Zyxel Firewall VPN - Configurare VPN IPSec Site-To-Site pe Zyxel Firewall în modul Stand-alone

Acest ghid vă va conduce prin configurarea unei VPN Site-to-Site (S2S) între două firewall-uri folosind IKEv2 IPSec. Vom acoperi atât configurarea manuală, cât și utilizarea unui wizard încorporat, precum și modul de configurare a VPN-ului pentru a gestiona mai multe subrețele în același tunel.

În cazul în care căutați alte scenarii VPN, sfaturi și trucuri, consultați următoarele articole:

General:

• Provisionarea Configurării VPN pe un USG-Firewall
• Zyxel Firewall [VPN] - Depanare VPN Site-to-Site [mod Stand-alone]

Un birou dorește să se conecteze în siguranță la sediul central prin Internet. Ambele birouri au un USG / ZyWall / ATP / USG FLEX pentru accesul la internet.

Notă: Înainte de a începe configurarea VPN-ului, asigurați-vă că ambele locații nu au aceleași subrețele. Configurarea unei VPN între site-uri cu aceeași subrețea pe ambele părți este tehnic posibilă, dar nu este ușoară și poate duce la complicații din cauza suprapunerii adreselor IP. Când ambele site-uri au aceeași subrețea, acest lucru poate duce la conflicte de rutare deoarece VPN-ul nu va ști către ce parte să trimită traficul când vede o adresă IP care există în ambele locații.

Configurare VPN prin Metoda Wizard

Cea mai simplă și convenabilă metodă de a stabili o conexiune Site-to-Site este folosind wizard-ul încorporat. În primul exemplu al acestui articol, vă vom ghida prin proces. De asemenea, dacă ați întâmpinat probleme în configurarea manuală a unei VPN, puteți folosi wizard-ul pentru a configura VPN-ul și să comparați setările în scopuri de depanare.

Setările Site-ului HQ (Wizard)

• Conectați-vă la interfața web a firewall-ului de la sediul central și accesați secțiunea Quick Setup Wizard din meniul din stânga.
• Faceți clic pe „VPN Setup”

Puteți alege între Express (VPN cu valori implicite) sau Advanced (setări manuale ale criptografiei etc.). Pentru exemplul din acest articol, am ales opțiunea „Advanced”.

• Recomandăm cu tărie utilizarea IKEv2 în loc de IKEv1 pentru a îmbunătăți securitatea, a accelera stabilirea conexiunii, a crește stabilitatea, a susține mobilitatea și a spori eficiența în gestionarea schimbărilor de rețea.
• Atribuiți un nume clar și alegeți Site-to-Site VPN.
• Faceți clic pe „Next”

Setările Fazei 1

• La pasul următor, introduceți „Secure Gateway”. Aceasta este adresa WAN a celui de-al doilea firewall; în acest caz, este adresa IP a site-ului Branch. (Când începeți configurarea celui de-al doilea firewall, va trebui să completați adresa IP WAN a acestui firewall.)
• Configurați propunerile pentru Faza 1 după dorință. Din motive de securitate, alegeți o parolă puternică și propuneri cu criptare/autentificare bune, cum ar fi AES256 pentru criptare, SHA512 pentru autentificare și DH14 pentru grupul de chei.

Setările Fazei 2

• Asigurați-vă că setările fazei 2 sunt aceleași cu cele ale fazei 1 (de ex. AES256, SHA512).
• Politica Locală și Politica Remote - Politicile locale și remote definesc ce trafic este criptat într-o VPN site-to-site, asigurând o comunicare sigură, eficientă și corect rutată între rețele.
  
  Notă: Vă rugăm să verificați mai întâi dacă adresa IP a subrețelei remote nu există deja în subrețeaua locală pentru a evita configurarea dublă a adresei IP. Când subrețeaua remote este similară cu una locală, veți putea accesa doar rețeaua locală.

• După ce toate datele au fost introduse corect, faceți clic pe „Next”, verificați din nou toate setările, apoi faceți clic pe „Save” și continuați configurarea celui de-al doilea firewall.

Setările Site-ului Branch (Wizard)

Trebuie să urmați exact aceeași procedură pentru firewall-ul din al doilea birou. Diferența principală este doar în unele setări.

• IP Gateway trebuie specificat ca adresa WAN a dispozitivului din site-ul HQ
• Politica Locală și Politica Remote vor fi, de asemenea, diferite. Exemplu mai jos:
  Site HQ
  Politica Locală: 192.168.40.1
  Politica Remote: 192.168.70.1
  Site Branch:
  Politica Locală: 192.168.70.1
  Politica Remote: 192.168.40.1

• Dacă totul a fost configurat corect și nu există probleme cu conexiunea, setările sau construcția, o conexiune VPN va fi stabilită automat imediat după salvarea setărilor.

Metoda Manuală de Configurare VPN - VPN Gateway - Setările Manuale ale Site-ului HQ

• Conectați-vă la interfața web a firewall-ului de la sediul central

Accesați Configuration -> VPN -> VPN Ge -> Add

• Bifați caseta Enable
• Atribuiți un nume clar
• Selectați versiunea IKE

Recomandăm cu tărie utilizarea IKEv2 în loc de IKEv1 pentru a îmbunătăți securitatea, a accelera stabilirea conexiunii, a crește stabilitatea, a susține mobilitatea și a spori eficiența în gestionarea schimbărilor de rețea.

• My Address (Interfață) - setează adresa IP WAN a dvs.
• Peer Gateway Address - Aceasta este adresa WAN a celui de-al doilea firewall; în acest caz, este adresa IP a site-ului Branch. (Când începeți configurarea celui de-al doilea firewall, va trebui să completați adresa IP WAN a acestui firewall.)
• Pre-Shared Key - Creați o parolă puternică (această cheie va fi folosită și pe dispozitivul remote).
• Setările Fazei 1 - Configurați propunerile pentru Faza 1 după dorință. Din motive de securitate, alegeți o parolă puternică și propuneri cu criptare/autentificare bune, cum ar fi AES256 pentru criptare, SHA512 pentru autentificare și DH14 pentru grupul de chei. 

Tunel VPN - Setările Manuale Site-ului HQ

Configuration > VPN > IPSec VPN > VPN Connection > Add

Primul lucru pe care trebuie să îl faceți este să creați un Obiect pentru „Politica Remote” făcând clic pe „Create New Object” și selectând „IPV4 Address.”

• Nume - introduceți un nume clar
• Tip Adresă - „SUBNET”
• Rețea - adresa rețelei locale a site-ului remote
• Masca de rețea - masca subrețelei site-ului remote
• Apoi faceți clic pe „OK”

Acum, putem continua să completăm celelalte câmpuri.

• Bifați caseta Enable
• Atribuiți un nume clar
• Selectați Site-To-Site VPN
• VPN Gateway - Selectați VPN Gateway-ul creat în pasul anterior
• Politica Locală și Politica Remote vor fi diferite.
• Setările Fazei 2 - Configurați propunerile pentru Faza 2 după dorință. Din motive de securitate, alegeți o parolă puternică și propuneri cu criptare/autentificare bune, cum ar fi AES256 pentru criptare, SHA512 pentru autentificare și DH14 pentru grupul de chei. 
• Faceți clic pe „Ok”

Acum, putem începe configurarea site-ului Branch. Pentru aceasta, urmați aceiași pași ca pentru site-ul HQ, dar cu unele modificări de date.

VPN Gateway - Setările Manuale Site-ului Branch

Configuration > VPN > IPSec VPN > VPN Gateway

Repetați pașii de la HQ pentru a configura VPN Gateway-ul

• Când ați configurat VPN Gateway pe firewall-ul din site-ul HQ, ați specificat adresa WAN a site-ului Branch în câmpul „Peer Gateway Address Static Address”. Acum, când configurați site-ul Branch, trebuie să specificați adresa WAN a site-ului HQ în câmpul „Peer Gateway Address Static Address”.
• Pre-Shared Key - trebuie să fie aceeași pentru ambele site-uri.

Tunel VPN - Setările Manuale Site-ului Branch

Configuration > VPN > IPSec VPN > VPN Connection

Repetați pașii de la HQ pentru a configura Tunelul VPN

• Cu excepția câtorva diferențe, când ați configurat site-ul HQ, ați specificat rețeaua de la site-ul Branch în Politica Remote. Acum, când configurați site-ul Branch, trebuie să specificați rețeaua de la site-ul HQ în câmpul Politica Remote.

Bifați opțiunea „Nailed-Up” pentru a stabili tunelul VPN și a vă conecta automat.

Testați rezultatul

• Conectați tunelul VPN manual prima dată. Ulterior, acesta ar trebui să verifice conectivitatea și să se reconecteze automat.
• Puteți vedea că tunelul VPN este conectat când simbolul globului este verde

Notă: Vă rugăm să verificați regulile firewall-ului pentru a vă asigura că regulile implicite IPSec-to-Device și IPSec-to-Any există.
Altfel, traficul între tuneluri poate fi blocat.

Limitare - Utilizarea mai multor subrețele

Pe firewall-urile Zyxel există o limitare conform căreia nu puteți selecta mai multe subrețele într-un tunel VPN. Politica locală (subrețea) și politica remote (subrețea) pot fi configurate fiecare doar cu o singură subrețea.

Configure -> VPN -> IPSec VPN -> VPN Connection -> Policy

Pentru a ocoli această problemă, puteți configura o rută de politică pentru a direcționa manual alte subrețele în tunel.

Creați această rută de politică:

Notă! Este posibil să fie necesar să rulați pachetele de răspuns înapoi prin tunel pe site-ul remote.

Depanare

Probleme comune și soluții:

• Cheie pre-partajată incorectă: Verificați dublu cheia pre-partajată pe ambele dispozitive.
• Configurare subrețea incorectă: Asigurați-vă că subrețelele locale și remote corecte sunt configurate în setările VPN.
• Setările Fazelor 1 și 2:

Setări cheie care trebuie verificate pentru a fi identice pe ambele site-uri

• Metoda de autentificare: De obicei, se folosește o cheie pre-partajată.
• Algoritmul de criptare: Opțiuni comune includ AES (128/256 biți), 3DES.
• Algoritmul hash: De obicei SHA-256 sau SHA-512 sau SHA-1.
• Grupul DH (Diffie-Hellman): Asigură schimbul securizat de chei (de ex., Grupul 2, Grupul 14).
• Durata de viață: 

Pentru instrucțiuni mai detaliate despre depanare, consultați linkul:

Zyxel Firewall [VPN] - Depanare VPN Site-to-Site [mod Stand-alone]