Zyxel Güvenlik Duvarı VPN - Zyxel Güvenlik Duvarında IPSec Site-To-Site VPN Kurulumu Bağımsız Mod

Bu rehber, IKEv2 IPSec kullanarak iki güvenlik duvarı arasında Site-to-Site (S2S) VPN kurulumu yapmanızı adım adım gösterecektir. Hem manuel yapılandırma hem de yerleşik sihirbazın kullanımı ele alınacak ve aynı tünel içinde birden fazla alt ağın VPN ile nasıl yapılandırılacağı açıklanacaktır.

Başka VPN Senaryoları, İpuçları ve Püf Noktaları arıyorsanız, aşağıdaki makalelere göz atabilirsiniz:

Genel:

• USG-Güvenlik Duvarında VPN Yapılandırma Sağlama
• Zyxel Güvenlik Duvarı [VPN] - Site-to-Site VPN Sorun Giderme [Bağımsız mod]

Bir ofis, genel merkeze İnternet üzerinden güvenli bir bağlantı kurmak istiyor. Her iki ofiste de internete erişmek için USG / ZyWall / ATP / USG FLEX bulunuyor.

Not: VPN yapılandırmasına başlamadan önce, her iki sitede aynı alt ağların bulunmadığından emin olun. Her iki tarafta aynı alt ağa sahip siteler arasında VPN yapılandırmak teknik olarak mümkündür ancak kolay değildir ve IP adreslerinin çakışması nedeniyle komplikasyonlara yol açabilir. Her iki sitede aynı alt ağ varsa, VPN hangi tarafa trafik göndereceğini bilemeyeceği için yönlendirme çatışmaları yaşanabilir.

Sihirbaz Yöntemi ile VPN Kurulumu

Site-to-Site bağlantısı kurmanın en basit ve kullanışlı yöntemi yerleşik sihirbazı kullanmaktır. Bu makalenin ilk örneğinde size bu süreci adım adım göstereceğiz. Ayrıca, manuel olarak VPN yapılandırırken sorun yaşadıysanız, VPN’i sihirbaz ile kurup ayarları karşılaştırarak sorun giderme yapabilirsiniz.

Merkez Ofis Ayarları (Sihirbaz)

• Merkez ofis güvenlik duvarınızın Web GUI’sine giriş yapın ve sol menüdeki Hızlı Kurulum Sihirbazı bölümüne gidin.
• "VPN Kurulumu" seçeneğine tıklayın

Varsayılan Değerlerle VPN için Express veya kriptografi vb. elle ayarlamak için Gelişmiş seçenekleri arasından seçim yapabilirsiniz. Bu makalede örnek olması açısından "Gelişmiş" seçeneğini seçtik.

• Güvenliği artırmak, bağlantı kurulma hızını artırmak, kararlılığı sağlamak, mobiliteyi desteklemek ve ağ değişikliklerini daha verimli yönetmek için IKEv1 yerine IKEv2 kullanmanızı şiddetle tavsiye ederiz.
• Anlaşılır bir isim verin ve Site-to-Site VPN’i seçin.
• "İleri"ye tıklayın

1. Aşama Ayarları

• Sonraki adımda, “Güvenli Ağ Geçidi” girin. Bu, ikinci güvenlik duvarınızın WAN adresidir; bu örnekte Şube ofis IP adresidir. (İkinci güvenlik duvarını yapılandırmaya başladığınızda, bu güvenlik duvarının WAN IP adresini doldurmanız gerekecektir.)
• 1. Aşama tekliflerini istediğiniz gibi ayarlayın. Güvenlik nedenleriyle, şifreleme için AES256, kimlik doğrulama için SHA512 ve anahtar grubu için DH14 gibi güçlü şifreler ve teklifler seçin.

2. Aşama Ayarları

• 2. Aşama ayarlarının 1. aşama ayarları ile aynı olduğundan emin olun. (örneğin AES256, SHA512)
• Yerel Politika ve Uzaktaki Politika - Yerel ve uzak politikalar, site-to-site VPN'de hangi trafiğin şifreleneceğini tanımlar, böylece ağlar arasında güvenli, verimli ve doğru yönlendirilmiş iletişim sağlanır.
  
  Not: Çift IP adresi yapılandırmasını önlemek için uzak alt ağın IP adresinin yerel alt ağda zaten bulunmadığını kontrol edin. Uzak alt ağ yerel alt ağlardan biriyle aynıysa, yalnızca yerel ağa erişebilirsiniz.

• Tüm veriler doğru girildikten sonra “İleri”ye tıklayın, tüm ayarları tekrar kontrol edin, "Kaydet"e tıklayın ve ikinci güvenlik duvarını yapılandırmaya devam edin.

Şube Ofis Ayarları (Sihirbaz)

İkinci ofisteki güvenlik duvarı için aynı prosedürü tam olarak uygulamanız gerekir. Ana fark yalnızca bazı ayarlardadır.

• Ağ Geçidi IP, Merkez Ofis cihazının WAN IP adresi olarak belirtilmelidir.
• Yerel Politika ve Uzaktaki Politika de farklı olacaktır. Aşağıdaki örnek:
  Merkez Ofis
  Yerel Politika: 192.168.40.1
  Uzak Politika: 192.168.70.1
  Şube Ofis:
  Yerel Politika: 192.168.70.1
  Uzak Politika: 192.168.40.1

• Eğer her şey doğru yapılandırıldıysa ve bağlantı, diğer ayarlar veya yapı ile ilgili sorun yoksa, ayarları kaydettikten hemen sonra VPN bağlantısı otomatik olarak kurulacaktır.

Manuel Yöntemle VPN Kurulumu - VPN Ağ Geçidi - Merkez Ofis Ayarları Manuel

• Merkez Ofis Güvenlik Duvarınızın Web GUI’sine giriş yapın

Yapılandırma -> VPN -> VPN Ağ Geçidi -> Ekle

• Etkinleştir kutusunu işaretleyin
• Anlaşılır bir isim verin
• IKE Sürümünü seçin

Güvenliği artırmak, bağlantı kurulma hızını artırmak, kararlılığı sağlamak, mobiliteyi desteklemek ve ağ değişikliklerini daha verimli yönetmek için IKEv1 yerine IKEv2 kullanmanızı şiddetle tavsiye ederiz.

• Benim Adresim (Arayüz) - WAN IP adresinizi ayarlar.
• Eş Ağ Geçidi Adresi - Bu, ikinci güvenlik duvarınızın WAN adresidir; bu örnekte Şube ofis IP adresidir. (İkinci güvenlik duvarını yapılandırmaya başladığınızda, bu güvenlik duvarının WAN IP adresini doldurmanız gerekecektir.)
• Ön Paylaşımlı Anahtar - Güçlü bir şifre oluşturun (bu anahtarı uzak cihazda da kullanacaksınız).
• 1. Aşama Ayarları - İstediğiniz gibi 1. aşama tekliflerini ayarlayın. Güvenlik nedenleriyle, şifreleme için AES256, kimlik doğrulama için SHA512 ve anahtar grubu için DH14 gibi güçlü şifreler ve teklifler seçin. 

VPN Tüneli - Merkez Ofis Ayarları Manuel

Yapılandırma > VPN > IPSec VPN > VPN Bağlantısı > Ekle

Öncelikle “Uzak Politika” için “Yeni Nesne Oluştur”a tıklayarak ve “IPV4 Adresi” seçerek bir Nesne oluşturmanız gerekir.

• İsim - anlaşılır bir isim girin
• Adres Türü - “ALT AĞ”
• Ağ - uzak sitenin yerel ağ adresi
• Ağ Maskesi - uzak sitenin alt ağ maskesi
• Sonra “Tamam”a tıklayın

Şimdi diğer alanları doldurmaya devam edebiliriz.

• Etkinleştir kutusunu işaretleyin
• Anlaşılır bir isim verin
• Site-to-Site VPN’i seçin
• VPN Ağ Geçidi - Önceki adımda oluşturulan VPN Ağ Geçidini seçin
• Yerel Politika ve Uzak Politika farklı olacaktır.
• 2. Aşama Ayarları - İstediğiniz gibi 2. aşama tekliflerini ayarlayın. Güvenlik nedenleriyle, şifreleme için AES256, kimlik doğrulama için SHA512 ve anahtar grubu için DH14 gibi güçlü şifreler ve teklifler seçin. 
• "Tamam" a tıklayın

Şimdi Şube ofisini yapılandırmaya başlayabiliriz. Bunu yapmak için Merkez Ofis için yaptığınız adımları takip edin ancak bazı veri değişiklikleri yapın.

VPN Ağ Geçidi - Şube Ofis Ayarları Manuel

Yapılandırma > VPN > IPSec VPN > VPN Ağ Geçidi

VPN Ağ Geçidini yapılandırmak için Merkez Ofis adımlarını tekrarlayın

• Merkez Ofis’te VPN Ağ Geçidini yapılandırırken, "Eş Ağ Geçidi Adresi Statik Adres” alanına Şube ofisinizin WAN IP adresini girdiniz. Şimdi Şube ofis yapılandırılırken, "Eş Ağ Geçidi Adresi Statik Adres” alanına Merkez Ofis’in WAN IP adresini girmeniz gerekir.
• Ön Paylaşımlı Anahtar - her iki site için aynı olmalıdır.

VPN Tüneli - Şube Ofis Ayarları Manuel

Yapılandırma > VPN > IPSec VPN > VPN Bağlantısı

VPN Tünelini yapılandırmak için Merkez Ofis adımlarını tekrarlayın

• Bazı farklılıklar dışında, Merkez Ofis yapılandırılırken Uzak Politika alanında Şube ofisin ağı belirtilmişti. Şimdi Şube ofis yapılandırılırken Uzak Politika alanına Merkez Ofis’in ağı girilmelidir.

VPN tünelini otomatik olarak kurmak ve bağlanmak için "Sürekli Bağlı" seçeneğini işaretleyin.

Sonucu Test Etme

• İlk kez VPN tünelini manuel olarak bağlayın. Daha sonra bağlantı otomatik olarak yeniden taranacak ve yeniden bağlanacaktır.
• VPN Tünelinin bağlı olduğunu, dünya sembolünün yeşil olmasıyla görebilirsiniz.

Not: Lütfen varsayılan IPSec-to-Device ve IPSec-to-Any kurallarının firewall kurallarınızda var olduğundan emin olun.
Aksi takdirde, tüneller arasındaki trafik engellenebilir.

Sınırlama - Birden Fazla Alt Ağ Kullanımı

Zyxel güvenlik duvarlarında, bir VPN tünelinde birden fazla alt ağ seçme sınırı vardır. Yerel politika (alt ağ) ve uzak politika (alt ağ) sadece birer alt ağ olarak yapılandırılabilir.

Yapılandırma -> VPN -> IPSec VPN -> VPN Bağlantısı -> Politika

Bu sorunu aşmak için, başka alt ağları tünel içine manuel olarak yönlendirmek için politika rotası yapılandırabilirsiniz.

Bu politika rotasını oluşturun:

Not! Uzak sitede yanıt paketlerinin tünel üzerinden geri yönlendirilmesi gerekebilir.

Sorun Giderme

Yaygın Sorunlar ve Çözümleri:

• Yanlış Ön Paylaşımlı Anahtar: Her iki cihazdaki ön paylaşımlı anahtarı tekrar kontrol edin.
• Yanlış Alt Ağ Yapılandırması: VPN ayarlarında doğru yerel ve uzak alt ağların yapılandırıldığından emin olun.
• 1. Aşama ve 2. Aşama Ayarları:

Her iki sitede de aynı olduğundan emin olunması gereken temel ayarlar

• Kimlik Doğrulama Yöntemi: Genellikle ön paylaşımlı anahtar kullanılır.
• Şifreleme Algoritması: Yaygın seçenekler AES (128/256 bit), 3DES’dir.
• Özet Algoritması: Genellikle SHA-256, SHA-512 veya SHA-1’dir.
• DH Grubu (Diffie-Hellman Grubu): Güvenli anahtar değişimini sağlar (örneğin Grup 2, Grup 14).
• Ömür Süresi: 

Daha ayrıntılı sorun giderme talimatları için bağlantıya bakınız:

Zyxel Güvenlik Duvarı [VPN] - Site-to-Site VPN Sorun Giderme [Bağımsız mod]