Zyxel Firewall VPN - Konfiguracja IPSec Site-To-Site VPN na zaporze Zyxel w trybie samodzielnym

Ten przewodnik przeprowadzi Cię przez proces konfiguracji VPN Site-to-Site (S2S) pomiędzy dwoma zaporami za pomocą IKEv2 IPSec. Omówimy zarówno ręczną konfigurację, jak i korzystanie z wbudowanego kreatora, a także jak skonfigurować VPN do obsługi wielu podsieci w jednym tunelu.

Jeśli szukasz innych scenariuszy VPN, wskazówek i trików, zapoznaj się z następującymi artykułami:

Ogólne:

• Konfiguracja VPN na zaporze USG
• Zyxel Firewall [VPN] - Rozwiązywanie problemów z Site-to-Site VPN [tryb samodzielny]

Biuro chce bezpiecznie połączyć się ze swoją siedzibą główną przez Internet. Oba biura mają urządzenia USG / ZyWall / ATP / USG FLEX do dostępu do internetu.

Uwaga: Przed rozpoczęciem konfiguracji VPN upewnij się, że oba miejsca nie mają tych samych podsieci. Konfiguracja VPN pomiędzy miejscami z tymi samymi podsieciami po obu stronach jest technicznie możliwa, ale nie jest łatwa i może prowadzić do komplikacji z powodu nakładających się adresów IP. Gdy oba miejsca mają tę samą podsieć, może to prowadzić do konfliktów trasowania, ponieważ VPN nie będzie wiedział, do której strony wysłać ruch, gdy zobaczy adres IP istniejący w obu lokalizacjach.

Konfiguracja VPN za pomocą kreatora

Najprostsza i najwygodniejsza metoda ustanowienia połączenia Site-to-Site to użycie wbudowanego kreatora. W pierwszym przykładzie tego artykułu przeprowadzimy Cię przez ten proces. Również, jeśli miałeś problemy z ręczną konfiguracją VPN, możesz użyć kreatora do ustawienia VPN i porównać ustawienia w celu diagnozy problemów.

Ustawienia siedziby głównej (kreator)

• Zaloguj się do interfejsu WWW zapory w siedzibie głównej i przejdź do sekcji Kreator szybkiej konfiguracji w menu po lewej stronie.
• Kliknij „Konfiguracja VPN”

Możesz wybrać pomiędzy trybem Express (VPN z domyślnymi wartościami) lub Zaawansowanym (ręczne ustawienia kryptografii itp.). Dla przykładu w tym artykule wybraliśmy opcję „Zaawansowany”.

• Zalecamy zdecydowanie użycie IKEv2 zamiast IKEv1, aby poprawić bezpieczeństwo, przyspieszyć nawiązywanie połączenia, zwiększyć stabilność, obsługiwać mobilność oraz zwiększyć efektywność obsługi zmian w sieci.
• Nadaj zrozumiałą nazwę i wybierz Site-to-Site VPN.
• Kliknij „Dalej”

Ustawienia fazy 1

• W następnym kroku wprowadź „Secure Gateway” - jest to adres WAN drugiej zapory; w tym przypadku jest to adres IP lokalizacji oddziału. (Podczas konfiguracji drugiej zapory będziesz musiał podać adres WAN tej zapory.)
• Ustaw propozycje fazy 1 według potrzeb. Ze względów bezpieczeństwa wybierz silne hasło oraz propozycje z dobrą szyfrowaniem i uwierzytelnianiem, takie jak AES256 dla szyfrowania, SHA512 dla uwierzytelniania oraz DH14 jako grupę kluczy.

Ustawienia fazy 2

• Upewnij się, że ustawienia fazy 2 są takie same jak fazy 1 (np. AES256, SHA512).
• Polityka lokalna i zdalna - Polityki lokalne i zdalne definiują, jaki ruch jest szyfrowany w VPN site-to-site, zapewniając bezpieczną, efektywną i poprawnie trasowaną komunikację między sieciami.
  
  Uwaga: Sprawdź najpierw, czy adres IP zdalnej podsieci nie istnieje już w podsieci lokalnej, aby uniknąć podwójnej konfiguracji adresów IP. Gdy zdalna podsieć jest podobna do lokalnej, będziesz mógł dotrzeć tylko do lokalnej sieci.

• Po poprawnym wprowadzeniu wszystkich danych kliknij „Dalej”, ponownie sprawdź wszystkie ustawienia, kliknij „Zapisz” i przejdź do konfiguracji drugiej zapory.

Ustawienia oddziału (kreator)

Należy wykonać dokładnie tę samą procedurę dla zapory w drugim biurze. Główna różnica dotyczy tylko niektórych ustawień.

• Adres bramy musi być określony jako adres WAN urządzenia w siedzibie głównej
• Polityka lokalna i zdalna również będą różne. Przykład poniżej:
  Siedziba główna
  Polityka lokalna: 192.168.40.1
  Polityka zdalna: 192.168.70.1
  Oddział:
  Polityka lokalna: 192.168.70.1
  Polityka zdalna: 192.168.40.1

• Jeśli wszystko zostało poprawnie skonfigurowane i nie ma problemów z połączeniem, innymi ustawieniami lub konstrukcją, połączenie VPN zostanie automatycznie nawiązane zaraz po zapisaniu ustawień.

Ręczna konfiguracja VPN - VPN Gateway - ręczne ustawienia siedziby głównej

• Zaloguj się do interfejsu WWW zapory w siedzibie głównej

Przejdź do Konfiguracja -> VPN -> VPN Ge -> Dodaj

• Zaznacz pole Włącz
• Nadaj jasną nazwę
• Wybierz wersję IKE

Zalecamy zdecydowanie użycie IKEv2 zamiast IKEv1, aby poprawić bezpieczeństwo, przyspieszyć nawiązywanie połączenia, zwiększyć stabilność, obsługiwać mobilność oraz zwiększyć efektywność obsługi zmian w sieci.

• Mój adres (interfejs) - ustawia Twój adres IP WAN.
• Adres bramy partnera - jest to adres WAN drugiej zapory; w tym przypadku jest to adres IP oddziału. (Podczas konfiguracji drugiej zapory będziesz musiał podać adres WAN tej zapory.)
• Współdzielony klucz - Utwórz silne hasło (będziesz również używać tego klucza na urządzeniu zdalnym).
• Ustawienia fazy 1 - Ustaw propozycje fazy 1 według potrzeb. Ze względów bezpieczeństwa wybierz silne hasło oraz propozycje z dobrą szyfrowaniem i uwierzytelnianiem, takie jak AES256 dla szyfrowania, SHA512 dla uwierzytelniania oraz DH14 jako grupę kluczy. 

Tunel VPN - ręczne ustawienia siedziby głównej

Konfiguracja > VPN > IPSec VPN > Połączenie VPN > Dodaj

Pierwszą rzeczą, którą musisz zrobić, jest utworzenie obiektu dla „Polityki zdalnej” klikając „Utwórz nowy obiekt” i wybierając „Adres IPV4”.

• Nazwa - wprowadź jasną nazwę
• Typ adresu - „PODSIEĆ”
• Sieć - adres lokalnej sieci zdalnego miejsca
• Maska sieci - maska podsieci zdalnego miejsca
• Następnie kliknij „OK”

Teraz możemy kontynuować wypełnianie pozostałych pól.

• Zaznacz pole Włącz
• Nadaj jasną nazwę
• Wybierz Site-To-Site VPN
• Bramę VPN - Wybierz bramę VPN utworzoną w poprzednim kroku
• Polityka lokalna i zdalna będą różne.
• Ustawienia fazy 2 - Ustaw propozycje fazy 2 według potrzeb. Ze względów bezpieczeństwa wybierz silne hasło oraz propozycje z dobrą szyfrowaniem i uwierzytelnianiem, takie jak AES256 dla szyfrowania, SHA512 dla uwierzytelniania oraz DH14 jako grupę kluczy. 
• Kliknij „OK”

Teraz możemy rozpocząć konfigurację oddziału. Aby to zrobić, wykonaj te same kroki, co dla siedziby głównej, ale z odpowiednimi zmianami danych.

VPN Gateway - ręczne ustawienia oddziału

Konfiguracja > VPN > IPSec VPN > VPN Gateway

Powtórz kroki z siedziby głównej, aby skonfigurować bramę VPN

• Podczas konfiguracji bramy VPN na zaporze w siedzibie głównej podałeś adres WAN oddziału w polu "Adres bramy partnera Statyczny adres”. Teraz podczas konfiguracji oddziału musisz podać adres WAN siedziby głównej w polu "Adres bramy partnera Statyczny adres”.
• Współdzielony klucz - musi być taki sam dla obu lokalizacji.

Tunel VPN - ręczne ustawienia oddziału

Konfiguracja > VPN > IPSec VPN > Połączenie VPN

Powtórz kroki z siedziby głównej, aby skonfigurować tunel VPN

• Z wyjątkiem kilku różnic: podczas konfiguracji siedziby głównej w polu Polityka zdalna określiłeś sieć oddziału. Teraz podczas konfiguracji oddziału musisz określić sieć z siedziby głównej w polu Polityka zdalna.

Zaznacz opcję "Utrzymuj połączenie", aby tunel VPN był nawiązany i łączył się automatycznie.

Testowanie wyniku

• Połącz tunel VPN ręcznie za pierwszym razem. Następnie powinien automatycznie sprawdzać łączność i ponownie się łączyć.
• Możesz zobaczyć, że tunel VPN jest połączony, gdy symbol ziemi jest zielony.

Uwaga: Sprawdź reguły zapory, aby upewnić się, że istnieją domyślne reguły IPSec-do-Urządzenia i IPSec-do-Anywhere.
W przeciwnym razie ruch między tunelami może zostać zablokowany.

Ograniczenie - użycie wielu podsieci

Na zaporach Zyxel istnieje ograniczenie, które uniemożliwia wybór wielu podsieci w jednym tunelu VPN. Polityka lokalna (podsiec) i polityka zdalna (podsiec) mogą być skonfigurowane tylko z jedną podsiecią każda.

Konfiguracja -> VPN -> IPSec VPN -> Połączenie VPN -> Polityka

Aby obejść ten problem, możesz ręcznie skonfigurować trasę polityki, aby skierować inne podsieci przez tunel.

Utwórz tę trasę polityki:

Uwaga! Może być konieczne przekierowanie pakietów odpowiedzi z powrotem przez tunel na zdalnej stronie.

Rozwiązywanie problemów

Typowe problemy i rozwiązania:

• Niepoprawny współdzielony klucz: Sprawdź dwukrotnie współdzielony klucz na obu urządzeniach.
• Niepoprawna konfiguracja podsieci: Upewnij się, że w ustawieniach VPN skonfigurowano poprawne podsieci lokalne i zdalne.
• Ustawienia fazy 1 i fazy 2:

Kluczowe ustawienia, które należy sprawdzić, aby były takie same po obu stronach

• Metoda uwierzytelniania: Zazwyczaj używany jest współdzielony klucz.
• Algorytm szyfrowania: Popularne opcje to AES (128/256 bitów), 3DES.
• Algorytm skrótu: Zazwyczaj SHA-256, SHA-512 lub SHA-1.
• Grupa DH (Diffie-Hellman): Zapewnia bezpieczną wymianę kluczy (np. grupa 2, grupa 14).
• Czas życia: 

Więcej szczegółowych instrukcji dotyczących rozwiązywania problemów znajdziesz pod linkiem:

Zyxel Firewall [VPN] - Rozwiązywanie problemów z Site-to-Site VPN [tryb samodzielny]