Voraussetzungen
- Teltonika RUT950 (möglicherweise auch geeignet für RUT955 / RUT240)
- Bereits konfigurierte IP-Tunnel-Verbindung zur Bereitstellung einer festen, öffentlichen IPv4-Adresse auf dem Teltonika RUT950
- CA-Zertifikat (“ca.crt”), Server-Zertifikat (“server.crt”), Server-Schlüssel (“server.key”), DH-Parameter (“dhparam.pem”) EasyRSA Anleitung
OpenVPN-Server-Profil erstellen
- Loggen Sie sich auf die Web-Oberfläche des RUT950 ein.
- Navigieren Sie zu Services > VPN > OpenVPN
- Wählen Sie in der Auswahlliste Role den Wert Server
- Vergeben Sie einen Namen für den Server, z.B. kundenserv
- Klicken Sie auf Add New
OpenVPN-Server konfigurieren
Hinweis: Die genauen Feld-Bezeichnungen und Anordungen können je nach Firmware-Version variieren. Die vorgeschlagenen Einstellungen sind als Beispiel zu verstehen. Die Abwägung, ob diese Einstellungen zeitgemäß und für Ihre individuelle Anwendung und deren Sicherheitsanforderungen geeignet sind, nehmen Sie als Administrator selbst vor.
- Enable OpenVPN config from file: Deaktiviert
- Enable: Aktiviert
- Protocol: TCP (UDP ist möglich, jedoch sind dann u.U. weitere Einstellungen über die Kommandozeile notwendig)
- Port: z.B. 1194
- LZO: Deaktiviert
- Authentication: TLS
- Encryption: z.B. AES-256-CBC 256
- TLS cipher: All
- Client to client: Falls Sie die Kommunikation zwischen verschiedenen Clients ermöglichen möchten, aktivieren. (Standard: Deaktiviert)
- Keep alive: z.B. 10 120
- Virtual network IP address: z.B. 172.19.154.0 (frei wählbar, darf weder auf Client noch Server existieren. Geben Sie hier auf keinen Fall das LAN des RUT950 an.)
- Virtual network netmask: z.B. 255.255.255.0
- Push option: z.B. route 192.168.1.0 255.255.255.0 (setzen Sie hier das LAN Ihres Teltonika RUT950 ein. Standard: 192.168.1.0. Weitere Beispiele: 192.168.2.0, 192.168.3.0
- Allow duplicate certificates: Deaktiviert
- HMAC authentication algorithm: z.B. SHA256
- Additional HMAC authentication: None
- Use PKCS #12 format: Deaktiviert
- Certificate authority: CA-Zertifikat (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: ca.crt)
- Server certificate: Server-Zertifikat (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: openvpn-server01.crt)
- Server certificate: Server-Zertifikat (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: openvpn-server01.unencrypted.key)
- Diffie Hellman parameters: “dh.pem” (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: dh.pem)
- Klicken Sie auf Save
Beispiel OpenVPN-Client-Konfigurationsdatei
Jeder Client, der sich mit dem OpenVPN-Server verbinden können soll, benötigt eine Konfigurationsdatei. Bitte passen Sie die Konfigurationsdatei auf Ihre Einstellungen an und platzieren Sie die Konfigurationsdatei auf dem Gerät, das sich per VPN mit dem Teltonika RUT950 verbinden soll wie bspw. einem Smartphone (mit OpenVPN Connect App), Windows-PC (mit OpenVPN GUI), Mac OS X (mit Tunnelblick).
Der Dateiname sollte mit “.ovpn” enden, da manche OpenVPN-Clients nur Dateien mit dieser Dateiendung zur Auswahl erlauben.
remote 123.456.789.0
Setzen Sie hier die feste, öffentliche IPv4-Adresse des Teltonika RUT950 als Verbindungsziel ein.
port 1194
Falls Sie den OpenVPN-Server nicht auf dem Standard-Port 1194 betreiben, ändern Sie hier den Port entsprechend ab.
<ca>...</ca>
Setzen Sie hier das CA-Zertifikat ein (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: Inhalt der Datei ca.crt)
<cert>...</cert>
Setzen Sie hier ein Client-Zertifikat ein (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: Inhalt der Datei openvpn-client01.crt)
<key>...</key>
Setzen Sie hier den zum Client-Zertifikat zugehörigen Key ein (falls Sie die Zertifikate mittels unserer EasyRSA-Anleitung erstellt haben: Inhalt der Datei openvpn-client01.key)
remote 123.456.789.0
proto tcp-client
port 1194
dev tun
client
verb 5
keepalive 10 60
float
persist-tun
persist-key
auth SHA256
cipher AES-256-CBC
pull
<ca>
-----BEGIN CERTIFICATE-----
MIIDZTCCAk2gAwIBAgIJAPOaLpL5w2mRMA0GCSqGSIb3DQEBCwUAMCYxJDAiBgNV
BAMMGyhJaHIgRmlybWVubmFtZSkgT3BlblZQTiBDQTAeFw0yMDA1MDcwOTM3NDBa
...
bV9W4kTc5S4WSbGPnULqng7CfMn2j+ehrxGHHaFocrji3vmZwvcWYOAfrJK+pzw1
Yn5kdWU0cEVn
-----END CERTIFICATE-----
</ca>
<cert>
-----BEGIN CERTIFICATE-----
MIIDczCCAlugAwIBAgIQM7Z7bF8/cbYhbcDRNRrMczANBgkqhkiG9w0BAQsFADAm
MSQwIgYDVQQDDBsoSWhyIEZpcm1lbm5hbWUpIE9wZW5WUE4gQ0EwHhcNMjAwNTA3
...
1iWo1NUK4x84DW01LxdeIaI4ypFSGZqvOqpcoPqCf2gZVMKETVdPFRbpZ8644ZXd
Xm6AQOc5PuAKaTermRztaZ2M4SxMDnU=
-----END CERTIFICATE-----
</cert>
<key>
-----BEGIN ENCRYPTED PRIVATE KEY-----
MIIFHDBOBgkqhkiG9w0BBQ0wQTApBgkqhkiG9w0BBQwwHAQINM+s0rj+K7ECAggA
MAwGCCqGSIb3DQIJBQAwFAYIKoZIhvcNAwcECFmzle30sgypBIIEyEPMC+TZe6wY
...
cO6yon3c/7byRdhzkj4V+SXat7Jw+JoXeX5qmQwuRHIhFW2WyAmm8Eq/mgY7rs0R
34wgdPL7TwG3HoBZ4/X7Gg==
-----END ENCRYPTED PRIVATE KEY-----
</key>