reg add HKLM\Software\WireGuard /v LimitedOperatorUI /t REG_DWORD /d 1 /f

Im Anschluß muss in die lokale Benutzergruppe Netzwerkkonfigurations-Operatoren der zu verwendete Nutzer eingetragen werden.

Am einfachsten STRG-R und lusrmgr.msc aufrufen. Im Anschhluß wie auf dem Bild gezeigt den Nutzer in die Gruppe aufnehmen.

Im letzten Schritt kann man in der Wireguard GUI die Konfiguration importieren/erstellen.

Ich gehe mal davon aus, dass das aktuelles MSI Paket sich im Ordner c:\temp befindet. Des weiteren müssen wir nur eine CMD-Box öffnen und nacheinander folgende Befehle ausführen:

set myDat=%date:~6,4%-%date:~3,2%-%date:~0,2%
xcopy "%appdata%\Securepoint SSL VPN\" "%appdata%\%myDat%-Securepoint SSL VPN.sik\" /S /y

Anschließend kann man den installierten Securepoint Client deinstallieren. Installiert man wieder exakt die gleiche Version, kann die Deinstallation übersprungen und direkt mit folgendem Befehl weiter gemacht werden.

msiexec /i c:\temp\openvpn-client-installer-2.0.33.msi /german

Vor dem ersten Start kopiert man die Sicherung wieder an den korrekten Platz. 

xcopy "%appdata%\%myDat%-Securepoint SSL VPN.sik\" "%appdata%\Securepoint SSL VPN\"  /S /y

Anschließend kann man den Securepoint Client starten und die Einstellungen prüfen. Mehr sollte nicht zu tun sein und bestenfalls sind alle weiteren Einstellungen noch vorhanden.

Manche Geräte können mit diesen unterschiedlichen Dateien nicht umgehen, weil z.B. kein richtiges Dateisystem vorhanden ist. Apple iPhone/iPad Apps wären z.B. so ein Fall.

Will man dort SSL-VPN (openVPN) verwenden, so muss die CA, Cert und Key direkt in der openVPN Konfigurationsdatei vorhanden sein.
Für diesen Fall habe ich ein kleines Script geschrieben. (Etwas abgewandelt welches ich im Securepoint Forum gefunden habe.

Dies Script geht davon aus, dass die Konfigurationsdaten entpackt in einem Verzeichnis liegen. Zu finden sind die Dateien in der Regel im „Data“ Verzeichnis wenn man das ZIP entpackt oder das TBLK-Verzeichnis umbenannt hat.

Hier nun aber erst mal das Script. Als ersten Parameter wird der Dateiname des openVPN-Files erwartet. Zweiter Parameter wie die neue Konfigurationsdatei benannt werden soll. Der dritte und letzte Parameter gibt an, ob die Originaldateien gelöscht oder behalten werden sollen.

Hier nun aber erst mal das Script:

#!/bin/sh
# Autor: Knut Herter
#
if [ -z "$1" ] || [ -z "$2" ] || [ -z "$3" ] ; then
		echo "\nKeine Parameter angegeben!"
		echo ""
 		echo "Parameter 1: <Dateiname>(ohne .ovpn)"
 		echo "Parameter 2: <Neuer Dateiname>(ohne .ovpn)"
 		echo "Parameter 3: <0 oder 1> 1 = Origignaldateien löschen"
		echo "\n"
 		exit 1
fi

for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	if [ ! -f "$1$dat" ]; then
	    echo "$1$dat nicht vorhanden"
	    fehler=1
	fi
done

if [ $fehler ]; then echo "\nFehler, breche die Verarbeitung ab." 
 exit 1  
fi

grep -F -v -e "ca" -e "cert" -e "key" "$1".ovpn > $2.ovpn
{
echo '<ca>'
cat "$1"-ca.pem 
echo '</ca>'
echo '<cert>'
cat "$1"-cert.pem 
echo '</cert>'
echo '<key>'
cat "$1"-cert.key 
echo '</key>'
} >> $2.ovpn

if [ "$3" = "1" ]; then
for dat in ".ovpn" "-ca.pem" "-cert.pem" "-cert.key"; do
	rm -f $1$dat
done
fi

Anschließend kann man die erzeuge .ovpn-Datei z.B. auf seinem iPhone/iPad nutzen um sich mit dem SSL-VPN Server zu verbinden. 

Auch in Tunnelblick oder dem originalen Securepoint VPN Client kann diese Datei verwendet werden.

Antrag Intranet

Benutzer in PAM anlegen, (sicheres) Passwort vergeben:

useradd -M -s /usr/bin/passwd NUTZER
passwd NUTZER

Zertifikat generieren:

cd /etc/openvpn/easy-rsa/
. ./vars
. ./build-key NUTZER

…,mit sinnvollen Werten den Assistenten befüllen und anschließend gleich signieren.

Client-Konfiguration „zusammenbauen“

. ./gen-client-config

Die fertig zusammen gebaute Konfiguration inkl. Zertifikate ist anschliessend in der Datei NUTZER.ovpn zu finden.

Beim Start einer Standard-VPN Verbindung von Microsoft bekommen wir folgendes zu sehen:

Währen der ersten Sicherheitsaushandlung bedeutet nichts anderes, das die Verbindung zum bzw. entfernten Gateway nicht zustande kommt. In der Regel ist dies der Fall wenn die lokalen IpSec Dienste oder ein anderes Programm (Virensucher) „dazwischen funken“.

Als erstes starten wir mal eine DOS-Box und rufen netstat -ano auf.

Wir sehen hier den Port UDP 500 und die ProzessID 1372. Diesen Prozess gilt es nun zu finden. Dazu starten wir den Taskmanager und klicken auf den Button „Prozesse aller Benutzer anzeigen„.

Anschliessend müssen wir noch die Ansicht anpassen damit wir auch die ProzessID sehen

Nachdem dies eigestellt ist können wir im Taskmanager die ProzessID suchen und finden avmike.exe.

Mit einem Rechtsklick in die Eigenschaften des Prozesses sehen wir auch sehr schnell den Pfad zum eigentlichen Verursacher des Problems.

In diesem Fall war ein weiteres VPN Programm welches zur Einwahl in ein anderes Netz (zweite Arbeitsstelle) benötigt wurde. Dies Programm von AVM benötigt ebenfalls den UDP Port 500 und somit kann die Einwahl mit der anderen VPN Software nicht mehr funktionieren.

Am einfachsten kann man „überflüssige“ Verbindungen via SSH trennen. Mit folgende Befehlen können Sie dies bewerkstelligen:

ssh admin@zyxelip
configure terminal
show users all

Mit dem letzten Befehl sehen Sie eine Liste von Nutzern. Mit diesen Infos können Sie einen bestimmten Nutzer mit folgendem Befehl trennen:

users force-logout myusername

Anschließend sollte die Einwahl mittels dem Zyxel SecuExtender wieder funktionieren

Die notwendigen Installationsdateien (GlobalVPN / + Beta-Software) finden Sie unter : Cloud-Download-Link

Für Windows Versionen > 7 sollten die Beta-Installationsdateien verwendet werden.