VPN IKEv2 con chiave precondivisa su dispositivi mobili (invece di L2TP)

Questo articolo mostra come connettere i telefoni cellulari (Android e iPhone (iOS)) con IKEv2 PSK (chiave pre-condivisa) invece di L2TP. Infatti, a partire da Android 12, il supporto L2TP non è più disponibile. In questo articolo vedremo anche come impostare IKEv2 PSK per gli utenti iOS.

Per prima cosa, dobbiamo configurare il tunnel sul nostro firewall; in questo caso, il firewall è un ATP200 con fw 5.31.

Firewall: Impostazione del gateway VPN (fase 1)

1. Accedere al dispositivo utilizzando la GUI
2. Andare a "Configurazione > VPN > IPSec VPN > Gateway VPN".

1. Fare clic su "Aggiungi".
2. Fare clic su "Abilita".
3. Assegnare un nome
4. Scegliere IKEv2
5. Scegliere l'interfaccia WAN
6. Impostare l'indirizzo del gateway peer su "Dinamico".
7. Impostare una chiave precondivisa "PSK".

In "Impostazioni della fase 1", è necessario modificare le impostazioni di avanzamento.

1. Aggiungere la crittografia e l'autenticazione secondo l'immagine sottostante.
2. Aggiungere il gruppo di chiavi come indicato nell'immagine sottostante
3. Disabilitare l'Autenticazione a due fattori
4. Fare clic su "OK".

Nota: per IOS 17 viene utilizzato un gruppo di chiavi: DH19 deve essere utilizzato

Firewall: Impostazione della connessione VPN (fase 2)

Accedere alla scheda "Connessione VPN" e fare clic su "Aggiungi".

1. Fare clic su "Aggiungi".
2. Fare clic su "Abilita".
3. Assegnategli un nome
4. Scegliete "Accesso remoto (ruolo server)".
5. Scegliere il gateway creato nella fase precedente.
6. Scegliere "Local Policy", la sottorete a cui ci si vuole connettere con la VPN.

Abilitare il Payload di configurazione - Questa sezione è obbligatoria per iOS. Nel caso in cui si utilizzi Android, è facoltativa.

In "Impostazioni fase 2", è necessario modificare le impostazioni di avanzamento.

1. Aggiungere la crittografia e l'autenticazione, come indicato nell'immagine sottostante.
2. Aggiungere il Gruppo di chiavi secondo l'immagine sottostante
3. Fare clic su "OK".

Nota! È anche possibile utilizzare DH2 e DH14 su entrambe le impostazioni "Fase 1" e "Fase 2" se altri dispositivi (come i vecchi telefoni Android) non riescono a connettersi.

Mobile: Configurazione su Android

1. Impostazioni
2. Accedere alla VPN e andare alle impostazioni VPN
3. Aggiungi una nuova connessione VPN
4. Digitare il nome
5. Scegliere IKEv2/IPSec PSK
6. Immettere l'IP o il FQDN dell'interfaccia WAN del firewall.
7. Inserire l'identificatore IPSec (se non è stato modificato nulla sul Firewall, lasciare 0.0.0.0)
8. Immettere la chiave precondivisa ( la stessa immessa sul firewall).
9. Fare clic su "Salva".
10. Selezionate la VPN appena creata e fate clic su "Connetti".

In alcune versioni della VPN, nelle impostazioni avanzate è disponibile il campo "Server DNS". È possibile lasciare questo campo vuoto se non si è modificato nulla nel Firewall nel campo "Contenuto", come nella figura seguente. In caso contrario, è necessario specificare nel campo "Server DNS" lo stesso valore del campo "Contenuto".

In caso di connessione riuscita, lo stato della VPN sul cellulare sarà "Connesso".

Mobile: Configurazione su iOS

Note: Dal rilascio di iOS 18, gli utenti hanno segnalato problemi di connessione a VPN remote configurate tramite file .mobileconfig. La connessione VPN non si stabilisce, rendendo necessaria la creazione manuale del profilo come alternativa.

Soluzione:

Modificare il file .mobileconfig:
Aprire il file .mobileconfig utilizzando un editor di testo come Notepad.

Individuare le seguenti righe:

LocalIdentifier

Modificare le righe per includere un identificatore specifico:

LocalIdentifier
Zyxel

Salvare le modifiche e distribuire il file .mobileconfig aggiornato sul dispositivo iOS.

1. Impostazioni
2. Accedere alla VPN e andare alle impostazioni VPN
3. Aggiungere una nuova connessione VPN
4. Scegliere IKEv2
5. Digitare il nome
6. Immettere l'IP o l'FQDN dell'interfaccia WAN del firewall.
7. Immettere l'ID remoto (se non è stato modificato nulla sul Firewall, lasciare 0.0.0.0).
8. Scegliere Autenticazione utente "Nessuna".
9. Disattivare "Certificazione utente".
10. Immettere la chiave precondivisa ( la stessa immessa sul Firewall).
11. Fate clic su "Fatto".
12. Selezionate la VPN appena creata e fate clic su "Connetti".

È possibile controllare lo stato della connessione nelle impostazioni del firewall (in Configurazione -> VPN -> IPSec VPN, dove si vedrà il simbolo verde se la connessione è avvenuta).

È possibile vedere la connettività anche in Monitor -> Logs.