Erstellen Sie ein routenbasiertes VPN mit Verkehrsselektoren

Sie möchten ein routenbasiertes VPN (RBVPN) zwischen Ihrer Hauptniederlassung (HO) und einer Zweigniederlassung (BO) für bestimmte lokale und entfernte Subnetze erstellen und einrichten.

Bei einer Konfiguration mit Hauptsitz und Zweigstelle fungiert die Firewall in der Zweigstelle üblicherweise als Tunnelinitiator. Die Firewall im Hauptsitz fungiert als Responder. Dies hat folgende Gründe:

Da es üblicherweise viele Zweigstellen gibt, empfehlen wir, dass jede Zweigstelle die Verbindung erneut versucht, anstatt dass die Hauptniederlassung alle Verbindungen zu den Zweigstellen erneut versucht.
Wenn das Gerät in der Zweigstelle mit einer dynamischen IP-Adresse konfiguriert ist, kann das Gerät in der Hauptniederlassung keine Verbindung herstellen.

Wenn Sie jedoch dynamisches DNS (DDNS) auf der Sophos-Firewall in der Zentrale konfigurieren, kann das Gerät in der Zentrale die Verbindung herstellen. Weitere Informationen finden Sie unter [Link einfügen]. Fügen Sie einen dynamischen DNS-Anbieter hinzu..

Routenbasiertes VPN-Netzwerkdiagramm

In diesem Szenario initiiert die Zweigstelle die Verbindung.

Notiz

Die hier verwendeten Netzwerkadressen dienen lediglich als Beispiele. Verwenden Sie Ihre eigenen Netzwerkadressen, wenn Sie Ihr routenbasiertes VPN erstellen.

Hauptsitz

IP-Hosts für LANs erstellen

Erstellen Sie Hosts für die Netzwerke der Hauptniederlassung und der Zweigstellen.

Gehe zu Gastgeber und Dienstleistungen > IP-Host und klicken Hinzufügen.
Legen Sie die Einstellungen für das LAN der Hauptniederlassung fest.

Einstellung Wert

Name HO_LAN

IP-Version IPv4

Typ Network

IP-Adresse 192.168.1.0

Subnetz /24 (255.255.255.0)

Hier ein Beispiel:
Klicken Speichern.
Klicken Hinzufügen.
Legen Sie die Einstellungen für das LAN der Zweigstelle fest.

Einstellung Wert

Name BO_LAN

IP-Version IPv4

Typ Network

IP-Adresse 192.168.3.0

Subnetz /24 (255.255.255.0)
Klicken Speichern.

Einstellung	Wert
Name	`HO_LAN`
IP-Version	`IPv4`
Typ	`Network`
IP-Adresse	`192.168.1.0`
Subnetz	`/24 (255.255.255.0)`

Einstellung	Wert
Name	`BO_LAN`
IP-Version	`IPv4`
Typ	`Network`
IP-Adresse	`192.168.3.0`
Subnetz	`/24 (255.255.255.0)`

Routenbasiertes VPN konfigurieren

Um einen routenbasierten VPN-Tunnel zu erstellen, gehen Sie wie folgt vor:

Gehe zu Site-to-Site-VPN > IPsec und klicken Hinzufügen.
Geben Sie einen Namen ein.

Legen Sie die allgemeinen Einstellungen fest.

Einstellung	Wert
IP-Version	Der Tunnel leitet nur Daten weiter, die die angegebene IP-Version verwenden. Wählen Sie IPv4.
Verbindungstyp	Wählen Routenbasiert (Tunnelschnittstelle): Dadurch wird eine Tunnelschnittstelle zwischen zwei Endpunkten erstellt. Die Schnittstelle trägt den Namen `xfrm` gefolgt von einer Zahl.
Gateway-Typ	Wählen Sie den folgenden Gateway-Typ aus: Nur antworten: Hält die Verbindung bereit, auf jede eingehende Anfrage zu reagieren.
Beim Speichern aktivieren	Wählen Sie diese Option. Dadurch wird die VPN-Verbindung beim Klicken aktiviert. Speichern.

Beispiel:

Legen Sie die Verschlüsselungseinstellungen fest.

Einstellung	Wert
Profil	Das für den Datenverkehr zu verwendende IPsec-Profil. Wählen Hauptsitz (IKEv2).
Authentifizierungstyp	Wählen Sie folgenden Authentifizierungstyp aus: RSA-Schlüssel: Authentifiziert Endpunkte mithilfe von RSA-Schlüsseln. Der lokale RSA-Schlüssel wird automatisch generiert. Sie müssen den RSA-Schlüssel von der Sophos-Firewall der Zweigstelle kopieren und einfügen.

Einstellung

Wert

Profil

Das für den Datenverkehr zu verwendende IPsec-Profil.

Wählen Hauptsitz (IKEv2).

Authentifizierungstyp

Wählen Sie folgenden Authentifizierungstyp aus:

RSA-Schlüssel: Authentifiziert Endpunkte mithilfe von RSA-Schlüsseln.

Der lokale RSA-Schlüssel wird automatisch generiert. Sie müssen den RSA-Schlüssel von der Sophos-Firewall der Zweigstelle kopieren und einfügen.

Beispiel:

Legen Sie die Gateway-Einstellungen fest.

Einstellung	Wert
Zuhörschnittstelle	Schnittstelle, die auf Verbindungsanfragen wartet. Wählen Sie die WAN-Schnittstelle aus (Port2-172.20.120.10: ).
Gateway-Adresse	Geben Sie die WAN-IP-Adresse der Sophos-Firewall der Zweigstelle ein (`172.20.120.15`). Wenn die Gateway-Typ ist eingestellt auf Nur antworten: Sie können eine Platzhalteradresse verwenden (``Wenn Sie eine Platzhalteradresse verwenden, müssen Sie mindestens eine der folgenden Einstellungen festlegen: Lokaler ID-Typ* Und Lokale ID Remote-ID-Typ Und Remote-ID
Lokales Subnetz	`HO_LAN`
Remote-Subnetz	`BO_LAN`

Beispiel:

Klicken Speichern.
Gehe zu Profile > IPsec-Profile und stellen Sie sicher Erkennung toter Gleichaltrige ist aktiviert. Wir empfehlen Ihnen, eine der folgenden Aktionen auszuwählen, wenn der Peer (die Zweigstelle) nicht erreichbar ist:
- Halten
- Trennen
Um die XFRM-Oberfläche anzuzeigen, gehen Sie zu Netzwerk > Schnittstellen und klicken Sie auf die blaue Leiste neben der Schnittstelle, die Sie als die ausgewählt haben. Zuhörschnittstelle.

Hier ein Beispiel:

Zugriff erlauben

Gerätezugriff erlauben

Gehe zu Verwaltung > Gerätezugriff.
Unter IPsec, wählen VAN.
Unter Ping/Ping6, wählen VPN.
Klicken Anwenden.

Firewall-Regeln hinzufügen

Erstellen Sie Firewall-Regeln für eingehenden und ausgehenden VPN-Datenverkehr.

Gehe zu Regeln und Richtlinien > Firewall-Regeln.
Wählen IPv4 Protokoll.
Wählen Firewall-Regel hinzufügen und auswählen Neue Firewall-Regel.

Legen Sie die Einstellungen fest.

Einstellung	Wert
Regelname	`Inbound_Allow`
Firewall-Verkehr protokollieren	Wählen Sie die Einstellung.
Quellzonen	`VPN`
Quellnetzwerke und Geräte	`BO_LAN`
Zielzonen	`LAN`
Zielnetzwerke	`HO_LAN`

Beispiel:

Klicken Speichern.
Wählen IPv4 Protokoll und Auswahl Firewall-Regel hinzufügen. Wählen Neue Firewall-Regel.

Legen Sie die Einstellungen fest.

Einstellung	Wert
Regelname	`Outbound_Allow`
Firewall-Verkehr protokollieren	Wählen Sie die Einstellung.
Quellzonen	UND
Quellnetzwerke und Geräte	HO_LAN
Zielzonen	VPN
Zielnetzwerke	BO_LAN

Klicken Speichern.

Zweigstelle