Zestawienie tunelu VPN po protokole IPSec pomiędzy klientem VPN - Draytek Smart VPN Client za NAT-em, a routerem Draytek Aby zestawić VPN po protokole IPSec, pomiędzy komputerem podłączonym za pośrednictwem routera do Internetu, a odległym routerem Draytek, należy wykonać poniższe kroki: 1. Konfiguracja routera (odległego VPN serwera) 2. Konfiguracja routera (w naszej sieci LAN) 3. Konfiguracja klienta na naszym komputerze (PC1) 4. Diagnostyka połączenia oraz ręczne jego inicjowanie 1. Konfiguracja routera (dla przykładu skorzystano z Vigora 2900V) Wybieramy VPN and Remote Access Setup z kategorii Advanced Setup. 1
Wybieramy VPN IKE / IPSec General Setup, i w pola Pre-Shared Key oraz Re-type Pre- Shared Key wprowadzamy klucz szyfrujący, np. test1234. Następnie definiujemy najsilniejsze algorytmy szyfrujące i w tym celu zaznaczamy pola 3DES i AES (patrz rysunek poniżej). Klikamy OK, aby zapisać zmiany. Teraz ponownie z kategorii VPN and Remote Access Setup wybieramy Remote User Profile Setup (Teleworker). 2
Tworzymy profil dla użytkownika zdalnego, czyli takiego, który będzie się łączył z routerem poprzez VPN. W tym celu: wybieramy numer profilu (klikając np. na liczbę 1 w kolumnie Index) zaznaczamy pole Enable this account (patrz rysunek powyżej) w Idle Timeout zostawiamy wartość domyślną 300s, co oznacza, że zestawiony tunel VPN zostanie zrzucony, jeśli przez 300 sekund nie będzie generowanego przez klienta VPN żadnego ruchu; w Idle Timeout możemy ustawić 0s, aby tunel był trwały w polu Allowed Dial-In Type zaznaczamy IPSec tunel klikamy OK, aby zatwierdzić i zapisać zmiany. 2. Konfiguracja routera robiącego NAT po naszej stronie (w przykładzie to 2600V) Aby router, do którego jesteśmy podłączeni w sieci LAN, przepuszczał tunel VPN, bez ingerencji w niego, należy posłużyć się mechanizmem VPN Pass-Through. Inaczej mówiąc trzeba wyłączyć mu obsługę protokołu IPSec, tak aby router się stał dla niego przeźroczysty. W tym celu z kategorii VPN and Remote Access Setup wybieramy Remote Access Control Setup (Vigor 2600V), a następnie odznaczamy pole Enable IPSec VPN Service (patrz rysunek poniżej). 3
3. Konfiguracja klienta VPN Należy pobrać klienta VPN, korzystając z jednego z poniższych linków: ftp://ftp.draytek.pl/smart_vpn_client/vpn.zip ftp://ftp.draytek.com/tools/vpn/3.2.5/vpn.zip Po zainstalowaniu i uruchomieniu go, tworzymy profil połączenia VPN do Vigora 2900. W tym celu: klikamy przycisk Insert w polu Profil Name wpisujemy dowolną nazwę dla połączenia (rysunek poniżej) w polu VPN Server IP/Host Name wpisujemy adres IP routera, do którego zestawiamy tunnel VPN, albo jego nazwę DynDNS (w przypadku modeli 2600, 2800) w polu Type of VPN zaznaczamy IPSec Tunel klikamy OK, aby zapisać zmiany, po czym automatycznie przechodzimy do kolejnego okna. 4
w polu My IP wybieramy adres IP naszego komputera (rysunek powyżej) z pola Type of IPSec wybieramy Virtual IP, a następnie zaznaczamy pole Specify an IP address i wpisujemy adres IP, którym się będziemy prezentować serwerowi VPN. Najlepiej jeśli to będzie adres z tej samej rodziny, co adres LAN serwera VPN (u nas Vigora 2900V). Np. adres LAN routera 2900V to 192.168.20.170; maska 255.255.255.0, więc my wpisujemy: 192.168.20.221, maska 255.255.255.0. w polu Security Method wybieramy protokół realizujący szyfrowanie i uwierzytelnianie High (ESP), np. algorytmy 3DES with MD5 w polu Authority Method wybieramy Pre-shared Key i wpisujemy taki sam ciąg znaków, jak przy tworzeniu profilu użytkownika na routerze, np. test1234 klikamy OK. aby zapisać zmiany Teraz w polu Policy active/inactive wystarczy kliknąć Active, co przy poprawnej konfiguracji powinno się zakończyć wyświetleniem Status: Connected, a także zapaleniem zielonego światełka przy polu VPN (dokładnie jak na rysunku poniżej). 5
5. Diagnostyka połączenia oraz ręczne jego zainicjowanie O tym, czy tunel został zainicjowany, możemy również przekonać się wybierając VPN Connection Management z pola System Management menu głównego routera (rysunek poniżej). 6
Niekiedy tunel sam się nie podniesie, wówczas aby go obudzić należy zainicjować dowolny ruch w kierunku routera VPN-serwera. Wystarczy np. zwykły ping. Wybieramy Start a następnie Uruchom z menu Windows i wpisujemy cmd. Następnie wykonujemy polecenie: ping adres_routera_na_lan-ie (patrz rysunek poniżej, gdzie router 2900V posiada adres LAN-owy 192.168.20.170). Gdy wyświetli się komunikat: Negocjowanie zabezpieczeń IP, to tunel IPSec powinien zostać zainicjowany 7