IPFire-Firewall mit ApexGuard-Anbindung konfigurieren

Anforderungen

1. IPFire (Version 2.27 oder höher).
2. ApexGuard: Zugangsdaten für IKEv2:
   • Serveradresse (z. B. ikev2.apexguard.com)
   • Pre-Shared Key (PSK), oft unter „Service Credentials“ oder „Manual Setup“ zu finden.
3. Ihr LAN-Subnetz (z. B. 192.168.0.0/24).
4. Zugriff auf die IPFire-Web-UI (meist https://[IP_of_IPFire]:444).

1. Bei der IPFire-Web-UI anmelden

1. Browser öffnen → https://[IP_of_IPFire]:444 aufrufen.
2. admin-Zugangsdaten eingeben.

2. IPFire-IPsec aktivieren

1. Im oberen Menü Firewall → IPsec wählen.
2. Ist IPsec gestoppt, klicken Sie auf Start oder Enable.

3. IPsec-Verbindung neu anlegen

1. Unter IPsec Connection Status and Control suchen.
2. Add (oder New IPsec connection) wählen.

4. IPsec-Grundeinstellungen

1. Verbindungsname: Geben Sie z. B. ApexGuard-PSK ein.
2. Lokales Subnetz:
   • Wenn der gesamte LAN-Verkehr über ApexGuard laufen soll, behalten Sie Ihr LAN-Subnetz bei (z. B. 192.168.0.0/24).
3. Remote-Subnetz:
   • Unterstützt ApexGuard „gesamten Datenverkehr“, können Sie 0.0.0.0/0 festlegen.
   • Manche Anbieter verlangen für den Full-Tunnel 0.0.0.0/0.
4. Gateway (Remote-Host/IP): ikev2.apexguard.com (oder die in Ihrem Konto angezeigte Server-Domain bzw. IP).

5. Authentifizierungsmethode: Pre-Shared Key

1. Wählen Sie bei Authentifizierungsmethode PSK (Pre-Shared Key).
2. Pre-Shared Key: Fügen Sie Ihren ApexGuard-Schlüssel ein.

(Falls ApexGuard auch XAUTH/EAP-Zugangsdaten angibt, siehe Anleitung 2.)

6. Phase 1 & 2 (IKE & ESP): Einstellungen

• Phase 1 (IKE-Vorschlag): Im Normalfall wählen Sie einen starken Parametersatz wie aes256-sha256-modp2048 oder den von ApexGuard empfohlenen.
• Phase 2 (ESP-Vorschlag): Ähnliches Vorgehen (z. B. aes256-sha256).
• Schlüssellebensdauer: Standardwerte: 28800s (IKE), 3600s (ESP). Passen Sie sie ggf. an ApexGuard-Empfehlungen an.

7. Verbindung speichern & starten

1. Speichern.
2. In der IPsec-Übersicht erscheint Ihre neue Verbindung ApexGuard-PSK.
3. Enabled einschalten; mit Speichern oder Start verbinden.

8. Tunnel überprüfen

1. Prüfen Sie den Connection Status unter IPsec → Connection Status and Control.
2. Ein erfolgreicher Tunnel zeigt meist Established oder Connected an.
3. Öffnen Sie Logs → System Logs → IPsec. Dort steht „IKE negotiation successfully completed“ o. Ä.

9. NAT (bei Bedarf)

• Viele Heimnetzwerke nutzen für das LAN hinter IPFire Masquerading auf der RED/WAN-Schnittstelle.

Verlangt ApexGuard NAT für den gesamten LAN-Verkehr durchs VPN, fügen Sie eine eigene Firewall-Regel hinzu:

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ipsec0 -j MASQUERADE

• Ersetzen Sie:
  • 192.168.0.0/24 durch Ihr LAN.
  • ipsec0 durch den korrekten IPsec-Schnittstellennamen (teils ipsec1 o. Ä.).

10. Die Verbindung testen

1. Öffnen Sie auf einem LAN-Gerät (z. B. PC mit 192.168.0.x) „What’s my IP“ oder das ApexGuard-Dashboard.
2. Wenn alles stimmt, ist Ihre öffentliche IP die ApexGuard-IP. Damit läuft der gesamte Datenverkehr durch den Tunnel.