Seitenhistorie

Beschreibung:

Description:

This document describes how to use the Dieses Dokument beschreibt die initiale Konfiguration zur Verwendung einer LANCOM R&S® Unified Firewall als zentrales Gateway in der LANCOM Management Cloud (LMC) mit gleichzeitiger Nutzung der SD-Security-Funktionalität für das von der LMC verwaltete lokale Netzwerk und deren Komponenten.

...

to configure a LANCOM R&S®Unified Firewall to operate as a central gateway that uses the SD-Security feature to protect the local network and its components as managed by the LMC.

Requirements:

• LANCOM R&S® Unified Firewall mit Firmware ab Version S®Unified Firewall with firmware version 10.6 or later
• LANCOM managed Switchswitch
• Optional: LANCOM Access Points für WLAN-Zugang mit LCOS ab Version access points for wireless access with LCOS version 10.50 or later (download aktuelle Versionlatest version)
• LANtools ab Version from version 10.50 (download aktuelle Versionlatest version)
• Web -Browser zur Konfiguration der browser for configuring the Unified Firewall und and LMC. Es werden folgende Browser unterstütztThe following browsers are supported:
  • Google Chrome
  • Chromium
  • Mozilla Firefox
• LMC Zugang access (kostenpflichtig) mit vorhandenem LMC-Projekt und Lizenzen für alle eingesetzten LANCOM Geräte
• Funktionaler Internetzugang für den Kontakt zur LMC

Szenario:

• subject to charge) with an existing LMC project and licenses for all LANCOM devices used
• Functional Internet access for contact to the LMC

Scenario:

• A completely new local network is to be configured, in which the LANCOM R&S®Unified Firewall is to operate as a central gateway (e.g. for providing Internet access & a DHCP server for the local network) in addition to its security tasks.
• The local network and all of its components (in this case the
• Es soll ein komplett neues lokales Netzwerk konfiguriert werden, in welchem die LANCOM R&S®Unified Firewall neben den Sicherheitsaufgaben auch die Funktionen eines zentralen Gateway (wie z.B. Bereitstellung Internetzugang & DHCP-Server für lokales Netzwerk) übernehmen soll.
• Das lokale Netzwerk und alle verwendeten Komponenten (hier LANCOM R&S®Unified Firewall, LANCOM Managed Switch und einige LANCOM Access Points) sollen von der and some LANCOM access points) are to be managed by the LANCOM Management Cloud (LMC) verwaltet werden.
• In der the LMC soll , SD-Security zur optimalen Absicherung des lokalen Netzwerkes eingesetzt werden.

Ausgangslage:

• is to be used to optimize the protection of the local network.

Initial situation:

• A router provides an Internet connection and operates as the DHCP server that manages the local network with the address range Ein beliebiger Router stellt eine Internet-Verbindung zur Verfügung und gibt intern das lokale Netzwerk mit dem Adressbereich 192.168.91.0/24 als DHCP-Server aus.
• Alle LANCOM-Kompontenten, die im lokalen Netzwerk verwendet werden, befinden sich im Auslieferungszustand und erhalten vom vorgeschalteten Router eine IP-Adresse aus dem Netzwerk All of the LANCOM components used in the local area network are in their factory settings and have received an IP address from the network 192.68.91.0/24 from an upstream router.
• Die Konfigurationsoberfläche der LMC im Internet kann mit einem Konfigurations-PC, der am zentralen Switch angeschlossen ist, erreicht werden.
  • Die LMC ist ausreichend lizenziert (siehe Voraussetzungen), es ist ein Projekt und ein Standort in der LMC konfiguriert.

Image Removed

Soll-Zustand:

• The configuration interface of the LMC can be reached via the Internet from a configuration PC connected to the central switch.
• The LMC is licensed correctly (see requirements), and a project and a site have been configured in the LMC.

Image Added

Target situation:

• The router should continue to provide Internet The LMC does not manage this device.
• A DHCPoE connection is used to convert the previous local network
• Der beliebige Router soll weiterhin die Internet-Verbindung zur Verfügung stellen. Er wird NICHT von der LMC verwaltet.
• Das bisherige lokale Netzwerk 192.168.91.0/24 wird per DHCPoE-Verbindung zum Transfer-Netz umfunktioniert, über welches die Unified Firewall ihren WAN-Zugang am Port eth0 bezieht.into an intermediate network, which is used by the Unified Firewall for WAN access via port eth0.
• The local network should then be given the IP address range Das lokale Netzwerk soll dann den IP-Adressbereich 192.168.0.0/24 erhalten und die Unified Firewall soll als zentrales Gateway die lokalen IP-Adressen per DHCP an alle Netzwerk-Komponenten verteilen. Das neue lokale Netzwerk wird am Port eth1 der Unified Firewall ausgegeben. and the Unified Firewall, as a central gateway, distributes the local IP addresses to the various network components by means of DHCP. The new local network is on port eth1 of the Unified Firewall.
• A second local network with the IP address range Ein zweites lokales Netzwerk mit dem IP-Adressbereich 172.16.0.0/24, welches keinen Zugriff auf das Firmen-Netz besitzt (Trennung per VLAN), soll für Gäste des Unternehmens verwendet werden. Es wird ebenfalls am Firewall-Port eth1 ausgegeben.
  
• Einer oder meherere LANCOM Access Points stellen WLAN-Netzwerke für Mitarbeiter und Gäste des Unternehmens zur Verfügung.

Image Removed

Vorgehensweise:

1. Grundkonfiguration der Unified Firewall mit dem Setup-Assistent:

1.1 Öffnen Sie die Konfigurationsoberfläche der Unified Firewall im Webbrowser (https://<lokale IP-Adresse der Firewall>:3438) und ändern Sie im ersten Schritt das Administrator- und Support-Passwort in eines Ihrer Wahl.

1.2 Klicken Sie dann auf Akzeptieren und Anmelden.

Image Removed

1.3 Verwenden Sie nach der erneuten Anmeldung den deutschen Setup-Assistent.

Image Removed

1.4 Es wird kein Konfigurations-Backup eingespielt.

Image Removed

• which has no access to the company network (separated by VLAN), is to be used by visitors to the company. This is also provided via the firewall port eth1.
• One or more LANCOM access points supply Wi-Fi networks for employees and visitors to the company.

Image Added

Procedure:

1. Basic configuration of the Unified Firewall with the setup wizard:

1.1 Open the configuration interface of the Unified Firewall in the web browser (https://<local IP address of the firewall>:3438) and, as the first step, change the Administrator and Support passwords to ones of your choice.

1.2 Now click on Accept & login.

Image Added

1.3 After logging in again, use the English-language setup wizard.

Image Added

1.4 Since there is no backup to import, Continue without backup.

Image Added

1.5 Configure the general settings according to your requirements1.5 Konfigurieren Sie die allgemeinen Einstellungen nach Ihren Wünschen.

1.6 Das Ethernet-Interface eth0 wird für den Internet-Zugang verwendet, Der Internetzugriff muss auf DHCP eingestellt seinThe Internet interface is the Ethernet interface eth0, and the setting for Internet access must be DHCP.

1.7 Deaktivieren Sie die LAN-Konfigurationen auf den Interfaces eth1 und Disable the LAN configurations for the interfaces eth1 and eth2.

Leave the configuration of the eth3 interface activated with the default settings. Should an error occur during the configuration of the Unified Firewall, you always have the option of accessing the device directly via an Ethernet interfaceDie Konfiguration des Interface eth3 können Sie in den Standard-Einstellungen aktiviert belassen. So haben Sie im Fall, dass bei der Konfiguration der Unified Firewall ein Fehler auftritt, immer die Möglichkeit, das Gerät über ein Ethernet-Interface zu erreichen.

1.8 Bestätigen Sie den folgenden Dialog mit Confirm the dialog that follows with OK.

1.9 Lesen Sie sich die Informationen der Zusamenfassung durch und klicken Sie dann auf Fertigstellen um die Grundkonfiguration abzuschließenCheck the Summary information and then click Finish to complete the basic configuration.

2.

...

Network and device configuration in the LMC:

2.1

...

Checking the required pre-settings & generating an activation code:

2.1.1 Öffnen Sie die Konfigurationsoberfläche der LMC im Webbrowser und wechseln Sie in das Projekt, in welchem Sie die Konfiguration für Ihr Szenario durchführen möchtenOpen the LMC configuration interface in your web browser and switch to the project where you want to configure your scenario.

2.1.2 Stellen Sie sicher, dass im Menü Projektvorgaben → Inbetriebnahme von Geräten die Option "Default Netze keim Konfigurations-Rollout..." aktiviert istIn the menu Project specifications → Device startup, make sure that the option “Disable default networks during configuration rollout...” is enabled.

2.1.3 Wechseln Sie in das Menü Projektvorgaben → SDN und stellen Sie sicher, dass neben Switch to the menu Project specifications → SDN and make sure that the SD-SECURITY feature is also activated along with SD-WAN, SD-LAN und and SD-WLANauch die Funktion SD-Security aktiviert ist.

2.1.4 Wechseln Sie in das Menü Geräte → Aktivierungscodes und klicken Sie auf die Schaltfläche Aktivierungscode erstellenGo to the menu item Devices → Activation codes and click the button Create activation code.

2.1.5 Wählen Sie einen gewünschten Gültigkeitszeitraum aus und klicken Sie auf Jetzt generierenSelect the validity period you want and click on Generate now.

2.1.6 Kopieren Sie den erstellten Aktivierungscode in die Zwischenablage und speichern Sie diesen z.B. in einer *.txt-Datei auf Ihrem Konfigurations-Copy the new activation code to the clipboard and save it, for example, as a *.txt file on your configuration PC.

2.2

...

Creating the local networks:

2.2.1 In diesem Konfigurationsbeispiel wurde der Standard-IP-Adressbereich des vorhandenen Netzes INTRANET auf den Adressbereich this example configuration, the default IP address range of the INTRANET network will be changed to 192.168.0.0/16 angepasst. Sie können jedoch auch den Standard-Bereich verwenden. Alle anderen Einstellungen dieses Netzes wurden bei den Standard-Einstellungen belassen.. You can, however, also use the default range. All other settings for this network have been left at the default values.

2.2.2 Wechseln Sie in das Menü Standorte → <Standortname> → NetzeNavigate to the menu Sites → <site name> → Networks.

2.2.3 Weisen Sie Ihrem Standort das NETZ INTRANET zuAssign the network INTRANET to the site.

2.2.4 Wechseln Sie wieder in das Menü Netze und erstellen Sie eines neues Netz, welches später für ein Gast-WLAN verwendet werden sollGo back to the Networks menu and add a new network, which is later to be used for the guest Wi-Fi.

2.2.5 Vergeben Sie einen Namen und eine Beschreibung für das neue Netz.5 Enter a name and a description for the new network.

• In this example the address range is changed to Als Adressbereich wird in diesem Beispiel 172.16.0.0/16 verwendet.
• Weisen Sie dem Netz unter Daten netzspezifisch markieren unbedingt eine VLAN-ID zu (hier 999).
  
• .
• Under Tag network data, be sure to assign a VLAN ID (in this case 999) to the network.
• Leave all other parameters as their default valueAlle anderen Parameter belassen Sie bei den Standard-Einstellungen.

2.2.6 Das neue Netz müssen Sie nun auch wieder im Menü Standorte → <Standortname> → Netze Ihrem Standort zuweisenThe new network now has to be assigned to your site under Sites →<site name> → Networks.

3.

...

Pairing the Unified Firewall

...

with the LMC:

3.1 Öffnen Sie die Konfiguration der Unified Firewall im WebbrowserOpen the configuration of the Unified Firewall in a web browser.

3.2 Wenn Sie sich das erste Mal nach durchgeführter Grundkonfiguration an der Konfigurationsoberfläche der Unified Firewall anmelden, werden Ihnen die für den Internet- und Mail-Zugang benötigten Proxy-CA-Zertifikate zum Download angeboten.The first time you login to the configuration interface of the Unified Firewall after completing the basic configuration, you will be asked to download the proxy CA certificates required for Internet and e-mail access.

3.3 Wechseln Sie in das Menü 3 Switch to the menu Firewall → LMC -EinstellungenSettings.

• Activate the pairing feature.
• Enter the activation code that you created in step
• Aktivieren Sie die Kopplungs-Funktion.
• Tragen Sie im Feld Aktivierungscode den Code ein, welchen Sie im Schritt 2.1.5 erstellt haben into the Activation Code box.

3.4 Klicken Sie dann auf SpeichernThen click on Save.

4.

...

Creating the W-Fi networks (SSIDs):

4.1 Öffnen Sie die Konfigurationsoberfläche der LMC und wechseln Sie in das Menü NetzeOpen the configuration interface for the LMC and navigate to the Networks menu item.

4.2 Markieren Sie zunächst das Netz INTRANET und wechseln Sie im unteren Menü auf die Registerkarte WLANFirst mark the network INTRANET and, in the lower menu, switch to the Wi-Fi tab.

4.3 Klicken Sie auf die Schaltfläche Neue WLAN SSID erstellen.Click the button Create new Wi-Fi SSID.

• In this example, the INTRANET network should support a Wi-Fi network with the SSID “Company” for the employees. Employees login to this using a password In diesem Beispiel soll im Netzwerk INTRANET ein WLAN-Netzwerk mit der SSID "Company" für die Mitarbeiter zur Verfügung gestellt werden, an welchem sich die Mitarbeiter mit einem Passwort (WPA-PSK) anmelden müssen.

4.4 Klicken Sie auf SpeichernThen click on Save.

4.5 Markieren Sie dann das Netz GAST und wechseln Sie im unteren Menü auf die Registerkarte WLANThen mark the GUEST network and, in the lower menu, switch to the Wi-Fi tab.

4.6 Klicken Sie auf die Schaltfläche Neue WLAN SSID erstellen.Click the button Create new Wi-Fi SSID.

• In this example, the GUEST network should support a Wi-Fi network with the SSID “GUEST” for visitors to the company. Visitors login to this using a password In diesem Beispiel soll im Netzwerk GAST ein WLAN-Netzwerk mit der SSID "GUEST" zur Verfügung gestellt werden, an welchem sich die Gäste des Unternehmens mit einem Passwort (WPA-PSK) anmelden müssen.

4.7 Klicken Sie auf SpeichernThen click on Save.

5.

...

Configuring the switch ports:

5.1 Damit alle konfigurierten Netze auch an den (gewünschten) Ports des zentralen Switch ausgegeben werden, müssen diese im Menü Netze in einer Matrix zugewiesen werdenIn order for all of the configured networks to be provided via the (desired) ports on the central switch, these have to be assigned using a matrix in the Networks menu.

5.2 Markieren Sie zunächst das Netz INTRANET und wechseln Sie im unteren Menü auf die Registerkarte SwitchesFirst mark the network INTRANET and, in the lower menu, go to the Switches tab.

5.3 Öffnen Sie die Registerkarte 10-Port-Modelle und klicken Sie auf alle angezeigten Ports, damit sich diese in der Farbe, welche dem Netz zugewiesen wurde, einfärbenOpen the 10-port models tab and click on all of the displayed ports so that they take on the color that is assigned to the network.

5.4 Klicken Sie dann auf SpeichernThen click on Save.

5.5 Verfahren Sie in gleicher Weise mit dem Netz GASTProceed in the same way for the GUEST network.

6.

...

Enabling security features for a network:

6.1 In diesem Konfigurationsbeispiel sollen die Sicherheitsfunktionen im Netz INTRANET verwendet werden. Dies wird auch im Menü Netze konfiguriertthis example configuration, the security functions should be used in the INTRANET network. This is alsoconfigured in the Networks menu.

6.2 Markieren Sie zunächst das Netz INTRANET und wechseln Sie im unteren Menü auf die Registerkarte SicherheitFirst mark the network INTRANET and, in the lower menu, go to the Security tab.

6.3 Aktivieren Sie die folgenden Funktionen: Enable the following features:

• Allow traffic from this network to the InternetDatenverkehr aus diesem Netz ins Internet erlauben.
• Anti-Virusvirus
• SSL Inspectioninspection

6.4 Klicken Sie auf SpeichernThen click on Save.

7.

...

Roll out the full configuration to the Unified Firewall:

Es sind nun alle nötigen Konfigurationsschritte in der LMC abgearbeitet. Die erstellte Konfiguration kann jetzt an die Unified Firewall ausgerollt werden.

7.1 Wechseln Sie in das Menü Geräte und wählen Sie die Unified Firewall aus.

7.2 Wählen Sie aus dem "drei-Punkte-Menü" die Option Konfiguration ausrollen und bestätigen Sie den folgenden Dialog mit OK. Die Konfiguration wird nun ausgerollt.

Image Removed

The necessary configuration steps in the LMC have now been completed. The new configuration can now be rolled out to the Unified Firewall.

7.1 Go to the Devices menu and select the Unified Firewall.

7.2 Use the “three-dots” menu to select the option Configuration roll out, and confirm the next dialog with OK. The configuration is rolled out now.

Image Added

7.3 Nach dem Umstecken der Kabelverbindungen dauert es ein paar Minuten, bis alle Netzwerk-Komponenten die neuen Netzwerk-Informationen erhalten haben. Bei Bedarf kann auch der LANCOM Switch und die Access Points einmal neu gestartet werdenAfter changing the cable connections, it takes a few minutes for all of the network components to receive their new network information. The LANCOM switch and the access points may need to be restarted.

7.4 Nach dem Ausrollen, besitzen alle Geräte zwei Netzwerke.After the roll out, all devices have two networks.

• The INTRANET network has the IP address range Das Netz INTRANET ist mit dem IP-Adressbereich 192.168.0.0/24 versehen.
• Das Netz GAST ist mit dem IP-Adressbereich The GUEST network has the IP address range 172.16.0.0/24 versehen.
• Die You can reach the Unified Firewall können Sie unter der lokalen IP-Adresse under the local IP address 192.168.0.1 erreichen.

...

8. Adding further network devices to the LMC and network configuration:

8.1 Nachdem die LMC-Konfiguration erfolgreich an die Unified Firewall ausgerollt wurde, können Sie nun alle weiteren Netzwerk-Komponenten mit der LMC koppelnAfter the LMC configuration has been successfully rolled out to the Unified Firewall, you can now pair all of the other network components with the LMC.

8.2 Markieren Sie alle weiteren Netzwerk-Komponenten in LANconfig und klicken Sie mit der rechten Maustaste.

8.3. Wählen Sie die Option Gerät mit LANCOM Management Cloud koppeln.

8.4 Geben Sie den Aktivierungscode ein, welchen Sie im Schritt 2.1.5 erstellt haben.

8.2 In LANconfig, mark all of the other network components and click with the right-hand mouse button.

8.3 Choose the option Pair device with LANCOM Management Cloud.

8.4 Enter the activation code that you created in step 2.1.5.

8.5 After successful pairing, the icon in front of the devices changes into an LMC symbol and the devices appear in the LMC dialog Devices8.5. Nach erfolgreichem Kopplungsvorgang ändert sich das Icon vor den Geräten in ein LMC-Symbol und die Geräte erscheinen im LMC-Dialog Geräte.

8.6 Wechseln Sie in die Konfigurationsoberfläche der LMC und weisen Sie im Menü Standorte → <Standortname> → Geräte alle neuen Geräte dem Standort zuGo to the LMC configuration interface and, in the menu Sites → <site name> → Devices assign all new devices to the site.

8.7 Abschließend müssen Sie die neue LMC-Konfiguration an alle Geräte in Ihrem Projekt ausrollen.7 Finally, you have to roll out new LMC configuration to all of the devices in your project.

• To do this, switch to the menu Devices and mark all of the devices with the status “Outdated”.
• Use the “three-dots” menu to select the option Configuration roll out, and confirm the next dialog with OK. The configuration is rolled out now
• Wechseln Sie dazu in das Menü Geräte und markieren Sie alle Geräte mit dem Status "Nicht aktuell".
• Wählen Sie aus dem "drei-Punkte-Menü" die Option Konfiguration ausrollen und bestätigen Sie den folgenden Dialog mit OK. Die Konfiguration wird nun ausgerollt.

8.8 Nach dem Ausrollen ist die Konfiguration abgeschlossenAfter the roll out, the configuration is complete.