I. WPROWADZENIE Zakładamy, że mamy dwie odległe lokalizacje, w których dostęp do Internetu obsługują routery szerokopasmowe Vigor 2900 i Asmax BR 804-V II. Aby połączyć odległe sieci LAN tunelem VPN, wybieramy protokół IPSec (Asmax nie obsługuje PPTP ani L2TP). Vigor obsługuje dwa tryby tunelowania IPSec: AH oraz ESP, i wybierzemy ten drugi, ponieważ Asmax nie obsługuje AH. Poza tym mechanizmy IPSec/IKE obu routerów są kompatybilne, choć obowiązuje nieco odmienna koncepcja konfiguracji. Przyjmujemy następujące założenia adresacji IP: V2900: publiczny, niezmienny adres IP: 213.10.12.2, podsieć lokalna: 192.168.7.0/24 BR804: publiczny, niezmienny adres IP: 80.14.71.90, podsieć lokalna: 192.168.2.0/24 Vigor 2900 IP: 213.10.12.2 Internet IP: 80.14.71.90 BR804V II 192.168.7.1 192.168.2.1 192.168.7.20 192.168.2.20 II. WSTĘPNA KONFIGURACJA ROUTERÓW 1. Konfigurujemy interfejs LAN routera Vigor dla obsługi podsieci prywatnej: LAN TCP/IP and DHCP Setup 1
Jako adres własny routera wybieramy adres 192.168.7.1. W przykładzie włączono również serwer DHCP z początkowym adresem 192.168.7.10 i pulą obejmującą 50 kolejnych adresów. Podano też adresy publicznych serwerów DNS, które zostaną przyznane hostom. Uwaga: drugi adres LAN (for IP routing usage) ma domyślnie postać 192.168.2.1. Można tak zostawić tylko pod warunkiem, że druga podsieć pozostanie wyłączona (Disable). Inaczej mogłoby to zakłócić routing z siecią po drugiej stronie tunelu (w routerze Asmax przyjęliśmy podsieć domyślną 192.168.2.0/24). Oczywiście problem można wyeliminować zmieniając adresację po stronie routera Asmax (np. na 192.168.3.0/24 czy inną prywatną). 2. Konfigurujemy interfejs LAN po stronie routera Asmax Uruchamiamy Setup Wizard i wybieramy np. adres 192.168.2.1 jako adres samego routera: W routerze Asmax również można uruchomić serwer DHCP automatycznie przyznający konfigurację IP. Należy odwołać się do obszaru Advanced Settings (u góry), oraz wybrać po lewej stronie DHCP Server Settings: 2
3. W obu routerach należy prawidłowo skonfigurować dostęp do Internetu poprzez port WAN. W przykładzie założymy, że oba routery są podłączone w standardzie Ethernet (nie PPPoE/PPTP itp.) do urządzenia posiadającego własny adres IP i będącego bramą do Internetu. Może to być modem ADSL (np. usługa Internet DSL) lub inny router (np. osobny Firewall). Dla konfiguracji VPN tryb czy protokół dostępu do Internetu nie jest zresztą ważny. Istotne jest jedynie czy adres WAN IP routera jest adresem publicznym czy NATowanym przez inny router, oraz czy jest on stały czy zmienny. Przyjęliśmy sytuację idealną, tzn. oba routery posiadają stały, publiczny adres IP interfejsu WAN. Router Vigor: Internet Access Setup Static or Dynamic IP Zakładamy maskę podsieci 255.255.255.252, typową dla usługi Internet DSL z 1 adresem publicznym do wykorzystania przez urządzenie abonenta (tutaj 213.10.12.2). Adres 213.10.12.1 jest adresem modemu/routera, który stanowi bramę domyślną dla routera Vigor. Router Asmax konfigurujemy podobnie. Należy użyć Setup Wizard i wybrać tryb dostępu do Internetu (jeżeli mamy usługę Internet DSL, wybieramy Static IP i podobnie jak w Vigorze przypisujemy adres własny WAN, maskę i adres bramy). Rysunki zostaną pominięte. W razie problemów z konfiguracją dostępu do Internetu należy zajrzeć do instrukcji obsługi routera Asmax. 3
III. KONFIGURACJA VPN (tunel IPSec łączący zdalne podsieci) 1. W routerze Vigor zaznaczamy IPSec jako akceptowany przez router protokół VPN: VPN and Remote Access Setup Remote Access Control Setup 2. Tworzymy profil zawierający definicję połączenia. VPN and Remote Access Setup LAN to LAN Dialer Profile Setup 4
Wybieramy dowolny, nieużywany profil, klikając na odpowiedni indeks. Profil jest bardzo rozbudowany, gdyż zawiera opcje VPN dla protokołów IPSec, L2TP, L2TP/IPSec jak i PPTP, choć dany protokół VPN wykorzystuje tylko część z tych parametrów. Ustawienia istotne w naszym przykładzie będą zaznaczone na czerwono. W części Common Settings włączamy profil, podajemy dowolną nazwę i określamy zachowanie się połączenia. Opcja Both zapewnia możliwość inicjowania tunelu zarówno przez router odległy (Asmax) jak i przez router lokalny (Vigor). Tunel będzie rozłączony po określonym czasie nieaktywności (Idle Timeout), i ponownie nawiązany gdy któryś z hostów odwoła się do zdalnej sieci. Opcja Always On powoduje, że tunel jest trwały, ale inicjacja początkowa jest możliwa tylko w wykonaniu routera Vigor (następuje przejście w tryb Dial- Out). Jeżeli oba routery posiadają stabilne łącze, które nie ulega awariom, tryb Alway On sprawdzi się dobrze. Inaczej lepiej skorzystać z trybu automatycznego, ewentualnie wydłużając czas Idle Timeout tak aby przypadki rozłączenia były rzadsze. Można też sztucznie utrzymywać tunel za pomocą ping. Czas zestawienia tunelu trwa typowo od 1 do kilku sekund i jest to niemal nieodczuwalne dla większości aplikacji. Profil Name dowolna nazwa dla profilu Enable włączenie profilu (inaczej połączenie nie będzie możliwe) Call Direction: Both tunel może być inicjowany i odbierany przez Vigor1 Dial-Out tylko inicjowanie do Vigor 2 (Vigor 1 nie odbierze wywołania od Vigor 2) Dial-In odwrotnie (tylko odbiór), brak podniesienia tunelu przez Vigor 1 na żądanie Uwaga: dotyczy to procesu inicjowania tunelu jeżeli nie jest o aktywny. W aktywnym tunelu istnieje pełna komunikacja w obu kierunkach (dotyczy również inicjowania sesji TCP pomiędzy podsieciami) Always on tunel stale aktywny Idle Timeout tunnel rozłączany po podanym czasie nieaktywności i automatycznie inicjowany na żadanie komputerów 5
W części Dial-Out wybieramy parametry IPSec. Przyjmujemy: - protokół ESP (Asmax BR-804V nie obsługuje AH) - szyfrowanie DES z autentykacją pakietów (MD-5 lub SHA-1, algorytm zależy od przebiegu negocjacji z Asmaxem patrz ustawienia Advance) Server IP publiczny adres IP interfejsu WAN odległego routera (tu: Asmax). Można by tutaj użyć nazwy DNS skojarzonej z adresem IP, o ile router będzie miał możliwość prawidłowego jej rozwiązania w skutek odwołania do serwera DNS. Przydaje się to kiedy adres zdalny się zmienia (np. Neostrada + DynDNS). Type of server protokół VPN jaki zostanie użyty przez Vigor podczas inicjowania tunelu. Jedyną metodą VPN obsługiwaną przez router Asmax jest tunel IPSec. IKE Pre-Shared Key należy tutaj podać wspólny klucz uwierzytelniania wstępnego dla obu routerów. Identyczny klucz wpiszemy w routerze Asmax (przyjmujemy: masterbrinet). Advance konfiguracja protokołu wymiany IKE. Użyjemy trybu Main bez opcji PFS: 6
Można pozostawić ustawienia czasu życia kluczy oraz postać Phase 1 proposal, można też zmieniać te ustawienia na własne (nie będą one tutaj szczegółowo omawiane, choć nieumiejętna konfiguracja trybu negocjacji po obu stronach może mieć uniemożliwić albo wydłużyć zestawianie tunelu). Można też użyć trybu wymiany Agressive zamiast Main. Część Dial-In określa parametry IPSec dla sytuacji kiedy router Vigor odbiera wywołanie inicjowane przez zdalny router. Dla tego kierunku inicjacji tunelu można więc ustawić różne parametry, jak szyfrowanie, klucz IKE itd. Nie możemy tego zrobić w przykładzie, ponieważ profil połączenia w routerze Asmax nie przewiduje takiej możliwości dla obu kierunków obowiązują te same parametry (patrz dalej). Zaznaczamy więc przynajmniej DES jako akceptowany algorytm szyfrowania ESP, ale nie zaznaczamy trybu AH (nie jest obsługiwany przez Asmax). Wpisujemy identyczny klucz: masterbrinet. Specify Remote VPN Gateway zanaczenie tego pola ogranicza możliwość nawiązania połączenia wyłącznie spod podanego adresu IP (jako adresu źródłowego hosta inicjującego). Gdyby zdalny router (Asmax) używał zmiennego adresu, nie należy zaznaczać tego pola. My wpiszemy adres interfejsu WAN zdalnego routera Asmax. IKE Pre-Shared Key według komentarza wyżej, wpisujemy: masterbrinet Allowed Dial-In Type zaznaczamy tunel IPSec jako akceptowany protokół IPSec Cześć ostatnia dotyczy zagadnień routingu IP wewnątrz tunelu VPN: To co absolutnie musimy podać, to informacje o odległej podsieci IP, leżącej za zdalnym routerem Asmax, do której dotarcie wymaga zestawienia tunelu: Remote Network/Network Mask adres/maska zdalnej podsieci prywatnej 7
Po prawidłowym wpisaniu powyższych parametrów router posiada statyczną trasę do odległej podsieci, prowadzącą przez wirtualny interfejs oznaczający ten konkretny tunel VPN. Przedstawione na rysunku ustawienia TCP/IP są poprawne w odniesieniu do naszego przykładu. Ogólnie Vigor oferuje znacznie więcej, jednak ograniczenia routera Asmax nie pozwalają na wykorzystanie tych możliwości. Są to: More jeżeli inne zdalne podsieci również mają być osiągane przez ten tunel VPN, można tutaj dopisać ich identyfikatory IP. Remote Gateway brama domyślna do innych sieci w podsieci zdalnej (przydatne z opcją More) RIP routing dynamiczny wewnątrz tunelu For NAT operation sposób traktowania sieci zdalnej podczas negocjowania adresów IP w kontekście rodzaju stosowanej adresacji (prywatne lub publiczne adresy IP, ewentualna konieczność zastosowania NAT): Private IP informuje Vigor 1 że zdalna podsieć stosuje adresy prywatne Public IP analogicznie Vigor 1 zakłada że po drugiej stronie tunelu ma do czynienia z adresami publicznymi w ramach LAN. Opcja Public IP może być użyteczna w celu połączenia VPN pomiędzy podsiecią prywatną a Intranetem stosującym adresy publiczne, lub pomiędzy dwoma takimi Intranetami. Normalnie jednak zawsze pozostawia się ustawieni domyślne (Private IP). Change default route to this tunnel po zaznaczeniu, lokalne komputery będą zmuszone korzystać z Internetu poprzez ten tunel i bramę domyślną w podsieci zdalnej. Normalnie zatem należy pozostawić układ domyślny (pole nie zaznaczone). Uzupełnienie: pole Scheduler sluży do planowania profilu czasowego dla aktywności połączenia. Podaje się tutaj numery reguł czasowych, zdefiniowanych w menu Call Schedule Setup. Dzięki temu można w bardziej zaawansowany sposób zaplanować o jakiej porze dnia i w jaki dni tygodnia połączenie VPN będzie dostępne. Opcję Enable Ping... można wykorzystać do informowania odległego routera o stanie lokalnego połączenia z Internetem, wysyłając regularne komunikaty ICMP na adres w zdalnej sieci. Podtrzymuje się w ten sposób połączenie VPN, natomiast jeżeli router generujący ping przestaje nadawać z powodu kłopotów z dostępem do Internetu, router odbierający może zamknąć tunel i oczekiwać na nowe wywołanie po ustąpieniu kłopotów. Wszelkie opcje nie opisane w niniejszym opracowaniu odnoszą się do połączeń VPN wykorzystujących mechanizmy protokołu PPP (a więc L2TP, PPTP, L2TP/IPSec). Zaprezentowany przykład pokazuje czysty tunel IPSec, gdzie opcje te nie są stosowane (np. PPP user/password, protokół PAP/CHAP, Call Back itp.). 8
3. W routerze Asmax włączamy obsługę IPSec: Włączamy IPSec i podajemy dowolną nazwę połączenia. Uwaga: Zaznaczenie Disable Internet Access spowoduje wyłączenie wszelkiej komunikacji innej niż IPSec, czyli nie będzie możliwy klasyczna komunikacja z Internetem, a tylko komunikacja zdalna z wykorzystaniem IPSec. 4. Konfiguracja profilu połączenia Po kliknięciu Add znajdujemy się wewnątrz profilu IPSec. Konieczne ustawienia to: Connection Name nazwa połączenia Remote Site - typ połączenia (z siecią LAN czy z pojedynczym hostem) wybieramy LAN Remote IP Network/Mask symetrycznie względem routera Vigor, musimy podać zdalną sieć prywatną, z którą router ma zestawić tunel w razie ruchu kierowanego na adresy jej hostów. Remote Gateway IP/FQDN adres publiczny/w pełni kwalifikowana nazwa DNS zdalnego routera VPN (tu: routera Vigor) Network Interface interfejs fizyczny routera Asmax, na którym realizuje się połączenie Secure Association metoda powstawania (negocjowania) zabezpieczeń IPSec (w przykładzie wybieramy Main). We współpracy z Vigorem możliwa jest też opcja Agressive. Encryption Protocol algorytm szyfrowania ESP (wybieramy dokładnie taki sam jak w Vigorze w przykładzie: DES) Pre Shared Key klucz IKE wpisujemy identycznie jak w routerze Vigor: masterbrinet 9
Dodatkowo, zaznaczając opcję NetBIOS Broadcast pozwalamy na rozgłaszanie i rejestrację nazw protokołu NetbIOS w sieciach Windows, dzięki czemu do odległych komputerów można się odwoływać za pomocą nazw a nie tylko adresów IP. Są one też obecne w Otoczeniu Sieciowym. Czas obowiązywania kluczy w obu fazach IKE jest negocjowany przez obie strony, i nie należy dokonywać niespójnych zmian w jednym tylko routerze. Identyfikatory (UID) służą do zestawienia wielu tuneli IPSec pomiędzy konkretnymi adresami IP, co nie ma miejsca w naszym przykładzie. Klikamy SAVE i czekamy na ponowne uruchomienie routera. Jeżeli konfiguracja jest poprawna (jak w przykładzie), obie podsieci (192.168.2.0 i 192.168.7.0) posiadają pełną wzajemną komunikację na poziomie protokołu IP, co w sensie routingu odpowiada bezpośredniemu połączeniu obu routerów kablem Ethernet za pomocą interfejsów WAN. Maksymalna prędkość transmisji w tunelu IPSec pomiędzy oboma routerami wynosi ok. 7 Mbit/s (zmierzone dla DES+SHA-1). W rzeczywistych warunkach będzie ona zawsze ograniczona możliwościami najwolniejszego łącza dostępu do Internetu. Piotr Ponitka Inżynier Systemów Teleinformatycznych BRINET, Poznań p.ponitka@brinet.com.pl 10