Załóżmy, że zamierzamy połączyć dwie odrębne sieci lokalne tunelem IPSec VPN, Site-to-Site; według poniższego schematu:
1. Konfiguracja interfejsów
Wybieramy zakładkę Network -> Interface, wskazujemy na interfejs który zamierzamy konfigurować i naciskamy Edit, a następnie w oknie Ethernet Interface ustawiamy opcje adresy (IP/Netmask [1]) oraz strefy (Zone [2]) tak, aby były zgodne z założeniami i posłużyły do dalszych kroków konfiguracji.
W obu przypadkach, dla stref dobieramy Binding Zone -> Layer 3 Zone, a dla adresów Type -> Static IP.
Hillstone A
Hillstone B
2. Konfigurację propozycji kryptograficznych dla fazy 1-szej negocjacji (Hillstone A i B)
Wybieramy zakładkę Network -> VPN -> IPSec VPN [3], a następnie ⊗Configuration -> P1 Proposal [4] …
…i naciskamy New [5].
W oknie Phase1 Proposal Configuration ustawiamy opcje:
– Proposal Name [6] – nazwa własna propozycji (obowiązkowa).
– Authentication [7] – sposób uwierzytelniania (tu: klucz wstępnie współdzielony; Preshare).
– Hash [8] – wybór algorytmu funkcji skrótu (tu: SHA-512).
– Encryption [9] – wybór algorytmu szyfrującego (tu: AES-256).
– PRF [10] – wybór algorytmu dla funkcji pseudolosowej (Pseudo Random Function; tu: SHA-512).
– DH Group [11] – wybór wariantu algorytmu Diffiego-Hellmana (tu: Group18).
– Lifetime [12] – czas życia IKE SA (tu: 86400 s; domyślny).
Ustawienia fazy pierwszej zatwierdzamy naciskając [OK][13] i wycofujemy się przyciskiem [Close][14].
3. Konfigurację propozycji kryptograficznych dla fazy 2-giej negocjacji (Hillstone A i B) (*)
Wybieramy zakładkę Network -> VPN -> IPSec VPN [3], a następnie ⊗Configuration -> P1 Proposal [4] i naciskamy New [5].
W oknie Phase2 Proposal Configuration ustawiamy opcje:
– Proposal Name [15] – nazwa własna propozycji (obowiązkowa).
– Protocol [16] – wybieramy szyfrowany protokół Encapsulating Security Payload; ESP.
– Hash [17] – wybór algorytmu funkcji skrótu (tu: SHA-512).
– Encryption [18] – wybór algorytmu szyfrującego (tu: AES-256).
– Compession [19] – decydujemy się na brak kompresji (None).
– PFS Group [20] – wybór wariantu algorytmu Diffiego-Hellmana dla perfekcyjnej poufności przekazywania (PFS – Perfect Forwad Secrecy; tu: Group18).
– Lifetime [21] – czas życia CHILD SA (tu: 28800 s; domyślny).
– Lifesize (opcjonalnie) – czas życia CHILD SA określony liczbą przesłanych danych.
Ustawienia fazy pierwszej zatwierdzamy naciskając [OK][22] i wycofujemy się przyciskiem [Close][23].
4. Założenie węzła (Hillstone A i B)
Wybieramy zakładkę Network -> VPN -> IPSec VPN [24], a następnie ⊗Configuration -> Peer Configuration [25] …
…i naciskamy New [26].
Hillstone A
W oknie VPN Peer Configuration, ustawiamy następujące opcje:
– Name [27] – obowiązkowa nazwa własna węzła.
– Type [28] – sposób identyfikacji węzła, do wyboru:
—— Static IP – gdy dysponujemy stałymi, publicznymi adresami IP.
—— Dynamic IP – gdy jeden z węzłów ma zmienne IP.
—— User Group – gdy identyfikuje się użytkownik, np. przez L2TP over IPSec.
– Interface [29] – wskazanie fizycznego interfejsu sieciowego, koniecznego do połączenia z WAN.
– Protocol Standard (do wyboru) – standard IKE (Internet Key Exchange); tu: wersja druga, IKEv2.
– Peer Gateway [30] – adres publiczny węzła zdalnego.
– Local ID Type/Peer ID Type (opcjonalnie) – zwykle pozostawiamy puste, jeśli obie strony dysponują stałymi publicznymi adresami i nie mają urządzeń NAT-ujących. Istnieją jednak inne scenariusze, gdzie dodatkowe informacje mogą pomóc obu stronom w nawiązaniu negocjacji:
—— Local ID Type – tu: IPv4 oraz adres lokalnego interfejsu WAN.
—— Peer ID Type – tu: FQDN i nazwa własna “dzikiej karty”, którą przedstawia się strona inicjująca.
– Proposal [31] – propozycja, przynajmniej jedna obowiązkowa. Wybieramy schemat kryptograficzny zdefiniowany w pkt. 2.
– Pre-shared Key [32] – hasło w formie klucza wstępnie współdzielonego.
– Connection Type – zwykle pozostawiamy Bidirectional. Jeśli konfigurowany Hillstone jest stroną odbierającą propozycje negocjacji, wybieramy Responder (jak w niniejszym przykładzie) , a jeśli inicjującą – wybieramy Initiator.
Ustawienia węzła w pierwszym urządzeniu zatwierdzamy naciskając [OK][33] i wycofujemy się przyciskiem [Close][34].
Hillstone B
W oknie VPN Peer Configuration, ustawiamy następujące opcje:
– Name [35] – obowiązkowa nazwa własna węzła.
– Type [36] – sposób identyfikacji węzła, do wyboru:
—— Static IP – gdy dysponujemy stałymi, publicznymi adresami IP.
—— Dynamic IP – gdy jeden z węzłów ma zmienne IP.
—— User Group – gdy identyfikuje się użytkownik, np. przez L2TP over IPSec.
– Interface [37] – wskazanie fizycznego interfejsu sieciowego, koniecznego do połączenia z WAN.
– Protocol Standard (do wyboru) – standard IKE (Internet Key Exchange); tu: wersja druga, IKEv2.
– Peer Gateway [38] – adres publiczny węzła zdalnego.
– Local ID Type/Peer ID Type (opcjonalnie) – zwykle pozostawiamy puste, jeśli obie strony dysponują stałymi publicznymi adresami i nie mają urządzeń NAT-ujących. Istnieją jednak inne scenariusze, gdzie dodatkowe informacje mogą pomóc obu stronom w nawiązaniu negocjacji:
—— Local ID Type – tu: FQDN i nazwa własna “dzikiej karty”, którą ma się przedstawić inicjator.
—— Peer ID Type – tu: IPv4 oraz adres zdalnego interfejsu WAN.
– Proposal [39] – propozycja, przynajmniej jedna obowiązkowa. Wybieramy schemat kryptograficzny zdefiniowany w pkt. 2.
– Pre-shared Key [40] – hasło w formie klucza wstępnie współdzielonego.
– Connection Type – zwykle pozostawiamy Bidirectional. Jeśli konfigurowany Hillstone jest stroną odbierającą propozycje negocjacji, wybieramy Responder, a jeśli inicjującą – wybieramy Initiator (jak w niniejszym przykładzie).
Ustawienia węzła w pierwszym urządzeniu zatwierdzamy naciskając [OK][41] i wycofujemy się przyciskiem [Close][42].
5. Otwarcie tunelu (Hillstone A i B)