Zyxel-palomuuri VPN - IPSec Site-To-Site VPN:n määrittäminen Zyxel-palomuuriin erillistilassa

Tämä opas ohjaa sinut Site-to-Site (S2S) VPN -yhteyden perustamiseen kahden palomuurin välille käyttäen IKEv2 IPSec -protokollaa. Käymme läpi sekä manuaalisen konfiguroinnin että sisäänrakennetun ohjatun toiminnon käytön, sekä kuinka määrittää VPN käsittelemään useita aliverkkoja saman tunnelin sisällä.

Jos etsit muita VPN-skenaarioita, vinkkejä ja niksejä, tutustu seuraaviin artikkeleihin:

Yleistä:

• VPN-konfiguraation provisionointi USG-palomuurissa
• Zyxel-palomuuri [VPN] - Site-to-Site VPN:n vianmääritys [Erillistila]

Toimisto haluaa yhdistää turvallisesti pääkonttoriinsa Internetin kautta. Molemmilla toimistoilla on USG / ZyWall / ATP / USG FLEX internet-yhteyttä varten.

Huomautus: Ennen VPN:n konfiguroinnin aloittamista varmista, ettei molemmilla sivustoilla ole samoja aliverkkoja. VPN:n määrittäminen sivustojen välille, joilla on sama aliverkko molemmilla puolilla, on teknisesti mahdollista, mutta se ei ole helppoa ja voi johtaa ongelmiin IP-osoitteiden päällekkäisyyden vuoksi. Kun molemmilla sivustoilla on sama aliverkko, se voi aiheuttaa reitityskonflikteja, koska VPN ei tiedä, kummalle puolelle liikenne tulisi lähettää, kun se näkee IP-osoitteen, joka esiintyy molemmissa paikoissa.

Ohjatun toiminnon menetelmä VPN:n määrittämiseen

Yksinkertaisin ja kätevin tapa luoda Site-to-Site-yhteys on käyttää sisäänrakennettua ohjattua toimintoa. Tässä artikkelin ensimmäisessä esimerkissä opastamme sinua prosessin läpi. Lisäksi, jos olet kohdannut ongelmia VPN:n manuaalisessa konfiguroinnissa, voit käyttää ohjattua toimintoa VPN:n määrittämiseen ja vertailla asetuksia vianmäärityksen helpottamiseksi.

Pääkonttorin sivuston asetukset (Ohjattu toiminto)

• Kirjaudu sisään pääkonttorin palomuurin Web GUI -käyttöliittymään ja siirry vasemman valikon Quick Setup Wizard -osioon.
• Klikkaa "VPN Setup"

Voit valita Express (VPN oletusarvoisilla arvoilla) tai Advanced (kryptografian manuaalinen asetus jne.). Tässä artikkelin esimerkissä olemme valinneet "Advanced"-vaihtoehdon.

• Suosittelemme vahvasti IKEv2:n käyttöä IKEv1:n sijaan parantaaksesi turvallisuutta, nopeutta yhteyden muodostuksessa, vakautta, mobiilitukea ja tehokkuutta verkon muutosten käsittelyssä.
• Anna selkeä nimi ja valitse Site-to-Site VPN.
• Klikkaa "Next"

Vaiheen 1 asetukset

• Seuraavaksi syötä “Secure Gateway” Tämä on toisen palomuurisi WAN-osoite; tässä tapauksessa se on sivustohaaran IP-osoite. (Kun alat konfiguroida toista palomuuria, sinun tulee täyttää tämän palomuurin WAN IP -osoite.)
• Aseta Vaiheen 1 ehdot haluamallasi tavalla. Turvallisuussyistä valitse vahva salasana ja ehdot, joissa on hyvä salaus/todennus, kuten AES256 salaukseen, SHA512 todennukseen ja DH14 avainryhmäksi.

Vaiheen 2 asetukset

• Varmista, että vaiheen 2 asetukset ovat samat kuin vaiheen 1 asetukset (esim. AES256, SHA512).
• Paikallinen politiikka ja etäpolitiikka - Paikalliset ja etäpolitiikat määrittävät, mikä liikenne salataan site-to-site VPN:ssä, varmistaen turvallisen, tehokkaan ja oikein reititetyn viestinnän verkkojen välillä.
  
  Huomautus: Tarkista ensin, ettei etäaliverkon IP-osoite ole jo olemassa paikallisessa aliverkossa kaksinkertaisen IP-osoitteen estämiseksi. Kun etäaliverkko on samanlainen kuin jokin paikallisista aliverkoista, pääset vain paikallisverkkoon.

• Kun kaikki tiedot on syötetty oikein, klikkaa “Next”, tarkista asetukset uudelleen, klikkaa "Save" ja jatka toisen palomuurin konfigurointiin.

Sivustohaaran asetukset (Ohjattu toiminto)

Seuraa täsmälleen samaa menettelyä toisen toimiston palomuurille. Pääasiallinen ero on vain joissakin asetuksissa.

• Gateway IP on määritettävä pääkonttorin laitteen WAN-IP-osoitteeksi
• Paikallinen politiikka ja etäpolitiikka ovat myös erilaisia. Esimerkki alla:
  Pääkonttori
  Paikallinen politiikka: 192.168.40.1
  Etäpolitiikka: 192.168.70.1
  Sivustohaara:
  Paikallinen politiikka: 192.168.70.1
  Etäpolitiikka: 192.168.40.1

• Jos kaikki on konfiguroitu oikein eikä yhteydessä, muissa asetuksissa tai rakenteessa ole ongelmia, VPN-yhteys muodostetaan automaattisesti heti asetusten tallentamisen jälkeen.

Manuaalinen menetelmä VPN:n määrittämiseen - VPN Gateway - Pääkonttorin asetukset manuaalisesti

• Kirjaudu sisään pääkonttorin palomuurin Web GUI:hin

Siirry kohtaan Configuration -> VPN -> VPN Ge -> Add

• Valitse Enable -valintaruutu
• Anna selkeä nimi
• Valitse IKE-versio

Suosittelemme vahvasti IKEv2:n käyttöä IKEv1:n sijaan parantaaksesi turvallisuutta, nopeutta yhteyden muodostuksessa, vakautta, mobiilitukea ja tehokkuutta verkon muutosten käsittelyssä.

• My Address (rajapinta) - asettaa WAN IP -osoitteesi.
• Peer Gateway Address - Tämä on toisen palomuurin WAN-osoite; tässä tapauksessa se on sivustohaaran IP-osoite. (Kun alat konfiguroida toista palomuuria, sinun tulee täyttää tämän palomuurin WAN IP -osoite.)
• Pre-Shared Key - Luo vahva salasana (sitä käytetään myös etälaitteella).
• Vaiheen 1 asetukset - Aseta Vaiheen 1 ehdot haluamallasi tavalla. Turvallisuussyistä valitse vahva salasana ja ehdot, joissa on hyvä salaus/todennus, kuten AES256 salaukseen, SHA512 todennukseen ja DH14 avainryhmäksi.

VPN-tunneli - Pääkonttorin asetukset manuaalisesti

Configuration > VPN > IPSec VPN > VPN Connection > Add

Ensimmäiseksi sinun tulee luoda objekti “Remote Policy” klikkaamalla “Create New Object” ja valitsemalla “IPV4 Address.”

• Nimi - anna selkeä nimi
• Osoitetyyppi - “SUBNET”
• Verkko - etäpaikan paikallisverkon osoite
• Aliverkon peite - etäpaikan aliverkon peite
• Klikkaa sitten “OK”

Voimme nyt jatkaa muiden kenttien täyttämistä.

• Valitse Enable -valintaruutu
• Anna selkeä nimi
• Valitse Site-To-Site VPN
• VPN Gateway - Valitse aiemmin luotu VPN Gateway
• Paikallinen politiikka ja etäpolitiikka ovat erilaiset.
• Vaiheen 2 asetukset - Aseta Vaiheen 2 ehdot haluamallasi tavalla. Turvallisuussyistä valitse vahva salasana ja ehdot, joissa on hyvä salaus/todennus, kuten AES256 salaukseen, SHA512 todennukseen ja DH14 avainryhmäksi.
• Klikkaa "Ok"

Voimme nyt aloittaa Sivustohaaran konfiguroinnin. Toimi samalla tavalla kuin pääkonttorin kohdalla, mutta joillakin tiedoilla on muutoksia.

VPN Gateway - Sivustohaaran asetukset manuaalisesti

Configuration > VPN > IPSec VPN > VPN Gateway

Toista pääkonttorin vaiheet VPN Gatewayn konfiguroimiseksi

• Kun konfiguroit VPN Gatewayta pääkonttorin palomuurissa, määritit sivustohaaran WAN-IP:n kenttään "Peer Gateway Address Static Address”. Nyt sivustohaaran konfiguroinnissa sinun tulee määrittää pääkonttorin WAN-IP samaan kenttään.
• Pre-Shared Key - tulee olla sama molemmilla sivustoilla.

VPN-tunneli - Sivustohaaran asetukset manuaalisesti

Configuration > VPN > IPSec VPN > VPN Connection

Toista pääkonttorin vaiheet VPN-tunnelin konfiguroimiseksi

• Lukuun ottamatta muutamaa eroa, kun konfiguroit pääkonttoria, määritit sivustohaaran verkon etäpolitiikassa. Nyt sivustohaaran konfiguroinnissa sinun tulee määrittää pääkonttorin verkko etäpolitiikan kenttään.

Ruksaa "Nailed-Up"-valinta, jotta VPN-tunneli muodostetaan ja yhdistetään automaattisesti.

Tuloksen testaus

• Yhdistä VPN-tunneli ensimmäisellä kerralla manuaalisesti. Tämän jälkeen sen pitäisi tarkistaa yhteys ja yhdistää automaattisesti.
• Näet VPN-tunnelin olevan yhdistetty, kun maapallon symboli on vihreä.

Huomautus: Tarkista palomuurisäännöt varmistaaksesi, että oletusarvoiset IPSec-to-Device ja IPSec-to-Any säännöt ovat olemassa.
Muuten liikenne tunnelien välillä saattaa estyä.

Rajoitus - Useiden aliverkkojen käyttö

Zyxel-palomuureissa on rajoitus, jossa VPN-tunnelissa ei voi valita useita aliverkkoja. Paikallinen politiikka (aliverkko) ja etäpolitiikka (aliverkko) voidaan määrittää vain yhdellä aliverkolla kumpikin.

Configure -> VPN -> IPSec VPN -> VPN Connection -> Policy

Tämän ongelman kiertämiseksi voit määrittää politiikkareitin, joka reitittää toisen aliverkon tunnelin läpi manuaalisesti.

Luo tämä politiikkareitti:

Huom! Saattaa olla tarpeen reitittää vastauspaketit takaisin tunnelin kautta etäsivustolla.

Vianmääritys

Yleiset ongelmat ja ratkaisut:

• Virheellinen Pre-shared Key: Tarkista pre-shared key molemmilta laitteilta huolellisesti.
• Virheellinen aliverkon konfiguraatio: Varmista, että VPN-asetuksissa on määritetty oikeat paikalliset ja etäaliverkot.
• Vaiheen 1 ja vaiheen 2 asetukset:

Tärkeät asetukset, jotka tulee tarkistaa, että ne ovat samat molemmilla sivustoilla

• Todennusmenetelmä: Tyypillisesti käytetään pre-shared keytä.
• Salausalgoritmi: Yleisiä vaihtoehtoja ovat AES (128/256 bittiä), 3DES.
• Hash-algoritmi: Tyypillisesti SHA-256 tai SHA-512 tai SHA-1.
• DH-ryhmä (Diffie-Hellman-ryhmä): Varmistaa turvallisen avaintenvaihdon (esim. ryhmä 2, ryhmä 14).
• Elinikä:

Lisätietoja vianmäärityksestä löydät seuraavasta linkistä:

Zyxel-palomuuri [VPN] - Site-to-Site VPN:n vianmääritys [Erillistila]