IPsec: Schulrouter Plus für IKEv2 Mutual RSA + MSCHAPv2 einrichten

Index

• IPsec: Schulrouter Plus für IKEv2 Mutual RSA + MSCHAPv2 einrichten

  • Schritt 1 - Erstellen von Zertifikaten

  • Schritt 2 - Mobile Clients

    • IKE Erweiterungen

  • Schritt 3 - Phase 1 Mobile Clients

    • Phase 1 Allgemeine Informationen

    • Phase 1 Vorschlag (Authentifizierung)

    • Phase 1 Vorschlag (Algorithmen)

  • Schritt 3 - Phase 2 Mobile Clients

    • Allgemeine Information

    • Lokales Netzwerk

    • Phase-2-Vorschlag (SA / Schlüsselaustausch)

  • Schritt 4 - IPsec-Benutzer hinzufügen

Mutual RSA + MSCHAPv2 über IKEv2 basiert auf einer Client-Zertifikat-Authentifizierung kombiniert mit Benutzername und Passwort über MSCHAPv2. Stellen Sie sicher, dass das Client-Zertifikat auf dem Gerät Ihrer Benutzer installiert ist.

Schritt 1 - Erstellen von Zertifikaten

Für Mutual RSA + MSCHAPv2 mit IKEv2 müssen Sie eine Root CA und ein Server-Zertifikat für Ihre Firewall erstellen.

Gehen Sie auf System ‣ Sicherheit ‣ Aussteller und klicken Sie auf Hinzufügen. Geben Sie ihm einen Beschreibenden Namen und wählen Sie als Methode Interne Zertifizierungsstelle erstellen. Erhöhen Sie die Lebensdauer und füllen Sie die Felder entsprechend Ihren lokalen Werten aus. Gehen Sie nun auf System ‣ Sicherheit ‣ Zertifikate und erstellen Sie ein neues Zertifikat für die Firewall selbst. Wichtig ist, dass Sie den Typ auf Server ändern. Der Common Name kann der Hostname der Firewall sein und als Alternative Name stellen Sie den FQDN Ihrer Firewall ein, wie sie auf der WAN-Seite bekannt ist. Dies ist sehr wichtig, da Ihr VPN abbricht, wenn der FQDN nicht mit dem des Zertifikats übereinstimmt.

Wenn Sie bereits eine CA haben, rollen Sie ein Serverzertifikat aus und importieren die CA selbst über System ‣ Sicherheit ‣ Aussteller und das Zertifikat mit dem Schlüssel in System ‣ Sicherheit ‣ Zertifikate.

Schritt 2 - Mobile Clients

Zuerst müssen wir das Netzwerk und die Authentifizierungsquelle des mobilen Clients einrichten. Gehen Sie zu VPN ‣ IPsec ‣ Mobile Clients

Für unser Beispiel werden die folgenden Einstellungen verwendet:

IKE Erweiterungen

Sie können auch andere Optionen auswählen, aber für dieses Beispiel lassen wir sie alle unmarkiert.

Speichern Sie Ihre Einstellungen und wählen Sie Phase1 erstellen, wenn es erscheint. Geben Sie dann die Einstellung für Mobile Client Phase 1 ein.

Schritt 3 - Phase 1 Mobile Clients

Phase 1 Allgemeine Informationen

Phase 1 Vorschlag (Authentifizierung)

Phase 1 Vorschlag (Algorithmen)

Die erweiterten Optionen sind standardmäßig in Ordnung.

Speichern Sie Ihre Einstellungen.

Schritt 3 - Phase 2 Mobile Clients

Drücken Sie die Taste mit der Aufschrift ‚+ Show 0 Phase-2 entries‘.

Sie sehen eine leere Liste:

Drücken Sie nun das + rechts neben dieser Liste, um einen Phase-2-Eintrag hinzuzufügen.

Allgemeine Information

Lokales Netzwerk

Phase-2-Vorschlag (SA / Schlüsselaustausch)

Speichern Sie Ihre Einstellungen und Enable IPsec, Wählen Sie:

Wenn Sie bereits IPsec aktiviert hatten und das Road Warrior-Setup hinzugefügt haben, ist es wichtig, den gesamten Dienst über das Dienste-Widget in der oberen rechten Ecke der IPSec-Seiten oder über System ‣ Diagnose ‣ Dienste ‣ Strongswan neu zu starten, da das Anwenden der Konfiguration diesen nur neu lädt, ein Neustart aber auch die benötigten Module von strongSwan lädt.

Schritt 4 - IPsec-Benutzer hinzufügen

Gehen Sie auf System ‣ Sicherheit ‣ Zertifikate und erstellen Sie ein neues Client-Zertifikat. Klicken Sie einfach auf Hinzufügen, wählen Sie Ihre CA und erhöhen Sie wahrscheinlich die Lebensdauer. Alles andere außer dem CN kann als Standard belassen werden. Geben Sie einen Common Name an und Speichern. Laden Sie das neu erstellte Zertifikat als PKCS12 herunter und exportieren Sie es auf Ihr Endgerät.

Wechseln Sie zu VPN ‣ IPsec ‣ Pre-Shared Schlüssel und drücken Sie Hinzufügen. Geben Sie Folgendes in das Formular ein: