Соединение сетей протоколом GRE/IPSec в транспортном режиме
Цель
Соединить две сети, расположенные за межсетевыми экранами, VPN с использованием семейства протоколов IPSec. VPN с использованием IPSec будем создавать в транспортном режиме. Для туннеля между двумя локальными сетями будет использовать протокол GRE.
Топология сети аналогична топологии VPN/IPSec.
Топология сети
Описание практической работы
Межсетевой Экран 1
Аутентификационный Объект
Используем аутентификационный объект Pre-Shared Key, созданный в предыдущей лабораторной работе.
Объекты Адресной Книги
Веб-интерфейс:
Object → Address Book → Add → Address Folder Name: gre Object → Address Book → gre → Add
Командная строка:
add Address AddressFolder gre cc Address AddressFolder gre add IP4Address gre_ip Address=192.168.35.10
GRE- и IPSec-Интерфейсы
Создать GRE-Интерфейс.
Веб-интерфейс:
Interfaces → GRE → Add → GRE Tunnel
Командная строка:
add Interface GRETunnel gre Network=remote/rem_lan IP=gre/gre_ip RemoteEndpoint=wan2/wan2_gw
Создать IPSec-интерфейс. Так как туннель между двумя локальными сетями создается с помощью протокола GRE, то для протокола IPSec следует использовать транспортный режим.
Веб-интерфейс:
Interfaces → IPsec → Add → IPsecTunnel
На вкладке General указать сети перед и за туннелем, а также режим выполнения IPSec и используемые наборы алгоритмов для IPSec и IKE.
На вкладке Authentication указать созданный аутентификационный объект.
Командная строка:
add Interface IPsecTunnel ipsec_gre LocalNetwork=wan2/wan2_ip RemoteNetwork=wan2/wan2_gw AuthMethod=PSK PSK=forIPSec IKEAlgorithms=Medium IPsecAlgorithms=Medium EncapsulationMode=Transport RemoteEndpoint=wan2/wan2_gw
Статическая маршрутизация
В таблице маршрутизации должны быть маршруты к сетям через интерфейсы wan1, gre и ipsec.
Правила фильтрования
Правила фильтрования достаточно задать для GRE-интерфейса.
Веб-интерфейс:
Rules → IP Rules → Add → IP Rule Folder Name: gre_ipsec Rules → IP Rules → gre → Add
Командная строка:
add IPRuleFolder Name=gre_ipsec cc IPRuleFolder <N folder> add IPRule Action=Allow SourceInterface=lan SourceNet-work=lan/lan_net DestinationInterface=gre DestinationNet-work=remote/rem_lan Service=all_services Name=gre_out
Межсетевой Экран 2
Аутентификационный Объект
Используем аутентификационный объект Pre-Shared Key, созданный в Лабораторной работе 9.
Объекты Адресной Книги
Веб-интерфейс:
Object → Address Book → Add → Address Folder Name: gre Object → Address Book → gre → Add
Командная строка:
add Address AddressFolder gre cc Address AddressFolder gre add IP4Address gre_ip Address=192.168.35.20
GRE- и IPSec-Интерфейсы
Создать GRE-Интерфейс.
Веб-интерфейс:
Interfaces → GRE → Add → GRE Tunnel
Командная строка:
add Interface GRETunnel gre Network=remote/rem_lan IP=gre/gre_ip RemoteEndpoint=wan2/wan2_gw
Создать IPSec-интерфейс. Так как создается туннель между двумя локальными сетями создается с помощью протокола GRE, то для протокола IPSec следует использовать транспортный режим.
Веб-интерфейс:
Interfaces → IPsec → Add → IPsecTunnel
На вкладке General указать сети перед и за туннелем, а также режим выполнения IPSec и используемые наборы алгоритмов для IPSec и IKE.
На вкладке Authentication указать созданный аутентификационный объект.
Командная строка:
add Interface IPsecTunnel ipsec_gre LocalNetwork=wan2/wan2_ip RemoteNetwork=wan2/wan2_gw AuthMethod=PSK PSK=forIPSec IKEAlgorithms=Medium IPsecAlgorithms=Medium EncapsulationMode=Transport RemoteEndpoint=wan2/wan2_gw
Статическая маршрутизация
В таблице маршрутизации должны быть маршруты к сетям через интерфейсы wan1,gre и ipsec.
Правила фильтрования
Правила фильтрования достаточно задать для GRE-интерфейса.
Веб-интерфейс:
Rules → IP Rules → Add → IP Rule Folder Name: gre_ipsec Rules → IP Rules → gre_ipsec → Add
Команднаястрока:
Add IPRuleFolderName=gre_ipsec cc IPRuleFolder <N folder> Add IPRule Action=Allow SourceInterface=gre SourceNetwork=remote/rem_lan DestinationInterface=lan DestinationNetwork=lan/lan_net Service=all_services Name=gre_in
Проверка конфигурации
На Сервере 1 выполним команду ping.
Получим дамп трафика аналогично тому, как это делалось в предыдущих лабораторных работах.
На интерфейсе wan1 видим следующий трафик:
После обмена IKE-содержимыми трафик зашифрован, на интерфейсе wan1 он не виден.
На интерфейсе ipsec видим следующий трафик:
Между интерфейсами ipsec поднят GRE-туннель.