Conteúdo

Introdução

Requisitos

Configuração

Configuração para IPsec Manual

Configuração para Auto IPsec

Configuração para Servidor IPsec

Verificação

Conclusão

Introdução

A VPN IPsec Site-to-Site permite a conexão de redes geograficamente separadas. Grandes empresas costumam utilizá-la para estabelecer conexões VPN seguras entre filiais e a sede. A VPN IPsec conecta os roteadores das filiais através da rede pública, garantindo a transmissão segura dos dados da rede privada.

Os gateways Omada suportam dois tipos de VPN IPsec Site-to-Site: Auto IPsec e IPsec Manual. Este artigo apresenta como configurar ambas as VPNs IPsec (Manual e Automática) usando o controlador Omada.

Requisitos

• Gateways Omada
• Controlador Omada (Software Controller, Hardware Controller e Cloud-based Controller v6.2 ou superior)

Configuração

Por exemplo, suponha que dois gateways (Gateway A e Gateway B) estejam implantados em dois locais diferentes. Siga as etapas abaixo para configurar o IPsec Manual e estabelecer um túnel privado seguro entre os dois gateways.

Configuração para IPsec Manual

Passo 1. Faça login no Controlador Omada, navegue até Site View (Visualização do Site) > Devices (Dispositivos) e verifique o IP da LAN do Gateway A. Clique no Gateway A para abrir sua janela de propriedades. Em seguida, vá para a guia Ports (Portas) para encontrar o IP da WAN do Gateway A.

Repita as etapas acima para obter o IP da WAN e o IP da LAN do Site2_Gateway B.

Passo 2. Vá para Network Config (Configuração de Rede) > VPN > VPN > Site-to-Site VPN para criar e configurar uma política de VPN IPsec no gateway A.

Passo 3. Selecione o modo Manual e consulte a tabela explicativa abaixo para configurar os parâmetros.

Nota:

• Se ambos os gateways usarem IP público, defina o modo de Negotiation (Negociação) como Initiator (Iniciador). Pelo menos um dos Gateways deve estar no modo Iniciador; ambos não podem estar no modo Responder simultaneamente.
• Se apenas o gateway A usar um IP público, defina o modo de Negotiation do gateway A como Responder e insira 0.0.0.0 no Gateway Remoto, indicando que as negociações IPsec iniciadas por todos os IPs são aceitas. Defina o Local/Remote ID Type para Name de acordo com o requisito da sua rede. Você também pode inserir o endereço IP público do dispositivo da rede remota no campo Gateway Remoto.

Passo 4. Mude a Site View, vá para Settings (Configurações) > VPN > VPN > Site-to-Site VPN para configurar o IPsec no gateway B.

Nota:

• Recomenda-se usar o modo IKEv2 para maior segurança e melhor desempenho, a menos que o dispositivo par suporte apenas o modo de negociação IKEv1.
• O IPsec IKEv1 não suporta múltiplas sub-redes remotas em um único túnel. Para configurações que exigem múltiplas sub-redes remotas, considere usar IKEv2 ou soluções alternativas.
• Os gateways em ambas as extremidades devem usar o mesmo modo de negociação, chave pré-compartilhada e algoritmo de criptografia para garantir que o túnel seja estabelecido com sucesso.
• Evite conflitos entre a Sub-rede Remota e a Sub-rede Local.

Configuração para Auto IPsec

O processo de configuração é o mesmo do IPsec Manual. Selecione o modo Auto, ajuste as outras configurações conforme necessário e aplique as alterações.

A política de VPN será exibida automaticamente.

Configuração para Servidor IPsec

A maioria dos telefones suporta VPN IKEv2, especialmente depois que o Android removeu o L2TP. Quando estiver fora de casa, usar seu telefone para se conectar ao roteador via VPN é uma maneira simples e segura de acessar sua rede. Para configurar a VPN client-to-site, siga estas etapas:

Passo 1. Faça login no Controlador Omada, navegue até Network Config > VPN > VPN >VPN Server para criar um novo servidor VPN, configurar os parâmetros básicos da política IPsec ou usar as configurações padrão.

Passo 2. Clique em Advanced Settings (Configurações Avançadas) para carregar a página seguinte e configure as Phase-1 Settings (Configurações de Fase 1) da seguinte forma:

• Selecione a versão do protocolo IKE como IKEv2.
• Selecione uma proposta (proposal) suportada pelo cliente VPN.
• Especifique o Negotiation Mode como Responder Mode.
• Especifique o Local ID Type como IP Address.
• Especifique o Remote ID Type como NAME e o ID remoto como 123.

Nota:

1) Para celulares Samsung, o tipo de Remote ID deve ser selecionado como IP address.

2) Como cada telefone suporta propostas diferentes, listamos aqui apenas algumas combinações comuns. Se as quatro combinações acima não conectarem, entre em contato com o suporte técnico da TP-Link.

3) Como o IKEv2 para Android não permite editar o Local ID Type, apenas o endereço IP pode ser usado. Portanto, é necessário que não haja nenhum dispositivo NAT na frente do roteador Omada, o que significa que o endereço IP da WAN do roteador Omada deve ser um IP público para que o cliente consiga se conectar.

Passo 3. Configure as Phase-2 Settings (Configurações de Fase 2) da seguinte forma:

• Especifique o Encapsulation Mode como Tunnel Mode.
• Selecione uma proposta suportada pelo cliente VPN.

Configure os ajustes de VPN IKEv2 no Android:

Usaremos um telefone com Android 12 como exemplo. Configure a VPN IKEv2 com os seguintes parâmetros. Clique em Salvar e conecte-se ao servidor VPN.

• Especifique o Nome como "test".
• Especifique o tipo de VPN como IKEv2/IPsec PSK.
• Especifique o endereço do servidor como o IP da WAN do Gateway.
• Especifique o Identificador de IP como 123.
• Especifique a Chave Pré-compartilhada IPsec.
• Especifique Proxy como Nenhum.

Configure os ajustes de VPN IKEv2 em dispositivos iOS:

Como o iOS permite alterar o Local ID Type, nós o definimos como NAME nas configurações de fase 1 e especificamos o Local ID como 321. As outras configurações permanecem as mesmas.

• Especifique o Tipo como IKEv2.
• Especifique a Descrição como "Test".
• Especifique o Servidor como o IP da WAN do Gateway.
• Especifique o Remote ID como 321.
• Especifique o Local ID como 123.
• Especifique a Autenticação de Usuário como Nenhum.
• Desative o Uso de Certificado.
• Especifique o Segredo (Secret) como a Chave Pré-compartilhada IPsec.
• Especifique PROXY como Desativado.

Verificação

Vá para Network Config > VPN > VPN Status > Site-to-Site VPN > IPsec para verificar o status do túnel.

Túneis VPN IPsec Manual:

Túneis VPN IPsec Auto:

Você também pode tentar dar um "ping" no IP do dispositivo de um PC no outro Site. Se houver resposta, isso confirma que a configuração da VPN IPsec foi bem-sucedida.

Conclusão

Agora você conectou com sucesso dois sites via VPN IPsec.

Para saber mais detalhes de cada função e configuração, visite o Download Center para baixar o manual do seu produto.