MoRoS Modem
Benutzerhandbuch
Copyright © June 2017 INSYS MICROELECTRONICS GmbH
Jede Vervielfältigung dieses Handbuchs ist nicht erlaubt. Alle Rechte an dieser Dokumentation und an den Geräten liegen bei INSYS MICROELECTRONICS GmbH
Regensburg.
Warenzeichen und Firmenzeichen
Die Verwendung eines hier nicht aufgeführten Waren- oder Firmenzeichens ist kein
Hinweis auf die freie Verwendbarkeit desselben.
MNP ist ein eingetragenes Warenzeichen von Microcom, Inc.
IBM PC, AT, XT sind Warenzeichen von International Business Machine Corporation.
INSYS®, VCom®, e-Mobility LSG® und e-Mobility PLC® sind eingetragene Warenzeichen der INSYS MICROELECTRONICS GmbH.
Windows™ ist ein Warenzeichen von Microsoft Corporation.
Linux ist ein eingetragenes Warenzeichen von Linus Torvalds.
Herausgeber:
INSYS MICROELECTRONICS GmbH
Hermann-Köhl-Str. 22
93049 Regensburg
Telefon: +49 941 58692 0
Telefax: +49 941 58692 45
E-Mail: info@insys-icom.de
Internet: http://www.insys-icom.de
Datum: Jun-17
Artikelnummer: 31-22-03.161
Version: 1.13
Sprache: DE
Inhalt
1 Allgemeines ........................................................................................... 8
1.1 Gewährleistungsbestimmungen .......................................................................... 8
1.2 Feedback ............................................................................................................ 8
1.3 Kennzeichnung von Warnungen und Hinweisen ................................................. 9
1.4 Symbole und Formatierungen dieser Anleitung ................................................. 10
2 Sicherheit ............................................................................................. 11
2.1 Bestimmungsgemäße Verwendung .................................................................. 11
2.2 Technische Grenzwerte ..................................................................................... 12
2.3 Pflichten des Betreibers ..................................................................................... 12
2.4 Qualifikation des Personals ................................................................................ 12
2.5 Hinweise zu Transport und Lagerung ................................................................ 13
2.6 Kennzeichnungen auf dem Produkt ................................................................... 13
2.7 Umweltschutz ................................................................................................... 14
2.8 Sicherheitshinweise zur elektrischen Installation ............................................... 14
2.9 Grundlegende Sicherheitshinweise .................................................................... 14
3 Verwendung von Open-Source-Software ............................................. 16
3.1 Allgemeines ...................................................................................................... 16
3.2 Besondere Haftungsbestimmungen .................................................................. 17
3.3 Verwendete Open-Source-Software .................................................................. 17
4 Gerätevarianten .................................................................................... 18
5 Lieferumfang ....................................................................................... 19
6 Technische Daten ................................................................................ 20
6.1 Physikalische Merkmale .................................................................................... 20
6.2 Technologische Merkmale................................................................................. 21
7 Anzeige- und Bedienelemente .............................................................. 22
7.1 Bedeutung der Anzeigeelemente ....................................................................... 23
7.2 Funktion der Bedienelemente ............................................................................ 23
8 Anschlüsse .......................................................................................... 24
8.1 Anschlüsse Vorderseite ..................................................................................... 24
8.2 Klemmanschlüsse Oberseite.............................................................................. 25
8.3 Klemmanschlüsse Unterseite ............................................................................ 26
8.4 Anschlussbelegung der seriellen Schnittstelle ................................................... 27
8.5 RJ45-Telefonanschluss ...................................................................................... 28
9 Funktionsübersicht............................................................................... 29
10 Montage .............................................................................................. 36
11 Inbetriebnahme .................................................................................... 40
4 Jun-17
12 Bedienprinzip ....................................................................................... 42
12.1 Bedienung mit Web-Interface ............................................................................ 43
12.2 Zugang über das HTTPS-Protokoll ..................................................................... 44
13 Funktionen ........................................................................................... 45
13.1 Basic Settings ................................................................................................... 45
13.1.1 Zugang zum Web-Interface konfigurieren ............................................. 45
13.1.2 IP-Adressen einstellen ............................................................................ 46
13.1.3 Statische Routen eintragen .................................................................... 48
13.1.4 Hostnamen eintragen ............................................................................. 48
13.1.5 MAC-Filter konfigurieren ........................................................................ 49
13.1.6 Zugriffschutz über Radius-Server konfigurieren .................................... 50
13.1.7 Zugang zur Befehlszeilen-Schnittstelle CLI konfigurieren ..................... 51
13.2 Modem ............................................................................................................. 52
13.2.1 Modem konfigurieren ............................................................................. 52
13.3 Dial-In ............................................................................................................... 53
13.3.1 Dial-In einrichten ................................................................................... 53
13.3.2 Automatischer Rückruf (Callback) .......................................................... 54
13.3.3 Routing ................................................................................................... 55
13.3.4 Firewall-Regel erstellen oder löschen .................................................... 55
13.4 Dial-Out ............................................................................................................. 57
13.4.1 Dial-Out einrichten ................................................................................. 57
13.4.2 Standleitungsbetrieb einrichten ............................................................. 59
13.4.3 Periodischen Dial-Out-Verbindungsaufbau einrichten ........................... 60
13.4.4 Routing ................................................................................................... 61
13.4.5 Wählfilter einrichten ............................................................................... 62
13.4.6 Firewall-Regel erstellen oder löschen .................................................... 63
13.4.7 Port-Forwarding-Regel erstellen oder löschen ....................................... 64
13.4.8 Exposed Host festlegen .......................................................................... 65
13.5 LAN (ext) ........................................................................................................... 66
13.5.1 Schnittstelle zum externen Netz (LAN/WAN) einrichten ........................ 66
13.5.2 Redundantes WAN einrichten ................................................................ 68
13.5.3 DSL einrichten ........................................................................................ 69
13.5.4 Standleitungsbetrieb einrichten ............................................................. 70
13.5.5 Periodischen DSL-Verbindungsaufbau einrichten.................................. 71
13.5.6 Routing ................................................................................................... 71
13.5.7 Wählfilter einrichten ............................................................................... 73
13.5.8 Firewall-Regel erstellen oder löschen .................................................... 73
13.5.9 IP-Forwarding-Regel erstellen oder löschen .......................................... 75
13.5.10 Port-Forwarding-Regel erstellen oder löschen ....................................... 76
13.5.11 Exposed Host festlegen .......................................................................... 77
13.6 VPN .................................................................................................................. 78
13.6.1 VPN Allgemein ....................................................................................... 78
13.6.2 OpenVPN Allgemein ............................................................................... 78
13.6.3 OpenVPN-Server einrichten ................................................................... 80
13.6.4 OpenVPN-Client einrichten .................................................................... 85
13.6.5 PPTP Allgemein ...................................................................................... 90
13.6.6 PPTP-Server einrichten ........................................................................... 90
13.6.7 PPTP-Client einrichten ............................................................................ 91
13.6.8 IPsec einrichten ...................................................................................... 93
13.6.9 GRE-Tunnel einrichten............................................................................ 97
13.7 Redundantes Kommunikationsgerät .................................................................. 98
13.7.1 Redundantes Kommunikationsgerät einrichten ..................................... 98
Contents
Jun-17 5
Inhalt
13.8 Eingänge und Ausgänge ................................................................................... 99
13.8.1 Status der Eingänge abfragen ................................................................ 99
13.8.2 Funktion der Eingänge konfigurieren ................................................... 100
13.8.3 Ausgänge schalten ............................................................................... 101
13.9 Konfigurierbarer Switch................................................................................... 102
13.9.1 Konfiguration und Status der Switchports abfragen ............................ 102
13.9.2 Switchports konfigurieren .................................................................... 103
13.9.3 LED-Anzeige der Switchports konfigurieren ........................................ 104
13.9.4 VLAN konfigurieren .............................................................................. 105
13.9.5 Portspiegelung einrichten .................................................................... 106
13.10 Seriell-Ethernet-Gateway ................................................................................. 107
13.10.1 Seriell-Ethernet-Gateway einrichten ..................................................... 107
13.10.2 Seriell-Ethernet-Gateway-Schnittstelle konfigurieren .......................... 110
13.10.3 Modem-Emulator ................................................................................. 112
13.11 Meldungen ...................................................................................................... 115
13.11.1 Versand von Meldungen konfigurieren ................................................ 115
13.11.2 E-Mail-Versand konfigurieren ............................................................... 116
13.11.3 SMS-Versand konfigurieren ................................................................. 117
13.11.4 SNMP-Trap-Versand konfigurieren ...................................................... 118
13.12 Server-Dienste ................................................................................................ 119
13.12.1 DNS-Forwarding einrichten .................................................................. 119
13.12.2 Dynamisches DNS-Update einrichten .................................................. 120
13.12.3 DHCP-Server einrichten ....................................................................... 121
13.12.4 Router Advertiser konfigurieren ........................................................... 122
13.12.5 Proxy-Server konfigurieren ................................................................... 123
13.12.6 URL-Filter einrichten ............................................................................ 124
13.12.7 IPT konfigurieren .................................................................................. 124
13.12.8 SNMP-Agent konfigurieren .................................................................. 126
13.12.9 MCIP konfigurieren .............................................................................. 127
13.13 Systemkonfiguration ....................................................................................... 128
13.13.1 System-Log anzeigen ........................................................................... 128
13.13.2 Anzeigen der letzten Systemmeldungen .............................................. 128
13.13.3 Uhrzeit und Zeitzone einstellen ............................................................ 129
13.13.4 Zurücksetzen (Reset) ............................................................................ 130
13.13.5 Update .................................................................................................. 131
13.13.6 Aktualisieren der Firmware .................................................................. 132
13.13.7 Hochladen der Konfigurationsdatei ...................................................... 134
13.13.8 Download ............................................................................................. 135
13.13.9 Sandbox ............................................................................................... 136
13.13.10 Debugging ............................................................................................ 137
13.14 Überwachung ................................................................................................. 139
14 SMS-Provider / Service Center ........................................................... 140
14.1 Alarmierung über SMS .................................................................................... 140
14.2 Alarmierung per E-Mail über SMS ................................................................... 140
15 Wartung, Reparatur und Störungsbeseitigung ................................... 141
15.1 Wartung .......................................................................................................... 141
15.2 Störungsbeseitigung ....................................................................................... 141
15.3 Reparatur ........................................................................................................ 141
16 Entsorgung ........................................................................................ 142
16.1 Rücknahme der Altgeräte ................................................................................ 142
6 Jun-17
17 Konformitätserklärung ....................................................................... 143
18 FCC Statement ................................................................................... 144
19 Exportbeschränkung .......................................................................... 145
20 Lizenzen ............................................................................................. 146
20.1 GNU GENERAL PUBLIC LICENSE ................................................................... 146
20.2 GNU LIBRARY GENERAL PUBLIC LICENSE .................................................... 149
20.3 Sonstige Lizenzen ........................................................................................... 154
21 Glossar ............................................................................................... 156
22 Tabellen & Abbildungen ..................................................................... 160
22.1 Tabellenverzeichnis ......................................................................................... 160
22.2 Abbildungsverzeichnis..................................................................................... 160
23 Stichwortverzeichnis .......................................................................... 161
Contents
Jun-17 7
Allgemeines
MoRoS Modem
8
1 Allgemeines
Diese Anleitung ermöglicht den sicheren und effizienten Umgang mit dem Produkt.
Die Anleitung ist Bestandteil des Produkts und muss für Installations-, Inbetriebnahme- und Bedienpersonal jederzeit zugänglich aufbewahrt werden.
1.1 Gewährleistungsbestimmungen
Eine nicht bestimmungsgemäße Verwendung, ein Nichtbeachten dieser Dokumentation, der Einsatz von unzureichend qualifiziertem Personal sowie eigenmächtige
Veränderungen schließen die Haftung des Herstellers für daraus resultierende
Schäden aus. Die Gewährleistung des Herstellers erlischt.
Es gelten die Bestimmungen unserer Liefer- und Einkaufsbedingungen (AGB).
Diese finden Sie auf unserer Webseite (www.insys-icom.de/impressum/) unter
„AGB“.
1.2 Feedback
Wir verbessern unsere Produkte und die zugehörige Technische Dokumentation
ständig. Dazu sind Ihre Rückmeldungen sehr hilfreich. Bitte teilen Sie uns mit, was
Ihnen an unseren Produkten und Publikationen besonders gefallen hat und was wir
Ihrer Meinung nach noch verbessern können. Wir schätzen Ihre Anregungen sehr
und werden diese in unsere Arbeit einfließen lassen, um Ihnen und all unseren
Kunden zu helfen. Wir freuen uns über jede Ihrer Rückmeldungen.
Schreiben Sie uns eine E-Mail an support@insys-tec.de.
Gerne erfahren wir, welche Anwendungen Sie haben. Schreiben Sie uns bitte ein
paar Stichpunkte, damit wir wissen, welche Anforderungen Sie mit Produkten von
INSYS icom lösen.
MoRoS Modem
Allgemeines
9
Gefahr!
Schwere gesundheitliche Schäden / Lebensgefahr
Eines dieser Symbole in Verbindung mit dem Signalwort
Gefahr kennzeichnet eine unmittelbare drohende Gefahr.
Bei Missachtung sind Tod oder schwerste Verletzungen die
Folge.
Warnung!
Schwere gesundheitliche Schäden / Lebensgefahr möglich
Dieses Symbol in Verbindung mit dem Signalwort Warnung
kennzeichnet eine möglicherweise gefährliche Situation.
Bei Missachtung können Tod oder schwerste Verletzungen
die Folge sein.
Vorsicht!
Leichte Verletzungen und / oder Sachschäden
Dieses Symbol in Verbindung mit dem Signalwort Vorsicht
kennzeichnet eine möglicherweise gefährliche oder
schädliche Situation. Bei Missachtung können leichte oder
geringfügige Verletzungen die Folge sein oder das Produkt
oder etwas in seiner Umgebung beschädigt werden.
Hinweis
Optimierung der Anwendung
Dieses Symbol in Verbindung mit dem Signalwort Hinweis
kennzeichnet Anwendungstipps oder besonders nützliche
Informationen. Diese Informationen helfen bei Installation,
Einrichtung und Betrieb des Produkts zur Sicherstellung
eines störungsfreien Betriebs.
1.3 Kennzeichnung von Warnungen und Hinweisen
Symbole und Signalwörter
Allgemeines
MoRoS Modem
10
1.4 Symbole und Formatierungen dieser Anleitung
Im Folgenden werden die Festlegungen, Formatierungen und Symbole erklärt, die
in diesem Handbuch verwendet werden. Die unterschiedlichen Symbole sollen Ihnen das Lesen und Auffinden der für Sie wichtigen Information erleichtern. Der folgende Text entspricht in seiner Struktur den Handlungsanweisungen dieses Handbuchs.
Fett gedruckt: Das Handlungsziel. Hier erfahren Sie, was Sie mit den folgenden
Schritten erreichen
Nach der Nennung des Handlungsziels wird detaillierter erklärt, was mit der
Handlungsanweisung erreicht werden soll. So können Sie entscheiden, ob
der Abschnitt überhaupt für Sie relevant ist.
Vorbedingungen, die erfüllt sein müssen, damit die nachfolgenden Schritte
sinnvoll abgearbeitet werden können, sind mit einem Pfeil gekennzeichnet.
Hier erfahren Sie zum Beispiel, welche Software oder welches Zubehör Sie
benötigen.
1. Ein einzelner Handlungsschritt: Dieser sagt Ihnen, was Sie an dieser
Stelle tun müssen. Zur besseren Orientierung sind die Schritte
nummeriert.
Ein Ergebnis, das Sie nach Ausführen eines Schrittes bekommen, ist
mit einem Häkchen gekennzeichnet. Hier können Sie kontrollieren, ob
die zuvor gemachten Schritte erfolgreich waren.
Zusätzliche Informationen, die an dieser Stelle Ihre Beachtung finden
sollten, sind mit einem eingekreisten „i“ gekennzeichnet. Hier werden
Sie auf mögliche Fehlerquellen und deren Vermeidung hingewiesen.
Alternative Ergebnisse und Handlungsschritte sind mit einem Pfeil
gekennzeichnet. Hier erfahren Sie, wie Sie auf einem anderen Weg
zum gleichen Ergebnis kommen, oder was Sie tun können, falls Sie an
dieser Stelle nicht das erwartete Ergebnis bekommen haben.
MoRoS Modem
Sicherheit
11
2 Sicherheit
Der Abschnitt Sicherheit verschafft einen Überblick über die für den Betrieb des
Produkts zu beachtenden Sicherheitshinweise.
Das Produkt ist nach den derzeit gültigen Regeln der Technik gebaut und betriebssicher. Es wurde geprüft und hat das Werk in sicherheitstechnisch einwandfreiem Zustand verlassen. Um diesen Zustand über die Betriebszeit zu
erhalten, sind die Angaben der geltenden Publikationen und Zertifikate zu beachten
und zu befolgen.
Die grundlegenden Sicherheitshinweise sind beim Betrieb des Produkts unbedingt
einzuhalten. Über die grundlegenden Sicherheitshinweise hinaus sind in den
einzelnen Abschnitten der Dokumentation die Beschreibungen von Vorgängen und
Handlungsanweisungen mit konkreten Sicherheitshinweisen versehen.
Darüber hinaus gelten die örtlichen Unfallverhütungsvorschriften und allgemeine
Sicherheitsbestimmungen für den Einsatzbereich des Geräts.
Erst die Beachtung aller Sicherheitshinweise ermöglicht den optimalen Schutz des
Personals und der Umwelt vor Gefährdungen sowie den sicheren und störungsfreien Betrieb des Produkts.
2.1 Bestimmungsgemäße Verwendung
Das Produkt dient ausschließlich zu den aus der Funktionsübersicht hervorgehenden Einsatzzwecken. Zusätzlich darf das Gerät für die folgenden Zwecke eingesetzt
werden:
Einsatz und Montage in einem industriellen Schaltschrank
Übernahme von Schalt- sowie Datenübertragungsfunktionen in
Maschinen, die der Maschinenrichtlinie 2006/42/EG entsprechen
Einsatz als Datenübertragungsgerät an einer
speicherprogrammierbaren Steuerung
Das Produkt darf nicht zu den folgenden Zwecken und unter diesen Bedingungen
verwendet oder betrieben werden:
Steuerung oder Schaltung von Maschinen und Anlagen, die nicht der
Richtlinie 2006/42/EG entsprechen
Einsatz, Steuerung, Schaltung und Datenübertragung in Maschinen
oder Anlagen, die in explosionsfähigen Atmosphären betrieben
werden
Steuerung, Schaltung und Datenübertragung von Maschinen, deren
Funktionen oder deren Funktionsausfall eine Gefahr für Leib und
Leben darstellen können
Sicherheit
MoRoS Modem
12
2.2 Technische Grenzwerte
Das Produkt ist ausschließlich für die Verwendung innerhalb der in den Datenblättern angegebenen technischen Grenzwerte bestimmt.
Folgende Grenzwerte sind einzuhalten:
Die Umgebungstemperaturgrenzen dürfen nicht unter- bzw.
überschritten werden.
Der Versorgungsspannungsbereich darf nicht unter- bzw.
überschritten werden.
Die maximale Luftfeuchtigkeit darf nicht überschritten werden und
Kondensatbildung muss vermieden werden.
Die maximale Schaltspannung und die maximale
Schaltstrombelastung dürfen nicht überschritten werden.
Die maximale Eingangsspannung und der maximale Eingangsstrom
dürfen nicht überschritten werden.
2.3 Pflichten des Betreibers
Der Betreiber muss grundsätzlich die in seinem Land geltenden nationalen
Vorschriften bezüglich Betrieb, Funktionsprüfung, Reparatur und Wartung von elektronischen Geräten beachten.
2.4 Qualifikation des Personals
Die Installation, Inbetriebnahme und Wartung des Produkts darf nur durch ausgebildetes Fachpersonal erfolgen, das vom Anlagenbetreiber dazu autorisiert wurde.
Das Fachpersonal muss diese Dokumentation gelesen und verstanden haben und
die Anweisungen befolgen.
Der elektrische Anschluss und die Inbetriebnahme des Produkts darf nur durch eine
Person erfolgen, die aufgrund ihrer fachlichen Ausbildung, Kenntnisse und
Erfahrungen sowie Kenntnis der einschlägigen Normen und Bestimmungen in der
Lage ist, Arbeiten an elektrischen Anlagen auszuführen und mögliche Gefahren
selbständig zu erkennen und zu vermeiden.
MoRoS Modem
Sicherheit
13
Handbuch beachten
Dieses Symbol weist darauf hin, dass das Handbuch des Produkts
essentielle Sicherheitshinweise enthält, die unbedingt zu beachten
sind.
Altgeräte umweltgerecht entsorgen
Dieses Symbol weist darauf hin, dass Altgeräte getrennt vom
Restmüll über geeignete Sammelstellen zu entsorgen sind. Siehe
auch Abschnitt Entsorgung in diesem Handbuch.
CE-Kennzeichnung
Durch die Anbringung der CE-Kennzeichnung bestätigt der
Hersteller, dass das Produkt den produktspezifisch geltenden
europäischen Richtlinien entspricht.
UL-Kennzeichnung
Durch die Anbringung der UL-Kennzeichnung bestätigt der
Hersteller, dass das Produkt die vorgegebenen
Sicherheitsanforderungen einhält.
Schutzklasse II - Schutzisolierung
Dieses Symbol weist darauf hin, dass das Produkt der Schutzklasse
II entspricht.
2.5 Hinweise zu Transport und Lagerung
Die folgenden Hinweise sind zu beachten:
Das Produkt während des Transports und der Lagerung keiner
Feuchtigkeit und keinen anderen möglicherweise schädlichen
Umweltbedingungen (Einstrahlung, Gase, usw.) aussetzen. Produkt
entsprechend verpacken.
Das Produkt so verpacken, dass es vor Erschütterungen beim
Transport und bei der Lagerung geschützt ist, z.B. durch
luftgepolsterte Verpackung.
Produkt vor Installation auf mögliche Beschädigungen überprüfen, die durch unsachgemäßen Transport oder unsachgemäße Lagerung entstanden sein könnten.
Transportschäden müssen auf den Frachtpapieren festgehalten werden. Alle
Schadensersatzansprüche unverzüglich und vor der Installation gegenüber dem
Spediteur / dem für die Lagerung verantwortlichen Unternehmen geltend machen.
2.6 Kennzeichnungen auf dem Produkt
Das Typenschild des Produkts befindet sich entweder als Aufdruck oder Aufkleber
auf einer Fläche des Produkts. Es kann unter anderem folgende Kennzeichnungen
enthalten, die hier näher erläutert sind.
Sicherheit
MoRoS Modem
14
Vorsicht!
Nässe und Flüssigkeiten aus der Umgebung können ins
Innere des Produkts gelangen!
Brandgefahr und Beschädigung des Produkts.
Das Produkt darf nicht in nassen oder feuchten
Umgebungen oder direkt in der Nähe von Gewässern
eingesetzt werden. Installieren Sie das Produkt an einem
trockenen, vor Spritzwasser geschützten Ort. Schalten Sie
die Spannung ab, bevor Sie Arbeiten an einem Gerät
durchführen, das mit Feuchtigkeit in Berührung kam.
Vorsicht!
Kurzschlüsse und Beschädigung durch unsachgemäße
Reparaturen und Modifikationen sowie Öffnen von
Wartungsbereichen!
Brandgefahr und Beschädigung des Produkts.
Das Öffnen des Produkts für Reparaturarbeiten oder
Modifikationen ist nicht erlaubt.
2.7 Umweltschutz
Entsorgen Sie das Produkt sowie die Verpackung gemäß den entsprechenden
Umweltschutzvorschriften. Im Abschnitt Entsorgung dieses Handbuchs finden Sie
Hinweise zur Entsorgung des Produkts. Trennen Sie die Verpackungsbestandteile
aus Karton und Papier sowie Kunststoff und führen Sie sie über die
entsprechenden Sammelsysteme dem Recycling zu.
2.8 Sicherheitshinweise zur elektrischen Installation
Der elektrische Anschluss darf nur von autorisiertem Fachpersonal gemäß den Elektroplänen vorgenommen werden.
Die Hinweise zum elektrischen Anschluss in der Anleitung beachten, ansonsten
kann die elektrische Schutzart beeinträchtigt werden.
Die sichere Trennung von berührungsgefährlichen Stromkreisen ist nur gewährleistet, wenn die angeschlossenen Geräte die Anforderungen der VDE 0106 T.101
(Grundanforderungen für sichere Trennung) erfüllen.
Für die sichere Trennung die Zuleitungen getrennt von berührungsgefährlichen
Stromkreisen führen oder zusätzlich isolieren.
Vor Inbetriebnahme des Geräts ist eine leicht zugängliche, allpolige Trennvorrichtung zu installieren, um das Gerät allpolig von der Stromversorgung trennen zu
können.
2.9 Grundlegende Sicherheitshinweise
MoRoS Modem
Sicherheit
15
Vorsicht!
Überstrom in der Geräteversorgung!
Brandgefahr und Beschädigung des Produkts durch
Überstrom.
Sichern Sie das Produkt mit einer geeigneten Sicherung
gegen Ströme höher als 1,6 A ab.
Vorsicht!
Überspannung und Spannungsspitzen aus dem Stromnetz!
Brandgefahr und Beschädigung des Gerätes durch
Überspannung.
Installieren Sie einen geeigneten Überspannungsschutz.
Vorsicht!
Beschädigung durch Chemikalien!
Ketone und chlorierte Kohlenwasserstoffe lösen den
Kunststoff des Gehäuses und beschädigen die Oberfläche
des Geräts.
Bringen Sie das Gerät auf keinen Fall mit Ketonen (z.B.
Aceton) und chlorierten Kohlenwasserstoffen (z.B.
Dichlormethan) in Berührung.
Verwendung von Open-Source-Software
MoRoS Modem
16
3 Verwendung von Open-Source-Software
3.1 Allgemeines
Unser Produkt MoRoS Modem beinhaltet unter anderem auch sogenannte OpenSource-Software, die von Dritten hergestellt und für die freie Verwendung durch
jedermann veröffentlicht wurde. Die Open-Source-Software steht unter besonderen
Open-Source-Softwarelizenzen und dem Urheberrecht Dritter. Jeder Kunde kann
die Open-Source-Software nach den Lizenzbestimmungen der jeweiligen Hersteller
grundsätzlich frei verwenden. Die Rechte des Kunden, die Open-Source-Software
über den Zweck unseres Produktes hinaus zu verwenden, werden im Detail von
dem jeweils betroffenen Open-Source-Softwarelizenzen geregelt. Der Kunde kann
die Open-Source-Software, so wie in der jeweiligen gültigen Lizenz vorgesehen,
über die Zweckbestimmung, die die Open-Source-Software in unserem Produkt
erfährt, hinaus frei verwenden. Für den Fall, dass zwischen unseren Lizenzbestimmungen für unser Produkt und der jeweiligen Open-Source-Softwarelizenz ein
Widerspruch besteht, geht die jeweils einschlägige Open-Source-Softwarelizenz
unseren Lizenzbedingungen vor, soweit die jeweilige Open-Source-Software hiervon betroffen ist.
Die Nutzung der verwendeten Open-Source-Software ist unentgeltlich möglich. Wir
erheben für die Benutzung der Open-Source-Software, die in unserem Produkt enthalten ist, keine Nutzungsgebühren oder vergleichbare Gebühren. Die Benutzung
der Open-Source-Software durch den Kunden in unserem Produkt ist nicht
Bestandteil des Gewinns, den wir mit der vertraglichen Vergütung erzielen.
Aus der erhältlichen Liste ergeben sich alle Open-Source-Softwareprogramme, die
in unserem Produkt enthalten sind. Die wichtigsten Open-Source-Softwarelizenzen
sind im Abschnitt Lizenzen am Ende dieser Publikation aufgeführt.
Soweit Programme, die in unserem Produkt enthalten sind, unter der GNU General
Public License (GPL), GNU Lesser General Public License (LGPL), der Clarified Artistic
License oder einer anderen Open-Source-Softwarelizenz stehen, die vorschreibt, dass
der Quellcode zur Verfügung zu stellen ist, und sollte diese Software nicht bereits mit
unserem Produkt auf einem Datenträger im Quellcode mitgeliefert worden sein, so
übersenden wir diesen jederzeit auf Nachfrage. Sollte hierbei die Zusendung auf
einem Datenträger verlangt werden, so erfolgt die Übersendung gegen Zahlung einer
Unkostenpauschale in Höhe von € 10,00. Unser Angebot, den Quellcode auf Nachfrage zu versenden, endet automatisch mit Ablauf von 3 Jahren nach Lieferung
unseres Produkts an den Kunden. Anfragen sind insoweit möglichst unter Angabe
der Seriennummer unseres Produktes an folgende Adresse zu senden:
INSYS MICROELECTRONICS GmbH
Hermann-Köhl-Str. 22
93049 Regensburg
Telefon +49 941 58692 0
Telefax +49 941 58692 45
E-Mail: support@insys-icom.de
MoRoS Modem
Verwendung von Open-Source-Software
17
3.2 Besondere Haftungsbestimmungen
Wir übernehmen keine Gewährleistung und Haftung, wenn die Open-SourceSoftwareprogramme, die in unserem Produkt enthalten sind, vom Kunden in einer
Art und Weise verwendet werden, die nicht mehr dem Zweck des Vertrages, der
dem Erwerb unseres Produktes zu Grunde liegt, entspricht. Dies betrifft insbesondere jede Verwendung der Open-Source-Softwareprogramme außerhalb unseres Produktes. Für die Verwendung der Open-Source-Software jenseits des Vertragszwecks gelten die Gewährleistungs- und Haftungsbestimmungen, die die
jeweils gültige Open-Source-Softwarelizenz für die entsprechende Open-SourceSoftware, wie nachstehend aufgeführt, vorsieht. Wir haften insbesondere auch
nicht, wenn die Open-Source-Software in unserem Produkt oder die gesamte
Softwarekonfiguration in unserem Produkt geändert wird. Die mit dem Vertrag, der
dem Erwerb unseres Produkt zugrunde liegt, gegebene Gewährleistung gilt nur für
die unveränderte Open-Source-Software und die unveränderte Softwarekonfiguration in unserem Produkt.
3.3 Verwendete Open-Source-Software
Wenden Sie sich bitte an unsere Support-Abteilung (support@insys-icom.de) für
eine Liste der in diesem Produkt verwendeten Open-Source-Software.
Gerätevarianten
MoRoS Modem
18
4 Gerätevarianten
Dieses Handbuch beschreibt verschiedene Versionen des MoRoS Modem. Ab Version 2.2 verfügt der Router über einen erhöhten RAM-Speicher, was besonders
komplexen Sandbox-Anwendungen zugutekommt. Diese Geräte werden im Handbuch zusammenfassend als MoRoS Modem bezeichnet. Bei den Geräten handelt
es sich um:
MoRoS Modem 2.1 PRO
MoRoS Modem 2.2 PRO
Sollten sich die Geräte unterscheiden, so wird dies in den entsprechenden Passagen gesondert erwähnt.
Handbücher für frühere Versionen des MoRoS Modem finden Sie weiterhin auf unserer Downloadseite unter http://www.insys-icom.de/doku/#moros.
MoRoS Modem
Lieferumfang
19
5 Lieferumfang
Der Lieferumfang umfasst die im Folgenden aufgeführten Zubehörteile. Bitte
kontrollieren Sie, ob alle angegebenen Zubehörteile in Ihrem Karton enthalten sind.
Sollte ein Teil fehlen oder beschädigt sein, so wenden Sie sich bitte an Ihren
Distributor.
1 MoRoS Modem
2 Telefonkabel (TAE-N auf RJ-12 und RJ-12 auf RJ-12)
1 Quick Installation Guide
1 Monitoring App
Optionales Zubehör ist nicht im Lieferumfang enthalten. Folgende Teile sind bei
Ihrem Distributor oder INSYS icom erhältlich:
Hutschienennetzteile
Monitoring-Pakete zur Überwachung externer Geräte
Folgende weiterführenden Dokumente finden Sie im Downloadbereich und auf der
Produktseite des MoRoS Modem unter www.insys-icom.de:
Zusatzhandbuch ASCII-Konfigurationsdatei
Zusatzhandbuch Automatisches Update
Zusatzhandbuch CLI
Zusatzhandbuch Monitoring App
Technische Daten
MoRoS Modem
20
Physikalische Eigenschaft
Wert
Betriebsspannung
10 V … 60 V DC (±0%)
Leistungsaufnahme Ruhe
ca. 2 W
Leistungsaufnahme Verbindung
max. 3 W
Pegel Eingänge
HIGH-Pegel = 3-12 V (Kontakt offen
bzw. Spannungsfestigkeit bei
Fremdspeisung)
LOW-Pegel = 0-1 V
Stromaufnahme eines aktiven
Eingangs gegen GND (intern 5 V)
Typisch 0,5 mA (bei Aktivierung des
Eingangs durch Verbinden mit GND)
Schaltausgang, max. Schaltspannung
30 V (DC) / 42 V (AC)
Schaltausgang, max. Strombelastung
1 A (DC) / 0,5 A (AC)
Gewicht
300 g
Abmessungen (Breite x Tiefe x Höhe)
70 mm x 110 mm x 75 mm
Temperaturbereich
0 °C … 55 °C
Maximale zulässige Luftfeuchtigkeit
95% nicht kondensierend
Schutzart
Gehäuse IP40, Schraubklemmen IP20
6 Technische Daten
6.1 Physikalische Merkmale
Die angegebenen Daten wurden bei nominaler Eingangsspannung, unter Volllast
und einer Umgebungstemperatur von 25 °C gemessen. Die Grenzwerttoleranzen
unterliegen den üblichen Schwankungen.
Tabelle 1: Physikalische Eigenschaften
MoRoS Modem
Technische Daten
21
Technologische Eigenschaft
Beschreibung
Kommunikationsschnittstelle für
ein- und ausgehende PPPVerbindungen
Analoges INSYS 56k-Modem
4-Port Ethernet-Switch
10/100 Mbit/s Voll- / Halbduplex
Autosense; Automatische Erkennung der
Verdrahtung „Crossover” oder „Patch“.
LAN ext-Schnittstelle
10/100 Mbit/s Voll-/Halbduplex Autosense;
Automatische Erkennung der Verdrahtung
„Crossover” oder „Patch“.
RS232-Schnittstelle
Max. Baudrate 115.200 bit/s; HardwareHandshake RTS/CTS; Software-Handshake
XON/XOFF; verschiedene Datenformate
Übertragungsrate
Bis zu 56 kb/s
Unterstützte Datenkompressionsstandards
Fax Class 1/2MNP 2/3/4, V.42, MNP 10,
MNP 10 EC, MNP 5, V.42 bis; V.44
Unterstützte Übertragungsstandards
V.32bis, V.32, V.23, V.22, V22 bis, V21,
V.34+, V.34, (bei 56k-Version zusätzlich
V.90 und V.92), Bell Norm 103/212, LAPM
6.2 Technologische Merkmale
Tabelle 2: Technologische Merkmale
Anzeige- und Bedienelemente
MoRoS Modem
22
7
9
10
11
4
3
2
1
8
6
5
Position
Bezeichnung
1
Status/VPN LED
2
Data LED
3
COM LED
4
Power LED
5
Status LED für Switch LAN 4
6
Status LED für Switch LAN 3
7
Reset-Taster
8
Status LED für Switch LAN 2
9
Status LED für Switch LAN 1
10
Status LED für Switch LAN 5 / ext.
11
Status LED für Switch LAN 5 / ext.
7 Anzeige- und Bedienelemente
Abbildung 1: Anzeige- und Bedienelemente auf der Gerätevorderseite
Tabelle 3: Beschreibung der Anzeige- und Bedienelemente auf der Gerätevorderseite
MoRoS Modem
Anzeige- und Bedienelemente
23
LED
Farbe
Funktion
aus
blitzt
blinkt
an
Switch
LAN 1-4
gelb
Link 10
MBit/s
Datenverkehr
verbunden
grün
Link 100
MBit/s
Switch
LAN 5
orange
Link 10
MBit/s
Datenverkehr
verbunden
grün
Link 100
MBit/s
Power
grün
Versorgung
fehlt
vorhanden
COM
grün
PPP-Link
offline
im Aufbau
orange
PPP-Link
aufgebaut
Data
grün
Datenverkehr
Datenverkehr auf
der WANSchnittstelle
Status /
VPN
grün
VPN
VPNVerbindung
aufgebaut
rot
Status
Initialisierung,
FW-Update,
Störung
Bezeichnung
Bedienung
Bedeutung
Reset-Taster
Einmal kurz drücken.
Setzt die Software zurück und
startet sie neu.
(Soft-Reset)
Mindestens 3 Sekunden
lang drücken.
Setzt die Hardware zurück und
startet sie neu.
(Hard-Reset)
Innerhalb von 2 Sekunden
dreimal hintereinander kurz
drücken.
Löscht alle Einstellungen und setzt
das Gerät auf Werkseinstellungen
zurück
7.1 Bedeutung der Anzeigeelemente
Tabelle 4: Bedeutung der Anzeigeelemente
7.2 Funktion der Bedienelemente
Tabelle 5: Funktionsbeschreibung und Bedeutung der Bedienelemente
Anschlüsse
MoRoS Modem
24
1
2
3
4
Position
Bezeichnung
1
Telefonanschluss (RJ45/Line-Buchse)
2
Serielle Schnittstelle (RS232-Anschluss V.24/V.28)
3
Switch mit 4 Ethernet-Ports (RJ45, 10/100 BT)
4
Ethernet-Port (RJ45, 10/100 BT)
8 Anschlüsse
8.1 Anschlüsse Vorderseite
Abbildung 2: Anschlüsse auf der Gerätevorderseite
Tabelle 6: Beschreibung der Anschlüsse auf der Gerätevorderseite
MoRoS Modem
Anschlüsse
25
Klemme
Bezeichnung
Beschreibung
1
OUT 1-NC
Ausgang 1 Ruhekontakt
2
OUT 1
Ausgang 1
3
OUT 1-NO
Ausgang 1 Arbeitskontakt
4
OUT 2-NC
Ausgang 2 Ruhekontakt
5
OUT 2
Ausgang 2
6
OUT 2-NO
Ausgang 2 Arbeitskontakt
8.2 Klemmanschlüsse Oberseite
Abbildung 3: Anschlüsse auf der Geräteoberseite
Tabelle 7: Beschreibung der Anschlüsse auf der Geräteoberseite
Anschlüsse
MoRoS Modem
26
Klemme
Bezeichnung
Beschreibung
19
GND
Ground (Masse)
20
Input 2
Eingang 2
21
Input 1
Eingang 1
22
GND
Ground (Masse)
23
Reset
Reset-Eingang
24
GND
Ground (Masse)
25
10 ... 60 VDC
Spannungsversorgung 10 V – 60 V DC
26
GND
Ground (Masse)
8.3 Klemmanschlüsse Unterseite
Abbildung 4: Anschlüsse auf der Geräteunterseite
Tabelle 8: Beschreibung der Anschlüsse auf der Geräteunterseite
MoRoS Modem
Anschlüsse
27
Pin
Belegung
Beschreibung
1
DCD
Data Carrier Detect
2
RXD
Receive Data
3
TXD
Transmit Data
4
DTR
Data Terminal Ready
5
GND
Ground
6
DSR
Data Set Ready
7
RTS
Request To Send
8
CTS
Clear To Send
9
RI
Ring Indication
8.4 Anschlussbelegung der seriellen Schnittstelle
Abbildung 5: 9-poliger D-Sub-Anschluss am Gerät
Tabelle 9: Beschreibung der Pin-Belegung des D-Sub-Anschlusses
Anschlüsse
MoRoS Modem
28
Pin
Belegung
Beschreibung
1 E Nicht verbunden
2
a2
Zum Anschluss eines nachgeschalteten Telefons
3
a1
Ankommende Telefonleitung (Amtsanschluss oder
Nebenstellenanlage)
4
b1
Ankommende Telefonleitung (Amtsanschluss oder
Nebenstellenanlage)
5
b2
Zum Anschluss eines nachgeschalteten Telefons
6 W Nicht verbunden
8.5 RJ45-Telefonanschluss
Abbildung 6: RJ12-Stecker verbunden mit TAE-Stecker
Tabelle 10: Beschreibung der Belegung des RJ12-Steckers und des TAE-Steckers
MoRoS Modem
Funktionsübersicht
29
9 Funktionsübersicht
Der MoRoS Modem bietet Ihnen die folgenden Funktionen:
Konfiguration über Web-Interface, Befehlszeile (CLI) oder
Konfigurationsdatei
Alle Funktionen können über ein Web-Interface oder eine
Befehlszeilen-Schnittstelle (CLI, Command Line Interface) konfiguriert
und eingestellt werden. Der Zugriff ist dabei mit einer Benutzernameund Kennwortabfrage geschützt. Der dafür erforderliche Port kann frei
eingestellt werden. Alternativ kann auch eine Datei (ASCII oder binär)
hochgeladen werden, welche die Konfiguration enthält.
Zugangskontrolle über Radius-Server
Der Zugang zum Web-Interface oder der Befehlszeilen-Schnittstelle
(CLI) kann optional über einen Radius-Server gegen unbefugte
Zugriffe geschützt werden.
IPv6-Routing
Zusätzlich zu den IPv4-Adressen verfügen die Schnittstellen über
Adressen nach dem IPv6-Protokoll. Mit SLAAC (StateLess Address
Auto Configuration) konfiguriert sich der Router selbständig eine oder
mehrere IPv6-Adressen. Wenn im LAN ein Router mit Router
Advertisement IPv6-Adressprefixe verkündet, konfiguriert sich der
Router zusätzlich zu seinen bereits konfigurierten IPv6-Adressen eine
Weitere mit dem verkündeten Prefix. Zusätzlich kann der Router sein
Prefix an lokale Geräte verteilen (Router Advertisement).
Seriell-Ethernet-Gateway
Es ist möglich, auf einem bestimmten Netzwerkport ankommende
Daten auf der seriellen Schnittstelle auszugeben. Ebenso werden an
der seriellen Schnittstelle ankommende Daten an eine IP-Gegenstelle
versendet. Das Seriell-Ethernet-Gateway erlaubt zusammen mit dem
INSYS VCom®-Treiber die Übertragung einer seriellen Verbindung
über ein Netzwerk.
DHCP-Server
Am Switch angeschlossene Ethernetgeräte könnenautomatisch ihre
IP-Adresse beziehen.
DHCP-Client
An der Schnittstelle LAN ext können optional automatisch IP-
Adressen aus dem Netzwerk bezogen werden.
Statische IP-Adresse
Eine statische IP-Adresse kann für die Schnittstelle LAN ext
konfiguriert werden.
Funktionsübersicht
MoRoS Modem
30
DSL-Standleitungsbetrieb
Eine dauerhafte Verbindung über eine DSL („PPP-over-Ethernet“)-
Verbindung kann hergestellt und aufrecht erhalten werden. Dazu
kann ein über die LAN ext-Schnittstelle ein DSL-Modem
angeschlossen werden. So ist es möglich, mit einem externen
Netzwerk über eine „Standleitung“ zu kommunizieren.
Periodischer DSL-Verbindungsaufbau
Eine DSL (PPPoE) -Verbindung kann zeitgesteuert aufgebaut und
auch geschlossen werden. Für den Verbindungsaufbau und den
Verbindungsabbau können Sie Uhrzeiten festlegen.
Dynamischer DSL-Verbindungsaufbau
Bei Bedarf kann selbständig eine DSL (PPPoE)-Verbindung aufgebaut
werden. Nach einer definierbaren Idle-Time oder einer definierbaren
maximalen Verbindungszeit wird die Verbindung wieder abgebaut.
Wählfilter für DSL-Verbindungsaufbau
Mit Hilfe der Wählfilter kann definiert werden, welche Datenpakete zu
einem PPPoE-Verbindungsaufbau führen. Unnötige Verbindungen
können so vermieden werden, Kosten werden eingespart.
NAT und Port-Forwarding
Der Router kann Datenpakete auch durch NAT und Port-Forwarding
weiterleiten. Nach festlegbaren Regeln werden eingehende IP-Pakete
an definierbare Ports und Port-Bereiche zu IP-Adressen und Ports im
LAN weitergeleitet.
IP-Forwarding
Mit IP-Forwarding-Regeln können zusätzliche IP-Adressen an der
Schnittstelle LAN ext angelegt werden. Pakete an eine dieser IPAdressen werden an die mit ihr verknüpfte IP-Adresse im lokalen LAN
weitergeleitet.
Einwahl-PPP-Server (Dial-In)
Eine Verwendung als PPP-Einwahlserver ist möglich. Wie bei einem
Internet Service Provider kann ein Anrufer eine PPP-Verbindung
aufbauen, um auf das dahinterliegende Netzwerk zuzugreifen.
Aufbau einer PPP-Verbindung durch eingehenden Anruf (Callback)
Es ist möglich, einen Anrufer zu identifizieren und automatisch eine
PPP-Verbindung zu einer zuvor bestimmten Gegenstelle (z.B. einem
Internet Service Provider) aufzubauen. Dabei kann sich der Anrufer,
der den Verbindungsaufbau auslöst, über eine PPPAuthentifizierungsmethode identifizieren.
MoRoS Modem
Funktionsübersicht
31
Aufbau einer PPP-Verbindung über einen Digitaleingang
Nach Auslösung durch einen Digitaleingang kann eine PPP-
Verbindung zu einer zuvor bestimmten Gegenstelle (z.B. einem
Internet Service Provider) aufgebaut werden. Es ist auch möglich,
diese Verbindung nur so lange aufrecht zu erhalten, wie das Signal
anliegt.
Automatische Anwahl einer PPP-Gegenstelle (Dial-Out)
Aufbau einer Verbindung zu einer PPP-Gegenstelle (z.B. Internet
Service Provider), sobald ausgehender Netzwerkverkehr registriert
wird.
Wählfilter für das Auslösen eines Verbindungaufbaus
Über Regeln können Sie festgelegen, welcher Netzwerkverkehr oder
Netzwerkteilnehmer einen Verbindungsaufbau auslösen darf.
PPP-Standleitungsbetrieb
Herstellung und Aufrechterhaltung einer dauerhaften Verbindung
über eine „Wählleitung“. So ist es möglich, mit einem Netzwerk über
eine Wählverbindung wie über eine „Standleitung“ zu
kommunizieren.
Periodischer PPP-Verbindungsaufbau
Es ist möglich, eine PPP-Verbindung zeitgesteuert aufzubauen zu
schließen. Für den Verbindungsaufbau und den Verbindungsabbau
können feste Uhrzeiten eingestellt werden.
OpenVPN
Der Router kann als OpenVPN-Server oder -Client fungieren. So
können Maschinen von außen über unsichere Netzwerke eine sichere
Verbindung zum LAN hinter dem Router herstellen. Es kann auch ein
ganzes LAN über eine unsichere Internet-Verbindung abhör- und
störungssicher durch einen VPN-Tunnel mit einem anderen Netzwerk
(z.B. dem Firmennetzwerk) verbunden werden. Dabei wird die
Authentifizierung bei Verbindung zu einem OpenVPN-Server über
einen statischen Schlüssel, über ein Zertifikat mit Benutzernamen und
Kennwort oder über ein Zertifikat alleine unterstützt. Weiterhin kann
auch eine OpenVPN-Verbindung ohne Authentifizierung aufgebaut
werden.
PPTP
Der Router kann als PPTP-Server oder Client fungieren. So können
Maschinen von außen über unsichere Netzwerke eine sichere
Verbindung zum LAN hinter dem Router herstellen. Es kann auch ein
ganzes LAN über eine unsichere Internet-Verbindung abhör- und
störungssicher durch einen VPN-Tunnel mit einem anderen Netzwerk
(z.B. dem Firmennetzwerk) verbunden werden.
Funktionsübersicht
MoRoS Modem
32
IPsec-Protokoll
Zwei Subnetze können über eine unsichere Internet-Verbindung
abhör- und störungssicher durch einen IPsec-Tunnel miteinander
verbunden werden. Dabei wird die Authentifizierung bei Verbindung
zu einem IPsec-Endgerät über Zertifikate oder eine Passphrase (PSK)
unterstützt. Insgesamt können bis zu 10 Tunnel gleichzeitig aufgebaut
werden.
GRE-Tunnel
GRE-Tunnel ermöglichen die transparente Übertragung von Daten
durch eine bestehende Verbindung, ohne dass die Originalpakete
verändert werden.
IPT-Protokoll
Unterstützung der Kommunikation über IPT (Internet-Protokoll
Telemetrie). Der Router kann sich als IPT-Slave zu einem IPT-Master
verbinden und Nutzdaten des Seriell-Ethernet-Gateway an einen
anderen IPT-Slave tunneln.
Dynamisches DNS-Update
Nach dem Aufbau einer PPP-Verbindung zu einem Internet Service
Provider kann die zugewiesene IP-Adresse bei einem dynamischen
DNS-Service (z.B. DynDNS) hinterlegt werden. Der Router kann aus
dem Internet heraus erreicht werden.
DNS-Relay-Server
DNS-Anfragen können an vorher konfigurierte DNS-Server im Internet
oder die beim PPP-Verbindungsaufbau übergebenen DNS-Server
weitergeleitet werden.
Firewall (Stateful Firewall)
Die Firewall ermöglicht es, ein- und ausgehende IP-Verbindungen zu
beschränken. Für jede Verbindung und für jeden gespeicherten
Benutzer kann eine flexible Regel angelegt werden. Entspricht eine
Verbindung durch den Router einer dieser Firewall-Regeln, so wird die
Verbindung zugelassen, andernfalls wird die Verbindung
unterbunden. Die „Stateful Firewall“ erlaubt Verbindungen auch für
Protokolle mit speziellen Anforderungen, z.B. FTP.
Konfigurierbarer Ethernet-Switch
Für jeden Port am Switch kann die Übertragungsrate, der
Übertragungsmodus und die LED-Anzeige für bestimmte
Netzwerkereignisse einzeln eingestellt werden. In der
Werkseinstellung werden die Einstellungen automatisch erkannt. Der
Switch kann in bis zu vier VLANs aufgeteilt werden.
MoRoS Modem
Funktionsübersicht
33
Portspiegelung am Ethernet-Switch für Analysezwecke
Ein Port am Switch kann eine Kopie der Daten an einem anderen
Netzwerkport des Switchs wiedergeben. An diesem Mirror-Port
können die übertragenen Daten für Analysezwecke (z.B. für Intrusion
Detection Systeme, Problemanalyse von Endgeräten) gelesen werden,
ohne dass der Netzwerkverkehr beeinflusst wird.
MAC-Filter
Der MAC-Filter ermöglicht es, dass nur noch Pakete an der lokalen
Ethernet-Schnittstelle akzeptiert werden, die von explizit zugelassenen
Netzwerkgeräten stammen.
E-Mail- und SMS-Versand sowie SNMP-Trap-Auslösung bei
verschiedenen Ereignissen
Es ist möglich, bei verschiedenen Ereignissen eine E-Mail oder eine
SMS an beliebige Empfänger zu versenden oder einen SNMP-Trap
auszulösen. Dazu stehen eine Reihe vordefinierter Ereignisse zur
Verfügung, wie zum Beispiel der Aufbau von Verbindungen oder
Tunnels, Signale am Eingang, Änderungen der Link-Zustände,
fehlerhafte Authentifizierung am Web-Interface, Zurückweisungen
durch die Firewall, Konfigurationsänderungen und andere interne
Vorgänge im Gerät.
SNMP-Agent für die Bearbeitung von SNMP-Anfragen
Beantwortung eingehender SNMP-Anfragen (SNMP-Get-Requests)
bei aktiviertem SNMP-Agent. Damit können fast alle
Konfigurationsparameter ausgelesen werden.
Digitale Schaltausgänge und Eingänge
Es stehen zwei potentialfreie Schaltausgänge zur Verfügung, die zum
Schalten weiterer Funktionen in einer Applikation genutzt werden
können. Es stehen auch digitale Eingänge zur Verfügung, die zum
Aufbau von Verbindungen oder zum Versand von Meldungen via EMail oder SMS genutzt werden können.
Zeitsynchronisation über NTP
Synchronisierung der Systemzeit über das Network Time Protocol mit
einem NTP-Server im Internet. So ist die Systemzeit immer aktuell
und die interne Uhr muss nicht manuell eingestellt werden.
NTP-Server
Ein NTP-Server kann NTP-Anfragen im lokalen Netz beantworten.
Funktionsübersicht
MoRoS Modem
34
HTTP und HTTPS Proxy mit URL-Filter
Der Proxy dient dazu, um den Zugriff auf Webadressen für
Applikationen im lokalen Netz des Routers zu beschränken sowie um
Verbindungs-Timeouts zu vermeiden. Es werden die Protokolle HTTP
und HTTPS unterstützt. Der Proxy hält Verbindungen während dem
Verbindungsaufbaus des Kommunikationsgerätes geöffnet, um einem
vorzeitigen Timeout vorzubeugen. Der Proxy arbeitet nicht als Cache
für häufig aufgerufene Webseiten.
Log-Dateien
Verschiedene Log-Dateien können als Textdatei über das Web-
Interface heruntergeladen werden.
Herunterladbare Konfigurationsdateien
Die Konfiguration kann als binäre oder als ASCII-Datei
heruntergeladen werden. Die Datei kann als Sicherheitskopie zur
Konfiguration nach einer Zurückstellung auf Werkseinstellungen
verwendet werden oder zum bequemen Laden einer gleichen
Konfiguration in verschiedene Router. Die ASCII-Konfigurationsdatei
kann bearbeitet werden und bietet eine bequeme Möglichkeit zur
alternativen Konfiguration.
Firmware-Update über Web-Interface
Die Firmware kann über das Web-Interface aktualisiert werden. Ein
Update kann lokal oder aus der Ferne durchgeführt werden.
Automatisches tägliches Update
Eine tägliche automatische Aktualisierung von Firmware-Dateien,
Konfigurationsdateien (binär und ASCII) oder Sandbox-Image-Dateien,
die auf einem Server entsprechend bereitgestellt werden, ist möglich.
Optionales redundantes Kommunikationsgerät anschließbar
Sie können ein zweites INSYS Kommunikationsgerät über die serielle
Schnittstelle anschließen, um dadurch die Dial-Out- und Dial-InKommunikation durch Redundanz abzusichern und die Verfügbarkeit
zu erhöhen.
Redundante WAN-Schnittstelle
Es ist möglich, das integrierte Kommunikationsgerät als redundante
WAN-Schnittstelle bei Verbindungsproblemen über die LAN extSchnittstelle zu verwenden.
Frei programmierbare Sandbox
Es steht eine frei programmierbare Sandbox zur Verfügung. Die
Sandbox ist eine Art virtueller Maschine, die auf dem Router läuft und
in der man Programme starten, Daten sammeln und Dienste anbieten
kann, die im eigentlichen System nicht vorhanden sind.
MoRoS Modem
Funktionsübersicht
35
Debugging-Werkzeuge zur Analyse von Netzwerkverbindungen
Es stehen verschiedene Werkzeuge zur Verfügung, um Probleme mit
Netzwerkverbindungen analysieren zu können. Dabei können PingPakete gesendet, Routen von IP-Paketen verfolgt, DNS-Informationen
abgefragt und Netzwerkpakete aufgezeichnet werden.
Abfragen und Setzen von Objekten über MCIP-Protokoll
Die digitalen Ein-/Ausgänge und ein Teil der LEDs können über das
MCIP-Protokoll abgefragt oder gesetzt werden. Das MCIP-Protokoll ist
sowohl in der Sandbox als auch von externen Geräten über TCP/IP
verfügbar.
Vorinstallierte Monitoring App
Die vorinstallierte Monitoring App (Überwachungsapplikation)
ermöglicht die Überwachung von Timern, eingehenden SMS
(Mobilfunkgeräte) oder Objekten einer Siemens-Steuerung der Typen
LOGO!™ bzw. S7 (jeweils lizenzpflichtig) sowie das Absetzen von
Alarmmeldungen.
Montage
MoRoS Modem
36
Vorsicht!
Nässe und Flüssigkeiten aus der Umgebung können ins
Innere des Geräts gelangen!
Brandgefahr und Beschädigung des Produkts.
Das Gerät darf nicht in nassen oder feuchten Umgebungen
oder direkt in der Nähe von Gewässern eingesetzt werden.
Installieren Sie das Gerät an einem trockenen, vor
Spritzwasser geschützten Ort. Schalten Sie die Spannung
ab, bevor Sie Arbeiten an einem Gerät durchführen, das mit
Feuchtigkeit in Berührung kam.
Vorsicht!
Gerätezerstörung durch falsche Spannungsquelle!
Wenn das Gerät mit einer Spannungsquelle betrieben wird,
die eine größere Spannung als die zulässige
Betriebsspannung liefert, wird es zerstört.
Sorgen Sie für eine geeignete Spannungsversorgung. Den
richtigen Spannungsbereich finden Sie im Abschnitt
Technische Daten.
10 Montage
Dieser Abschnitt erklärt, wie Sie den MoRoS Modem auf einer Hutschiene
montieren, die Spannungsversorgung anklemmen und wie Sie ihn wieder
demontieren können. Beachten Sie dazu unbedingt die Anweisungen im
Abschnitt „Sicherheit“ dieses Handbuchs, insbesondere die
„Sicherheitshinweise zur elektrischen Installation“.
MoRoS Modem
Montage
37
Gerät auf Hutschiene montieren
So montieren Sie den MoRoS Modem auf einer DIN-Hutschiene:
1. Setzen Sie das Gerät, wie in der folgenden Abbildung gezeigt, an der
Hutschiene an. An der oberen und der unteren Außenkante der
Hutschienennut befinden sich jeweils zwei Rasthaken. Haken Sie die
oberen beim Ansetzen hinter der Oberkante der Hutschiene ein.
2. Klappen Sie das Gerät senkrecht zur Hutschiene, bis die zwei unteren,
beweglichen Rasthaken unten in der Hutschiene einrasten.
Der MoRoS Modem ist nun fertig montiert.
Spannungsversorgung anklemmen
Das Gerät ist bereits auf der Hutschiene montiert.
Die Spannungsversorgung steht bereit und ist abgeschaltet.
1. Klemmen Sie das Massekabel der Spannungsversorgung an der
Klemme „GND“ an.
2. Klemmen Sie den Pluspol der Spannungsversorgung an der Klemme
für die Spannungsversorgung an.
Der MoRoS Modem ist nun mit der Spannungsversorgung verbunden.
Montage
MoRoS Modem
38
Spannungsversorgung trennen
Das Gerät ist auf der Hutschiene montiert.
Die Spannungsversorgung ist angeschlossen und abgeschaltet.
1. Trennen Sie das Massekabel der Spannungsversorgung von der
Klemme „GND“.
2. Trennen Sie den Pluspol der Spannungsversorgung von der Klemme
für die Spannungsversorgung.
Der MoRoS Modem ist von der Spannungsversorgung getrennt.
Gerät von Hutschiene demontieren
So demontieren Sie den MoRoS Modem von einer DIN-Hutschiene in
einem Schaltschrank:
Sie benötigen einen kleinen Schlitzschraubendreher.
Die Spannungsversorgung des Schaltschranks ist abgestellt und gegen
versehentliches Wiedereinschalten gesichert.
Alle Kabel am Gerät sind abgeklemmt.
1. Führen Sie den Schlitzschraubendreher wie in der folgenden
Abbildung gezeigt in die Rille hinten im Boden ein.
MoRoS Modem
Montage
39
2. Bewegen Sie den Schlitzschraubendreher wie in der folgenden
Abbildung gezeigt zum Gerät hin.
Die Kunststofffeder mit den unteren Rasthaken wird
auseinandergezogen.
3. Während Sie die Kunststofffeder mit den unteren Rasthaken gespannt
halten, klappen Sie das Gerät von der Hutschiene weg.
4. Haken Sie das Gerät aus und nehmen Sie ihn senkrecht zur
Hutschiene ab.
Der MoRoS Modem ist nun demontiert.
Inbetriebnahme
MoRoS Modem
40
11 Inbetriebnahme
Dieses Kapitel erklärt, wie Sie den MoRoS Modem in Betrieb nehmen; d.h. mit
einem PC verbinden und zur Konfiguration vorbereiten.
An das Telefonnetz und einen PC anschließen
So verbinden Sie den MoRoS Modem über das mitgelieferte Telefonkabel
mit dem Telefonanschluss und mit einem Netzwerkkabel mit einem PC.
Die Stromversorgung des Geräts ist abgestellt.
Sie benötigen ein Cat 5-Netzwerk-Patchkabel.
Sie benötigen eine Netzwerkkarte am PC.
Sie benötigen das mitgelieferte Telefonkabel.
1. Suche Sie die RJ-45-Buchse der Netzwerkkarte am PC.
2. Stecken Sie das eine Ende des Netzwerkkabels in die RJ-45-Buchse
am PC und das andere Ende in eine Netzwerkbuchse am Switch des
MoRoS Modem.
3. Schließen Sie das Telefonkabel an die RJ45-Line-Buchse am Gerät an.
4. Verbinden Sie das Telefonkabel mit der TAE-Dose Ihres
Telefonanschlusses.
MoRoS Modem
Inbetriebnahme
41
Den MoRoS Modem konfigurieren
Das Gerät ist an den PC angeschlossen.
Die Spannungsversorgung des Geräts ist eingeschaltet.
Sie haben die nötigen Zugriffsrechte, die IP-Adresse der Netzwerkkarte zu
verändern, an die der MoRoS Modem angeschlossen ist.
1. Ändern Sie die IP-Adresse der Netzwerkkarte, an die das Gerät
angeschlossen ist, auf eine Adresse die mit 192.168.1. beginnt.
Alternativ können Sie Ihre Netzwerkkarte auf „automatische
Adresszuweisung“ konfigurieren. Der integrierte DHCP Server des
MoRoS Modem weist Ihrer Netzwerkkarte dann beim Anstecken eine
Adresse aus dem passenden Adressbereich zu.
Verwenden Sie nicht die Adresse 192.168.1.1. Das ist die ab Werk
eingestellte IP-Adresse des Geräts. Verwenden Sie z.B. 192.168.1.2.
als IP-Adresse für die Netzwerkkarte in Ihrem PC.
2. Öffnen Sie einen Webbrowser und geben Sie die URL
„http://192.168.1.1“ ein.
Der Webbrowser lädt die Startseite des MoRoS Modem.
Falls Sie im Browserfenster die Meldung sehen, dass die Seite mit der
Adresse nicht gefunden werden kann: Prüfen Sie, ob das Gerät mit
Spannung versorgt ist. Falls ja, ist vermutlich die falsche IP-Adresse im
Gerät eingestellt. Drücken Sie dafür dreimal innerhalb von 2 Sekunden
auf den Reset-Taster und wiederholen Sie diese Anleitung ab Schritt 2.
Sie werden durch einen Dialog zur Authentifizierung mit
Benutzernamen und Kennwort aufgefordert.
3. Geben Sie als Benutzernamen „insys“ und als Kennwort „moros“ ein.
Benutzername und Kennwort sind als Werkeinstellung gesetzt.
Funktioniert die Anmeldung am Web-Interface mit diesen Daten nicht,
setzen Sie das Gerät einfach auf die Werkseinstellungen zurück.
Drücken Sie dafür dreimal innerhalb von 2 Sekunden auf den ResetTaster und wiederholen Sie diese Anleitung ab Schritt 2.
Sie sehen die Startseite des Web-Interface.
Der MoRoS Modem ist erfolgreich installiert und bereit zur
Konfiguration.
Bedienprinzip
MoRoS Modem
42
12 Bedienprinzip
Dieses Kapitel erklärt Ihnen, wie Sie bei Bedienung und Konfiguration eines MoRoS
Modem vorgehen.
Konfiguration und Bedienung erfolgen mit Hilfe einer web-basierten Schnittstelle
(Web-Interface). Das Web-Interface selbst wird mit Hilfe eines Webbrowsers
angezeigt und bedient.
MoRoS Modem
Bedienprinzip
43
12.1 Bedienung mit Web-Interface
Das Web-Interface ermöglicht eine komfortable Konfiguration mit Hilfe eines
Webbrowsers. Über das Web-Interface ist es möglich, alle Funktionen zu
konfigurieren. Die Bedienung ist weitgehend selbsterklärend. Das WebInterface bietet zusätzlich eine Online-Hilfe, in der die Bedeutung möglicher
Einstellungen erklärt ist. Die Online-Hilfe wird angezeigt, indem in der
Titelleiste unter der Sprachauswahl die Option „Hilfetexte anzeigen“ gewählt
wird.
Wir empfehlen bei den ersten Konfigurationsvorgängen unbedingt, die
Online-Hilfe zu aktivieren, um eine schnelle und fehlerfreie
Konfiguration zu ermöglichen.
Konfigurieren und Einstellen mit dem Web-Interface
Hier erfahren Sie, wie Sie prinzipiell vorgehen, um mit dem Web-Interface
zu konfigurieren.
Das Gerät ist betriebsbereit und Sie haben darauf Zugriff (siehe Abschnitt
Inbetriebnahme).
1. Starten Sie den Web-Browser und geben Sie die IP-Adresse in die
Adresszeile ein.
Die ab Werk voreingestellte IP-Adresse ist 192.168.1.1.
Ein Dialog zur Authentifizierung erscheint und fordert Sie auf,
Benutzernamen und Kennwort einzugeben.
2. Geben Sie den Benutzernamen und Kennwort ein und klicken Sie
danach auf OK.
Die Werkseinstellung des Web-Interface sind wie folgt:
der Benutzername ist „insys“, das Kennwort ist „moros“.
Die Startseite des Web-Interface wird angezeigt.
3. Wählen Sie über das Menü links den Menüpunkt aus, in dem Sie
Einstellungen vornehmen möchten.
4. Nehmen Sie die gewünschten Einstellungen vor.
5. Klicken Sie abschließend auf die Schaltfläche OK auf der jeweiligen
Konfigurationsseite, um die Einstellungen zu speichern.
Bitte klicken Sie nach einer Änderung der Konfiguration stets die auf
die Schaltfläche OK , da ansonsten bei einem Wechsel der Seite oder
beim Schließen des Browsers die Einstellungen nicht übernommen
werden.
Bedienprinzip
MoRoS Modem
44
12.2 Zugang über das HTTPS-Protokoll
Das Web-Interface ermöglicht auch eine sichere Konfiguration unter
Verwendung des HTTPS-Protokolls. Das HTTPS-Protokoll ermöglicht eine
Authentifizierung des Servers (d.h. des MoRoS Modem) sowie eine
Verschlüsselung der Datenübertragung.
Bei einem ersten Zugriff über das HTTPS-Protokoll zeigt der Browser an, dass
der MoRoS Modem ein ungültiges Sicherheitszertifikat verwendet. Dem
Zertifikat wird nicht vertraut, weil das Aussteller-Zertifikat (CA-Zertifikat)
unbekannt ist.
Sie können diese Warnmeldung ignorieren und (je nach Browser und
Betriebssystem) eine Ausnahme für diesen Server hinzufügen oder die sichere
Verbindung zu diesem Server trotzdem aufbauen.
Wir empfehlen, das CA-Zertifikat CA_MoRoS.crt von der Zertifikats-Seite
(http://www.insys-icom.de/zertifikat/) herunterzuladen und in Ihren Browser zu
importieren, um INSYS MICROELECTRONICS als Zertifizierungsstelle
anzuerkennen. Gehen Sie dazu vor, wie in der Dokumentation Ihres Browsers
beschrieben.
Wenn INSYS MICROELECTRONICS als Zertifizierungsstelle in Ihrem Browser
hinterlegt ist und sie erneut auf das Gerät über das HTTPS-Protokoll zugreifen,
zeigt der Browser erneut an, dass ein ungültiges Sicherheitszertifikat
verwendet wird. Dem Zertifikat wird nicht vertraut, weil sich der Common
Name des Zertifikates von Ihrer Eingabe in der Adressleiste des Browsers
unterscheidet. Der Browser meldet, dass sich ein anderes Gerät unter dieser
URL meldet. Der Common Name des Zertifikates besteht aus der MACAdresse des MoRoS Modem, wobei die Doppelpunkte durch Unterstriche
ersetzt sind.
Sie können diese Warnmeldung ignorieren und (je nach Browser und
Betriebssystem) eine Ausnahme für diesen Server hinzufügen oder die sichere
Verbindung zu diesem Server trotzdem aufbauen.
Um auch diese Browser-Warnung zu vermeiden, müssen Sie den Common
Name des zu erreichenden MoRoS Modem in die Adressleiste Ihres Browsers
eingeben. Damit die URL zum richtigen Gerät führt, muss der Common Name
mit der IP-Adresse des Geräts verknüpft werden. Den Allgemeinen Namen
(Common Name) können Sie herausfinden, indem Sie das Zertifikat vom Gerät
herunterladen und dies ansehen. Die Vorgehensweise hierzu ist von Ihrem
Browser abhängig. Die Vorgehensweise für das Einrichten der Verknüpfung
ist abhängig von Ihrem Betriebssystem:
Editieren von /etc/hosts (Linux/Unix)
Editieren von C:\WINDOWS\system32\drivers\etc\hosts (Windows XP)
Konfigurieren Ihres eigenen DNS-Servers
Sehen Sie für weitere Informationen dazu in der Dokumentation Ihres
Betriebssystems nach.
MoRoS Modem
Funktionen
45
13 Funktionen
13.1 Basic Settings
13.1.1 Zugang zum Web-Interface konfigurieren
Das Web-Interface dient zur Konfiguration des MoRoS Modem. Es wird durch eine
Abfrage von Benutzername und Kennwort (alternativ auch über einen RadiusServer) gegen unbefugte Zugriffe geschützt. Das Web-Interface kann für eine
Konfiguration von einem Rechner aus dem internen Netz oder für eine
Fernkonfiguration aus dem WAN über das HTTP- und HTTPS-Protokoll konfiguriert
werden. Für eine bessere Unterscheidbarkeit kann ein Standort eingetragen
werden. Sie können den Port festlegen, unter dem Sie das Web-Interface
erreichen.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „WebInterface“)
Für eine Authentifizierung lokal am Gerät wählen Sie den Radiobutton
„Authentifizierung mit Kennwort“ und geben Sie die Zugangsdaten in die
entsprechenden Felder ein.
Für eine Authentifizierung am Radius-Server wählen Sie den Radiobutton
„Authentifizierung am Radius-Server“.
Dazu muss der Radius-Server konfiguriert sein (im Menü „Basic
Settings“ auf der Seite „Radius-Server“).
Um eine Authentifizierung mit Kennwort zu ermöglichen, falls der
Radius-Server nicht erreichbar ist bzw. nicht antwortet, aktivieren Sie die
Checkbox „Authentifizierung mit Kennwort nach Radius-Timeout“.
Um festzulegen, über welche Zugriffsmöglichkeiten (lokal oder aus der
Ferne über HTTP oder HTTPS) die Konfiguration zulässig ist, aktivieren
bzw. deaktivieren Sie die jeweiligen Checkboxen.
Den Port des Web-Interface legen Sie im Eingabefeld „HTTP Port des
Web-Interface“ bzw. „HTTPS Port des Web-Interface“ fest.
Standardmäßig ist Port 80 (HTTP) bzw. Port 443 (HTTPS) für das WebInterface eingestellt.
Eine Bezeichnung des Routers oder Standorts kann im Feld „Standort“
eingegeben werden. Diese Bezeichnung erscheint dann in der Titelzeile
des Browserfensters sowie der Startseite des Web-Interface und
erleichtert eine Unterscheidung wenn mehrere Web-Interface-Fenster
geöffnet sind.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
46
13.1.2 IP-Adressen einstellen
Der MoRoS Modem muss im LAN unter einer bestimmten IP-Adresse erreichbar
sein. Dazu müssen Sie eine statische IP-Adresse eingeben. Sie können dabei eine
IPv4- und eine IPv6-Adresse eingeben. Mit SLAAC (StateLess Address
AutoConfiguration) kann sich der Router selbständig eine oder mehrere IPv6Adressen konfigurieren. Wenn im LAN ein Router mit Router Advertisement IPv6Adressprefixe verkündet, konfiguriert sich der Router zusätzlich zu seinen bereits
konfigurierten IPv6-Adressen eine Weitere mit dem verkündeten Prefix.
Dem lokalen Netzwerk kann eine virtuelle Netzadresse zugewiesen werden. Geräte
im lokalen Netzwerk können anschließend über das WAN mit der virtuellen
Adresse angesprochen werden. Der Router tauscht den Netzwerkanteil der
virtuellen IP-Adresse gegen den Netzwerkanteil des lokalen Netzwerkes aus und
leitet das Paket an das Ziel weiter.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „IP-Adresse
(LAN)“)
Um eine statische IP-Adresse einzustellen, geben Sie die IPv4-Adresse
des Routers im LAN sowie die Netzmaske ein.
Bei Änderung der lokalen IP-Adresse wird automatisch der
Adressbereich des DHCP-Servers angepasst, wenn sich die
Netzmaske nicht verändert hat. Bei einer veränderten Netzmaske wird
der DHCP-Server deaktiviert und muss von Hand konfiguriert werden.
Darauf wird in einer Meldung hingewiesen.
Die MAC-Adresse finden Sie unter den Eingabefeldern für die IP-Adresse
und Netzmaske unter „MAC-Adresse“ auf dieser Seite.
Damit sich der Router selbständig eine oder mehrere IPv6-Adressen
konfiguriert, markieren Sie die Checkbox „IPv6-Adresse automatisch
beziehen (SLAAC)“.
Geben Sie im Eingabefeld „IPv6-Adresse“ die IPv6-Adresse des Routers
im LAN ein oder wählen Sie den Link „Neue ULA generieren“, um eine
ULA (Unique Local Address) zu generieren.
Um dem lokalen Netzwerk eine virtuelle Netzadresse zuzuweisen,
markieren Sie die Checkbox „Netmapping aktivieren“ und geben Sie die
Netzadresse (d.h. den gesamten IP-Bereich) in das Feld „Virtuelle
Netzadresse“ ein (z.B. 192.168.2.0). Diese virtuelle Adresse ist nur von
der WAN- bzw. VPN-Seite aus sichtbar.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
47
Soll die Kommunikation aus Sicherheitsgründen auf nur eine IP-
Version (IPv4 oder IPv6) beschränkt werden, darf hier für die zu
sperrende Version keine IP-Adresse angegeben werden.
Wenn IPv6 gesperrt werden soll, müssen auch SLAAC und der RouterAdvertiser deaktiviert sein.
Wenn IPv4 gesperrt werden soll, müssen DHCP-Server und –Client
deaktiviert sein.
Bei der IP-Adresse der LAN (ext)-Schnittstelle ist genauso zu
verfahren.
Außerdem ist die Firewall für die zu blockierende IP-Version zu
aktivieren und es müssen alle Firewall-Regeln manuell so abgeändert
werden, dass sie keinen Datenverkehr dieser IP-Version erlauben.
Funktionen
MoRoS Modem
48
13.1.3 Statische Routen eintragen
Sie können im MoRoS Modem statische Routen für die Weiterleitung von
Datenpaketen definieren, die beim Systemstart geladen werden.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „Routing“)
Um eine statische Route einzutragen, geben Sie im Abschnitt „Neue
Route hinzufügen“ die Netzadresse, die Netzmaske sowie den Gateway
in die jeweiligen Felder für IPv4 oder IPv6 ein. Alle Felder müssen
ausgefüllt werden, damit eine neue Route für die jeweilige IP-Version in
die Tabelle übernommen wird. Übernehmen Sie die Route, indem Sie auf
„OK“ klicken.
Um eine bestehende Route zu löschen, aktivieren Sie unter „Bestehende
Routen“ die Checkbox der Route(n), die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Hier kann weder ein Default-Gateway eingetragen werden, noch kann
NAT ein- oder ausgeschaltet werden. Dies wird in den Menüs „DialIn“, „Dial-Out“ bzw. „LAN (ext)“ auf der dortigen Seite „Routing“
konfiguriert.
13.1.4 Hostnamen eintragen
Sie können den Host- und Domainnamen des MoRoS Modem hier angeben.
Außerdem kann eine Hosttabelle erstellt werden, in der IP-Adressen mit
Hostnamen verknüpft werden. Wenn der Router bei einem PC als DNS-Server
eingetragen ist, kann dieser anstelle der IP-Adressen die Hostnamen zur
Adressierung benutzen.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „Hostnamen“)
Um den Hostnamen einzutragen, geben Sie den Hostnamen ein.
Um den Domainnamen einzutragen, geben Sie den Domainnamen ein.
Um einen neuen Host in die Hosttabelle einzutragen, geben Sie im
Abschnitt „Neuen Host hinzufügen“ die IP-Adresse und den zugehörigen
Hostnamen in die jeweiligen Felder ein. Übernehmen Sie den Host in die
Tabelle, indem Sie auf „OK“ klicken.
Um einen bestehenden Host zu löschen, aktivieren Sie unter
„Bestehende Hosts“ die Checkbox des/der Hosts, der/die gelöscht
werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
49
Hinweis
Verlust der Erreichbarkeit!
Wenn die MAC-Adresse des Rechners, mit dem die
Konfiguration vorgenommen wird, nicht eingetragen ist, ist
keine weitere Konfiguration mehr möglich.
Tragen Sie unbedingt die MAC-Adresse des Rechners, mit
dem die Konfiguration vorgenommen wird, in die Liste
erlaubter Absender-MAC-Adressen ein, bevor Sie den
MAC-Filter aktivieren.
13.1.5 MAC-Filter konfigurieren
Im MoRoS Modem kann ein MAC-Filter aktiviert werden, der dann an der lokalen
Ethernet-Schnittstelle nur noch Pakete akzeptiert, die von Netzwerkgeräten
kommen, die explizit im Filter zugelassen sind.
Dies gilt nur für Verbindungen, welche vom Gerät im lokalen LAN
initiiert werden, nicht für Verbindungen, die von Seiten des WAN
initiiert wurden.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „MAC-Filter“)
Um den MAC-Filter zu aktivieren, aktivieren Sie die Checkbox „MACFilter aktivieren“.
Um eine neue Absender-MAC-Adresse einzutragen, geben Sie diese in
das Feld „Neue Absender-MAC-Adresse zulassen“ ein. Die MAC-Adresse
kann mit oder ohne Doppelpunkten eingetragen werden, andere Formate
werden nicht unterstützt. Übernehmen Sie den Eintrag, indem Sie auf
„OK“ klicken.
Um eine bestehende Absender MAC-Adresse zu löschen, aktivieren Sie
unter „Erlaubte Absender-MAC-Adressen“ die Checkbox der Adresse(n),
die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
50
13.1.6 Zugriffschutz über Radius-Server konfigurieren
Der Zugang zum Web-Interface oder der Befehlszeilen-Schnittstelle (CLI) kann
optional über einen Radius-Server im Netzwerk gegen unbefugte Zugriffe geschützt
werden. Dazu müssen die Zugangsdaten für den Radius-Server im MoRoS Modem
konfiguriert werden.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „Radius“)
Um einen Zugriffschutz über einen Radius-Server zu konfigurieren,
tragen Sie dessen Adresse und Port in die entsprechenden Felder ein.
Standardmäßig ist Port 1812 eingestellt.
Geben Sie noch das „Shared Secret“ (Authentifizierungsschlüssel) in das
zugehörige Feld ein.
Diese Einstellungen sind nur relevant, wenn die Authentifizierung am
Radius-Server im Menü „Basic Settings“ auf der Seite „Web-Interface“
und/oder der Seite „CLI“ ausgewählt ist.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
51
13.1.7 Zugang zur Befehlszeilen-Schnittstelle CLI konfigurieren
Neben der Konfiguration über das Web-Interface oder die Konfigurationsdatei,
kann ein MoRoS Modem auch über ein CLI (Command Line Interface), eine
Befehlszeilen-Schnittstelle, konfiguriert werden. Es wird durch eine Abfrage von
Benutzername und Kennwort (alternativ auch über einen Radius-Server) gegen
unbefugte Zugriffe geschützt. Der Zugang zum CLI kann entweder aus dem lokalen
Netz oder aus der Ferne über Telnet oder SSH (verschlüsselt) erfolgen. Sie können
für Telnet und SSH den Port festlegen, unter dem Sie das CLI erreichen. Außerdem
können Sie die Eingabeaufforderung (Prompt) im CLI konfigurieren.
Eine detaillierte Beschreibung der Konfiguration über das CLI findet sich im
entsprechenden Zusatzhandbuch.
Konfiguration mit Web-Interface (Menü „Basic Settings“, Seite „CLI“)
Für eine Authentifizierung lokal am Gerät wählen Sie den Radiobutton
„Authentifizierung mit Kennwort“ und geben Sie die Zugangsdaten in die
entsprechenden Felder ein.
Für eine Authentifizierung am Radius-Server wählen Sie den Radiobutton
„Authentifizierung am Radius-Server“.
Dazu muss der Radius-Server konfiguriert sein (im Menü „Basic
Settings“ auf der Seite „Radius-Server“).
Um eine Authentifizierung mit Kennwort zu ermöglichen, falls der
Radius-Server nicht erreichbar ist bzw. nicht antwortet, aktivieren Sie die
Checkbox „Authentifizierung mit Kennwort nach Radius-Timeout“.
Um festzulegen, über welche Zugriffsmöglichkeiten (lokal oder aus der
Ferne über Telnet oder SSH) die Konfiguration zulässig ist, aktivieren
bzw. deaktivieren Sie die jeweiligen Checkboxen.
Die zulässige Konfiguration können Sie über die jeweilige Checkbox
aktivieren bzw. deaktivieren.
Wenn keine dieser Checkboxen aktiviert ist, ist kein Zugriff auf das CLI
möglich!
Den Telnet-Port legen Sie im Eingabefeld „Telnet-Port“ fest.
Standardmäßig ist Port 23 eingestellt.
Den SSH-Port legen Sie im Eingabefeld „SSH-Port“ fest. Standardmäßig
ist Port 22 eingestellt.
Die Eingabeaufforderung (Prompt) legen Sie im Eingabefeld „CLIPrompt“ fest. Standardmäßig ist „> “ eingestellt.
Die SSH-MD5-Prüfsumme dient der positiven Identifizierung des Geräts
bei einer SSH-Verbindung. Der zu Grunde liegende Schlüssel kann mit
der Schaltfläche „SSH-Schlüssel neu erstellen“ neu erzeugt werden.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
52
13.2 Modem
13.2.1 Modem konfigurieren
Das integrierte Modem kann an landesspezifische Anforderungen und
Telefoniestandards angepasst werden. Weiterhin kann man festlegen, ob das
Modem vor dem Aufbau einer Verbindung auf den Wählton wartet um unnötige
Wählvorgänge bei fehlender Telefonleitung zu verhindern. Eine speziellere
Konfiguration des integrierten Modems kann über AT-Befehle erfolgen.
Konfiguration mit Web-Interface (Menü „Modem“)
Wählen Sie die landesspezifischen Einstellungen des Modems für das
Einsatzland mit dem Dropdown-Menü „Ländercode“ aus.
Bestimmen Sie mit der Checkbox „Auf Wählton warten“, ob das Modem
vor dem Wählen auf einen Wählton wartet oder nicht.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Geben Sie ggf. AT-Befehle für das Modem in das Eingabefeld „AT-
Kommando“ ein und klicken Sie dann auf die Schaltfläche „OK“, um den
Befehl an das eingebaute Modem zu senden. Danach wird die Seite neu
aufgebaut und Sie sehen den eingegebenen Befehl sowie dessen
Rückmeldung. Sie haben dann die Möglichkeit, weitere AT-Befehle an
das interne Modem zu senden. Die AT-Befehle werden teilweise durch
die interne Konfiguration wieder überschrieben. Durch eine
Fehlkonfiguration der integrierten Kommunikationsmodule kann evtl. ein
Funktionsverlust des MoRoS Modem entstehen.
MoRoS Modem
Funktionen
53
13.3 Dial-In
13.3.1 Dial-In einrichten
Sie können den MoRoS Modem als Einwahl-Server bzw. eingehenden PPP-Server
verwenden. Die Dial-In-Funktion ermöglicht, dass sich Benutzer aus der Ferne per
Modem über die Rufnummer des Telefonanschlusses, an dem das Gerät
angeschlossen ist, mit dem Netzwerk dahinter verbinden. Ähnlich der Einwahl bei
einem Internetprovider authentifizieren sich die Benutzer per Benutzernamen und
Kennwort. Zur Authentifizierung der PPP-Nutzer stehen die Methoden PAP oder
CHAP zur Verfügung. Erfolgreich authentifizierte Nutzer können eine PPPVerbindung aufbauen, um auf das Netzwerk des MoRoS Modem zuzugreifen.
Konfiguration mit Web-Interface (Menü „Dial-In“, Seite „Dial-In“)
Um den Dial-In-Server zu aktivieren, wählen Sie den Radiobutton „Ja“ für
„Dial-In aktivieren“.
Um den Dial-In vor einem LAN (ext) zu priorisieren, markieren Sie die
Checkbox „Dial-In vor LAN (ext) priorisieren“. Dann wird nach einem
authorisierten Dial-In die LAN (ext)-Verbindung abgebaut und
anschließend die Dial-In-Verbindung aktiviert. Ansonsten wird ein
eingehender Dial-In abgebrochen, sofern LAN (ext) aktiv ist.
Sie können eine Leerlaufzeit bestimmen, nach der Einwahlverbindungen
geschlossen werden, sobald kein Datentransfer mehr stattfindet. Geben
Sie die Zeit in Sekunden in das Eingabefeld „Idle Time“ ein. Wenn die
Verbindung trotz Leerlauf aufrecht erhalten werden soll, geben Sie den
Wert „0“ ein.
Legen Sie die Zahl der Klingelzeichen fest, nach denen ein Anruf
entgegengenommen wird. Geben Sie die Anzahl der Klingelzeichen bis
zum Abheben in das Eingabefeld „Klingelzeichen bis zur Anrufannahme“
ein.
Um eine Benutzernamen- und Kennwort-basierte PPP-Authentifizierung
zu verwenden, aktivieren Sie die Checkbox „Authentifizierung für DialIn“. Wenn Sie diese Checkbox deaktivieren, kann jeder Anrufer eine PPP
Verbindung aufbauen. Geben Sie bis zu 10 verschiedene Kombinationen
aus Benutzername und Kennwort in die Felder „Benutzername“ und
Kennwort“ ein und legen Sie über den jeweiligen Radiobutton fest, ob für
diesen Benutzer eine Authentifizierung per „PAP“ oder „CHAP“ erfolgen
soll. Der Benutzername darf nicht dem der Dial-Out-Verbindung
entsprechen.
Wenn für den jeweiligen Benutzer ein Callback nach erfolgreicher
Authentifizierung möglich sein soll, aktivieren Sie die Checkbox „Rückruf
aktiv“. Wenn bei einem Callback die Authentifizierung notwendig ist,
aber hier kein Häkchen gesetzt ist, dann erfolgt auch kein Callback. In
dem Fall wird dem Anrufer ein gewöhnlicher Dial-In ermöglicht.
Funktionen
MoRoS Modem
54
Optional können Sie die IP-Adressen der Endpunkte der PPP-Verbindung
festlegen, falls diese Adressen in einem der Netzwerke am Gerät oder an
der Gegenstelle schon vergeben sind. Standardmäßig ist die IP-Adresse
des MoRoS Modem die 192.168.254.1. Die Standard-Adresse der
Gegenstelle ist 192.168.254.2.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
13.3.2 Automatischer Rückruf (Callback)
Sie können einen automatischen Rückruf zu einer vordefinierten Zielrufnummer des
MoRoS Modem mit einem Datenanruf oder Telefonanruf auslösen. Dafür können
Sie berechtigte Anrufer einstellen. Die Anrufer können sich über die PPPAuthentifizierungsmethoden PAP oder CHAP oder über Ihre per CLIP mitgeteilte
Rufnummer identifizieren. Die Verbindung, die dann vom Router aufgebaut wird,
müssen Sie zuvor im Menü „Dial-Out“ konfigurieren. Es sind ausschließlich
Verbindungen zum vorkonfigurierten Dial-Out Ziel möglich.
Konfiguration mit Web-Interface (Menü „Dial-In“, Seite „Dial-In“)
Um eine Dial-Out-Verbindung durch einen Anrufer auszulösen, aktivieren
Sie die Checkbox „Automatischen Rückruf nach erfolgreicher PPPAuthentifikation aktivieren“. Die Dial-Out-Verbindung, die durch einen
Anrufer ausgelöst wird, muss dafür zuvor im Menü „Dial-Out“
konfiguriert sein.
Damit Anrufer eine Verbindung auslösen können, müssen sie sich
entweder via PPP-Authentifizierung oder über ihre Rufnummer
identifizieren. Wählen Sie dazu in der Radiobutton-Auswahl entweder
„Nach erfolgreicher PPP-Authentifizierung“ oder „Nach Anruf von einer
dieser Rufnummern“ aus. Wenn Sie letztere Option wählen, geben Sie
noch bis zu 5 Rufnummern in die Felder dahinter ein, nach deren Anruf
ein Rückruf erfolgen kann.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
55
13.3.3 Routing
Sie können im MoRoS Modem Routen für die Weiterleitung von Datenpaketen
definieren. Weiterhin können Sie NAT (Network Address Translation) getrennt für
eingehende und ausgehende Pakete aktivieren. Bei eingehenden IP-Verbindungen
ersetzt der Router die Absender-IP-Adresse des ankommenden IP-Pakets durch
seine eigene lokale IP-Adresse.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „Dial-In“, Seite „Routing“)
Um die IPv4-Default-Route zu löschen, deaktivieren Sie die Checkbox
„Default Route setzen“.
Um die IPv6-Default-Route zu löschen, deaktivieren Sie die Checkbox
„IPv6-Default Route setzen“.
Um NAT für eingehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für eingehende IPv4-Pakete aktivieren“.
Um NAT für ausgehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für ausgehende IPv4-Pakete aktivieren“.
Der Router gibt bei aktivierter Firewall automatisch eigene Dienste
(z.B. DNS, VPN, NTP, etc.) frei. Wenn Sie die Checkbox „NAT für
ausgehende IPv4-Pakete aktivieren“ deaktivieren, müssen diese
Dienste manuell in der Firewall zugelassen werden.
Um eine neue Route hinzuzufügen, geben Sie Abschnitt „Neue Route
hinzufügen“ die „Netzadresse“ und die „Netzmaske“ in die jeweiligen
Felder für IPv4 oder IPv6 ein. Alle Felder müssen ausgefüllt werden,
damit eine neue Route für die jeweilige IP-Version in die Tabelle
übernommen wird. Übernehmen Sie die Route, indem Sie auf „OK“
klicken.
Um eine bestehende Route zu löschen, aktivieren Sie unter „Bestehende
Routen“ die Checkbox der Route(n), die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
13.3.4 Firewall-Regel erstellen oder löschen
Für Dial-In-Verbindungen steht eine Firewall zur Verfügung. Sie dient dazu,
unerwünschten Datenverkehr zu verhindern. Die Logik der Firewall ist, dass
jeglicher Datenverkehr verboten ist, der nicht explizit durch eine Regel erlaubt
wurde.
Funktionen
MoRoS Modem
56
Hier definieren Sie, welche Verbindungen über den Router zugelassen sind. Wenn
Sie die Firewall für die Verbindungsart „Dial-In“ einschalten, sind nur noch
Verbindungen möglich, die durch Firewall-Regeln erlaubt werden. Alle anderen
Verbindungen werden blockiert.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „Dial-In“, Seite „Firewall“)
Um die Firewall für IPv4-Dial-In-Verbindungen zu aktivieren, aktivieren
Sie die Checkbox „Firewall für Dial-In-Verbindungen aktivieren“.
Um die Firewall für IPv6-Dial-In-Verbindungen zu aktivieren, aktivieren
Sie die Checkbox „IPv6-Firewall für Dial-In-Verbindungen aktivieren“.
Es wird dringend empfohlen, die Firewall für IPv6 immer aktiviert zu
lassen, auch wenn IPv6 nicht genutzt wird.
Um eine Regel für eine zugelassene IP-Verbindung zu erstellen, gehen
Sie wie folgt vor.
Wählen Sie im Abschnitt „Neue Verbindung zulassen“ in der DropdownListe „Datenrichtung“ für die Regel eine Datenrichtung aus.
Bestimmen Sie das Protokoll der zugelassenen Verbindung in der
Dropdown-Liste „Protokoll“.
Wählen Sie die IP-Version, für welche die Regel gelten soll, in der
Dropdown-Liste „IP-Version“.
Sie können zusätzlich dafür sorgen, dass die Regel ausschließlich für
einen bestimmten Dial-In-Benutzer angewandt wird; wählen Sie hierzu in
der Dropdown-Liste „Dial-In Benutzername“ den entsprechenden Dial-InBenutzernamen aus.
Geben Sie in den Eingabefeldern „Absender-IP-Adresse“, „Ziel-IPAdresse“ und Ziel-Port die weiteren Spezifikationen für die durch den
Router zugelassen Verbindungen an. Es können Regeln erstellt werden,
die nicht nur für einzelne Maschinen (Hosts) gelten, sondern für ganze
Netze. In dem Fall muss die Netzmaske nach dem „/“ eingegeben
werden.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um einzelne Firewall-Regeln temporär auszuschalten, deaktivieren Sie im
Abschnitt „Zugelassene Verbindungen …“ die Checkbox in der Spalte
„aktiv“ in der Übersicht der Firewall-Regeln. Klicken Sie auf „OK“ um die
Einstellung zu übernehmen.
Um eine oder mehrere Regeln zu löschen, aktivieren Sie die Checkbox in
der Spalte „löschen“ in der Übersicht der Firewall-Regeln. Klicken Sie auf
„OK“, um die Einstellung zu übernehmen.
MoRoS Modem
Funktionen
57
13.4 Dial-Out
13.4.1 Dial-Out einrichten
Sie können den MoRoS Modem für den Dial-Out einsetzen. Es wird automatisch
eine PPP-Verbindung zu einer Gegenstelle hergestellt, wenn Netzwerkverkehr in
Richtung des Netzes der Gegenstelle auftritt. Der Netzwerkverkehr, der einen
Verbindungsaufbau auslösen darf, kann über Regeln beschränkt werden. Dieser
optionale „Wählfilter“ sorgt dafür, dass nur Pakete von bzw. zu bestimmten IPAdressen oder von bzw. zu bestimmten Ports die Dial-Out-Verbindung auslösen.
Diese Dial-Out-Verbindung ist vergleichbar mit der Einwahl eines PC ins Internet.
Erst nach dieser Einwahl ist es möglich, IP-Daten (z.B. Webinhalte) zu übertragen
oder z.B. aus der Ferne auf Geräte im lokalen Netz des MoRoS Modem zuzugreifen.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Dial-Out“)
Um den Dial-Out einzuschalten, wählen Sie in der Auswahl „Dial-Out
aktivieren“ die Option „Ja“.
Geben Sie die Rufnummer der PPP-Gegenstelle (z.B. den
Internetprovider) in das Eingabefeld „Rufnummer“ für Ziel A ein. Sie
können eine weitere Rufnummer bei Ziel B eingeben.
Geben Sie Benutzername und Kennwort für die PPP-Einwahl-Ziele A und
B an. Die Angabe des Ziels B ist optional.
Wählen Sie für Ziel A und B die jeweils zu verwendende PPP-
Authentifizierungsmethode (PAP; CHAP, und PAP oder CHAP) in der
Auswahl „Authentifizierung“ aus.
Die Priorität der Ziele konfigurieren Sie unter „Priorität“. Dazu stehen
Ihnen die Optionen „Zuletzt erfolgreiches Ziel“, „Ziel A“ oder „Ziel
wechseln“ (anderes als das letzte verwendete Ziel) zur Verfügung. Das
jeweilige Ziel wird dann zuerst verwendet. Funktioniert der
Verbindungsaufbau zu diesem Ziel nicht, so versucht er das andere Ziel
zu erreichen.
Über die „Idle Time“ können Sie bestimmen, wie lange die Verbindung
aufrecht erhalten wird, wenn kein Datentransfer mehr stattfindet. Geben
Sie die gewünschte Leerlaufzeit in das Eingabefeld „Idle Time“ in
Sekunden ein.
Um die Verbindung unbegrenzt lange zu halten geben Sie als Zeit den
Wert „0“ ein.
Über die maximale Verbindungszeit können Sie die Dauer einer
Verbindung beschränken. Geben Sie eine maximale Verbindungszeit an,
wird die Verbindung nach Ablauf dieser Zeit geschlossen. Um die
Verbindung zeitlich unbegrenzt (bis zum Verbindungsabbau aus anderen
Gründen) geöffnet zu lassen, geben Sie als Zeit den Wert „0“ in das
Eingabefeld „maximale Verbindungszeit“ ein.
Um die MTU (maximale erlaubte Anzahl an Bytes in einem zu sendenden
Paket) anzupassen, ändern Sie den Eintrag im entsprechenden Feld.
Funktionen
MoRoS Modem
58
Um die MRU (maximale erlaubte Anzahl an Bytes in einem zu
empfangenden Paket) anzupassen, ändern Sie den Eintrag im
entsprechenden Feld.
Die Standardeinstellung von MTU und MRU ist für die meisten
Anwendungen passend und muss nur in Ausnahmefällen geändert
werden.
Falls dem Router bei einem Dial-Out keine IP-Adresse für einen zu
benutzenden DNS-Server mitgeteilt wird, muss die Checkbox "DNSServer-Adresse anfordern" deaktiviert werden. Ansonsten kann eventuell
keine Verbindung zustande kommen.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
59
13.4.2 Standleitungsbetrieb einrichten
Sie können den MoRoS Modem so einstellen, dass eine PPP-Verbindung dauerhaft
aufrecht erhalten bleibt. Diese Betriebsart ist interessant für private Netze, bei
denen keine Minutengebühren anfallen, oder für Abrechnungsmodelle, in denen
nur die übertragenen Datenvolumen bezahlt werden (z.B. paketbasierte Netze). In
diesem Betriebsmodus wird die Verbindung sofort nach dem Einschalten
aufgebaut. Die Verbindung wird periodisch auf ihre Funktion geprüft. Die
Verbindungsüberprüfung kann entweder über eine DNS-Abfrage eines
Hostnamens oder über Ping an einen Host durchgeführt werden.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Dial-Out“)
Um die Standleitung einzurichten, aktivieren Sie die Checkbox
„Verbindung sofort aufbauen und dauerhaft halten“.
Geben Sie, falls notwendig, eine andere Zeit in Minuten zur
Verbindungsüberprüfung in das Eingabefeld „Zeitintervall der
Verbindungsüberprüfung“ ein. Die Werkseinstellung ist 60 Minuten.
Wird nach dieser Zeit eine geschlossene Verbindung festgestellt,
versucht der MoRoS Modem nach einer Minute die Verbindung neu
aufzubauen. Schlägt der Versuch fehl, wird nach 5 Minuten erneut
versucht, die Verbindung neu aufzubauen. Der nächste Versuch findet
nach 30 Minuten statt, schlägt auch dieser Versuch fehl, wird alle 60
Minuten versucht, die Verbindung neu aufzubauen.
Wählen Sie die Methode zur Verbindungsüberprüfung in der Auswahl
„Art der Verbindungsüberprüfung“ aus und geben Sie einen Hostnamen
oder eine „IP-Adresse“ an. Wenn die Checkbox „Bestehende PPPVerbindung im Fehlerfall erneut aufbauen“ markiert ist, sorgt ein
fehlgeschlagener Ping oder DNS-Request dafür, dass eine eventuell
bestehende WAN-Verbindung abgebaut wird. Auf jeden Fall wird
anschließend versucht, wieder eine Verbindung aufzubauen.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
60
13.4.3 Periodischen Dial-Out-Verbindungsaufbau einrichten
Der MoRoS Modem kann die zuvor konfigurierte Dial-Out-Verbindung zeitgesteuert
auf und abbauen. Die Dial-Out-Verbindung wird täglich zu einer bestimmten
Uhrzeit aufgebaut und zu einer anderen Uhrzeit wieder abgebaut.
Mit dieser Funktion werden jeweils einzelne Ereignisse ausgelöst, es wird keine
Sperrzeit o.ä. definiert. Beispiel: Wenn ein Abbau um 14:00 Uhr und ein
automatischer Aufbau um 16:00 Uhr definiert wird, so können andere Ereignisse
auch innerhalb dieses Zeitraums einen Verbindungsaufbau (Dial-Out) auslösen, z.B.
ein einfaches Paket, dass dem Wählfilter entspricht. Ebenso wird nach einem
zeitgesteuerten Verbindungsaufbau die Verbindung automatisch abgebaut, falls
z.B. die konfigurierte „Idle Time“ abgelaufen ist.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Dial-Out“)
Um eine Verbindung zu einer bestimmten Uhrzeit täglich aufzubauen,
aktivieren Sie die Checkbox „Verbindung täglich automatisch aufbauen
um“ und geben Sie eine Uhrzeit für den Verbindungsaufbau in die
Eingabefelder für Stunden und Minuten ein.
Um eine Verbindung zu einer bestimmten Uhrzeit täglich abzubauen,
aktivieren Sie die Checkbox „Verbindung täglich automatisch abbauen
um“ und geben Sie eine Uhrzeit für den Verbindungsabbau in die
Eingabefelder für Stunden und Minuten ein.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
61
13.4.4 Routing
Sie können im MoRoS Modem Routen für die Weiterleitung von Datenpaketen
definieren. Weiterhin können Sie NAT getrennt für eingehende und ausgehende
Pakete aktivieren.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Routing“)
Um die IPv4-Default-Route zu löschen, deaktivieren Sie die Checkbox
„Default Route setzen“.
Um die IPv6-Default-Route zu löschen, deaktivieren Sie die Checkbox
„IPv6-Default Route setzen“.
Um NAT für eingehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für eingehende IPv4-Pakete aktivieren“.
Um NAT für ausgehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für ausgehende IPv4-Pakete aktivieren“.
Der Router gibt bei aktivierter Firewall automatisch eigene Dienste
(z.B. DNS, VPN, NTP, etc.) frei. Wenn Sie die Checkbox „NAT für
ausgehende IPv4-Pakete aktivieren“ deaktivieren, müssen diese
Dienste manuell in der Firewall zugelassen werden.
Um eine neue Route hinzuzufügen, geben Sie Abschnitt „Neue Route
hinzufügen“ die „Netzadresse“ und die „Netzmaske“ in die jeweiligen
Felder für IPv4 oder IPv6 ein. Alle Felder müssen ausgefüllt werden,
damit eine neue Route für die jeweilige IP-Version in die Tabelle
übernommen wird. Übernehmen Sie die Route, indem Sie auf „OK“
klicken.
Um eine bestehende Route zu löschen, aktivieren Sie unter „Bestehende
Routen“ die Checkbox der Route(n), die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
62
13.4.5 Wählfilter einrichten
Um unnötige Kosten durch unerwünschte Dial-Out-Vorgänge zu verhindern kann
optional ein Wählfilter aktiviert werden. Mit diesem Wählfilter kann der
Netzwerkverkehr beschränkt werden, der einen Dial-Out Vorgang auslösen kann.
Sobald eine Dial-Out-Verbindung aufgebaut ist, können allerdings alle Teilnehmer
im Netzwerk auf die Dial-Out-Verbindung zugreifen und IP-Daten übertragen. Falls
auch während der Dial-Out-Verbindung der Netzwerkverkehr beschränkt werden
soll, kann dies mit der Firewall-Funktion erreicht werden.
Hier definieren Sie, welche Pakete die Dial-Out-Verbindung über den MoRoS
Modem initiieren dürfen. Wenn Sie den Wählfilter einschalten, sind nur noch DialOut-Verbindungen möglich, die durch Wählfilterregeln erlaubt werden. Alle andern
Verbindungen werden blockiert.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Wählfilter“)
Um den Wählfilter einzuschalten, aktivieren Sie die Checkbox „Wählfilter
für Dial-Out-Verbindungen aktivieren“.
Um eine Regel für einen Wählfilter zu erstellen, gehen Sie wie folgt vor.
Wählen Sie das Protokoll der zugelassenen Verbindung in der
Dropdown-Liste „Protokoll“.
Geben Sie in den Eingabefeldern „Absender-IP-Adresse“, „Ziel-IP-
Adresse“ und „Ziel-Port“ die weiteren Spezifikationen für die zugelassen
Verbindungen durch den MoRoS Modem an. Es können Regeln erstellt
werden, die nicht nur für einzelne Maschinen (Hosts) gelten, sondern für
ganze Netze. In dem Fall muss die Netzmaske nach dem „/“ eingegeben
werden.
Um DNS-Anfragen an den Router, die einen Verbindungsaufbau initiieren
würden (DNS-Relay), explizit zu erlauben, aktivieren Sie die Checkbox
„DNS-Anfragen der Absender-IP-Adresse dürfen eine Verbindung
initiieren“.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um einzelne Dial-Out-Regeln temporär auszuschalten, deaktivieren Sie
die Checkbox in der Spalte „aktiv“ im Abschnitt „Diese Datenpakete
dürfen einen Dial-Out initiieren“. Klicken Sie auf „OK“ um die Einstellung
zu übernehmen.
Um eine oder mehrere Regeln zu löschen, aktivieren Sie die Checkbox in
der Spalte „löschen“ im Abschnitt „Diese Datenpakete dürfen einen DialOut initiieren“. Klicken Sie auf „OK“ um die Einstellung zu übernehmen.
MoRoS Modem
Funktionen
63
13.4.6 Firewall-Regel erstellen oder löschen
Für Dial-Out-Verbindungen steht eine Firewall zur Verfügung. Sie dient dazu,
unerwünschten Datenverkehr zu verhindern. Die Logik der Firewall ist, dass jeglicher
Datenverkehr verboten ist, der nicht explizit durch eine Regel erlaubt wurde.
Hier definieren Sie, welche Verbindungen über den Router zugelassen sind. Wenn
Sie die Firewall für die Verbindungsart „Dial-Out“ einschalten, sind nur noch
Verbindungen möglich, die durch Firewall-Regeln erlaubt werden. Alle anderen
Verbindungen werden blockiert.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Firewall)
Um die Firewall für IPv4-Dial-Out-Verbindungen zu aktivieren, aktivieren
Sie die Checkbox „Firewall für Dial-Out-Verbindungen aktivieren“.
Um die Firewall für IPv6-Dial-Out-Verbindungen zu aktivieren, aktivieren
Sie die Checkbox „IPv6-Firewall für Dial-Out-Verbindungen aktivieren“.
Es wird dringend empfohlen, die Firewall für IPv6 immer aktiviert zu
lassen, auch wenn IPv6 nicht genutzt wird.
Um eine Regel für eine zugelassene IP-Verbindung zu erstellen, gehen
Sie wie folgt vor.
Wählen Sie im Abschnitt „Neue Verbindung zulassen“ in der DropdownListe „Datenrichtung“ für die Regel eine Datenrichtung aus.
Bestimmen Sie das Protokoll der zugelassenen Verbindung in der
Dropdown-Liste „Protokoll“.
Wählen Sie die IP-Version, für welche die Regel gelten soll, in der
Dropdown-Liste „IP-Version“.
Geben Sie in den Eingabefeldern „Absender-IP-Adresse“, „Ziel-IPAdresse“ und Ziel-Port die weiteren Spezifikationen für die durch den
Router zugelassen Verbindungen an. Es können Regeln erstellt werden,
die nicht nur für einzelne Maschinen (Hosts) gelten, sondern für ganze
Netze. In dem Fall muss die Netzmaske nach dem „/“ eingegeben
werden.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um einzelne Firewall-Regeln temporär auszuschalten, deaktivieren Sie im
Abschnitt „Zugelassene Verbindungen …“ die Checkbox in der Spalte
„aktiv“ in der Übersicht der Firewall-Regeln. Klicken Sie auf „OK“ um die
Einstellung zu übernehmen.
Um eine oder mehrere Regeln zu löschen, aktivieren Sie die Checkbox in
der Spalte „löschen“ in der Übersicht der Firewall-Regeln. Klicken Sie auf
„OK“, um die Einstellung zu übernehmen.
Funktionen
MoRoS Modem
64
13.4.7 Port-Forwarding-Regel erstellen oder löschen
Bei aktiviertem Port-Forwarding leitet der Router vom WAN eingehende Pakete an
die Maschinen im LAN weiter, die in den Port-Forwarding-Regeln festgelegt
wurden.
Aus dem WAN ist nur die WAN-IP-Adresse des MoRoS Modem erreichbar, wenn
NAT für ins WAN gehende Pakete aktiviert ist. Anhand dieser IP-Adresse können
die lokalen Endgeräte im Netz des Geräts mit Hilfe von Port-Forwarding trotzdem
erreicht werden. Pakete aus dem WAN, die an die WAN-IP-Adresse an einem Port
x gesendet werden, können an eine Maschine mit der IP-Adresse Y an den Port y
weitergeleitet werden. Wird alternativ ein ganzer Port-Bereich angegeben, werden
die Pakete an dieselben Ports der Ziel-IP-Adresse weitergeleitet. Es ist möglich, die
Regeln so anzulegen, dass sie nur für WAN-Verbindungen, nur für OpenVPNVerbindungen oder generell gelten.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Port-Forwarding“)
Um das Port-Forwarding zu aktivieren, aktivieren Sie die Checkbox „PortForwarding für Dial-Out-Verbindungen aktivieren“.
Um eine Port-Forwarding-Regel zu erstellen, wählen Sie im Abschnitt
„Neue Regel erstellen“ das Protokoll aus und geben den Port bzw.
Bereich der Ports für die am MoRoS Modem eingehenden Pakete an.
Geben Sie eine IP-Adresse für das Umleitungsziel im Eingabefeld „an IP-
Adresse“ und einen Port im Eingabefeld „an Port“ ein; an diese Adresse
und diesen Port werden die Pakete weitergeleitet. Bei Angabe eines PortBereichs ist kein Ziel-Port erforderlich, da dieser immer dem Port-Bereich
im WAN entspricht. Wählen Sie in der Dropdown-Liste „anwenden“
noch aus, ob die Regel immer, nur für WAN-Verbindungen oder nur für
OpenVPN-Verbindungen gelten soll.
Um eine bereits erstellte Regel zu deaktivieren, deaktivieren Sie die
Checkbox „aktiv“ der entsprechenden Regel und klicken Sie
anschließend auf „OK“.
Um eine bereits erstellte Regel zu löschen, aktivieren Sie die Checkbox
„löschen“ der entsprechenden Regel und klicken Sie anschließend auf
„OK“.
Die Regeln in der Liste werden von oben nach unten abgearbeitet.
Sollten sich also zwei Regeln widersprechen (z.B. zweimal derselbe Port),
so wird nur die Regel ausgeführt, die weiter oben in der Liste steht.
MoRoS Modem
Funktionen
65
13.4.8 Exposed Host festlegen
Optional können alle Pakete, die keiner Port-Forwarding-Regel entsprechen, an
einen vorbestimmten Rechner im LAN, den „Exposed Host“, weitergeleitet werden
(z.B. zu Diagnosezwecken). Der „Exposed Host“ erhält alle Pakete, die nicht aus
dem lokalen Netz des MoRoS Modem angefordert wurden oder durch eine PortForwarding-Regel nicht bereits an einen Teilnehmer im lokalen Netz weitergeleitet
wurden. Wird kein „Exposed Host“ konfiguriert, werden diese eingehenden Pakete
verworfen.
Konfiguration mit Web-Interface (Menü „Dial-Out“, Seite „Port-Forwarding“)
Um einen „Exposed Host“ zu definieren, geben Sie im Eingabefeld
„Exposed Host“ die IP-Adresse eines Rechners im LAN ein, der von
außen über alle Ports erreichbar sein soll.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
66
13.5 LAN (ext)
13.5.1 Schnittstelle zum externen Netz (LAN/WAN) einrichten
Der MoRoS Modem vermittelt in seiner Funktion als Router den Datenverkehr
zwischen zwei IP-Netzen, einem „internen“ und einem „externen“. Die LAN extSchnittstelle dient zur Anbindung des Routers an das externe Netzwerk. Dieses
externe Netzwerk kann ein weiteres LAN sein, das über ein Ethernet-Kabel
erreichbar ist. Dann muss für die LAN ext-Schnittstelle eine IP-Adresse eingestellt
sein oder bezogen werden. Diese IP-Adresse muss im Adressraum des externen
LANs liegen, in das der MoRoS Modem routen soll. Mit SLAAC (StateLess Address
AutoConfiguration) kann sich der Router selbständig eine oder mehrere IPv6Adressen konfigurieren. Wenn im LAN ein Router mit Router Advertisement IPv6Adressprefixe verkündet, konfiguriert sich der Router zusätzlich zu seinen bereits
konfigurierten IPv6-Adressen eine Weitere mit dem verkündeten Prefix. Das
externe Netzwerk kann aber auch ein WAN sein, das über einen DSL-Anschluss
angebunden wird. In diesem Fall müssen Sie die Schnittstelle für den PPPoEBetrieb einrichten, damit über ein DSL-Modem mit dem WAN kommuniziert
werden kann.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „LAN (ext)“)
Für eine Verbindung mit einem LAN, wählen Sie den Radiobutton
„statische IP-Adresse“. Geben Sie dann in die Eingabefelder „statische
IP-Adresse“ und „Netzmaske“ eine IPv4-Adresse sowie eine Netzmaske
ein. Die IP-Adresse muss eine Adresse aus dem externen LAN sein, mit
dem Sie das Gerät verbinden.
Damit sich der Router selbständig eine oder mehrere IPv6-Adressen
konfiguriert, markieren Sie die Checkbox „IPv6-Adresse automatisch
beziehen (SLAAC)“.
Geben Sie im Eingabefeld „IPv6-Adresse“ die IPv6-Adresse des Routers
im LAN ein oder wählen Sie den Link „Neue ULA generieren“, um eine
ULA (Unique Local Address) zu generieren.
Um das Gerät per DSL mit einem WAN zu verbinden, konfigurieren Sie
zuerst im Menü „LAN (ext)“ auf der Seite „DSL“ die DSL-Verbindung.
Wählen Sie dann den Radiobutton „PPPoE-Verbindung“.
Um den DHCP-Client zu aktivieren, wählen Sie den Radiobutton „DHCPClient“. Dann bezieht der Router über die LAN ext-Schnittstelle eine IP-
Adresse von einem DHCP-Server. Um für jeden Eintrag in der Hosttabelle
eine weitere IP-Adresse zu beziehen, aktivieren Sie die Checkbox „Für
jeden Eintrag in der Hosttabelle eine weitere IP-Adresse anfordern“.
Dann wird für jeden Eintrag der Hosttabelle eine weitere IP-Adresse
beantragt und der LAN ext-Schnittstelle zugeordnet. Für den Hostnamen
wird der eigene Hostname mit dem Hostnamen des Tabelleintrags
verknüpft. Alle Pakete, die an diese zusätzlichen IP-Adressen gesendet
werden, werden zu der IP-Adresse des Hosttabelleneintrages
weitergeleitet.
MoRoS Modem
Funktionen
67
Um das Gerät als Bridge zu betreiben, wählen Sie den Radiobutton
„Bridge“. Die LAN ext-Schnittstelle verhält sich dann wie ein weiterer
Switch-Port.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
68
13.5.2 Redundantes WAN einrichten
Der MoRoS Modem ermöglicht die Verwendung des integrierten
Kommunikationsgeräts als redundante WAN-Schnittstelle. Dabei ist die LAN extSchnittstelle immer der primäre Kommunikationsweg. Sobald die regelmäßige
Überprüfung der Verbindung über die LAN ext-Schnittstelle dreimal hintereinander
fehlschlägt (oder optional der Ethernet-Link verloren geht), wird eine Verbindung
über das integrierte Kommunikationsgerät aufgebaut. Für die redundante
Verbindung gelten dann die Einstellungen, die für eine Dial-Out-Verbindung
festgelegt wurden. Nach dem Ablauf einer konfigurierten Zeit oder nachdem der
Ethernet-Link wieder hergestellt wurde erfolgt ein automatisches Zurückschalten
auf die LAN ext-Schnittstelle. Schlägt die Verbindungsüberprüfung wieder dreimal
fehl, wird wieder auf das redundante WAN umgeschaltet.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Redundantes
WAN“)
Um das redundante WAN zu aktivieren, markieren Sie die Checkbox
„Redundantes WAN aktivieren“.
Geben Sie das Zeitintervall für die Verbindungsüberprüfung in Minuten in
das Feld „Zeitintervall der Verbindungsüberprüfung“ ein.
Um eine Verbindungsüberprüfung über eine DNS-Abfrage
durchzuführen, wählen Sie im Abschnitt „Art der
Verbindungsüberprüfung“ den Radiobutton „DNS-Abfrage“ und geben
das Ziel in das dahinterliegende Feld ein. Bei der DNS-Abfrage wird
vorausgesetzt, dass dem MoRoS Modem ein DNS-Server bekannt ist.
Um eine Verbindungsüberprüfung über einen Ping durchzuführen,
wählen Sie im Abschnitt „Art der Verbindungsüberprüfung“ den
Radiobutton „Ping an“ und geben das Ziel in das dahinterliegende Feld
ein. Die Verbindungsüberprüfung gilt dann als erfolgreich, wenn die
Gegenstelle mit einem "Pong" antwortet.
Um eine Verbindungsüberprüfung über den Verlust des Ethernet-Links
durchzuführen, wählen Sie im Abschnitt „Art der
Verbindungsüberprüfung“ den Radiobutton „Ethernet-Link verloren“.
Um nach Ablauf eines Zeitintervalls auf die LAN ext-Schnittstelle
zurückschalten, wählen Sie im Abschnitt „Zurückschalten auf LAN (ext)“
den Radiobutton „nach Intervall“ und geben Sie das Intervall in Minuten
in das Feld dahinter ein.
Um bei wieder hergestelltem Ethernet-Link auf die LAN ext-Schnittstelle
zurückschalten, wählen Sie im Abschnitt „Zurückschalten auf LAN (ext)“
den Radiobutton „bei wieder hergestelltem Ethernet-Link“.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
69
13.5.3 DSL einrichten
Der MoRoS Modem kann sich über ein DSL-Modem mit einem WAN verbinden.
Das DSL-Modem wird über die LAN ext-Schnittstelle angeschlossen. Das Gerät
kann dann über eine PPPoE-Verbindung mit dem DSL-Modem kommunizieren. Die
LAN ext-Schnittstelle müssen Sie dafür auf PPPoE-Betrieb einstellen. Damit dann
über das DSL-Modem eine Verbindung zum Provider aufgebaut werden kann,
müssen Sie noch die DSL-Verbindung mit Ihren Zugangsdaten konfigurieren sowie
die Option „Defaultroute setzen“ aktivieren.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „DSL“)
Um den DSL-Zugang zu konfigurieren, schließen Sie das DSL-Modem an
die LAN ext-Schnittstelle an.
Geben Sie dann in die Eingabefelder „Benutzername“ und „Kennwort“
Ihren Benutzernamen und Ihr Kennwort für den DSL-Zugang ein.
Geben Sie optional eine Leerlaufzeit im Feld „Idle Time“ in Sekunden ein,
nach der die Verbindung abgebaut wird, sobald kein Datentransfer mehr
stattfindet. Geben Sie „0“ ein, so bleibt die Verbindung beliebig lange
aufgebaut.
Geben Sie optional eine maximale Verbindungszeit im Feld „Maximale
Verbindungszeit“ in Sekunden ein, nach deren Ablauf die Verbindung
unterbrochen wird. Geben Sie „0“ ein, um den zeitgesteuerten
Verbindungsabbau auszuschalten.
Um die MTU (maximale erlaubte Anzahl an Bytes in einem zu sendenden
Paket) anzupassen, ändern Sie den Eintrag im entsprechenden Feld.
Um die MRU (maximale erlaubte Anzahl an Bytes in einem zu
empfangenden Paket) anzupassen, ändern Sie den Eintrag im
entsprechenden Feld.
Die Standardeinstellung von MTU und MRU ist für die meisten
Anwendungen passend und muss nur in Ausnahmefällen geändert
werden.
Wenn Ihr DSL-Zugang es erfordert, Ethernet-Pakete über die PPPoEVerbindung mit VLAN-Tags zu versehen, kann dies im entsprechenden
Feld eingetragen werden.
Wenn das DSL-Modem einen Sync erreicht, aber keine PPPoE-
Verbindung herstellen kann, kann dies an einem fehlenden oder
falschen VLAN-Tag liegen. Weitere Informationen dazu erhalten Sie
von Ihrem Provider.
Um nach dem Beziehen einer IPv6-Adresse einen IPv6 Prefix vom DSLProvider zu beziehen, aktivieren Sie die Checkbox „IPv6-Adresse und -
Prefix beziehen“. Der Router weist sich dann eine lokale IPv6-Adresse
aus diesem Netzwerk zu.
Damit die IP-Adressen der Nameserver vom DSL-Provider bezogen
werden, aktivieren Sie die Checkbox „DNS-Server-Adresse anfordern“.
Funktionen
MoRoS Modem
70
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um eine Default-Route zu setzen, aktivieren Sie im Menü „LAN (ext)“auf
der Seite „Routing“ die Checkbox „Default Route setzen zu Gateway“.
Ohne die Defaultroute zum DSL-Modem kann das Gerät den
Datenverkehr zwischen dem internen Netz am Switch und der DSLVerbindung nicht vermitteln.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
13.5.4 Standleitungsbetrieb einrichten
Sie können den MoRoS Modem so einstellen, dass die zuvor konfigurierte DSLVerbindung dauerhaft aufrecht erhalten bleibt. In diesem Betriebsmodus wird die
Verbindung sofort nach dem Einschalten aufgebaut. Das Gerät prüft die
Verbindung periodisch auf ihre Funktion. Die Verbindungsüberprüfung kann
entweder über eine DNS-Abfrage eines Hostnamens oder über Ping an einen Host
durchgeführt werden.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „DSL“)
Um die Standleitung einzurichten, aktivieren die Checkbox „Verbindung
sofort aufbauen und dauerhaft halten“.
Geben Sie, falls notwendig, eine andere Zeit in Minuten zur
Verbindungsüberprüfung in das Eingabefeld „Zeitintervall der
Verbindungsüberprüfung“ ein. Die Werkseinstellung ist 5 Minuten. Wird
nach dieser Zeit eine geschlossene Verbindung festgestellt, versucht der
MoRoS Modem nach einer Minute die Verbindung neu aufzubauen.
Schlägt der Versuch fehl, wird nach 5 Minuten erneut versucht, die
Verbindung neu aufzubauen. Der nächste Versuch findet nach 30
Minuten statt, schlägt auch dieser Versuch fehl, versucht das Gerät alle
60 Minuten die Verbindung neu aufzubauen.
Wählen Sie die Methode zur Verbindungsüberprüfung in der Auswahl
„Art der Verbindungsüberprüfung“ aus und geben Sie einen Hostnamen
oder eine IP-Adresse an. Wenn die Checkbox „Bestehende PPPVerbindung im Fehlerfall erneut aufbauen“ markiert ist, sorgt ein
fehlgeschlagener Ping oder DNS-Request dafür, dass eine eventuell
bestehende Verbindung abgebaut wird. Auf jeden Fall wird anschließend
versucht, wieder eine Verbindung aufzubauen.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
71
13.5.5 Periodischen DSL-Verbindungsaufbau einrichten
Der MoRoS Modem kann die zuvor konfigurierte DSL-Verbindung zeitgesteuert auf
und abbauen. Die DSL-Verbindung wird täglich zu einer bestimmten Uhrzeit
aufgebaut und zu einer anderen Uhrzeit wieder abgebaut.
Mit dieser Funktion werden jeweils einzelne Ereignisse ausgelöst, unabhängig
davon ob bereits andere Zeiten für den Verbindungsabbau definiert wurden.
Beispiel: Wenn Sie bereits einen täglichen Verbindungsabbau um 14:00 Uhr und
ein täglichen Verbindungsaufbau um 16:00 Uhr einstellen, so können andere
Einstellungen und Ereignisse auch innerhalb dieses Zeitraums einen
Verbindungsaufbau auslösen, z.B. ein Paket, dass dem Wählfilter entspricht.
Ebenso wird die Verbindung abgebaut, falls z.B. die konfigurierte „Idle Time“
abgelaufen ist.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „DSL“)
Um eine Verbindung zu einer bestimmten Uhrzeit täglich aufzubauen,
aktivieren Sie die Checkbox „Verbindung täglich automatisch aufbauen
um“ und geben Sie eine Uhrzeit für den Verbindungsaufbau in die
Eingabefelder für Stunden und Minuten ein.
Um eine Verbindung zu einer bestimmten Uhrzeit täglich abzubauen,
aktivieren Sie die Checkbox „Verbindung täglich automatisch abbauen
um“ und geben Sie eine Uhrzeit für den Verbindungsabbau in die
Eingabefelder für Stunden und Minuten ein.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
13.5.6 Routing
Das Routing ist die Kernfunktion des MoRoS Modem. Routing bedeutet, dass
ankommende Datenpakete nach bestimmten, von Ihnen definierten Regeln an
bestimmte Netzwerkgeräte weiter vermittelt werden.
Die Routen bestimmen, wohin Pakete weitergeleitet werden. Über eine
Netzadresse und die Netzmaske wird unterschieden, ob eine Route auf ein IP-Paket
angewendet wird oder nicht. Trifft ein Paket ein, für dessen Ziel eine Route
existiert, so leitet das Gerät das Paket an die in der Route definierte GatewayAdresse weiter.
Sie können eine Default-Route angeben. Alle eingehenden Pakete, die keiner Route
zugeordnet werden können, werden an dieses Gateway gesendet. Wenn Sie ein
DSL-Modem an die LAN ext-Schnittstelle angeschlossen haben, können Sie die
Default-Route auf das DSL-Modem setzen.
Weiterhin wird das Verfahren der Network Address Translation unterstützt. Wenn
NAT aktiv ist, ersetzt das Gerät die Absenderadresse der Pakete einer ausgehenden
Verbindung durch seine Eigene. Die eigentliche Absenderadresse speichert das
Gerät in seiner NAT-Tabelle. Empfängt es ein Antwortpaket der Gegenstelle dieser
Verbindung, so ersetzt es die Zieladresse des Pakets durch die des ursprünglichen
Absenders.
Funktionen
MoRoS Modem
72
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Routing“)
Um eine IPv4-Default-Route zu setzen, aktivieren Sie die Checkbox
„Default Route setzen zu Gateway“ und geben Sie dahinter das DefaultGateway an. Im DSL-Betrieb ist das Eingabefeld nicht sichtbar.
Um eine IPv6-Default-Route zu setzen, aktivieren Sie die Checkbox
„IPv6-Default Route setzen zu Gateway“ und geben Sie dahinter das
Default-Gateway an. Im DSL-Betrieb ist das Eingabefeld nicht sichtbar.
Um NAT für eingehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für eingehende IPv4-Pakete aktivieren“. Das kann im
LAN-Betrieb sinnvoll sein, wenn die gerouteten Pakete nicht verändert
werden sollen.
Um NAT für ausgehende Pakete zu deaktivieren, deaktivieren Sie die
Checkbox „NAT für ausgehende IPv4-Pakete aktivieren“. Das kann im
LAN-Betrieb sinnvoll sein, wenn die gerouteten Pakete nicht verändert
werden sollen.
Der Router gibt bei aktivierter Firewall automatisch eigene Dienste
(z.B. DNS, VPN, NTP, etc.) frei. Wenn Sie die Checkbox „NAT für
ausgehende IPv4-Pakete aktivieren“ deaktivieren, müssen diese
Dienste manuell in der Firewall zugelassen werden.
Um eine neue Route hinzuzufügen, geben Sie Abschnitt „Neue Route
hinzufügen“ die Netzadresse, die dazugehörige Netzmaske und ein
Gateway in die jeweiligen Felder für IPv4 oder IPv6 ein. Alle Felder
müssen ausgefüllt werden, damit eine neue Route für die jeweilige IPVersion in die Tabelle übernommen wird. Übernehmen Sie die Route,
indem Sie auf „OK“ klicken.
Um eine bestehende Route zu löschen, aktivieren Sie unter „Bestehende
Routen“ die Checkbox der Route(n), die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
73
13.5.7 Wählfilter einrichten
Mit dem Wählfilter kann der Netzwerkverkehr beschränkt werden, der einen
Verbindungsaufbau auslösen kann. Ohne Wählfilter lösen alle Pakete mit externem
Ziel einen Verbindungsaufbau aus. Ist der Wählfilter aktiv, können nur durch die
Regeln erlaubte Pakete einen Verbindungsaufbau auslösen.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Wählfilter“)
Um den Wählfilter einzuschalten, aktivieren Sie die Checkbox „Wählfilter
für LAN (ext)-Schnittstelle aktivieren“.
Um Verbindungen über ein bestimmtes Protokoll zuzulassen, wählen Sie
im Abschnitt „Neue Regel erstellen“ in der Dropdown-Liste „Protokoll“
das zugelassene Protokoll aus.
Um Verbindungen von bestimmten Absender-IP-Adressen zuzulassen,
tragen Sie im Feld „Absender-IP-Adresse“ die zugelassene Absender-IPAdresse ein.
Um Verbindungen zu bestimmten Ports zuzulassen, tragen Sie im Feld
„Ziel-Port“ den zugelassenen Ziel-Port ein.
Um Verbindungen zu bestimmten IP-Adressen zuzulassen, tragen Sie im
Feld „Ziel-IP-Adresse“ die zugelassene Ziel-IP-Adresse ein.
Optional können Sie mit der Checkbox „DNS-Anfragen der Absender-IPAdresse dürfen eine Verbindung initiieren“ erlauben, dass DNS-Anfragen
der festgelegten Absender-IP-Adressen einen Verbindungsaufbau
auslösen dürfen.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um einzelne Wählfilterregeln temporär auszuschalten, deaktivieren Sie
im Abschnitt „Diese Datenpakete dürfen einen Dial-Out initiieren“ die
Checkbox in der Spalte „aktiv“. Klicken Sie auf „OK“ um die Einstellung
zu übernehmen.
Um eine oder mehrere Regeln zu löschen, aktivieren Sie im Abschnitt
„Diese Datenpakete dürfen einen Dial-Out initiieren“ die Checkbox in der
Spalte „löschen“. Klicken Sie auf „OK“ um die Einstellung zu
übernehmen.
13.5.8 Firewall-Regel erstellen oder löschen
Für alle Verbindungen über die LAN ext-Schnittstelle steht eine Firewall zur
Verfügung. Sie dient dazu, unerwünschten Datenverkehr zu verhindern. Die Logik
der Firewall ist, dass jeglicher Datenverkehr verboten ist, der nicht explizit durch
eine Regel erlaubt wurde. Wenn Sie die Firewall für die Verbindungsart „Dial-Out“
einschalten, sind nur noch Verbindungen möglich, die durch Firewall-Regeln
erlaubt werden. Alle anderen Verbindungen werden blockiert.
Funktionen
MoRoS Modem
74
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Firewall“)
Um die Firewall für IPv4-Verbindungen über die LAN ext-Schnittstelle zu
aktivieren, aktivieren Sie die Checkbox „Firewall für LAN (ext)-
Schnittstelle aktivieren“.
Um die Firewall für IPv6- Verbindungen über die LAN ext-Schnittstelle zu
aktivieren, aktivieren Sie die Checkbox „IPv6-Firewall für LAN (ext)Schnittstelle aktivieren“.
Es wird dringend empfohlen, die Firewall für IPv6 immer aktiviert zu
lassen, auch wenn IPv6 nicht genutzt wird.
Um eine Regel für eine zugelassene IP-Verbindung zu erstellen, gehen
Sie wie folgt vor.
Wählen Sie im Abschnitt „Neue Verbindung zulassen“ in der DropdownListe „Datenrichtung“ für die Regel eine Datenrichtung aus.
Bestimmen Sie das Protokoll der zugelassenen Verbindung in der
Dropdown-Liste „Protokoll“.
Wählen Sie die IP-Version, für welche die Regel gelten soll, in der
Dropdown-Liste „IP-Version“.
Geben Sie in den Eingabefeldern „Absender-IP-Adresse“, „Ziel-IPAdresse“ und Ziel-Port die weiteren Spezifikationen für die durch den
Router zugelassen Verbindungen an. Es können Regeln erstellt werden,
die nicht nur für einzelne Maschinen (Hosts) gelten, sondern für ganze
Netze. In dem Fall muss die Netzmaske nach dem „/“ eingegeben
werden.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Um einzelne Firewall-Regeln temporär auszuschalten, deaktivieren Sie im
Abschnitt „Zugelassene Verbindungen …“ die Checkbox in der Spalte
„aktiv“ in der Übersicht der Firewall-Regeln. Klicken Sie auf „OK“ um die
Einstellung zu übernehmen.
Um eine oder mehrere Regeln zu löschen, aktivieren Sie die Checkbox in
der Spalte „löschen“ in der Übersicht der Firewall-Regeln. Klicken Sie auf
„OK“, um die Einstellung zu übernehmen.
MoRoS Modem
Funktionen
75
13.5.9 IP-Forwarding-Regel erstellen oder löschen
IP-Forwarding-Regeln legen zusätzliche IP-Adressen an der LAN (ext)-Schnittstelle
an, wenn auf der Seite „LAN (ext)“ die Option „statische IP-Adresse“ gewählt
wurde. Pakete an eine dieser IP-Adressen werden an die mit ihr verknüpfte IPAdresse im lokalen LAN weitergeleitet.
Die Firewall gilt auch für diese zusätzlichen IP-Adressen! Daher
müssen diese zusätzlichen IP-Adressen im Menü „LAN (ext)“auf der
Seite „Firewall“ zugelassen werden, wenn die Firewall aktiviert ist.
Ansonsten würden alle Pakete verworfen, die an diese IP-Adressen
gerichtet sind.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „IP-Forwarding“)
Um IP-Forwarding zu aktivieren, aktivieren Sie die Checkbox „IP-
Forwarding aktivieren“.
Um eine IP-Forwarding-Regel zu erstellen, geben Sie im Abschnitt „Neue
Regel erstellen“ die zusätzliche IP-Adresse mit Netzmaske in das Feld
„LAN (ext) IP-Adresse“ und die Zieladresse in das Feld „Ziel-IP-Adresse“
ein. An diese Adresse werden dann die Pakete an die zusätzliche Adresse
weitergeleitet. Übernehmen Sie den Eintrag, indem Sie auf „OK“ klicken.
Um eine bereits erstellte Regel zu löschen, aktivieren Sie unter
„Bestehende Regeln“ die Checkbox der Regel(n), die gelöscht werden
soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
76
13.5.10 Port-Forwarding-Regel erstellen oder löschen
Bei aktiviertem Port-Forwarding leitet der Router vom WAN eingehende Pakete an
die Maschinen im LAN weiter, die in den Port-Forwarding-Regeln festgelegt
wurden.
Aus dem WAN ist nur die WAN-IP-Adresse des MoRoS Modem erreichbar, wenn
NAT für ins WAN gehende Pakete aktiviert ist. Anhand dieser IP-Adresse können
die lokalen Endgeräte im Netz des Geräts mit Hilfe von Port-Forwarding trotzdem
erreicht werden. Pakete aus dem WAN, die an die WAN-IP-Adresse an einem Port
x gesendet werden, können an eine Maschine mit der IP-Adresse Y an den Port y
weitergeleitet werden. Wird alternativ ein ganzer Port-Bereich angegeben, werden
die Pakete an dieselben Ports der Ziel-IP-Adresse weitergeleitet. Es ist möglich, die
Regeln so anzulegen, dass sie nur für WAN-Verbindungen, nur für OpenVPNVerbindungen oder generell gelten.
Auf Grund der „Stateful Firewall“ kann es zu Verzögerungen kommen
bis Änderungen an diesen Funktionen wirksam werden. Dies kann der
Fall sein, wenn bereits Verbindungen bzw. Verbindungsversuche
stattgefunden haben.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Port-Forwarding“)
Um das Port-Forwarding zu aktivieren, aktivieren Sie die Checkbox „PortForwarding für LAN (ext)-Schnittstelle aktivieren“.
Um eine Port-Forwarding-Regel zu erstellen, wählen Sie im Abschnitt
„Neue Regel erstellen“ das Protokoll aus und geben den Port bzw.
Bereich der Ports für die am MoRoS Modem eingehenden Pakete an.
Geben Sie eine IP-Adresse für das Umleitungsziel im Eingabefeld „an IPAdresse“ und einen Port im Eingabefeld „an Port“ ein; an diese Adresse
und diesen Port werden die Pakete weitergeleitet. Bei Angabe eines PortBereichs ist kein Ziel-Port erforderlich, da dieser immer dem Port-Bereich
im WAN entspricht. Wählen Sie in der Dropdown-Liste „anwenden“
noch aus, ob die Regel immer, nur für WAN-Verbindungen oder nur für
OpenVPN-Verbindungen gelten soll.
Um eine bereits erstellte Regel zu deaktivieren, deaktivieren Sie die
Checkbox „aktiv“ der entsprechenden Regel und klicken Sie
anschließend auf „OK“.
Um eine bereits erstellte Regel zu löschen, aktivieren Sie die Checkbox
„löschen“ der entsprechenden Regel und klicken Sie anschließend auf
„OK“.
Die Regeln in der Liste werden von oben nach unten abgearbeitet.
Sollten sich also zwei Regeln widersprechen (z.B. zweimal derselbe Port),
so wird nur die Regel ausgeführt, die weiter oben in der Liste steht.
MoRoS Modem
Funktionen
77
13.5.11 Exposed Host festlegen
Optional können alle Pakete, die keiner Port-Forwarding-Regel entsprechen, an
einen vorbestimmten Rechner im LAN, den „Exposed Host“, weitergeleitet werden
(z.B. zu Diagnosezwecken). Der „Exposed Host“ erhält alle Pakete, die nicht aus
dem lokalen Netz des MoRoS Modem angefordert wurden oder durch eine PortForwarding-Regel nicht bereits an einen Teilnehmer im lokalen Netz weitergeleitet
wurden. Wird kein „Exposed Host“ konfiguriert, werden diese eingehenden Pakete
verworfen.
Konfiguration mit Web-Interface (Menü „LAN (ext)“, Seite „Port-Forwarding“)
Um einen „Exposed Host“ zu definieren, geben Sie im Eingabefeld
„Exposed Host“ die IP-Adresse eines Rechners im LAN ein, der von
außen über alle Ports erreichbar sein soll.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
78
13.6 VPN
13.6.1 VPN Allgemein
Ein VPN (virtuelles privates Netzwerk) wird eingesetzt, um IP-Endgeräte oder ganze
Netzwerke gesichert miteinander zu verbinden. Daten werden damit
fälschungssicher an ein Ziel übertragen und sind für Dritte nicht lesbar.
Sie können den MoRoS Modem für eine OpenVPN-, PPTP-, IPsec- oder GREVerbindung konfigurieren.
Die genaue Vorgehensweise zum Erstellen einer Zertifikatsstruktur und
Konfigurieren eines VPN-Teilnehmers ist in einer Reihe von Konfigurationshandbüchern beschrieben. Diese sind über unsere Webseite (http://www.insysicom.de/cg/) oder unseren Support (support@insys-icom.de) erhältlich.
13.6.2 OpenVPN Allgemein
Sie können den MoRoS Modem als OpenVPN-Server oder als OpenVPN-Client
nutzen.
Abbildung 7 zeigt eine Beispielkonfiguration für eine OpenVPN-Verbindung. Hier ist
ein MoRoS Modem als OpenVPN-Server und ein zweiter als OpenVPN-Client
konfiguriert. Sowohl Client als auch Server können durch beliebige OpenVPNfähige Geräte ersetzt werden. Im Beispiel besteht eine WWAN-Verbindung
zwischen den beiden Geräten. Über diese WWAN-Verbindung ist eine OpenVPNVerbindung aufgebaut.
Sobald eine WAN-Verbindung aufgebaut wurde, können IP-Verbindungen
zwischen den beiden Netzwerken aufgebaut werden. OpenVPN nutzt eine
vorhandene WAN-Verbindung, um einen VPN-Tunnel aufzubauen. Ein Tunnel
besteht aus einer IP-Verbindung, in deren Payload alle zu tunnelnden Pakete
transportiert werden. OpenVPN stellt für den Datenverkehr eine virtuelle
Netzwerkkarte zur Verfügung, über die dann der verschlüsselte Datenverkehr
gesendet wird.
Abbildung 7: OpenVPN-Verbindung und IP-Adressen in der Beispielkonfiguration
MoRoS Modem
Funktionen
79
Authentifizierungsart
Verwendung
Besonderheit
Keine
Zu Testzwecken und
zum Verbinden von
Netzwerken ohne
Verschlüsselung.
Keine verschlüsselte
Verbindung. Am Server
können sich nicht mehrere
Clients gleichzeitig anmelden.
Statischer Schlüssel
Zum verschlüsselten
Verbinden von je
einem Client und
Server in kleineren
Anwendungen
Verschlüsselte Verbindung.
Am Server können sich nicht
mehrere Clients gleichzeitig
anmelden.
Benutzername/Kennwort
und gemeinsames CAZertifikat (nur beim
OpenVPN-Client
einstellbar)
Zum verschlüsselten
Verbinden von einem
oder mehreren Clients
zu einem OpenVPNServer.
Flexible Anwendung für
mehrere Clients. Nicht mit
dem MoRoS Modem als
OpenVPN-Server nutzbar.
Zertifikatsbasiert, jeder
Teilnehmer hat ein
individuelles Zertifikat
und Schlüssel.
Zum verschlüsselten
Verbinden von einem
oder mehreren Clients
zu einem OpenVPNServer.
Lösung für maximale
Sicherheit, allerdings etwas
aufwändiger zu konfigurieren.
Dies ist der empfohlene
Betriebsmodus.
In der Beispielkonfiguration haben die Endpunkte der OpenVPN-Verbindung die IPAdressen 10.1.0.1 und 10.1.0.2. Der VPN-Tunnel wird innerhalb einer schon
bestehenden WAN-Verbindung aufgebaut. Den OpenVPN-Clients und -Servern
muss auch bekannt sein welches Netzwerk sich hinter den jeweiligen Tunnelenden
befindet. In der Beispielkonfiguration ist das auf der einen Seite das Netzwerk
192.168.200.0/24. Auf der anderen Seite ist dies das Netzwerk 192.168.1.0/24.
Sobald der Tunnel aufgebaut ist, werden Daten für diese Zielnetze durch den
OpenVPN-Tunnel übertragen. Sollen nur Daten über die WAN-Schnittstelle
übertragen werden, deren Ziel im Netzwerk hinter dem Tunnelende liegt, empfiehlt
es sich, nach erfolgreicher Konfiguration die Firewall zu aktivieren. Damit kann die
Kommunikation auf den Port beschränkt werden, über den der OpenVPN-Tunnel
aufgebaut wird (Standardeinstellung UDP-Port 1194).
Der MoRoS Modem unterstützt verschiedene Authentifizierungsmethoden beim
Aufbau des VPN-Tunnels:
Tabelle 11: Authentifizierungsmethoden bei OpenVPN
Für detaillierte Informationen und Troubleshooting empfehlen wir auch die
Webseite von OpenVPN: http://openvpn.net/howto.html
Funktionen
MoRoS Modem
80
13.6.3 OpenVPN-Server einrichten
Sie können den MoRoS Modem als OpenVPN-Server nutzen, wenn Sie z.B.
vertrauliche Daten über ein unsicheres Netzwerk übertragen wollen. Dieser
Abschnitt beschreibt die Einrichtung eines OpenVPN-Servers. Die
Grundeinstellungen sind ab Werk auf sinnvolle Standardwerte gesetzt, die Sie aber
unter besonderen Umständen abändern können. Hier legen Sie fest, über welchen
Port der MoRoS Modem den OpenVPN-Tunnel erzeugt und ob die OpenVPNÜbertragung mit dem UDP oder TCP-Protokoll umgesetzt wird. Weiterhin legen Sie
hier fest, ob den Clients das Server-Netz mitgeteilt wird, die Gegenstelle ihre IPAdresse ändern darf, LZO-Komprimierung verwendet wird, Pakete vor dem
Tunneln maskiert werden, welcher Verschlüsselungsalgorithmus während der
Übertragung verwendet wird, wie groß die Tunnelpakete sein sollen und in
welchen Zeitintervallen der OpenVPN-Server VPN-Pings verschickt. Zusätzlich
haben Sie hier die Möglichkeit, den OpenVPN-Status anzuzeigen, die momentane
Konfigurationsdatei anzuzeigen, eine Konfiguration für eine OpenVPN-Gegenstelle
zu erzeugen sowie ein Log der letzten Verbindung anzuzeigen. Die erzeugte
Konfiguration können Sie z.B. zum Erstellen einer OpenVPN-Konfigurationsdatei
verwenden, die als Grundlage für den Betrieb einer OpenVPN-Instanz auf einem
Client-PC dienen kann. Das OpenVPN-Paket für Windows-Clients können Sie auf
der Webseite von INSYS icom herunterladen (www.insys-icom.de/treiber).
Dieses Programm dient als Gegenstelle, wenn Sie die OpenVPN-Verbindung von
einem Windows-PC aus aufbauen wollen.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„OpenVPN-Server“)
Um bei einer Verbindung den OpenVPN-Server zu verwenden, aktivieren
Sie die Checkbox „OpenVPN-Server aktivieren“.
Um den Status des OpenVPN-Servers anzuzeigen, wählen Sie den Link
„OpenVPN-Server Status“.
Um die Meldungen des letzten Verbindungsvorgangs anzuzeigen,
wählen Sie den Link „Verbindungs-Log der letzten Verbindung“.
Um die Konfigurationsdatei des Routers als OpenVPN-Server anzuzeigen,
wählen Sie den Link „Konfigurationsdatei anzeigen“.
Um eine Beispielkonfiguration für einen OpenVPN-Client anzuzeigen,
wählen Sie den Link „Beispielkonfigurationsdatei für die Gegenstelle
erstellen“.
Um den lokalen Port am MoRoS Modem sowie den Port an der
Gegenstelle festzulegen, geben Sie in den Eingabefeldern „Tunneln über
Port (lokal / Gegenstelle)“ einen Wert für die gewünschten Ports an
(Voreinstellung 1194).
Das Protokoll der OpenVPN-Übertragung wählen Sie mit den
Radiobuttons „UDP“ oder „TCP“ aus. Es empfiehlt sich, UDP zu
verwenden, um die Latenz gering zu halten.
MoRoS Modem
Funktionen
81
Damit den Clients die Route zum Netzwerk hinter dem Server mitgeteilt
wird, aktivieren Sie die Checkbox „Server-Netz den Clients mitteilen“.
Wird diese Einstellung deaktiviert, kann eine Kommunikation nur aus
dem Netzwerk des Servers initiiert werden.
Damit entfernte OpenVPN-Gegenstellen während einer Verbindung Ihre
IP-Adresse verändern können („Floating“), aktivieren Sie die Checkbox
„Gegenstelle darf Ihre IP-Adresse dynamisch ändern (float)“. Diese
Einstellung ist standardmäßig aktiv.
Um die LZO-Komprimierung an- oder abzuschalten, aktivieren oder
deaktivieren Sie die Checkbox „LZO-Komprimierung aktivieren“. Werden
bereits stark komprimierte Daten (z.B. jpg) übertragen, hat die
Komprimierung kaum Effekt, werden hingegen gut komprimierbare
Daten (z.B. Text) übertragen, kann die Komprimierung eine deutliche
Reduzierung des übertragenen Datenvolumens erreichen. Schalten Sie
die Kompression ab, falls Ihre Gegenstelle keine LZO-Kompression
unterstützt.
Um die Pakete mit der virtuellen Tunnel-IP-Adresse zu maskieren,
aktivieren Sie die Checkbox „Pakete vor dem Tunnel maskieren“. Der
Empfänger des Paketes sieht dann als Absender die IP-Adresse des
Tunnelendes und nicht die des eigentlichen Absenders.
Um eine andere Verschlüsselungsmethode als die voreingestellte für die
OpenVPN-Verbindung zu verwenden, wählen Sie in der Dropdown-Liste
„Verschlüsselungs-Algorithmus“ eine der Verschlüsselungsmethoden.
Zur Verfügung stehen Blowfish 128 Bit, DES 64 Bit, DES EDE 128 Bit,
DES EDE3 192 Bit, DESX 192 Bit, CAST5 128 Bit, IDEA 128 Bit, RC2
128 Bit, RC2 40 Bit, RC2 64 Bit, AES 128 Bit, AES 192 Bit, AES 256 Bit
und keine Verschlüsselung.
Um einen anderen Hash-Algorithmus als den voreingestellten für die
OpenVPN-Verbindung zu verwenden, wählen Sie in der Dropdown-Liste
„Hash-Algorithmus“ einen der Hash-Algorithmen. Zur Verfügung stehen
SHA-1, SHA-224, SHA-256, SHA-384, SHA-512 und kein HashAlgorithmus.
Um die Ausführlichkeit der Meldungen im Verbindungslog einzustellen,
geben Sie im Feld „Log-Level“ den Grad der Ausführlichkeit ein, wobei
„0“ das Führen des Logs komplett deaktiviert und „9“ die meisten
Details aufzeichnet.
Um eine bestimmte Fragmentierungsgröße für die OpenVPN-
Tunnelpakte in Bytes vorzugeben, verwenden Sie das Eingabefeld
„Fragmentierung der Tunnelpakete“. Geben Sie hier die gewünschte
maximale Paketgröße in Bytes an. Geben Sie hier keinen Wert an, haben
die OpenVPN-Pakete eine maximale Größe von 1500 Bytes. Die
tatsächlich pro Paket übertragene Nutzdatenmenge ist geringer, da durch
OpenVPN ein „Protokoll-Overhead“ entsteht, d.h. die zu übertragenden
Protokoll-Informationen verbrauchen einen Teil der Paketgröße.
Funktionen
MoRoS Modem
82
Um das Intervall bis zur Schlüsselerneuerung anzupassen, verwenden
Sie das Eingabefeld „Intervall bis zur Schlüsselerneuerung“. Geben Sie
hier das Zeitintervall in Sekunden ein, nach dessen Ablauf neue Schlüssel
erzeugt werden.
Um das VPN-Ping-Intervall anzupassen, verwenden Sie das Eingabefeld
„Ping-Intervall“. Geben Sie hier das Zeitintervall in Sekunden ein, in dem
der OpenVPN-Server des MoRoS Modem Ping-Pakete an die OpenVPNGegenstelle versendet. Der regelmäßige Ping dient zum Offenhalten der
Verbindung über diverse Router und Gateways, die evtl. an der
Verbindung beteiligt sind und bei fehlender Kommunikation den Kanal
schließen würden.
Um das Ping-Restart-Intervall anzupassen, verwenden Sie das
Eingabefeld „Ping-Restart-Intervall“. Geben Sie hier ein, nach wie vielen
Sekunden der Tunnel neu aufgebaut werden soll, wenn während der
gesamten Zeit kein Ping von der Gegenstelle angekommen ist. Mit dem
Wert „0“ wird der Tunnel nie abgebaut, auch wenn kein Ping mehr
empfangen wird.
Das Ping-Intervall und das Ping-Restart-Intervall müssen
zusammenpassen. Typische Werte sind 30 und 60 (default). Das PingIntervall sollte max. die Hälfte des Ping-Restart-Intervalls betragen. Bei
schlechten WAN-Verbindungen empfehlen wir das Ping-Intervall zu
reduzieren und ggf. das Ping-Restart-Intervall zu erhöhen.
MoRoS Modem
Funktionen
83
Um die Authentifizierung mit Zertifikaten zu konfigurieren, wählen Sie
den Radiobutton „Authentifizierung mit Zertifikaten“. Dabei wird unter
der Option angezeigt, ob die einzelnen Zertifikate und Schlüssel
vorhanden sind (grüner Haken) oder nicht (rotes Kreuz). Vorhandene
Zertifikate können auch heruntergeladen (blauer Pfeil) oder wieder
gelöscht (rotes Kreuz auf weißem Kästchen) werden. Der private
Schlüssel kann nur gelöscht werden. Markieren Sie die Checkbox „tls-
auth aktivieren“, um zusätzlich zu den Zertifikaten auch einen statischen
Schlüssel zu verwenden. In diesem Fall wird der im Abschnitt
„Authentifizierung mit statischem Schlüssel“ gespeicherte statische
Schlüssel verwendet. Optional kann in der Dropdown-Liste
„Benutzungsrichtung des Schlüssels“ eine Richtung vorgegeben werden
(siehe dazu den im Anschluss folgenden Hinweis). Markieren Sie die
Checkbox „Kommunikation zwischen Clients erlauben“, um auch den
Clients eine Kommunikation untereinander zu ermöglichen. Definieren
Sie den IP-Adress-Pool für die Clients in den Feldern „IPv4-Adress-Pool /
Netzmaske“ bzw. „IPv6-Adress-Pool / Netzmaske“. Um eine neue Route
zu einem Client-Netzwerk anzulegen, geben Sie im Abschnitt „Neue
Route zu Client-Netzwerk anlegen“ den Common Name des Clients in
das Feld „Name im Zertifikat“ sowie seine Netzadresse und Netzmaske
in die Felder „IPv4-Netzadresse / Netzmaske“ bzw. „IPv6-Netzadresse /
Netzmaske“ ein. Geben Sie optional die VPN-IPv4-Adresse für das
Tunnelende eines Clients in das Feld „VPN-IPv4-Adresse“ ein. Es wird
jedem Tunnelende immer jeweils eine IPv4- und eine IPv6-Adresse
zugeteilt, auch wenn der Tunnel einer IP-Version gar nicht benutzt wird.
Klicken Sie auf „OK“, um die neue Route zu übernehmen. Bestehende
Routen können Sie löschen, indem Sie die Checkbox in der Spalte
„löschen“ der entsprechenden Route markieren und auf „OK“ klicken.
Wird tls-auth benutzt, kann optional angegeben werden, dass der
statische Schlüssel nur für eine bestimmte Richtung benutzt werden
soll. Wichtig dabei ist, dass diese Einstellung mit der VPN-Gegenstelle
abgestimmt ist, d.h. bei beiden ist keine Richtung eingestellt oder die
Einstellungen sind komplementär (0/1 bzw. 1/0).
Eine Verknüpfung einer Netzadresse mit „DEFAULT“ als „Common
Name“ kann als „Standard-Route“ angelegt werden. Sie wird immer
als Route benutzt, wenn sich ein Client mit einem Zertifikat anmeldet,
für dessen „Common Name“ noch keine Verknüpfung eingetragen ist.
Funktionen
MoRoS Modem
84
Um die Authentifizierung mit statischem Schlüssel zu konfigurieren,
wählen Sie den Radiobutton „Keine Authentifizierung oder
Authentifizierung mit statischem Schlüssel“. Dabei wird unter der Option
angezeigt, ob der statische Schlüssel vorhanden ist (grüner Haken) oder
nicht (rotes Kreuz). Ein vorhandener Schlüssel kann auch
heruntergeladen (blauer Pfeil) oder wieder gelöscht (rotes Kreuz auf
weißem Kästchen) werden. Ist kein Schlüssel vorhanden, wird die
Gegenstelle weder authentifiziert noch wird der Datenverkehr durch den
OpenVPN-Tunnel verschlüsselt. Klicken Sie auf den Link „Statischen
Schlüssel neu erstellen“, um einen neuen statischen Schlüssel zu
erstellen. Dieser statische Schlüssel muss dann heruntergeladen und
auch auf die Gegenstelle hochgeladen werden. Für einen
funktionierenden Tunnel müssen bei dieser Authentifizierungsart beide
OpenVPN-Gegenstellen über den gleichen statischen Schlüssel verfügen.
Geben Sie die IP-Adresse oder den Domain-Namen der Gegenstelle in
das Feld „IP-Adresse oder Domainname der Gegenstelle“ ein. Optional
können Sie die IP-Adresse oder den Domain-Namen einer alternativen
Gegenstelle in das Feld „Alternative Gegenstelle“ eingeben. Geben Sie
die IP-Adresse des lokalen Tunnelendes in das Feld „IPv4-Tunneladresse
lokal“ bzw. „IPv6-Tunneladresse lokal“ und die des entfernten
Tunnelendes in das Feld „IPv4-Tunneladresse der Gegenstelle“ bzw.
„IPv6-Tunneladresse der Gegenstelle“ ein. Geben Sie die Adresse sowie
die zugehörige Netzmaske des Netzwerks hinter dem OpenVPN-Tunnel
in die Felder „IPv4-Netzadresse hinter dem Tunnel“ bzw. „IPv6Netzadresse hinter dem Tunnel“ und „IPv4-Netzmaske hinter dem
Tunnel“ bzw. „IPv6-Netzmaske hinter dem Tunnel“ ein.
Um alle oben getroffenen Einstellungen zu übernehmen, klicken Sie auf
die Schaltfläche „OK“.
Um ein Zertifikat oder einen Schlüssel hochzuladen, klicken Sie im
Abschnitt „Schlüssel oder Zertifikate laden“ auf die Schaltfläche
„Durchsuchen…“ (Schaltfläche abhängig vom verwendeten Browser).
Wählen Sie dann im Fenster „Datei hochladen“ die gewünschte Datei auf
dem entsprechenden Datenträger aus und klicken Sie auf die
Schaltfläche „Öffnen“. Falls die Datei verschlüsselt ist, müssen Sie noch
das Kennwort in das Feld „Kennwort (nur bei verschlüsselter Datei)“
eintragen. Klicken Sie dann auf die Schaltfläche „OK“ um die Datei
hochzuladen.
MoRoS Modem
Funktionen
85
13.6.4 OpenVPN-Client einrichten
Sie können den MoRoS Modem als OpenVPN-Client nutzen, um sich mit einem
OpenVPN-Server über ein unsicheres Netz zu verbinden. Dieser Abschnitt
beschreibt die Einrichtung eines OpenVPN-Clients. Die Grundeinstellungen sind ab
Werk auf sinnvolle Standardwerte gesetzt, die Sie aber an das VPN anpassen
müssen, mit dem sich der MoRoS Modem verbinden soll. Hier legen Sie fest, mit
welcher IP-Adresse oder Domain und über welche Ports der OpenVPN-Tunnel
aufgebaut wird, und ob die OpenVPN-Übertragung mit dem UDP- oder TCPProtokoll umgesetzt wird. Wenn die Gegenstelle nur über einen Proxy-Server
erreicht werden kann, kann dieser entsprechend konfiguriert werden. Weiterhin
legen Sie hier fest, ob eine Default-Route gesetzt wird, die lokale Adresse und der
Port fixiert werden, die Gegenstelle ihre IP-Adresse ändern darf, LZOKomprimierung verwendet wird, Pakete vor dem Tunneln maskiert werden,
welcher Verschlüsselungsalgorithmus während der Übertragung verwendet wird,
wie groß die Tunnelpakete sein sollen und in welchen Zeitintervallen der OpenVPNClient VPN-Pings an den Server verschickt. Zusätzlich haben Sie hier die
Möglichkeit, den OpenVPN-Status, die momentane Konfigurationsdatei, eine
Konfiguration für eine OpenVPN-Gegenstelle (den OpenVPN-Server) und ein Log
der letzten Verbindung anzuzeigen.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„OpenVPN-Client“)
Um bei einer Verbindung den OpenVPN-Client zu verwenden, aktivieren
Sie die Checkbox „OpenVPN-Client aktivieren“.
Um den Status des OpenVPN-Clients anzuzeigen, wählen Sie den Link
„OpenVPN-Client Status“.
Um die Meldungen des letzten Verbindungsvorgangs anzuzeigen,
wählen Sie den Link „Verbindungs-Log der letzten Verbindung“.
Um die Konfigurationsdatei des Routers als OpenVPN-Client anzuzeigen,
wählen Sie den Link „Konfigurationsdatei anzeigen“.
Um eine Beispielkonfiguration für einen OpenVPN-Server anzuzeigen,
wählen Sie den Link „Beispielkonfigurationsdatei für die Gegenstelle
erstellen“.
Um die IP-Adresse oder den Domainnamen der Gegenstelle zu
bestimmen, mit dem Sie den Router die OpenVPN-Verbindung aufbauen
lassen, geben Sie im Feld „IP-Adresse oder Domainname der
Gegenstelle“ eine IP-Adresse oder einen Domainnamen an.
Optional kann eine alternative Gegenstelle bestimmt werden, mit der die
OpenVPN-Verbindung aufgebaut werden soll, falls die oben konfigurierte
Gegenstelle nicht erreichbar ist. Geben Sie dazu im Feld „Alternative
Gegenstelle“ eine IP-Adresse oder einen Domainnamen an.
Um den lokalen Port am MoRoS Modem sowie den Port an der
Gegenstelle festzulegen, geben Sie in den Eingabefeldern „Tunneln über
Port (lokal / Gegenstelle)“ einen Wert für die gewünschten Ports an.
Funktionen
MoRoS Modem
86
Das Protokoll der OpenVPN-Übertragung wählen Sie mit den
Radiobuttons „UDP“ oder „TCP“ aus. Wir empfehlen, UDP zu
verwenden, um die Latenz gering zu halten.
Wenn die Gegenstelle nur über einen Proxy-Server erreicht werden kann,
geben Sie dessen IP-Adresse oder Domainnamen in das Feld „IP-Adresse
oder Domainname des Proxy-Servers“ ein, wählen Sie dessen Art mit
Hilfe der Radiobuttons „HTTP“ oder „SOCKS5“ und tragen Sie seinen
Port in das Feld „Port“ ein. Falls der Proxy-Server eine Authentifizierung
erfordert, tragen Sie die Zugangsdaten in die Felder „Benutzername“ und
„Kennwort“ ein.
Um eine Default-Route zu setzen, aktivieren Sie die Checkbox „Default
Route setzen (redirect-gateway)“. Dann wird jeglicher Datenverkehr
durch den Tunnel geroutet.
Es ist nicht zwingend nötig, den lokalen Port und die IP-Adresse der
OpenVPN Verbindung fest vorzuschreiben. Wenn Sie die Verwendung
des Ports und der IP-Adresse offen lassen wollen, deaktivieren Sie die
Checkbox „Lokale Adresse und Port fixieren (nobind)“.
Damit entfernte OpenVPN-Gegenstellen während einer Verbindung Ihre
IP-Adresse verändern können („Floating“), aktivieren Sie die Checkbox
„Gegenstelle darf Ihre IP-Adresse dynamisch ändern (float)“. Diese
Einstellung ist standardmäßig aktiv.
Um die LZO-Komprimierung an- oder abzuschalten, aktivieren oder
deaktivieren Sie die Checkbox „LZO-Komprimierung aktivieren“. Werden
bereits stark komprimierte Daten (z.B. jpg) übertragen, hat die
Komprimierung kaum Effekt, werden hingegen gut komprimierbare
Daten (z.B. Text) übertragen, kann die Komprimierung eine deutliche
Reduzierung des übertragenen Datenvolumens erreichen. Schalten Sie
die Kompression ab, falls Ihre Gegenstelle keine LZO-Kompression
unterstützt.
Um die Pakete mit der virtuellen Tunnel-IP-Adresse zu maskieren,
aktivieren Sie die Checkbox „Pakete vor dem Tunnel maskieren“. Der
Empfänger des Paketes sieht dann als Absender die IP-Adresse des
Tunnelendes und nicht die des eigentlichen Absenders.
Um eine andere Verschlüsselungsmethode als die voreingestellte für die
OpenVPN-Verbindung zu verwenden, wählen Sie in der Dropdown-Liste
„Verschlüsselungs-Algorithmus“ eine der Verschlüsselungsmethoden.
Zur Verfügung stehen Blowfish 128 Bit, DES 64 Bit, DES EDE 128 Bit,
DES EDE3 192 Bit, DESX 192 Bit, CAST5 128 Bit, IDEA 128 Bit, RC2
128 Bit, RC2 40 Bit, RC2 64 Bit, AES 128 Bit, AES 192 Bit, AES 256 Bit
und keine Verschlüsselung.
Um einen anderen Hash-Algorithmus als den voreingestellten für die
OpenVPN-Verbindung zu verwenden, wählen Sie in der Dropdown-Liste
„Hash-Algorithmus“ einen der Hash-Algorithmen. Zur Verfügung stehen
SHA-1, SHA-224, SHA-256, SHA-384, SHA-512 und kein HashAlgorithmus.
MoRoS Modem
Funktionen
87
Um die Ausführlichkeit der Meldungen im Verbindungslog einzustellen,
geben Sie im Feld „Log-Level“ den Grad der Ausführlichkeit ein, wobei
„0“ das Führen des Logs komplett deaktiviert und „9“ die meisten
Details aufzeichnet.
Um eine bestimmte Fragmentierungsgröße für die OpenVPN-
Tunnelpakte in Bytes vorzugeben, verwenden Sie das Eingabefeld
„Fragmentierung der Tunnelpakete“. Geben Sie hier die gewünschte
maximale Paketgröße in Bytes an. Geben Sie hier keinen Wert an, haben
die OpenVPN-Pakete eine maximale Größe von 1500 Bytes. Die
tatsächlich pro Paket übertragene Nutzdatenmenge ist geringer, da durch
OpenVPN ein „Protokoll-Overhead“ entsteht, d.h. die zu übertragenden
Protokoll-Informationen verbrauchen einen Teil der Paketgröße.
Um das Intervall bis zur Schlüsselerneuerung anzupassen, verwenden
Sie das Eingabefeld „Intervall bis zur Schlüsselerneuerung“. Geben Sie
hier das Zeitintervall in Sekunden ein, nach dessen Ablauf neue Schlüssel
erzeugt werden.
Um das VPN-Ping-Intervall anzupassen, verwenden Sie das Eingabefeld
„Ping-Intervall“. Geben Sie hier das Zeitintervall in Sekunden ein, in dem
der OpenVPN-Client des MoRoS Modem Ping-Pakete an die OpenVPNGegenstelle versendet. Der regelmäßige Ping dient zum Offenhalten der
Verbindung über diverse Router und Gateways, die evtl. an der
Verbindung beteiligt sind und bei fehlender Kommunikation den Kanal
schließen würden.
Um das Ping-Restart-Intervall anzupassen, verwenden Sie das
Eingabefeld „Ping-Restart-Intervall“. Geben Sie hier ein, nach wie vielen
Sekunden der Tunnel neu aufgebaut werden soll, wenn während der
gesamten Zeit kein Ping von der Gegenstelle angekommen ist. Mit dem
Wert „0“ wird der Tunnel nie abgebaut, auch wenn kein Ping mehr
empfangen wird.
Um zusätzlich einen Ping per ICMP-Protokoll an eine Domain oder eine
IP-Adresse zu senden, geben Sie diese in das Eingabefeld „Zusätzlicher
ICMP-Ping an“ ein. Es empfiehlt sich, hier einen Domainnamen oder eine
IP-Adresse einzutragen, die nur durch den Tunnel erreichbar ist. Ist der
Ping nicht erfolgreich, wird ein eventuell bestehender Tunnel abgebaut
und ein neuer Tunnel aufgebaut. Das Intervall der Pings beträgt 15
Minuten.
Funktionen
MoRoS Modem
88
Um die Authentifizierung mit Zertifikaten zu konfigurieren, wählen Sie
den Radiobutton „Authentifizierung mit Zertifikaten“. Dabei wird unter
der Option angezeigt, ob die einzelnen Zertifikate und Schlüssel
vorhanden sind (grüner Haken) oder nicht (rotes Kreuz). Vorhandene
Zertifikate können auch heruntergeladen (blauer Pfeil) oder wieder
gelöscht (rotes Kreuz auf weißem Kästchen) werden. Der private
Schlüssel kann nur gelöscht werden. Alternativ oder zusätzlich zu der
Benutzung eines Client-Zertifikates und eines privaten Schlüssels kann
eine Benutzername/Kennwort-Kombination für die Authentifizierung
beim OpenVPN-Server benutzt werden (es wird jedoch auf alle Fälle das
CA-Zertifikat benötigt, über das jeder Teilnehmer dieses VPNs verfügen
muss). Geben Sie dazu einen Benutzernamen in das Feld
„Benutzername“ sowie das zugehörige Kennwort in das Feld „Kennwort“
ein. Um den Zertifikatstyp der Gegenstelle zu prüfen, markieren Sie die
Checkbox „Zertifikatstyp der Gegenstelle überprüfen“. Markieren Sie die
Checkbox „tls-auth aktivieren“, um zusätzlich zu den Zertifikaten auch
einen statischen Schlüssel zu verwenden. In diesem Fall wird der im
Abschnitt „Authentifizierung mit statischem Schlüssel“ gespeicherte
statische Schlüssel verwendet. Optional kann in der Dropdown-Liste
„Benutzungsrichtung des Schlüssels“ eine Richtung vorgegeben werden
(siehe dazu den im Anschluss folgenden Hinweis).
Wird tls-auth benutzt, kann optional angegeben werden, dass der
statische Schlüssel nur für eine bestimmte Richtung benutzt werden
soll. Wichtig dabei ist, dass diese Einstellung mit der VPN-Gegenstelle
abgestimmt ist, d.h. bei beiden ist keine Richtung eingestellt oder die
Einstellungen sind komplementär (0/1 bzw. 1/0).
Um die Authentifizierung mit statischem Schlüssel zu konfigurieren,
wählen Sie den Radiobutton „Keine Authentifizierung oder
Authentifizierung mit statischem Schlüssel“. Dabei wird unter der Option
angezeigt, ob der statische Schlüssel vorhanden ist (grüner Haken) oder
nicht (rotes Kreuz). Ein vorhandener Schlüssel kann auch
heruntergeladen (blauer Pfeil) oder wieder gelöscht (rotes Kreuz auf
weißem Kästchen) werden. Ist kein Schlüssel vorhanden, wird die
Gegenstelle weder authentifiziert noch wird der Datenverkehr durch den
OpenVPN-Tunnel verschlüsselt. Klicken Sie auf den Link „Statischen
Schlüssel neu erstellen“, um einen neuen statischen Schlüssel zu
erstellen. Dieser statische Schlüssel muss dann heruntergeladen und
auch auf die Gegenstelle hochgeladen werden. Geben Sie die IP-Adresse
des lokalen Tunnelendes in das Feld „IPv4-Tunneladresse lokal“ bzw.
„IPv6-Tunneladresse lokal“ und die des entfernten Tunnelendes in das
Feld „IPv4-Tunneladresse der Gegenstelle“ bzw. „IPv6-Tunneladresse der
Gegenstelle“ ein. Geben Sie die Adresse sowie die zugehörige
Netzmaske des Netzwerks hinter dem OpenVPN-Tunnel in die Felder
„IPv4-Netzadresse hinter dem Tunnel“ bzw. „IPv6-Netzadresse hinter
dem Tunnel“ und „IPv4-Netzmaske hinter dem Tunnel“ bzw. „IPv6Netzmaske hinter dem Tunnel“ ein.
MoRoS Modem
Funktionen
89
Um alle oben getroffenen Einstellungen zu übernehmen, klicken Sie auf
die Schaltfläche „OK“.
Um ein Zertifikat oder einen Schlüssel hochzuladen, klicken Sie im
Abschnitt „Schlüssel oder Zertifikate laden“ auf die Schaltfläche
„Durchsuchen…“ (Schaltfläche abhängig vom verwendeten Browser).
Wählen Sie dann im Fenster „Datei hochladen“ die gewünschte Datei auf
dem entsprechenden Datenträger aus und klicken Sie auf die
Schaltfläche „Öffnen“. Falls die Datei verschlüsselt ist, müssen Sie noch
das Kennwort in das Feld „Kennwort (nur bei verschlüsselter Datei)“
eintragen. Klicken Sie dann auf die Schaltfläche „OK“ um die Datei
hochzuladen.
Funktionen
MoRoS Modem
90
13.6.5 PPTP Allgemein
PPTP (Point-to-Point Tunneling Protocol) ist ein VPN (virtuelles privates Netzwerk),
das für neue Installationen nicht mehr empfohlen wird. Eine moderne Alternative
ist OpenVPN.
PPTP baut über einen mit dem GRE-Protokoll (Generic Routing Encapsulation)
erstellten Tunnel eine WWAN-Verbindung auf. Für den Tunnelaufbau ist
unerlässlich, dass das GRE-Protokoll uneingeschränkt zwischen den beiden PPTPTeilnehmern geroutet wird und dass eine TCP-Verbindung mit Port 1723 möglich
ist. Der TCP-Port 1723 ist fix und kann nicht verändert werden. Das GRE-Protokoll
wird im Internet nicht immer direkt geroutet. In dem Fall kann das erfolgende NAT
verhindern, dass ein Tunnel aufgebaut werden kann.
Für sichere Tunnel wird dringend empfohlen, möglichst lange Kennwörter mit
Sonderzeichen und die Verschlüsselungsart MPPE-128 Bit zu verwenden.
13.6.6 PPTP-Server einrichten
Hier werden die Einstellungen für den MoRoS Modem als PPTP-Server konfiguriert.
Maximal 5 PPTP-Clients können sich gleichzeitig an diesem Server anmelden. Es
können zwar mehrere Benutzer angelegt werden, aber gleichzeitig können nur 5
Tunnel aktiv sein.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„PPTP-Server“)
Für einen Betrieb als PPTP-Server, aktivieren Sie die Checkbox „PPTPServer aktivieren“.
Um die Meldungen des letzten Verbindungsvorgangs anzuzeigen,
wählen Sie den Link „Verbindungslog der letzten Verbindung“.
Um das Authentifizierungsverfahren auszuwählen, mit dem sich der
PPTP-Client am Server authentifizieren muss, wählen Sie dieses aus der
Dropdown-Liste „Authentifizierung“ aus. Wenn der Datenverkehr über
die PPTP-Verbindung mit MPPE verschlüsselt werden soll, ist zwingend
die Authentifizierungsart MS-CHAP-v2 erforderlich. Weiter zur Verfügung
stehen PAP, CHAP, MS-CHAP oder keine Authentifizierung.
Um die Verschlüsselung auszuwählen, die für die PPTP-Verbindung
verwendet wird, wählen Sie diese aus der Dropdown-Liste
„Verschlüsselung“ aus. Dieselbe Verschlüsselung muss auch für den
Client konfiguriert werden. Zur Verfügung stehen MPE 40, MPE 128 oder
keine Verschlüsselung.
Um die MTU (maximale erlaubte Anzahl an Bytes in einem zu sendenden
Paket) anzupassen, ändern Sie den Eintrag im entsprechenden Feld.
Um die MRU (maximale erlaubte Anzahl an Bytes in einem zu
empfangenden Paket) anzupassen, ändern Sie den Eintrag im
entsprechenden Feld.
MoRoS Modem
Funktionen
91
Die Standardeinstellung von MTU und MRU ist für die meisten
Anwendungen passend und muss nur in Ausnahmefällen geändert
werden.
Geben Sie die IP-Adresse des lokalen Tunnelendes in das Feld „IPv4Tunneladresse lokal“ ein. Wenn keine Adresse explizit angegeben wird,
benutzt der PPTP-Server die IP-Adresse 192.168.0.1. Falls diese Adresse
bereits belegt ist, kann hier eine andere Adresse angegeben werden.
Definieren Sie den verfügbaren IP-Adressen-Pool für die Tunnelenden der
PPTP-Clients in den Feldern „IP-Adressen-Pool“. Dieser Pool muss im
Netzwerk des LANs liegen. Die PPTP-Clients adressieren ihr Ziel direkt
mit IP-Adressen im LAN des MoRoS Modem.
Um einen neuen Benutzer hinzuzufügen, der für die Verbindungen von
PPTP-Clients zugelassen ist, geben Sie für diesen einen Benutzernamen
und ein Kennwort in die entsprechenden Felder ein. Klicken Sie auf
„OK“, um den Benutzer zu übernehmen. Bestehende Benutzer können
Sie löschen, indem Sie die Checkbox in der Spalte „löschen“ des
entsprechenden Benutzers markieren und auf „OK“ klicken.
Um alle oben getroffenen Einstellungen für den geladenen Tunnel zu
übernehmen, klicken Sie auf die Schaltfläche „OK“.
13.6.7 PPTP-Client einrichten
Hier werden die Einstellungen für den PPTP-Client konfiguriert. Alle Pakete durch
den PPTP-Tunnel werden vom MoRoS Modem mit seiner Tunnel-Adresse maskiert.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„PPTP-Client“)
Um den MoRoS Modem als PPTP-Client zu verwenden, aktivieren Sie die
Checkbox „PPTP-Client aktivieren“.
Um die Meldungen des letzten Verbindungsvorgangs anzuzeigen,
wählen Sie den Link „Verbindungslog der letzten Verbindung“.
Um die IP-Adresse oder den Domainnamen der Gegenstelle zu
bestimmen, zu der die VPN-Verbindung aufgebaut werden soll, geben
Sie im Feld „IP-Adresse oder Domainname der Gegenstelle“ eine IPAdresse oder einen Domainnamen an.
Geben Sie den Benutzernamen und das Kennwort mit denen sich der
PPTP-Client am Server anmeldet in die entsprechenden Felder ein.
Um die Verschlüsselung auszuwählen, die für die PPTP-Verbindung
verwendet wird, wählen Sie diese aus der Dropdown-Liste
„Verschlüsselung“ aus. Es muss die Verschlüsselung gewählt werden,
die auch der PPTP-Server verwendet. Zur Verfügung stehen MPE 40,
MPE 128 oder keine Verschlüsselung.
Funktionen
MoRoS Modem
92
Um die Default-Route zu diesem PPTP-Tunnel zu setzen, aktivieren Sie
die Checkbox „Default Route setzen“. Dann wird jeglicher Datenverkehr
durch den Tunnel geroutet. Dies ist jedoch nur dann möglich, wenn
vorher noch keine vorrangige Default-Route gesetzt war.
Wird keine Default-Route zum Tunnel gesetzt, muss das lokale Subnetz
hinter dem Tunnel definiert werden. Geben Sie dieses Netzwerk mit
passender Netzmaske in das Feld „Lokales Subnetz der Gegenstelle“ ein.
Nur so werden Pakete in das Netzwerk hinter dem PPTP-Tunnel durch
den Tunnel geroutet.
Um die MTU (maximale erlaubte Anzahl an Bytes in einem zu sendenden
Paket) anzupassen, ändern Sie den Eintrag im entsprechenden Feld.
Um die MRU (maximale erlaubte Anzahl an Bytes in einem zu
empfangenden Paket) anzupassen, ändern Sie den Eintrag im
entsprechenden Feld.
Die Standardeinstellung von MTU und MRU ist für die meisten
Anwendungen passend und muss nur in Ausnahmefällen geändert
werden.
Um eine Verbindungsüberprüfung durch einen Ping per ICMP-Protokoll
an eine Domain oder eine IP-Adresse einzustellen, geben Sie diese in das
Eingabefeld „Zusätzlicher ICMP-Ping an“ ein. Es empfiehlt sich, hier
einen Domainnamen oder eine IP-Adresse einzutragen, die nur durch den
Tunnel erreichbar ist. Ist die Verbindungsprüfung nicht erfolgreich, wird
ein eventuell bestehender Tunnel abgebaut und ein neuer Tunnel
aufgebaut. Das Intervall der Pings beträgt 15 Minuten.
Wenn ein Tunnel abbricht, wird dieser nicht automatisch wieder
aufgebaut, sondern der Aufbau erfolgt erst nach einem neuen WANVerbindungsaufbau. Deshalb sollte der Zustand des Tunnels unbedingt
mit einem ICMP-Ping geprüft werden.
Um alle oben getroffenen Einstellungen für den geladenen Tunnel zu
übernehmen, klicken Sie auf die Schaltfläche „OK“.
MoRoS Modem
Funktionen
93
13.6.8 IPsec einrichten
IPsec (Internet Protocol Security) ist ein Sicherheitsprotokoll für die sichere
Kommunikation über IP-Netze und kann zum Aufbau virtueller privater Netzwerke
(VPN) verwendet werden. Dabei können zwei Subnetze über zwei geeignete Router
(z.B. INSYS MoRoS 2.1) über einen sicheren Tunnel miteinander verbunden
werden. Es ist möglich, bis zu 10 verschiedene Tunnel zu konfigurieren.
Ein Tunnel kann auch als Fallback-Tunnel für einen anderen aktiven Tunnel
verwendet werden. Beim Aufbau der WAN-Verbindung wird immer der aktive
Tunnel gestartet. Wenn der zusätzliche ICMP-Ping erfolglos ist, wird der aktive
Tunnel beendet und der Fallback-Tunnel gestartet. Schlägt bei einem FallbackTunnel die Verbindungsüberprüfung per ICMP-Ping fehl, wird der Fallback-Tunnel
beendet und der aktive Tunnel gestartet.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„IPsec“)
Um bei einer Verbindung IPsec zu verwenden, aktivieren Sie die
Checkbox „IPsec aktivieren“.
Um den aktuellen Zustand der IPsec-Tunnel anzuzeigen, wählen Sie den
Link „IPsec Status“.
Um die Meldungen des letzten Verbindungsvorgangs anzuzeigen,
wählen Sie den Link „Verbindungslog der letzten Verbindung“.
Um NAT-Traversal zu konfigurieren, verwenden Sie die Dropdown-Liste
„NAT-Traversal“ zur Auswahl der entsprechenden Option. Wenn Sie
„aktivieren“ (Standardeinstellung) wählen, werden, falls ein NAT-Router
erkannt wird, alle ESP (Encapsulating Security Payload)-Pakete zusätzlich
in ein UDP-Paket verpackt und über den UDP-Port 4500 versendet.
Wenn Sie „erzwingen“ wählen, wird dieses Verhalten ohne Kontrolle auf
einen NAT-Router erzwungen (dabei muss auch die Gegenstelle NAT-
Traversal aktiviert haben). Wenn Sie „deaktivieren“ wählen, wird eine
UDP-Datenkapselung verhindert, was im Betrieb mit einem NAT-Router
zu Problemen führen kann. Diese Einstellung gilt global für alle Tunnel.
Um das Intervall der Keep-Alive-Pakete zu konfigurieren, die gesendet
werden, wenn NAT-Traversal verwendet wird, geben Sie die Zeit in
Sekunden in das Feld „Keep-Alive Intervall“ ein. Dadurch kann verhindert
werden, dass z.B. eine Stateful Firewall die Verbindung nach zu langer
Inaktivität blockiert.
Um den Tunnel auszuwählen, dessen Einstellungen bearbeitet werden
sollen, wählen Sie den gewünschten Tunnel aus der Dropdown-Liste
„Tunnelname“ und klicken Sie dann auf die Schaltfläche „zum
Bearbeiten laden“. Wenn Einstellungen am aktuell geladenen Tunnel
erfolgt sind, müssen diese zuvor mit der Schaltfläche „OK“ übernommen
werden, bevor ein neuer Tunnel geladen wird, um diese nicht zu
verlieren. Das Laden eines Tunnels speichert keine bereits
vorgenommenen Einstellungen!
Funktionen
MoRoS Modem
94
Um den geladenen Tunnel zu aktivieren, wählen Sie in der DropdownListe „Tunnel aktivieren“ die Option „aktiv“.
Um den geladenen Tunnel als Fallback-Tunnel für einen aktiven Tunnel
festzulegen, wählen Sie in der Dropdown-Liste „Tunnel aktivieren“ die
Option „Fallback für …“.
Um dem geladenen Tunnel einen beschreibenden Namen zuzuweisen,
geben Sie diesen in das Feld „Tunnelname“ ein. Dies erleichtert die
Zuordnung von Meldungen im Log oder der Status-Ansicht.
Um die Gegenstelle festzulegen, zu der der Tunnel aufgebaut werden
soll, geben Sie in das Feld „IP-Adresse oder Domainname der
Gegenstelle“ entweder die IP-Adresse oder den Domainname der
Gegenstelle ein. Wird keine Gegenstelle angegeben, werden eingehende
Verbindungsanfragen von allen Gegenstellen akzeptiert, aber es kann
keine Verbindung initiiert werden. In diesem Fall muss die „Aktion bei
Verbindungsabbruch“ der Dead-Peer-Detection auf „hold“ gestellt
werden, da bei einem Abbruch der bestehenden Verbindung sonst keine
neu eingehende Verbindungsanfrage mehr angenommen werden kann.
Um ein zu tunnelndes Netzwerk hinter dem Switch des MoRoS Modem
zu definieren, kann dieses Netzwerk mit passender Netzmaske in das
Feld „Eigenes lokales Subnetz“ eingegeben werden. Dieses muss nicht
das wirkliche lokale Subnetz sein, sondern kann auch hinter weiteren
Gateways liegen. In solch einem Fall muss darauf geachtet werden, dass
die benötigten Routing-Regeln korrekt angelegt werden. Wird dieses
Feld nicht ausgefüllt, wird automatisch das lokale Subnetz verwendet.
Um das lokale Subnetz hinter der Gegenstelle zu definieren, geben Sie
dieses Netzwerk mit passender Netzmaske in das Feld „Lokales Subnetz
der Gegenstelle“ ein. Es werden nur die Daten in ESP-Pakete gepackt,
welche an dieses Netz adressiert sind.
Um die ID der Gegenstelle festzulegen, geben Sie diese in das Feld „ID
der Gegenstelle“ ein. Standardmäßig wird die jeweilige IP-Adresse als ID
verwendet. Weicht die eigentliche IP-Adresse von der empfangenen ID
ab (z.B. durch dazwischen liegende NAT-Router) oder ist sie nicht
bekannt, kann die ID der Gegenstelle explizit angegeben werden (ein
selbstdefinierter String, der ein „@“ beinhalten muss). Bei Verwendung
von Zertifikaten wird standardmäßig der DN (Distinguished Name) als ID
verwendet. Der Domainname der Gegenstelle kann ebenso als ID
verwendet werden, da er durch einen DNS-Lookup aufgelöst wird.
Um die eigene ID anzupassen, geben Sie diese in das Feld „Eigene ID“
ein. Dies ist nur nötig, wenn die standardmäßige ID nicht verwendet
werden kann oder soll.
Um nur ein bestimmtes Protokoll und einen bestimmten Port für das
lokale Tunnelende zuzulassen, geben Sie die IANA-Protokollnummer und
den Port (sofern das Protokoll Ports unterstützt) in die Felder „Lokales
Protokoll und Port“ ein. Fehlt hier eine Angabe des Protokolls und/oder
Ports sind alle Protokolle bzw. Ports zugelassen.
MoRoS Modem
Funktionen
95
Um nur ein bestimmtes Protokoll und einen bestimmten Port für das
Tunnelende der Gegenstelle zuzulassen, geben Sie die IANAProtokollnummer und den Port (sofern das Protokoll Ports unterstützt) in
die Felder „Protokoll und Port der Gegenstelle“ ein. Fehlt hier eine
Angabe des Protokolls und/oder Ports sind alle Protokolle bzw. Ports
zugelassen.
Um den Authentifizierungs-Modus festzulegen, wählen Sie diesen in der
Dropdown-Liste „Authentifizierungs-Modus“ aus. Der Main-Modus ist
sicherer, da alle Authentifizierungsdaten verschlüsselt übertragen
werden. Der Aggressive-Modus ist schneller, da er auf diese
Verschlüsselung verzichtet und die Authentifizierung über eine
Passphrase erfolgt.
Um die Verschlüsselungs- und Hash-Algorithmen sowie die DiffieHellman-Gruppe für den IKE-Schlüsselaustausch zu definieren, wählen
Sie diese aus den Dropdown-Listen „Schlüsselparameter IKE“ aus. Zur
Verfügung stehen DES EDE3, AES 128/192/256 sowie SHA1 oder MD5
und DH 768/1024/1536.
Um die Verschlüsselungs- und Hash-Algorithmen für die IPsecVerbindung zu definieren, wählen Sie diese aus den Dropdown-Listen
„Schlüsselparameter IPsec“ aus. Zur Verfügung stehen DES EDE3, AES
128/192/256 sowie SHA1 oder MD5.
Um die maximale Anzahl an Verbindungsversuchen einzugeben, ab
deren Überschreiten die Gegenstelle als nicht erreichbar gilt, geben Sie
diese in das Feld „Maximale Verbindungsversuche“ ein. Eine Eingabe
von „0“ bedeutet hier eine unendliche Anzahl an Versuchen.
Um die empfangenen Pakete mit der lokalen IP-Adresse des MoRoS
Modem zu maskieren, aktivieren Sie die Checkbox „Pakete durch den
Tunnel maskieren“. Der Empfänger des Paketes sieht dann als Absender
die lokale IP-Adresse des MoRoS Modem und nicht die des eigentlichen
Absenders aus dem lokalen Netz der Gegenstelle.
Um die Dead-Peer-Detection zu konfigurieren, geben Sie das Intervall, in
dem Anfragen an die Gegenstelle gesendet werden, in Sekunden in das
Feld „Intervall Dead-Peer-Detection“ und die maximale Zeit, in der diese
Anfragen beantwortet werden müssen, in Sekunden in das Feld
„Timeout Dead-Peer-Detection“ ein. Das Verhalten bei einer als
abgebrochen erkannten Verbindung, wählen Sie in der Dropdown-Liste
„Aktion bei Verbindungsabbruch“. Wählen Sie hier „restart“
(Standardeinstellung) wird die Verbindung neu gestartet, bei „clear“
abgebaut und bei „hold“ gehalten.
Um die Perfect-Forward-Secrecy zu aktivieren, aktivieren Sie die
Checkbox „Perfect-Forward-Secrecy aktivieren“. Damit kann verhindert
werden, dass aus einer gehackten Verschlüsselung der nächste
Schlüssel schneller herausgefunden werden kann. Beide Gegenstellen
müssen in dieser Einstellung übereinstimmen, damit die Verbindung
aufgebaut werden kann.
Funktionen
MoRoS Modem
96
Um das Intervall für die Schlüsselerneuerung der IKE SA zu
konfigurieren, geben Sie den Wert in Sekunden in das Feld „Intervall bis
zur Schlüsselerneuerung der IKE SA“ ein. Der Mindestwert ist 3600
Sekunden (1 Stunde). Durch die regelmäßige Erneuerung der
verwendeten Schlüssel kann die Sicherheit der IPsec-Verbindung über
einen längeren Zeitraum gewährleistet werden.
Um das Intervall für die Schlüsselerneuerung der IPsec SA zu
konfigurieren, geben Sie den Wert in Sekunden in das Feld „Intervall bis
zur Schlüsselerneuerung der IPsec SA“ ein. Der Mindestwert ist 3600
Sekunden (1 Stunde). Durch die regelmäßige Erneuerung der
verwendeten Schlüssel kann die Sicherheit der IPsec-Verbindung über
einen längeren Zeitraum gewährleistet werden.
Um zusätzlich einen Ping per ICMP-Protokoll an eine IP-Adresse zu
senden, geben Sie diese Adresse, die sich im lokalen Subnetz der
Gegenstelle befinden muss, in das Feld „Zusätzlicher ICMP-Ping an“ ein.
Ist der Ping nicht erfolgreich, wird ein eventuell bestehender Tunnel
abgebaut und ein neuer Tunnel aufgebaut. Das Ping-Intervall beträgt 15
Minuten. Eine zusätzliche zweite IP-Adresse als Ping-Ziel kann durch ein
„#“ getrennt hinter der ersten angegeben werden.
Um die Authentifizierung bei einer IPsec-Verbindung zu konfigurieren,
wählen Sie entweder den Radiobutton „Authentifizierung mit
Zertifikaten“ oder den Radiobutton „Authentifizierung mit Passphrase
(PSK)“. Die Authentifizierung mit Zertifikaten kann für den Main-Modus
verwendet werden. Dabei wird unter der Option angezeigt, ob die
einzelnen Zertifikate und Schlüssel vorhanden sind (grüner Haken) oder
nicht (rotes Kreuz). Vorhandene Zertifikate können auch heruntergeladen
(blauer Pfeil) oder wieder gelöscht (rotes Kreuz auf weißem Kästchen)
werden. Der private Schlüssel kann nur gelöscht werden. Die
Authentifizierung mit Passphrase kann für den Main- und AggressiveModus verwendet werden. Dafür muss im Feld unter der Option die
Passphrase, die alle IPsec-Teilnehmer verwenden, eingetragen werden.
Um alle oben getroffenen Einstellungen für den geladenen Tunnel zu
übernehmen, klicken Sie auf die Schaltfläche „OK“.
Um ein Zertifikat oder einen Schlüssel hochzuladen, klicken Sie im
Abschnitt „Schlüssel oder Zertifikate laden“ auf die Schaltfläche
„Durchsuchen…“. Wählen Sie dann im Fenster „Datei hochladen“ die
gewünschte Datei auf dem entsprechenden Datenträger aus und klicken
Sie auf die Schaltfläche „Öffnen“. Falls die Datei verschlüsselt ist,
müssen Sie noch das Kennwort in das Feld „Kennwort (nur bei
verschlüsselter Datei)“ eintragen. Klicken Sie dann auf die Schaltfläche
„OK“ um die Datei hochzuladen.
MoRoS Modem
Funktionen
97
13.6.9 GRE-Tunnel einrichten
Mit dem Generic Routing Encapsulation Protokoll können Daten durch eine
bestehende Verbindung transparent übertragen werden, ohne dass die
Originalpakete verändert werden.
Konfiguration mit Web-Interface (Menü „Dial-In“/„Dial-Out“/„LAN (ext)“, Seite
„GRE“)
Um einen GRE-Tunnel zu aktivieren, aktivieren Sie die Checkbox „GRETunnel aktivieren“.
Geben Sie die Tunnel-Gegenstelle als IP-Adresse oder Domainname in
das Feld „IP-Adresse oder Domainname der Gegenstelle“ ein.
Geben Sie die eigene IP-Adresse, die als Tunnelendpunkt verwendet
werden soll, in das Feld „Eigene IP-Adresse“ ein. Dies kann
beispielsweise die WAN-, VPN- oder die lokale LAN-Adresse sein.
Geben Sie die IP-Adresse des lokalen Tunnelendes in das Feld
„Tunnelende lokal“ ein. Optional kann hier eine Netzmaske eingegeben
werden. Dann wird automatisch eine entsprechende Route zu diesem
Netzwerk angelegt, wodurch z.B. die Tunneladresse der Gegenstelle
erreichbar ist.
Um die MTU (maximale erlaubte Anzahl an Bytes in einem zu sendenden
Paket) anzupassen, ändern Sie den Eintrag im entsprechenden Feld.
Die Standardeinstellung von MTU ist für die meisten Anwendungen
passend und muss nur in Ausnahmefällen geändert werden.
Wenn Sie eine TTL (Time to Live) festlegen möchten, geben Sie diese in
das Feld „TTL (Time to Live)“ ein. Wird keine TTL angegeben, wird für
das GRE-Paket der TTL-Wert aus dem getunnelten Paket verwendet.
Um eine neue Route hinzuzufügen, geben Sie im Abschnitt „Neue Route
hinzufügen“ die „IPv4-Netzadresse“ und die „Netzmaske“ sowie den
„Gateway“ in die jeweiligen Felder ein. Alle Felder müssen ausgefüllt
werden, damit eine neue Route in die Tabelle übernommen wird.
Übernehmen Sie die Route, indem Sie auf „OK“ klicken.
Um eine bestehende Route zu löschen, aktivieren Sie unter „Bestehende
Routen“ die Checkbox der Route(n), die gelöscht werden soll(en).
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Funktionen
MoRoS Modem
98
13.7 Redundantes Kommunikationsgerät
13.7.1 Redundantes Kommunikationsgerät einrichten
Sie können zur Erhöhung der Betriebssicherheit und Verfügbarkeit ein zweites
Kommunikationsgerät an den MoRoS Modem anschließen, um einen redundanten
Übertragungsweg zur Verfügung zu halten. So kann bei einem Ausfall von einem
Übertragungsweg (z.B. Mobilfunk) immer noch ein zweiter Übertragungsweg
benutzt werden (z.B. Modem). Es sind beliebige Kombinationen aus Modem, ISDN
und GSM/GPRS/EDGE/UMTS-Geräten möglich. Hierzu schließen Sie einfach ein
weiteres INSYS Kommunikationsgerät über die serielle Schnittstelle an. Beim
nächsten Systemstart wird automatisch erkannt, dass ein redundantes
Übertragungsgerät zur Verfügung steht und ändert das Web-Interface zur
Konfiguration entsprechend ab.
Bitte wenden Sie sich an Ihren Vertriebspartner oder an INSYS icom, um zu
erfahren, welche weiteren INSYS-Geräte sich für den Anschluss als redundantes
Kommunikationsgerät eignen.
Wenn die serielle Schnittstelle anderweitig reserviert ist (z.B. für Sandbox oder
Seriell-Ethernet-Gateway, kann ein redundantes Kommunikationsgerät nicht
verwendet werden. Dann wird der entsprechende Menüeintrag auch nicht
angezeigt.
Konfiguration mit Web-Interface
Wenn der MoRoS Modem beim Systemstart ein redundantes
Kommunikationsgerät an seiner seriellen Schnittstelle lokalisiert hat,
stehen in den Menüs „Dial-In“ und „Dial-Out“ weitere Auswahlmöglichkeiten zur Verfügung.
Um den Dial-In für redundanten Betrieb zu konfigurieren, wählen Sie im
Menü „Dial-In“ auf der Seite „Dial-In“ aus, welches Kommunikationsgerät für Dial-In benutzt werden soll. Hier haben Sie die Möglichkeit, den
Dial-In nur über eines der beiden Kommunikationsgeräte, über beide
Kommunikationsgeräte oder gar nicht zu aktivieren.
Um den Dial-Out für redundanten Betrieb zu konfigurieren, wählen Sie
im Menü „Dial-Out“ auf der Seite „Dial-Out“ aus, welches Kommunikationsgerät für Dial-Out benutzt werden soll. Hier haben Sie ebenfalls die
Möglichkeit, den Dial-Out nur über eines der beiden Kommunikationsgeräte, über beide Kommunikationsgeräte oder gar nicht zu aktivieren.
Hier können Sie außerdem festlegen, welches Kommunikationsgerät
bevorzugt verwendet wird. Das zweite Kommunikationsgerät wird nur
dann verwendet, wenn der Anwahlversuch über das erste Gerät nicht
zum Erfolg geführt hat. Im Menü Dial-Out müssen Sie außerdem die
Zielrufnummer und die Parameter für die PPP-Anwahl jeweils einzeln für
die beiden Kommunikationsgeräte eintragen.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
MoRoS Modem
Funktionen
99
13.8 Eingänge und Ausgänge
13.8.1 Status der Eingänge abfragen
Der MoRoS Modem besitzt digitale Eingänge, die einen PPP-Verbindungsaufbau,
einen Nachrichtenversand per SMS oder E-Mail, einen OpenVPN-Tunnelaufbau,
einen PPTP-Tunnelaufbau, einen IPsec-Tunnelaufbau oder den Aufbau einer SeriellEthernet-Verbindung auslösen können. Die Eingänge sind geschlossen, wenn sie
mit GND verbunden sind. Sie sind geöffnet, wenn keine Verbindung mit GND
besteht. Die Zustände der beiden Eingänge können Sie über das Web-Interface
abfragen.
Eingang 1 wird verwendet, um Nachrichten zu versenden (siehe
Abschnitt Meldungen), und Eingang 2 wird verwendet, um
Verbindungen aufzubauen (siehe Funktion der Eingänge
konfigurieren).
Konfiguration mit Web-Interface(Menü „Ein-/Ausgänge“, Seite „Eingänge“)
Um den Zustand der Eingänge abzufragen, klicken Sie auf die
Schaltfläche „Aktualisieren“. Nach dem die Seite erneut geladen wurde,
sehen Sie die Zustände der jeweiligen Eingänge neben „Eingang 1 :“ und
„Eingang 2 :“.
Funktionen
MoRoS Modem
100
13.8.2 Funktion der Eingänge konfigurieren
Der MoRoS Modem kann beim Schließen des Eingangs 2 eine zuvor konfigurierte
Dial-Out-Verbindung, einen OpenVPN-Tunnel, einen PPTP-Tunnel, einen IPsecTunnel oder eine Seriell-Ethernet-Verbindung aufbauen, sobald der Eingang 2 für
mindestens 4 Sekunden geschlossen, d.h. mit „GND“ verbunden, wird. Bei
Aktivierung des Eingangs wird ein Dial-Out oder Tunnel- bzw. Verbindungsaufbau
ausgeführt, wie er im entsprechenden Menü konfiguriert wurde. Die Verbindung
bleibt solange bestehen, wie es die Verbindungskonfiguration zulässt.
Konfiguration mit Web-Interface (Menü „Ein-/Ausgänge“, Seite „Eingänge“)
Um die Funktion von Eingang 2 zu konfigurieren, wählen Sie entweder
die Option „keine“, „Dial-Out-Verbindung aufbauen“, „OpenVPN-Tunnel
aufbauen“, „IPsec-Tunnel aufbauen“ oder „Ausgehende Seriell-EthernetVerbindung aufbauen“.
Die jeweiligen Funktionen Dial-Out bzw. OpenVPN / IPsec müssen
konfiguriert sein, um vom Eingang geschaltet zu werden.
Um eine Dial-Out-Verbindung nur durch Eingang 2 aufbauen zu lassen,
aktivieren Sie die Checkbox „Exklusiv (Dial-on-Demand nicht aktivieren)“.
Um eine Dial-Out-Verbindung durch Öffnen von Eingang 2 abzubauen,
aktivieren Sie die Checkbox „Abbauen, wenn nicht mehr mit GND
verbunden“.
Um einen OpenVPN-Tunnel nur durch Eingang 2 aufbauen zu lassen,
aktivieren Sie die Checkbox „Exklusiv über Eingang aufbauen (nicht
automatisch nach Dial-Out)“.
Um einen OpenVPN-Tunnel durch Öffnen von Eingang 2 abzubauen,
aktivieren Sie die Checkbox „Abbauen, wenn nicht mehr mit GND
verbunden“.
Um einen PPTP-Tunnel nur durch Eingang 2 aufbauen zu lassen,
aktivieren Sie die Checkbox „Exklusiv über Eingang aufbauen (nicht
automatisch nach Dial-Out)“.
Um einen PPTP-Tunnel durch Öffnen von Eingang 2 abzubauen,
aktivieren Sie die Checkbox „Abbauen, wenn nicht mehr mit GND
verbunden“.
Um einen IPsec-Tunnel nur durch Eingang 2 aufbauen zu lassen,
aktivieren Sie die Checkbox „Exklusiv über Eingang aufbauen (nicht
automatisch nach Dial-Out)“.
Um einen IPsec-Tunnel durch Öffnen von Eingang 2 abzubauen,
aktivieren Sie die Checkbox „Abbauen, wenn nicht mehr mit GND
verbunden“.
Um eine ausgehende Seriell-Ethernet-Verbindung zu beenden, aktivieren
Sie die Checkbox „Beenden, wenn nicht mehr mit GND verbunden“.
Speichern Sie Ihre Einstellungen, indem Sie auf „OK“ klicken.
Loading...