway" auf die Protokoll Registerkarte und nehmen Sie die folgende Änderung vor:

Aktivieren Sie die Modus Konfig Möglichkeit.
Während "Ikev1Gateway" hervorgehoben ist, drücken Sie erneut die Tasten "Strg + N" auf der Tastatur, um den Teil "Ikev1Tunnel" der Verbindung hinzuzufügen. Nehmen Sie die folgenden Änderungen vor:

1. Die Anschrift
   
   • VPN-Client-Adresse – Lassen Sie diese Option unverändert. (0.0.0.0 standardmäßig)
   • Adresstyp – Auswählen Subnetzadresse aus der Dropdown-Liste.
   • Remote-LAN-Adresse – Geben Sie das lokale LAN-IP-Schema NebulaCC ein.
   • Subnetzmaske – Geben Sie die lokale LAN-Subnetzmaske NebulaCC ein.
2. ESP
   
   • Verschlüsselung – Wählen Sie AES256 aus der Dropdown-Liste.
   • Authentifizierung – Auswählen SHA-256 aus der Dropdown-Liste.
   • Modusauswahl Tunnel aus der Dropdown-Liste.
3. PFS
   
   • Lassen Sie diese Option deaktiviert.
4. Lebensdauer
   
   • Die Lebensdauer ist die Zeitspanne in Sekunden, bevor der Client die Algorithmen neu aushandelt.

Wenn alle Einstellungen vorgenommen wurden, klicken Sie auf die Aufbau Option in der Symbolleiste und wählen Sie aus Speichern . Dadurch werden alle am Client vorgenommenen Änderungen gespeichert.

Um die VPN-Verbindung zum NebulaCC-Gateway herzustellen, klicken Sie mit der rechten Maustaste auf die Option „Ikev1Tunnel“ und wählen Sie sie aus Offener Tunnel oder drücken Sie (Strg + O) auf Ihrer Tastatur.

Überprüfung

Sobald die VPN-Verbindung hergestellt ist, können Sie die Verbindung überprüfen, indem Sie ein Eingabeaufforderungsfenster (oder PowerShell) öffnen und die folgenden Befehle ausführen.

• ipconfig
  Dieser Befehl stellt die IP-Adresse für die VPN-Schnittstelle bereit.
  
• ping [remote_adresse]
  Mit diesem Befehl können Sie einen Ping-Test für ein Gerät ausführen, das sich im LAN-Netzwerk des Gateways NebulaCC befindet.
  

Auf dem NCC sollten Sie jetzt Protokolle sehen können, die zeigen, dass das VPN ordnungsgemäß funktioniert. Im folgenden Screenshot sehen Sie, dass die Main Mode Requests die USG erreicht haben, Phase 1 erfolgreich aufgebaut werden konnte und das XAuth im Nebula Control Center einwandfrei funktioniert.