Westermo MRD-3x0 Routrar och TheGreenBow VPN Client

Transkript

1 Westermo MRD-3x0 Routrar och TheGreenBow VPN Client -Konfiguering av IPSec VPN tunnel MRD-TGB Ver4.0-rev.00 Page 1

2 Inledning Denna Application Note tar endast upp hur The GreenBow VPN Client kan användas för att sätta upp en IPSec VPN tunnel mot Westermo 3G routrar MRD-350/330/310 med Firmware version Testet har utförts med The GreenBow VPN Client version vpnconf.exe tgbike.exe comlib.dll tgbstarter.exe vpncfg.dll tgblibeay32.dll 0.9.8j tgb_configmode.dll tgblogonui.exe 5.51 TgbCredProv.dll 5.51 TGBMPEnum.sys built by: WinDDK TGBVPNVirtM.sys built by: WinDDK En test-version av The GreenBow VPN Client kan hämtas från Applikationen som dokumentet bygger på ser ut så här: Subnät VPN Client Address Internet WAN Adress wemoselab01.no-ip.org LAN PLC 1 IP-adress: Mask: Default Gateway: PC DHCP tilldelad IP-adress MRD-350/330/310 LAN IP-adress PLC 2 IP-adress: Mask: Default Gateway: Operatörspanel IP-adress: Mask: Default Gateway: MRD-TGB Ver4.0-rev.00 Page 2

3 Konfiguering av TheGreenBow VPN Client Skapa en ny tunnelkonfigurering Högerklicka på VPN Configuration och välj New Phase 1. MRD-TGB Ver4.0-rev.00 Page 3

4 IKE Autentisering Phase 1 Klicka på Save för att spara inställningarna. Ange nätverksinterface som ska användas på PCn. Ange den publika IP-adress på MRD routerns SIM-kort som du ska ansluta till. Som DNS eller Dotted Decimal form. Välj egenskaper för IKE. Ska vara samma som Phase 1 Encryption i MRD routern. Preshared Key är den nyckel eller lösenord som används vid autentiseringen. Den ska vara den samma som Preshared Key under Phase 1 configuration i MRD routern. MRD-TGB Ver4.0-rev.00 Page 4

5 IKE Autentisering Phase 1 Klicka på Save för att spara inställningarna. Välj Aggressive Mode så att en publik adress inte behövs i initierande ände (PCn med TheGreenBow VPN Client). Andvänd DNS (FQDN) som ID typ. Värden ska vara samma som Remote ID och Local ID under Phase 1 configuration i MRD routern, men framför. MRD-TGB Ver4.0-rev.00 Page 5

6 IKE Autentisering Phase 2 Skapa en ny Phase 2 konfigurering genom att högerklicka på Gateway och välj New Phase 2. MRD-TGB Ver4.0-rev.00 Page 6

7 IKE Autentisering Phase 2 Klicka på Save för att spara inställningarna. Virtuell IP-adress som datorn kommer att ha i det lokala subnätet bakom MRD routern. OBS! får ej vara en IP-adress som tillhör det lokala subnätet då trafik som ska till VPN klienten måste routas via MRD routerns WAN interface. ESP inställningarna ska matcha MRD routerns Phase 2 inställningar. Adressen på det subnät som finns bakom MRD routern som ska nås via VPN tunneln. MRD-TGB Ver4.0-rev.00 Page 7

8 Dead Peer Detection (DPD) Använd DPD för att övervaka VPN tunnelns status. MRD-TGB Ver4.0-rev.00 Page 8

9 Konfigurering av Westermo MRD-350/330/310 Routrar NAT Traversal Använd NAT traversal för att kunna ha en NAT:ad IP-adress i initierande ände på VPN tunneln. (PCn med TheGreenBow VPN Client). Klicka här för att lägga till en ny VPN tunnel. MRD-TGB Ver4.0-rev.00 Page 9

10 IKE Autentisering Phase 1 Label är bara ett namn för den här specifika VPN tunneln, kan var godtyckligt. Eftersom TheGreenBow VPN Client är den initierande parten ska MRD routern vara svarande, Responder. MRD-TGB Ver4.0-rev.00 Page 10

11 IKE Autentisering Phase 1 Eftersom Aggressive Mode används behöver inte Initatorns IP-adress vara känd. MRD-TGB Ver4.0-rev.00 Page 11

12 IKE Autentisering Phase 1 Autentisierings metoden ska vara Preshared key (fördefinerade nycklar). Dessa inställningar ska vara samma som IKE under Phase 1 i tecknet ska finnas för att ange att detta är ett ID av typen FQDN. ID ska vara samma som under Phase 1 Advanced i TheGreenBow. Välj Aggressive Mode så att en publik adress inte behövs i initierande ände (PCn med TheGreenBow VPN Client). Pre-shared Key är den nyckel eller lösenord som ska användas vid autentiseringen. Den ska vara den samma som Preshared Key under Authentication i TheGreenBow VPN Client. MRD-TGB Ver4.0-rev.00 Page 12

13 IKE Autentisering Phase 2 Dessa inställningar ska vara samma som ESP under Phase 2 i TheGreenBow. MRD-TGB Ver4.0-rev.00 Page 13

14 Dead Peer Detection (DPD) Använd DPD för att övervaka VPN tunnelns status. Clear används på Responder enheter för att rensa bort befintlig VPN tunnel som inte avslutats korrekt. Därefter inväntas en ny förhandling från Initatorn. MRD-TGB Ver4.0-rev.00 Page 14

15 Tunnel Networks LAN subnet hämtar automatiskt det subnät som är konfigurerat under Network. Ska vara samma som Remote LAN address under Phase 2 i TheGreenBow. Ange samma Virtuella IP-adress som under VPN Client address i TheGreenBow Phase 2. Avsluta och spara konfigureringen med att klicka på Update. MRD-TGB Ver4.0-rev.00 Page 15

16 Aktivera IPSec VPN tunneln Aktivera tunnelkonfigureringen genom att kryssa i Enabled. MRD-TGB Ver4.0-rev.00 Page 16

17 Brandväggens konfiguering Öppna för IPSec VPN tunneln i Brandväggen. Klicka på Update för att spara inställningen. MRD-TGB Ver4.0-rev.00 Page 17

18 Log utskrifter från en lyckad anslutning Log från TheGreenBow Console Log från MRD System Log <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: Aggressive mode peer ID is ID_FQDN: '@GreenBow' <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: responding to Aggressive Mode, state #1, connection "GreenBow_primary_TM0" from <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: transition from state STATE_AGGR_R0 to state STATE_AGGR_R1 <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: STATE_AGGR_R1: sent AR1, expecting AI2 <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: NAT-Traversal: Result using RFC 3947 (NAT-Traversal): both are NATed <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: transition from state STATE_AGGR_R1 to state STATE_AGGR_R2 <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: STATE_AGGR_R2: ISAKMP SA established {auth=oakley_preshared_key cipher=aes_128 prf=oakley_sha group=modp1024} <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #1: Dead Peer Detection (RFC 3706): enabled <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #2: responding to Quick Mode {msgid:ebf4c056} <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #2: transition from state STATE_QUICK_R0 to state STATE_QUICK_R1 <84>Jul 1 09:40:30 pluto[1018]: "GreenBow_primary_TM0"[1] #2: STATE_QUICK_R1: sent QR1, inbound IPsec SA installed, expecting QI2 <84>Jul 1 09:40:31 pluto[1018]: "GreenBow_primary_TM0"[1] #2: Dead Peer Detection (RFC 3706): enabled <84>Jul 1 09:40:31 pluto[1018]: "GreenBow_primary_TM0"[1] #2: transition from state STATE_QUICK_R1 to state STATE_QUICK_R2 <84>Jul 1 09:40:31 pluto[1018]: "GreenBow_primary_TM0"[1] #2: STATE_QUICK_R2: IPsec SA established {ESP=>0x45cacb07 <0x2a7d5175 xfrm=aes_128- HMAC_SHA1 NATD= :18339 DPD=enabled} MRD-TGB Ver4.0-rev.00 Page 18

19 Revision history for version 4.0 Revision Rev by Revision note Date 00 ML Version uppdaterad till MRD FW 1.55 och TheGreenBow v MRD-TGB Ver4.0-rev.00 Page 19

20 Westermo Data Communications AB Svalgången 1, Vallbyinstitutet Västerås Support Telefon: E-post: Order Telefon: E-post: Sälj Telefon: E-post: MRD-TGB Ver4.0-rev.00 Page 20