Viktigt meddelande: |
Den här artikeln visar hur du konfigurerar IKEv2 IPsec VPN med certifikat med SecuExtender på både Windows och MacOS. Den visar hur du konfigurerar VPN på brandväggen (USG FLEX / ATP / VPN-serien i fristående / lokalt läge) samt hur du blir av med TGBErrorCodeMgrNotCreated.description-felet på MacOS.
Obs: För IOS 17 används en nyckelgrupp: DH19 måste användas
Video:
Innehållsförteckning
A) Konfigurera IKEv2 på brandväggen
B) Konfigurera SecuExtender-klienten
C) Konfigurera på MacOS
A) Konfigurera IKEv2 på brandväggen
- Logga in på enheten genom att ange dess IP-adress och autentiseringsuppgifterna för ett administratörskonto (som standard är användarnamnet "admin" och lösenordet "1234")
- Navigera till Konfiguration > Objekt > Adress/Geo IP, klicka på "Lägg till" för att skapa ett objekt av typen "Adresstyp" "Intervall". Namnge det "IKEv2_Pool" och skriv in ett IP-intervall som inte överlappar med dina undernät
.
- Skapa ett annat IP-adressobjekt så att IKEv2-klienterna senare kan få åtkomst till Internet via VPN-tunneln. Välj typen "Intervall", namnge det till exempel "All_Traffic", skriv in "0.0.0.0" för "Start-IP-adressen" och "255.255.255.255" för "Slut-IP-adressen".
- Navigera till Konfiguration > Objekt > Användare/Grupp och klicka på "Lägg till" för att skapa nya användare.
- Klicka på fliken "Grupp" och klicka på "Lägg till" för att skapa en grupp "IKEv2_Users" och lägg till de användare som behövs genom att markera dem och klicka på pilen som pekar åt höger.
- Navigera till Konfiguration > Objekt > Certifikat, klicka på "Lägg till", välj "Värddomännamn", skriv in domännamnet eller DynDNS, bläddra ner till "Utökad nyckelanvändning" och markera de tre kryssrutorna "Serverautentisering", "Klientautentisering" och "IKE Intermediate" och klicka på "OK".
- Dubbelklicka på certifikatet och bläddra nedåt för att använda "Export Certificate Only".
- Navigera till Konfiguration > Nätverk > VPN > IPSec VPN och klicka på "Lägg till", klicka på "Visa avancerade inställningar", markera "Aktivera", välj "IKEv2", välj "Dynamisk adress" under "Peer Gateway-adress", markera "Certifikat" under "Autentisering" och välj det tidigare skapade certifikatet.
- Bläddra ner för att välja önskade förslag under "Fas 1-inställningar", bocka i "Aktivera utökat autentiseringsprotokoll", välj "Serverläge", låt "AAA-metod" vara "standard" och välj din tidigare skapade grupp "IKEv2_Users" för "Tillåtna användare" innan du slutligen klickar på "OK".
- Öppna nu fliken "VPN-anslutning" ovan, klicka på "Lägg till", klicka på "Visa avancerade inställningar", markera "Aktivera", välj "Fjärråtkomst (serverroll)" för "Applikationsscenario", välj din tidigare skapade VPN-gateway för "VPN-gateway", under "Lokal policy" välj det tidigare skapade IP-intervallobjektet "All_Traffic".
- Markera "Enable Configuration Payload", välj objektet "IKEv2_Pool" som din "IP Address Pool" (DNS-servrarna är valfria), välj dina önskade förslag för VPN-anslutningen och klicka slutligen på "OK" för att slutföra konfigurationen av VPN-anslutningen.
- Navigera nu till Konfiguration > Objekt > Nätverk > Routing, klicka på "Lägg till", markera "Aktivera", välj "Tunnel" för "Inkommande", välj den tidigare skapade IPSec-anslutningen för "Välj en medlem", välj "IKEv2_Pool" för "Källadress" och välj slutligen ditt WAN-gränssnitt eller WAN-trunken som "Next Hop" innan du slutligen klickar på "OK".
B) Konfigurera SecuExtender-klienten
- Öppna IPSec-klienten, högerklicka på mappen "IKE V2" på vänster sida för att lägga till en ny "Ikev2Gateway", ange det domännamn som du också angav i certifikatet på USG för "Remote Gateway" och välj matchande förslag under "Cryptography".
- Högerklicka på VPN-gatewayen på vänster sida för att lägga till VPN-anslutningen, välj "Adresstyp" "Subnätadress", skriv in subnätadressen och subnätmasken för det lokala subnätet på USG-sidan, som klienterna ska ha tillgång till och välj de matchande förslagen för VPN-anslutningen.
- Om "Child SA Life Lifetime" inte matchar den som konfigurerats på USG, justera den innan du slutligen öppnar tunneln genom att högerklicka igen på VPN-anslutningen på vänster sida.
C) Kan inte importera .tgb-fil på MacOS
Om du får detta TGB-filfel "TGBErrorCodeMgrNotCreated.description", på din MacOS, är detta relaterat till sekretessinställningar i MacOS. Du måste tillåta SecuExtender att vara betrodd i ditt operativsystem.
Navigera till Inställningar -> Sekretess och säkerhet -> Säkerhet och välj "App Store och identifierade utvecklare". Då ska "SecuExtender VPN Client" visas och du måste trycka på "Tillåt":
Nu kan du importera .tgb-filen framgångsrikt till SecuExtender Client på MacOS för att få din konfiguration.
+++ Du kan köpa licenser för dina Zyxel VPN-klienter (SSL VPN, IPsec) med omedelbar leverans med 1-klick: Zyxel Webstore +++