VPN Host-to-LAN L2TP/IPsec z kluczem

Instrukcja konfiguracji routera DrayTek z systemem DrayOS 3/4 w roli serwera VPN (respondera) dla połączeń L2TP/IPsec z kluczem PSK Host-to-LAN (Remote Access).

Routery DrayTek z systemem DrayOS 4 to m.in. seria Vigor 2135, 2765, 2915, 2865, 2927, 2962, 3910, 3912
Routery DrayTek z systemem DrayOS 3 to m.in. seria Vigor 2133, 2762, 2912, 2860, 2862, 2925, 2926, 2952, 3220

Rekomendowanym protokołem VPN jest IPsec IKEv2.
Przykład VPN Host-to-LAN IPsec IKEv2 EAP z certyfikatem Let’s Encrypt

Spis treści:
Serwer VPN – router Vigor
Klient VPN – Windows
Klient VPN – macOS
Klient VPN – Android

Główne założenia przykładu:
– typ tunelu VPN: Host-to-LAN (Remote Access)
– protokół VPN: L2TP/IPsec (L2TP over IPsec)
– autentykacja: L2TP (nazwa użytkownika i hasło), IPsec (klucz IKE)
– adres WAN serwera VPN: stały (IP – 1.1.1.1) lub zmienny (domenowy – vigor.drayddns.com)
– adres klienta VPN: zmienny lub stały (IP – 2.2.2.2)

Jeśli serwer VPN posiada zmienny publiczny IP to skorzystaj z dynamicznego DNS, aby komunikować się z routerem poprzez adres domenowy.
Zapoznaj się z przykładem Dynamiczny DNS (DrayDDNS).

L2TP z polisą IPsec umożliwia szyfrowanie danych AES/3DES/DES.
W przypadku L2TP bez polisy IPsec dane przesyłane są jawnym tekstem.

Serwer VPN – router Vigor

Przejdź do zakładki VPN and Remote Access >> Remote Access Control.
Włącz obsługę protokołu IPsec oraz L2TP.
Wyłącz nieużywane protokoły VPN.
Przejdź do zakładki VPN and Remote Access >> IPsec General Setup.
Wpisz wspólny klucz IKE.
Nie wybieraj High w IPsec Security Method, gdyż Windows domyślnie nie używa SHA256 dla L2TP/IPsec.
Przejdź do zakładki VPN and Remote Access >> Remote Dial-in User.
Kliknij dowolny indeks np. 1, aby stworzyć lokalne konto użytkownika VPN.
Wybierz/wypełnij następujące pola:
– Zaznacz Enable.
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu. L2TP posiada wbudowane mechanizmy detekcji połączenia.
– Jako akceptowany protokół zaznacz L2TP with IPsec Policy. Dla polisy IPsec wybierz Must.
– Wpisz nazwę użytkownika w polu Username (możliwe są różne formaty np. jkowalski, j.kowalski, jan.kowalski)
– Wpisz hasło polu Password
Oprócz określenia podsieci LAN z której klient otrzyma adresację, możesz przypisać klientowi stały IP np. 192.168.1.100, który będzie dla niego zarezerwowany.
Dzięki temu możesz również w łatwy sposób zastosować Filtrowanie ruchu VPN Host-LAN.
Po zestawieniu połączenia przez klienta VPN przejdź do zakładki VPN and Remote Access >> Connection Management.