如何在控制器模式下在 Omada 路由器設定 Site-to-Site Manual IPsec VPN Tunnels

Knowledgebase

Configuration Guide

Gateway

06-27-2022

注意: 此篇文章適用於 Omada SDN Controller v 4.3 以上版本

當網路在不同地點想要建立連線時，建議在 Omada 管理的路由器上設定 site-to-site IPsec VPN 通道，Omada 管理的路由器支援兩種 site-to-site VPN 類型: Auto IPsec 和 Manual IPsec。

此篇文章將顯示如何在控制器模式下設定 Manual IPsec，若要設定 Auto IPsec VPN，請參考如何在控制器模式下的 Omada 路由器設定 Site-to-Site Auto IPsec VPN 通道?

應用場景

一間公司想要讓子公司和總公司的網路互通，總公司使用被 Omada 管理的路由器，而子公司使用的路由器沒有被 Omada 控制器管理(我們以 ER7206 為例)，且路由器不接在任何 NAT 設備後方，也就是說，路由器 WAN 取得公共 IP 位址。在此場景中，您可以透過網際網路手動建立 IPsec VPN 通道，我們以下方拓樸為例。

注意: 若 Omada 路由器接在 NAT 設備後方，要成功建立 IPsec VPN 通道，請確認 UDP 通訊埠 500 和 4500 在 NAT 前方的設備已成功開放，並將 Phase-1 Settings 中的 Local ID Type / Remote ID 類型設為 Name。

設定

步驟 1. 取得 Manual IPsec VPN 所需的參數

1) 若路由器 A 被 Omada 控制器管理，請至 Devices 點擊路由器，右方將出現子頁面，前往 Details > WAN 查看路由器 A 取得的 WAN IP 位址。

前往 Settings > Wired Networks > LAN > Networks 取得總公司的本地網段(此處為 LAN 1，請根據您的網路拓樸選擇對應的 LAN)。

2) 而路由器 B (此處我們以 ER7206 為例)，前往 Status > System Status 取得子公司路由器 B 的 WAN IP 位址。

前往 Network > LAN > LAN 取得子公司的本地網段 (LAN 2)。

步驟 2. 在總部的 Omada 控制器中建立路由器 A 的新 VPN 項目

前往 Settings > VPN 點擊 + Create New VPN Policy。

步驟 3. 為路由器 A 設定 VPN 參數

輸入名稱以辨識 VPN 規則，新項目選為 Site-to-Site VPN，VPN 類型選為 Manual IPsec。接著設定相關參數並點擊 Create。

Status	勾選表示啟用此 VPN 項目。
Remote Gateway	輸入子公司路由器 B 的 WAN IP 位址 (100.100.100.100)。
Remote Subnets	輸入子公司 LAN 的 IP 位址範圍(192.168.10.1/24)。
Local Networks	選擇總公司的網路(LAN 1)，VPN 規則將套用至選取的網路。
Pre-Shared Key	輸入作為驗證碼的 Pre-Shared Key (PSK)，總公司和子公司需要設定一樣的 PSK 作為驗證。
WAN	選擇 VPN 通道要在哪個 WAN 埠建立。

注意: 當路由器 B (ER7206) 為獨立管理模式，請點擊 Advanced Settings 選擇 IKEv1 作為 Phase-1 Settings 的版本 Key Exchange Version

若 Omada 路由器接在 NAT 設備後方，要成功建立 IPsec VPN 通道，請確認 UDP 通訊埠 500 和 4500 在 NAT 前方的設備已成功開放，並將 Phase-1 Settings 中的 Local ID Type / Remote ID Type 設為 Name。

步驟 4. 在子公司的路由器 B 上新增 VPN 規則

這裡我們以 ER7206 為例，前往 VPN > IPsec > IPsec Policy 點擊 + Add。

步驟 5. 在路由器 B 上設定新 VPN 規則的參數

輸入規則名稱辨識 VPN，選擇模式為 LAN-to-LAN。 接著設定對應參數，點擊 OK。

Remote Gateway	輸入總公司的路由器 A 的 WAN IP 位址(100.100.100.100)。
WAN	選擇 VPN 通道要在哪個 WAN 上建立。
Local Subnet	輸入子公司的網路 IP 位址 (192.168.10.1/24)，VPN 規則將套用至網路中。
Remote Subnet	輸入總公司的 LAN IP 位址範圍 (192.168.0.1/24)。
Pre-Shared Key	輸入作為驗證碼的 Pre-Shared Key (PSK)，總公司和子公司需要設定一樣的 PSK 作為驗證。
Status	勾選以啟用 VPN 通道。

注意: 若 Omada 路由器接在 NAT 設備後方，要成功建立 IPsec VPN 通道，請確認 UDP 通訊埠 500 和 4500 在 NAT 前方的設備已成功開放，並將 Phase-1 Settings 中的 Local ID Type / Remote ID Type 設為 Name。