Пошаговая настройка IPSec между файрволами серии DFL и маршрутиз

Skip to main content [#main-content] О КОМПАНИИ ПРОДУКЦИЯ Каталог Цены Сертификаты FAQ Загрузки Тестируем РЕШЕНИЯ Беспроводные решения Мультисервисные сети Видеонаблюдение VoIP решения ГДЕ КУПИТЬ Реселлеры Интеграторы Network Partners Субдистрибьюторы Дистрибьюторы Авторизация партнеров Регистрация проекта ОБУЧЕНИЕ Бесплатные тренинги Программа обучения D-Link Авторизованные учебные центры Network Installer Курсы on-line КОНТАКТЫ Офисы D-Link Региональные Представители Сервисные центры ТЕХ.ПОДДЕРЖКА Пошаговая настройка IPSec между файрволами серии DFL и маршрутизаторами серии DSR. В качестве исходных данных для построения возьмём следующие данные: 1. «Центральный офис» оборудован файрволом DFL (в примере DFL‐860E, прошивка 2.40.01.08 ). Параметры сети: - Локальная сеть 192.168.9.0/24 , шлюз по умолчанию в сети 192.168.9.1 - IP‐адрес выданный провайдером на WAN‐порт: 192.168.98.3 2. «Филиал» оборудован маршрутизатором DSR (в примере DSR‐500, прошивка 1.06.43WW ): Параметры сети: - Локальная сеть 192.168.15.0/24 , шлюз по умолчанию в сети 192.168.15.1 - IP‐адрес выданный провайдером на WAN‐порт: 192.168.98.2 3. Настраиваться будет туннель стандарта IPSec. Основные параметры туннеля: - Режим передачи\инкапсуляции данных: туннельный - Режим шифрования данных в обоих стадиях IPSec: AES‐128 - Режим аутентификации в обоих стадиях IPSec: SHA1 - Использование ключей DH: используем 5 группу на обеих стадиях. - Метод аутентификации – по ключу. Ключ в примере будет использоваться «qwerty123» . - Время жизни первой стадии IPSec: 28800 сек. - Время жизни второй стадии IPSec: 3600 сек. Настройка туннеля со стороны DFL. 1. Создаём объект ключа аутентификации в разделе «Objects=> Authentication Objects» : 2. Создаём объект, описывающий методы аутентификации для первой стадии IPSec в разделе «Objects=>VPN Objects=>IKE Algorithms» : 3. Создаём объект, описывающий методы аутентификации для второй стадии IPSec в разделе «Objects=>VPN Objects=>IPsec Algorithms» : 4. Создаём объекты, ip-адресов и сетей, а так же адрес удалённого шлюза (в нашем случае это будет 192.168.98.2 ). Для удобства последующего администрирования создаём сначала отдельный каталог для этих объектов, а уже в нём будет созданы все объекты. Всё эти каталоги и объекты создаются в разделе «Objects=> Address Book» Объект «lan_net» создавать нет необходимости, т.к. он уже создан для Lan интерфейса. Если пробрасываться в IPSec туннель будет не вся сеть, а только часть, то создаём тут же ещё 1 объект, который будет описывать локальный сегмент. 5. Создаём интерфейс IPSec в разделе «Interfaces=>IPsec» . Заполняем на первой закладке «General» поля ранее созданными объектами. Теоретически часть данных можно было вписать в поля руками, не создавая объектов. В основном это касается адресов. Однако, если Вам придётся что-то менять, Вам придётся менять данные в ручную везде. В случае использования объектов, Вы можете просто поменять необходимые значения в объектах. В закладе «Authentication» выбираем метод аутентификации по ключу и в выпадающем списке выбираем ранее созданный объект. В закладке IKE Setting выбираем режим работы DH group 5 для IKE, разрешаем использование PFS и так же выбираем DH group 5. Разрешаем использование «Dead Peer Detection» (обнаружение зависших туннелей). Остальные параметры оставляем по умолчанию. 6. Т.к. по умолчанию DFL блокирует всё, что не разрешено - создаём правила, которые разрешат трафик между сегментами. Обращаем Ваше внимание, что правила должны быть расположены в правильном порядке с Вашими правилами. Настройка туннеля со стороны DSR. 1. Настройка IPSec в маршрутизаторах серии DSR расположена в разделе «Setup» , в подразделе «VPN Settings=>IPsec=>IPsec Policies» Добавляем новую политику IPSec: 2. В открывшемся окне в разделе General: Поле «Policy Name» - заполняем имя, которое нам будет удобнов. В примере: «TEST_IPSec» Поля «IKE Version» - в нашем случае используется IPv4, соответственный параметр должен быть выбран. Так же для связи с DFL должен быть выбран «IKEv1» . Поле «IPsec Mode» - выбираем режим «Tunnel Mode» Поле «Select Local Gateway» - выбираем интерфейс, который будет исходящий для нашего соединения. Если Вы используете WAN1, то должен быть выбран «Dedicated WAN». Поле «Remote Endpoint» - указываете удалённый шлюз. В данном случае это будет адрес DFL: 192.168.98.3 Поле «Protocol» - выбираем ESP (шифрование данных) В полях «Local Start IP Address» и «Local Subnet Mask» - заполняем локальные данные для этой точки. В нашем случае это 192.168.15.0 и 255.255.255.0 соответственно. В полях «Remote Start IP Address» и «Remote Subnet Mask» - заполняем данные для удалённой сети. В нашем случае это 192.168.10.0 и 255.255.255.0 соответственно. 3. Раздел «Phase1(IKE SA Parameters)» . Поле «Exchange Mode» - выбираете тип «Main» . Поле «Direction / Type» - выбираете «Both» . Поле «Nat Traversal» - устанавливаем «On» , если Ваш маршрутизатор DSR находится за NAT, иначе устанавливаем «Off» . Поле «Encryption Algorithm» - алгоритм шифрования в первой стадии IPSec. В нашем примере – AES-128. Поле «Authentication Algorithm» - алгоритм аутентификации. Выбираем – «SHA-1» . Поле «Authentication Method» - устанавливаем в «Pre-shared key» и заполняем поле «Pre-shared key» значением из нашего примера «qwerty123» . Поле «Diffie-Hellman (DH) Group» - в соответствии с нашим примером выбираем «Group 5» . Поле «SA-Lifetime (sec)» - устанавливаем значение время жизни первой стадии – 28800 сек. Поле «Enable Dead Peer Detection» - устанавливаем «птичку» , т.е. разрешаем использование. 4. Раздел «Phase2-(Auto Policy Parameters)» . Поле «SA Lifetime» - устанавливаем время равное 3600 sec. Поле «Encryption Algorithm» - алгоритм шифрования второй стадии IPSec – AES-128. Поле «Authentication Algorithm» - алгоритм аутентификации. Выбираем – «SHA-1» . Поле «PFS Key Group» - устанавливаем «птичку» , выбираем «Group 5» . 5. Сохраняем соединение Настройка закончена. Можно проверить соединение. Обратите внимание, что все параметры безопасности с обеих сторон должны быть одинаковы. Иначе соединение не будет устанавливаться. Так же обращаем Ваше внимание на версии прошивок с маркировкой RU для устройств серии DFL и DSR. В этих прошивках сильно урезан функционал по шифрованию (список доступных алгоритмов шифрования). Поэтому рекомендуется использовать прошивки с маркировкой WW. Русский Українська