Att sätta upp en IPsec-förbindelse med NAT (med SIP) Lisa Hallingström Paul Donald Bogdan Musat Adnan Khalid
Table of Contents Att konfigurera Ingate Firewall/SIParator för IPsec-uppkopplingar med NAT...3 Klientsidan...3 Serversidan...6 IPsec-uppkoppling med NAT, klientsidan har en dynamisk IP-adress...10 Klientsidan...10 Serversidan...14 IPsec-uppkoppling med NAT, serversidan har en dynamisk IP-adress...18 Serversidan...19 Klientsidan...22 ii
Ingate Firewall/SIParator -version: > 4.6.2 Dokumentversion: 1.1 Att konfigurera Ingate Firewall/SIParator för IPsec-uppkopplingar med NAT Av olika anledningar kan man vilja NATa trafik genom en IPsec-tunnel. Det kan exempelvis vara så att nätverket på andra sidan tunneln sammanfaller med det lokala nätverket. I exemplet antas att tunneln sätts upp för att den ena sidan ska kunna kontakta servrar på den andra sidan. Här visas de inställningar som behövs för att klara av ett sådant scenario. Observera att om motparten inte är en Ingate-maskin kan vissa inställningar skilja sig från vad som visas här. Framför allt skiljer sig de nätverk som förhandlas fram; det motparterna förhandlar om är i båda ändar de IP-adresser som används för att NATa trafiken. De lokala nätverken (som har samma IP-intervall) förekommer aldrig i förhandlingarna. Klientsidan På klientsidan behöver IPsec-tunneln definieras. Det behövs också regler för att släppa fram trafiken som ska gå genom tunneln. IPsec-motparter Gå först till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser VPN-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj under Autentiseringstyp om maskinerna ska autentisera sig med en Delad hemlighet eller X.509-certifikat. För att använda X.509-certifikat krävs antingen att båda maskinerna kan signera sina egna certifikat eller att man har tillgång till en CA-server som kan signera andras certifikatbegäran. Om man har en CA-server kan man läsa in dess eget certifikat och sedan godkänna alla certifikat som signerats av denna server (valet Betrodd CA). Under Autentiseringsinfo matar man in hemlighet eller certifikat beroende på vad man valt i fältet innan. Det certifikat som ska laddas in här ska vara den andra maskinens certifikat/certifikatuppgifter, inte brandväggen/siparatorns. Välj under Lokal sida en publik IP-adress på brandväggen/siparatorn och under Bortre sida en publik IP-adress för den maskin som brandväggen/siparatorn ska upprätta en tunnel till. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. 3
IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. You must define the local office network as well as the IP address or addresses used by the IPsec peer for NATing traffic for its local network. As the two networks clash, you can t define the remote network directly here. Instead, the local computers need to contact an IP address on the peer outside. The peer then forwards the traffic to the server. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk det lokala nätverket. Under Bortre nätverk väljer du också Nätverk samt de IP-adresser som finns hos motparten. Välj att NATa som brandväggen/siparatorns IP-adress på utsidan (den som valdes på sidan IPsec-motparter). Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. 4
SIP genom IPsec Dessutom, för SIP att fungera över din IPsec-anslutningar behöver man en tunnel under IPsec tunnlar mellan klienten och publik IP-adress av brandväggen/siparatorn, dvs Lokal sid adressen under IPsec Peers. Detta kräver en fas 2-anslutning i klienten (The Greenbow) också. Till Exempel: Om din DNS-pekare sip.abc.com uppslår till WAN IP av brandväggen/siparatorn måste man ha en tunnel mellan klienten och denna IP-adress. Det är så att alla SIP och RTP media genom B2BUA eller genom proxy är tillåten. Se till att The Road Warrior klienten har också en tunnel/fas 2 till den externa IP av brandväggen/siparatorn. Detta betyder "samma IP-adress som om & vpn01-kamrater, sida ". eventuellt en tunnel till ett nätverk eller undernät som innehåller den externa IP av brandväggen/siparatorn, dvs ett DMZ intervall. Den externa IP (eller DMZ intervall) av brandväggen/siparatorn är ett nätverk iipsec-nätverk tabellen. I IPsec-tunnlar tabell väljer nätverket enligt Adresstyp och välj det nätverk du nyss skapade under IPsec Nätverk. Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns nätgrupper för de nät som ska utnyttja VPN-tunneln. Detta behövs för att kunna göra regler som släpper fram VPN-trafiken. Det nätverk som ska skapas för serversidan av VPN-tunneln ska utgöras av den IP-adress eller de IP-adresser som serversidan använder för att NATa trafiken. Nätverket måste ha "-" som Interface/VLAN. 5
Regler Gå till Regler för att skapa de regler som behövs för att släppa fram trafik genom VPN-tunneln. Den trafik som det inte finns regler för släpps inte fram, även om tunneln är uppe. Välj det lokala nätverket under Klient. Välj IPsec-motparten under Till IPsec-motpart och motpartens IP-adresser under Server. Gör regler för de tjänster som ska släppas fram till serversidan. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. 6
Serversidan På serversidan behöver IPsec-tunneln definieras. Det behövs också reläer för att skicka in den mottagna trafiken till rätt server på insidan. IPsec-motparter Gå först till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser VPN-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj under Autentiseringstyp om maskinerna ska autentisera sig med en Delad hemlighet eller X.509-certifikat. För att använda X.509-certifikat krävs antingen att båda maskinerna kan signera sina egna certifikat eller att man har tillgång till en CA-server som kan signera andras certifikatbegäran. Om man har en CA-server kan man läsa in dess eget certifikat och sedan godkänna alla certifikat som signerats av denna server (valet Betrodd CA). Under Autentiseringsinfo matar man in hemlighet eller certifikat beroende på vad man valt i fältet innan. Det certifikat som ska laddas in här ska vara den andra maskinens certifikat/certifikatuppgifter, inte brandväggen/siparatorns. Välj under Lokal sida en publik IP-adress på brandväggen/siparatorn och under Bortre sida en publik IP-adress för den maskin som brandväggen/siparatorn ska upprätta en tunnel till. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. Definiera det lokala nätverket (servernätet) och den IP-adress eller de IP-adresser som motparten NATar sin trafik som. Det går alltså inte att direkt definiera nätverket på andra sidan, eftersom det sammanfaller med det lokala nätverket. Istället används den IP-adress som trafiken ser ut att komma från. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. 7
Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk det lokala nätverket. Under Bortre nätverk väljer du också Nätverk samt de IP-adresser som finns hos motparten. Välj att NATa som brandväggen/siparatorns IP-adress på utsidan (den som valdes på sidan IPsec-motparter). Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. SIP genom IPsec Dessutom, för SIP att fungera över din IPsec-anslutningar behöver man en tunnel under IPsec tunnlar mellan klienten och publik IP-adress av brandväggen/siparatorn, dvs Lokal sid adressen under IPsec Peers. Detta kräver en fas 2-anslutning i klienten (The Greenbow) också. Till Exempel: Om din DNS-pekare sip.abc.com uppslår till WAN IP av brandväggen/siparatorn måste man ha en tunnel mellan klienten och denna IP-adress. Det är så att alla SIP och RTP media genom B2BUA eller genom proxy är tillåten. Se till att The Road Warrior klienten har också en tunnel/fas 2 till den externa IP av brandväggen/siparatorn. Detta betyder "samma IP-adress som om & vpn01-kamrater, sida ". eventuellt en tunnel till ett nätverk eller undernät som innehåller den externa IP av brandväggen/siparatorn, dvs ett DMZ intervall. 8
Den externa IP (eller DMZ intervall) av brandväggen/siparatorn är ett nätverk iipsec-nätverk tabellen. I IPsec-tunnlar tabell väljer nätverket enligt Adresstyp och välj det nätverk du nyss skapade under IPsec Nätverk. Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns en nätgrupp för det nät som ska utnyttja VPN-tunneln. Nätgruppen används sedan för att definiera varifrån trafiken ska komma som brandväggen/siparatorn ska skicka vidare till respektive server. Det nätverk som ska skapas för klientsidan av VPN-tunneln ska utgöras av den IP-adress eller de IP-adresser som klientsidan använder för att NATa trafiken. Nätverket måste ha "-" som Interface/VLAN. Reläer Gå till Reläer för att skapa de reläer som behövs för att skicka vidare trafik till servrarna. Välj en IP-adress på utsidan att lyssna på. Denna IP-adress måste finnas med bland de IP-adresser som klientsidan gör en IPsec-förhandling om. Skriv sedan in IP-adress och port för den server som trafiken ska skickas till och välj rätt typ av relä. Välj IPsec-motparten under IPsec-motpart och klientnätet under Nätverk. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. 9
När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. IPsec-uppkoppling med NAT, klientsidan har en dynamisk IP-adress Av olika anledningar kan man vilja NATa trafik genom en IPsec-tunnel. Det kan exempelvis vara så att nätverket på andra sidan tunneln sammanfaller med det lokala nätverket. I exemplet antas att tunneln sätts upp för att klienter på den ena sidan ska kunna kontakta servrar på den andra sidan. Den IPsec-motpart som finns på klienternas sida har en dynamisk IP-adress på utsidan. Här visas de inställningar som behövs för att klara av ett sådant scenario. Observera att om motparten inte är en Ingate-maskin kan vissa inställningar skilja sig från vad som visas här. Framför allt skiljer sig de nätverk som förhandlas fram; det motparterna förhandlar om är i båda ändar de IP-adresser som används för att NATa trafiken. De lokala nätverken (som har samma IP-intervall) förekommer aldrig i förhandlingarna. Klientsidan På klientsidan behöver IPsec-tunneln definieras. Det behövs också regler för att släppa fram trafiken som ska gå genom tunneln. Certifikat Eftersom en av IPsec-motparterna har en dynamisk IP-adress måste autentiseringen mellan motparterna använda X.509-certifikat. Gå till sidan Certifikat för att skapa ett certifikat. Gör en ny rad i tabellen Privata certifikat och skriv in ett namn för certifikatet. Tryck på Skapa nytt. 10
Skriv in information om brandväggen/siparatorn i formuläret och tryck sedan på Skapa ett självsignerat X.509-certifikat. Ladda sedan ned certifikatet i PEM- eller DER-format. Detta certifikat ska laddas upp på sidan IPsec-motparter på den andra brandväggen/siparatorn. IPsec-certifikat Gå till IPsec-certifikat under Virtuella Privata Nät och välj att brandväggen/siparatorn ska använda certifikatet för IPsec-förhandlingar. IPsec-motparter Gå till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser IPsec-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj X.509-certifikat under Autentiseringstyp Under Autentiseringsinfo laddas certifikatet från den andra brandväggen/siparatorn in. Välj under Lokal sida den dynamiska IP-adressen för devicen; och under Bortre sida en publik IP-adress för den maskin som brandväggen/siparatorn ska upprätta en tunnel till. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. 11
IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. You must define the local office network as well as the IP address or addresses used by the IPsec peer for NATing traffic for its local network. As the two networks clash, you can t define the remote network directly here. Instead, the local computers need to contact an IP address on the peer outside. The peer then forwards the traffic to the server. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk det lokala nätverket. Under Bortre nätverk väljer du också Nätverk samt de IP-adresser som finns hos motparten. Välj att NATa som brandväggen/siparatorns IP-adress på utsidan (den som valdes på sidan IPsec-motparter). Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. 12
SIP genom IPsec Dessutom, för SIP att fungera över din IPsec-anslutningar behöver man en tunnel under IPsec tunnlar mellan klienten och publik IP-adress av brandväggen/siparatorn, dvs Lokal sid adressen under IPsec Peers. Detta kräver en fas 2-anslutning i klienten (The Greenbow) också. Till Exempel: Om din DNS-pekare sip.abc.com uppslår till WAN IP av brandväggen/siparatorn måste man ha en tunnel mellan klienten och denna IP-adress. Det är så att alla SIP och RTP media genom B2BUA eller genom proxy är tillåten. Se till att The Road Warrior klienten har också en tunnel/fas 2 till den externa IP av brandväggen/siparatorn. Detta betyder "samma IP-adress som om & vpn01-kamrater, sida ". eventuellt en tunnel till ett nätverk eller undernät som innehåller den externa IP av brandväggen/siparatorn, dvs ett DMZ intervall. Den externa IP (eller DMZ intervall) av brandväggen/siparatorn är ett nätverk iipsec-nätverk tabellen. I IPsec-tunnlar tabell väljer nätverket enligt Adresstyp och välj det nätverk du nyss skapade under IPsec Nätverk. Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns nätgrupper för de nät som ska utnyttja VPN-tunneln. Detta behövs för att kunna göra regler som släpper fram VPN-trafiken. 13
Det nätverk som ska skapas för serversidan av VPN-tunneln ska utgöras av den IP-adress eller de IP-adresser som serversidan använder för att NATa trafiken. Nätverket måste ha "-" som Interface/VLAN. Regler Gå till Regler för att skapa de regler som behövs för att släppa fram trafik genom VPN-tunneln. Den trafik som det inte finns regler för släpps inte fram, även om tunneln är uppe. Välj det lokala nätverket under Klient. Välj IPsec-motparten under Till IPsec-motpart och motpartens IP-adresser under Server. Gör regler för de tjänster som ska släppas fram till serversidan. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. 14
Serversidan På serversidan behöver IPsec-tunneln definieras. Det behövs också reläer för att skicka in den mottagna trafiken till rätt server på insidan. Certifikat Eftersom en av IPsec-motparterna har en dynamisk IP-adress måste autentiseringen mellan motparterna använda X.509-certifikat. Gå till sidan Certifikat för att skapa ett certifikat. Gör en ny rad i tabellen Privata certifikat och skriv in ett namn för certifikatet. Tryck på Skapa nytt. Skriv in information om brandväggen/siparatorn i formuläret och tryck sedan på Skapa ett självsignerat X.509-certifikat. Ladda sedan ned certifikatet i PEM- eller DER-format. Detta certifikat ska laddas upp på sidan IPsec-motparter på den andra brandväggen/siparatorn. IPsec-certifikat Gå till IPsec-certifikat under Virtuella Privata Nät och välj att brandväggen/siparatorn ska använda certifikatet för IPsec-förhandlingar. IPsec-motparter Gå till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser IPsec-tunneln ska upprättas och hur autentiseringen ska gå till. 15
Välj På under Status och välj X.509-certifikat under Autentiseringstyp Under Autentiseringsinfo laddas certifikatet från den andra brandväggen/siparatorn in. Välj under Lokal sida brandväggen/siparatorns publika IP-adress. I Bortre sida ska * skrivas in, vilket betyder att motparten har en dynamisk IP-adress. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. IPsec-tunnlar Gå till sidan IPsec-tunnlar och gör en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Lokala sidans adress som Adresstyp. Under Bortre nätverk väljer du Bortre sidans adress. Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. 16
SIP genom IPsec Dessutom, för SIP att fungera över din IPsec-anslutningar behöver man en tunnel under IPsec tunnlar mellan klienten och publik IP-adress av brandväggen/siparatorn, dvs Lokal sid adressen under IPsec Peers. Detta kräver en fas 2-anslutning i klienten (The Greenbow) också. Till Exempel: Om din DNS-pekare sip.abc.com uppslår till WAN IP av brandväggen/siparatorn måste man ha en tunnel mellan klienten och denna IP-adress. Det är så att alla SIP och RTP media genom B2BUA eller genom proxy är tillåten. Se till att The Road Warrior klienten har också en tunnel/fas 2 till den externa IP av brandväggen/siparatorn. Detta betyder "samma IP-adress som om & vpn01-kamrater, sida ". eventuellt en tunnel till ett nätverk eller undernät som innehåller den externa IP av brandväggen/siparatorn, dvs ett DMZ intervall. Den externa IP (eller DMZ intervall) av brandväggen/siparatorn är ett nätverk iipsec-nätverk tabellen. I IPsec-tunnlar tabell väljer nätverket enligt Adresstyp och välj det nätverk du nyss skapade under IPsec Nätverk. Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns en nätgrupp för det nät som ska utnyttja IPsec-tunneln. Nätgruppen används sedan för att definiera varifrån trafiken ska komma som brandväggen/siparatorn ska skicka vidare till respektive server. Det nätverk som ska skapas för klientsidan av IPsec-tunneln ska utgöras av den IP-adress som klientsidan använder för att NATa trafiken. Eftersom denna IP-adress är dynamisk måste alla IP-adresser finnas med i intervallet. Nätverket måste ha "-" som Interface/VLAN. 17
Reläer Gå till Reläer för att skapa de reläer som behövs för att skicka vidare trafik till servrarna. Välj en IP-adress på utsidan att lyssna på. Denna IP-adress måste finnas med bland de IP-adresser som klientsidan gör en IPsec-förhandling om. Skriv sedan in IP-adress och port för den server som trafiken ska skickas till och välj rätt typ av relä. Välj IPsec-motparten under IPsec-motpart och klientnätet under Nätverk. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. IPsec-uppkoppling med NAT, serversidan har en dynamisk IP-adress Av olika anledningar kan man vilja NATa trafik genom en IPsec-tunnel. Det kan exempelvis vara så att nätverket på andra sidan tunneln sammanfaller med det lokala nätverket. I exemplet antas att tunneln sätts upp för att klienter på den ena sidan ska kunna kontakta servrar på den andra sidan. Den IPsec-motpart som finns på serversidan har en dynamisk IP-adress på utsidan. Här visas de inställningar som behövs för att klara av ett sådant scenario. 18
Observera att om motparten inte är en Ingate-maskin kan vissa inställningar skilja sig från vad som visas här. Framför allt skiljer sig de nätverk som förhandlas fram; det motparterna förhandlar om är i båda ändar de IP-adresser som används för att NATa trafiken. De lokala nätverken (som har samma IP-intervall) förekommer aldrig i förhandlingarna. Serversidan På serversidan behöver IPsec-tunneln definieras. Det behövs också reläer för att skicka in den mottagna trafiken till rätt server på insidan. As the server side has a dynamic public IP address, it is not possible to make the client side use this address when contacting servers. Instead, you need to set up an extra IP network on the inside, just for forwarding traffic to the inside servers. In this example, the common network for both sides is 192.168.0.0/24, and the extra IP network on the server side is 172.16.20.0/24. Gränssnitt Gå till sidan Gränssnitt och skapa ett nytt nät i tabellen Direktkopplade nät. I tabellen Alias går det att lägga till alias för de servrar som den andra sidan ska komma åt via IPsec-förbindelsen. Certifikat Eftersom en av IPsec-motparterna har en dynamisk IP-adress måste autentiseringen mellan motparterna använda X.509-certifikat. Gå till sidan Certifikat för att skapa ett certifikat. Gör en ny rad i tabellen Privata certifikat och skriv in ett namn för certifikatet. Tryck på Skapa nytt. Skriv in information om brandväggen/siparatorn i formuläret och tryck sedan på Skapa ett självsignerat X.509-certifikat. 19
Ladda sedan ned certifikatet i PEM- eller DER-format. Detta certifikat ska laddas upp på sidan IPsec-motparter på den andra brandväggen/siparatorn. IPsec-certifikat Gå till IPsec-certifikat under Virtuella Privata Nät och välj att brandväggen/siparatorn ska använda certifikatet för IPsec-förhandlingar. IPsec-motparter Gå till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser IPsec-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj X.509-certifikat under Autentiseringstyp Under Autentiseringsinfo laddas certifikatet från den andra brandväggen/siparatorn in. Välj under Lokal sida den dynamiska IP-adressen för devicen; och under Bortre sida en publik IP-adress för den maskin som brandväggen/siparatorn ska upprätta en tunnel till. Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. 20
IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. Definiera det nät som skapades för servrarna. Det går inte att direkt definiera nätverket på andra sidan, eftersom det sammanfaller med det lokala nätverket. Istället kommer datorerna behöva kontakta en adress på motpartens utsida. Motparten skickar sedan vidare trafiken in till rätt server. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk väljs relänätet. Under Bortre nätverk väljer du Bortre sidans adress. Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns en nätgrupp för det nät som ska utnyttja VPN-tunneln. Nätgruppen används sedan för att definiera varifrån trafiken ska komma som brandväggen/siparatorn ska skicka vidare till respektive server. Det nätverk som ska skapas för klientsidan av VPN-tunneln ska utgöras av den IP-adress eller de IP-adresser som klientsidan använder för att NATa trafiken. Nätverket måste ha "-" som Interface/VLAN. 21
Reläer Gå till Reläer för att skapa de reläer som behövs för att skicka vidare trafik till servrarna. Välj en IP-adress i relänätet att lyssna på. Skriv sedan in IP-adress och port för den server som trafiken ska skickas till och välj rätt typ av relä. Välj IPsec-motparten under IPsec-motpart och klientnätet under Nätverk. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. Klientsidan På klientsidan behöver IPsec-tunneln definieras. Det behövs också regler för att släppa fram trafiken som ska gå genom tunneln. 22
Certifikat; Eftersom en av IPsec-motparterna har en dynamisk IP-adress måste autentiseringen mellan motparterna använda X.509-certifikat. Gå till sidan Certifikat för att skapa ett certifikat. Gör en ny rad i tabellen Privata certifikat och skriv in ett namn för certifikatet. Tryck på Skapa nytt. Skriv in information om brandväggen/siparatorn i formuläret och tryck sedan på Skapa ett självsignerat X.509-certifikat. Ladda sedan ned certifikatet i PEM- eller DER-format. Detta certifikat ska laddas upp på sidan IPsec-motparter på den andra brandväggen/siparatorn. IPsec-certifikat Gå till IPsec-certifikat under Virtuella Privata Nät och välj att brandväggen/siparatorn ska använda certifikatet för IPsec-förhandlingar. IPsec-motparter Gå till sidan IPsec-motparter under Virtuella Privata Nät och ange mellan vilka IP-adresser IPsec-tunneln ska upprättas och hur autentiseringen ska gå till. Välj På under Status och välj X.509-certifikat under Autentiseringstyp Under Autentiseringsinfo laddas certifikatet från den andra brandväggen/siparatorn in. Välj under Lokal sida brandväggen/siparatorns publika IP-adress. I Bortre sida ska * skrivas in, vilket betyder att motparten har en dynamisk IP-adress. 23
Välj Av under RADIUS och sätt en livslängd på ISAKMP-nycklarna (IKE-nycklarna). Livslängden måste vara samma på båda maskinerna. IPsec-tunnlar Gå sedan till IPsec-tunnlar och ange vilka nät som ska utnyttja denna IPsec-tunnel. I tabellen IPsec-nätverk definierar du de nätverk som kommer att använda IPsec-tunneln. Både det lokala kontorsnätet och motpartens servernät måste definieras här. Gör sedan en ny rad i tabellen IPsec-tunnlar. Välj IPsec-motparten under Motpart. Under Lokalt nätverk väljer du Nätverk som Adresstyp och under Nätverk det lokala nätverket. Under Bortre nätverk väljer du också Nätverk samt de IP-adresser som finns hos motparten. Sätt en livslängd på IPsec-nycklarna om du vill. Livslängden måste vara samma på båda maskinerna. Om man inte sätter någon livslängd här använder brandväggen/siparatorn den livslängd som den andra brandväggen/siparatorn har. Välj AES/3DES som kryptering. 24
Nät och maskiner Gå till Nät och maskiner under Nätverk och se till att det finns nätgrupper för de nät som ska utnyttja IPsec-tunneln. Detta behövs för att kunna göra regler som släpper fram IPsec-trafiken. Det nätverk som ska skapas för serversidan av IPsec-tunneln ska vara det extra servernät som skapats på andra sidan. Nätverket måste ha "-" som Interface/VLAN. Regler Gå till Regler för att skapa de regler som behövs för att släppa fram trafik genom VPN-tunneln. Den trafik som det inte finns regler för släpps inte fram, även om tunneln är uppe. Välj det lokala nätverket under Klient. Välj IPsec-motparten under Till IPsec-motpart och motpartens IP-adresser under Server. Gör regler för de tjänster som ska släppas fram till serversidan. Spara/Läsa inställningar Gå till sist till sidan Spara/Läsa inställningar under Administration och ta de nya inställningarna i drift genom att trycka på Ta i drift. När inställningarna har tagits i drift bör du också spara en kopia av dem. Tryck på Spara inställningarna i CLI-format för att spara konfigurationen. 25
26