Avviso importante: |
A partire da ZLD 5.20, i dispositivi USG FLEX e ATP supportano impostazioni predefinite per i client VPN SecuExtender IPSec e non SecuExtender IPSec. In questo articolo, vi guideremo nell'utilizzo della configurazione guidata della VPN per l'accesso remoto (Quick Setup). Verrà inoltre mostrato come configurare StrongSwan su Android utilizzando lo script di configurazione rapida, installare manualmente i certificati e configurare StrongSwan per stabilire un tunnel VPN utilizzando IKEv2 con autenticazione EAP-MSCHAPv2.
Nota: questa procedura può essere utilizzata anche se la VPN L2TP è stata rimossa dalla versione 12+ di Android.
Tenete presente che: Una volta configurata la VPN con la configurazione rapida, è sempre possibile modificare le impostazioni in un secondo momento. Ad esempio, è possibile aggiungere o modificare gruppi o includere proposte aggiuntive, se necessario.
Tuttavia, è bene tenere presente che le modifiche manuali possono avere un impatto sul funzionamento dei dispositivi inizialmente configurati con lo script di configurazione rapida.
Se è necessario accedere nuovamente allo script di configurazione rapida e ricominciare dall'inizio, ad esempio quando si scarica nuovamente lo script, le modifiche manuali apportate in precedenza verranno sovrascritte. Ma non preoccupatevi, potete semplicemente applicare nuovamente le modifiche manuali dopo aver eseguito l'impostazione.
Nota: Gli indirizzi IP indicati nella figura sono solo a titolo di esempio e non sono rilevanti per l'intero articolo. Potrebbero essere diversi nel vostro caso.
Configurazione della VPN tramite impostazione rapida
Accedere alla GUI WEB del firewall e andare in Quick Setup, scegliere Remote Access VPN e quindi IKEv2 IPSec Client (Zyxel SecuExtender, non-SecuExtender).
Utilizzare questa opzione se si utilizza il client IPSec VPN di Zyxel SecuExtender o un sistema operativo che supporta IPSec VPN con IKEv2 (client VPN non-SecuExtender). È possibile creare una regola VPN Full Tunnel o Split Tunnel con il client VPN Zyxel SecuExtender. È possibile creare una regola VPN Full Tunnel solo con il client VPN non SecuExtender.
Configurare il pool di indirizzi IP per il client.
Il pool di indirizzi IP utilizzerà una sottorete selezionata non utilizzata sul dispositivo per evitare di impostare la stessa sottorete. Il pool di indirizzi IP inizierà da 192.168.50.1 Se la sottorete 192.168.50.1 esiste nelle impostazioni del gateway, il pool di indirizzi IP cambierà automaticamente.
Aggiungere o creare gli utenti che avranno accesso alla VPN. Una volta aggiunti gli utenti, fare clic su Avanti e rivedere tutte le impostazioni per garantire l'accuratezza. A questo punto è possibile scaricare uno script automatico per configurare la VPN o configurarla manualmente utilizzando un certificato.
Dopo l'esito positivo della configurazione VPN, è possibile scaricare e installare i file di script sui dispositivi Android per configurare automaticamente le impostazioni VPN.
Nota: le impostazioni VPN per i client VPN IPSec non SecuExtender non supportano le seguenti funzioni:
- Limite di larghezza di banda in upload
- Tunnel diviso
- Autenticazione a due fattori (Google Authenticator)
I dettagli sulla configurazione di una VPN per dispositivi Windows e Apple sono disponibili nel seguente articolo:
Tenere presente che: Per ridurre gli errori di configurazione e altri potenziali problemi, si consiglia di utilizzare uno script per l'installazione. Tuttavia, è anche possibile installare e configurare manualmente il certificato direttamente sul dispositivo endpoint. Le istruzioni dettagliate per l'installazione manuale del certificato e la configurazione della VPN sono disponibili nella sezione "Configurazione manuale del certificato".
Configurazione di StrongSwan VPN su Android tramite script di configurazione rapida
- Scaricare StrongSwan dal Google Play Store
- Inviare lo script al dispositivo mobile via e-mail
- Salvare lo script sul dispositivo mobile
- Aprire l'app StrongSwan
- Fare clic su "AGGIUNGI PROFILO VPN".
- Importare il profilo VPN
- Selezionare uno script precedentemente salvato
- Inserire nome utente e password e salvare
- Fare clic sul profilo creato
- Attendere qualche secondo affinché la connessione venga stabilita
Configurazione di StrongSwan VPN su Android mediante l'installazione di un certificato e la creazione manuale di un profilo VPN
Come scaricare un certificato
Spostarsi su Configurazione -> Oggetto -> Certificato, selezionare il certificato VPN e premere "Download" per scaricare il certificato.
Nota: il campo "Password" deve essere lasciato vuoto, poiché è necessario scaricare il certificato crt per utilizzarlo nel client StrongSwan su Android. Se si inserisce la password, il formato del certificato sarà pfx, non adatto al nostro caso.
Se avete problemi a selezionare il certificato corretto dall'elenco, potete identificare il certificato richiesto per una specifica VPN controllando le impostazioni della VPN.
Configuration - VPN - IPSec VPN - VPN Gateway - Open settings of the VPN of interest
Nella sezione "Autenticazione", si vedrà quale certificato è stato selezionato per la VPN.
A questo punto, è possibile allegare il certificato a un'e-mail inviata agli utenti, spiegando loro come installarlo e connettersi alla VPN.
Configurazione manuale di StrongSwan VPN su Android (senza script)
- Scaricare StrongSwan dal Google Play Store
- Inviare il certificato al dispositivo mobile via e-mail
- Salvare il certificato sul dispositivo mobile (non cercare di installare il certificato direttamente dalla mail, ma salvarlo).
- Aprire l'app StrongSwan
- Fare clic sui tre token nell'angolo destro e selezionare "Certificato CA".
- Selezionare "Importa certificato".
- Selezionare un certificato precedentemente salvato e fare clic su "Importa certificato".
- Fare clic sui tre token nell'angolo destro e selezionare "Certificato CA".
- Se il certificato è stato importato con successo, verrà visualizzato il messaggio "Certificato importato con successo".
- Quindi, tornare al menu principale di StrongSwan e fare clic su "Add VPN Profile".
Nel modulo di configurazione del profilo VPN che appare, compilare tutti i campi richiesti:
- Server - indirizzo IP pubblico del firewall
- Tipo di VPN - IKEv2 EAP (nome utente/password)
- Certificato CA - selezionato automaticamente
- Nome del profilo (opzionale) - qualsiasi nome di facile utilizzo
|
|