bintec VPN Access 5 VPN - połączenie dwóch lokalizacji z wykorzystaniem protokołu PPTP z silnym szyfrowaniem 3DES Routery Bintec oferują profesjonalną implementację protokołu IPSec dla realizacji połączeń VPN. Dotyczy to również tańszych modeli dla rynku SOHO (dom, biuro, mała firma). Czasami jednak do połączenia odległych lokalizacji firmy wymagane jest użycie innego protokołu VPN. Najpopularniejszym po IPSec protokołem bezpiecznego tunelowania ruchu IP w Internecie jest PPTP (ang. Point to Point Tunneling Protocol). Jego zaletą w oczach przeciętnego użytkownika jest prostota konfiguracji połączenia PPTP oraz implementacja PPTP we wszystkich wersjach systemów operacyjnych MS Winows TM. W systemach tych, dominujących na rynku SOHO/SMB, konfiguracja połączeń PPTP jest realizowana przez prosty kreator i nie wymaga specjalistycznej wiedzy. W systemach Windows możliwe są zarówno połączenia Host-LAN jak i LAN-LAN (łączenie sieci w trybie routingu). Dlatego wielu producentów sprzętu i oprogramowania VPN implementowało protokół PPTP od dawna, nawet po pojawieniu się standardu IPSec, tradycyjnie zresztą słabiej wspieranego przez systemy operacyjne. Inną zaletą PPTP może być jego większa dostępność w sieciach operatorów stosujących translację NAT. Istnieją dostawcy Internetu, oferujący swoim klientom nieroutowalne adresy IP, które następnie podlegają translacji na adres publiczny, co pociąga za sobą wymaganie specjalnego wsparcia dla połączeń VPN. Wsparcie to, o ile występuje, ogranicza się zazwyczaj do połączeń PPTP. Szeroka na rynku dostępność implementacji PPTP nie jest jednak tożsama z ich jakością. Liczba opcji i poziom zabezpieczeń oferowany przez większość produktów jest zwykle dostosowywany do systemów MS Windows TM (uwierzytelnianie MS-CHAPv2 + szyfrowanie MPPE). Implementacje profesjonalne, jak te stosowane przez Funkwerk-EC, pozwalają nie tylko w pełni wykorzystać możliwości oferowane przez inne produkty, ale wnoszą całą gamę rzadko spotykanych możliwości w dziedzinie szyfrowania oraz kompresji danych. Uwaga! Osobom zainteresowanym konfiguracją zdalnego dostępu PPTP spod systemu Windows XP do routera bintec polecamy osobny artykuł poświęcony temu zagadnieniu. W poniższym artykule pokażemy jak za pomocą dwóch routerów bintec z rodziny VPN Access można szybko i łatwo połączyć dwie lokalizacje firmy. Użycie tunelu PPTP nie przeszkodzi nam zastosować silnego szyfrowania algorytmem 3DES z kluczem 168 bitów, stosowanym w połączeniach IPSec. Zakładamy, że do dyspozycji mamy: Router Bintec VPN Access 5 obsługujący dostęp DSL TP w centrali firmy Router Bintec VPN Access 5 obsługujący dostęp Neostrada w oddziale firmy Założenia dodatkowe: Adres publiczny routera w centrali: 83.12.10.10 Modem ADSL w oddziale, z włączoną funkcją PPPoE pass-through (przekazywanie sesji PPPoE do routera bintec pracującego w trybie klienta PPPoE) podsieć LAN w centrali: 192.168.20.0/255.255.255.0 (adres własny routera: 192.168.20.254) podsieć LAN w oddziale: 192.168.10.0/255.255.255.0 (adres własny routera: 192.168.10.254) Uwaga! Protokół PPTP jest wspierany przez różne modele Bintec, w szczególności przez wszystkie routery z rodziny VPN Access. W każdym z nich konfiguracja wygląda identycznie. Jeżeli tylko router posiada najnowsze oprogramowanie i w menu głównym widnieje pozycja PPTP, można zastosować niniejszy przykład. Uwaga! Artykuł zakłada poprawną konfigurację dostępu do Internetu na obu routerach Bintec, wraz z włączoną translacją NAT. W razie potrzeby należy sięgnąć po osobne artykuły poświęcone konfiguracji różnych form dostępu (Neostrada, TP DSL, Net24). Forma dostępu do Internetu nie ma znaczenia dla realizacji połączenia PPTP.
Konfiguracja routera w oddziale Zakładamy, że interfejs ETH1 pracuje jako WAN i jest podłączony bezpośrednio do modemu ADSL obsługującego Neostradę. Poprawnie pracujący klient PPPoE na interfejsie ETH1 inicjuje sesję PPP, przeprowadza uwierzytelnienie i otrzymuje publiczny adres IP (zmienny). Aby uzyskać dostęp do konfiguracji, najlepiej zainstalować z płyty CD oprogramowanie BRICKware, podłączyć szeregowy kabel konsoli pod port COM1 w komputerze i wybrać opcję Start->Programy- >BRICKware->Device At COM1. Otworzy się okno domyślnego terminala (np. Hyperterminal) z gotowymi ustawieniami połączenia dla portu konsoli. Naciskamy <Enter> i podajemy parametry logowania (fabrycznie login: admin, password: bintec). Uwaga! Do konfiguracji urządzenia można też dostać się terminalem Telnet oraz przeglądarką http (domyślny adres IP dla interfejsu ETH1: 192.168.0.254, login: admin/password: bintec). Komputer musi w tym celu posiadać odpowiedni adres z podsieci 192.168.0.0/24, np. 192.168.0.10. Adres należy przypisać statycznie, gdyż serwer DHCP nie jest aktywny domyślnie. Komputer podłączamy do portu ETH1 za pośrednictwem switcha kablem prostym (straight-through) lub bezpośrednio kablem krzyżowym (cross-over). Oczywiście pracujący router może posiadać inny adres niż domyślny, stąd wskazane jest użycie portu konsoli.. Przed przystąpieniem do dalszej konfiguracji należy koniecznie zadbać o to, aby router posiadał najnowsze oprogramowanie systemowe. Weryfikacji wersji oprogramowania dokonujemy komendą swversion: Uwaga! Najnowsze wersje oprogramowania wraz z opisem procesu aktualizacji można uzyskać w serwisie producenta www.funkwerk-ec.com. Niniejszy opis zakłada, że router posiada oprogramowanie 7.2 Rev. 1 Patch 9.. Z wiersza poleceń terminala wywołujemy graficzny program konfiguracyjny poleceniem setup i naciskamy <Enter>. W menu głównym interesują nas dwa pola, zaznaczone kolorami: 2
W menu PPP zmieniamy globalne, domyślne parametry dla połączeń według rysunku i zatwierdzamy SAVE. Następnie przechodzimy do menu PPTP, gdzie zdefiniujemy indywidualny profil połączenia do centrali. Wybieramy opcję ADD aby dodać profil do listy i wypełniamy pola wewnątrz profilu zgodnie z rysunkiem: Opcja Partner Name to dowolna nazwa połączenia, nie mająca związku z danymi logowania PPP. Po wypełnieniu głównych danych wybieramy kolejno poszczególne menu podrzędne: PPP, Advanced Settings oraz IP (patrz dalej). Wybieramy podmenu PPP i dokonujemy konfiguracji według rysunku: Opcja Partner PPP ID odpowiada nazwie użytkownika dla połączenia PPP w systemie Windows, oraz pozycji Local PPP ID w zdalnym routerze bintec. Dla testu należy użyć prostego identyfikatora i hasła: ppp, jednak docelowo hasło powinno zostać wydłużone i składać się z kilkunastu losowych znaków i cyfr. Po wypełnieniu pól zatwierdzamy zmiany i powracamy do profilu połączenia. 3
Teraz wybieramy menu Advanced Settings: Niektóre opcje są tutaj dowolne, inne należy ustawić ściśle według rysunku: nie używamy Callback Static Short Hold czas po jakim router rozłączy nieaktywne połączenie Delay after Connection Failure czas blokowania profilu po nieudanym logowaniu (wraz z silnym hasłem pozwala ograniczyć ataki słownikowe ograniczając częstotliwość nieudanych prób logowania) PPTP Mode tryb pracy protokołu PPTP (pozostawiamy PPTP PNS) Special Interface Types opcja dialin only pozwala na jedną sesję PPTP z wykorzystaniem danego profile w danej chwili, zaś call-by-call to możliwość logowania wielu klientów w jednej chwili na ten sam profil (użytkownik/hasło). Jeżeli wymagamy osobnych kont logowania dla użytkowników wybieramy dialin only i tworzymy osobne profile PPTP. Dla połączenia dwóch routerów można wybrać none. Zatwierdzamy dane OK.. Wreszcie wybieramy menu IP i ingerujemy tylko w zbiór ustawień podstawowych (zaznaczone kolorem). 4
W ustawieniach podstawowych (menu Basic IP-Settings) wyznaczamy adresację IP dla połączenia VPN: Identification by IP Address - używamy weryfikacji IP i wpisujemy adres stały routera w centrali: 83.12.10.10. via IP Interface wskazuje który interfejs ma służyć do nawiązania połączenia (u nas en0-1 port ETH1). Local IP address podajemy adres IP interfejsu LAN routera IP Address Negotiation opcja static pozwoli na własną adresację ręczną po obu stronach połączenia Default route ustawiamy no, ponieważ nie planujemy kierować trasy domyślnej przez VPN i centrale Remote IP Address zdalna podsieć LAN Remote Netmask maska zdalnej podsieci Zatwierdzamy zmiany SAVE. Na liście profili wybieramy EXIT aby znaleźć się w menu głównym konfiguratora. Na tym etapie zakończyliśmy podstawową konfigurację samego protokołu PPTP. Pozostaje jeszcze wykonać odpowiednie reguły NAT dla przekierowania komunikacji PPTP na adres wewnętrzny 127.0.0.1 routera. Konfiguracja mechanizmu NAT dla tunelu PPTP Ponieważ mechanizmy NAT i VPN w routerach Bintec pracują jako niezależne moduły systemowe, konieczna jest odpowiednia konfiguracja reguł NAT dla przekierowania protokołu PPTP na wewnętrzny adres pętli zwrotnej 127.0.0.1. Na połączenie PPTP składa się kanał kontrolny (TCP 1723) oraz tunel GRE, i takie dwie reguły należy stworzyć. W menu głównym wybieramy menu IP i dalej wchodzimy do Network Address Translation. Na liście dostępnych interfejsów IP odszukujemy interfejs publiczny PPPoE: Uwaga! Podstawowe interfejsy IP typu Ethernet są oznaczane przez system jako en0-1, en0-2 itd. (1 i 2 to numer interfejsu fizycznego). Interfejs PPPoE jest logicznym interfejsem IP oznaczonym jako WIZ_XDSL_EXT_PPPoE jest to klient PPPoE działający na fizycznym interfejsie.ethernet. Klient taki jest tworzony przez kreator (komenda wizard). 5
Po wybraniu właściwego interfejsu IP, mamy możliwość włączenia translacji NAT (zakładamy, że jest już włączona) oraz konfiguracji reguł dla sesji inicjowanych z zewnątrz oraz z sieci LAN na zewnątrz. Interesuje nas opcja Requested from OUTSIDE ponieważ tunel jest zawsze inicjowany przez klienta z zewnątrz, a nie przez router do Internetu: Na liście reguł wybieramy ADD i tworzymy przekierowanie dla enkapsulacji GRE tworzącej tunel danych. Zapisujemy SAVE. Następnie dodajemy drugą regułę dla sesji TCP i portu docelowego 1723 (oraz dowolnego adresu/portu źródłowego). Zapisujemy SAVE. Prawidłowo dodane reguły prezentują się na liście w sposób pokazany na rysunku. 6 Opuszczamy listę (EXIT) i wychodzimy do menu głównego (EXIT). Bardzo istotnym elementem kończącym proces konfiguracji jest zapisanie wszelkich zmian do nielotnej pamięci Flash ROM, aby były one ładowane do pamięci RAM podczas ponownego uruchomienia routera np. w wypadku utraty zasilania. Używane
podczas konfiguracji potwierdzenia SAVE dokonują zapisu jedynie w pamięci RAM, tzn. zmiany będą obowiązywać do momentu utraty zasilania. Dlatego opuszczamy menu konfiguratora (EXIT) i zgadzamy się na zapisanie całej konfiguracji jako startowej. Konfiguracja routera w centrali Wchodzimy do konfiguracji routera i wywołujemy program konfiguracyjny poleceniem setup (patrz wcześniej). W menu głównym interesują nas pozycje PPTP oraz PPP: W menu PPP zmieniamy globalne, domyślne parametry dla połączeń według rysunku i zatwierdzamy SAVE: 7
Następnie przechodzimy do menu PPTP, gdzie zdefiniujemy indywidualny profil połączenia do centrali. Wybieramy opcję ADD, aby dodać profil do listy, i wypełniamy pola zgodnie z rysunkiem: Opcja Partner Name to dowolna nazwa połączenia, nie mająca związku z danymi logowania PPP. Po wypełnieniu głównych danych wybieramy kolejno poszczególne menu podrzędne: PPP, Advanced Settings oraz IP (patrz dalej). Wybieramy podmenu PPP i dokonujemy konfiguracji według rysunku: Opcja Partner PPP ID odpowiada nazwie użytkownika dla połączenia PPP w systemie Windows, oraz pozycji Local PPP ID w zdalnym routerze bintec. Dla testu należy użyć prostego identyfikatora i hasła: ppp, jednak docelowo hasło powinno zostać wydłużone i składać się z kilkunastu losowych znaków i cyfr. Po wypełnieniu pól zatwierdzamy zmiany i powracamy do profilu połączenia. Teraz wybieramy menu Advanced Settings: Niektóre opcje są tutaj dowolne, inne należy ustawić ściśle według rysunku: nie używamy Callback 8
Static Short Hold czas po jakim router rozłączy nieaktywne połączenie Delay after Connection Failure czas blokowania profilu po nieudanym logowaniu (wraz z silnym hasłem pozwala ograniczyć ataki słownikowe ograniczając częstotliwość nieudanych prób logowania) PPTP Mode tryb pracy protokołu PPTP (pozostawiamy PPTP PNS) Special Interface Types opcja dialin only pozwala na jedną sesję PPTP z wykorzystaniem danego profile w danej chwili, zaś call-by-call to możliwość logowania wielu klientów w jednej chwili na ten sam profil (użytkownik/hasło). Jeżeli wymagamy osobnych kont logowania dla użytkowników wybieramy dialin only i tworzymy osobne profile PPTP. Dla połączenia dwóch routerów można wybrać none. Zatwierdzamy dane OK.. Wreszcie wybieramy menu IP i ingerujemy tylko w zbiór ustawień podstawowych (zaznaczone kolorem). W ustawieniach podstawowych (menu Basic IP-Settings) wyznaczamy adresację IP dla połączenia VPN: Dynamic PPTP VPN włączamy yes, ponieważ adres publiczny w biurze ulega zmianie PPTP VPN Partner s IP Address podajemy nazwę hosta Dynamic DNS skonfigurowaną dla routera w biurze Local IP address podajemy adres IP interfejsu LAN routera IP Address Negotiation opcja static pozwoli na własną adresację ręczną po obu stronach połączenia Default route ustawiamy no, ponieważ nie planujemy kierować trasy domyślnej przez VPN i biuro Remote IP Address zdalna podsieć LAN Remote Netmask maska zdalnej podsieci Zatwierdzamy zmiany SAVE. Na liście profili wybieramy EXIT, aby znaleźć się w menu głównym konfiguratora. Na tym etapie zakończyliśmy podstawową konfigurację samego protokołu PPTP. Podobnie jak w poprzednim routerze, pozostaje jeszcze wykonać odpowiednie reguły NAT dla przekierowania komunikacji PPTP na adres wewnętrzny 127.0.0.1 routera. 9
Konfiguracja mechanizmu NAT dla tunelu PPTP W menu głównym wybieramy menu IP i dalej wchodzimy do Network Address Translation. Na liście dostępnych interfejsów IP odszukujemy interfejs IP odpowiadający Ethernet 1: Po wybraniu właściwego interfejsu, włączamy translację adresów (on) dodajemy identyczne dwie reguły dla PPTP jak w przypadku routera w biurze (patrz wcześniej): Na liście reguł wybieramy ADD i tworzymy przekierowanie dla enkapsulacji GRE tworzącej tunel danych. Zapisujemy SAVE. Następnie dodajemy drugą regułę dla sesji TCP i portu docelowego 1723 (oraz dowolnego adresu/portu źródłowego). 10 Zapisujemy SAVE.
Prawidłowo dodane reguły prezentują się na liście w sposób pokazany na rysunku. Opuszczamy listę (EXIT) i wychodzimy do menu głównego (EXIT). Jak w poprzednim routerze, zapisujemy zmiany konfiguracji do pamięci Flash ROM: Opuszczamy menu konfiguratora (EXIT) i zgadzamy się na zapisanie całej konfiguracji jako startowej. Diagnostyka i rozwiązywanie problemów Warto sprawdzić komunikację router router poprzez tunel VPN, wykonując komendę ping z konsoli jednego routera na interfejs LAN drugiego (np. z oddziału ping 192.168.20.254). Po uzyskaniu połączenia status profilu VPN powinien zmienić się z dormant na up: Dla bardziej zaawansowanych użytkowników, posiadających wiedzę z zakresu protokołu PPP, polecić można komendę debug ppp wykonywaną z konsoli routera celem dokładniejszej weryfikacji przyczyny problemu. Komenda wyświetla wszystkie informacje i stany dla poszczególnych faz negocjacji PPP, a więc można ocenić : czy pakiety kontrolne z odległego routera inicjującego docierają i powodują jakikolwiek proces negocjacji tunelu jeżeli nie, sprawdzamy reguły NAT oraz sam dostęp do Internetu na obu routerach czy ewentualny problem podczas negocjacji występuje w fazie LCP (nieprawidłowe ustawienia algorytmów szyfrowania, kompresji itd., nieprawidłowe hasło/nazwa użytkownika), czy też w fazie NCP (nieprawidłowe ustawienia IP dla połączenia) Zestawienia tunelu (stan up) nie musi oznaczać prawidłowego routingu pomiędzy sieciami zdalnymi. W wypadku braku komunikacji z komputerami zdalnymi należy ponownie sprawdzić ustawienia IP po obu stronach tunelu (menu IP Settings w profilu PPTP), jak i upewnić się że komputery mają ustawione bramy domyślne lub trasy statyczne na lokalny router bintec. Funkwerk Enterprise Communications GmbH Krakowskie Przedmieście 47/51 00-071 Warszawa Telefon +48-22 44 44 797 Faks +48-22 44 44 997 E-mail funkwerk@funkwerk-ec.pl www.funkwerk-ec.pl 11