Wie kann man den Zugriff für VPN-Verbindungen beschränken?

Ein entfernter Remote-Dial-In-User darf über den VPN-Tunnel ausschließlich auf den internen Server (192.168.21.1) zugreifen. Alle anderen Anfragen an das lokale Subnetz des VPN-Routers sollen verworfen werden.

an-example an-example an-example an-example

an-example

1. Remote Dial-In User Konfiguration

Gehen Sie zu VPN and Remote Access >> Remote Dial-in User und wählen dort Ihr erstelltes VPN-Profil aus.

  • Haken Sie "Assign Static IP Address" an
  • Tragen Sie eine IP-Adresse aus Ihrem lokalen LAN ein, welche der VPN-Client bei jeder Einwahl automatisch erhalten soll
Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set

Firewall >> Filter-Setup >> Edit-Filter-Set

2. Firewall-Konfiguration

Nachdem sichergestellt ist, dass der VPN-User immer die gleiche interne IP-Adresse erhält, kann nun mit Hilfe der Firewall der Zugriff eingeschränkt werden.

Dafür gehen Sie zu Firewall >> Filter Setup und dort auf den Default Data Filter.

Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set

Firewall >> Filter-Setup >> Edit-Filter-Set

Beginnen Sie die Konfiguration der Filterregel in dem Sie im Filtersatz auf eine freie Filterregel klicken.

  1. Aktivieren Sie die Filterregel
  2. Vergeben Sie einen Kommentar (optional)
  3. Ändern Sie die Direction auf LAN/DMZ/RT/VPN -> LAN/DMZ/RT/VPN
  4. Bei Source IP klicken Sie auf Edit. Dort wählen Sie bei Address Type "Single Address" aus und tragen die festgelegte IP-Adresse aus dem VPN-Profil ein
  5. Bei Destination IP klicken Sie auf Edit. Dort wählen Sie bei Address Type "Single Address" aus und tragen die IP-Adresse des Servers ein auf den zugegriffen werden darf
  6. Die Filter Action stellen Sie auf "Pass immediately"

Speichern Sie Ihre Eingaben mit OK.

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Anschließend gehen Sie zur nächsten Regel.

  1. Aktivieren Sie die Filterregel
  2. Vergeben Sie einen Kommentar (optional)
  3. Ändern Sie die Direction auf LAN/DMZ/RT/VPN -> LAN/DMZ/RT/VPN
  4. Bei Source IP klicken Sie auf Edit. Dort wählen Sie bei Address Type "Single Address" aus und tragen die festgelegte IP-Adresse aus dem VPN-Profil ein
  5. Bei Destination IP klicken Sie auf Edit. Dort wählen Sie bei Address Type "Subnet Address" aus und tragen den IP-Bereich sowie die dazugehörige Subnetzmaske ein
  6. Die Filter Action stellen Sie auf "Block immediately"

Speichern Sie Ihre Eingaben mit OK.

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Die Filtersätze bzw. Filterregeln werden von oben nach unten abgearbeitet. Somit ist der IP-Adresse 192.168.21.50 lediglich der Zugriff auf die IP 192.168.21.1 erlaubt. Die Anfragen an andere IP-Adressen im Bereich 192.168.21.0/24 werden geblockt.