Konfiguracja IPSec Brama IPSec w Windows 2003 Server

Transkrypt

1 Konfiguracja IPSec Aby zainstalować OpenSWAN w popularnej dystrybucji UBUNTU (7.10) należy użyć Menedżera Pakietów Synaptics lub w konsoli wydać polecenia: sudo apt-get install openswan. Zostaną pobrane potrzebne paczki. W przypadku konieczności kompilacji ze źródeł należy odwiedzią witrynę: W sytuacji instalacji ze źródeł oraz gdy z naszą bramą będą się łączuli użytkownicy pracujący na systemach Windows konieczne jest zainstalowanie serwera L2TP (ang. Layer 2 Tunnelling Protocol) protokół tunelowania w warstwie drugiej. Źródła można pobrać ze strony: Konfiguracja (uwierzytelnienie w oparciu o PSK- Preshared Key, czyli klucz współdzielony) sprowadza się do edycji plików: l2tpd.conf plik konfiguracyjny demona L2TP l2tpd plik konfiguracyjny demona pppd (ang. Point to Point Protocol) protokołu punkt-punkt. Chap-secrets plik danych służączy do uwierzytelniania użytkowników poprzez PPP Ipsec.conf definiuje użycie NAT, stopień debugowania, zastosowaną kompresję, metodę wymiany kluczy Szczegółowe informacje znajdują się w plikach README.* odpowiednich źródeł. Z uwagi na możliwość bardziej przejrzystego zobrazowania metodologii tworzenia VPN za pomocą IPSec, praktyczne zestawienie tunelu zostanie przedstawione przy użyciu systemu Windows 2003 Server w roli bramy i Windows XP w roli użytkownika po drugiej stronie tunelu Brama IPSec w Windows 2003 Server W przykładzie przedstawionym poniżej użytkownicy zdalni będą mieli automatycznie przypisywane adresy IP z zarezerwowanej puli: z maską Tak więc dla hostów mamy 10 dostępnych adresów i jeden dla bramy. Dla uproszczenia konfiguracji wybrano opcję z uwierzytelnieniem w oparciu o przynależność do grupy. W tym celu została dodana grupa klienci_vpn z uprawnieniami umożliwiającymi korzystanie ze zdalnych połączeń. Pracę rpzpoczynamy od konfiguracji usługi Routing and Remote Access. Po uruchomieniu klikamy prawym przyciskiem myszy i wybieramy Configure and Enable Routing and Remote Access jak na rysunku:

2 Rysunek Konfiguracja usługi: Routing and Remote Access Następnie wybieramy opcję VPN and NAT rys Rysunek Wybór VPN z obsługą NAT

3 Zaznaczamy połączenie, za pomocą którego łączymy się z internetem rys: Rysunek Wybór aktywnego połączenia z internetem W następnym oknie musimy zdefiniować zakres adresów, które będą przypisywane łączącym się hostom, możemy tutaj skorzystać z zainstalowanego serwera DHCP lub określić go ręcznie rys: Rysunek Definiowanie zakresu adresów przyznawanych hostom

4 W następnym oknie wykluczamy użycie serwera Radius rys. Rysunek Wykluczenie użycia serwera Radius W ten spsób podstawową konfigurację mamy za sobą. Teraz musimy stworzyć nową zasadę dostępu New Remote Access Policy jak na rys:

5 Rysunek Konfiguracja Nowej Zasady Dostępu New Remote Access Policy Następnie wybieramy kreatora (wizard) Rysunek Definiowanie nazwy Nowej Zasady Dostępu za pomocą kreatora

6 Dalej jako metodę dostępu wybieramy VPN, w kolejnym oknie wybieramy grupę i dodajemy ją jak na rysunku: Rysunek Definiowanie grupy mogącej korzystać z tunelu VPN/IPSec W kolejnym oknie pozostawiamy domyślnie zaznaczoną opcję szyfrowania jako MS- CHAPv2 zgodnie z rysunkiem:

7 Rysunek Weryfikacja algorytmów szyfrowania (MS-CHAPv2) Jeśli zajdzie potrzeba modyfikacji puli adresowej wystarczy z menu wybrać Properties właściwości rys.

8 Rysunek Edycja ustawień tunelu VPN i jak na poniższym rysunku dokonać wymaganych zmian Rysunek Konfiguracja zakresu adresów przypisywanych hostom Należy pamiętać o dodaniu użytkowników mających się łączyć z naszą bramą do utworzonej grupy klienci_vpn jak pokazuje rysunek

9 Rysunek Przypisanie użytkownika do grupy: klienci_vpn Zestawienie tunelu po stronie klienta Konfigurowanie klienta w sytemie Windows jest niemal intuicyjne. Należy jedynie utworzyć za pomocą kreatora nowe połączenie sieciowe i w dwóch kolejnych oknach wybrać opcje zawierające słowo kluczowe VPN. Należy jeszcze wpisać adres serwera (naszej bramy). Istotne jest by w następnym oknie zaznaczyć: nie wybieraj połączenia początkowego jak na rysunku

10 Rysunek Domyślny wybór istniejącego w systemie łącza szerokopasmowego Po kliknięciu w ikonę nowo utworzonego połączenia o nazwie Połączenie_IPSec wystarczy wpisać login i hasło by móc używać kanału szyfrowanego za pomocą protokołu IPSec, rys

11 Rysunek Okno logowania do tunelu VPN/IPSec po stronie klienta VPN/IPSec między dwiema odległymi sieciami na bazie Windows Server 2003 Tunel taki najlepiej utworzyć w oparciu o współdzielony klucz (PSK). Konfiguracja jest bardzo podobna do opisu z rozdziału W kreatorze powinniśmy wybrać: Bezpieczne połączenie między dwiema sieciami prywatnymi, w kolejnych oknach koniecznie zaznaczając użycie protokołu L2TP a także określić nazwy użytkowników, które w tym przypadku będą nazwami routerów dostępowych łączonych sieci oraz utworzyć konta dla nich, na które to będą się logować. Po obu stronach tunelu trzeba wykonać identyczne czynności dodając ten sam klucz (PSK) przy konfiguracji usługi Routing i dostęp zdalny ; zakładka interfejsy sieciowe / zabezpieczenia / ustawienia protokołu IPSec.