Ejemplo de configuración de IPsec - Inquilino/NAT

Ejemplo de configuración de un túnel IPsec dentro de un inquilino de VergeOS usando la dirección IP dedicada de la interfaz de usuario con reglas NAT para dirigir el tráfico del túnel.

El siguiente ejemplo configura un par IPsec dentro de un inquilino de VergeOS. En este ejemplo, la dirección IP dedicada utilizada para acceder a la interfaz de usuario del inquilino también se utiliza para el túnel IPsec, con reglas NAT en vigor para dirigir el tráfico del túnel de forma adecuada.

Este ejemplo se refiere a un inquilino que utiliza una dirección IP dedicada; los inquilinos que utilizan una dirección compartida (mediante reglas de proxy/PAT) requerirán una configuración diferente.

IPsec es un marco complejo que admite una amplia variedad de combinaciones de configuración, con muchas formas de lograr el mismo objetivo, lo que hace imposible proporcionar instrucciones universales. Las configuraciones de ejemplo se ofrecen como referencia y deben adaptarse para satisfacer el entorno y los requisitos particulares.

Consulte la página de la Guía del producto IPsec para obtener instrucciones generales paso a paso sobre cómo crear un túnel IPsec.

Configuración del host

Asignar la dirección de la interfaz de usuario a un inquilino crea automáticamente reglas en el sistema host (redes externa y del inquilino) para encaminar el tráfico de forma adecuada. No debería ser necesaria ninguna configuración adicional en el host.

Toda la configuración descrita a continuación se realiza dentro del sistema del inquilino.

Configuración de la red VPN

Configuración de la red VPN

Fase 1

Configuración de la fase 1

Fase 2

Configuración de la fase 2

Reglas predeterminadas de la red VPN

Reglas predeterminadas del firewall - Las siguientes reglas de firewall necesarias se crean automáticamente cuando se crea una red VPN:

• Permitir IKE: Aceptar tráfico UDP entrante en el puerto 500 hacia Mi IP del enrutador

• Permitir NAT-Traversal de IPsec: Aceptar tráfico UDP entrante en el puerto 4500 hacia Mi IP del enrutador

• Permitir ESP: Aceptar tráfico del protocolo ESP entrante hacia Mi IP del enrutador

• Permitir AH: Aceptar tráfico del protocolo AH entrante hacia Mi IP del enrutador

Revisar reglas

Estas reglas pueden modificarse para restringirlas a direcciones de origen específicas, cuando corresponda.

Reglas adicionales de la red VPN

Deben crearse reglas adicionales en nuestra nueva red VPN:

Regla NAT de VPN:

La regla NAT de entrada debe moverse al principio, antes de la Aceptar reglas. Las instrucciones para cambiar el orden de las reglas se pueden encontrar en la Guía del producto: Reglas de red - Cambiar el orden de las reglas

Regla de ruta predeterminada:

Regla SNAT de VPN:

Reglas de la red externa

Se necesitan reglas de traducción en la red externa del inquilino para enviar el tráfico IPsec a la red VPN:

Regla NAT UDP externa:

Regla NAT ESP externa:

Regla NAT AH externa:

Conexión de redes internas a la VPN

Se puede configurar el enrutamiento entre la red VPN y otras redes internas para proporcionar acceso por túnel a esas redes; consulte Cómo configurar el enrutamiento entre redes.

Las nuevas reglas deben aplicarse en cada red para que surtan efecto.