Zyxel Firewall VPN - Konfigurácia IPSec Site-To-Site VPN na Zyxel Firewall v samostatnom režime

Táto príručka vás prevedie nastavením Site-to-Site (S2S) VPN medzi dvoma firewallmi pomocou IKEv2 IPSec. Pokryjeme manuálnu konfiguráciu aj použitie zabudovaného sprievodcu, ako aj to, ako nakonfigurovať VPN na spracovanie viacerých podsietí v rámci jedného tunela.

Ak hľadáte iné scenáre VPN, tipy a triky, pozrite si nasledujúce články:

Všeobecné:

• Provisioning konfigurácie VPN na USG-Firewall
• Zyxel Firewall [VPN] - Riešenie problémov Site-to-Site VPN [Samostatný režim]

Kancelária chce bezpečne prepojiť so svojím centrálnym sídlom cez internet. Obe kancelárie majú USG / ZyWall / ATP / USG FLEX na prístup k internetu.

Poznámka: Pred začatím konfigurácie VPN sa uistite, že obe lokality nemajú rovnaké podsiete. Konfigurácia VPN medzi lokalitami s rovnakou podsieťou na oboch stranách je technicky možná, ale nie je jednoduchá a môže viesť ku komplikáciám spôsobeným prekrytím IP adries. Ak majú obe lokality rovnakú podsieť, môže to viesť ku konfliktom smerovania, pretože VPN nebude vedieť, na ktorú stranu poslať prevádzku, keď uvidí IP adresu, ktorá existuje na oboch miestach.

Nastavenie VPN pomocou sprievodcu

Najjednoduchšia a najpohodlnejšia metóda na vytvorenie Site-to-Site spojenia je použitie zabudovaného sprievodcu. V prvom príklade tohto článku vás prevedieme týmto procesom. Tiež, ak ste mali problémy s manuálnou konfiguráciou VPN, môžete použiť sprievodcu na nastavenie VPN a porovnať nastavenia na účely riešenia problémov.

Nastavenia centrálneho sídla (sprievodca)

• Prihláste sa do Web GUI firewallu centrálneho sídla a prejdite do sekcie Quick Setup Wizard v ľavom menu.
• Kliknite na "VPN Setup"

Môžete si vybrať medzi Express (VPN s predvolenými hodnotami) alebo Advanced (manuálne nastavenie kryptografie a pod.). Pre ukážku v tomto článku sme zvolili možnosť "Advanced".

• Dôrazne odporúčame používať IKEv2 namiesto IKEv1 pre zlepšenie bezpečnosti, zrýchlenie nadviazania spojenia, stabilitu, podporu mobility a zvýšenie efektivity pri spracovaní zmien v sieti.
• Zadajte zrozumiteľný názov a vyberte Site-to-Site VPN.
• Kliknite na "Next"

Nastavenia fázy 1

• Na ďalšej obrazovke zadajte „Secure Gateway“. Toto je WAN adresa vášho druhého firewallu; v tomto prípade IP adresa pobočky. (Keď začnete konfigurovať druhý firewall, budete musieť vyplniť WAN IP adresu tohto firewallu.)
• Nastavte návrhy fázy 1 podľa želania. Z bezpečnostných dôvodov vyberte silné heslo a návrhy s dobrou šifrou/autentifikáciou, ako napríklad AES256 pre šifrovanie, SHA512 pre autentifikáciu a DH14 pre skupinu kľúčov.

Nastavenia fázy 2

• Uistite sa, že nastavenia fázy 2 sú rovnaké ako nastavenia fázy 1 (napr. AES256, SHA512).
• Lokálna politika a vzdialená politika - Lokálne a vzdialené politiky definujú, ktorý traffic je šifrovaný v site-to-site VPN, čím zabezpečujú bezpečnú, efektívnu a správne smerovanú komunikáciu medzi sieťami.
  
  Poznámka: Najprv si overte, či IP adresa vzdialenej podsiete už neexistuje v lokálnej podsieti, aby ste predišli dvojitej konfigurácii IP adries. Ak je vzdialená podsieť rovnaká ako jedna lokálna podsieť, budete môcť dosiahnuť iba lokálnu sieť.

• Keď sú všetky údaje správne zadané, kliknite na „Next“, skontrolujte všetky nastavenia ešte raz, kliknite na "Save" a pokračujte v konfigurácii druhého firewallu.

Nastavenia pobočky (sprievodca)

Postupujte presne podľa rovnakého postupu pre firewall v druhej kancelárii. Hlavný rozdiel je len v niektorých nastaveniach.

• Gateway IP musí byť zadaná ako WAN IP zariadenia v centrálnej kancelárii
• Lokálna politika a vzdialená politika budú tiež odlišné. Príklad nižšie:
  Centrálna kancelária
  Lokálna politika: 192.168.40.1
  Vzdialená politika: 192.168.70.1
  Pobočka:
  Lokálna politika: 192.168.70.1
  Vzdialená politika: 192.168.40.1

• Ak je všetko správne nakonfigurované a nie sú žiadne problémy s pripojením, ďalšími nastaveniami alebo konfiguráciou, VPN spojenie sa automaticky nadviaže ihneď po uložení nastavení.

Manuálna metóda nastavenia VPN - VPN Gateway - manuálne nastavenia centrálneho sídla

• Prihláste sa do Web GUI firewallu centrálneho sídla

Prejdite na Konfigurácia -> VPN -> VPN Ge -> Pridať

• Zaškrtnite políčko Povoliť
• Zadajte jasný názov
• Vyberte verziu IKE

Dôrazne odporúčame používať IKEv2 namiesto IKEv1 pre zlepšenie bezpečnosti, zrýchlenie nadviazania spojenia, stabilitu, podporu mobility a zvýšenie efektivity pri spracovaní zmien v sieti.

• Moja adresa (rozhranie) - nastavuje vašu WAN IP adresu.
• Adresa peer gateway - Toto je WAN adresa vášho druhého firewallu; v tomto prípade IP adresa pobočky. (Keď začnete konfigurovať druhý firewall, budete musieť vyplniť WAN IP adresu tohto firewallu.)
• Predzdieľaný kľúč - Vytvorte silné heslo (tento kľúč použijete aj na vzdialenom zariadení).
• Nastavenia fázy 1 - Nastavte návrhy fázy 1 podľa želania. Z bezpečnostných dôvodov vyberte silné heslo a návrhy s dobrou šifrou/autentifikáciou, ako napríklad AES256 pre šifrovanie, SHA512 pre autentifikáciu a DH14 pre skupinu kľúčov. 

VPN tunel - manuálne nastavenia centrálneho sídla

Konfigurácia > VPN > IPSec VPN > VPN pripojenie > Pridať

Najprv je potrebné vytvoriť objekt pre „Vzdialenú politiku“ kliknutím na „Vytvoriť nový objekt“ a výberom „IPV4 adresa“.

• Názov - zadajte jasný názov
• Typ adresy - „SUBNET“
• Siet - lokálna sieťová adresa vzdialenej lokality
• Maska siete - maska podsiete vzdialenej lokality
• Potom kliknite na „OK“

Teraz môžeme pokračovať vyplnením ďalších polí.

• Zaškrtnite políčko Povoliť
• Zadajte jasný názov
• Vyberte Site-To-Site VPN
• VPN Gateway - Vyberte VPN Gateway vytvorený v predchádzajúcom kroku
• Lokálna politika a vzdialená politika budú odlišné.
• Nastavenia fázy 2 - Nastavte návrhy fázy 2 podľa želania. Z bezpečnostných dôvodov vyberte silné heslo a návrhy s dobrou šifrou/autentifikáciou, ako napríklad AES256 pre šifrovanie, SHA512 pre autentifikáciu a DH14 pre skupinu kľúčov. 
• Kliknite na "Ok"

Teraz môžeme začať konfigurovať pobočku. Postupujte podľa rovnakých krokov ako pre centrálne sídlo, ale s niektorými zmenami údajov.

VPN Gateway - manuálne nastavenia pobočky

Konfigurácia > VPN > IPSec VPN > VPN Gateway

Opakujte kroky z centrálneho sídla na nastavenie VPN Gateway

• Pri konfigurácii VPN Gateway na firewalle v centrálnej kancelárii ste v poli "Adresa peer gateway statická adresa” zadali WAN IP adresu vašej pobočky. Teraz pri konfigurácii pobočky musíte v poli "Adresa peer gateway statická adresa” zadať WAN IP adresu centrálnej kancelárie.
• Predzdieľaný kľúč - musí byť rovnaký pre obe lokality.

VPN tunel - manuálne nastavenia pobočky

Konfigurácia > VPN > IPSec VPN > VPN pripojenie

Opakujte kroky z centrálneho sídla na nastavenie VPN tunela

• Okrem niekoľkých rozdielov: pri konfigurácii centrálneho sídla ste zadali sieť pobočky do poľa Vzdialená politika. Teraz pri konfigurácii pobočky musíte zadať sieť centrálneho sídla do poľa Vzdialená politika.

Zaškrtnite možnosť "Nailed-Up" na automatické nadviazanie VPN tunela a pripojenie.

Otestujte výsledok

• Prvýkrát pripojte VPN tunel manuálne. Následne by mal automaticky prekontrolovať konektivitu a znovu sa pripojiť.
• Vidíte, že VPN tunel je pripojený, keď je symbol zeme zelený.

Poznámka: Skontrolujte pravidlá firewallu, aby ste sa uistili, že existujú predvolené pravidlá IPSec-to-Device a IPSec-to-Any.
Inak môže byť prevádzka medzi tunelmi zablokovaná.

Obmedzenie - použitie viacerých podsietí

Na Zyxel firewalloch existuje obmedzenie, kde nie je možné vybrať viacero podsietí v jednom VPN tuneli. Lokálna politika (podsiete) a vzdialená politika (podsiete) môžu byť nakonfigurované iba s jednou podsieťou každá.

Konfigurácia -> VPN -> IPSec VPN -> VPN pripojenie -> Politika

Aby ste túto situáciu obchádzali, môžete manuálne nakonfigurovať smerovaciu politiku, ktorá nasmeruje ďalšie podsiete do tunela.

Vytvorte túto smerovaciu politiku:

Poznámka! Môže byť potrebné nasmerovať odpovedajúce pakety späť tunelom na vzdialenej lokalite.

Riešenie problémov

Bežné problémy a riešenia:

• Nesprávny predzdieľaný kľúč: Dvakrát skontrolujte predzdieľaný kľúč na oboch zariadeniach.
• Nesprávna konfigurácia podsiete: Uistite sa, že sú správne nakonfigurované lokálne a vzdialené podsiete v nastaveniach VPN.
• Nastavenia fázy 1 a fázy 2:

Kľúčové nastavenia, ktoré je potrebné skontrolovať, aby boli rovnaké na oboch lokalitách

• Metóda autentifikácie: Zvyčajne sa používa predzdieľaný kľúč.
• Šifrovací algoritmus: Bežné možnosti zahŕňajú AES (128/256 bitov), 3DES.
• Hashovací algoritmus: Typicky SHA-256 alebo SHA-512 alebo SHA-1.
• DH skupina (Diffie-Hellman skupina): Zabezpečuje bezpečnú výmenu kľúčov (napr. skupina 2, skupina 14).
• Životnosť: 

Pre podrobnejšie pokyny na riešenie problémov pozrite si odkaz:

Zyxel Firewall [VPN] - Riešenie problémov Site-to-Site VPN [Samostatný režim]