Брандмауэр USG FLEX серии H — как настроить VPN с удаленным доступом по протоколу IKEv2 с помощью встроенного VPN-клиента Apple macOS Tahoe 26.2?

В этой статье представлено пошаговое руководство по настройке VPN с удаленным доступом IKEv2 для устройств Apple macOS Sonoma. В связи с настройками шифрования IKEv2 по умолчанию, используемыми клиентами Apple macOS/iOS/iPadOS 26 (AES256GCM, PRF-SHA256 и DH Group 19), шлюз VPN необходимо настроить на поддержку этих параметров, чтобы обеспечить успешное установление удаленного VPN-соединения. После установки файла провижининга на устройстве MAC пользователям предлагается изменить настройки аутентификации пользователя, указав имя пользователя и пароль. Этот шаг обеспечивает безопасный и индивидуальный процесс аутентификации для доступа к VPN-соединению.

Внимание! Эта статья содержит общий обзор серии и может не относиться ко всем моделям, 
версии программного обеспечения/прошивки. Перед покупкой или использованием устройства ознакомьтесь с 
документацию по конкретной модели/версии или обратитесь в службу технической поддержки для получения точной информации.

Примечание: Если вам не удается установить VPN-соединение после обновления до macOS Sonoma, пожалуйста, обратитесь к следующей статье для решения проблемы: Zyxel USG FLEX H Series [VPN] — Устранение неполадок с VPN-соединением после обновления до macOS Sonoma

Обратите внимание: при использовании сертификатов для VPN-соединения IKEv2 Remote ID должен совпадать с общим именем (CN) сертификата удаленного VPN-шлюза. Во время аутентификации клиент проверяет, что Remote ID совпадает с именем в сертификате. Это помогает подтвердить подлинность удаленного устройства и защищает соединение от несанкционированного доступа.

В Zyxel Nebula Remote ID обычно основан на Subject Name сертификата, который содержит CN. В данном примере удаленный идентификатор( Remote ID) — 10.214.48.32, что соответствует общему имени (CN) сертификата (10.214.48.32).

Установка сертификата не требуется при ручной настройке VPN-туннеля.

• Войдите в веб-интерфейс вашего брандмауэра

Go to VPN > IPsec VPN > To set the IKEv2 related information, as shown below:

Scroll down the page until you see "Advanced Settings"

Perfect Forward Secrecy (PFS) — определяет , выполняется ли дополнительный обмен ключами Диффи-Хеллмана во время фазы 2 IPsec. Если включено, для каждого соединения безопасности IPsec генерируется новый независимый ключ. Если отключено, фаза 2 использует ключевые данные, полученные из фазы 1.

Download the "VPN Configuration Script Download" file to your macOS device and install it

• Чтобы настроить профиль в MAC OS

Go to System Preferences > Privacy and Security

• Дважды щелкните по загруженному профилю и установите его

MAC может запросить имя пользователя и пароль администратора для настройки профиля; введите данные и нажмите«ОК»

Go to System Settings > VPN and edit the profile

• Выберите «Имя пользователя» в качестве метода аутентификации и введите имя пользователя и пароль

• Включите VPN-соединения — и все готово

Чтобы проверить успешную настройку и установку VPN-соединения IKEv2 с указанными параметрами, выполните следующие действия:

• Перейдите в графический интерфейс пользователя (GUI) USG Flex H
• Перейдите в раздел «Состояние VPN»
• В разделе «Состояние VPN» перейдите в «IPsec VPN»
• Выберите «VPN удаленного доступа»

Попав в это место, вы должны убедиться, что VPN-соединение IKEv2 было успешно установлено