Einstellungen für Experten

Bei den Experteneinstellungen handelt es sich um Konfigurationsmöglichkeiten der mp-Firewall, die es erlauben Dienste einzubeziehen, die nicht primär auf der mp-Firewall laufen. So können unter den Experteneinstellungen E-Mail Weiterleitungen eingestellt werden, OpenVPN-Verbindungen konfiguriert oder eigene Firewall-Regeln gesetzt werden. Diese Einstellungen sollten nur von Experten vorgenommen werden.

Ein DNS-Server, der als direkte Quelle für die Synchronisation einer Zonendatei dient, wird als Master DNS Server bezeichnet. Einen DNS-Server, der die Zonendaten von einem Master bezieht, nennt man DNS-Slave-Server oder DNS-Forward-Server. Die TightGate-Firewall bietet die Möglichkeit, als DNS-Slave-Server und als DNS-Forward-Server für verschiedene Domains zu arbeiten. Dies ist besonders vorteilhaft bei größeren VPN-Netzwerken oder wenn in Netzwerken verschiedene DNS Master Server zum Einsatz kommen (z.B. Windows 2003 Server). Wir unterscheiden diese beiden Arten wie folgt. Als Erstes der DNS-Slave-Server, er speichert eine lokale Kopie der DNS-Einträge des DNS-Master-Servers. Der Zweite, der DNS-Forward-Server, holt sich die Antworten auf die DNS-Anfragen immer direkt vom Master.

Um neue DNS-Slave-Servern oder DNS-Forward-Server auf der mp-Firewall anzulegen oder bestehende zu ändern melden Sie sich bitte als Benutzer config an. Wählen Sie dann bitte aus den Menüpunkt Einstellungen>DNS Slave/Forward aus. So legen Sie einen neuen Eintrag an:

Wählen sie den Menüpunkt Neu aus. Geben Sie die Domain an, für welche die mp-Firewall als DNS Slave Server arbeiten soll, und anschließend noch den DNS Master Server für diese Domain.

Die mp-Firewall aktualisiert automatisch ihre DNS-Einträge vom eingestellten DNS Master Servern.

ACHTUNG: Wenn Sie alle Einstellungen vorgenommen haben, verlassen Sie das Menü. Speichern Sie nun alle Änderungen über den Menüpunkt Speichern ab und wenden Sie diese mit dem Menüpunkt Sanft Anwenden an. Erst nach dem Anwenden werden die Einstellungen wirksam.

OpenVPN ist ein Werkzeug zum Aufbau eines virtuellen privaten Netzwerks über eine SSL-Verbindung, welche eine flexible Klienten-Authentifizierung ermöglicht. In der mp-Firewall wird OpenVPN mit einer SSL-Verschlüsselung ermöglicht. OpenVPN ist keine Web-Applikation und verfügt nicht über eine Web-Oberfläche.

Funktionsweise des OpenVPN
Grundlage des OpenVPN-Tunnels ist der OpenVPN-Dienst, welcher sowohl auf dem Server als auch auf der Klientenseite auf einem Port läuft und mit Hilfe eines Treibers eine virtuelle Netzwerkschnittstelle (tun-Interface) anlegt, welche jeweils ein Ende des Tunnels darstellt. Der gesamte Netzwerkverkehr kann dabei mit OpenSSL verschlüsselt werden. Beispiel einer OpenVPN-Verbindung:

Zum Aufbau eines OpenVPN-Netzwerkes (wie in obiger Abbildung dargestellt) werden drei Netzwerke benötigt. Es müssen zur Einrichtung der Verbindung die IP-Adressen für alle Netzwerke bekannt sein. Das sind im einzelnen:

1. Lokales internes Netz (das eigene interne Netzwerk)
2. Fernes internes Netz (das Netzwerk, welches sich intern hinter der fernen Firewall befindet)
3. Virtuelles OpenVPN-Netz (Das virtuelle Netzwerk, in welchem OpenVPN kommuniziert)

Beteiligte Schnittstellen
An der Konfiguration einer OpenVPN-Verbindung sind an der jeweiligen Firewall drei Interfaces beteiligt. Das nachfolgende Schaubild verdeutlicht dies noch einmal:

Es wird deutlich, dass neben den physikalischen Schnittstellen (eth0 und eth1) ein zusätzliches Interface (tun) auftaucht. Dies ist Teil des virtuellen OpenVPN-Netzes, welches zwischen den beteiligten Firewalls für das OpenVPN aufgebaut wird. Das virtuelle Netzwerk (tun) darf in keinem Fall im IP-Bereich eines beteiligten Netzwerks liegen.

Multi-Klienten
Eine weitere Anwendungsmöglichkeit neben der Firewall zu Firewall Verbindung ist die Verbindung von mehreren mobilen Klienten (Außenstellen, Notebooks etc.) hin zu einer mp-Firewall. Diese Möglichkeit sollte nur verwendet werden, wenn mobile Endgeräte an eine mp-Firewall angeschlossen werden. Werden zwei mp-Firewalls oder Geräte mit fester IP-Adresse verbunden, so ist die Shared-Key-Authentifizierung vorzuziehen. Die nachfolgende Abbildung zeigt beispielhaft, wie eine solche aussehen könnte:

Authentifizierung
Zur Authentifizierung der Gegenstellen können grundsätzlich zwei Verfahren verwendet werden:

1. Shared-Key-Authentifizierung (zu empfehlen bei statischen Verbindungspunkten)
2. Zertifikat-basierte Authentifizierung (zu empfehlen bei Verbindungen mit mobilen Klienten)

Die mp-Firewall unterstützt beide Authentifizierungsverfahren.

Einsatzgebiet
Das Shared-Key Verfahren wird empfohlen zum Einsatz, wo zwei feste Gegenstellen eine sichere Tunnelverbindung untereinander aufbauen sollen. Dies kann z.B. die Anbindung von Außenstellen an eine Zentrale.

Einrichtung
Zum Einrichten einer neuen OpenVPN-Verbindung benötigen Sie die IP-Informationen für die beteiligten Netzwerke, sowie einen Überblick der für die Verbindung benutzen Schnittstellen. Sie haben die Möglichkeit die Schlüsseldatei für die Gegenstelle von der mp-Firewall erzeugen zu lassen. Diese kann dann exportiert werden oder, sofern die Gegenstelle auch eine mp-Firewall ist, einfach auf die Gegenstelle übertragen werden.

Zur Erstellung einer neuen OpenVPN-Verbindung mit Shared-Keys melden Sie sich bitte als Benutzer config an und wählen dann den Menüpunkt Einstellungen>OpenVPN>Neu aus.

Geben Sie der neuen OpenVPN-Verbindung eine Nummer. Diese dient nur der eindeutigen Identifizierung und hat im Gegensatz zu selbst definierten Firewall-Regeln keinen Einfluss auf eine priorisierende Ausführung. Nehmen Sie die Einstellungen auf der mp-Firewall entsprechend der nachfolgenden Tabelle vor. Es müssen die Optionen mit den laufenden Nummern 1 bis 13 geeignet eingestellt werden, wobei sich die einzutragenden Werte aus der Beschreibung und der Bemerkung dazu ergeben.

*Soll kein allgemeiner Zugriff auf die Firewall oder das interne Netz freigegeben werden, so sind die Einträge für die Lfd. Nr. 12 + 13 auf Nein zu setzen. Es können aber einzelne Dienste gezielt und kontrolliert freigeschaltet werden. Per Custom-Regel kann für das jeweilige Interface der Zugriffe geregelt werden. z.B. für die OpenVPN-Verbindung Nr. 5 ist das Interface tun5 zuständig.
Wenn man für alle Tunnel gemeinsame Regeln setzen möchte, muss man als Interface in der Custom-Regel tun+ eintragen.

Wenn alle Einstellungen vorgenommen sind, ist der erste Schritt der Konfiguration abgeschlossen. Sie sehen nun eine Liste der von Ihnen konfigurierten OpenVPN-Verbindungen. Wählen Sie bitte Ihre Konfiguration aus. Um die Konfiguration abzuschließen ist noch die Erzeugung oder der Import eines Schlüssels notwendig. Wählen Sie zum Erzeugen den Menüpunkt Schlüsseldatei erzeugen aus.

ACHTUNG: Nur wenn hinter dem Menüpunkt Schlüsseldatei erzeugen ein nicht vorhanden steht hat die OpenVPN-Verbindung keinen Schlüssel. Steht hinter dem Menüpunkt Schlüsseldatei erzeugen ein vorhanden, so existiert bereits eine Schlüsseldatei. Durch wiederholtes Anklicken auf eine vorhandene Schlüsseldatei wird diese überschrieben. Es muss dann ebenfalls die Schlüsseldatei auf der Gegenstelle neu eingespielt werden. Ist eine Schlüsseldatei vorhanden, so kann diese über den Menüpunkt Schlüsseldatei ansehen zur Anzeige gebracht werden. Das Beenden der Anzeige geschieht mit der taste q.

Zum Export der Schlüsseldatei und zur Einrichtung der Gegenstelle/Klienten gehen Sie bitte vor, wie im Abschnitt Schlüssel- und Zertifikats-Management beschrieben.

ACHTUNG: Wenn Sie alle Einstellungen vorgenommen haben, verlassen Sie das Menü. Speichern Sie nun alle Änderungen über den Menüpunkt Speichern ab und wenden Sie diese mit dem Menüpunkt Voll Anwenden an. Erst nach dem Anwenden werden die Einstellungen wirksam.

Einsatzgebiet
Das Zertifikats-Verfahren wird empfohlen, falls zu einer mp-Firewall von mehreren mobilen Klienten aus eine sichere Tunnelverbindung aufgebaut werden soll. Das kann z.B. die Anbindung von AußendienstmitarbeiterInnen mit Notebooks an eine Zentrale sein.

Einrichtung
Zum Einrichten einer neuen OpenVPN-Verbindung benötigen Sie die IP-Informationen für die beteiligten Netzwerke sowie einen Überblick der für die Verbindung benutzen Schnittstellen. Mit der mp-Firewall können Sie problemlos die OpenVPN-Verbindung einrichten. Sie haben auch die Möglichkeit, die Konfigurationen für die Gegenstellen (Notebooks) von der mp-Firewall mit erzeugen zu lassen. Diese können dann auf einfache Weise exportiert werden. Somit sparen Sie Zeit und Mühe, da keine doppelte Konfiguration vorgenommen werden muss.

Zur Erstellung einer neuen zertifikatsbasierten OpenVPN-Verbindung melden Sie sich bitte als Benutzer config an und wählen dann den Menüpunkt Einstellungen>OpenVPN>Neu aus. Geben Sie der neuen OpenVPN-Verbindung eine Nummer. Diese dient nur der eindeutigen Identifizierung und hat im Gegensatz zu selbst definierten Firewall-Regeln keinem Einfluss auf eine priorisierende Ausführung.
Nehmen Sie die Einstellungen auf der mp-Firewall entsprechend der nachfolgenden Tabelle vor. Es müssen die Optionen mit den laufenden Nummern 1 bis 13 eingestellt werden, wobei sich die einzutragenden Werte aus der Beschreibung und der Bemerkung dazu ergeben.

*Soll kein allgemeiner Zugriff auf die Firewall oder das interne Netz freigegeben werden, so sind die Einträge für die Lfd. Nr. 12 + 13 auf Nein zu setzen. Es können aber einzelne Dienste gezielt und kontrolliert freigeschaltet werden. Per Custom-Regel kann für das jeweilige Interface der Zugriffe geregelt werden. Z.B. für die OpenVPN-Verbindung Nr. 5 ist das Interface tun5 zuständig.
Wenn man für alle Tunnel gemeinsame Regeln setzen möchte, muss man als Interface in der Custom-Regel tun+ eintragen.

Wenn alle Einstellungen vorgenommen sind ist der erste Schritt der Konfiguration abgeschlossen. Sie sehen nun eine Liste der von Ihnen konfigurierten OpenVPN-Verbindungen. Wählen Sie bitte Ihre Konfiguration aus. Bevor die einzelnen Zertifikate erzeugt werden können, sind ein ein paar weitere Einstellungen notwendig. Bitte tragen Sie die entsprechenden Werte laut der unten stehenden Tabelle für Ihre OpenVPN-Verbindung ein.

Sind alle Einstellungen aus der Liste vorgenommen, müssen beim VPN-Modus server nun noch die Certification Authority (CA) und die Zertifikate für die Klienten erzeugt werden.

SSL-CA erzeugen
Um das CA-Zertifikat der OpenVPN-Verbindung zu erzeugen, gehen Sie bitte auf den Menüpunkt SSL-CA erzeugen und wählen Sie diesen aus. Das Erzeugen des SSL-CA kann ein wenig Zeit in Anspruch nehmen. Bitte haben Sie etwas Geduld.

Klienten-Zertifikate erzeugen
Um die Klienten-Zertifikate zu erzeugen, gehen Sie bitte auf den Menüpunkt Klienten-Zertifikate erzeugen und wählen Sie diesen aus. Das Erzeugen der Zertifikate dauert ebenfalls etwas, da für jeden Klienten ein eigenes Zertifikat erzeugt wird. Haben Sie 3 oder mehr Klienten eingestellt, könnte die Zeit für einen Kaffee reichen.

Zum Export der Schlüsseldateien und zur Einrichtung der Gegenstelle/Klienten gehen Sie bitte vor, wie in den nachfolgenden Abschnitten beschrieben.

ACHTUNG: Wenn Sie alle Einstellungen vorgenommen haben, verlassen Sie das Menü. Speichern Sie nun alle Änderungen über den Menüpunkt Speichern ab und wenden Sie diese mit dem Menüpunkt Voll Anwenden an. Erst nach dem Anwenden werden die Einstellungen wirksam.

In diesem Kapitel wird Ihnen gezeigt, welche Möglichkeiten es gibt die erzeugten Dateien für Pre-Shared-Key oder Zertifikats-Verbindungen von der mp-Firewall zu exportieren.

Schlüsselmanagement
Es ist sicherzustellen, dass für den Aufbau des OpenVPN-Tunnels für Server und Client der gleiche Schlüssel hinterlegt wird.

Pre-Shared Schlüsseldatei exportieren:
Zur Übertragung der Schlüsseldatei gibt es für Pre-Shared Key Verbindungen verschiedene Möglichkeiten:

1. Direktes Kopieren der Schlüsseldatei auf die Gegenstelle.
   Zum Exportieren der Schlüsseldatei den Menüpunkt Schlüsseldatei hochladen auswählen. Über einen Dialog kann per SSH-verschlüsselter Verbindung die Schlüsseldatei auf die Gegenstelle kopiert werden. Dazu muss die IP-Adresse, der Benutzername sowie der Zielpfad auf der Gegenstelle bekannt sein. Die Datei wird dabei in das angegebene Verzeichnis des Zielservers kopiert.
2. Schlüsseldatei über Transfer-Verzeichnis exportieren und dann auf der Gegenstelle einspielen.

Zum Exportieren der Schlüsseldatei auf eine Gegenstelle, die nicht per SSH von der mp-Firewall aus erreicht werden kann, bitte den Menüpunkt Schlüsseldatei in Transfer auswählen. Über diesen Menüpunkt wird die Schlüsseldatei in das Transfer-Verzeichnis des Benutzers config geschrieben. Dabei sind die Schlüssel je nach definierter Verbindungsnummer benannt; z.B. 5.key = Key der Verbindung Nr. 5.
Um die Schlüsseldatei von der mp-Firewall zu holen wird von einem Rechner, der SSH-Zugriff auf die mp-Firewall hat, eine Verbindung als Benutzer config per Secure Copy (unter Windows mit dem Programm WinSCP) auf die mp-Firewall aufgebaut. Die benötigte Schlüsseldatei kann nun aus dem Verzeichnis /home/config/transfer / kopiert werden.

Zertifikate für zertifikatsbasierte OpenVPN-Verbindungen exportieren
Zur Übertragung der Zertifikate gibt es die Möglichkeit die Klienten-Zertifikate über das Transfer-Verzeichnis zu exportieren und dann auf den Gegenstellen einzuspielen.
Zum Exportieren der Klienten-Zertifikate samt Gegenstellen-Konfiguration bitte den Menüpunkt Klienten-Zertifikate in Transfer auswählen. Über diesen Menüpunkt werden die Zertifikatsdateien in das Transfer-Verzeichnis des Benutzers config geschrieben. Dabei wird für jeden Klienten ein Ordner je nach definierter Verbindungsnummer angelegt; z.B.im Ordner 1 = Verbindungsdateien für den Klienten Nr. 1.
In dem Ordner befinden sich alle benötigten Zertifikate und Konfigurationsdateien für die Gegenstelle. Diese müssen von der mp-Firewall extrahiert werden und auf der Gegenstelle eingespielt werden. Um die Dateien von der mp-Firewall zu holen wird von einem Rechner, der SSH-Zugriff auf die mp-Firewall hat eine Verbindung als Benutzer config per Secure Copy (Für Windows mit dem Programm WinSCP) auf die mp-Firewall aufgebaut. Die benötigten Schlüsseldateien können nun aus dem Verzeichnis /home/config/transfer/[OpenVPN-Nummer]/[Klienten-Nummer] kopiert werden. Am besten kopieren Sie einfach das gesamte Verzeichnis.

Um die Gegenstelle für die erstelle OpenVPN-Verbindung richtig zu konfigurieren muss sicher gestellt sein, dass auf der mp-Firewall wie auch auf der Gegenstelle die entsprechenden Schlüsseldateien verwendet werden. Weiterhin sind alle Einstellungen der mp-Firewall analog auch auf der Gegenstelle vorzunehmen.

Die Einrichtung der OpenVPN-Konfiguration mit Pre-Shared Key muss für die Gegenstelle geschieht manuell. Den benötigten Schlüssel können Sie sich wie unter dem vorigen Kapitel Schlüssel- und Zertifikats-Management beschrieben von der mp-Firewall holen.

Zur Einrichtung einer Gegenstelle für eine OpenVPN-Verbindung mit Zertifikaten wird die komplette Konfiguration für die Gegenstelle von der mp-Firewall bereit gestellt. Diese kann ebenfalls wie unter Schlüssel- und Zertifikats-Management beschrieben extrahiert werden.

Die mp-Firewall generiert für alle Menüeinträge automatisch alle notwendigen Firewall-Regeln. Diese können jedoch um individuelle Regelsätze erweitert werden. Um eine neue Firewall-Regel zu erstellen oder eine bestehende zu konfigurieren, melden Sie sich bitte als Benutzer config an und wählen dann den Menüpunkt Einstellungen>Custom Settings aus. Dort finden Sie Untermenüs für weitere Netzwerkanschlüsse, eigene Durchleitungs-, Eingangs- und Ausgangsregeln, sowie für eigene Routingregeln.

Um eine neue Regel zu erstellen wählen Sie bitte jeweils den Menüpunkt Neu aus. Um eine bestehende Regel zu konfigurieren navigieren Sie bitte auf die zu ändernde Regel und wählen Sie diese aus. Es erscheint ein Menü, wo Sie einzelne Änderungen vornehmen können.

Anleitung zu Erstellung einer neuen Firewall-Durchleitungs-Regel:

• Wählen Sie bitte aus dem Custom Settings-Menü Custom Forward Rules den Menüpunkt Neu aus. Sie werden nun nach der Nummer der neuen Regel gefragt. Bitte beachten Sie, dass die Nummerierung der Regel gleichzeitig die Priorität der Ausführung festlegt.
  Die Regeln werden immer in Reihenfolge ihrer Nummern abgearbeitet, und zwar vor allen anderen FORWARDING-Regeln, aber nach den ESTABLISHED-Regeln. Das bedeutet, dass nur neue Verbindungen über diese Regeln kontrolliert werden.
  Hinweis: Es ist nicht ratsam die erste Regel mit 1 zu nummerieren, da sonst keine Regeln mehr mit höherer Priorität angelegt werden können. Beginnen Sie die Nummerierung mit 100. Die höchste erlaubte Nummer ist 1000. Sie können die Nummern selbstverständlich auch nachträglich ändern.
• Geben Sie der Regel einen Namen. Dieser sollte so gewählt werden, dass Sie an Hand des Namens erkennen können, welche Regelung Sie getroffen haben.
• Wählen Sie ein Protokoll aus, für welches die Regel gelten soll. Wenn die Regel für alle Protokolle gelten soll, so wählen Sie bitte all (Alle Pakete) aus.
• Als nächstes werden Sie nach der IP-Adresse des Absenders der Pakete gefragt. Die IP-Adresse wird in der Form a.b.c.d/validbits angegeben. Wenn Sie diese Eingabe leer lassen, gilt die Regel für alle Absender.
  Beispiel:

• Im nächsten Eingabefeld werden Sie nach der IP-Adresse des Empfängers gefragt. Tragen Sie diese bitte in analoger Form zur Absender IP-Adresse ein. Wenn Sie diese Eingabe leer lassen, gilt die Regel für alle Empfänger.
• Absender-Ports für das jeweilige Protokoll. Wenn Sie diese Eingabe leer lassen, gilt die Regel für alle Absender-Ports. Einige Protokolle kennen keine Ports, dort werden keine Ports abgefragt.
• Empfänger Ports für das jeweilige Protokoll. Wenn Sie diese Eingabe leer lassen, gilt die Regel für alle Empfänger-Ports.
• Bitte die Regelwirkung auswählen. Folgende Behandlungsweisen stehen zur Auswahl:
  • Accept » Alle Pakete werden durchgelassen
  • Drop » Die Pakete werden ignoriert und fallen gelassen
  • Reject » Die Pakete werden zurückgewiesen
  • Log » Die Pakete werden protokolliert, jedoch nur die Pakete, die eine neue Verbindung öffnen. Achtung: Bei der Wirkung Log geht es anschließend weiter zur nächsten Regel!
  • Redirect (nur Input-Regel für tcp und udp): Umleitung auf einen lokalen Port, z.B. für transparente Proxies.

Wenn Sie Pakete protokollieren und dann ablehnen möchten, benötigen Sie zwei Regeln: Die erste Regel protokolliert, die zweite lehnt ab.

ACHTUNG: Wenn Sie alle Einstellungen vorgenommen haben, verlassen Sie das Menü. Speichern Sie nun alle Änderungen über den Menüpunkt Speichern ab und wenden Sie diese mit dem Menüpunkt Sanft Anwenden an. Erst nach dem Anwenden werden die Einstellungen wirksam.