Mobilfunkrouter - Letzte Änderungen [de]

VPN-LCM-Digi-IPsec

2012-05-16T06:54:45Z

← Nächstältere Version		Version vom 06:54, 16. Mai 2012
Zeile 6:		Zeile 6:
	__TOC__		__TOC__

-	== ~~Voraussetzungen~~ ==	+	== Konfigurationen ==

	Haben Sie Interesse, einen Lucom Router mit einem Digi Router via IPsec zu verbinden, kontaktieren Sie bitte Lucom. Wir stellen Ihnen gerne eine Konfiguration zur Verfügung.		Haben Sie Interesse, einen Lucom Router mit einem Digi Router via IPsec zu verbinden, kontaktieren Sie bitte Lucom. Wir stellen Ihnen gerne eine Konfiguration zur Verfügung.

VPN

2012-05-16T06:53:14Z

Aufbau einer eigenen Zertifikatsverwaltung:

← Nächstältere Version		Version vom 06:53, 16. Mai 2012
Zeile 66:		Zeile 66:
	In vielen Fällen ist es sinnvoll eine eigene Zertifikatsverwaltung zur Absicherung der VPN-Tunnel aufzubauen. Dies ist schnell und kostenlos möglich. Die folgende Anleitung beschreibt den Aufbau einer eigenen einfachen Zertifikatsverwaltung mittels [http://sourceforge.net/projects/xca XCA].		In vielen Fällen ist es sinnvoll eine eigene Zertifikatsverwaltung zur Absicherung der VPN-Tunnel aufzubauen. Dies ist schnell und kostenlos möglich. Die folgende Anleitung beschreibt den Aufbau einer eigenen einfachen Zertifikatsverwaltung mittels [http://sourceforge.net/projects/xca XCA].

-	[[VPN-ZERTIFIKATE-VERWALTEN\|Eigene VPN Zertifikatsverwaltung]~~]<br>~~	+	Weiterlesen: [http://help.mobilfunkrouter.de/index.php5?title=VPN-ZERTIFIKATE-VERWALTEN Eigene VPN Zertifikatsverwaltung]

	----		----

VPN-ZERTIFIKATE-VERWALTEN

2012-05-16T06:47:50Z

Verwendungsort der Zertifikate:

Änderungen zeigen

Bild:24.serverZert-exportieren-p12.jpg

2012-05-14T16:41:02Z

hat „[[Bild:24.serverZert-exportieren-p12.jpg]]“ hochgeladen

Neue Seite

VPN-ZERTIFIKATE-VERWALTEN

2012-05-14T16:14:12Z

← Nächstältere Version		Version vom 16:14, 14. Mai 2012
(Der Versionsvergleich bezieht 1 dazwischen liegende Version mit ein.)
Zeile 148:		Zeile 148:

	'''C. VPN Client Zertifikat und Schlüssel erstellen'''		'''C. VPN Client Zertifikat und Schlüssel erstellen'''
		+
		+	Analog zum Server Zertifikat ist abschließend noch ein VPN Client Zertifikat zu erstellen. Dazu dem CA markieren und den Knop '''Neues Zertifikat''' drücken.
		+
		+	Im Reiter '''Herkunft''' ist diesmal als Vorlage der '''HTTPS_client''' auszuwählen. Der Knopf '''Alles übernehmen''' verteilt die wichtigsten Grundeinstellung wieder über alle XCA-Reiter.
		+
		+	: [[Bild:13.client-zert-herkunft.jpg]]
		+	: '''Abb.14:''' Grundeinstellungen des Client Zertifikats
		+
		+
		+	Analog zu den vorherigen Zertifikaten sind auch beim VPN Client sinnvolle Feldbezeichner im Reiter '''Inhaber''' einzutragen (hier '''clientZert'''). Ebenfalls nicht vergessen werden sollte, einen '''neuen Schlüssel''' zu erstellen.
		+
		+	: [[Bild:14.client-zert-inhaber.jpg]]
		+	: '''Abb.15:''' Sinnvolle Feldbezeichner für das Client Zertifikat
		+
		+
		+	Schlüsseltyp und Schlüssellänge sind wieder '''RSA''' und '''1024 bit'''.
		+
		+	: [[Bild:15.client-zert-schluessel.jpg]]
		+	: '''Abb.16:''' Private Key Einstellungen
		+
		+
		+	Auch beim Client Zertifikat sollte die Zeitspanne der Gültigkeit erweitert werden.
		+
		+	: [[Bild:16.client-zert-erweiterungen.jpg]]
		+	: '''Abb.17:''' Verlängerte Zeitspanne des Client Zertifikats von '''10 Jahren'''
		+
		+
		+	Damit ist das Client Zertifikat vollständig konfiguriert und die Einstellungen können mit '''OK''' übernommen werden.
		+
		+	: [[Bild:17.ca-server-client-zerts-fertig.jpg]]
		+	: '''Abb.18:''' Übersicht über die angelegten Zertifikate
		+

Bild:17.ca-server-client-zerts-fertig.jpg

2012-05-14T16:06:41Z

hat „[[Bild:17.ca-server-client-zerts-fertig.jpg]]“ hochgeladen

Neue Seite

Bild:09.server-zert-inhaber.jpg

2012-05-14T16:00:16Z

hat eine neue Version von „[[Bild:09.server-zert-inhaber.jpg]]“ hochgeladen

Neue Seite

Bild:13.client-zert-herkunft.jpg

2012-05-14T15:57:13Z

hat „[[Bild:13.client-zert-herkunft.jpg]]“ hochgeladen

Neue Seite

VPN-ZERTIFIKATE-VERWALTEN

2012-05-14T15:53:11Z

← Nächstältere Version		Version vom 15:53, 14. Mai 2012
Zeile 67:		Zeile 67:


-	'''CA Zertifikat erstellen'''	+	'''A. CA Zertifikat erstellen'''

	Zum Anlegen des CA Zertifikats ist der Knopf '''Neues Zertifikat''' zu drücken.		Zum Anlegen des CA Zertifikats ist der Knopf '''Neues Zertifikat''' zu drücken.
Zeile 97:		Zeile 97:
	: '''Abb.7:''' Sinnvolle Einstellungen für den CA Zertifikats-Schlüssel		: '''Abb.7:''' Sinnvolle Einstellungen für den CA Zertifikats-Schlüssel

		+	Damit ist das CA (oder auch Wurzel-) Zertifikat erstellt. Alle Einstellungen können mit dem Knopf '''OK''' übernommen werden.


		+	----

		+	'''B. Server Zertifikat und Schlüssel erstellen'''

		+	Im Reiter '''Zertifiakte''' ist das CA Zertifikat bereits vorhanden. Dieses ist mit der Maus zu markieren und anschließend ein neues Zertifikat zu erstellen.

		+	: [[Bild:07.server-zert-erstellen.jpg]]
		+	: '''Abb.8:''' Neues Server Zertifikat erstellen


		+	Im Reiter '''Herkunft''' unterscheiden sich diesmal die Einstellungen von denen der CA.
		+
		+	* Unterschreiben -> Verwende des Zertifiakt zum Unterschreiben -> CA Zertifikat auswählen
		+	* Vorlage -> [default] HTTPS_server
		+
		+	Auch diesmal werden die Server Einstellungen mittels '''Alles übernehmen''' auf alle weiteren Bereiche des Zertifikats (so weit möglich) übertragen.
		+
		+	: [[Bild:08.server-zert-herkunft.jpg]]
		+	: '''Abb.9:''' Einstellungen um Reiter '''Herkunft''', Knopf '''Alles übernehmen''' nicht vergessen!
		+
		+
		+	Im Reiter '''Inhaber''' sind wieder sinnvolle Bezeichner zu wählen. In diesem Beispiel wird der Interne Name und commonName als '''serverZert''' bezeichnet.
		+
		+	: [[Bild:09.server-zert-inhaber.jpg]]
		+	: '''Abb.10:''' Feldbezeichner des Server Zertifikats
		+
		+
		+	Außerdem ist im Reiter ''Inhaber'' via Knopf '''Erstelle einen neuen Schlüssel''' ein neuer private Key für das Server Zertifikat zu erstellen. Die Einstellungen des Schlüssels können dem folgenden Screenshot entnommen werden.
		+
		+	: [[Bild:10.server-zert-schluessel.jpg]]
		+	: '''Abb.11:''' Sinnvolle Parameter des Server Schlüssels
		+
		+
		+	Damit nicht jedes Jahr neue Zertifikate erstellt werden müssen, ist es ratsam im Reiter '''Erweiterungen''' die Zeitspanne der Gültigkeit des Zertifikats auf mehrere Jahre festzulegen.
		+
		+	: [[Bild:11.server-zert-erweiterung.jpg]]
		+	: '''Abb.12:''' Gültigkeit des Zertifikats verlängern
		+
		+
		+	Damit sind alle Einstellungen des VPN Server Zertifikats vorgenommen wurden und können nun mit '''OK''' übernommen werden. Das Server Zertifikat wird dann automatisch durch XCA erstellt.
		+
		+	: [[Bild:12.client-zert-erstellen.jpg]]
		+	: '''Abb.13:''' Server Zertifikat erfolgreich erstellt
		+
		+
		+	----
		+
		+	'''C. VPN Client Zertifikat und Schlüssel erstellen'''

Bild:12.client-zert-erstellen.jpg

2012-05-14T15:52:01Z

hat „[[Bild:12.client-zert-erstellen.jpg]]“ hochgeladen

Neue Seite

VPN-ZERTIFIKATE-VERWALTEN

2012-05-14T15:31:49Z

← Nächstältere Version	Version vom 15:31, 14. Mai 2012
Zeile 41:	Zeile 41:


	+	----
	+
	+	=== Zertifikatsdatenbank erstellen ===
	+
	+	Zertifikate werden von XCA in einer eigenständigen Datenbankdatei gespeichert. Zum Erstellen einer neuen XCA-Datenbank XCA starten und zunächst eine neue Datenbank anlegen.
	+
	+	: [[Bild:01.neue-db-anlegen.jpg]]
	+	: '''Abb.2.:''' Eine neue XCA-Datenbank erstellen
	+
	+
	+	Der XCA-Assistent fragt nach '''Namen''' und '''Passwort''' für die neue Datenbank. Das Passwort ist zwingend notwendig - ohne dieses wird die Zertifikatsverwaltung nicht ordnungsgemäß funktionieren.
	+
	+	: [[Bild:03.neue-db-passwd.jpg]]
	+	: '''Abb.3.:''' XCA-Datenbankpasswort vergeben
	+
	+
	+	Die Zertifikatsdatenbank ist nun erfolgreich erstellt wurden.
	+
	+
	+	----
	+
	+	=== Zertifikate und Schlüssel anlegen ===
	+
	+	Alle Schritte dieses Abschnittes werden im Reiter '''Zertifikate''' durchgeführt.
	+
	+
	+	'''CA Zertifikat erstellen'''
	+
	+	Zum Anlegen des CA Zertifikats ist der Knopf '''Neues Zertifikat''' zu drücken.
	+
	+	: [[Bild:04.root-ca-erstellen.jpg]]
	+	: '''Abb.4:''' Neues CA Zertifikat erstellen
	+
	+
	+	Ein neues Fenster mit den Grundeinstellungen öffnet sich. Zunächst sind die Einstellungen im Reiter '''Herkunft''' vorzunehmen.
	+
	+	* Unterschreiben -> Erstelle eine Selbst signiertes Zertifikat mit der Serien Nummer -> 1
	+	* Signatur Algorithmus -> SHA1
	+	* Vorlage für das neue Zertifikat -> [default] CA -> Knopf '''alles übernehmen'''
	+
	+	: [[Bild:04.root-ca-herkunft.jpg]]
	+	: '''Abb.5:''' Einstellungen im Reiter Herkunft, Knopf '''Alles übernehmen''' drücken
	+
	+	Durch das Drücken des Knopfes ''Alles übernehmen'' werden die wichtigsten Einstellungen einer CA in allen weiteren Reitern des Fenstern voreingestellt. Der Konfigurationsaufwand verringert sich dadurch signifikant.
	+
	+
	+	Im Reiter '''Inhaber''' sind sinnvolle Bezeichner für die Felder im oberen Bereich zu finden. Wichtig ist ein selbstsprechender Name für den ''Internen Namen''. Der ''commanName'' ist in der Regel der gleiche wie der ''Interne Name''.
	+
	+	: [[Bild:05.root-ca-inhaber.jpg]]
	+	: '''Abb.6:''' Beschreibungstexte des CA Zertifikats eintragen
	+
	+	Des Weiteren ist im Reiter ''Inhaber'' ein privater Schlüssel zu erstellen, Knopf '''Erstelle einen neuen Schlüssel'''.
	+
	+	: [[Bild:06.root-ca-schluessel.jpg]]
	+	: '''Abb.7:''' Sinnvolle Einstellungen für den CA Zertifikats-Schlüssel
	+
	+
	+
	+
	+
	+
	+
	+
	+
	+
	+	----
	+
	+	=== Zertifikate exportieren ===

Bild:06.root-ca-schluessel.jpg

2012-05-14T15:30:59Z

hat „[[Bild:06.root-ca-schluessel.jpg]]“ hochgeladen

Neue Seite

VPN-ZERTIFIKATE-VERWALTEN

2012-05-14T14:58:49Z

Neue Seite

{{vorlage:xmenue01}}
----
----

__TOC__

== Einführung ==

Mittels Zertifikaten kann die Sicherheit der Authentifizierung von VPN-Teilnehmern untereinander wesentlich erhöht werden. Außerdem gibt es viele Situationen im Mobilfunk, bei denen ein VPN-Tunnel nur mittels Zertifikaten aufgebaut werden kann. Die Verwendung eines Pre-shared Keys (PSK) bzw. eines einfachen Passworts schlägt in diesen Fällen zwangsläufig fehl.

LUCOMs eigenes VPN Serviceportal [http://www.lucom.eu/vpn-serviceportal-digicluster/language/de.html Digicluster] ist von Haus aus in der Lage, Zertifikate zu erstellen und zu verwalten. Anwender des Digiclusters brauchen sich also keine eigene Zertifikatsverwaltung aufbauen.

'''Einsatzszenario'''

Häufig kommen Zertifikate bei folgendem VPN-Szenario zum Einsatz.

: [[Bild:Szenario-vpn-router-II2.png]]
: '''Abb.1:''' Einfaches VPN-Netzwerk

Mobilfunkrouter werden in diesem Beispiel als VPN-Client konfiguriert, ein beliebiger Office-Router kommt als VPN-Server zum Einsatz. Durch den VPN Tunnel kann auf die Netzwerkteilnehmer hinter den Mobilfunkroutern zugegriffen werden.

'''Diese Anleitung geht auf die Erstellung aller Zertifikate und Schlüssel für einen VPN-Server und einen VPN-Client ein.'''

== Empfohlene Software ==

Zum einfachen Erzeugen eigener Zertifikate empfiehlt sich die Verwendung von [http://sourceforge.net/projects/xca/ XCA].

'''Version: ''' 0.9.2 (oder höher)

== Durchführung ==

Um zwei Netzwerkteilnehmer (den VPN-Server und - Client) via Zertifikats-basiertem VPN-Tunnel miteinander zu verbinden, werden folgende Zertifikate und Schlüssel benötigt:

* ein sogenanntes '''Root CA Zertifikat''' inkl. '''Schlüssel''' (Private Key)
* ein VPN '''Server Zertifikat''' und dessen '''Schlüssel''' sowie
* ein VPN '''Client Zertifikat''' und dessen '''Schlüssel'''.

----
----
{{vorlage:xmenue01}}

VPN

2012-05-14T14:12:29Z

← Nächstältere Version		Version vom 14:12, 14. Mai 2012
(Der Versionsvergleich bezieht 1 dazwischen liegende Version mit ein.)
Zeile 55:		Zeile 55:
	== [[Bild:Openclipart-question-mark.png\|20px]] Sonstiges ==		== [[Bild:Openclipart-question-mark.png\|20px]] Sonstiges ==

-	~~'''~~VPN - Benötigtes Datenvolumen auf der SIM-Karte~~'''~~	+	=== VPN - Benötigtes Datenvolumen auf der SIM-Karte ===

	Das benötigte Datenvolumen je Monat hängt von der Art des VPNs und dessen Parameter-Einstellungen ab. Generell lässt sich sagen, dass für eine vom Router ausgehende VPN-Verbindung (VPN Client) ein '''Datenaufkommen zwischen 15 und 30 MByte/Monat''' zu veranschlagen ist.		Das benötigte Datenvolumen je Monat hängt von der Art des VPNs und dessen Parameter-Einstellungen ab. Generell lässt sich sagen, dass für eine vom Router ausgehende VPN-Verbindung (VPN Client) ein '''Datenaufkommen zwischen 15 und 30 MByte/Monat''' zu veranschlagen ist.
	<br><br>		<br><br>
		+
		+	----
		+
		+	=== Aufbau einer eigenen Zertifikatsverwaltung ===
		+
		+	In vielen Fällen ist es sinnvoll eine eigene Zertifikatsverwaltung zur Absicherung der VPN-Tunnel aufzubauen. Dies ist schnell und kostenlos möglich. Die folgende Anleitung beschreibt den Aufbau einer eigenen einfachen Zertifikatsverwaltung mittels [http://sourceforge.net/projects/xca XCA].
		+
		+	[[VPN-ZERTIFIKATE-VERWALTEN\|Eigene VPN Zertifikatsverwaltung]]<br>

	----		----

Bild:06.root-ca-schluessel.png

2012-05-14T13:32:04Z

hat „[[Bild:06.root-ca-schluessel.png]]“ hochgeladen

Neue Seite