[VPN] Zyxel USG FLEX/ATP VPN [Quick Setup] - Configure IKEv2 IPSec VPN via Wizard with Certificate on Android / iPhone iOS / Windows / MacOS

En esta guía, usted aprenderá cómo configurar una VPN IKEv2 IPsec utilizando el Asistente de configuración (Configuración rápida) en Zyxel Firewall VPN / USG FLEX / ATP serie y cómo conectarse a él en Android, iPhone (iOS), PC con Windows y ordenadores Mac utilizando tanto Zyxel SecuExtender y el cliente nativo. También cubriremos consideraciones específicas para configurar VPNs en dispositivos iOS, dispositivos móviles con la versión 18 o superior y PCs con firmware Sonoma o posterior.

Nota: Las direcciones IP de la figura son sólo a modo de ejemplo y no son relevantes para el artículo en su conjunto. Pueden ser diferentes en su caso.

Configuración de la VPN mediante la configuración rápida

Inicie sesión en su GUI WEB Firewall y vaya a Configuración Rápida, y elija Acceso Remoto VPN y luego Cliente IPSec IKEv2 (Zyxel SecuExtender, no SecuExtender)

Utilice esta opción si utiliza el cliente VPN IPSec de Zyxel SecuExtender o un sistema operativo que admita VPN IPSec con IKEv2 (cliente VPN que no sea SecuExtender). Puede crear una regla VPN de túnel completo o de túnel dividido con el cliente VPN Zyxel SecuExtender. Sólo puede crear una regla VPN de túnel completo con un cliente VPN que no sea SecuExtender.

Configure el grupo de direcciones IP para el cliente.

El grupo de direcciones IP utilizará una subred seleccionada no utilizada en el dispositivo para evitar configurar la misma subred. El grupo de direcciones IP comenzará en 192.168.50.1. Si la subred 192.168.50.1 existe en la configuración de la puerta de enlace, el grupo de direcciones IP cambiará automáticamente.

Añada o cree losusuarios que tendrán acceso a la VPN. Una vez añadidos los usuarios, haga clic en Siguiente y revise todos los ajustes para asegurarse de que son correctos. Ahora puede descargar un script automatizado para configurar la VPN o configurarla manualmente utilizando un certificado.

Una vez configurada correctamente la VPN, puede descargar e instalar los archivos de script en dispositivos Windows, MacOS, iOS o Android para configurar automáticamente los ajustes de la VPN.

Nota: La configuración de VPN para Clientes VPN IPSec que no sean SecuExtender no es compatible con las siguientes funciones:

• Límite de ancho de banda de carga
• Túnel dividido
• Autenticación de dos factores (Google Authenticator)

Importante: Los usuarios de iOS 18 o posterior y Mac OS 14 Sonoma no pueden utilizar el script y deben configurarlo manualmente. En este artículo, en la sección de configuración para iPhone y MacOS, encontrará una descripción más detallada de los pasos necesarios.

Tenlo en cuenta: Para minimizar los errores de configuración y otros posibles problemas, recomendamos utilizar un script para la instalación. Sin embargo, también puede instalar y configurar manualmente el certificado directamente en su dispositivo terminal. Encontrará instrucciones detalladas para la instalación manual del certificado y la configuración VPN en la sección "Configuración manual del certificado".

Uso del script VPN en Windows

Guarde el archivo con el script en su ordenador, descomprima la carpeta y ejecute el script con derechos de administrador (es un archivo con extensión bat).

Una vez que la instalación se haya realizado correctamente, vaya a la configuración VPN de su PC. Allí encontrarás la conexión VPN creada. Haga clic en conectar. A continuación, introduce el nombre de usuario y la contraseña.

Uso del script VPN en Android

Para los usuarios de Android, instale StrongSwan y siga este artículo:

• VPN - Configurar VPN IKEv2 con Android a través de StrongSwan

Uso del script VPN en iPhone

Importante: Los usuarios de iOS 18 o posterior y Mac OS 14 Sonoma no pueden utilizar el script y deben configurarlo manualmente. Esto se debe al aumento de los requisitos de seguridad de Apple para el cifrado VPN IKEv2. Para solucionar este problema, debe realizar los cambios de Grupo de Claves y Propuesta en la Configuración de Fase 1 y Configuración de Fase 2 de la conexión VPN creada previamente utilizando la Configuración Rápida (Wizzard).

Para proceder, vuelva a la GUI web de su cortafuegos. En el menú de la izquierda, seleccione "Configuración" y, a continuación, vaya a "VPN". Abra los ajustes de configuración de la conexión VPN correspondiente y añada la propuesta con los siguientes ajustes en Configuración de fase 2 :

Propuesta

• Cifrado: AES256
• Autenticación: SHA256.

A continuación, vamos a la pestaña "VPN Gateway ", donde tenemos que actualizar la Configuración de la Fase 1 de la siguiente manera:

Propuesta

• Cifrado: AES256
• Autenticación: SHA256

Grupo de claves: DH2 DH14 DH19

Tras realizar los cambios, no olvides aplicarlos pulsando el botón "Aplicar"

El siguiente paso es descargar el certificado para nuestra conexión VPN e instalarlo en tu dispositivo.

Cómo descargar un certificado

Vaya a Configuración -> Objeto -> Certificado, seleccione el certificado VPN y pulse "Descargar" para descargar el certificado.

Ahora, puedes decidir exportar el certificado con una contraseña para hacerlo seguro y asegurarte de que no caerá en malas manos o dejarlo en blanco para exportar el certificado sin contraseña para instalarlo.

Ahora, puedes adjuntar este certificado a un correo electrónico que envíes a los usuarios, explicándoles cómo instalarlo y conectarse a la VPN.

iPhone iOS 18 y superior: Instalación manual del certificado y configuración de la VPN

Ahora, pasemos a la configuración en el propio iPhone. Descargue el certificado enviado por correo, por ejemplo, a su iPhone.

Nota: Estos cambios no afectan a las conexiones VPN existentes, independientemente de cómo se hayan realizado, ya sea mediante "Configuración rápida" o manualmente.

Envíe el certificado por correo, por ejemplo En su Iphone, abra el mensaje de correo que contiene el certificado y ejecútelo.

Una vez completado el certificado, aparecerá un nuevo perfil en los ajustes de tu dispositivo. Para encontrarlo, ve a los ajustes de tu Iphone

Haz clic en "Perfil descargado":	Haz clic en "Instalar":	Pulsa en "Instalar":

Ahora tienes un certificado verificado:	Ve a Ajustes -> VPN y Dispositivo	Haz clic en "Añadir VPN

Introduzca la dirección IP WAN de su cortafuegos en los campos "Servidor" e "ID remoto", así como el nombre de usuario y la contraseña.	Realice la conexión y espere hasta que el estado sea "Conectado", esto suele tardar unos segundos.

Windows 10 y superiores: Instalación manual del certificado y configuración de la VPN

Haga doble clic en el certificado con el botón izquierdo del ratón y haga clic en "Abrir" en la nueva ventana abierta	Haga clic en el botón "Instalar certificado

También puede intentar hacer doble clic en el certificado haga clic en "Instalar certificado..." y haga clic en "Siguiente"

Seleccione si el certificado estará disponible para todos los usuarios del ordenador o sólo para el usuario actual.	Pulse "Colocar todos los certificados en el siguiente almacén" y elija "Entidades de certificación raíz de confianza"

Ya casi, pulsamos "Finalizar"	Luego lo tomamos con una advertencia y ¡listo!

Ahora, vamos a configurar el perfil VPN en sí. Para hacerlo en tu PC, ve a la sección VPN.

Utiliza la búsqueda de Windows y, busca VPN, y selecciona "Configuración de VPN" en la barra de búsqueda de Windows:	En la nueva ventana que se abre, haga clic en "Añadir una conexión VPN"

MAC OS 14 Sonoma y superior: Instalación manual del certificado y configuración de la VPN

Haga doble clic en el certificado y seleccione el "llavero" "sistema".	Haz clic en el símbolo WiFi y en "Configuración de red". A continuación, haga clic en el signo "+" situado debajo de sus conexiones WiFi.

Haga clic en el símbolo WiFi y en "Configuración de red". A continuación, haga clic en el signo "+" debajo de sus conexiones WiFi y Crear una VPN IKEv2 como se muestra a continuación.

Rellene Dirección IP / FQDN, ID remoto y, a continuación, haga clic en la configuración de autenticación a continuación. Elija un nombre de usuario e introduzca su nombre de usuario y contraseña.

Zyxel SecuExtender

SecuExtender adapta el principio de Confianza Cero para ayudar a TI a verificar las identidades de los usuarios, aplicando el control de admisión para aumentar la seguridad. Se requiere una licencia para utilizar SecuExtender. Pero puede descargarla gratuitamente y probar la versión de prueba gratuita haciendo clic aquí: Cliente VPN SecuExtender

Este artículo tratará sobre la configuración de Zyxel SecuExtender utilizando el cliente Windows como ejemplo. Sin embargo, el procedimiento para macOS es idéntico salvo por una ligera diferencia en el diseño de la aplicación.

Abre la aplicación y haz clic en "Configuración" en la esquina superior izquierda. En el menú desplegable, encontrarás 2 "Obtener del servidor" y "Asistente".

Ambas opciones son muy sencillas. Al seleccionar "Obtener del servidor", necesitas conocer el nombre o dirección y el nombre de usuario y contraseña del usuario de la VPN. En el caso del Asistente, puede realizar cambios adicionales durante la configuración.

La descarga del perfil VPN se ha realizado correctamente. Ahora vaya al menú principal, y verá el nuevo perfil VPN en la lista de la izquierda. Haga doble clic a la izquierda e introduzca su nombre de usuario y contraseña. Listo. La conexión se ha realizado correctamente.

Tenga en cuenta que la "Comprobación de certificados" debe estar desactivada si utiliza una CA predeterminada y autofirmada.