wir betreiben die Kocobox zur Zeit im Parallelbetrieb mit einer Fritzbox. Die Fritzbox soll jetzt durch eine professionelle Firewall-Lösung (DSL-Modem + pfSense-Firewall-Appliance) ausgetauscht werden.
Frage: Geht das ? Laut Konnektor-Hersteller (CGM) muss der Router (also bis jetzt FB - in Zukunft pfSense) den "VPN Passthrough mit IPsec IKEv2" unterstützen. Bin gerade am Überlegen wie das bei der pfSense konfiguriert werden muss. Hab hierzu in der Rubrik Wiki den Beitrag "Benötigte offene Ports zur TI" gelesen
Hier werden an der Firewall outbound-Regeln für VPN definiert (UDP 500 und UDP 4500)...ist das das oben beschrieben "VPN passthrough" ? Reicht outbound? Ist nicht in beide Richtungen erforderlich?
ja, das funktioniert auf jeden Fall. Firewalls wie die pfSense kannst Du ja sehr feingliedrig konfigurieren und dementsprechend auch die nötigen Verbindungen für den Konnektor ermöglichen. Ja, outbound reicht, denn der Konnektor baut die VPN-Verbindung zur TI auf, nicht andersherum. Eingehende Verbindung hat man als "normale" Arztpraxis überlichweise überhaupt keine, höchstens einen VPN-Zugriff für Homeoffice-Arbeitsplätze.
"VPN passthrough" bedeutet im Übrigen nur, dass ein VPN-Tunnel an Router/Firewall vorbei etabliert werden können muss. Das sollte, wie gesagt, in Deinem Szenario völlig unproblematisch zu konfigurieren sein. Abschließend: Es ist ein Armutszeugnis für CGM, dass diese als Hersteller nicht Willens oder sogar nicht in der Lage sind, ihren Kunden hier konkreter zu helfen.
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Ich habe ehrlicherweise noch keine pfSense vor einem Konnektor konfiguriert, aber mir ist auf der anderen Seite auch noch nie zu Ohren gekommen, dass es mit irgendeinem professionellen Router/Firewall zu grundsätzlichen Problemen im Parallelbetrieb kommen würde. Letztenendes muss die pfSense ja lediglich die entsprechenden Pakete der Kocobox ins Internet durchlassen - und das lässt sich einstellen.
Wenn Vorhaben dieser Art Probleme aufwerfen, dann eher, weil ein Hersteller zu seiner Software oder seinem Gerät keine (korrekte) Dokumentation liefert. Wenn Du von CGM alles korrekt benannt bekommst, sollte es ohne weiteres klappen. Zur höchsten Not erstellst Du für die Kocobox eine "Allow Any-->Any"-Regel, dann wird für sie überhaupt nichts mehr geblockt. Alleine schon für Dein Verständnis der Technik solltest Du aber zunächst versuchen, in Sachen Freigaben Minimalismus walten zu lassen.
Zitat von Mit_Weitblick im Beitrag #2Es ist ein Armutszeugnis für CGM, dass diese als Hersteller nicht Willens oder sogar nicht in der Lage sind, ihren Kunden hier konkreter zu helfen.
Immerhin hat CGM inzwischen aber zumindest ein PDF rausgebracht, wo man die Firewallanforderungen für den VPN als Tabelle ganz konkret drin hat.
Junioruser1976
hat folgende Dateien an diesen Beitrag angehängt
Glaube auch in technischer Hinsicht eher nicht, dass sich da - jedenfalls grundsätzlich bzgl Protokolle/Ports - was dran geändert hat in letztere Zeit bei dem Thema. Höchstens vielleicht Zielserver IP/URL oder so könnte natürlich immer mal was sein, aber um das wirklich fachlich korrekt zu beurteilen müssen hier bitte andere ran, die mehr Erfahrung mit VPN Freigaben bei CGM haben, denn praktisch ausprobiert habe ich es in eigener Anlage bis heute selbst nicht, weil ich bei dem Thema bei meiner Firewall (UTM /Securepoint) mangels noch genügend eigenen Wissen zur genauen Funktionalität VPN lieber erstmal den Konnektor als eigene Netzwerkgruppe mit einem Netzwerkobjekt auf Any gelassen habe als einziges;-)
Denn ich bin der Meinung: ehe ich nicht erstmal grundsätzlich alle Ports und Protokolle etc. für VPN auch wirklich technisch soweit erstmal als Grundlagenwissen verstanden habe, dass ich die Angaben von CGM auch allgemein nachvollziehen kann, will ich da nichts "einfach so" nur aus der CGM Tabelle abschreiben. Außerdem wollte ich, als früher ti beginner auch erst einmal jeglicher Diskussion mit dem Support bei Fehlersuchen/TI Störungen aus dem Weg gehen, dass es ggf. "nur" an meiner Firewall liege, dass nichts läuft.
Jetzt läuft die TI soweit, dass ich es längst eigentlich mal wagen könnte, das mit den Regeln auf der UTM für den Konnektor mal anzugehen um von any weg zukommen- nur fehlt mir neben der Praxis im Moment die Zeit und das von der KZVN immer noch nicht ermöglichte TI Forschungsfreisemester , um mich mal in Ruhe in VPN Grundlagen zu vertiefen;-) somit muss das mit any- weiß ich, ist nicht schön, leider noch weiter warten vorerst;-)
1 Mitglied findet das Top!
1 Mitglied hat sich bedankt!
Zitat von Junioruser1976 im Beitrag #7von der KZVN immer noch nicht ermöglichte TI Forschungsfreisemester
Sehr schön! Ich würde Dich wählen, wenn Du Dich für eine leitende Funktion bei Gematik oder KZBV bewirbst!
Zitat von Junioruser1976 im Beitrag #7somit muss das mit any- weiß ich, ist nicht schön, leider noch weiter warten vorerst;-)
Ein echtes Problem ist es aber auch nicht. Wenn die Any-Regel nur für ausgehenden Verkehr gilt, wäre es ja höchstens der Konnektor selbst, der "Unerwünschtes" tun kann. Wenn man ihm misstraut, dürfte man ihn sich konsequenter Weise gar nicht erst in die Praxis holen. Der Konnektor ist ja durchaus auch als erster Router am Internet konzipiert (Stichwort: serieller Betrieb) und sollte sich gegen unerwünschte Anfrage von außen selbst "verteidigen" können, insofern wäre aus meiner Sicht sogar eine Any-Regel für eingehenden Verkehr kein Drama (wenngleich natürlich unnötig).
TI-Community
»
TI-Nutzung und Nutzen aus Anwendersicht
»
TI-Plattform - Hardware, Zugang, Einrichtung
»
Firewall mit Kocobox
Thema drucken
22.04.2024 13:30
Antworten
CGMFirewallanforderungenVPN.pdf
