IPSec VPN Client VPN vs serie ZyWALL con PSK e Certificati digitali

Transcript

1 IPSec VPN Client VPN vs serie ZyWALL con PSK e Certificati digitali Il seguente documento mostra come configurare e gestire una VPN fatta attraverso il Client IPSec ZyXEL e la serie ZyWALL Questo documento è adattabile a tutti i dispositivi hardware ZyXEL con supporto VPN. Configurazione VPN client lato ZyWALL (con PSK): Creazione fase 1 Gateway Policy Il menù VPN ci mostra l editor di tutte le VPN già configurate e ci propone l aggiunta di nuovi profili.

2 Aggiungendo una nuova Gateway policy apparirà questo menù. In My address occorre inserire l ip specifico della WAN su cui si vuole chiudere la VPN, sia esso pubblico diretto o privato (dietro NAT del router quindi) Nella VPN dinamica il secure gateway va indicato come al fine di garentire la dinamicità della connessione da qualsiasi locazione domestica o in ambiente lavorativo. L Authentication Key va selezionata come Pre-Shared Key in questa tipologia, e nell apposito spazio inseriamo una chiave alfanumerica di almeno 8 caretteri. I campi Content sono opzionali e prevedono l inserimento di ID (sotto forma di , IP o Domain Name) per lo ZyWALL stesso e per il peer remoto. Inoltre è possibile implementare l autenticazione estesa del client attraverso il database locale dello ZyWALL o appoggiandosi ad un Radius.

3 Una volta completata la gateway policy, ci viene proposto di inserire una network policy associata attraverso l apposita icona che compare alla fine delle entry gateway policy appena inserita. Nella Network policy indichiamo quali host della rete locale dietro lo ZyWALL sono visibili in VPN e quli sono gli ip remoti. Nella VPN dimanica la remote network viene sempre indicata come single address Ricordiamo che sia la prima che la seconda fare vanno configurate attraverso le SA (IKE Proposal ed IPSec Proposal) da configurare poi in maniera speculare sul client

4 Una volta inserite gateway e network policy ecco come visualizzeremo la nostra VPN.

5 Configurazione VPN dinamica lato software (PSK) Una volta installato ecco l editor del client VPN IPSec.

6 Cliccando con il tasto destro sull opzione Configurazione apparirà questa schermata che ci consente di inserire i parametri nella fase1 associati alla VPN creata in precedenza sullo ZyWALL Nella selezione Interfaccia si consiglia di selezionare l IP della propria scheda di rete (che verrà proposto automaticamente) se ci si connette dietro NAT. Il Gateway remoto è l ip pubblico su cui viene chiusa la VPN lato ZyWALL.

7 Attraverso l opzione parametri avanzati della fase1 otteniamo la seguente schermata che ci consente di editare i content in maniera speculare alla configurazione apportata sullo ZyWALL.

8 Una volta competata la fase 1 (come da schermata sopra riportata) utilizziamo l opzione Gateway1 cliccando con il tasto destro per aggiungere la fase2 della rispettiva VPN

9 Nella fase 2 completiamo il profilo VPN indicando (se vogliamo) un indirizzo IP virtuale al client VPN (consigliabile se ci si connette da connettività Dial-UP, perché dietro NAT invece si assume l ip della scheda di rete lasciando l ip virtuale configurato di default come si vede nell esempio) per la sua visibilità dalla rete di accesso e configuriamo inoltre la rete remota da raggiungere rispettando la sintassi utilizzata nella creazione della network policy nello ZyWALL. Una volta salvato il tutto possiamo inizializzare il tunnel attraverso l apposita icone apri tunnel

10 Configurazione VPN Client lato ZyWALL (con Certificati digitali) Nel primo accesso allo zywall viene proposta la creazione dell auto_generated_self_signed_cert. Tale certificato (in sostituzione a quello generico valido per tutti gli ZyWALL stesso modello) diventa unico per il dispositivo su cui è stato creato e contraddistinto dal MAC address. Attraverso il menù create apriamo l editor per la creazione di un nuovo certificato che ci sarà utile in seguito.

11 La creazione del nuovo certificato (che sarà utilizzato dal client) prevede l inserimento di alcuni dati che caratterizzeranno il certificato stesso, rendendolo univoco (ID, Organization Unit, Organization, Country ) scelti a piacere. Caratterizzeremo tale certificato quindi per renderlo proprio del client IPSec L Enrollment option prevede la scelta Create a self-signed certificate al fine di identificare lo ZyWALL stesso come Certifications Authority. Una volta creato anche il certificato relativo al client li esportiamo entrambi attraverso l apposita icona centrale nella sezione modify.

12 Eccorre esportare il certificato nella modalità PKCS#12 indicando anche una PWD di protezione Una volta immessa la PWD, si esporta il file rinominandolo in seguito attraverso l aggiunta dell estensione p12, ad esempio se il file viene salvato come abcd, occorre rinominarlo in abcd.p12 Questo lavoro va eseguito sia per il certificato iniziale dello ZyWALL, sia per il secondo certificato creato per il client. Una volta gestiti in questo modo i certificati che utilizzeremo, andiamo a riconfigurare il profilo VPN Client sullo ZyWALL

13 La variante è la scelta dell opzione Certificate nella sezione Authentication Key al posto della precedente PSK. I content si abiliteranno automaticamente. Nel campo Certificate occorre scegliere il certificato realizzato come Client. Il campo Local ID Type/Content si compilerà automaticamente Mentre nel campo Peer ID Type/Content occorre selezionare Subject Name e compilare il campo content con tutto il contenuto del campo Subject del certificato client (lo si può copiare così com è attraverso il copia e incolla) nel nostro esempio questo vuol dire copiare: CN=clientVPN@clientVPN.com, O=VPN_Client, C=Italy Tutto questo con virgole annesse. Completata la fase1 si crea la fase2 come nel caso iniziale (PSK) senza particolari differenze.

14 Configurazione dinamica lato software (certificati digitali) Per prima cosa occorre trasferire i 2 certificati creati nello ZyWALL, precedentemente esportati, nel PC dove si è installato il client IPSec. Nel nostro esempio chiameremo il certificato dello ZyWALL (quello iniziale) come certificato root ed il certificato del client come client. Occorre poi dotarsi del tool software scaricabile a questo link: Al fine di convertire i certificati precedentemente creati in formato PKCS#12 in formato PEM (formato accettato dal software). Nella procedura di conversione, verrà chiesta la PWD di protezione impostata durante l esportazione dallo ZyWALL. Ogni certificato convertito da origine a 4 file: rootca.pem clientcert.pem Der_ans1_DN.txt Local.Key Occorre salvare questi file convertiti sia per il certificate root che per il certificate client in due cartelle locali distinte (es: cartella root e cartella client ), al fine di non creare confusione.

15 Anche per il client, l unica variazione è la scelta Certificato al posto della PSK del caso precedente. Una volta scelto Certificato occorre selezionare Importa Certificati

16 Da questa schermata occorre: Nella sezione Importa Certificato Root in formato PEM importare il file clientcert.pem precedentemente ottenuto nella conversione del certificato root e salvato come suggerito nella cartella locale root (riguardante il certificato iniziale dello ZyWALL). Nella sezione Importa Certificato Utente in formato PEM importare il file clientcert.pem precedentemente ottenuto nella conversione del certificato client e salvato come suggerito nella cartella locale client (riguardante il certificato creato secondariamente sullo ZyWALL). Nella sezione Importa Chiave Privata importare il file Local.key precedentemente ottenuto nella conversione del certificato client e salvato come suggerito nella cartella locale client (riguardante il certificato creato secondariamente sullo ZyWALL).

17 Dopo aver importato i certificati correttamente occorre completare la fase1 con l inserimento dei parametro content nelle proprietà avanzate della fase1 Nel campo ID Locale selezionare DER ASN1 DN e nel corrispettivo valore ID occorre copiare così com è il testo del file Der_asn1_dn.txt relativo al certificato client convertito. Salvata la fase1 e creata la fase2 nello stesso modo classico del caso PSK si può procedere all attivazione del tunnel.