Netzwerkanalyse, Fehlersuche, Testberichte
Home / News
Netzwerkanalyse
Grundlagen
Verkabelung
Erste Schritte
Baselining
Let's sniff
Tools
Auswerten/Filtern
Typische Probleme 1
Typische Probleme 2
Sicherheit
Bücher
Tutorials
Cacti
DSL einrichten
DynDNS einrichten
m0n0wall | pfSense
Nmap
VirtualBox
Wireshark
Forum
Shop
FAQ
Know How
Testberichte
Hardware-DB
Events
Netzwerklexikon
Links / Service
Suche
Kontakt
Impressum
Feedback
Sitemap
Partner
Unser Partner für
SSL Zertifikate
ist Checkdomain GmbH.
Tutorials

Site-to-Site VPN zwischen m0n0wall und ZyXEL Prestige

Mit einem Site-to-Site VPN lassen sich die lokalen IP-Netzwerke von zwei Standorten mitander verbinden. Geräte wie Server, Netzwerkfestplatten und Telefonanlagen sind damit aus beiden vernetzten Standorten erreichbar.

Zum Aufbau eines Site-to-Site VPN dürfen sich die IP-Netze der Standorte nicht überlappen. Jeder Standort benötigt einen VPN-Router. Dieses Tutorial beschreibt den Aufbau einer LAN-LAN-Kopplung mit einem ZyXEL Prestige 334 (ZyNOS Firmware-Version: V3.60 JJ.9) und einer m0n0wall Version 1.3b16. Jeder Router benötigt eine statische WAN-IP oder einen Hostnamen (z.B. von DynDNS). Im Beipiel kommt IPSec im Main Mode zum Einsatz.

VPN Netzwerkaufbau

In unserem Beispiel verbindet der VPN-Tunnel die beiden Standorte München und Zürich. Als IP-Adressen kommen private Adressen entsprechend RFC 1918 zum Einsatz. Die IP-Adresse 172.16.1.10 aus München soll das Netz 10.5.142.0/24 in Zürich erreichen können.

Netzwerkaufbau

VPN Parameter

Der VPN-Tunnel wird mit den folgenden Parametern aufgebaut.


1

2

Standort


München

Zürich

Gerät


ZyXEL Prestige 334

m0n0wall

Rolle


VPN-Gateway

VPN-Gateway

WAN-IP oder Hostname

A

192.168.178.46

192.168.178.50

Lokales IP-Netz / Maske

B

172.16.1.10/32

10.5.142.0/24

Pre Shared Key PSK

C

secret4ipsec

Austauschverfahren

D

Main Mode

Dead Peer Detection (DPD)

E

aus

Identifier Type

F

IP-Adresse

IP-Adresse

Identifier

G







Phase 1

Lifetime

H

3600 sec

Verschlüsselung

I

3DES

Hashalgorithmus

J

SHA-1

Diffie-Hellman-Gruppe

K

DH-Group 2


Phase 2

Lebensdauer

L

3600 sec

Verschlüsselung

M

3DES

Hashalgorithmus

N

SHA-1

Perfect Forward Secrecy

O

DH-Group 2

VPN auf der m0n0wall einrichten

m0n0wall ist eine freie Software zum Aufbau von Routern und Firewalls. Sie läuft auf PC-Hardware, PC Engines Alix und WRAP sowie Soekris net-Boards.

IPSec aktivieren

Auf der m0n0wall muss IPSec aktiviert werden. Aktivieren Sie dazu unter

VPN: IPsec

Enable IPSec.

IPSec einschalten

Mit dem Plus-Symbol können Sie einen neuen IPSec-Tunnel anlegen. Zuerst werden die allgemeinen Parameter für die VPN-Verbindung eingestellt.

IPSec Tunnel

Da beide VPN-Router direkt mit dem Internet verbunden sind wird kein NAT-Traversal (NAT-T) benötigt. Als Remote Subnet geben Sie das LAN des Zyxel (Zelle B1) an. Remote Gateway ist die WAN-IP in München (Zelle A1). Für die Phase 1 (IKE) wird Main Mode mit 3DES, SHA-1 und DH-Gruppe 2 eingestellt.

IPSec Tunnel IKE Phase 1

Die Phase 2 setzt ebenfalls aus 3DES und SHA-1. Perfect Forward Secrecy (PFS) wird mit Diffie-Hellman-Gruppe 2 (1024 Bit) aktiviert.

Nach dem Speichern müssen die Änderungen noch mit der Schaltfläche Apply changes bestätigt werden.

IPSec Apply

Damit ist der IPSec-Tunnel auf der m0n0wall fertig konfiguriert.

ZyXEL Prestige einrichten

Im Webinterface unter

Erweitert >> VPN

lassen sich zwei VPN-Tunnel einrichten. Wählen Sie einen Tunnel aus und klicken Sie auf Bearbeiten. Um alle Einstellungen der IPSec-Verbindung bearbeiten zu können klicken Sie auf Erweitert.

VPN Einstellungen ZyXEL

Tragen Sie die Parameter entsprechend der Konfigurationstabelle ein. Die VPN-Verbindung zwischen den beiden Router sollten sich jetzt beispielsweise durch ein Ping aufbauen lassen.

Fehlersuche

Bei Problemen mit dem VPN-Tunnel lohnt sich ein Blick in die Logs der beiden Router. Beim ZyXEL sollten Sie unter

Erweitert >> Protokolle >> Protokolleinstellungen

das Protokollieren für IPSec und IKE aktivieren. Meldungen wie IKE Packet Retransmit deuten auf Probleme bei der Verbindung oder Parameterfehler in Phase 1 (IKE) hin.

Im Log der m0n0wall erzeugen Fehler in der Phase 1 Meldungen wie racoon: ERROR: rejected enctype: DB(prop#1:trns#1):Peer(prop#1:trns#1) = 3DES-CBC:DES-CBC, racoon: ERROR: no suitable proposal found. und racoon: ERROR: failed to get valid proposal.. Fehler in Phase 2 erzeugen ein racoon: ERROR: failed to get sainfo. im Log der m0n0wall.

Häufigste Ursache für Probleme beim Aufbau einer IPSec-Verbindung sind Tippfehler in den IP-Adressen, Netzmasken und Proposals.

Weiterführende Informationen zu VPN

Bei Fragen zu VPN wird Ihnen im Netzwerkforum geholfen.

 

 
© 2004-2015, network lab - we make your net work - Netzwerkforum
aktualisiert am 22.03.2012