Avviso importante: |
Questo articolo mostra come configurare L2TP su IPSec in modalità Standalone per USG FLEX / ATP / VPN Series e come configurare la procedura guidata, scaricare la configurazione, configurare L2TP manualmente utilizzando il menu VPN gateway & connection, cosa consentire nelle regole del firewall, come abilitare l'accesso a Internet per L2TP (no Internet), ripristinare la configurazione predefinita, impostare gli utenti VPN, stabilire una VPN dalla LAN, utilizzare server esterni per autenticare gli utenti, risolvere i problemi utilizzando i log, configurare MS-CHAPv2.
Tabella dei contenuti
1. Configurare la VPN L2TP con la procedura guidata integrata
1.1 Navigare nella procedura guidata
1.2 Selezionare lo Scenario client L2TP over IPSec
1.3 Configurare la configurazione VPN
1.4 Configurare l'autenticazione dell'utente
1.5 Salvare la configurazione e scaricare la configurazione L2TP
2) Configurazione manuale della VPN L2TP/IPSec
2.1 Configurare il gateway VPN
2.2 Configurazione della connessione VPN
2.3 Configurazione delle impostazioni VPN L2TP
2.4 Riassumere le impostazioni L2TP
3) Configurazioni indispensabili
3.1 Consentire le porte UDP 4500 e 500
3.2 Abilitare l'accesso a Internet tramite L2TP attraverso le rotte dei criteri
4. Suggerimenti e risoluzione dei problemi
4.1 Ripristino della configurazione predefinita della VPN L2TP
4.2 Impostazione dei client VPN L2TP
4.3 Configurazione avanzata: Stabilire una VPN L2TP dalla LAN:
4.5 L2TP su IPSec VPN - Laboratorio virtuale
4.7 Configurazione di L2TP MS-CHAPv2 su USG/Serie Zywall
Che cos'è L2TP su IPSec VPN?
Prima di iniziare la guida alla configurazione, forniamo un'introduzione alla VPN L2TP over IPSec.
L2TP over IPSec combina il Layer 2 Tunneling Protocol (L2TP, che fornisce una connessione punto-punto) con il protocollo IPSec. L'L2TP da solo non fornisce alcuna crittografia dei contenuti, per cui il tunnel viene comunemente costruito su un protocollo di crittografia di livello 3, IPsec, dando origine alla cosiddetta VPN L2TP over IPSec.
In questo manuale è possibile esplorare tutte le informazioni necessarie per le connessioni VPN L2TP nei dispositivi Firewall Zyxel, esplorando i metodi di configurazione (tramite la procedura guidata e manualmente), l'impostazione del client per Windows, MAC e Linux, nonché le impostazioni più avanzate per l'autenticazione, le diverse topologie e la risoluzione dei problemi sui dispositivi Firewall e sui dispositivi client. Viene inoltre definito un accesso virtuale al laboratorio, dove è possibile rivedere la nostra configurazione che può essere utilizzata anche per impostare la VPN remota sul proprio dispositivo.
1. Configurare la VPN L2TP utilizzando la procedura guidata integrata.
1.1 Navigare nella procedura guidata
a. Aprire lascheda Quick Setup e nella finestra a comparsa selezionare Remote Access VPN Setup:
1.2 Selezionare lo Scenario client L2TP su IPSec
1.3 Configurare la configurazione VPN
Inserire unachiave precondivisa preferita e selezionare l'interfaccia WAN corrispondente.
1.4 Configurazione dell'autenticazione utente
1.5 Salvare la configurazione e scaricare la configurazione L2TP
Configuration > Security Policy > Policy Control
2) Impostazione manuale della VPN L2TP/IPSec
Di seguito vengono descritti i passaggi necessari per configurare manualmente una VPN L2TP su IPSec. La topologia e l'applicazione sono le stesse di quando si utilizza la procedura guidata, l'unica differenza sono i passaggi della configurazione.
2.1 Configurazione del gateway VPN
Accedere al seguente percorso e creare un nuovo gateway VPN:
Configuration > VPN > IPSEC VPN > VPN Gateway
Premere su "Mostra impostazioni avanzate". Immettere un nome per il gateway, scegliere l'interfaccia WAN e aggiungere una chiave pre-condivisa:
Impostare la modalità di negoziazione su Principale e aggiungere le seguenti proposte (comuni) e confermare facendo clic su OK:
2.2 Configurazione della connessione VPN
Andare al seguente percorso e creare una nuova connessione VPN:
Configuration > VPN > IPSec VPN > VPN Connection
Premete su "Mostra impostazioni avanzate". Inserite il nome della connessione, impostate lo scenario applicativo su Accesso remoto (ruolo server) e selezionate il gateway VPN creato in precedenza:
Per il criterio locale, creare un nuovo oggetto Indirizzo IPv4 (dal pulsante"Crea nuovo oggetto") per l'IP WAN reale e impostarlo sulla connessione VPN come criterio locale:
Impostare l'incapsulamento su Trasporto e aggiungere le seguenti proposte e confermare facendo clic su OK:
2.3 Configurazione delle impostazioni della VPN L2TP
Ora che le impostazioni IPSec sono state eseguite, è necessario configurare le impostazioni L2TP. Andare al seguente percorso:
Configuration -> VPN -> L2TP VPN Settings
Se necessario, creare un nuovo utente locale che sarà autorizzato a connettersi alla VPN:
Creare un pool di indirizzi IP L2TP con una serie di indirizzi IP che devono essere utilizzati dai client durante la connessione alla VPN L2TP/IPSec.
Nota: questo non deve entrare in conflitto con le sottoreti WAN, LAN, DMZ o WLAN, anche quando non sono in uso.
2.4 Riassunto delle impostazioni L2TP
Ora impostiamo le impostazioni di L2TP:
- Impostare la connessione VPN creata in 2.2 Configurare la connessione VPN
- Un pool di indirizzi IP è possibile impostare l'oggetto dell'intervallo IP di L2TP.
- Il Metodo di autenticazione può essere impostato come predefinito per l'autenticazione dell'utente locale.
- Gli utenti consentiti possono essere impostati per l'utente. Se sono necessari più utenti, è possibile creare un gruppo di utenti nella pagina Oggetto.
- I server DNS e WINS possono essere selezionati come il dispositivo Firewall stesso (Zywall) o un indirizzo IP personalizzato.
- Se è necessario accedere a Internet attraverso il dispositivo Firewall mentre si è connessi alla VPN L2TP/IPSec, assicurarsi che l'opzione "Consenti traffico attraverso la zona WAN" sia attivata.
- Fare clic su "Applica" per salvare le impostazioni. In questo modo, la VPN L2TP/IPSec è pronta.
3) Configurazioni indispensabili
3.1 Consentire le porte UDP 4500 e 500
Assicurarsi che le regole del firewall consentano l'accesso alle porte UDP 4500 e 500 dalla WAN a Zywall e che la Zona predefinita IPSec_VPN abbia accesso alle risorse di rete. Questo può essere verificato in:
Configuration > Security Policy > Policy Control
3.2 Abilitare l'accesso a Internet tramite L2TP attraverso le rotte dei criteri
Se una parte del traffico dei client L2TP deve andare a Internet, creare una rotta di policy per inviare il traffico dai tunnel L2TP attraverso un trunk WAN.
Configuration > Network > Routing > Policy Route
Impostare Incoming su Tunnel e selezionare la connessione VPN L2TP. Impostare l' indirizzo di origine come pool di indirizzi L2TP. Impostare Next-Hop Type su Trunk e selezionare il trunk WAN appropriato.
Per maggiori dettagli su questo passaggio, consultare l'articolo:
Come consentire ai client L2TP di navigare via USG
4. Suggerimenti e risoluzione dei problemi
4.1 Ripristino della configurazione predefinita della VPN L2TP
In alcuni casi, potrebbe essere necessario ricominciare da capo le impostazioni della VPN L2TP nella pagina:
Configuration > VPN > L2TP VPNSe necessario, utilizzare il seguente articolo che descrive i metodi per ripristinare le impostazioni predefinite.
ZyWALL USG: Ripristino della configurazione predefinita VPN-L2TP
4.2 Impostazione dei client VPN L2TP
L2TP su IPSec è molto popolare e comunemente supportato da molte piattaforme di dispositivi finali con i propri client integrati.
Ecco alcuni dei più comuni e come configurarli:
4.3 Configurazione avanzata: Stabilire una VPN L2TP dalla LAN:
La VPN è una funzione molto diffusa per la crittografia dei pacchetti durante la trasmissione dei dati.
Nel design attuale di ZyWALL/USG/ATP, quando l'interfaccia VPN è basata sull'interfaccia WAN1, la richiesta VPN deve provenire dall'interfaccia WAN1 (interfaccia limitata), altrimenti la richiesta verrà negata. (ad esempio, la connessione VPN proviene da LAN1).
Tuttavia, in alcuni scenari, gli utenti potrebbero aver bisogno di stabilire il tunnel VPN non solo dalla WAN ma anche dalla LAN.
Questo scenario è supportato anche da ZyWALL/USG/ATP. Gli utenti possono seguire la procedura operativa riportata di seguito per disattivare la restrizione dell'interfaccia VPN in modo che la connessione VPN possa provenire da entrambe le reti WAN e LAN.
Topologia:
Versione firmware USG:
4.32 o superiore
Configurazione USG:
Per abilitare L2TP dalla LAN, è necessario accedere al dispositivo con una connessione terminale (seriale, Telnet, SSH) e inserire i seguenti comandi:
Router> configure terminal
Router(config)# vpn-interface-restriction deactivate
Router(config)# write
Riavviare il dispositivo.
4.4 Configurazione avanzata: Utilizzo di server esterni per autenticare gli utenti che si connettono alla VPN L2TP
Questa sezione descrive come configurare L2TP su IPSec con MS-CHAPv2 sulla serie USG/Zywall. Per le implementazioni avanzate, l'autenticazione degli utenti con i server Active Directory (AD) può essere implementata nell'autenticazione L2TP/IPSec VPN.
Scenario:
Dominio AD: USG.com (10.214.30.72)
USG110: 10.214.30.103
1. Accedere a Configurazione>Oggetto>ServerAA. Abilitare l'autenticazione di dominio per MSCHAP
La credenziale di solito è la stessa dell'amministratore AD.
2. Accedere aSystem>Host Name,digitare il dominio ADin Domain Name.
Questo flusso fa sì che l'USG si unisca al dominio AD. Il tunnel verrà stabilito con successo solo se questa parte funziona.
3. Confermare se USG si è unito al dominio. Accedere a Utenti e computer di Active Directory>Computer
In questo caso, è possibile trovare usg110 unito al dominio. È inoltre possibile controllare le informazioni dettagliate nella scheda Proprietà>Oggetto facendo clic con il pulsante destro del mouse.
4. Modificare la zona di dominio, inserire il nome di dominio in Sistema> DNS >Inoltro zona di dominio.
A volte il tunnel si interrompe durante la connessione, quindi è necessario configurare le seguenti impostazioni: l'interfaccia di interrogazione è il luogo in cui si trova il server AD.
5. Controllare le impostazioni di connessione di Windows.
Assicuratevi di aver abilitato (MS-CHAP v2) e di aver inserito la chiave pre-condivisa nelle impostazioni avanzate.
6. Controllare le informazioni di accesso alla pagina Monitor>, l'utente AD dovrebbe essere presente nell'elenco degli utenti correnti una volta che il tunnel è stato collegato con successo.
Il tipo di utente è L2TP e le informazioni sull'utente sono utente esterno.
Per ulteriori informazioni, il seguente articolo illustra in dettaglio quali sono le autenticazioni supportate dai nostri firewall con VPN L2TP/IPSec:
ZyWALL USG - Autenticazione supportata su L2TP
4.5 L2TP su IPSec VPN - Laboratorio virtuale
Date un'occhiata al nostro laboratorio virtuale per la configurazione di una VPN L2TP sui nostri dispositivi Firewall. Con questo laboratorio virtuale è possibile dare un'occhiata alla configurazione corretta per avere un termine di paragone durante l'impostazione del proprio ambiente:
Laboratorio virtuale - VPN end-to-site (L2TP)