Die Router von INSYS icom können als OpenVPN-Server agieren und/oder als OpenVPN-Client Verbindungen zu einem OpenVPN-Server aufbauen.

Situation

Der Router soll als Client in ein bestehendes OpenVPN-Netzwerk eingebunden werden.

Lösung

Mit dem Schnellstart-Assistenten des Routers kann neben der Konfiguration des Internet-Zugangs optional auch eine OpenVPN-Verbindung vorbereitet werden. Anschließend muss diese OpenVPN-Verbindung noch konfiguriert werden.

Es wird vorausgesetzt, dass die entsprechenden Zertifikate und Schlüssel zur Verfügung stehen sowie die Konfiguration des Servers bekannt ist. Für folgende Vorgehensweise wird davon ausgegangen, dass sich der Router in Werkseinstellungen befindet.

Konfiguration per Web-Interface

  1. Web-Interface des Routers mit einem Browser aufrufen: 192.168.1.1 [1]

  2. In der Kopfzeile im Web-Interface auf (Hilfetexte anzeigen) klicken, um die Inline-Hilfe einzublenden, die über hilfreiche Informationen zu den einzelnen Konfigurationsparametern verfügt.

  3. Im Menü Hilfe → Assistenten auf Schnellstart klicken.

    • Unter VPN-Verbindung OpenVPN vorbereiten auswählen. [2]

    • Den Internet-Zugang (WAN) und das Anlagen-Netzwerk (LAN) wie erforderlich konfigurieren und auf Assistent ausführen klicken.

      Dieser Schritt ist im Quick Installation Guide des jeweiligen Routers detailliert beschrieben und wird hier nicht näher ausgeführt.

  4. Im Menü Administration → Zertifikate im Abschnitt Zertifikate oder Schlüssel importieren die vom Betreiber des OpenVPN-Servers zur Verfügung gestellten Zertifikate und Schlüssel für den Client importieren. [3]

  5. Im Menü Interfaces → OpenVPN den vom Schnellstart-Assistenten angelegten OpenVPN-Tunnel aktivieren (Checkbox aktiv markieren) und bearbeiten ():

    • Beschreibung: einen geeigneten Namen für den Tunnel eintragen

    • Betriebsart: Client

    • Tunneln über Port (lokal / Gegenstelle): die vom OpenVPN-Server verwendeten Ports eintragen

    • Protokoll: das vom OpenVPN-Server verwendete Protokoll auswählen

    • CA-Zertifikat: das im vorhergehenden Schritt hochgeladene CA-Zertifikat auswählen

    • Zertifikat: das im vorhergehenden Schritt hochgeladene Client-Zertifikat auswählen

    • Privater Schlüssel: den im vorhergehenden Schritt hochgeladenen Client-Schlüssel auswählen

    • Verschlüsselungs- und Hashalgorithmus: die vom OpenVPN-Server verwendeten Einstellungen auswählen

    • IP-Adresse oder Domainname der Gegenstelle: die Adresse des OpenVPN-Servers eintragen

      Wenn der OpenVPN-Server zusätzlich einen statischen Schlüssel zur Authentifizierung und Verschlüsselung (tls-crypt) oder nur zur Authentifizierung (tls-auth) oder zusätzlich eine Benutzername/Passwort-Kombination für die Authentifizierung erfordert, müssen diese auch konfiguriert werden.

  6. Auf Einstellungen speichern klicken.

  7. Im Menü Netzfilter → IP-Filter die vom Schnellstart-Assistenten angelegten Filterregeln prüfen und gegebenenfalls anpassen. Dies ist beispielsweise erforderlich, wenn das Protokoll oder der Port für den OpenVPN-Tunnel angepasst wurden.

  8. Auf Einstellungen speichern klicken.

  9. Profil aktivieren durch Klick auf das blinkende Zahnrad in der Titelleiste ().

Funktionstest

  1. Im Menü Status → System Status prüfen, ob die WAN-Kette mit dem OpenVPN-Tunnel aufgebaut wird.

Fehlersuche

  • Ins Menü Status → Log-Ansicht wechseln und die Meldungen im Log OpenVPN prüfen.

  • Sie können die Netzfilter im Menü Netzfilter → IP-Filter vorübergehend deaktivieren, um herauszufinden, ob unzureichende Filtereinstellungen Verbindungen verhindern.

Zurück zu den Configuration Guides für die icom OS Smart Devices

Zurück zur Übersicht

1. Anmeldung je nach Konfiguration; Voreinstellung bei älteren Firmware-Versionen: Benutzername: insys, Kennwort: icom
2. Dies legt eine WAN-Kette mit einem OpenVPN-Tunnel mit den zugehörigen Firewall-Regeln an.
3. Für den Client handelt es sich dabei um das CA-Zertifikat, das Client-Zertifikat und den geheimen Client-Schlüssel. Die Zertifikate und der Schlüssel können auch in einem PKCS12-Container gebündelt sein. Ein Passwort kann für den Import erforderlich sein.