[DrayOS5] VPN Host-to-LAN IPsec IKEv2 EAP z certyfikatem Let’s Encrypt

Instrukcja konfiguracji routera DrayTek z systemem DrayOS 5 w roli serwera VPN (respondera) z publicznym certyfikatem Let’s Encrypt dla połączeń IPsec IKEv2 EAP-MSCHAPv2 Host-to-LAN (Remote Access).

Routery DrayTek z systemem DrayOS 5 to m.in. seria Vigor C410, C510, 2136

Spis treści:
Serwer VPN – router Vigor
Klient VPN – Windows
Klient VPN – macOS
Klient VPN – Android

Główne założenia przykładu:
– typ tunelu VPN: Host-to-LAN (Remote Access)
– protokół VPN: IPsec IKEv2 EAP-MSCHAPv2
– autentykacja: nazwa użytkownika i hasło
– Vigor router wykorzystuje certyfikat Let’s Encrypt
– adres WAN serwera VPN: domenowy – vigor.drayddns.com
– adres klienta VPN: zmienny lub stały (IP – 2.2.2.2)

Połączenie IPsec IKEv2 EAP-MSCHAPv2 weryfikuje certyfikat serwera VPN.

Serwer VPN – router Vigor

Przejdź do zakładki System Maintenance / Device Settings / Time.
Zweryfikuj aktualny czas routera.
Upewnij się, że router używa serwera czasu NTP.

Przejdź do zakładki Configuration / WAN / Dynamic DNS.
Sprawdź czy router ma prawidłowo skonfigurowaną usługę DrayDDNS wraz z certyfikatem Let’s Encrypt.

Utwórz DrayDDNS nawet jeśli router posiada stały publiczny IP.
Domena DrayDDNS zostanie użyta do wygenerowania certyfikatu Let’s Encrypt.
Zapoznaj się z przykładem [DrayOS 5] Dynamiczny DNS (DrayDDNS)

Utwórz certyfikat Let’s Encrypt.
Klient IKEv2 EAP weryfikuje certyfikat serwera VPN.
Zapoznaj się z przykładem [DrayOS 5] Certyfikat routera w oparciu o Let’s Encrypt
Przejdź do zakładki Configuration /Certificates / Local Certificates.
Sprawdź czy router posiada certyfikat Let’s Encrypt powiązany z domeną DrayDDNS.
Przejdź do zakładki VPN / General Setup / Access Control.
Sprawdź czy router akceptuje połączenia.
Przejdź do zakładki VPN / General Setup / IPsec.
Włącz usługę IPsec.
Wybierz certyfikat Let’s Encrypt powiązany z DrayDDNS.
Przejdź do zakładki VPN / Teleworker VPN.
Kliknij Add aby dodać nowy profil
Wpisz nazwę użytkownika w polu Username (możliwe są różne formaty np. jkowalski, j.kowalski, jan.kowalski)
Włącz Teleworker VPN.
Wpisz hasło w polu Password
W sekcji General upewnij się, że profil jest aktywny.
W sekcji Teleworker VPN wybierz/wypełnij następujące pola:
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu.
– Jako akceptowany protokół zaznacz IPsec EAP
– Określ podsieć LAN z której będzie przypisywany adres IP

W profilu VPN możesz określić przypisywanie IP z LAN DHCP.
Profil podsieci LAN w Configuration / LAN /LANs posiada osobny zakres IP dla klientów VPN.
W profilu VPN możesz określić przypisywanie statycznego IP.

Po zestawieniu połączenia przez klienta VPN przejdź do zakładki VPN / VPN Connection Status / Teleworkers VPN.