Exemple de configuration IPsec - Locataire/NAT

Exemple de configuration de tunnel IPsec dans un locataire VergeOS à l’aide de l’adresse IP UI dédiée avec des règles NAT pour diriger le trafic du tunnel.

L’exemple suivant configure un pair IPsec au sein d’un locataire VergeOS. Dans cet exemple, l’adresse IP dédiée utilisée pour accéder à l’interface utilisateur du locataire est également utilisée pour le tunnel IPsec, avec des règles NAT en place pour acheminer correctement le trafic du tunnel.

Cet exemple concerne un locataire utilisant une adresse IP dédiée ; les locataires utilisant une adresse partagée (via des règles proxy/PAT) nécessiteront une configuration différente.

IPsec est un framework complexe qui prend en charge une vaste gamme de combinaisons de configuration avec de nombreuses façons d’atteindre le même objectif, ce qui rend impossible de fournir des instructions universelles. Des exemples de configuration sont donnés à titre de référence et doivent être adaptés pour répondre à l’environnement et aux exigences particulières.

Consultez la page du guide produit IPsec pour des instructions générales étape par étape sur la création d’un tunnel IPsec.

Configuration de l’hôte

L’attribution de l’adresse de l’interface utilisateur à un locataire crée automatiquement des règles sur le système hôte (réseaux externes et du locataire) afin d’acheminer correctement le trafic. Aucune configuration supplémentaire ne devrait être nécessaire sur l’hôte.

Toute la configuration décrite ci-dessous est effectuée dans le système du locataire.

Configuration du réseau VPN

Configuration du réseau VPN

Phase 1

Configuration de la phase 1

Phase 2

Configuration de la phase 2

Règles par défaut du réseau VPN

Règles de pare-feu par défaut - Les règles de pare-feu nécessaires suivantes sont créées automatiquement lorsqu’un réseau VPN est créé :

• Autoriser IKE : Accepter le trafic UDP entrant sur le port 500 vers l’IP de mon routeur
• Autoriser le NAT-Traversal IPsec : Accepter le trafic UDP entrant sur le port 4500 vers l’IP de mon routeur
• Autoriser ESP : Accepter le trafic entrant du protocole ESP vers l’IP de mon routeur
• Autoriser AH : Accepter le trafic entrant du protocole AH vers l’IP de mon routeur

Vérifier les règles

Ces règles peuvent être modifiées pour se limiter à des adresses sources spécifiques, le cas échéant.

Règles supplémentaires du réseau VPN

Des règles supplémentaires doivent être créées sur notre nouveau réseau VPN :

Règle NAT VPN :

La règle NAT entrante doit être déplacée en tête, avant le Accepter Règles. Vous trouverez dans le guide produit les instructions pour modifier l’ordre des règles : Règles réseau - Modifier l’ordre des règles

Règle de route par défaut :

Règle SNAT VPN :

Règles du réseau externe

Des règles de traduction sont nécessaires sur le réseau externe du locataire afin d’envoyer le trafic IPsec vers le réseau VPN :

Règle NAT UDP externe :

Règle NAT ESP externe :

Règle NAT AH externe :

Connexion des réseaux internes au VPN

Le routage peut être configuré entre le réseau VPN et d’autres réseaux internes afin de fournir un accès par tunnel à ces réseaux ; voir Comment configurer le routage entre les réseaux.

Les nouvelles règles doivent être appliquées sur chaque réseau pour prendre effet.