PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer

Allgemeine Einleitung

Das folgende VPN Tutorial ist eine Ergänzung zum bestehenden VPN_Client_Tutorial. Es beschreibt ebenfalls die VPN Anbindung von mobilen Benutzern oder Homeoffice Nutzern mit Windows, Mac OS, Linux sowie Smartphones und Pads unter Apple iOS und Android an die Firewall pfSense (Netgate). Deren Fork OPNsense supportet (Stand Okt. 20) derzeit kein L2TP VPN so das OPNsense Nutzern derzeit nur die o.a. reine IPsec Variante bleibt. pfSense Nutzer haben die Wahl zw. IPsec und L2TP.

Auch mit L2TP Protokoll werden immer die bordeigenen VPN Clients verwendet. Eine Installation von extra Software für den VPN Zugriff ist in dieser L2TP Variante ebenso wie bei der reinen IPsec Variante NICHT erforderlich !
Entgegen der reinen IPsec IKEv2 Lösung oben, nutzt diese Variante das das L2TP Protokol. Durch die Verwendung von IKEv1 im Tunnelprotokoll bei L2TP statt IKEv2 bei IPsec gerät die Einrichtung durch das Fehlen der Zertifikats Prüfung etwas leichter. Sie hat aber die folgenden Nachteile:

• Keine eindeutige und sichere VPN Server Identifizierung durch den Client mit einem Zertifikat was Einschränkung in der Sicherheit bedeutet.
• Kein oder nur Client abhängiges Split Tunneling. L2TP supportet Client bedingt rein nur ein Gateway Redirect. Das bewirkt das sämtlicher Client Traffic durch den Tunnel muss. Das ist einerseits bequem, da es so auch problemlos den Zugriff auf weitere IP Netze hinter der Firewall supportet und oft ist die vollständige Verschlüsselung von Client Traffic z.B. an öffentlichen WLANs wie Hotspots usw. gewünscht. Andererseits stellt es dadurch eine Einschränkung der Tunnel Performance dar, da auch nicht relevanter Internet Traffic generell immer durch den Tunnel muss und diesen belastet und langsam macht.

Anwender müssen hier also entscheiden ob das eine oder andere Verfahren für sie günstiger und vor allem sicherer ist. Beide bieten in Summe eine problemlose Client Anbindung per VPN mit allen bordeigenen VPN Clients an die Firewall.
Los gehts....

pfSense Grundkonfiguration für L2TP

Zuerst aktiviert man im Menüpunkt VPN --> L2TP den L2TP Server mit folgenden Einstellungen:

• Haken aktiviert den L2TP Server
• Interface = WAN (WAN IP Adresse der Firewall)
• Server Address = Hier konfiguriert man eine VPN Server IP Adresse für das interne VPN Netzwerk. ACHTUNG: Dieses Netzwerk darf NICHT im Bereich der bestehenden Netzwerk IP Adressen der pfSense liegen ! Zudem sollte es niemals im Bereich verwendeter Standard IP Adressen wie z.B. FritzBox (192.168.178.0) liegen da das zu einer Überschneidung und zur Fehlfunktion führt. Ideal sind hier etwas exotische IP Netze. Dieser Thread gibt Tips_zum_richtigen_VPN_Adressdesign ! Es ist sehr wichtig hier keine 192.168er Allerweltsnetze zu definieren was oft zu Fehlfunktionen und Scheitern der VPNs führt !!
• Remote Adresse Range = Adressbereich der VPN Clients. Dieses Netzwerk definiert den Client IP Bereich. Es darf sich NICHT mit der darüber liegenden Server IP überschneiden ! Das Beispiel hier nutzt das Subnetz 10.77.77.192 mit einer 26 Bit Maske (255.255.255.192) was damit insgesamt 62 VPN Clients erlaubt. Eine Maske von z.B. 25 Bit (255.255.255.128, Netzwerk: 10.77.77.128) erlaubt insgesamt 126 User usw.
• Number of Users = Hier gibt man die maximale Anzahl der zu erwartenden VPN User an. Aufpassen: Die Anzahl muss zum obigen Bereich (Netzmaske) der VPN Adressen passen und immer kleiner sein als die maximale, durch die Netzmaske bedingte Anzahl !
• Authentication Type = MS CHAPv2
• L2TP DNS Server = (Optional) Hier definiert man z.B. interne DNS Server (Windows) die man dem Client bei VPN Einwahl automatisch übergeben will. Lässt man es weg wird normal wie auch im LAN die pfSense als DNS IP vergeben.
• Radius = (Optional) Wer einen Radius Server zur externen User Authentisierung verwendet aktiviert ihn hier. Dann entfällt der Eintrag der lokalen Userdaten.

L2TP Benutzernamen einrichten

Im VPN -> L2TP User Menü konfiguriert man nun die Benutzernamen und Passwort zur VPN Einwahl.
WICHTIG: Unter IP Address kann man optional jedem Benutzer eine spezifische IP zuweisen lassen. Das ist wichtig wenn man später bestimmte Benutzer mit Zugriffen auf einzelne Netze oder Rechner oder auch Anwendungsdienste über die Firewall Regeln steuern will !

L2TP Tunnelprotokoll konfigurieren

Der L2TP Tunnel nutzt IPsec ESP mit IKEv1 als Verschlüsselung was entsprechend im Menüpunkt VPN -> IPsec, Mobile Clients eingerichtet werden muss.

• User Authentication = Local Database

Der Rest bleibt LEER ! Optional kann bei Bedarf unter "Login Banner" eine Begrüßungs Message bei VPN Einwahl mitgesendet werden.
ACHTUNG:
Die folgende IPsec Phase 1 muss aus diesem Mobile Client Menü heraus eingerichtet werden !! Von dort also unbedingt rechts auf "Create Phase 1" klicken !

Einrichtung IPsec Phase 1

• Key Exchange Version = IKEv1
• Authentication method = Mutual PSK
• Negotiation Mode = Main
• My Identifier = My IP address
• Encryption algorithm = AES 256
• Hash algorithm = SHA1
• DH key group = 14 (2048 bit) (Bei Fehlfunktion im VPN Aufbau mit älteren Smartphones und einigen Android Modellen DH key group = 2 (1024 bit) verwenden !)

Einrichtung IPsec Phase 2

• Mode = Transport
• Protocol = ESP
• Encryption algorithms = nur AES 128
• Hash algorithms = nur SHA1
• PFS Key Group = off (muss auf AUS sein !)

Setzen des globalen Pre Shared Key (vorinstallierter Schlüssel)

Im Menü VPN -> IPsec, Pre-Shared Keys

• Identifier = MUSS hier allusers sein ! Der String allusers ist eine Wildcard für den vorinstallierten L2TP Schlüssel. Er darf nicht verändert werden.

Hat man alles richtig konfiguriert sieht die Übersicht des IPsec Tunnel Protokolls so aus:

Firewall Regeln richtig einstellen

Es sind 3 Regelwerke einzustellen damit der VPN Zugriff klappt !
Einmal den Zugriff von L2TP auf die WAN IP Adresse der Firewall:
FW Regel WAN Port:
Hier definiert man die L2TP Ports idealerweise, der Übersicht halber, vorher in einem Firewall Port Alias Eintrag mit UDP 500, 4500 und 1701. Zusätzlich ist das ESP Protokoll freizugeben.
(Anmerkung: UDP 1701 ist mit der IPsec Verschlüsselung nicht zwingend nötig und muss nur sein wenn man auch natives L2TP nutzt. Er kann also auch komplett entfallen. Es schadet aber auch nicht ihn zu belassen, da so auch natives L2TP in der FW Regel mitberücksichtigt wird.)

FW Regel L2TP Tunnel Port:
Hier nutzt man meist die bekannte "Scheunentor" Regel. Bei Bedarf kann (und sollte) sie später aber strikter eingestellt werden.
FW Regel IPsec Tunnel Port:

L2TP Client Setup für alle Plattformen

Windows Client Setup

Den Windows Client legt man mit dem bordeigenen Windows Setup an:
WICHTIG: Im Windows L2TP Client müssen zusätzlich noch ein paar spezifische Einstellungen vorgenommen werden !:

Apple Mac OS Client Setup

Analog funktioniert die Einrichtung des Apple MacOS L2TP Clients:
Authentifizierungseinstellungen:

Apple iPhone/iPad Setup

Der Apple iOS Client hat als einziger L2TP Client die Option "Split Tunneling" zu machen oder alles in den Tunnel zu senden:

Android Client Setup

Achtung:
Einige ältere und einfache Android Smartphones (und vereinzelt alte Apple iPhones) supporten keine DH Key Gruppe 14 (2048 Bit) und dann scheitert der L2TP Verbindungsversuch.
In diesem Falle muss man für den Support älterer Geräte oben in den IPsec Settings auf DH key group = 2 (1024 bit) umstellen !

Linux Client Setup (CLI)

Eine detailierte Anleitung zur Anbindung eines Linux Clients (Server etc.) an ein L2TP VPN findet man HIER.
Die GUI Variante über die grafische Oberfläche hier.

Weiterführende Links

NetGate L2TP/IPsec Handbuch:
https://docs.netgate.com/pfsense/en/latest/vpn/ipsec/l2tp-ipsec.html

pfSense/OPNsense Zertifikats gesichertes IKEv2 VPN für mobile Benutzer mit bordeigener VPN Software:
https://administrator.de/wissen/ipsec-vpn-mobile-benutzer-pfsense-opnsen ...

Mikrotik L2TP/IPsec VPN für alle onboard Clients und Smartphones:
https://administrator.de/content/detail.php?id=562927&token=111#comm ...

Mikrotik als SSTP VPN Server für Windows Clients:
https://justit.eu/mikrotik-sstp-vpn-fuer-windows-clients/

Windows 10: Schneller VPN Aufbau per einfachem Mausklick:
https://www.heise.de/ct/ausgabe/2017-19-VPN-und-Remote-Desktop-Verbindun ...

Automatisiertes VPN "on Demand" für iOS Apple Endgeräte über XML Templates:
https://www.administrator.de/content/detail.php?id=378502&token=736

FritzBox 7412 als preiswertes VDSL "nur" Modem für pfSense/OPNsense:
https://www.spiegel.de/netzwelt/gadgets/fritzbox-7412-als-dsl-modem-dect ...
https://www.heise.de/select/ct/2020/2/1578238295698254

pfSense auf ESXi 6.7:
https://administrator.de/content/detail.php?id=639239&nid=1030243#co ...
https://administrator.de/forum/sophos-software-appliance-utm-vlan-cisco- ...

Seriellen Terminal Anschluss richtig handhaben:
https://administrator.de/content/detail.php?id=620563&token=523#comm ...

OpenVPN auf der pfSense einrichten:
https://administrator.de/wissen/openvpn-server-installieren-pfsense-fire ...

AdGuard DNS Filter auf pfSense/OPNsense installieren:
https://broadbandforum.co/t/205884/