VPN1

Navigation: Konfiguration > VPN > OpenVPN > VPN1

Diese Registerkarte konfiguriert die erste von zehn unabhängigen OpenVPN-Tunnel-Instanzen. Jeder Tunnel kann als Server oder Client betrieben werden und verfügt über eine eigene Zertifikats-, Protokoll- und Adresskonfiguration. Die Einstellungen auf dieser Registerkarte sind in der Struktur identisch mit VPN2 bis VPN10. Eine Übersicht aller konfigurierten Tunnel und globale OpenVPN-Einstellungen finden Sie auf der übergeordneten Seite OpenVPN. Änderungen werden nach Klick auf Anwenden wirksam, müssen jedoch über die Seite Speichern dauerhaft gesichert werden, um einen Neustart zu überstehen.

VPN1

Voraussetzungen

Mindestens ein für OpenVPN geeignetes Zertifikat muss auf der Seite Zertifikate hochgeladen sein. Sowohl Server als auch Client benötigen gültige Zertifikate, die von derselben Zertifizierungsstelle (CA) signiert sind.
Die Netzwerktopologie und IP-Adressierung für die VPN-Tunnel-Endpunkte muss geplant sein. Stellen Sie sicher, dass die Tunnel-IP-Subnetze nicht mit vorhandenen LAN- oder WAN-Subnetzen überlappen. Für Layer-3-Tunnel muss eine Tunnel-IP-Adresse auf der Seite IP-Konfiguration zugewiesen werden.
Wenn das Gerät als OpenVPN-Client fungiert, müssen Adresse und Port des entfernten OpenVPN-Servers bekannt sein.

Einstellungen

Grundeinstellungen

VPN-Instanz aktivieren: Aktiviert oder deaktiviert diese VPN-Tunnel-Instanz. Bei Deaktivierung wird der Tunnel nicht gestartet und keine Verbindung aufgebaut.
Schnittstellenmodus: Wählt den Verbindungsmodus, entweder Server oder Client. Im Server-Modus betreibt das Gerät einen TCP/UDP-Server, mit dem sich mehrere Clients verbinden können. Im Client-Modus baut das Gerät eine Verbindung zu einem entfernten Server auf.
Permanente Verbindung: Wenn bei einer Server-Instanz aktiviert, ist der Server stets aktiv. Wenn bei einer Client-Instanz aktiviert, verbindet sich der Client automatisch erneut, falls die Verbindung unterbrochen wird. Bei Deaktivierung kann die Verbindung über die Trigger VPN KEY, CUT oder ALARM, Modbus TCP oder die API gestartet werden.
Layer: Wählt die Netzwerkebene, auf der die OpenVPN-Schnittstelle arbeitet. Layer 2 überbrückt (Bridge) die VPN-Schnittstelle mit der LAN-Schnittstelle. Layer 3 weist der VPN-Schnittstelle eine eigene IP-Adresse zu, die auf der Seite IP-Konfiguration konfiguriert werden muss.
OpenVPN-Gerätetyp: Wählt den virtuellen Netzwerkgerätetyp für Layer-3-Tunnel. Verfügbare Optionen sind TUN und TAP. TAP ist auf diesem Gerätetyp der Standard. TUN-Verbindungen verwenden stets den OpenVPN-Topologiemodus subnet. Falls Subnetze hinter Clients im TUN-Modus erreichbar sein müssen, sind iroute-Einträge in der OpenVPN-Serverkonfiguration erforderlich. Diese Einträge stehen nur zur Verfügung, wenn die Routen zu den Subnetzen in der Client-Konfigurationstabelle auf dem Server konfiguriert sind. Beide VPN-Endpunkte müssen denselben Gerätetyp verwenden.
Serveradresse (nur im Client-Modus): Die Adresse des entfernten OpenVPN-Servers. Dies kann ein DNS-Name oder eine IP-Adresse sein.
Remote cert TLS type: server: Stellt sicher, dass das Serverzertifikat die TLS-Eigenschaften eines Serverzertifikats besitzt. Diese Option hilft, Man-in-the-Middle-Angriffe zu verhindern, indem die OpenVPN-Option remote-cert-tls server aktiviert wird.
Server-Port: Die TCP/UDP-Portnummer (z. B. 1194). Wenn eine Server-Instanz auf TCP-Port 443 aktiviert wird, muss der HTTPS-Webserver manuell auf der Seite Webserver deaktiviert werden. Jede konfigurierte Zugriffsbeschränkung für den Webserver gilt in diesem Fall auch für den OpenVPN-Server. Jede OpenVPN-Server-Instanz muss einen eigenen TCP/UDP-Port verwenden.
Protokoll: Das Transportprotokoll für diese VPN-Verbindung. UDP bietet etwas bessere Leistung und Stabilität, kann jedoch nicht durch HTTP-Proxys geleitet werden und wird von einigen Mobilfunkanbietern blockiert. TCP ist auf diesem Gerätetyp der Standard.
Zertifikat: Wählt das Zertifikat zur Authentifizierung gegenüber der Gegenstelle. Neue Zertifikate können auf der Seite Zertifikate hochgeladen werden. Zertifikate mit Extended Key Usage (EKU)-Feldern können nur als Serverzertifikat (EKU: TLS Web Server Authentication) oder als Clientzertifikat (EKU: TLS Web Client Authentication) verwendet werden. Alle mit einem Server verbundenen Clients und der Server selbst müssen Zertifikate derselben CA verwenden.
Mit Benutzername und Passwort authentifizieren: Aktiviert eine zusätzliche Authentifizierung mit Benutzername und Passwort neben der zertifikatsbasierten Authentifizierung.
Benutzername: Der Benutzername für die zusätzliche Authentifizierung. Nur sichtbar, wenn die Authentifizierung mit Benutzername und Passwort aktiviert ist.
Passwort: Das Passwort für die zusätzliche Authentifizierung. Nur sichtbar, wenn die Authentifizierung mit Benutzername und Passwort aktiviert ist.
Routen vom Server abrufen (nur im Client-Modus): Aktiviert die OpenVPN-Option pull, die Routen vom Server abruft, sofern der Server diese bereitstellt.
HTTP-Proxy verwenden (nur im Client-Modus): Ermöglicht OpenVPN-TCP-Clients, die VPN-Verbindung durch einen HTTP-Proxy zu tunneln. Für den Proxy erscheint der Datenverkehr als HTTPS-Webverkehr. Der systemweite HTTP-Proxy muss auf der Seite HTTP-Proxy konfiguriert sein.

Server-Modus-Einstellungen

Die folgenden Einstellungen sind nur sichtbar, wenn der Schnittstellenmodus auf Server gesetzt ist.

Erste IP-Adresse des Pools: Die Start-IP-Adresse für den Adresspool, aus dem den verbindenden Clients IP-Adressen zugewiesen werden. Der Adressbereich muss innerhalb des IP-Subnetzes der VPN-Schnittstelle liegen und darf sich nicht mit Adressen überschneiden, die bereits von einem DHCP-Server oder einer anderen Schnittstelle verwendet werden.
Client-zu-Client-Kommunikation erlauben: Aktiviert oder deaktiviert die OpenVPN-Option client-to-client, die steuert, ob Datenverkehr zwischen Clients, die mit dieser Server-Instanz verbunden sind, erlaubt ist.
OpenVPN-Server als Standard-Gateway pushen: Aktiviert die OpenVPN-Option push redirect-gateway def1, die alle verbundenen Clients so konfiguriert, dass ihr Standard-Gateway über die VPN-Verbindung geroutet wird. Die Route zum OpenVPN-Server selbst bleibt erhalten.
Route für LAN-Schnittstelle pushen: Pusht eine Route für das am lokalen LAN-Anschluss angeschlossene Netzwerk an alle verbundenen Clients.
Routen der statischen Routing-Tabelle pushen: Pusht alle Einträge der statischen Routing-Tabelle (konfiguriert auf der Seite IP-Routing) an die verbundenen Clients.

TLS-Einstellungen

Mindestversion: Legt die mindestens erforderliche TLS-Protokollversion für die VPN-Verbindung fest.
TLS-Schutz: Fügt eine zusätzliche HMAC-Authentifizierungsschicht über dem TLS-Steuerkanal hinzu. Verfügbare Optionen sind tls-auth, tls-crypt oder deaktiviert. Bei Verwendung von tls-auth wird der OpenVPN-Richtungsparameter automatisch auf 0 für Server-Instanzen und 1 für Client-Instanzen gesetzt.
Statischer Schlüssel: Wählt die Schlüsseldatei für den TLS-Schutz. Dieses Feld ist nur sichtbar, wenn der TLS-Schutz aktiviert ist. Die Schlüsseldatei kann auf der Seite Zertifikate hochgeladen werden.

Zusätzliche Einstellungen

Log-Level: Steuert die Ausführlichkeit der OpenVPN-Logmeldungen im Eventlog.
LZO-Komprimierung: Konfiguriert die OpenVPN-LZO-Komprimierungsoption. Nein deaktiviert die Komprimierung (Standard). Ja aktiviert die LZO-Komprimierung dauerhaft. Adaptiv verwendet einen adaptiven Algorithmus, der dynamisch ermittelt, ob eine Komprimierung vorteilhaft ist. Alle VPN-Endpunkte müssen dieselbe Komprimierungseinstellung verwenden.
Cipher: Wählt den Verschlüsselungsalgorithmus für die VPN-Verbindung. Der Standard-Cipher ist BF-CBC. Alle VPN-Endpunkte müssen denselben Cipher verwenden. Der Wert none kann für leistungskritische Layer-2-Tunnel in Intranets verwendet werden.
Authentifizierungsmethode: Wählt den HMAC-Authentifizierungsalgorithmus für die Paketauthentifizierung des Datenkanals.
Keepalive-Intervall: Zeit in Sekunden zwischen Keepalive-Ping-Nachrichten, die an den VPN-Partner gesendet werden.
Keepalive-Timeout: Zeit in Sekunden, nach der die VPN-Verbindung neu gestartet wird, wenn kein Ping-Paket vom VPN-Partner empfangen wurde.

ACHTUNG

Wenn eine Server-Instanz auf TCP-Port 443 aktiviert wird, muss der HTTPS-Webserver manuell auf der Seite Webserver deaktiviert werden. Andernfalls kommt es zu einem Port-Konflikt. Jede OpenVPN-Server-Instanz muss eine eigene TCP/UDP-Portnummer verwenden.

Sicherheit

Verwenden Sie starke Zertifikate mit ausreichender Schlüssellänge für OpenVPN-Tunnel. Zertifikate mit Extended Key Usage (EKU)-Feldern bieten eine zusätzliche Schutzebene, da Server- und Clientzertifikate nicht vertauscht werden können. Aktivieren Sie die Option Remote cert TLS type: server auf Client-Instanzen, um Man-in-the-Middle-Angriffe zu verhindern. Aktivieren Sie den TLS-Schutz (tls-auth oder tls-crypt), um eine HMAC-Authentifizierung über dem TLS-Steuerkanal hinzuzufügen, die Denial-of-Service-Angriffe abmildern hilft. Stellen Sie sicher, dass Paketfilter-Regeln den Datenverkehr durch VPN-Tunnel auf die notwendigen Protokolle und Ziele beschränken, gemäß den Anforderungen der IEC 62443 an Zonen und Übergänge.