Richten Sie einen IPsec-Tunnel für Ihr privates Netzwerk ein

IPsec richtet einen bidirektionalen, verschlüsselten Site-to-Site-Tunnel zwischen dem dedizierten Gateway Ihres privaten Netzwerks und einem VPN-Konzentrator auf Ihrer Seite, in Ihrem Unternehmensnetzwerk oder in einer Cloud-VPC ein. Sobald der Tunnel eingerichtet ist, wird der Datenverkehr zwischen den beiden Netzwerken verschlüsselt und authentifiziert, sodass SIMs auf Ressourcen in Ihrem Netzwerk zugreifen können und Ihr Netzwerk wiederum auf SIMs zugreifen kann.

Informationen zur Architektur des privaten Netzwerks und zur Einrichtung von WireGuard finden Sie unter Private Netzwerke und WireGuard-Einrichtung.

Übersicht

In den meisten IoT-Anwendungsfällen wird ein Anwendungsserver mit einer öffentlichen IP-Adresse verwendet, damit Geräte Daten über das öffentliche Internet übertragen können. Ein typisches Beispiel hierfür ist ein GPS-Tracker, der alle fünf Minuten Standortdaten an einen Server sendet.

In manchen Fällen ist stattdessen eine private Verbindung erforderlich. IPsec-Tunnel verbinden Ihr Unternehmens- oder Cloud-Netzwerk direkt mit dem Subnetz, das von Ihren SIM-Karten genutzt wird.

In der folgenden Konfiguration können SIM-Karten sowohl auf alle Ressourcen im Internet als auch auf private Ressourcen innerhalb Ihres Netzwerks zugreifen.

Es ist außerdem möglich, den gesamten SIM-Datenverkehr über den Tunnel zu leiten, sodass Sie Ihr eigenes Internet-Gateway betreiben und den gesamten ein- und ausgehenden Datenverkehr kontrollieren können.

Einen IPsec-Tunnel einrichten

Bevor Sie den Tunnel konfigurieren, richten Sie Ihr privates Netzwerk ein und stellen Sie einen VPN-Konzentrator bereit. Die grundlegenden Schritte lauten wie folgt:

Ein privates Netzwerk einrichten. Siehe Private Netzwerke und WireGuard-Einrichtung.
Stellen Sie einen VPN-Konzentrator mit einer öffentlichen IP-Adresse in Ihrem Unternehmens- oder Cloud-Netzwerk bereit. Simbase empfiehlt pfSense falls Sie noch keinen betreiben.
Konfigurieren Sie den IPsec-Tunnel im Simbase-Dashboard.
Konfigurieren Sie den IPsec-Tunnel auf Ihrem VPN-Konzentrator entsprechend.

Testen Sie den Tunnel in einer Laborumgebung, bevor Sie ihn in der Produktion einsetzen. Die genauen Schritte hängen vom Hersteller und der Software Ihres Konzentrators ab. Lesen Sie dazu die entsprechende Dokumentation und ziehen Sie bei größeren oder komplexeren Konfigurationen gegebenenfalls einen Netzwerktechniker hinzu.

IPsec konfigurieren (Simbase-Dashboard)

Allgemeines

Einstellung	Beschreibung
Version des Schlüsselaustauschs	Stellt die Verbindung über den Tunnel her. IKEv2 ist schneller und sicherer als IKEv1 und wird bevorzugt, sofern Ihr Konzentrator dies unterstützt. Wählen Sie „auto“, wenn Sie sich nicht sicher sind.
Simbase-IP-Adresse	Die IP-Adresse des Simbase-VPN-Konzentrators. Notieren Sie sich diese – Sie benötigen sie bei der Konfiguration auf Ihrer Seite.
Remote-IP-Adresse	Die öffentliche IPv4-Adresse Ihres VPN-Konzentrators.
Vorab vereinbarter Schlüssel	Authentifiziert beide Enden des Tunnels. Verwenden Sie einen langen, zufällig generierten Schlüssel oder übernehmen Sie den vorgeschlagenen Schlüssel. Vermeiden Sie Sonderzeichen. Geben Sie den Schlüssel niemals weiter – jeder, der diesen Schlüssel besitzt, kann den Tunnel kompromittieren.

Einstellung

Version des Schlüsselaustauschs
Simbase-IP-Adresse
Remote-IP-Adresse
Vorab vereinbarter Schlüssel

Phase 1 (Key exchnage)

Einstellung	Beschreibung
Verschlüsselungsalgorithmus	Verschlüsselt den Datenverkehr beim Schlüsselaustausch. Für ein optimales Verhältnis zwischen Sicherheit und Leistung wird AES128-GCM (128 Bit) empfohlen.
Hash-Algorithmus	Überprüft die Integrität des Schlüsselaustauschverkehrs. SHA256 wird empfohlen. SHA1 gilt allgemein als unsicher und sollte vermieden werden.
DH-Gruppenschlüssel	Diffie-Hellman-Gruppe für den Schlüsselaustausch. Empfohlen wird die DH-Gruppe 14 (2048 Bit).
Lebensdauer	Die Dauer der Phase-1-Sitzung in Sekunden, bevor eine Neuverhandlung stattfindet. 28800 ist ein sinnvoller Standardwert. Stellen Sie einen Endpunkt auf diesen Wert und den anderen auf mindestens 10 % darüber (z. B. 31680), um Überschneidungen zu vermeiden. Bereich: 20000–86400 Sekunden.
Erkennung inaktiver Peers	Überprüft mithilfe von IKEv2-INFORMATIONAL-Austauschen oder IKEv1-R_U_THERE-Nachrichten, ob der Peer noch aktiv ist. Wird nur ausgeführt, wenn während der konfigurierten Verzögerungszeit kein IKE- oder ESP/AH-Paket empfangen wurde. Bei Unsicherheit auf „deaktiviert“ setzen.

Einstellung

Verschlüsselungsalgorithmus
Hash-Algorithmus
DH-Gruppenschlüssel
Lebensdauer
Erkennung inaktiver Peers

Phase 2 (Data session)

Einstellung	Beschreibung
SIM-Netz	Das von Ihren SIM-Karten verwendete Subnetz. Fest vorgegeben, kann nicht geändert werden.
Fernnetzwerk	Das Subnetz auf Ihrer Seite des Tunnels in CIDR-Notation. Setzen Sie den Wert auf 0.0.0.0/0, um den gesamten SIM-Datenverkehr in Ihr Netzwerk weiterzuleiten.
ESP	Encapsulating Security Payload: Ist für die Verschlüsselung und Authentifizierung des Tunnelverkehrs zuständig. Kann nicht geändert werden.
Verschlüsselungsalgorithmus	Verschlüsselt den Tunnelverkehr. Es wird AES128-GCM (128 Bit) empfohlen.
Hash-Algorithmus	Überprüft die Integrität des Tunnelverkehrs. SHA256 wird empfohlen. SHA1 gilt allgemein als unsicher und sollte vermieden werden.
DH-Gruppenschlüssel	Diffie-Hellman-Gruppe für die Datensitzung. Es wird die DH-Gruppe 14 (2048 Bit) empfohlen.
Lebensdauer	Die Dauer der Datensitzung in Sekunden bis zur erneuten Schlüsselgenerierung. Muss länger sein als die Laufzeit von Phase 1. Setzen Sie einen Endpunkt auf diesen Wert und den anderen auf einen Wert, der mindestens 10 % höher ist, um Überschneidungen zu vermeiden. Bereich: 1800–7200 Sekunden.

Einstellung

SIM-Netz
Fernnetzwerk
ESP
Verschlüsselungsalgorithmus
Hash-Algorithmus
DH-Gruppenschlüssel
Lebensdauer

IPsec konfigurieren (auf Ihrer Seite)

Wie Sie IPsec auf Ihrer Seite konfigurieren, hängt von Ihrem Konzentrator ab. Die folgende Demo führt Sie durch den Vorgang in pfSense.

Welche Konzentratoren kann ich verwenden?Jeder Konzentrator, der Standard-IPsec unterstützt, einschließlich Cisco ASA, Palo Alto und Fortinet, ist geeignet.

Übersicht

Einen IPsec-Tunnel einrichten

IPsec konfigurieren (Simbase-Dashboard)

Allgemeines

Phase 1 (Key exchnage)

Phase 2 (Data session)

IPsec konfigurieren (auf Ihrer Seite)

Verwandte Themen