Anforderungen An Die Vpn-Gegenstelle; Openvpn - Siemens SCALANCE S615 Projektierungshandbuch

Anforderungen an die VPN-Gegenstelle

Die VPN-Gegenstelle muss IPsec mit folgender Konfiguration unterstützen, um erfolgreich
eine IPsec-Verbindung aufzubauen:
• Authentifizierung über Gegenstellenzertifikate, CA-Zertifikate oder Pre-Shared Key
• IKEv1 oder IKEv2
• Unterstützung von mindestens einer der folgenden DH-Gruppen: Diffie-Hellman Gruppe 1,
2, 5 und 14 - 18
• 3DES- oder AES-Verschlüsselung
• MD5, SHA1, SHA256, SHA384 oder SHA512
• Tunnel-Modus
Wenn sich die VPN-Gegenstelle hinter einem NAT-Router befindet, dann muss die Gegenstelle
NAT-T unterstützen. Oder aber der NAT-Router muss das IPsec-Protokoll kennen (IPsec/VPN
Passthrough).
NAT-Traversal (NAT-T)
Eventuell befindet sich zwischen dem Gerät und dem VPN-Gateway des entfernten Netzes ein
NAT-Router. Nicht alle NAT-Router lassen IPsec-Telegramme passieren. Daher kann es
erforderlich sein, die IPsec-Telegramme in UDP-Pakete einzukapseln, um den NAT-Router
passieren zu können.
Dead Peer Detection
Voraussetzung ist, dass die VPN-Gegenstelle DPD unterstützt. DPD prüft, ob die Verbindung
noch störungsfrei arbeitet oder ob es eine Unterbrechung auf der Strecke gab. Ohne DPD
muss je nach Konfiguration bis zum Ablauf der SA-Lebensdauer gewartet oder die
Verbindung manuell neu initiiert werden. Um zu prüfen, ob die IPsec-Verbindung noch
störungsfrei arbeitet, sendet das Gerät selber DPD-Anfragen zur VPN-Gegenstelle. Wenn die
VPN-Gegenstelle nicht antwortet, wird nach Ablauf einer bestimmten Zeitspanne die
Verbindung zur VPN-Gegenstelle für ungültig erklärt. Die Einstellungen für DPD konfigurieren
Sie bei der Phase 1.
3.5.6.2

OpenVPN

Mit OpenVPN lassen sich virtuelle private Netzwerke (VPN) aufbauen. Das Gerät kann als
OpenVPN-Client eine VPN-Verbindung zu einem entfernten Netzwerk aufbauen.
Den OpenVPN-Client konfigurieren Sie unter "Security" > "OpenVPN-Client (Seite 317)".
Die VPN-Verbindung wird über virtuelle Gerätetreiber hergestellt, dem TAP- und TUN-Device.
Dabei werden virtuelle Netzwerkschnittstellen angelegt, die wie eine physische Schnittstelle
des Geräts wirken und den Endpunkt des VPN-Tunnels darstellen.
Das Gerät unterstützt Folgendes:
• TUN-Device: Routing-Modus
Die LAN-Schnittstelle und die virtuelle Netzwerkschnittstelle befinden sich in
verschiedenen IP-Subnetzen. Der virtuellen Tunnelschnittstelle wird vom OpenVPN-Server
SCALANCE S615 Web Based Management
Projektierungshandbuch, 07/2020, C79000-G8900-C388-09
Technische Grundlagen
3.5 Security-Funktionen
53