Didactum Monitoring-Systeme
Netzwerk & Sicherheit einrichten

Diese Anleitung zeigt die Einrichtung eines OpenVPN-Servers auf Linux, damit sich Ihre Didactum-Einheiten als Clients verbinden können.

Schritt 1 – OpenVPN installieren

Schritt 2 – Zertifikate und Schlüssel erstellen

Es wird eine PKI-Infrastruktur (Public Key Infrastructure) benötigt bestehend aus: CA-Zertifikat, Server-Schlüsselpaar und einem Schlüsselpaar je Client (Didactum-Gerät).

1. Easy-RSA auf der CA-Maschine installieren und entpacken:
   sudo apt-get install python-markdown dos2unix unzip
2. PKI initialisieren: ./easyrsa init-pki
3. CA-Schlüsselpaar erzeugen: ./easyrsa build-ca
4. Diffie-Hellman-Parameter: ./easyrsa gen-dh
5. Server-Schlüsselpaar erzeugen: ./easyrsa build-server-full server nopass
6. TLS-Statischen Schlüssel erzeugen: openvpn --genkey --secret ta.key

Erzeugte Dateien für den Server

Schritt 3 – Client-Schlüssel für jede Didactum-Einheit

Schritt 4 – Server-Konfigurationsdatei

Erstellen Sie /etc/openvpn/server.conf mit folgendem Inhalt:

Schritt 5 – Feste IPs für Didactum-Einheiten vergeben

Erstellen Sie je eine Datei in /etc/openvpn/ccd/ mit dem Common Name des Clients:

Schritt 6 – Server starten

Statische Routen werden benötigt für Datenverkehr, der nicht über das Standard-Gateway geleitet werden soll – beispielsweise um die Didactum-Einheit mit anderen Unternehmensnetzwerken zu verbinden.

🔍 Vergrößern

Routing konfigurieren:
Gehen Sie zu Einstellungen → Routing. Statische Routen werden mit dem ip route add-Befehl eingetragen. Die Befehle werden bei jedem Systemstart neu angewendet. Ein Neustart ist für die erste Aktivierung erforderlich.

Beispiel-Befehle

Traceroute-Tool

🔍 Vergrößern

Netzwerkdiagnose mit Traceroute:
Das integrierte Traceroute-Tool zeigt den Pfad von Datenpaketen durch das Netzwerk. Geben Sie eine Ziel-IP in das Feld „Adresse" ein und klicken Sie auf „Start". Bei langen Antwortzeiten können Sie auf „Aktualisieren" klicken.

Dynamic DNS ermöglicht den dauerhaften Zugriff auf Ihre Didactum-Einheit über einen festen Domainnamen – auch wenn sich die öffentliche IP-Adresse ändert. Das Gerät aktualisiert den DNS-Eintrag automatisch.

Einrichtung mit no-ip.com (Beispiel)

1. Konto bei no-ip.com anlegen oder einloggen
2. Neuen Host anlegen: „Add Host" → Typ: DNS Host (A), IP-Adresse wird automatisch eingetragen
3. Im Web-Interface: Einstellungen → Netzwerk → „DynDNS aktivieren" ankreuzen
4. Dienst auswählen: No-IP, dann Login, Passwort und Hostname aus no-ip.com eintragen
5. Auf „Speichern" klicken – nach ca. 1 Minute ist die IP bei no-ip.com aktualisiert
6. Über den Hostnamen im Browser das Web-Interface öffnen

Beim HTTPS-Zugriff erzeugt die Didactum-Einheit automatisch ein selbstsigniertes Zertifikat. Sie können auch ein eigenes Zertifikat (selbstsigniert oder kommerziell) installieren.

🔍 Vergrößern

Zertifikat hochladen:
Gehen Sie zu Einstellungen → Netzwerk, aktivieren Sie HTTPS und laden Sie Zertifikat- und Schlüsseldatei hoch. Nach dem Klick auf „Speichern" startet das System automatisch neu.

Option 1 – Selbstsigniertes Zertifikat direkt generieren

Falls Ihr Gerät diese Funktion unterstützt: Klicken Sie auf „Selbstsigniertes Zertifikat → Generieren" und warten Sie. Das Zertifikat wird mit 10 Jahren Gültigkeit erstellt.

Option 2 – Zertifikat mit OpenSSL erstellen

Laden Sie dann custom.pem und custom.key über die Weboberfläche hoch.

Option 3 – Kommerzielle Zertifikate

Didactum-Systeme sind vollständig mit kommerziellen Zertifikaten von Zertifizierungsstellen (CAs) kompatibel. Benötigt werden:

RADIUS ermöglicht die zentrale Benutzerverwaltung für mehrere Didactum-Einheiten gleichzeitig – ideal für größere Installationen, bei denen die individuelle Konfiguration jedes Geräts zu aufwändig wäre.

RADIUS im Web-Interface aktivieren

🔍 Vergrößern

RADIUS aktivieren:
Gehen Sie zu Hauptmenü → Einstellungen → RADIUS. Setzen Sie den Haken bei „Aktivieren" und tragen Sie Serveradresse, Port (Standard: 1812) und Passwort ein. Nach dem Speichern startet das Gerät neu.

FreeRADIUS-Server konfigurieren

1. Vendor-Dictionary anlegen (/etc/freeradius/3.0/dictionary.local):

2. Client in clients.conf eintragen (IP = IP der Didactum-Einheit):

3. Benutzer in authorize-Datei eintragen:

Zugriffsrechte-Übersicht

FreeRADIUS-Server im Debug-Modus starten: freeradius -X

Alternativ zu FreeRADIUS kann der Windows-Server als RADIUS-Server für den Zugang zu Didactum-Einheiten konfiguriert werden. Diese Anleitung basiert auf Windows Server 2012.

Schritt 1 – NPS-Rolle installieren

1. Server-Manager öffnen → „Rollen und Features hinzufügen"
2. „Rollenbasierte oder featurebasierte Installation" wählen
3. „Netzwerkrichtlinien- und Zugriffsdienste" auswählen und installieren
4. Nach der Installation: NPS-Konsole öffnen → Rechtsklick auf NPS → „Server in Active Directory registrieren"

Schritt 2 – RADIUS-Client (Didactum-Einheit) hinzufügen

🔍 Vergrößern

RADIUS-Client anlegen:
Erweitern Sie „RADIUS-Clients und Server" → Rechtsklick auf „RADIUS-Clients" → „Neu". Tragen Sie einen Namen, die IP-Adresse der Didactum-Einheit und das Shared Secret ein. Dieses muss identisch mit dem Passwort in der Didactum-RADIUS-Konfiguration sein.

Schritt 3 – Active Directory Gruppe und Benutzer erstellen

🔍 Vergrößern

In „Active Directory-Benutzer und -Computer" eine neue Gruppe anlegen (z.B. „RADIUS Gruppe"). Dann einen Benutzer anlegen und der Gruppe hinzufügen. Im „Einwählen"-Tab: Netzwerkzugriffsberechtigung auf „Zugriff über NPS-Netzwerkrichtlinie steuern" setzen.

Schritt 4 – Benutzerpasswort als SHA-1-Hash setzen

🔍 Vergrößern

Das Passwort im AD muss als SHA-1-Hash gesetzt werden. Für das Passwort guest lautet der Hash: 35675e68f4b5af7b995d9205ad0fc43842f16450. Verwenden Sie einen SHA-1-Generator für eigene Passwörter.

Schritt 5 – Netzwerkrichtlinie erstellen

🔍 Vergrößern

NPS-Konsole → „Richtlinien" → Rechtsklick auf „Netzwerkrichtlinien" → „Neu". Zugriffsberechtigung: „Zugriff erteilen". Als Bedingung die zuvor erstellte AD-Gruppe hinzufügen.

Schritt 6 – Vendor-Specific Attribute konfigurieren

🔍 Vergrößern

In den Richtlinieneinstellungen: Standard-RADIUS-Attribute löschen. Im Bereich „Anbieterspezifisch" → Anbieter: „Benutzerdefiniert" → Anbieter-Code: 39052. Attribute nach Nummer eintragen (siehe Tabelle unten).

🔍 Vergrößern

Das Ergebnis: Alle Benutzer in der „RADIUS Gruppe" erhalten vollen Administrator-Zugang auf die Didactum-Einheit. Für unterschiedliche Rechte auf verschiedenen Geräten können separate Richtlinien mit NAS-IP-Adressen-Bedingungen erstellt werden.