Dal menù Network/Interface/Ethernet configurare le interfacce WAN e LAN di a con gli opportuni ip:

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Dal menù Network/Interface/Ethernet configurare le interfacce WAN e LAN di a con gli opportuni ip:"

Albino Galli
7 anni fa
Visualizzazioni

1 VPN IPSEC SITE TO SITE RIDONDATA SU DOPPIA WAN TRA USG (FIRMWARE 2.20) Dal menù Network/Interface/Ethernet configurare le interfacce WAN e LAN di a con gli opportuni ip: L apparato per capire se la sua interfaccia WAN è correttamente collegata ad internet va ad effettuare un PING CHECK verso un indirizzo ip pubblico. Nelle schermate di configurazione delle WAN nella sezione Connettivity Check andare ad inserire un ip pubblico pingabile (consigliamo di fare un tracert verso internet e verificare il primo hop pingabile sulla rete dell isp, in alternativa un ip di un dns del provider). Di default la WAN pinga il proprio GW, opzione da non utilizzare in quanto il router potrebbe essere funzionante ma la linea down:

2 Configurate le interfacce wan e lan dell apparato a creiamo dal menù Object/Address l oggetto che identifica la rete lan della sede remota (oggetto SUBNET sedeb): Nel Menù VPN/IPSec VPN/VPN Gateway creiamo la fase 1 della vpn. Apriamo i parametri avanzati. In My Address selezioniamo Domain Name / IP ed inseriamo come indirizzo: così facendo il firewall sceglierà di volta in volta l interfaccia wan disponibile su cui chiudere il tunnel. Come Peer Gateway Address inseriamo come Primary l ip pubblico della wan 1 della sede remota b, come Secondary l ip pubblico della wan 2 di b:

3 Come Pre-Shared Key inseriamo una password di almeno 8 caratteri (dovrà essere uguale anche sul firewall della sede b). I campi Local ID Type/Content sono parametri di autenticazione che vengono scambiati durante la fase 1: possono essere inventati, l importante è che i Content siano poi incrociati sul firewall remoto. Definiamo i parametri del Negotiation Mode, Proposal e Key Group (questi campi saranno riportati uguali anche sul firewall b): L Extended Authentication ai fini dell esempio non è da utilizzare:

4 Nel Menù VPN/IPSec VPN/VPN Connection creiamo la fase 2 della vpn. Abilitiamo i parametri avanzati. Abilitiamo il Nailed-Up se vogliamo che il tunnel sia sempre attivo. Nella sezione VPN Gateway definiamo come Application Scenario Site-to-Site, in quanto il firewall andrà a far vpn verso un altro firewall, come VPN Gateway richiamiamo la policy creata in precedenza:

5 Nella sezione Policy definiamo la rete locale e la rete remota che dovranno partecipare alla vpn (Remote policy richiama l oggetto creato in precedenza). Nella Phase 2 Settings definiamo i parametri di Active Protocol, Encapsulation e Proposal (riportati uguali anche sul firewall b, PFS è opzionale): Nella sezione Connectivity Check inseriamo un ip della sede remota pingabile su vpn. Il check inserito in precedenza permette di verificare il traffico verso internet, questo check permette di verificare il traffico sul tunnel ipsec:

6 Configuriamo le interfacce WAN e LAN di b con gli opportuni ip: Anche su b attiviamo i ping check sulle wan:

7 Configurate le interfacce wan e lan dell apparato b creiamo dal menù Object/Address l oggetto che identifica la rete lan della sede remota (oggetto SUBNET sedea): Nel Menù VPN/IPSec VPN/VPN Gateway creiamo la fase 1 della vpn. Apriamo i parametri avanzati. In My Address selezioniamo Domain Name / IP ed inseriamo come indirizzo: così facendo il firewall sceglierà di volta in volta l interfaccia wan disponibile su cui chiudere il tunnel. Come Peer Gateway Address inseriamo come Primary l ip pubblico della wan 1 della sede remota a, come Secondary l ip pubblico della wan 2 di a:

8 Come Pre-Shared Key inseriamo una password di almeno 8 caratteri (uguale a quella inserita sul firewall della sede a). I campi Local ID Type/Content sono incrociati rispetto a quelli inseriti sul firewall a. Definiamo i parametri del Negotiation Mode, Proposal e Key Group (uguali a quelli inseriti sul firewall della sede a): L Extended Authentication era disabilitata su a quindi non va attivata:

9 Nel Menù VPN/IPSec VPN/VPN Connection creiamo la fase 2 della vpn. Abilitiamo i parametri avanzati. Abilitiamo il Nailed-Up se vogliamo che il tunnel sia sempre attivo. Nella sezione VPN Gateway definiamo come Application Scenario Site-to-Site, come VPN Gateway richiamiamo la policy creata in precedenza:

10 Nella sezione Policy definiamo la rete locale e la rete remota che dovranno partecipare alla vpn (Remote policy richiama l oggetto creato in precedenza, Local e Remote saranno quindi incrociati rispetto ad a). Nella Phase 2 Settings definiamo i parametri di Active Protocol, Encapsulation e Proposal (riportati uguali a quelli definiti su a, PFS none): Anche qui in Connectivity Check inseriamo un ip della sede remota pingabile su vpn:

vpn (in caso di aggiornamenti da versioni 2.12 o precedenti può essere necessario creare le policy).

11 La release firmware 2.20 non necessità di policy route per instradare il traffico sulle vpn, il routing viene creato in base alle reti specificate nella fase 2 della vpn (in caso di aggiornamenti da versioni 2.12 o precedenti può essere necessario creare le policy). Avviamo il tunnel e se la configurazione è corretta saremo in grado di pingare una macchina remota. La vpn in questo caso è creata su wan1 wan1: Per testare la ridondanza andiamo a staccare il cavo dalla wan1, passato il tempo necessario alla ricreazione del tunnel la vpn verrà ripristinata sulle wan ancora disponibili:

Documenti analoghi

Configuriamo correttamente le interfacce Ethernet del nostro USG secondo le nostre esigenze. Configurazione interfacce

NEXT-GEN USG VPN Client to site Configuriamo correttamente le interfacce Ethernet del nostro USG secondo le nostre esigenze Configurazione interfacce Configurazione VPN fase 1 Configuriamo la VPN. Dal