[VPN] Zyxel USG FLEX/ATP VPN [Schnelleinrichtung] - Konfigurieren von IKEv2 IPSec auf Android (Schnelleinrichtung) mit Zyxel Firewall

Erstellt 3. Juni 2022 11:38 - Aktualisiert 3. April 2025 08:17

Serhii Boiarynov

Wichtiger Hinweis:
Sehr geehrte Kundin, sehr geehrter Kunde, bitte beachten Sie, dass wir maschinelle Übersetzung verwenden, um Artikel in Ihrer Landessprache bereitzustellen. Es kann sein, dass nicht alle Texte korrekt übersetzt werden. Sollten Sie Fragen oder Unstimmigkeiten bezüglich der Richtigkeit der Informationen in der übersetzten Version haben, lesen Sie bitte den Originalartikel hier:Originalversion

Ab ZLD 5.20 unterstützen USG FLEX- und ATP-Geräte vordefinierte Einstellungen sowohl für SecuExtender IPSec- als auch für Nicht-SecuExtender IPSec-VPN-Clients. In diesem Artikel führen wir Sie durch die Verwendung des VPN-Einrichtungsassistenten für den Fernzugriff (Quick Setup). Wir zeigen Ihnen auch, wie Sie StrongSwan auf Android mit dem Quick Setup Skript konfigurieren, Zertifikate manuell installieren und StrongSwan konfigurieren, um einen VPN-Tunnel mit IKEv2 mit EAP-MSCHAPv2 Authentifizierung aufzubauen.

Hinweis: Sie können dies auch verwenden, wenn L2TP VPN auf Ihrem Android Version 12+ entfernt wurde.

Bitte beachten Sie: Wenn Sie das VPN mit der Schnelleinrichtung konfiguriert haben, können Sie die Einstellungen später jederzeit ändern. Sie können beispielsweise Gruppen hinzufügen oder ändern oder bei Bedarf zusätzliche Vorschläge einbeziehen.

Beachten Sie jedoch, dass manuelle Änderungen den Betrieb von Geräten beeinträchtigen können, die ursprünglich mit dem Quick Setup-Skript konfiguriert wurden.

Wenn Sie das Skript für die Schnelleinrichtung erneut aufrufen und von vorne beginnen müssen - z. B. beim erneuten Herunterladen des Skripts - werden alle zuvor vorgenommenen manuellen Änderungen überschrieben. Aber keine Sorge, Sie können diese manuellen Änderungen einfach wieder anwenden, nachdem Sie das Setup ausgeführt haben.

Hinweis: Die IP-Adressen in der Abbildung dienen nur als Beispiel und sind für den Artikel als Ganzes nicht relevant. Sie können in Ihrem Fall anders lauten.

VPN über die Schnelleinrichtung konfigurieren

Loggen Sie sich in die WEB-GUI Ihrer Firewall ein und gehen Sie zu Quick Setup, wählen Sie Remote Access VPN und dann IKEv2 IPSec Client (Zyxel SecuExtender, non-SecuExtender)

Verwenden Sie diese Option, wenn Sie den Zyxel SecuExtender IPSec VPN-Client oder ein Computerbetriebssystem verwenden, das IPSec VPN mit IKEv2 unterstützt (Nicht-SecuExtender-VPN-Client). Sie können mit dem Zyxel SecuExtender VPN-Client eine Full Tunnel oder Split Tunnel VPN-Regel erstellen. Sie können nur eine Full Tunnel VPN-Regel mit einem Nicht-SecuExtender VPN-Client erstellen.

Konfigurieren Sie den IP-Adress-Pool für den Client.

Der IP-Adress-Pool verwendet ein ausgewähltes, nicht verwendetes Subnetz auf dem Gerät, um die Einrichtung desselben Subnetzes zu vermeiden. Der IP-Adress-Pool beginnt bei 192.168.50.1. Wenn das Subnetz 192.168.50.1 in den Gateway-Einstellungen vorhanden ist, wird der IP-Adress-Pool automatisch geändert.

Fügen Sie Benutzer hinzu oder erstellen Sie Benutzer, die VPN-Zugang haben werden. Klicken Sie nach dem Hinzufügen der Benutzer auf Weiter und überprüfen Sie alle Einstellungen, um die Richtigkeit sicherzustellen. Sie können nun entweder ein automatisches Skript herunterladen, um das VPN zu konfigurieren, oder es manuell mithilfe eines Zertifikats konfigurieren.

Nach erfolgreicher VPN-Konfiguration können Sie die Skriptdateien herunterladen und auf Android-Geräten installieren, um die VPN-Einstellungen automatisch zu konfigurieren.

Hinweis: Die VPN-Einstellungen für Nicht-SecuExtender IPSec VPN Clients unterstützen die folgenden Funktionen nicht:

Upload-Bandbreitenbegrenzung
Verteilter Tunnel
Zwei-Faktoren-Authentifizierung (Google Authenticator)

Details zur Konfiguration eines VPN für Windows- und Apple-Geräte finden Sie im folgenden Artikel:

[VPN] Zyxel USG FLEX/ATP VPN [Schnelleinrichtung] - IKEv2 IPSec VPN über Assistenten mit Zertifikat auf Android / iPhone iOS / Windows / MacOS konfigurieren

Bitte beachten Sie: Um Konfigurationsfehler und andere mögliche Probleme zu vermeiden, empfehlen wir die Verwendung eines Skripts für die Installation. Sie können das Zertifikat jedoch auch manuell direkt auf Ihrem Endgerät installieren und konfigurieren. Eine detaillierte Anleitung zur manuellen Zertifikatsinstallation und VPN-Konfiguration finden Sie im Abschnitt "Manuelle Zertifikatskonfiguration".

Konfiguration von StrongSwan VPN auf Android über Quick Setup Script

Laden Sie StrongSwan aus dem Google Play Store herunter
Senden Sie das Skript per E-Mail an Ihr mobiles Gerät
Speichern Sie das Skript auf Ihrem mobilen Gerät
Öffnen Sie die StrongSwan App
Klicken Sie auf "ADD VPN PROFILE"

VPN Profil importieren
Wählen Sie ein zuvor gespeichertes Skript
Geben Sie den Benutzernamen und das Passwort ein und speichern Sie

Klicken Sie auf das erstellte Profil
Warten Sie ein paar Sekunden, bis die Verbindung aufgebaut ist

Konfiguration von StrongSwan VPN auf Android durch Installation eines Zertifikats und manuelle Erstellung eines VPN-Profils

Wie man ein Zertifikat herunterlädt

Navigieren Sie zu Konfiguration -> Objekt -> Zertifikat, wählen Sie das VPN-Zertifikat und klicken Sie auf "Download", um das Zertifikat herunterzuladen.

Hinweis: Das Feld "Passwort" sollte leer gelassen werden, da wir das crt-Zertifikat herunterladen müssen, um es im StrongSwan-Client auf Android zu verwenden. Wenn Sie das Passwort ausfüllen, wird das Zertifikatsformat pfx sein; dies ist für unseren Fall nicht geeignet.

Wenn Sie Probleme haben, das richtige Zertifikat aus Ihrer Liste auszuwählen, können Sie das benötigte Zertifikat für ein bestimmtes VPN identifizieren, indem Sie die VPN-Einstellungen überprüfen.

Configuration - VPN - IPSec VPN - VPN Gateway - Open settings of the VPN of interest

Im Abschnitt "Authentifizierung" sehen Sie, welches Zertifikat für Ihr VPN ausgewählt ist.

Nun können Sie dieses Zertifikat an eine E-Mail anhängen, die Sie an die Benutzer senden, um ihnen zu erklären, wie sie es installieren und sich mit dem VPN verbinden können.

Manuelle Konfiguration von StrongSwan VPN auf Android (ohne Skript)

Laden Sie StrongSwan aus dem Google Play Store herunter
Senden Sie das Zertifikat per E-Mail an das mobile Gerät
Speichern Sie das Zertifikat auf dem mobilen Gerät (versuchen Sie nicht, das Zertifikat direkt aus der Mail zu installieren; speichern Sie es einfach)
Öffnen Sie die StrongSwan App
Klicken Sie auf die drei Token in der rechten Ecke und wählen Sie "CA Zertifikat".

Wählen Sie "Zertifikat importieren".
Wählen Sie ein zuvor gespeichertes Zertifikat und klicken Sie auf "Zertifikat importieren".
Klicken Sie auf die drei Token in der rechten Ecke und wählen Sie "CA-Zertifikat".
Wenn das Zertifikat erfolgreich importiert wurde, wird die Meldung "Zertifikat erfolgreich importiert" angezeigt.