Содержание

Введение

Требования

Настройка

Настройка ручного IPsec

Настройка автоматического IPsec

Настройка IPsec-сервера

Проверка

Заключение

Введение

VPN IPsec типа «сайт-сайт» обеспечивает соединение географически разделенных сетей. Крупные предприятия обычно используют его для создания безопасных VPN-соединений между филиалами и головным офисом. VPN IPsec соединяет маршрутизаторы филиалов через публичную сеть, обеспечивая безопасную передачу данных частной сети.

Шлюзы Omada поддерживают два типа IPsec VPN «сайт-сайт»: автоматический IPsec и ручной IPsec. В этой статье описывается настройка как ручного, так и автоматического IPsec VPN с использованием контроллера Omada.

Требования

• Шлюзы Omada
• Контроллер Omada (программный контроллер, аппаратный контроллер и облачный контроллер версии v6.2 и выше)

Настройка

Например, предположим, что два шлюза (Шлюз A и Шлюз B) развернуты на двух разных площадках. Выполните следующие действия, чтобы настроить ручной IPsec и установить безопасный частный туннель между двумя шлюзами.

Настройка ручного IPsec

Шаг 1. Войдите в контроллер Omada, перейдите в Вид сайта (Site View) > Устройства (Devices) и проверьте LAN IP шлюза A. Нажмите на шлюз A, чтобы открыть окно его свойств. Затем перейдите на вкладку Порты (Ports), чтобы найти WAN IP шлюза A.

Повторите описанные выше действия, чтобы получить WAN IP и LAN IP шлюза B.

Шаг 2. Перейдите в Конфигурация сети (Network Config) > VPN > VPN > Site-to-Site VPN, чтобы создать и настроить политику IPsec VPN на шлюзе A.

Шаг 3. Выберите режим Ручной (Manual) и обратитесь к таблице пояснений ниже для настройки параметров.

Примечание:

• Если оба шлюза используют публичный IP, установите режим Согласования (Negotiation) в режим Инициатор (Initiator). По крайней мере один из шлюзов A и B должен находиться в режиме Инициатор; они не могут одновременно находиться в режиме Ответчик (Responder).
• Если только шлюз A использует публичный IP, установите режим Согласования шлюза A в режим Ответчик и введите 0.0.0.0 в поле «Удаленный шлюз», что указывает на принятие согласований IPsec, инициированных всеми IP-адресами. Установите Тип локального/удаленного ID в Имя (Name) в соответствии с требованиями вашей сети. Вы также можете ввести публичный IP-адрес удаленного сетевого устройства в поле «Удаленный шлюз».

Шаг 4. Измените Вид сайта, перейдите в Настройки (Settings) > VPN > VPN > Site-to-Site VPN, чтобы настроить IPsec на шлюзе B.

Примечание:

• Рекомендуется использовать режим IKEv2 для повышения безопасности и производительности, если только удаленное устройство не поддерживает только режим согласования IKEv1.
• IPsec IKEv1 не поддерживает несколько удаленных подсетей в одном туннеле. Для конфигураций, требующих нескольких удаленных подсетей, рассмотрите возможность использования IKEv2 или альтернативных решений.
• Шлюзы на обоих концах должны использовать одинаковый режим согласования, предварительный общий ключ и алгоритм шифрования, чтобы туннель был успешно установлен.
• Избегайте конфликтов между удаленной подсетью и локальной подсетью.

Настройка автоматического IPsec

Процесс настройки такой же, как для ручного IPsec. Выберите режим Авто (Auto), настройте другие параметры по мере необходимости и примените настройки.

Политика VPN будет отображаться автоматически.

Настройка IPsec-сервера

Большинство телефонов поддерживают VPN IKEv2, особенно после того, как Android удалил L2TP. Вдали от дома использование телефона для подключения к маршрутизатору через VPN — это простой и безопасный способ доступа к вашей сети. Чтобы настроить VPN «клиент-сайт», пожалуйста, обратитесь к следующим шагам:

Шаг 1. Войдите в контроллер Omada, перейдите в Конфигурация сети (Network Config) > VPN > VPN > VPN Сервер (VPN Server), чтобы создать новый VPN-сервер, настройте основные параметры политики IPsec или используйте настройки по умолчанию.

Шаг 2. Нажмите Расширенные настройки (Advanced Settings), чтобы загрузить следующую страницу, настройте параметры Фазы 1 следующим образом:

• Выберите версию протокола IKE: IKEv2.
• Выберите предложение (набор шифров), поддерживаемое VPN-клиентом.
• Укажите режим согласования: Режим ответчика (Responder Mode).
• Укажите Тип локального ID (Local ID Type): IP-адрес (IP Address).
• Укажите Тип удаленного ID (Remote ID Type): ИМЯ (NAME) и укажите удаленный ID как 123.

Примечание:

1) Для сотовых телефонов Samsung тип удаленного ID должен быть выбран как IP-адрес.

2) Поскольку каждый телефон поддерживает разные предложения (наборы шифров), здесь перечислены только некоторые распространенные комбинации. Если вышеуказанные четыре комбинации не могут успешно подключиться, пожалуйста, обратитесь в техническую поддержку TP-Link.

3) Поскольку IKEv2 для Android не может редактировать тип локального ID, можно использовать только IP-адрес. Поэтому требуется, чтобы перед маршрутизатором Omada не было NAT-устройства, что означает, что WAN IP-адрес маршрутизатора Omada должен быть публичным IP-адресом для успешного подключения клиента.

Шаг 3. Настройте параметры Фазы 2 следующим образом:

• Укажите режим инкапсуляции: Туннельный режим (Tunnel Mode).
• Выберите предложение (набор шифров), поддерживаемое VPN-клиентом.

Настройка VPN IKEv2 на Android:

Здесь в качестве примера используется телефон с Android 12. Настройте VPN IKEv2 со следующими параметрами. Нажмите «Сохранить» и подключитесь к VPN-серверу.

• Укажите имя: test.
• Укажите тип VPN: IKEv2/IPsec PSK.
• Укажите адрес сервера: WAN IP шлюза.
• Укажите идентификатор IP: 123.
• Укажите предварительный общий ключ IPsec.
• Укажите прокси: Нет.

Настройка VPN IKEv2 на устройствах iOS:

Поскольку iOS поддерживает изменение типа локального ID, мы устанавливаем его в ИМЯ (NAME) в настройках фазы 1 и указываем локальный ID как 321. Остальные настройки такие же, как указано выше.

• Укажите тип: IKEv2.
• Укажите описание: Test.
• Укажите сервер: WAN IP шлюза.
• Укажите удаленный ID: 321.
• Укажите локальный ID: 123.
• Укажите аутентификацию пользователя: Нет.
• Отключите использование сертификата.
• Укажите секрет: предварительный общий ключ IPsec.
• Укажите PROXY: Выкл.

Проверка

Перейдите в Конфигурация сети (Network Config) > VPN > Статус VPN (VPN Status) > Site-to-Site VPN > IPsec, чтобы проверить статус туннеля.

Туннели ручного IPsec VPN:

Туннели автоматического IPsec VPN:

Вы также можете попробовать выполнить ping IP-адреса устройства с ПК на другом сайте. Если есть ответ, это подтверждает успешную настройку IPsec VPN.

Заключение

Теперь вы успешно соединили два сайта через IPsec VPN.

Чтобы узнать более подробную информацию о каждой функции и настройке, пожалуйста, перейдите в Центр загрузок, чтобы загрузить руководство пользователя для вашего продукта.