Serwer VPN – router Vigor

Utwórz DrayDDNS nawet jeśli router posiada stały publiczny IP.
Domena DrayDDNS zostanie użyta do wygenerowania certyfikatu Let’s Encrypt.
Zapoznaj się z przykładem Dynamiczny DNS (DrayDDNS)

Utwórz certyfikat Let’s Encrypt.
Klient IKEv2 EAP weryfikuje certyfikat serwera VPN.
Zapoznaj się z przykładem Certyfikat routera w oparciu o Let’s Encrypt

Przejdź do zakładki System Maintenance >> Time and Date.
Zweryfikuj ustawienia czasu routera.

Przejdź do zakładki Applications >> Dynamic DNS.
Sprawdź czy router ma prawidłowo skonfigurowaną usługę DrayDDNS wraz z certyfikatem Let’s Encrypt.
Przejdź do zakładki VPN and Remote Access >> Remote Access Control.
Włącz obsługę protokołu IPsec.
Wyłącz nieużywane protokoły VPN.
Przejdź do zakładki VPN and Remote Access >> IPsec General Setup.
Wybierz certyfikat DrayDDNS.
Nie wybieraj Medium lub High w IPsec Security Method, gdyż Windows domyślnie używa G2(1024-bit MODP) dla IKEv2.
Przejdź do zakładki VPN and Remote Access >> Remote Dial-in User.
Kliknij dowolny indeks np. 1, aby stworzyć lokalne konto użytkownika VPN.

Wybierz/wypełnij następujące pola:
– Zaznacz Enable.
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu.
– Jako akceptowany protokół zaznacz IPsec (IKEv1/IKEv2) oraz IKEv2 EAP.
– Wpisz nazwę użytkownika w polu Username oraz hasło w polu Password (w omawianym przykładzie użytkownik ‘test’ i hasło ‘test’)
– Zaznacz Digital Signature(X.509)
Oprócz określenia podsieci LAN z której klient otrzyma adresację, możesz przypisać klientowi stały IP np. 192.168.1.100, który będzie dla niego zarezerwowany.
Dzięki temu możesz również w łatwy sposób zastosować Filtrowanie ruchu VPN Host-LAN.
Po zestawieniu połączenia przez klienta VPN przejdź do zakładki VPN and Remote Access >> Connection Management.

Klient VPN – Windows(wbudowane)

Sprawdź Usługi i rejestr Windows dla VPN
Jeśli w ustawieniach routera w VPN and Remote Access >> IPsec General Setup wybrałeś Medium lub High w IPsec Securithy Method to wymuś użycie G14 (2048-bit MODP) w systemie Windows.
Przejdź do HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
Sprawdź (dodaj jeśli nie istnieje) NegotiateDH2048_AES256 (oczekiwana wartość wynosi 2)

Jeśli posiadasz starszą wersję systemu Windows to przejdź do Centrum sieci i udostępniania w Panelu sterowania Windows a następnie wybierz Skonfiguruj nowe połączenie lub nową sieć. Postępuj zgodnie z kreatorem

Przejdź do Ustawienia > Sieć i Internet > VPN.
Wybierz Dodaj połączenie VPN.

Wybierz dostawcę sieci VPN Windows (wbudowane) i wypełnij niezbędne dane.

Wybierz Połącz

W przypadku problemów z ustanowieniem połączenia sprawdź Rozwiązywanie problemów z VPN dla Windows.

Jeśli podczas próby połączenia pojawi się błąd „Poświadczenia uwierzytelnień IKE nie mogą zostać przyjęte”:
1. Sprawdź w VPN and Remote Access >> IPsec General Setup czy wybrałeś właściwy certyfikat oraz w Certificate Management >> Local Certificate czy jest on ważny
2. Upewnij się, że w kliencie VPN wpisałeś nazwę domenową routera (w przykładzie vigor.drayddns.com)
3. Jeśli nie nastąpiła poprawa to w Windows zainstaluj certyfikat ISRG Root X1 w magazynie Zaufane główne urzędy certyfikacji
Plik certyfikatu ISRG Root X1 (isrgrootx1.der) możesz pobrać ze strony Let’s Encrypt
Certyfikat DST Root CA X3 był ważny do 30.09.2021
4. Jeśli nie nastąpiła poprawa to w Windows zainstaluj aktualny certyfikat R3 w magazynie Pośrednie urzędy certyfikacji
Plik certyfikatu R3 podpisanego przez ISRG Root X1 (lets-encrypt-r3.der) możesz pobrać ze strony Let’s Encrypt
Klient wbudowany Windows po zestawieniu połączenia kieruje przez tunel ruch do sieci zdalnej oraz ruch do Internetu.
Zapoznaj się z przykładem Jak w kliencie wbudowanym Windows wyłączyć kierowanie ruchu do Internetu przez tunel.

Szczegóły karty VPN znajdziesz w Połączenia sieciowe w Panelu sterowania.

Klient VPN – Smart VPN Client

Sprawdź Usługi i rejestr Windows dla VPN
Jeśli w ustawieniach routera w VPN and Remote Access >> IPsec General Setup wybrałeś Medium lub High w IPsec Securithy Method to wymuś użycie G14 (2048-bit MODP) w systemie Windows.
Przejdź do HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters
Sprawdź (dodaj jeśli nie istnieje) NegotiateDH2048_AES256 (oczekiwana wartość wynosi 2)

Smart VPN Client w zakresie PPTP, L2TP, L2TP over IPSec, IKEv2 EAP, IPsec stanowi graficzny interfejs mechanizmów wbudowanych w system Windows.

DrayTek Smart VPN Client możesz pobrać m.in. ze strony www.draytek.pl (Wsparcie>>Narzędzia).
Zainstaluj a następnie uruchom oprogramowanie.
Przejdź do zakładki Profile.
Kliknij przycisk Wstaw, aby dodać nowy profil.
Wypełnij informacje dotyczące serwera oraz logowania:
– W polu Nazwa profilu wpisz dowolną nazwę połączenia.
– W polu Typ wybierz IKEv2 EAP
– W polu IP lub nazwa hosta wpisz adres domenowy routera (w przykładzie vigor.drayddns.com) do którego zestawiasz tunel VPN
– W polu Użytkownik wpisz odpowiednią nazwę zgodną ze stworzonym profilem. W omawianym przykładzie użytkownik ‘test’.
– W polu Hasło wpisz odpowiednie hasło zgodne ze stworzonym profilem. W omawianym przykładzie hasło ‘test’.
– Jeśli opcja Użyj domyślnej bramy w sieci zdalnej jest wyłączona to tunel umożliwia tylko dostęp do sieci zdalnej.
Zapoznaj się z przykładem Kierowanie ruchu przez VPN Host-LAN.
– Kliknij przycisk OK, aby kontynuować.
Przejdź do zakładki Połączenie.
Wybierz utworzony profil i kliknij Połącz.

W przypadku problemów z ustanowieniem połączenia sprawdź Rozwiązywanie problemów z VPN dla Windows.

Jeśli podczas próby połączenia pojawi się błąd „Poświadczenia uwierzytelniania IKE są niedopuszczalne”:
1. Sprawdź w VPN and Remote Access >> IPsec General Setup czy wybrałeś właściwy certyfikat oraz w Certificate Management >> Local Certificate czy jest on ważny
2. Upewnij się, że w kliencie VPN wpisałeś nazwę domenową routera (w przykładzie vigor.drayddns.com)
3. Jeśli nie nastąpiła poprawa to w Windows zainstaluj certyfikat ISRG Root X1 w magazynie Zaufane główne urzędy certyfikacji
Plik certyfikatu ISRG Root X1 (isrgrootx1.der) możesz pobrać ze strony Let’s Encrypt
Certyfikat DST Root CA X3 był ważny do 30.09.2021
4. Jeśli nie nastąpiła poprawa to w Windows zainstaluj aktualny certyfikat R3 w magazynie Pośrednie urzędy certyfikacji
Plik certyfikatu R3 podpisanego przez ISRG Root X1 (lets-encrypt-r3.der) możesz pobrać ze strony Let’s Encrypt