> For the complete documentation index, see [llms.txt](https://docs.verge.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.verge.io/run-the-platform/vi/vpn/ipsec.md).

# Cấu hình IPsec

VergeOS bao gồm khả năng tương thích IPsec để cho phép cấu hình một đường hầm VPN giữa mạng VergeOS và một Peer IPsec của bên thứ ba.

{% hint style="info" %}
**Sử dụng IPsec**

Chức năng IPsec được cung cấp cho những trường hợp có yêu cầu IPsec cụ thể. Khuyến nghị thay vào đó hãy dùng WireGuard khi có thể. WireGuard có hiệu năng tốt hơn IPsec và nhờ cấu hình đơn giản hơn, nó có thể ít dễ bị tổn thương hơn trước các cấu hình bảo mật vô tình sai sót.
{% endhint %}

Tài liệu này cung cấp các hướng dẫn từng bước chung để cấu hình VergeOS như một peer IPsec. Các ví dụ cấu hình cụ thể được liên kết ở cuối trang này.

## Các bước tổng quan

* Tạo một **Mạng VPN** và chỉnh sửa Cấu hình IPsec, nếu cần
* Tạo một **Giai đoạn 1** Cấu hình
* Tạo một **Giai đoạn 2** Cấu hình
* Cấu hình **Quy tắc Tường lửa và Định tuyến**

## Tạo một Mạng VPN

1. Đi tới **Mạng** > **+ VPN mới**.
2. Cấu hình các trường Mạng.
   * **Loại Layer 2:** Không có
   * **Loại địa chỉ IP:** tĩnh
   * **Địa chỉ IP:** địa chỉ bộ định tuyến VPN
   * **Địa chỉ mạng:** dải mạng cục bộ cho peer này
   * **Mạng giao diện:**
   * ***--None--*** để tạo một mạng VPN riêng biệt, trong đó các kết nối đến các mạng VergeOS khác đều được xử lý bằng định tuyến layer 3. (Phương pháp được khuyến nghị)
   * **Chọn một mạng hiện có** để gắn mạng VPN trực tiếp vào mạng đó qua layer 2.

Thông tin về các trường mạng khác có thể được tìm thấy tại: [Hướng dẫn chung về mạng nội bộ](/run-the-platform/vi/mang/internal-networks.md)

## Chỉnh sửa Cấu hình IPsec (Nếu cần)

Các cài đặt IPsec chung được đặt theo giá trị mặc định thông dụng. Có thể sửa đổi các cài đặt này nếu cần: từ **Bảng điều khiển Mạng VPN**, nhấp **Chỉnh sửa IPsec** từ menu bên trái.

{% hint style="info" %}
Hãy tham khảo tài liệu của nhà cung cấp IPsec bên thứ ba của bạn và/hoặc các nguồn tài liệu chung, chẳng hạn như tài liệu do NIST cung cấp, để được hướng dẫn về từng cài đặt IPsec, các đánh đổi tiềm năng của các lựa chọn khác nhau và các thực hành bảo mật tốt nhất.
{% endhint %}

* **Chế độ cấu hình**
  * *bình thường (mặc định)* - tùy chọn này thường được dùng và bao gồm các trường IPsec phổ biến
  * *nâng cao* - cho phép cấu hình IPsec mở rộng hoặc bất thường thông qua việc sử dụng các tệp cấu hình(conf)
* **ID duy nhất**
  * *Có (mặc định)* - giữ cho các ID của từng participant là duy nhất. (Còn được gọi là *Thay thế* tùy chọn)
  * *Không bao giờ* - sẽ bỏ qua thông báo INITIAL\_CONTACT, vẫn không thay thế các IKE\_SA cũ
  * *Không* - sẽ chỉ thay thế IKE\_SA khi có thông báo INITIAL\_CONTACT.
* **Đề xuất nén IPComp (mặc định tắt):** Sử dụng một giao thức đặc biệt được thiết kế để nén phần dữ liệu của các gói IP; peer từ xa phải hỗ trợ. Việc nén này có thể hữu ích khi dữ liệu truyền đi có khả năng nén cao; tuy nhiên, nó cũng tạo ra chi phí xử lý. Thông thường cần thêm các quy tắc tường lửa để xử lý lưu lượng IPIP.
* **Loại trừ Mạng của tôi:** Cài đặt này thường nên được bật.
* **Tiện ích mở rộng Cisco:** Cài đặt này nên để tắt, trừ khi thực sự cần để hỗ trợ cấu hình peer IPsec từ xa.
* **Tải ID và HASH không mã hóa trong IKEv1 Main Mode (mặc định=tắt):** khuyến nghị tắt vì IKEv1 Main mode, nơi các tải ID và HASH được truyền không mã hóa trong quá trình trao đổi ban đầu, gây ra một số lỗ hổng bảo mật.
* **MSS Clamp (mặc định=0/tắt):** Trong một số tình huống, việc kẹp MSS có thể cải thiện hiệu năng trong các đường hầm IPsec. Tuy nhiên, điều quan trọng là phải hiểu rõ mạng của bạn để tính toán và đặt MSS chính xác, vì cấu hình sai có thể dẫn đến hiệu năng kém tối ưu và/hoặc mất gói.
* **Chính sách CRL nghiêm ngặt (mặc định=Không):** Chính sách CRL (Danh sách thu hồi chứng chỉ) nghiêm ngặt trong IPsec quy định rằng các chứng chỉ bị thu hồi sẽ không được chấp nhận trong quá trình xác thực.
* **Tạo trước khi ngắt (mặc định tắt):** các SA mới được thiết lập trong khi các SA cũ vẫn còn hoạt động; loại bỏ các SA cũ khi các SA mới đã sẵn sàng.

## Tạo cấu hình Giai đoạn 1

1. Từ **Bảng điều khiển Mạng VPN**, nhấp **Các đường hầm IPsec** > **Mới**.
2. Nhập một **Tên** và tùy chọn **Mô tả** cho giai đoạn 1.
3. Cấu hình **Phiên bản trao đổi khóa**

* *Tự động* - sử dụng phiên bản mà peer từ xa khởi tạo (IKEv1 hoặc IKEv2)
* *IKEv1*
* *IKEv2*

{% hint style="success" %}
**Khuyến nghị mạnh mẽ sử dụng IKEv2 vì lý do bảo mật.**
{% endhint %}

4. Nhập **Địa chỉ Cổng từ xa:** (bắt buộc) địa chỉ WAN ở peer IPsec còn lại.
5. Cấu hình **Cài đặt mã hóa Giai đoạn 1**
   * **Thuật toán**(mặc định AES)
   * **Cài đặt Độ dài khóa, Hash và Nhóm DH** (các tùy chọn sẽ thay đổi tùy theo Thuật toán được chọn).
   * **Thời lượng/Đơn vị** - cài đặt tự hết hạn cho các SA (Mặc định: 3 giờ)

{% hint style="info" %}
*Lưu ý: Một số thuật toán không cung cấp bảo mật mạnh và do đó không được khuyến nghị, chẳng hạn như Blowfish, 3DES, CAST128, MD5, SHA1, các nhóm DH 1,2,22,23,24*
{% endhint %}

6. Cấu hình **Cài đặt Đề xuất Giai đoạn 1 (Xác thực)**

* **Khóa chia sẻ trước:** có thể được nhập thủ công hoặc dùng nút Tạo để tạo một giá trị ngẫu nhiên, an toàn cho khóa chia sẻ trước.
* **Chế độ thương lượng:**
  * *Main* - chế độ mặc định, được khuyến nghị
  * *Aggressive* - kém an toàn hơn chế độ Main nhưng linh hoạt hơn
* **Định danh:** danh tính được trình bày cho peer từ xa trong quá trình thương lượng IKE. Khi để trống, IP hiện tại sẽ được dùng. Thông thường, nên nhập địa chỉ WAN của peer IPsec này vì đây là địa chỉ nguồn được xác định khi truy cập peer từ xa.
* **Định danh peer:** danh tính mong đợi từ peer từ xa; thường có thể để trống để dùng địa chỉ hiện được chỉ định làm Cổng từ xa VPN.

7. Cấu hình **Tùy chọn nâng cao Giai đoạn 1**

* **Hành vi kết nối** xác định hành vi sẽ xảy ra khi IPsec khởi động:
  * *Chỉ phản hồi* - tải kết nối nhưng không khởi động nó.
  * *Theo nhu cầu* - tải một kết nối và khởi động nó nếu phát hiện lưu lượng giữa các mạng
  * *Khởi động* - tải và khởi động kết nối ngay lập tức
* **Ép bao gói UDP** (mặc định=tắt) - khi được bật, bao gói UDP sẽ được ép dùng ngay cả khi không phát hiện NAT.
* **Số lần thử tạo khóa:** số lần cố gắng thương lượng một kết nối, hoặc thay thế cho một kết nối, trước khi bỏ cuộc. Giá trị 0 nghĩa là không bao giờ bỏ cuộc; cài đặt này chỉ có ý nghĩa cục bộ, vì phía bên kia không cần có cùng cài đặt.
* **Tái tạo khóa:** (mặc định=bật) tùy chọn này có thể bị tắt để ngăn việc khởi tạo cục bộ việc thương lượng lại một kết nối sắp hết hạn; tuy nhiên, nó không ảnh hưởng đến các yêu cầu thương lượng lại đến từ peer kia.
* **Margintime:** xác định khoảng thời gian phải trôi qua trước khi thương lượng thay thế cho kênh tạo khóa/kết nối đã hết hạn; cài đặt này chỉ có ý nghĩa cục bộ, vì phía bên kia không cần có cùng cài đặt.
* **Phát hiện peer chết:** xác định hành động mặc định sẽ thực hiện khi hết thời gian chờ:
  * *Xóa* - đóng kết nối
  * *Giữ* - giám sát lưu lượng mới và thương lượng lại kết nối nếu phát hiện lưu lượng giữa các mạng.
  * *Khởi động lại (mặc định)* - cố gắng thương lượng lại kết nối ngay lập tức
  * *Không có* - vô hiệu hóa việc gửi thông báo DPD
* **Độ trễ DPD:** (mặc định=30 giây) xác định khoảng thời gian giữa các thông điệp R\_U\_There/các trao đổi INFORMATIONAL được gửi đến peer, và chỉ được gửi khi không có lưu lượng nào khác.
* **Số lần lỗi DPD:** xác định số lần lỗi tối đa để tự động xóa các kết nối peer sau khi không hoạt động (Cài đặt này không áp dụng cho IKEv2.)

{% hint style="info" %}
Nếu cần, có thể thêm các định nghĩa Giai đoạn 1 bổ sung. Từ Bảng điều khiển Mạng VPN: **Các đường hầm IPsec** > **Mới**
{% endhint %}

## Tạo cấu hình Giai đoạn 2

{% hint style="info" %}
Phải tạo cấu hình Giai đoạn 2 để tạo một kết nối IPsec hoạt động.
{% endhint %}

1. Từ **Bảng điều khiển Mạng VPN**, nhấp **Các đường hầm IPsec** trong menu bên trái; nhấp đúp vào giai đoạn 1 phù hợp để đi đến bảng điều khiển giai đoạn 1 đó; nhấp **Mới** ở menu bên trái.
2. Nhập một **Tên** và **Mô tả tùy chọn** cho cấu hình Giai đoạn 2 mới.
3. Chọn một **Chế độ:**
   * *Đường hầm* (mặc định) - phương pháp được khuyến nghị cho VPN site-to-site; gửi hai tiêu đề IP, với gói gốc được đóng gói bên trong
   * *Vận chuyển* - chỉ mã hóa phần dữ liệu và phần đuôi ESP.
4. Chỉ định **Mạng cục bộ:** (bắt buộc) dải mạng con địa chỉ IP sẽ được bao gồm ở phía này của VPN, ví dụ 192.168.0.0/24.
5. Chỉ định **Mạng từ xa:** mạng của peer từ xa ở định dạng CIDR, ví dụ 50.x.x.x/28.
6. Chọn một **Giao thức:**
   * *ESP* (khuyến nghị)
   * *AH* (Chỉ xác thực)
7. Chỉ định **Thời lượng** tính bằng Đơn vị (Giây, Phút, Giờ, Ngày, Năm) hoặc *Vĩnh viễn* cho thời lượng của SA được thiết lập trong Giai đoạn 2.
8. Chọn mã hóa **Thuật toán** và **Độ dài khóa, Hash và Nhóm DH** cài đặt.
9. Nhấp vào **Gửi** để lưu Cấu hình Giai đoạn 2.

## Cấu hình Tường lửa và Quy tắc Định tuyến

Cần có cấu hình mạng cho lưu lượng IPsec. Các quy tắc mạng sau sẽ được tự động tạo cho một Mạng VPN mới:

* cho phép đến IKE UDP 500
* cho phép đến IPsec NAT-Traversal 4500
* cho phép đến ESP
* cho phép đến AH

Cấu hình mạng bổ sung (ví dụ: quy tắc tường lửa, định tuyến) sẽ cần thiết tùy theo thiết kế mạng và IPsec cụ thể. Xem các liên kết bên dưới đến các ví dụ IPsec cụ thể bao gồm cấu hình quy tắc mạng.

### Để khởi tạo đường hầm VPN từ phía VergeOS

1. Từ **Bảng điều khiển Mạng VPN**, nhấp **Bật** từ menu bên trái.
2. Nhấp vào biểu tượng Cắm dưới **Kết nối IPsec**.

![nút Kết nối IPsec](/files/66be8c8d1aa7c06018edc793b18dd7469ff03fd5)

3. Theo dõi trạng thái IPsec hiển thị đã kết nối.

## Các cấu hình mẫu IPsec

Có sẵn các cấu hình IPsec mẫu để tham khảo:

* [Địa chỉ công cộng chuyên dụng với mạng nội bộ bridge](/knowledge-base/vi/networking/ipsec-example-dedicated-ip.md)
* [Tenant sử dụng địa chỉ UI được NAT dịch](/knowledge-base/vi/networking/ipsec-example-tenant-nat-ui-ip.md)

## Mẹo khắc phục sự cố

### Xác minh các cài đặt tương thích/tương ứng giữa các peer

IPsec rất nhạy cảm với việc các cấu hình không khớp. Phần lớn các cài đặt yêu cầu phải khớp chính xác giữa các peer của kết nối. Hãy tham khảo tài liệu cho peer IPsec không phải VergeOS của bạn và đảm bảo tất cả các tham số được khớp tỉ mỉ ở cả hai đầu.

### Nhật ký vùng chứa mạng VPN

Có thể truy cập nhật ký vùng chứa mạng từ bảng điều khiển mạng VPN: **Diagnostics > Diagnostics Query:** ***Nhật ký*** Các nhật ký này thường chứa thông tin hữu ích để khắc phục sự cố, chẳng hạn như thông báo lỗi IPsec, địa chỉ nguồn và đích, v.v.

### Truy vết lưu lượng mạng

Việc truy vết lưu lượng trên mạng VPN và các mạng bên ngoài và nội bộ liên quan thường có thể hỗ trợ khắc phục sự cố bằng cách xác định xem lưu lượng đường hầm có đến được một mạng hay không, xác định địa chỉ nguồn và đích của các gói, v.v. **Diagnostics > Diagnostics Query:** ***Bắt gói TCP***. Phần [Hướng dẫn Chẩn đoán Mạng](/run-the-platform/vi/mang/network-diagnostics.md) cung cấp tài liệu tham khảo cho việc sử dụng công cụ Chẩn đoán Mạng.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation dynamically by asking a question.

Perform an HTTP GET request on the current page URL with the `ask` query parameter, and the optional `goal` query parameter:

```
GET https://docs.verge.io/run-the-platform/vi/vpn/ipsec.md?ask=<question>&goal=<endgoal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is optional and describes the broader end goal you are ultimately trying to accomplish on behalf of the user. GitBook uses it to tailor the answer towards what is most useful for that goal.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.