Technischer Leitfaden: Absicherung von POS-Terminals und Zahlungsdaten mit IPsec & WireGuard auf Teltonika

Technischer Leitfaden: Absicherung von POS-Terminals und Zahlungsdaten mit IPsec & WireGuard auf Teltonika

Einführung: Die Notwendigkeit sicherer Zahlungsgateways

In der heutigen vernetzten Einzelhandels- und Unternehmenslandschaft ist die sichere Übertragung von Zahlungsdaten von Point-of-Sale (POS)-Terminals zu zentralen Verarbeitungsservern von entscheidender Bedeutung. Jede Transaktion enthält sensible Karteninhaberdaten, deren Schutz durch Standards wie den Payment Card Industry Data Security Standard (PCI DSS) zwingend vorgeschrieben ist. Teltonika-Router, insbesondere die leistungsstarke RUTX-Serie, bieten robuste VPN-Funktionen, um diese Daten während der Übertragung durch das Internet zu schützen.

Dieser Leitfaden bietet eine detaillierte technische Anleitung zur Implementierung von zwei primären VPN-Technologien auf einem Teltonika RUTX50 (basierend auf Firmware RUTX_R_00.07.24.2 und Legacy-Dokumentation): IPsec, der Industriestandard für Site-to-Site-Verbindungen, und WireGuard®, ein modernes, schlankes und extrem schnelles VPN-Protokoll.

Szenario: Filiale an Zentrale anbinden

Das typische Anbindungsszenario besteht aus einer oder mehreren Filialen, in denen sich POS-Terminals in einem privaten LAN (z.B. 192.168.10.0/24) befinden. Der Teltonika-Router in der Filiale stellt die Internetverbindung her und muss eine sichere Verbindung zum zentralen Rechenzentrum (HQ) aufbauen, das sich in einem anderen privaten Netz (z.B. 10.0.0.0/24) befindet. Das Ziel ist es, den gesamten Zahlungsverkehr von den POS-Terminals ausschließlich durch einen verschlüsselten Tunnel zum HQ zu leiten.

Methode 1: Konfiguration eines Site-to-Site IPsec-Tunnels

IPsec ist ein bewährtes Protokoll-Framework, das sich ideal für permanente, statische Verbindungen zwischen zwei Netzwerken eignet, wie z.B. zwischen einer Filiale und der Unternehmenszentrale.

1. IPsec-Instanz erstellen

   Navigieren Sie im WebUI des Routers zu Services → VPN → IPsec. Geben Sie einen eindeutigen Namen für die Instanz ein (z.B. Filiale_zu_HQ) und klicken Sie auf "Add".

2. Instanz bearbeiten

   Klicken Sie auf den "Edit"-Button neben der neu erstellten Instanz, um die Konfigurationsseite zu öffnen.

3. Verbindungsparameter konfigurieren

   Konfigurieren Sie beide Router (Filiale und HQ) mit den entsprechenden Gegenstellen-Informationen. Die Einstellungen müssen spiegelbildlich zueinander passen.

   Parameter	Filial-Router (RUT1)	HQ-Router (RUT2)	Beschreibung (laut Teltonika-Dokumentation)
   Enable	Aktiviert	Aktiviert	Aktiviert die IPsec-Instanz.
   Local IP address/Subnet mask	192.168.10.0/24	10.0.0.0/24	Das lokale LAN-Subnetz, das über den Tunnel erreichbar sein soll.
   Pre shared key	Ein sehr starkes, identisches Passwort		Ein geheimer Schlüssel zur Authentifizierung der Peers. Muss auf beiden Seiten exakt übereinstimmen.
   Remote VPN endpoint	Öffentliche IP des HQ-Routers	Öffentliche IP des Filial-Routers	Die öffentliche IP-Adresse des entfernten Routers. Mindestens ein Endpunkt benötigt eine öffentliche IP.
   Remote IP address/Subnet mask	10.0.0.0/24	192.168.10.0/24	Das entfernte LAN-Subnetz, das über den Tunnel erreicht werden soll.
   Enable keepalive	Aktiviert	Aktiviert	Hält die Tunnelverbindung aktiv, indem periodisch Pakete gesendet werden.
   Host	10.0.0.1 (LAN IP des HQ-Routers)	192.168.10.1 (LAN IP des Filial-Routers)	Ziel-Host für die Keepalive-ICMP-Pakete.
   Ping period (sec)	60	60	Intervall in Sekunden für die Keepalive-Pings.

4. Phase-Einstellungen prüfen

   Die Einstellungen für Phase 1 und Phase 2 definieren die Verschlüsselungs- und Authentifizierungsalgorithmen. Für eine initiale Konfiguration können die Standardwerte beibehalten werden. Stellen Sie sicher, dass die Einstellungen auf beiden Routern exakt identisch sind, da es sonst zu keiner Einigung (Proposal Mismatch) kommt.

5. Konfiguration speichern und anwenden

   Klicken Sie auf "Save & Apply", um die Konfiguration zu aktivieren.

6. Verbindung testen

   Navigieren Sie zu Services → CLI, loggen Sie sich mit dem Benutzer root und Ihrem Admin-Passwort ein. Führen Sie einen Ping auf eine IP-Adresse im entfernten LAN aus: ping 10.0.0.1. Wenn Sie eine Antwort erhalten, ist der Tunnel erfolgreich aufgebaut.

Methode 2: Konfiguration eines WireGuard-Tunnels

WireGuard ist die bevorzugte Wahl für neue VPN-Installationen. Es bietet höhere Geschwindigkeit, eine kleinere Codebasis (was die Angriffsfläche reduziert) und eine deutlich einfachere Konfiguration auf Basis von Public-Key-Kryptographie.

1. WireGuard-Instanz auf dem HQ-Router (Server) erstellen
   1. Navigieren Sie zu Services → VPN → WireGuard und klicken Sie auf "Add".
   2. Unter General Instance Settings:
      • Setzen Sie ein Häkchen bei Enable.
      • Vergeben Sie einen Name, z.B. WG_HQ_Server.
      • Ein Schlüsselpaar (Private und Public Key) wird automatisch generiert. Kopieren Sie den Public Key, Sie benötigen ihn für den Client.
      • Geben Sie einen Listen port an, z.B. 51820 (Standard). Stellen Sie sicher, dass dieser Port in Ihrer Firewall für eingehenden UDP-Verkehr freigegeben ist.
      • Definieren Sie die IP addresses für das WireGuard-Interface, z.B. 10.200.0.1/24.
   3. Klicken Sie unter Peers auf "Add", um die Filiale als Peer hinzuzufügen.
   4. Unter General Peer Settings:
      • Setzen Sie ein Häkchen bei Enable.
      • Fügen Sie den Public Key des Filial-Routers ein (diesen generieren Sie im nächsten Schritt auf dem Filial-Router).
      • Unter Allowed IPs geben Sie die IP-Adressen an, von denen dieser Peer Pakete senden darf. Dies sind die Tunnel-IP des Peers und dessen lokales LAN: 10.200.0.2/32, 192.168.10.0/24.
   5. Speichern Sie die Konfiguration mit "Save & Apply".
2. WireGuard-Instanz auf dem Filial-Router (Client) erstellen
   1. Navigieren Sie ebenfalls zu Services → VPN → WireGuard und erstellen Sie eine neue Instanz.
   2. Unter General Instance Settings:
      • Aktivieren Sie die Instanz (Enable).
      • Vergeben Sie einen Name, z.B. WG_Filiale_Client.
      • Kopieren Sie den hier generierten Public Key und fügen Sie ihn in die Peer-Konfiguration des HQ-Routers ein.
      • Weisen Sie eine IP addresses aus dem gleichen Subnetz wie beim Server zu, z.B. 10.200.0.2/24.
   3. Fügen Sie unter Peers einen neuen Peer für den HQ-Server hinzu.
   4. Unter General Peer Settings:
      • Aktivieren Sie den Peer (Enable).
      • Fügen Sie den Public Key des HQ-Servers ein.
      • Unter Allowed IPs definieren Sie, welcher Traffic in den Tunnel geleitet werden soll. Um den gesamten POS-Verkehr sicher zur Zentrale zu leiten, geben Sie hier das Subnetz der Zentrale an: 10.0.0.0/24, 10.200.0.1/32. Für maximale Sicherheit kann hier auch 0.0.0.0/0 eingetragen werden, um den gesamten Internetverkehr der Filiale über die Zentrale zu routen.
      • Geben Sie unter Endpoint host die öffentliche IP-Adresse des HQ-Routers ein.
      • Geben Sie unter Endpoint port den Listen port des Servers an (51820).
   5. Unter Advanced Peer Settings:
      • Tragen Sie bei Persistent keep alive einen Wert von 25 (Sekunden) ein. Dies ist entscheidend, damit die Verbindung auch hinter NAT-Routern stabil bleibt.
   6. Speichern Sie die Konfiguration mit "Save & Apply".

Diagnose und Fehlerbehebung

Wenn die VPN-Verbindung nicht wie erwartet funktioniert, können die folgenden Punkte bei der Fehlersuche helfen.

Häufig gestellte Fragen (FAQ)

Welches VPN-Protokoll ist besser für POS-Systeme, IPsec oder WireGuard?

Für Neuinstallationen wird WireGuard empfohlen. Es ist performanter, verbraucht weniger Ressourcen und ist aufgrund seiner Einfachheit weniger fehleranfällig in der Konfiguration. IPsec ist ein etablierter, robuster Standard und eine gute Wahl, wenn Kompatibilität mit bestehender Infrastruktur gefordert ist oder bestimmte, von IPsec unterstützte kryptografische Suiten vorgeschrieben sind.

Muss ich eine öffentliche IP-Adresse haben?

Ja, mindestens ein Endpunkt der VPN-Verbindung (typischerweise der zentrale HQ-Router oder "Server") muss über eine feste, öffentliche IP-Adresse aus dem Internet erreichbar sein. Der Client (Filial-Router) kann sich auch hinter einem Carrier-Grade-NAT (CGNAT) befinden, solange er die ausgehende Verbindung zum Server aufbauen kann.

Wie stelle ich sicher, dass der gesamte POS-Traffic durch den VPN-Tunnel geleitet wird?

Bei WireGuard erreichen Sie dies, indem Sie in der Peer-Konfiguration des Filial-Routers (Client) die Allowed IPs auf 0.0.0.0/0 setzen. Dies leitet den gesamten ausgehenden Verkehr des Routers durch den Tunnel. Bei IPsec müssen Sie sicherstellen, dass die `Remote IP address/Subnet mask` alle Zielnetze in der Zentrale umfasst und die Firewall-Regeln so konfiguriert sind, dass kein "Leak" des Traffics am Tunnel vorbei ins offene Internet möglich ist (Policy-Based Routing).

Was bedeutet "Phase 1" und "Phase 2" bei IPsec?

Phase 1 (IKE - Internet Key Exchange): In dieser Phase authentifizieren sich die beiden VPN-Peers (Router) gegenseitig und bauen einen sicheren Kommunikationskanal (den IKE SA) auf. Hier werden Parameter wie Authentifizierungsmethode (PSK), Verschlüsselung und Diffie-Hellman-Gruppe ausgehandelt. Phase 2 (IPsec SA - Security Association): Nachdem Phase 1 erfolgreich war, wird über den sicheren Kanal der eigentliche Datentunnel ausgehandelt. Hier werden die Algorithmen für die Verschlüsselung und Integritätssicherung der Nutzdaten (z.B. der POS-Transaktionen) festgelegt.