Tutorial: Einrichtung einer zertifikatsbasierten IKEv2-VPN-Verbindung (RSA)

Ausgangsszenario: Zwei R&S®NC-Router sind über eine WAN-Verbindung miteinander verbunden und sollen mit Hilfe einer zertifikatsbasierten IKEv2-VPN-Verbindung sicher miteinander kommunizeiren. Als Router kommen R&S®NC Central Site Gateways, WLAN Controller oder R&S®NC-Router mit aktivierter VPN 25-Option (bei Verwendung der Smart Certificate Funktion) in Frage.

Anmerkung: Eine bestehende WAN-Verbindung zwischen beiden Geräten wird vorausgesetzt.

Anmerkung: Die Zertifikate für die beteiligten R&S®NC-Router wurden bereits erstellt.

Aktivieren der Zertifizierungsstellen-Funktion im R&S®NC-Router der Zentrale

Anmerkung: In diesem Konfigurationsbeispiel soll der R&S®NC-Router in der Zentrale als CA für die Erstellung der Zertifikate verwendet werden (Smart Certificate Funktion). Wenn Sie Zertifikate einer anderen CA verwenden möchten, müssen Sie die CA des R&S®NC-Routers nicht verwenden und können diesen Konfigurationsschritt überspringen.
1. Öffnen Sie die Konfiguration des R&S®NC-Routers der Zentrale in LANconfig und wechseln Sie in das Menü Zertifikate > Zertifizierungsstelle (CA).
2. Haken Sie die Option Zertifizierungsstelle (CA) aktiviert an. Der R&S®NC-Router soll als Haupt-Zertifizierungsstelle (Root-CA) arbeiten.
  
  Anmerkung: Alle anderen Parameter belassen wir in diesem Konfigurationsbeispiel bei den voreingestellten Werten.
Hochladen der Zertifikate in die R&S®NC-Router
1. Führen Sie jeweils einen rechten Mausklick auf den R&S®NC-Router in LANconfig aus und wählen Sie die Option Konfigurations-Verwaltung > Zertifikat oder Datei hochladen.
2. Wählen Sie im folgenden Dialog die jeweilige Zertifikatsdatei für den R&S®NC-Router aus.
3. Im Feld Zertifikattyp müssen Sie einen VPN-Container auswählen.
4. Im Feld Zert.-Passwort müssen Sie das Passwort der Zertifikatsdatei eintragen. Klicken Sie dann auf Öffnen um den Hochladevorgang zu starten.
Konfigurieren der zertifikatsbasierten VPN-Verbindung im R&S®NC-Router der Zentrale
1. Starten Sie den Setup-Assistent in LANconfig und wählen Sie die Option Zwei lokale Netze verbinden (VPN).
2. Es soll eine IKEv2-VPN-Verbindung erstellt werden.
3. IPSec-over-HTTPS wird in diesem Konfigurationsbeispiel nicht verwendet.
4. Geben Sie eine Namensbezeichnung für den R&S®NC-Router auf der Gegenseite an.
5. In den folgenden zwei Dialogen können Sie beliebige Werte eintragen, da diese später in der Konfiguration des R&S®NC-Routers manuell durch Zertifikats-Authentifizierungs-Parameter ersetzt werden.
6. Da der R&S®NC-Router in der Zentrale die VPN-Verbindung annimmt, muss keine Gateway-Adresse eingetragen werden. Geben Sie das lokale Netzwerk an, welches auf der Gegenseite erreicht werden soll.
7. Klicken Sie auf Fertig stellen um den Setup-Assistent zu beenden und die Konfiguration in den R&S®NC-Router zurück zu schreiben.
8. Öffnen Sie die Konfiguration des R&S®NC-Routers in LANconfig und wechseln Sie in das Menü VPN > IKEv2/IPSec > Authentifizierung.
9. Wählen Sie den bestehenden Eintrag für die zertifikatsbasierte VPN-Client-Verbindung aus (hier: FILIALE).
10. Passen Sie die Parameter für die lokale und entfernte Authentifizierung jeweils auf die Werte RSA-Signature und ASN.1 Distinguished Name an.
11. Tragen Sie als lokale Identität den Namen des Zertifikats vom R&S®NC-Router der Zentrale ein.
12. Tragen Sie als entfernte Identität den Namen des Zertifikats vom R&S®NC-Router der Filiale ein.
13. Schreiben Sie die Konfiguration in den R&S®NC-Router der Zentrale zurück.
Konfigurieren der zertifikatsbasierten VPN-Verbindung im R&S®NC-Router der Filiale
1. Starten Sie den Setup-Assistenten in LANconfig und wählen Sie die Option Zwei lokale Netze verbinden (VPN).
2. Es soll eine IKEv2-VPN-Verbindung erstellt werden.
3. IPSec-over-HTTPS wird in diesem Konfigurationsbeispiel nicht verwendet.
4. Geben Sie eine Namensbezeichnung für den R&S®NC-Router auf der Gegenseite an.
5. In den folgenden zwei Dialogen können Sie beliebige Werte eintragen, da diese später in der Konfiguration des R&S®NC-Routers manuell durch Zertifikats-Authentifizierungs-Parameter ersetzt werden.
6. Der R&S®NC-Router in der Filiale soll die VPN-Verbindung zur Zentrale aufbauen.
7. Da der R&S®NC-Router in der Filiale die VPN-Verbindung zur Zentrale aufbaut, muss die Gateway-Adresse der Zentrale eingetragen werden.
8. Geben Sie das lokale Netzwerk an, welches auf der Gegenseite erreicht werden soll.
9. Klicken Sie auf Fertig stellen um den Setup-Assistenten zu beenden und die Konfiguration in den R&S®NC-Router zurück zu schreiben.
10. Öffnen Sie die Konfiguration des R&S®NC-Routers in LANconfig und wechseln Sie in das Menü VPN > IKEv2/IPSec > Authentifizierung.
11. Wählen Sie den bestehenden Eintrag für die zertifikatsbasierte VPN-Verbindung aus (hier: ZENTRALE).
12. Passen Sie die Parameter für die lokale und entfernte Authentifizierung jeweils auf die Werte RSA-Signature und ASN.1 Distinguished Name an.
13. Tragen Sie als lokale Identität den Namen des Zertifikats vom R&S®NC-Router der Filiale ein.
14. Tragen Sie als entfernte Identität den Namen des Zertifikats vom R&S®NC-Router der Zentrale ein.
15. Schreiben Sie die Konfiguration in den R&S®NC-Router der Filiale zurück.
Die zertifikatsbasierte IKEv2-VPN-Verbindung zur Zentrale wird nach kurzer Zeit aufgebaut.