IKEv2 VPN z kluczem wstępnym na urządzeniach mobilnych (zamiast L2TP)

W tym artykule pokażemy, jak połączyć telefony komórkowe (Android i iPhone (iOS)) za pomocą IKEv2 PSK (klucz wstępny) zamiast L2TP. Ponieważ w systemie Android 12 i nowszych, obsługa L2TP nie jest już dostępna. W tym artykule przyjrzymy się również, jak skonfigurować IKEv2 PSK dla użytkowników iOS.

Najpierw musimy skonfigurować tunel na naszym firewallu; w tym przypadku firewall to ATP200 z fw 5.31.

Firewall: Konfiguracja bramy VPN (Faza 1)

1. Zaloguj się do urządzenia za pomocą GUI
2. Przejdź do "Configuration > VPN > IPSec VPN > VPN Gateway".

1. Kliknij na "Add"
2. Kliknij "Włącz"
3. Nadaj jej nazwę
4. Wybierz IKEv2
5. Wybierz interfejs WAN
6. Ustaw adres bramy równorzędnej na "Dynamiczny".
7. Ustaw klucz wstępny "PSK".

W "Ustawieniach fazy 1" musimy zmienić ustawienia zaawansowane

1. Dodaj szyfrowanie i uwierzytelnianie zgodnie z poniższym obrazkiem
2. Dodaj grupę kluczy zgodnie z poniższym obrazkiem
3. Wyłącz uwierzytelnianie dwuskładnikowe.
4. Kliknij "OK"

Uwaga: Dla IOS 17 używana jest grupa kluczy: DH19 musi być użyta

Firewall: Konfiguracja połączenia VPN (Faza 2)

Przejdź do zakładki "Połączenie VPN" i kliknij "Dodaj".

1. Kliknij "Dodaj"
2. Kliknij "Włącz"
3. Nadaj mu nazwę
4. Wybierz "Dostęp zdalny (rola serwera)".
5. Wybierz bramę, którą utworzyliśmy w poprzednim kroku.
6. Wybierz "Local Policy", czyli podsieć, z którą chcesz się połączyć za pomocą VPN.

Enable Configuration Payload - Ta sekcja jest obowiązkowa dla systemu iOS. W przypadku korzystania z Androida jest to opcjonalne.

W "Ustawieniach fazy 2" musimy zmienić ustawienia zaawansowane

1. Dodaj szyfrowanie i uwierzytelnianie zgodnie z poniższym obrazkiem
2. Dodaj grupę kluczy zgodnie z poniższym obrazkiem
3. Kliknąć "OK"

Uwaga! Możesz także użyć DH2 i DH14 zarówno w ustawieniach "Phase 1", jak i "Phase 2", jeśli inne urządzenia (takie jak stare telefony z Androidem) nie mogą się połączyć.

Urządzenie mobilne: Konfiguracja w systemie Android

1. Ustawienia
2. Wejdź do VPN i przejdź do ustawień VPN
3. Dodaj nowe połączenie VPN
4. Wpisz nazwę
5. Wybierz IKEv2/IPSec PSK
6. Wprowadź adres IP lub FQDN z interfejsu WAN zapory sieciowej.
7. Wprowadź identyfikator IPSec (jeśli nic nie zmieniłeś w Firewall, pozostaw 0.0.0.0)
8. Wprowadź klucz wstępny (taki sam, jak wprowadzony w zaporze).
9. Kliknij "Zapisz"
10. Wybierz nowo utworzoną sieć VPN i kliknij "Połącz".

W niektórych wersjach VPN w ustawieniach zaawansowanych dostępne jest pole "Serwer DNS". Możesz pozostawić to pole puste, jeśli nie zmieniłeś niczego w zaporze w polu "Zawartość", jak na poniższym rysunku. W przeciwnym razie należy określić tę samą wartość w polu "DNS Server", co w polu "Content".

W przypadku udanego połączenia status VPN na telefonie komórkowym będzie brzmiał "Połączony".

Telefon komórkowy: Konfiguracja na iOS

Uwagi: Od czasu wydania iOS 18 użytkownicy zgłaszali problemy z łączeniem się ze zdalnymi sieciami VPN skonfigurowanymi za pomocą plików .mobileconfig. Połączenie VPN nie jest nawiązywane, co wymaga ręcznego utworzenia profilu jako alternatywy.

Obejście:

Edycja pliku .mobileconfig:
Otwórz plik .mobileconfig za pomocą edytora tekstu, takiego jak Notatnik.

Zlokalizuj następujące linie:

Zmodyfikuj linie, aby zawierały określony identyfikator:

Zapisz zmiany i zainstaluj zaktualizowany plik .mobileconfig na urządzeniu z systemem iOS.

1. Ustawienia
2. Wejdź do VPN i przejdź do ustawień VPN
3. Dodaj nowe połączenie VPN
4. Wybierz IKEv2
5. Wpisz nazwę
6. Wprowadź adres IP lub FQDN z interfejsu WAN zapory sieciowej.
7. Wprowadź Remote ID (jeśli nic nie zmieniłeś w Firewall, pozostaw 0.0.0.0)
8. Wybierz Uwierzytelnianie użytkownika "Brak"
9. Wyłącz "Certyfikację użytkownika"
10. Wprowadź klucz współdzielony (taki sam, jak wprowadzony w zaporze).
11. Kliknij "Gotowe"
12. Wybierz nowo utworzoną sieć VPN i kliknij "Połącz".

Status połączenia można sprawdzić w ustawieniach firewalla (w Konfiguracja -> VPN -> IPSec VPN, jeśli połączenie jest nawiązane, pojawi się zielony symbol).

Łączność można również sprawdzić w Monitor -> Logi.