Viktig merknad: |
Denne artikkelen viser deg hvordan du konfigurerer tilgang til en ressurs via L2TP på et eksternt sted som er tilkoblet via et Site-to-Site VPN basert på Nebula.
Denne artikkelen fungerer med USG FLEX / ATP / tredjeparts brannmur (ekstern lokasjon).
Først må vi sette opp Site to Site VPN; for dette må vi angi følgende på begge USG-ene:
Naviger til:
Site-wide > Configure > Firewall > Site-to-Site VPN
Nettsted 1:
Velg "none" for NAT-traversal bare hvis du har en offentlig IP på WAN-grensesnittet til USG FLEX/ATP!
Hvis du befinner deg bak NAT (WAN-grensesnittet har en IP som denne: 192.168.10.123), må du bruke NAT-traversal-funksjonen!
Nettsted 2:
Velg "ingen" for NAT-Traversal bare hvis du har en offentlig IP på WAN-grensesnittet til USG FLEX/ATP!
Hvis du befinner deg bak NAT (WAN-grensesnittet har en IP som denne: 192.168.10.123), må du bruke NAT-traversal-funksjonen!
Sjekk i VPN Orchestrator om tunnelen er opprettet (merk at det kan ta opptil 10 minutter før koblingen vises!):
Organization-wide > Organization-wide manage -> VPN Orchestrator
Deretter må vi opprette L2TP Access for Site 1:
Site-wide > Configure > Firewall > Remote access VPN
Dette vil gi oss innstillingene for klienten vår:
For manuelt oppsett (via CMD):
powershell -command "Add-VpnConnection -Name '[Sitename]' -ServerAddress '[Public IP/Domain Name]' -TunnelType 'L2tp' -AuthenticationMethod Pap -EncryptionLevel 'Optional' -L2tpPsk '[YourPSK/Secret]' -Force -RememberCredential -PassThru"
Nå må vi opprette en bruker for det eksterne VPN-et:
Site-wide -> Configure -> Cloud Authentication
Dette vil gi oss påloggingsdataene for tunnelen:
Nå kommer den mest kritiske delen!
Dette må gjøres på det andre nettstedet (plasseringen til klienten vi prøver å få tilgang til).
Dette fungerer også med tredjeparts brannmurer.
Vi må sette opp en returrute på den andre brannmuren slik at trafikken vår returneres til L2TP-tunnelen:
Site-wide > Configure > Firewall > Routing
Opprett en policy-rute for det eksterne subnettet (destinasjonsadresse) og diriger trafikken inn i VPN-tunnelen ved å velge Next-hop type VPN-trafikk under "policy route" og deretter velge VPN-tunnelen du ønsker at trafikken skal gå inn i.
Når dette er gjort, kan vi få tilgang til klienten:
Naviger til den andre siden og sjekk en annen klient på den andre siden, i dette eksemplet USG20-VPN-brannmuren.