Połączenie LAN-LAN IPsec (tryb główny)

Główne założenia przykładu:
– typ tunelu: LAN-LAN (site-site) z routingiem pomiędzy podsieciami
– protokół VPN: IPsec(tryb główny)
– szyfrowanie: AES
– adres serwera VPN: stały (IP – 1.1.1.1) lub zmienny (domenowy – vigor.drayddns.com)
– adres klienta VPN: zmienny lub stały (IP – 2.2.2.2)
– różne adresacje sieci lokalnych: serwer VPN 192.168.1.1 /24, klient VPN 192.168.2.1 /24

Jeśli serwer VPN posiada zmienny publiczny IP to skorzystaj z dynamicznego DNS, aby komunikować się z routerem poprzez adres domenowy.
Zapoznaj się z przykładem Dynamiczny DNS (DrayDDNS).

1. Konfiguracja serwera VPN

Przejdź do zakładki VPN and Remote Access >> Remote Access Control.
Sprawdź czy jest włączona obsługa protokołu IPsec.

Wariant 1: Profil dla klienta ze stałym publicznym IP

Przejdź do zakładki VPN and Remote Access >> LAN-LAN.
Kliknij dowolny indeks np. 1, aby stworzyć profil VPN.
Wybierz/wypełnij następujące pola w sekcji Common Settings:
– Wpisz dowolną nazwę profilu.
– Zaznacz Enable this profile.
– Wybierz kierunek połączenia Dial-in, aby profil służył do odbierania połączenia
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu.Wybierz/wypełnij następujące pola w sekcji Dial-in:
– Jako akceptowany protokół zaznacz IPsec.
– Zaznacz opcję Specify Remote VPN Gateway i wpisz publiczny adres IP klienta VPN. W omawianym przykładzie IP 2.2.2.2.
– Zaznacz klucz IKE Pre-Shared Key, kliknij przycisk IKE Pre-Shared Key – pojawi się okienko w którym wpisz odpowiedni klucz. W omawianym przykładzie klucz ‘test’.
– Zaznacz odpowiedni poziom zabezpieczeń IPsec w IPsec Security Method. W przykładzie użyto AES.
Wybierz/wypełnij następujące pola w sekcji TCP/IP Network Settings:
– Wpisz adresację sieci zdalnej w polu Remote Network IP (w przykładzie 192.168.2.0) oraz jej maskę w polu Remote Network Mask (w przykładzie 255.255.255.0).
– Wpisz adresację sieci lokalnej w polu Local Network IP (w przykładzie 192.168.1.1) oraz jej maskę w polu Local Network Mask (w przykładzie 255.255.255.0).
– Wybierz tryb Route, aby wykonywać routing do podsieci zdalnej.

Wariant 2: Profil dla klienta ze zmiennym publicznym IP

Przejdź do zakładki VPN and Remote Access >> IPsec General Setup.
Wpisz wspólny klucz IKE (w omawianym przykładzie klucz ‘test’) oraz wybierz AES jako Tryb zabezpieczeń IPsec.
Klucz wspólny IKE w ustawieniach ogólnych IPSec jest wykorzystywany przez klientów VPN ze zmiennym publicznym adresem IP.

Przejdź do zakładki VPN and Remote Access >> LAN-LAN.
Kliknij dowolny indeks np. 1, aby stworzyć profil VPN.
Wybierz/wypełnij następujące pola w sekcji Common Settings:
– Wpisz dowolną nazwę profilu.
– Zaznacz Enable this profile.
– Wybierz kierunek połączenia Dial-in, aby profil służył do odbierania połączenia
– W polu Idle Timeout wpisz 0 jeśli Vigor ma pozostawić połączenie pomimo braku ruchu.Wybierz/wypełnij następujące pola w sekcji Dial-in:
– Jako akceptowany protokół zaznacz IPsec.
Wybierz/wypełnij następujące pola w sekcji TCP/IP Network Settings:
– Wpisz adresację sieci zdalnej w polu Remote Network IP (w przykładzie 192.168.2.0) oraz jej maskę w polu Remote Network Mask (w przykładzie 255.255.255.0).
– Wpisz adresację sieci lokalnej w polu Local Network IP (w przykładzie 192.168.1.1) oraz jej maskę w polu Local Network Mask (w przykładzie 255.255.255.0).
– Wybierz tryb Route, aby wykonywać routing do podsieci zdalnej.

2. Konfiguracja klienta VPN

Przejdź do zakładki VPN and Remote Access >> Remote Access Control.
Sprawdź czy jest włączona obsługa protokołu IPsec.
Przejdź do zakładki VPN and Remote Access >> LAN-LAN.
Kliknij dowolny indeks np. 1, aby stworzyć profil VPN.
Wybierz/wypełnij następujące pola w sekcji Common Settings:
– Wpisz dowolną nazwę profilu.
– Zaznacz Enable this profile.
– Wybierz WAN1 First, aby WAN1 był preferowanym interfejsem WAN do zestawiania VPN.
– Wybierz kierunek połączenia Dial-out, aby profil służył do inicjowania połączenia
– Zaznacz opcję Always on (Idle Timeout zmieni się na -1), aby połączenie było aktywne cały czas.
Wybierz/wypełnij następujące pola w sekcji Dial-out:
– Jako  protokół zaznacz IPsec Tunnel.
– W polu Server IP/Host Name for VPN wpisz adres IP routera (w przykładzie 1.1.1.1), do którego zestawiasz tunel VPN, albo jego adres domenowy (w przykładzie vigor.drayddns.com).
– Zaznacz klucz IKE Pre-Shared Key, kliknij przycisk IKE Pre-Shared Key – pojawi się okienko w którym wpisz odpowiedni klucz. W omawianym przykładzie klucz ‘test’.
– Zaznacz odpowiedni poziom zabezpieczeń IPSec w IPsec Security Method. W przykładzie użyto AES.
– Jeśli chcesz skonfigurować zaawansowane ustawienia IKE (szyfrowanie, integralność grupę Diffiego-Hellmana, czas życia kluczy, PFS) to kliknij przycisk Advanced.
Wybierz/wypełnij następujące pola w sekcji TCP/IP Network Settings:
– Wpisz adresację sieci zdalnej w polu Remote Network IP (w przykładzie 192.168.1.0) oraz jej maskę w polu Remote Network Mask (w przykładzie 255.255.255.0).
– Wpisz adresację sieci lokalnej w polu Local Network IP (w przykładzie 192.168.2.1) oraz jej maskę w polu Local Network Mask (w przykładzie 255.255.255.0).
– Wybierz tryb Route, aby wykonywać routing pomiędzy podsieciami.

3. Status połączenia

Klient VPN:
W routerze przejdź do zakładki VPN and Remote Access >> Connection Management.
Serwer VPN:

W routerze przejdź do zakładki VPN and Remote Access >> Connection Management.