Contenu

Introduction

Exigences

Configuration

Configuration pour IPsec manuel

Configuration pour Auto IPsec

Configuration du serveur IPsec

Vérification

Conclusion

Introduction

Le VPN IPsec de site à site permet la connexion de réseaux géographiquement distincts. Les grandes entreprises l'utilisent couramment pour établir des connexions VPN sécurisées entre leurs succursales et leur siège social. Le VPN IPsec connecte les routeurs des succursales via le réseau public, garantissant ainsi la transmission sécurisée des données du réseau privé.

Les passerelles Omada prennent en charge deux types de VPN IPsec de site à site : IPsec automatique et IPsec manuel. Cet article explique comment configurer ces deux types de VPN IPsec à l’aide du contrôleur Omada.

Exigences

• Passerelles d'Omada
• Contrôleur Omada (Contrôleur logiciel, Contrôleur matériel et Contrôleur basé sur le cloud v6.2 et versions ultérieures)

Configuration

Par exemple, supposons que deux passerelles (passerelle A et passerelle B) soient déployées sur deux sites différents. Suivez les étapes ci-dessous pour configurer manuellement IPsec et établir un tunnel privé sécurisé entre les deux passerelles.

Configuration pour IPsec manuel

Étape 1. Connectez-vous au contrôleur Omada, accédez à Vue du site > Périphériques et vérifiez l'adresse IP LAN de la passerelle A. Cliquez sur la passerelle A pour ouvrir sa fenêtre de propriétés. Ensuite, accédez à l' onglet Ports pour trouver l'adresse IP WAN de la passerelle A.

Répétez les étapes ci-dessus pour obtenir l'adresse IP WAN et l'adresse IP LAN de la passerelle Site2_Gateway B.

Étape 2. Accédez à Configuration réseau > VPN > VPN > VPN de site à site pour créer et configurer une stratégie VPN IPsec sur la passerelle A.

Étape 3. Sélectionnez le mode manuel et reportez-vous au tableau explicatif ci-dessous pour configurer les paramètres.

Note:

• Si les deux passerelles utilisent une adresse IP publique, configurez le mode de négociation sur « Initiateur » . Au moins une des passerelles A et B doit être en mode Initiateur ; aucune ne peut être en mode Répondeur simultanément.
• Si seule la passerelle A utilise une adresse IP publique, configurez son mode de négociation sur « Répondeur » et saisissez 0.0.0.0 dans le champ « Passerelle distante », indiquant ainsi que les négociations IPsec initiées par toutes les adresses IP sont acceptées. Définissez le type d'ID local/distant sur « Nom » en fonction des besoins de votre réseau. Vous pouvez également saisir l'adresse IP publique du périphérique réseau distant dans le champ « Passerelle distante ».

Étape 4. Modifiez l' affichage du site , accédez à Paramètres > VPN > VPN > VPN de site à site pour configurer IPsec sur la passerelle B.

Note:

• Il est recommandé d'utiliser le mode IKEv2 pour une sécurité accrue et de meilleures performances, sauf si le périphérique homologue ne prend en charge que le mode de négociation IKEv1.
• Le protocole IPsec IKEv1 ne prend pas en charge plusieurs sous-réseaux distants dans un même tunnel. Pour les configurations nécessitant plusieurs sous-réseaux distants, il est recommandé d'utiliser IKEv2 ou d'autres solutions.
• Les passerelles aux deux extrémités doivent utiliser le même mode de négociation, la même clé pré-partagée et le même algorithme de chiffrement pour garantir l'établissement réussi du tunnel.
• Évitez les conflits entre le sous-réseau distant et le sous-réseau local.

Configuration pour Auto IPsec

La procédure d'installation est identique à celle d'IPsec manuel . Sélectionnez le mode automatique , configurez les autres paramètres si nécessaire, puis appliquez les modifications.

La politique relative au VPN s'affichera automatiquement.

Configuration du serveur IPsec

La plupart des téléphones prennent en charge les VPN IKEv2, notamment depuis la suppression du protocole L2TP par Android. Lorsque vous êtes hors de chez vous, utiliser votre téléphone pour vous connecter à votre routeur via un VPN est une méthode simple et sécurisée pour accéder à votre réseau. Pour configurer un VPN client-site, veuillez suivre les étapes suivantes :

Étape 1. Connectez-vous au contrôleur Omada, accédez à Configuration réseau > VPN > VPN > Serveur VPN pour créer un nouveau serveur VPN, configurer les paramètres de base de la politique IPsec ou utiliser les paramètres par défaut.

Étape 2. Cliquez sur Paramètres avancés pour charger la page suivante, puis configurez les paramètres de la phase 1 comme suit :

• Sélectionnez IKEv2 comme version du protocole IKE .
• Sélectionnez une proposition prise en charge par le client VPN.
• Spécifiez le mode de négociation comme mode répondeur .
• Spécifiez le type d'identifiant local comme adresse IP .
• Spécifiez le type d'ID distant comme NOM et spécifiez l'ID distant comme 123.

Note:

1) Pour les téléphones portables Samsung, le type d'identifiant distant doit être sélectionné comme adresse IP.

2) Chaque téléphone prenant en charge des configurations différentes, nous ne listons ici que quelques combinaisons courantes. Si les quatre combinaisons ci-dessus ne permettent pas d'établir une connexion, veuillez contacter l'assistance technique de TP-Link .

3) Étant donné que IKEv2 pour Android ne permet pas de modifier le type d'identifiant local, seule l'adresse IP peut être utilisée. Par conséquent, aucun périphérique NAT ne doit être présent en amont du routeur Omada, ce qui signifie que l'adresse IP WAN du routeur Omada doit être une adresse IP publique pour que le client puisse se connecter.

Étape 3. Configurez les paramètres de la phase 2 comme suit :

• Spécifiez le mode d'encapsulation comme mode tunnel .
• Sélectionnez une proposition prise en charge par le client VPN.

Configurer les paramètres VPN IKEv2 sur Android :

Nous utilisons ici un téléphone sous Android 12 comme exemple. Configurez le VPN IKEv2 avec les paramètres suivants. Cliquez sur Enregistrer et connectez-vous au serveur VPN.

• Spécifiez « test » comme nom.
• Spécifiez le type de VPN comme IKEv2/IPsec PSK .
• Spécifiez l'adresse du serveur comme adresse IP WAN de la passerelle.
• Spécifiez l'identifiant IP comme 123.
• Spécifiez la clé pré-partagée IPsec.
• Spécifiez « Aucun » comme proxy.

Configurer les paramètres VPN IKEv2 sur les appareils iOS :

Puisqu'iOS permet de modifier le type d'identifiant local , nous le définissons sur NAME dans les réglages de la phase 1 et spécifions l'identifiant local comme étant 321. Les autres réglages sont identiques à ceux ci-dessus.

• Spécifiez le type comme IKEv2 .
• Spécifiez la description comme Test.
• Spécifiez le serveur comme adresse IP WAN de la passerelle.
• Spécifiez l'ID distant comme 321.
• Spécifiez l'identifiant local comme 123.
• Spécifiez « Aucune » comme niveau d'authentification utilisateur.
• Désactiver le certificat d'utilisation.
• Spécifiez le secret comme clé pré-partagée IPsec.
• Spécifiez PROXY comme désactivé.

Vérification

Accédez à Configuration réseau > VPN > État du VPN > VPN de site à site > IPsec pour vérifier l'état du tunnel.

Tunnels VPN IPsec manuels :

Tunnels VPN IPsec automatiques :

Vous pouvez également essayer de pinguer l'adresse IP de l'appareil depuis un ordinateur situé sur l'autre site. Si vous obtenez une réponse, cela confirme que la configuration du VPN IPsec a réussi.

Conclusion

Vous avez maintenant connecté avec succès deux sites via un VPN IPsec.

Pour en savoir plus sur chaque fonction et configuration, veuillez vous rendre dans le Centre de téléchargement pour télécharger le manuel de votre produit.