IPsec

Kurze Zusammenfassung der Einstellungen für pfSense und Android. VPN Serverkonfiguration VPN –> IPsec –> Mobile Clients Mobile Client Support aktivieren User Authentication: Local Database Group Authentication: None Virtual Address Pool: beliebigen, nicht verwendeten Pool benutzen Virtual IPv6 Address Pool: ebenfalls beliebigen, nicht verwendeten Pool verwenden (bei Bedarf) pfSense unterstützt derzeit nicht das Vermischen von IPv4 und IPv6 im VPN Tunnel. D.h., dass zu einer IPv4 Gegenstelle auch nur IPv4 Traffic getunnelt werden kann und analog bei einer IPv6 Gegenstelle nur IPv6 getunnelt werden kann. Alle anderen Einstellungen nach Bedarf. ...

Seit einigen Jahren ist es mit Fritzboxen möglich, VPN Tunnel aufzubauen. Die Konfiguration ist auf der Box bewusst einsteigerfreundlich belassen, die Tunnelparameter sind größtenteils vorgegeben und können nicht verändert werden. Daher muss die Seite der pfSense Firwall sich anpassen. Mit pfSense 2.2.3 gab es ein Problem mit IPsec. Tunnel zu Fritzboxen haben damit nicht funktioniert. Es gab zunächst einen Workaround, inzwischen (ab 2.2.4) ist das Problem behoben (vgl. https://forum.pfsense.org/index.php?topic=87579.0) Sofern die Fritzbox keine feste, öffentliche IP Adresse hat, empfehle ich, sie bei MyFritz zu registrieren. Dadurch bekommt sie einen DynDNS-Namen. Dieser ist zwar relativ lang und nicht einfach zu merken, er muss aber in der Konfiguration nur zwei Mal eingetragen werden. Für den Zweck reicht das allemal. Das folgende Beispiel geht davon aus, dass die Fritzbox-Seite eine dynamische und die pfSense-Seite eine feste IP Adresse hat. ...

Der Aufbau einer IPsec Verbindung ist in zwei Phasen geregelt. Die Phase 1 gibt es in zwei Varianten, den “Main Mode” und den “Aggressive Mode”, wobei der Main Mode zu preferieren ist. Grob gesagt werden in Phase 1 die Verschlüsselungsparameter abgeglichen und in Phase 2 die Kommunikationen beschrieben (Encryption Domain). Bei Cisco wird die Phase 1 folgendermaßen konfiguriert: crypto isakmp policy 10 encr 3des authentication pre-share group 2 crypto isakmp key sicherer-key address IP.der.Gegen.stelle Es wird eine IKE Policy erstellt, in der der Verschlüsselungsalgorithmus, der Hash, die Authentifizierungsart und die DH-Gruppe definiert werden. In diesem Fall wird mit 3DES verschlüsselt, mit SHA-1 gehasht (Standard, daher nicht in der Konfig ersichtlich), mit dem Pre-Shared-Key “sicherer-key” authentifiziert und die DH-Gruppe 2 angewandt. Die Gegenstelle ist IP.der.Gege.stelle. Baut man mehrere VPNs und benötigt man aufgrund von Anforderungen der Gegenseiten andere Methoden, lassen sich weitere Policies erstellen. Dazu muss einfach die Sequenznummer erhöht werden und unter der neuen Nummer die Parameter gesetzt werden. Die beiden VPN-Partner werden sich dann hoffentlich einig. ...