Att sätta upp en IPsec-förbindelse mellan två Ingate-brandväggar/SIParatorer (med SIP) Lisa Hallingström Paul Donald Bogdan Musat Adnan Khalid

Transkript

1 Att sätta upp en IPsec-förbindelse mellan två Ingate-brandväggar/SIParatorer (med SIP) Lisa Hallingström Paul Donald Bogdan Musat Adnan Khalid

2 Table of Contents Att konfigurera Ingate Firewall/SIParator för IPsec-uppkopplingar mellan två brandväggar...3 Certifikat...3 IPsec-motparter...3 IPsec-tunnlar...4 SIP genom IPsec...4 IPsec-certifikat...5 Nät och maskiner...6 Regler...6 Spara/Läsa inställningar...6 ii

3 Ingate Firewall/SIParator -version: > Dokumentversion: 1.1 Att konfigurera Ingate Firewall/SIParator för IPsec-uppkopplingar mellan två brandväggar Genom att sätta upp en VPN-förbindelse mellan två brandväggar eller andra VPN-slussar kan man låta flera kontor dela på servrar och andra resurser utan att trafiken går i klartext på Internet. Följ dessa steg för att sätta upp en IPsec-VPN-förbindelse till brandväggen/siparatorn. Certifikat Om brandväggarna ska autentisera sig för varandra med X.509-certifikat behöver brandväggen/siparatorn ett eget sådant. Alla certifikat för brandväggen/siparatorn skapas på sidan Certifikat under Grundinställningar. Skapa en ny rad i tabellen Privata certifikat, tryck på Skapa nytt och fyll i formuläret. De två sista fälten är enbart till för att kunna återkalla certifikatet. Det enklaste sättet att signera är att låta brandväggen/siparatorn själv göra det genom att trycka på knappen Skapa ett självsignerat X.509-certifikat. Det andra sättet att signera är att skapa en certifikatbegäran och låta en fristående CA signera certifikatet. I detta fall måste det signerade certifikatet sedan laddas in i brandväggen/siparatorn igen. IPsec-motparter Gå först till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser VPN-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj under Autentiseringstyp om maskinerna ska autentisera sig med en Delad hemlighet eller X.509-certifikat. För att använda X.509-certifikat krävs antingen att båda maskinerna kan signera sina egna certifikat eller att man har tillgång till en CA-server som kan signera andras certifikatbegäran. Om man har en CA-server kan man läsa in dess eget certifikat och sedan godkänna alla certifikat som signerats av denna server (valet Betrodd CA). Under Autentiseringsinfo matar man in hemlighet eller certifikat beroende på vad man valt i fältet innan. Det certifikat som ska laddas in här ska vara den andra maskinens certifikat/certifikatuppgifter, inte brandväggen/siparatorns. 3

4 Välj under Lokal sida en publik IP-adress på brandväggen/siparatorn och under Bortre sida en publik IP-adress för den maskin som brandväggen/siparatorn ska upprätta en tunnel till. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. Definiera det lokala nätverket (kontorsnätet) och det nätverk som finns bakom den andra brandväggen/siparatorn. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk det nätverk du definierade nedan, som är kopplat till brandväggen/siparatorn. Under Bortre nätverk väljer du också Nätverk samt det nätverk du definierade nedan, som är kopplat till den andra brandväggen/siparatorn. Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. 4

5 SIP genom IPsec Dessutom, för SIP att fungera över din IPsec-anslutningar behöver man en tunnel under IPsec tunnlar mellan klienten och publik IP-adress av brandväggen/siparatorn, dvs Lokal sid adressen under IPsec Peers. Detta kräver en fas 2-anslutning i klienten (The Greenbow) också. Till Exempel: Om din DNS-pekare sip.abc.com uppslår till WAN IP av brandväggen/siparatorn måste man ha en tunnel mellan klienten och denna IP-adress. Det är så att alla SIP och RTP media genom B2BUA eller genom proxy är tillåten. Se till att The Road Warrior klienten har också en tunnel/fas 2 till den externa IP av brandväggen/siparatorn. Detta betyder "samma IP-adress som om & vpn01-kamrater, sida ". eventuellt en tunnel till ett nätverk eller undernät som innehåller den externa IP av brandväggen/siparatorn, dvs ett DMZ intervall. Den externa IP (eller DMZ intervall) av brandväggen/siparatorn är ett nätverk iipsec-nätverk tabellen. I IPsec-tunnlar tabell väljer nätverket enligt Adresstyp och välj det nätverk du nyss skapade under IPsec Nätverk. IPsec-certifikat Gå till sidan IPsec-certifikat under Virtuella Privata Nät och välj det certifikat som brandväggen/siparatorn ska använda för VPN-uppkopplingar. Här anger du också de CA som signerat certifikat för klienterna. 5

6 Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns nätgrupper för de nät som ska utnyttja VPN-tunneln. Detta behövs för att kunna göra regler som släpper fram VPN-trafiken. Det nätverk som sitter på bortre sidan av VPN-tunneln (se VPN-nät i exemplet) måste ha "-" som Interface. Regler Gå till Regler för att skapa de regler som behövs för att släppa fram trafik genom VPN-tunneln. Den trafik som det inte finns regler för släpps inte fram, även om tunneln är uppe. Välj VPN-tunneln under Från IPsec-motpart om Klient är nätet på bortre sidan av VPN-tunneln. Välj VPN-tunneln under Till IPsec-motpart om Server är nätet på bortre sidan av VPN-tunneln. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya 6

7 inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. 7