Open VPN mit Zertifikaten für Version 10 - How-to?

[Andy_M]

Hallo Securepoint Community,

ich habe eben die Securepoint-Seite nach How-to's durchstöbert und eines zum Thema OpenVPN mit Zertifikaten gesucht. Ich habe mal gesehen, daß es in der 10er Version eine sehr schöne Lösung gibt, in der man sich (vorangegangene Konfiguration vorausgesetzt) an der externen Schnittstelle der UTM anmeldet, und einen für den Benutzer fertig konfigurierten OpenVPN Client runterladen kann. Die Anleitung in der How-to Sektion ist leider nur für die Version 2007. Gibt es da vielleicht noch einen verborgenen Schatz, den ich als Anleitung verwenden könnte?

Vielen Dank,
Andy

[carsten]

Ja,

vermutlich überlesen?

http://faq.securepoint.de/index.php?opt ... &Itemid=16

[Andy_M]

Wieder einmal vielen Dank für die blitzschnelle und 100% treffende Antwort. Schande über mich, ich habe es tatsächlich überlesen.

[carsten]

fein fein

[Andy_M]

Eine kleine Nachfrage hätte ich noch:

Wenn ich den Benutzer für die Verbindung anlege, muss ich im Karteireiter "SSL VPN Client" ein SSL VPN Gateway angeben. Da das Dropdownmenü in meinem Fall leer ist, muss ich etwas bei "Alternative" eintragen. Aber welche Seite ist gemeint? Die externe, statische IP meiner UTM? Oder die IP der OpenVPN Schnittstelle (192.168.250.1) ?

Vielen Dank,
Andy

[carsten]

da das die Konfig des Clienten ist, bietet es sich an hier die externe IP der FW einzutragen

[Andy_M]

Hallo da bin ich wieder,

ich habe jetzt alles nach Anleitung durchgeführt und scheitere immer wieder an einem Punkt. Ich möchte von außen auf die Firewall zugreifen, um mir den Client runterladen zu können. Leider kriege ich aber beim Aufruf meiner IP keine Verbindung.

Erreicht wird das Userinterface über das interne Interface der Securepoint Appliance. Ein
Zugriff von externen Benutzern ist nur möglich, wenn eine Firewallregel angelegt ist, die den
Zugriff vom Internet auf das interne Interface per HTTPS erlaubt.

Die Regel Internet > Internal Interface > https > ACCEPT habe ich angelegt. Muss da noch etwas gemacht werden, was aus der pdf nicht hervorgeht?

Vielen Dank,
Andy

[carsten]

Wie wollen Sie denn aus dem Internet auf die IP vom internen Interface zugreifen?

Legen Sie mal ne Regel auf das externe_interface an. Die IP sollten Sie ja auch im Browser eingeben

[erik80]

Hi, also mit der oben angegebenen Regel funktioniert der Zugriff dann.

Ich habe bei mir auch diese Testinstallation gemacht und mich exakt an das How-to gehalten. Bei mir funktioniert auch alles, allerdings mit einem Schönheitsfehler.
Laut How-to soll man bei dem angelegten VPN-Benutzer mit angeben, dass er das Standardgateway für das Remotenetzwerk mitbenutzen soll. Das hat den Effekt, dass wenn die Verbindung getrennt wird, das Gateway in der Netzwerkkarte ausgetragen ist. Gibt es da eine leichte Möglichkeit, dass das ursprüngliche Gateway nach dem Verbindungsabbau wieder eingetragen wird ? Ich würde nur ungern irgendwelche Scripte vor jedem Verbindungsaufbau oder Abbau ausführen. Könnte man da vielleicht ganz simpel mit den alternativen Netzwerkeinträgen innerhalb des Windows arbeiten?
gruß und danke, Erik80

[erik80]

Ok, mein Post hat sich gerade erübrigt. Wenn man den Haken für das Remotegateway rausnimmt, ändert er einem das Gateway auch nicht mehr ab.
Trotzdem vielleicht die Frage, was hat es mit dem Haken auf sich ? So ganz schlau werde ich aus der Funktion nicht.
gruß erik80

[Erik]

Das Häkchen macht, dass durch den openVPN-Tunnel eine Default-Route (Ziel: 0.0.0.0/0) gesetzt wird. Um genau zu sein werden zwei Routen gesetzt:
0.0.0.0/1
128.0.0.0/1

Also zwei Mal "das halbe Internet"