Zyxel Tűzfal VPN - IPSec Site-To-Site VPN konfigurálása Zyxel tűzfalon önálló módban

Ez az útmutató végigvezeti Önt egy Site-to-Site (S2S) VPN beállításán két tűzfal között, IKEv2 IPSec használatával. Bemutatjuk a manuális konfigurációt és a beépített varázsló használatát is, valamint azt, hogyan konfigurálja a VPN-t több alhálózat kezelésére ugyanazon az alagúton belül.

Ha más VPN forgatókönyveket, tippeket és trükköket keres, tekintse meg a következő cikkeket:

Általános:

• VPN konfiguráció provisionálása USG tűzfalon
• Zyxel Tűzfal [VPN] - Site-to-Site VPN hibakeresése [Önálló mód]

Egy iroda biztonságosan szeretne csatlakozni a központjához az interneten keresztül. Mindkét irodában USG / ZyWall / ATP / USG FLEX készülék van az internet eléréséhez.

Megjegyzés: Mielőtt elkezdené a VPN konfigurálását, győződjön meg arról, hogy mindkét helyszínen nem ugyanazok az alhálózatok vannak. VPN konfigurálása olyan helyszínek között, ahol mindkét oldalon ugyanaz az alhálózat van, technikailag lehetséges, de nem egyszerű, és IP-cím átfedésekből adódó komplikációkhoz vezethet. Amikor mindkét helyszínen ugyanaz az alhálózat van, az útválasztási konfliktusok léphetnek fel, mert a VPN nem tudja, melyik oldalra küldje a forgalmat, ha olyan IP-címet lát, amely mindkét helyen létezik.

Varázsló módszer VPN beállításához

A legegyszerűbb és legkényelmesebb módja a Site-to-Site kapcsolat létrehozásának a beépített varázsló használata. Ennek az útmutatónak az első példájában végigvezetjük Önt ezen a folyamaton. Ha problémái voltak a VPN manuális konfigurálásával, használhatja a varázslót a VPN beállításához, és összehasonlíthatja a beállításokat a hibakereséshez.

Központi helyszín beállításai (Varázsló)

• Jelentkezzen be a központi helyszín tűzfalának webes kezelőfelületére, és lépjen a bal oldali menüben a Gyorsbeállítás varázsló szekcióba.
• Kattintson a "VPN beállítás" gombra

Választhat az Express (alapértelmezett értékekkel rendelkező VPN) vagy az Advanced (kézi kriptográfiai beállítások stb.) között. Ennek az útmutatónak a példájához az "Advanced" opciót választottuk.

• Erősen ajánljuk az IKEv2 használatát az IKEv1 helyett a biztonság növelése, a kapcsolat gyorsabb létrejötte, stabilitás, mobilitás támogatása és a hálózati változások hatékonyabb kezelése érdekében.
• Adjon érthető nevet, és válassza a Site-to-Site VPN opciót.
• Kattintson a "Tovább" gombra

1. fázis beállítások

• A következő lépésnél adja meg a „Secure Gateway” címet, amely a második tűzfal WAN címe; ebben az esetben a fióktelep IP-címe. (Amikor elkezdi a második tűzfal konfigurálását, itt kell megadnia annak WAN IP-címét.)
• Állítsa be az 1. fázis javaslatokat a kívánt módon. Biztonsági okokból válasszon erős jelszót és jó titkosítási/azonosítási javaslatokat, például AES256 titkosításhoz, SHA512 azonosításhoz és DH14 kulcscsoportot.

2. fázis beállítások

• Győződjön meg róla, hogy a 2. fázis beállításai megegyeznek az 1. fázis beállításaival (pl. AES256, SHA512).
• Helyi és távoli szabályzat - A helyi és távoli szabályzatok határozzák meg, hogy milyen forgalom titkosított a site-to-site VPN-ben, biztosítva a biztonságos, hatékony és helyesen irányított kommunikációt a hálózatok között.
  
  Megjegyzés: Először ellenőrizze, hogy a távoli alhálózat IP-címe nem létezik-e már a helyi alhálózatban, hogy elkerülje az IP-címek duplikációját. Ha a távoli alhálózat megegyezik egy helyi alhálózattal, csak a helyi hálózat érhető el.

• Miután minden adatot helyesen megadott, kattintson a „Tovább” gombra, ellenőrizze újra az összes beállítást, kattintson a „Mentés” gombra, majd folytassa a második tűzfal konfigurálásával.

Fióktelep beállításai (Varázsló)

Pontos ugyanazt az eljárást kell követnie a második iroda tűzfalánál is. Az egyetlen különbség néhány beállításban van.

• Gateway IP meg kell adni a központi helyszín eszközének WAN IP-címét
• Helyi és távoli szabályzat is eltérő lesz. Példa:
  Központi helyszín
  Helyi szabályzat: 192.168.40.1
  Távoli szabályzat: 192.168.70.1
  Fióktelep:
  Helyi szabályzat: 192.168.70.1
  Távoli szabályzat: 192.168.40.1

• Ha minden helyesen van konfigurálva, és nincs probléma a kapcsolattal vagy más beállításokkal, a VPN kapcsolat automatikusan létrejön a beállítások mentése után.

Manuális módszer VPN beállításához

VPN Gateway - Központi helyszín beállításai manuálisan

• Jelentkezzen be a központi helyszín tűzfalának webes kezelőfelületére

Menjen a Konfiguráció -> VPN -> VPN Ge -> Hozzáadás menüpontra

• Jelölje be az Engedélyezés jelölőnégyzetet
• Adjon egyértelmű nevet
• Válassza ki az IKE verziót

Erősen ajánljuk az IKEv2 használatát az IKEv1 helyett a biztonság növelése, a kapcsolat gyorsabb létrejötte, stabilitás, mobilitás támogatása és a hálózati változások hatékonyabb kezelése érdekében.

• Saját címem (Interfész) - állítsa be a WAN IP-címét.
• Partner Gateway címe - Ez a második tűzfal WAN címe; ebben az esetben a fióktelep IP-címe. (Amikor elkezdi a második tűzfal konfigurálását, itt kell megadnia annak WAN IP-címét.)
• Megosztott kulcs - Hozzon létre erős jelszót (ezt a kulcsot a távoli eszközön is használni fogja).
• 1. fázis beállítások - Állítsa be az 1. fázis javaslatokat a kívánt módon. Biztonsági okokból válasszon erős jelszót és jó titkosítási/azonosítási javaslatokat, például AES256 titkosításhoz, SHA512 azonosításhoz és DH14 kulcscsoportot. 

VPN alagút - Központi helyszín beállításai manuálisan

Konfiguráció > VPN > IPSec VPN > VPN Kapcsolat > Hozzáadás

Először hozzon létre egy objektumot a „Távoli szabályzathoz” a „Új objektum létrehozása” gombra kattintva, majd válassza az „IPV4 cím” lehetőséget.

• Név - adjon egyértelmű nevet
• Cím típusa - „ALHÁLÓZAT”
• Hálózat - a távoli helyi hálózat címe
• Hálózati maszk - a távoli helyi hálózat alhálózati maszkja
• Ezután kattintson az „OK” gombra

Most folytathatjuk a többi mező kitöltését.

• Jelölje be az Engedélyezés jelölőnégyzetet
• Adjon egyértelmű nevet
• Válassza a Site-To-Site VPN opciót
• VPN Gateway - Válassza ki az előző lépésben létrehozott VPN Gateway-t
• Helyi és távoli szabályzat eltérő lesz.
• 2. fázis beállítások - Állítsa be a 2. fázis javaslatokat a kívánt módon. Biztonsági okokból válasszon erős jelszót és jó titkosítási/azonosítási javaslatokat, például AES256 titkosításhoz, SHA512 azonosításhoz és DH14 kulcscsoportot. 
• Kattintson az "Ok" gombra

Most elkezdheti a fióktelep konfigurálását. Ehhez kövesse ugyanazokat a lépéseket, mint a központi helyszínen, de néhány adat eltérő lesz.

VPN Gateway - Fióktelep beállításai manuálisan

Konfiguráció > VPN > IPSec VPN > VPN Gateway

Ismételje meg a központi helyszín lépéseit a VPN Gateway konfigurálásához

• Amikor a központi helyszín tűzfalán konfigurálta a VPN Gateway-t, a "Partner Gateway címe Statikus cím” mezőben megadta a fióktelep WAN IP-címét. Most, a fióktelep konfigurálásakor a központi helyszín WAN IP-címét kell megadnia ebben a mezőben.
• Megosztott kulcs - mindkét helyszínen ugyanazt kell használnia.

VPN alagút - Fióktelep beállításai manuálisan

Konfiguráció > VPN > IPSec VPN > VPN Kapcsolat

Ismételje meg a központi helyszín lépéseit a VPN alagút konfigurálásához

• Néhány különbséggel: amikor a központi helyszínt konfigurálta, a fióktelep hálózatát adta meg a Távoli szabályzatnál. Most, a fióktelep konfigurálásakor a központi helyszín hálózatát kell megadnia a Távoli szabályzat mezőben.

Jelölje be a "Nailed-Up" opciót az alagút létrehozásához és automatikus csatlakozáshoz.

Eredmény tesztelése

• Először manuálisan csatlakoztassa a VPN alagutat. Ezután automatikusan újraellenőrzi a kapcsolatot és újracsatlakozik.
• A VPN alagút csatlakozását a zöld földgömb ikon jelzi

Megjegyzés: Ellenőrizze a tűzfal szabályait, hogy léteznek-e az alapértelmezett IPSec-to-Device és IPSec-to-Any szabályok.
Enélkül a forgalom az alagutak között blokkolva lehet.

Korlátozás - Több alhálózat használata

A Zyxel tűzfalakon van egy korlátozás, amely szerint nem választhat több alhálózatot egy VPN alagútban. A helyi szabályzat (alhálózat) és a távoli szabályzat (alhálózat) csak egy-egy alhálózattal konfigurálható.

Konfiguráció -> VPN -> IPSec VPN -> VPN Kapcsolat -> Szabályzat

Ennek megkerülésére manuálisan konfigurálhat egy szabályzati útvonalat, amely egy másik alhálózatot irányít az alagútba.

Hozza létre ezt a szabályzati útvonalat:

Megjegyzés! Előfordulhat, hogy a válaszcímkéket is az alagúton keresztül kell visszairányítani a távoli helyszínen.

Hibakeresés

Gyakori problémák és megoldások:

• Helytelen megosztott kulcs: Ellenőrizze kétszer is a megosztott kulcsot mindkét eszközön.
• Helytelen alhálózat konfiguráció: Győződjön meg róla, hogy a helyi és távoli alhálózatok helyesen vannak beállítva a VPN beállításokban.
• 1. és 2. fázis beállítások:

A kulcsfontosságú beállításokat ellenőrizze, hogy mindkét helyszínen megegyezzenek:

• Hitelesítési mód: Általában megosztott kulcsot használnak.
• Titkosítási algoritmus: Gyakori opciók az AES (128/256 bit), 3DES.
• Hash algoritmus: Általában SHA-256, SHA-512 vagy SHA-1.
• DH csoport (Diffie-Hellman csoport): Biztonságos kulcscsere biztosítása (pl. 2-es, 14-es csoport).
• Élettartam: 

Részletesebb hibakeresési útmutatóért lásd a következő hivatkozást:

Zyxel Tűzfal [VPN] - Site-to-Site VPN hibakeresése [Önálló mód]