Соединение сетей протоколом IPSec в туннельном режиме, аутентификация с использованием общего секрета
Цель
Соединить две сети, расположенные за межсетевыми экранами, VPN с использованием семейства протоколов IPSec. В этом случае необходимо использовать туннельный режим.
Топология сети
Между интерфейсами wan2 на МЭ 1и МЭ 2 требуется поднять VPN/IPSec.
Описание практической работы
Создать статическую маршрутизацию и политики доступа, которые разрешают доступ между удаленными локальными сетями. При этом трафик между МЭ 1 и МЭ 2 проходит по VPN/IPSec.
Межсетевой Экран 1
Аутентификационный Объект
Необходимо создать аутентификационный объект Pre-Shared Key.
Веб-интерфейс:
Object → Authentication Objects → Add → Pre-Shared Key
Командная строка:
add PSKforIPSec Type=ASCII PSKAscii=qwerty
IPSec-Интерфейс
Создать IPSec-интерфейс. Так как создается VPN-туннель между двумя локальными сетями, то необходим туннельный режим.
Веб-интерфейс:
Interfaces → IPsec → Add → IPsecTunnel
На вкладке General указать сети перед и за туннелем, а также режим выполнения IPSec и используемые наборы алгоритмов для IPSec и IKE.
На вкладке Authentication указать созданный аутентификационный объект.
В данном случае, как и в большинстве случаев при создании туннелей с использованием различных протоколов, маршрут может создаваться либо статически, либо динамически на время создания туннеля.
1. Статически создаваемый маршрут.
Если все остальные параметры оставить по умолчанию, то в таблице маршрутизации будет создан маршрут.
Командная строка:
add Interface IPsecTunnel ipsec_tunnel LocalNetwork=lan/lan_net RemoteNetwork=remote/rem_lan AuthMethod=PSK PSK=forIPSec IKEAlgorithms=Medium IPsecAlgorithms=Medium EncapsulationMode=Tunnel RemoteEndpoint=wan2/wan2_gw
2. Динамически создаваемый маршрут.
Веб-интерфейс:
Если инициатором начального установления туннеля всегда будет являться противоположная сторона, возможно динамически создавать маршрут. Для этого на вкладке Routing следует поставить флаг динамического добавления маршрута.
А на вкладке Advanced снять флаг добавления маршрута, чтобы в таблице маршрутизации при наличии IPSec-трафика не было двух одинаковых маршрутов.
Командная строка:
set Interface IPsecTunnel ipsec_tunnel AddRouteToRemoteNet=Yes AutoInterfaceNetworkRoute=No
В этом случае в таблице маршрутизации будет динамически создаваться маршрут.
Правила фильтрования
Определим правило, разрешающее исходящий трафик с локальной сети, расположенной за МЭ 1, на локальную сеть, расположенную за МЭ 2.
Веб-интерфейс:
Rules → IP Rules → Add → IP Rule Folder Name: ipsec_tunnel Rules → IP Rules → ipsec_tunnel → Add
Командная строка:
add IPRuleFolder Name=ipsec_tunnel cc IPRuleFolder <N folder> add IPRule Action=Allow SourceInterface=lan SourceNetwork=lan/lan_net DestinationInterface=ipsec_tunnel DestinationNetwork=remote/rem_lan Service=all_services Name=ipsec_out
Межсетевой Экран 2
Аутентификационный Объект
Необходимо создать аутентификационный объект Pre-Shared Key с тем же значением Shared Secret, что и на межсетевом экране 1.
Веб-интерфейс:
Object → Authentication Objects → Add → Pre-Shared Key
Командная строка:
add PSK forIPSec Type=ASCII PSKAscii=qwerty
IPSec-Интерфейс
Необходимо создать IPSec-интерфейс.
Веб-интерфейс:
Interfaces → IPsec → Add → IPsec Tunnel
На вкладке General указать сети перед и за туннелем, а также режим выполнения IPSec и используемые наборы алгоритмов для IPSec и IKE.
На вкладке Authentication указать созданный аутентификационный объект.
Если все остальные параметры оставить по умолчанию, то в таблице маршрутизации маршрут будет создаваться статически. Если необходимо динамически создавать маршрут, то на вкладке Routing поставить флаг динамического добавления маршрута.
А на вкладке Advanced снять флаг добавления маршрута (иначе в таблице маршрутизации при наличии IPSec-трафика будет два одинаковых маршрута, что не является ошибкой, но смысла не имеет).
Командная строка:
add Interface IPsecTunnel ipsec_tunnel LocalNetwork=lan/lan_net RemoteNetwork=remote/rem_lan AuthMethod=PSK PSK=forIPSec IKEAlgorithms=Medium IPsecAlgorithms=Medium EncapsulationMode=Tunnel RemoteEndpoint=wan2/wan2_gw
Правила фильтрования
Создаем правила фильтрования, разрешающие входящий трафик с удаленной локальной сети, приходящий на ipsec-туннель, к локальной сети, расположенной за МЭ 2.
Веб-интерфейс:
Rules → IP Rules → Add → IP Rule Folder Name: ipsec_tunnel Rules → IP Rules → ipsec_tunnel → Add
Командная строка:
add IPRuleFolder Name=ipsec_tunnel cc IPRuleFolder <N folder> add IPRule Action=Allow SourceInterface=ipsec_tunnel SourceNetwork=remote/rem_lan DestinationInterface=lan DestinationNetwork=lan/lan_net Service=all_services Name=ipsec_in
Проверка конфигурации
1. На МЭ1 выполняем команду ping рабочей станции, располо-женной в удаленной локальной сети. В качестве интерфейса, с которого пакет будет отправлен, указывает lan.
2. На МЭ 1 проверяем наличие IKE SA и IPSec SA.
3. На МЭ 2 также проверяем наличие IKE SA и IPSec SA.
4. Можно также проверить наличие ISAKMP SA и ESP SA, сделав дамп трафика.
