Configuration IPsec
Instructions pas à pas pour configurer un tunnel VPN IPsec entre un réseau VergeOS et un pair IPsec tiers, y compris la configuration des phases 1 et 2, ainsi que des règles de pare-feu.
VergeOS inclut la compatibilité IPsec pour permettre la configuration d’un tunnel VPN entre un réseau VergeOS et un pair IPsec tiers.
Ce document fournit des instructions générales étape par étape pour configurer VergeOS comme pair IPsec. Des exemples de configuration spécifiques sont liés en bas de cette page.
Étapes générales
Créer un réseau VPN et modifier la configuration IPsec, si nécessaire
Créer un Phase 1 Configuration
Créer un Phase 2 Configuration
Configurer Règles de pare-feu et de routage
Créer un réseau VPN
Accédez à Réseaux > + Nouveau VPN.
Configurer les champs réseau.
Type de couche 2 : Aucun
Type d’adresse IP : statique
Adresse IP : adresse du routeur VPN
Adresse réseau : plage du réseau local pour ce pair
Réseau de l’interface :
--Aucun-- pour créer un réseau VPN séparé, où les connexions aux autres réseaux VergeOS sont toutes gérées avec un routage de couche 3. (Méthode recommandée)
Sélectionner un réseau existant pour attacher le réseau VPN directement à ce réseau via la couche 2.
Des informations sur les autres champs réseau peuvent être trouvées à : Instructions générales sur les réseaux internes
Modifier la configuration IPsec (si nécessaire)
Les paramètres IPsec généraux sont définis sur des valeurs par défaut courantes. Ces paramètres peuvent être modifiés si nécessaire : depuis le tableau de bord du réseau VPN, cliquez sur Modifier IPsec dans le menu de gauche.
Mode de configuration
normal (par défaut) - cette option est généralement utilisée et inclut les champs IPsec courants
avancé - permet une configuration IPsec étendue ou inhabituelle via l’utilisation de fichiers de configuration (conf)
Identifiants uniques
Oui (par défaut) - conserver l’unicité des identifiants de participants particuliers. (Aussi connu comme l’ Remplacer option)
Jamais - ignorera la notification INITIAL_CONTACT, sans remplacer les anciens IKE_SA
Non - remplacera les IKE_SA uniquement lors de la notification INITIAL_CONTACT.
Proposer la compression IPComp (désactivée par défaut) : Utilise un protocole spécial conçu pour compresser la charge utile des paquets IP ; doit être pris en charge par le pair distant. Cette compression peut être bénéfique lorsque les données transmises sont hautement compressibles ; cependant, elle introduit une surcharge de calcul. Des règles de pare-feu supplémentaires sont généralement nécessaires pour gérer le trafic IPIP.
Exclure mon réseau : Ce paramètre doit généralement être activé.
Extensions Cisco : Ce paramètre doit rester désactivé, sauf s’il est spécifiquement nécessaire pour prendre en charge la configuration du pair IPsec distant.
Charges utiles ID et HASH non chiffrées en mode principal IKEv1 (par défaut=désactivé) : désactivé est recommandé car le mode principal IKEv1, où les charges utiles ID et HASH sont transmises non chiffrées lors de l’échange initial, introduit plusieurs vulnérabilités de sécurité.
Clamp MSS (par défaut=0/désactivé) : Dans certaines situations, le clamp MSS peut améliorer les performances dans les tunnels IPsec. Cependant, il est essentiel de bien comprendre votre réseau afin de calculer et définir MSS avec précision, car un réglage incorrect peut entraîner des performances sous-optimales et/ou des pertes de paquets.
Politique CRL stricte (par défaut=Non) : Une politique CRL (liste de révocation des certificats) stricte dans IPsec spécifie que les certificats révoqués ne sont pas acceptés lors de l’authentification.
Make Before Break (par défaut désactivé) : de nouveaux SA sont établis pendant que les anciens sont encore actifs ; suppression des anciens SA lorsque les nouveaux sont prêts.
Créer une configuration Phase 1
Depuis le tableau de bord du réseau VPN, cliquez sur Tunnels IPsec > Nouveau.
Saisissez un Nom et optionnel Description pour la phase 1.
Configurer Version d’échange de clés
Auto - utilise la version initiée par le pair distant (IKEv1 ou IKEv2)
IKEv1
IKEv2
Saisissez Adresse de la passerelle distante : (requis) l’adresse WAN de l’autre pair IPsec.
Configurer Paramètres de chiffrement de la Phase 1
Algorithme(AES par défaut)
Paramètres de longueur de clé, de hachage et de groupe DH (les options varieront selon l’algorithme sélectionné).
Durée de vie/Unités - paramètre d’expiration automatique pour les SA (par défaut : 3 heures)
Configurer Paramètres de proposition de Phase 1 (authentification)
Clé pré-partagée : peut être saisie manuellement ou le bouton Générer peut être utilisé pour créer une valeur aléatoire et sécurisée pour une clé pré-partagée.
Mode de négociation :
Principal - mode par défaut, recommandé
Agressif - moins sécurisé que le mode Principal mais offre plus de flexibilité
Identifiant : l’identité présentée au pair distant pendant la négociation IKE. Lorsqu’il est laissé vide, l’adresse IP actuelle est utilisée. En général, l’adresse WAN de ce pair IPsec doit être saisie, car c’est l’adresse source identifiée lors de l’accès au pair distant.
Identifiant du pair : l’identité attendue du pair distant ; peut généralement être laissée vide pour utiliser l’adresse actuellement spécifiée comme passerelle VPN distante.
Configurer Options avancées de la Phase 1
Comportement de la connexion définit le comportement à l’initialisation d’IPsec :
Répondeur uniquement - charge la connexion mais ne la démarre pas.
À la demande - charge une connexion et la démarre si du trafic est détecté entre les réseaux
Démarrer - charge et démarre la connexion immédiatement
Forcer l’encapsulation UDP (par défaut=désactivé) - lorsqu’il est activé, l’encapsulation UDP est forcée même lorsqu’aucun NAT n’est détecté.
Tentatives de clé : le nombre de tentatives pour négocier une connexion, ou son remplacement, avant d’abandonner. La valeur 0 signifie ne jamais abandonner ; ce paramètre n’est pertinent que localement, l’autre extrémité n’a donc pas besoin d’avoir le même réglage.
Renégocier : (par défaut=activé) l’option peut être désactivée pour empêcher l’initiation locale d’une renégociation d’une connexion sur le point d’expirer ; cependant, cela n’affecte pas les demandes de renégociation provenant de l’autre pair.
Temps de marge : définit la durée à écouler avant une négociation de remplacement pour une clé/canal de connexion expiré ; ce paramètre n’est pertinent que localement, l’autre extrémité n’a donc pas besoin d’avoir le même réglage.
Détection des pairs inactifs : définit l’action par défaut à effectuer en cas de délai d’attente :
Effacer - ferme la connexion
Maintien - surveille l’arrivée de nouveau trafic et renégocie la connexion si du trafic est détecté entre les réseaux.
Redémarrer (par défaut) - essaie de renégocier la connexion immédiatement
Aucun - désactive l’envoi des messages DPD
Délai DPD : (par défaut=30 secondes) définit l’intervalle de temps des messages R_U_There/échanges INFORMATIONAL envoyés au pair, qui ne sont envoyés que lorsqu’il n’y a aucun autre trafic.
Échecs DPD : définit le nombre maximal d’échecs après lesquels supprimer automatiquement les connexions de pair après inactivité (ce paramètre ne s’applique pas à IKEv2.)
Créer une configuration Phase 2
Depuis le tableau de bord du réseau VPN, cliquez sur Tunnels IPsec dans le menu de gauche ; double-cliquez sur la phase 1 appropriée pour accéder au tableau de bord de cette phase 1 ; cliquez sur Nouveau dans le menu de gauche.
Saisissez un Nom et Description facultative pour la nouvelle configuration Phase 2.
Sélectionnez un Mode :
Tunnel (par défaut) - méthode recommandée pour un VPN site à site ; deux en-têtes IP sont envoyés, avec encapsulation du paquet d’origine
Transport - chiffre uniquement la charge utile et la queue ESP.
Spécifiez le Réseau local : (requis) le sous-réseau d’adresses IP à inclure de ce côté du VPN, par ex. 192.168.0.0/24.
Spécifiez le Réseau distant : le réseau du pair distant au format CIDR, par ex. 50.x.x.x/28.
Sélectionnez un Protocole :
ESP (recommandé)
AH (authentification uniquement)
Spécifiez Durée de vie en unités (secondes, minutes, heures, jours, années) ou Toujours pour la durée de la SA établie pendant la Phase 2.
Sélectionnez le chiffrement Algorithme et Longueur de clé, hachage et groupe DH paramètres.
Cliquez sur Soumettre pour enregistrer la configuration de Phase 2.
Configurer les règles de pare-feu et de routage
Une configuration réseau sera nécessaire pour le trafic IPsec. Les règles réseau suivantes sont créées automatiquement pour un nouveau réseau VPN :
autoriser entrant IKE UDP 500
autoriser entrant IPsec NAT-Traversal 4500
autoriser entrant ESP
autoriser entrant AH
Une configuration réseau supplémentaire (par ex. règles de pare-feu, routage) sera nécessaire selon la conception spécifique du réseau et d’IPsec. Voir les liens ci-dessous vers des exemples IPsec spécifiques qui incluent la configuration des règles réseau.
Pour initier le tunnel VPN depuis le côté VergeOS
Depuis le tableau de bord du réseau VPN, cliquez sur Mettre sous tension dans le menu de gauche.
Cliquez sur l’icône de prise sous Connexions IPsec.
Surveillez l’état IPsec pour qu’il affiche connecté.
Exemples de configurations IPsec
Des exemples de configurations IPsec sont disponibles à titre de référence :
Conseils de dépannage
Vérifier la compatibilité mutuelle des paramètres entre les pairs
IPsec est très sensible aux incohérences de configuration. La plupart des paramètres nécessitent un alignement précis entre les pairs de la connexion. Consultez la documentation de votre pair IPsec non-VergeOS et assurez-vous que tous les paramètres correspondent méticuleusement aux deux extrémités.
Journaux du conteneur réseau VPN
Les journaux du conteneur réseau sont accessibles depuis le tableau de bord du réseau VPN : Diagnostics > Requête de diagnostic : Journaux Ces journaux contiennent souvent des informations utiles pour le dépannage, telles que des messages d’erreur IPsec, des adresses source et de destination, etc.
Tracer le trafic réseau
Le traçage du trafic sur le réseau VPN et les réseaux externes et internes associés peut souvent aider aux efforts de dépannage en identifiant si le trafic du tunnel atteint un réseau, en identifiant les adresses source et de destination des paquets, etc. Diagnostics > Requête de diagnostic : Tcpdump. Le Guide de diagnostic réseau fournit une référence pour l’utilisation de l’outil de diagnostics réseau.
Mis à jour
Ce contenu vous a-t-il été utile ?