Schritt 2: Einen SonicWall IPSec-Tunnel konfigurieren

Jamf Connect Dokumentation

Solution

Application

Jamf Connect

Content Type

Technische Dokumentation

Utilities & Services

ft:locale

de-DE

Important:

Wie bei allen Router-Änderungen empfiehlt Jamf dringend, diese Einstellungen sorgfältig und möglichst in einer Testumgebung zu konfigurieren, um unbeabsichtigte Betriebsunterbrechungen zu vermeiden.

Konfigurieren Sie eine Jamf Security Cloud VPN-Richtlinie:
1. Melden Sie sich an Ihrem SonicWall Router als Administrator an.
2. Navigieren Sie zu VPN > Settings (Einstellungen).
3. Klicken Sie im Abschnitt VPN Policies (VPN-Richtlinien) auf Add (Hinzufügen).
4. Wählen Sie im Tab General (Allgemein) für Authentication Method (Authentifizierungsmethode) die Option "IKE using Preshared Secret (IKE mit vorab freigegebenem Schlüssel)".
5. Geben Sie bei Name eine aussagefähige Bezeichnung ein.
6. Wählen Sie für die Einstellungen IPsec Primary Gateway Name or Address (Name bzw. Adresse des primären IPsec-Gateway) und IPsec Secondary Gateway Name or Address (Name bzw. Adresse des sekundären IPsec-Gateway) den Wert 0.0.0.0.
7. Fügen Sie unter IKE Authentication (IKE-Authentifizierung) in Shared Secret (Freigegebener Schlüssel) und Confirm Shared Secret (Freigegebenen Schlüssel bestätigen) den zuvor freigegebenen Schlüssel ein, den Sie bei der Konfiguration der IPSec-Interconnect-Verbindung in Jamf Security Cloud erstellt haben.
8. Wählen Sie für Local IKE ID (Lokale IKE-ID) die Option Domain Name (Domänenname). Geben Sie dann den Wert für Customer IKE Domain ID (Kunden-IKE-Domänen-ID) ein, den Sie bei der Einrichtung der IPSec-Interconnect-Verbindung in Jamf Security Cloud angegeben haben.
9. Wählen Sie für Peer IKE ID (Peer-IKE-ID) die Option Domain Name (Domänenname). Geben Sie dann wpa.wandera.com ein.
10. Klicken Sie oben im Fenster auf den Tab Network (Netzwerk).
11. Wählen Sie unter Local Networks (Lokale Netzwerke) das Adressenobjekt bzw. die Adressengruppe aus, welches bzw. welche die Subnetze definiert, in denen sich Ihre Server, Apps bzw. Workloads befinden.
  
  Important:
  Wenn Sie in Jamf Security Cloud das „Customer Subnet (Kunden-Subnetz)“ im IPSec-Interconnect-Assistenten auf 0.0.0.0/0 setzen, können Sie jedes beliebige Adressenobjekt bzw. jede beliebige Adressengruppe auswählen.
  
  Andernfalls müssen die bei Local Networks (Lokale Netzwerke) ausgewählten Netzwerke allen in Jamf Security Cloud definierten Kunden-Subnetzen entsprechen.
12. Wählen Sie für Destination Networks (Zielnetzwerke) die Option Create new address object (Neues Adressenobjekt erstellen).
13. Konfigurieren Sie in dem daraufhin angezeigten Fenster Folgendes:
  - Name —Eine Bezeichnung für das Jamf-seitige Netzwerk, z. B. JamfClientIPs.
  - Zone Assignment (Zonenzuordnung) —Normalerweise ist dies VPN. Ja nach Ihrer Routerkonfiguration müssen Sie ggf. jedoch eine andere Zone angeben.
  - Typ —Wählen Sie die Option Network (Netzwerk).
  - Netzwerk —Geben Sie die Netzwerkadresse an, die in Jamf Security Cloud in der Jamf Subnetzkonfiguration definiert wurde. Das Beispiel, das Jamf empfiehlt, lautet 192.168.233.0/24. Diesen Wert können Sie jedoch der Infografik in der Ansicht der IPSec-Interconnect-Verbindung entnehmen.
  - Netmask (Netzmaske) —Geben Sie das Subnetz für das oben genannte Netzwerk an, das Sie in Jamf Security Cloud eingetragen haben. Ein /24 Subnetz wird als 255.255.255.0 dargestellt.
14. Speichern Sie das Netzwerkobjekt und wählen Sie es im Fenster für die VPN-Richtlinie als Destination Network (Zielnetzwerk) aus.
15. Wählen Sie den Menüeintrag "Proposals (Vorschläge)".
16. Konfigurieren Sie die Felder unter IKE (Phase 1) folgendermaßen:
  - Exchange —IKEv2 Mode (IKEv2-Modus)
  - DH group (DH-Gruppe) —Gruppe 14
  - Verschlüsselung —AES-256
  - Authentifizierung —SHA512
  - Lifetime (Seconds) (Dauer (Sekunden)) —28800
17. Konfigurieren Sie die Felder unter IPSec (Phase 2) folgendermaßen:
  - Protokoll —ESP
  - Verschlüsselung —AES-256
  - Enable Perfect Forward Secrecy (Perfect Forward Secrecy aktivieren) —Yes (checked) (Ja (aktiviert))
  - DH group (DH-Gruppe) —Gruppe 14
  - Lifetime (Seconds) (Dauer (Sekunden)) —28800
18. Klicken Sie oben im Fenster auf den Tab Advanced (Erweitert).
19. Aktivieren Sie die Option Enable Keep Alive (Keep Alive aktivieren).
20. Stellen Sie sicher, dass VPN Policy Bound To (VPN-Richtlinie verbunden mit) eingestellt ist auf "Zone WAN" (oder auf die andere Zone, die gemäß Ihrer Firewall-Konfiguration zur Verbindung mit externen Verbindungen genutzt wird).
21. Klicken Sie auf OK, um die VPN-Richtlinie zu erstellen.
22. Aktivieren Sie das Markierungsfeld Enabled (Aktiviert) für die angezeigte VPN-Richtlinie.
  
  Wenn Ihre Konfiguration erfolgreich war, wird ein Eintrag für die VPN-Richtlinie im Tunnelabschnitt Currently Active VPN (Derzeit aktives VPN) angezeigt.
Wenn Sie im Feld IPsec Primary Gateway Name or Address (Name bzw. Adresse des primären IPsec-Gateway) den Wert 0.0.0.0 angeben, müssen Sie „Incoming IKEv2 Cyphers (Eingehende IKEv2-Schlüssel)“ konfigurieren:

Important:
Das Ändern dieser Konfiguration kann sich auf bereits vorhandene IKEv2-Tunnel auswirken, die eine Verbindung von einer beliebigen IP-Adresse aus herstellen. Tunnel mit fester IP-Adresse sind davon nicht betroffen. Prüfen Sie Ihre sonstigen VPN-Verbindungen, bevor Sie diese Änderung vornehmen.
1. Navigieren Sie zu VPN > Advanced Settings (Erweiterte Einstellungen).
2. Klicken Sie unter IKEv2 Settings (IKEv2-Einstellungen ) auf Configure (Konfigurieren).
3. Konfigurieren Sie in dem daraufhin angezeigten Fenster die folgenden Einstellungen so, dass sie den äquivalenten Einstellungen in Jamf Security Cloud entsprechen:
  - DH group (DH-Gruppe) —Gruppe 14
  - Verschlüsselung —AES-256
  - Authentifizierung —SHA512
4. Klicken Sie auf OK, um die Konfiguration zu speichern.
Erstellen und konfigurieren Sie eine Zugriffsregel:
Note:
- Wenn SonicOS nicht automatisch eine Zugriffsregel erstellt, müssen Sie ggf. eine Zugriffsregel definieren, die Datenverkehr vom Jamf Security Cloud Netzwerk zu Ihren Servern und Apps gestattet, damit der Datenverkehr durch den VPN-Tunnel fließen kann.
- Bei diesen Einstellungen wird davon ausgegangen, dass Sie typische Zonenkonfigurationen nutzen. Ändern Sie Ihre Zugriffsregeldetails nach Bedarf.
1. Navigieren Sie zu Firewall > Access Rules (Zugriffsregeln).
2. Klicken Sie auf Hinzufügen.
3. Konfigurieren Sie in dem daraufhin angezeigten Fenster das VPN wie folgt:
  - Aktion —Erlauben
  - From Zone (Von Zone) —VPN
  - To Zone (Zu Zone) —LAN
  - Service —Alle
  - Quelle —Wählen Sie das zuvor erstellte Jamf Adressenobjekt, z. B. JamfClientIPs.
  - Destination (Ziel) —Wählen Sie das Netzwerkadressenobjekt / die Netzwerkadressengruppe, das bzw. die oben in der VPN-Richtlinie definiert wurde.
  - Users Allowed (Zugelassene Benutzer) —Alle
  - Planen —Always on (Immer aktiv)
4. Klicken Sie auf OK, um die VPN-Richtlinie zu speichern.

Die sichere Verbindung wird erstellt. Es kann bis zu zehn Minuten dauern, bis die Verbindung hergestellt ist.

Wenn das VPN nicht im Abschnitt Active VPN tunnels (Aktive VPN-Tunnel) angezeigt wird, beachten Sie die Protokolle in der Benutzeroberfläche von SonicWall und filtern Sie diese nach VPN.

Häufige Fehler:

Schlüssel bei Jamf und SonicOS für den IPSec-/IKEv2-Tunnel stimmen nicht überein
Wenn die Funktion „Country Restriction“ (Länderbeschränkung) aktiviert ist, werden Jamf IP-Adressen möglicherweise als Unknown (Unbekannt) klassifiziert, was zu ihrer Abweisung führen kann. Fügen Sie dem Adressengruppenobjekt „Country and Botnet Exclusions“ (Länder- und Botnet-Ausschlüsse) Jamf IP-Adressenobjekt(e) hinzu, um dies zu beheben.