Objetivo

O objetivo deste documento é criar uma VPN site a site em RV34x Series Routers.

Introduction

Uma rede virtual privada (VPN) é uma excelente maneira de conectar funcionários remotos a uma rede segura. Uma VPN permite que um host remoto atue como se estivesse conectado à rede protegida no local. Em uma VPN site a site, o roteador local em um local se conecta a um roteador remoto através de um túnel VPN. Esse túnel encapsula dados com segurança usando técnicas de criptografia e autenticação padrão do setor para proteger os dados enviados.

A configuração de uma VPN site a site envolve a configuração do perfil IPsec e da VPN site a site nos dois roteadores. O perfil IPsec já está configurado para facilitar a configuração de VPN site a site, mesmo com um terceiro (como AWS ou Azure). O perfil IPsec contém toda a criptografia necessária para o túnel. A VPN site a site é a configuração, de modo que o roteador saiba a que outro site se conectar. Se optar por não usar o perfil IPsec pré-configurado, você terá a opção de criar um perfil diferente.

Quando você está configurando a VPN site a site, as sub-redes da Rede Local (LAN) em ambos os lados do túnel não podem estar na mesma rede. Por exemplo, se a LAN do Site A usar a sub-rede 192.168.1.x/24, o Site B não poderá usar a mesma sub-rede. O site B precisa usar uma sub-rede diferente, como 192.168.2.x/24.

Para configurar um túnel corretamente, insira as configurações correspondentes (invertendo local e remoto) ao configurar os dois roteadores. Suponha que esse roteador esteja identificado como Roteador A. Insira suas configurações na seção Local Group Setup (Configuração do grupo local) ao inserir as configurações para o outro roteador (Roteador B) na seção Remote Group Setup (Configuração do grupo remoto). Ao configurar o outro roteador (Roteador B), insira suas configurações na seção Local Group Setup (Configuração do grupo local) e insira as configurações do Roteador A na Remote Group Setup (Configuração do grupo remoto).

Abaixo está uma tabela da configuração do Roteador A e do Roteador B. Destacados em negrito estão os parâmetros que são o inverso do roteador oposto. Todos os outros parâmetros são configurados da mesma forma. Neste documento, configuraremos o roteador local, o roteador A.

Campo

Roteador local (Roteador A)

Endereço IP da WAN: 140.x.x.x

Endereço IP privado (local): 192.168.2.0/24

Roteador remoto (Roteador B)

Endereço IP da WAN: 145.x.x.x

Endereço IP privado (local): 10.1.1.0/24

Nome da conexão

VPNTest

VPNTestRemoto

Perfil IPsec

TestProfile

TestProfile

Interface

WAN1

WAN1

Ponto Final Remoto

IP estático

IP estático

Endereço IP do ponto de extremidade remoto

145.x.x.x

140.x.x.x

Chave pré-compartilhada

Teste Cisco123!

Teste Cisco123!

Tipo de identificador local

IP WAN local

IP WAN local

Identificador local

140.x.x.x

145.x.x.x

Tipo de IP local

Sub-rede

Sub-rede

Endereço IP local

192.168.2.0

10.1.1.0

Máscara de sub-rede local

255.255.255.0

255.255.255.0

Tipo de identificador remoto

IP WAN remoto

IP WAN remoto

Identificador remoto

145.x.x.x

140.x.x.x

Tipo de IP remoto

Sub-rede

Sub-rede

Endereço IP remoto

10.1.1.0

192.168.2.0

Máscara de sub-rede remota

255.255.255.0

255.255.255.0

Dispositivos aplicáveis

· RV34x

Versão de software

·1.0.02.16

Configurando a conexão VPN site a site

Etapa 1. Faça login na página de configuração da Web do roteador.

Etapa 2. Navegue para VPN > Site a Site.

Etapa 3. Clique no botão adicionar para adicionar uma nova conexão VPN Site a Site.

Etapa 4. Marque Habilitar para habilitar a configuração. Iss está habilitado por padrão.

Etapa 5. Insira um nome de conexão para o túnel VPN. Essa descrição é para fins de referência e não precisa corresponder ao nome usado na outra extremidade do túnel.

Neste exemplo, vamos inserir VPNTest como nosso nome de conexão.

Etapa 6. Selecione o perfil IPsec que deseja usar para a VPN. O perfil IPsec é a configuração central no IPsec que define os algoritmos como criptografia, autenticação e grupo Diffie-Hellman (DH) para a negociação da Fase I e da Fase II.

Para saber como configurar o perfil IPsec usando IKEv2, clique no link: Configurando o perfil IPsec usando IKEv2 no RV34x.

Note: A opção de usar um perfil de IPsec de terceiros (Amazon Web Services ou Microsoft Azure) está disponível. Este perfil de IPsec já está configurado com todas as seleções necessárias que precisam ser configuradas para o Amazon Web Services ou o Microsoft Azure para que você não precise configurá-lo. Se estiver tentando configurar a VPN de site a site entre o AWS ou o Azure para seu site, você precisará usar as informações que o AWS ou o Azure fornecem a você em seu lado e usar o perfil IPsec pré-configurado ao configurar a VPN de site a site nesse lado.

Para este exemplo, selecionaremos TestProfile como nosso perfil de IPsec.

Passo 7. No campo Interface, selecione a interface usada para o túnel. Neste exemplo, usaremos WAN1 como nossa interface.

Etapa 8. Selecione IP estático, Nome de domínio totalmente qualificado (FQDN) ou IP dinâmico para o endpoint remoto. Digite o endereço IP ou FQDN do endpoint remoto com base na sua seleção.

Selecionamos o IP estático e inserimos em nosso endereço IP de endpoint remoto.

Configurando o método de autenticação IKE

Etapa 1. Selecione Pre-shared Key ou Certificate.

Chave pré-compartilhada: Os pares IKE autenticam-se através da computação e do envio de um hash chaveado de dados que inclui a chave pré-compartilhada. Ambos os pares devem compartilhar a mesma chave secreta. Se o peer receptor for capaz de criar o mesmo hash independentemente usando sua chave pré-compartilhada, ele autenticará o outro peer. As chaves pré-compartilhadas não escalam bem porque cada peer IPsec deve ser configurado com a chave pré-compartilhada de cada outro peer com o qual estabelece uma sessão.

Certificado: O certificado digital é um pacote que contém informações como a identidade de um portador de certificado, incluindo um nome ou endereço IP, o número de série do certificado, a data de expiração do certificado e uma cópia da chave pública do portador do certificado. O formato padrão do certificado digital é definido na especificação X.509. A versão 3 do X.509 define a estrutura de dados para os certificados. Se tiver selecionado Certificado, certifique-se de que o certificado assinado foi importado em Administração > Certificado. Selecione o certificado na lista suspensa para local e remoto.

Para esta demonstração, selecionaremos a chave pré-compartilhada como nosso método de autenticação IKE.

Etapa 2. No campo Pre-shared Key, insira uma chave pré-compartilhada.

Note: Certifique-se de que o roteador remoto use a mesma chave pré-compartilhada.

Etapa 3. O Medidor de força da chave pré-compartilhada mostra a força da chave pré-compartilhada através de barras coloridas. Marque Enable (Habilitar) para habilitar a complexidade mínima de chave pré-compartilhada. A complexidade da chave pré-compartilhada é verificada por padrão. Se quiser exibir a chave pré-compartilhada, marque a caixa de seleção Habilitar.

Configuração de grupo local

Etapa 1. Selecione Local WAN IP, IP Address, Local FQDN ou Local User FQDN na lista suspensa. Insira o nome do identificador ou o endereço IP com base na sua seleção. Se você selecionou o IP da WAN local, o endereço IP da WAN do roteador deve ser inserido automaticamente.

Etapa 2. Para o Tipo de IP Local, selecione Sub-rede, Única, Qualquer, Grupo IP ou Interface GRE na lista suspensa.

Neste exemplo, a Sub-rede foi escolhida.

Etapa 3. Insira o endereço IP do dispositivo que pode usar este túnel. Em seguida, insira a máscara de sub-rede.

Para esta demonstração, vamos inserir 192.168.2.0 como nosso endereço IP local e 255.255.255.0 para a máscara de sub-rede.

Configuração do grupo remoto

Etapa 1. Selecione Remote WAN IP, Remote FQDN ou Remote User FQDN na lista suspensa. Insira o nome do identificador ou o endereço IP com base na sua seleção.

Selecionamos o IP da WAN remota como nosso Tipo de Identificador Remoto e inserimos o endereço IP do roteador remoto.

Etapa 2. Selecione Sub-rede, Única, Qualquer Grupo IP na lista suspensa Tipo de IP Remoto.

Neste exemplo, selecionaremos Sub-rede.

Note: Se você tiver selecionado Grupo IP como seu tipo IP remoto, uma janela pop-up para criar um novo grupo IP será exibida.

Etapa 3. Insira o endereço IP e a máscara de sub-rede do dispositivo que pode usar esse túnel.

Nós inserimos 10.1.1.0 para o endereço IP local remoto que pode usar esse túnel e a máscara de sub-rede de 255.255.255.0.

Etapa 4. Clique em Apply para criar uma nova conexão VPN site a site.

Todas as configurações que você inseriu no roteador estão no arquivo de configuração atual, que é volátil e não é retido entre as reinicializações.

Etapa 5. Na parte superior da página, clique no botão Salvar para navegar até o Gerenciamento de configuração para salvar sua configuração atual na configuração de inicialização. Isso serve para manter a configuração após uma reinicialização.

Etapa 6. No Gerenciamento de configuração, verifique se a fonte está executando a configuração e se o destino está na configuração de inicialização. Em seguida, pressione Apply para salvar sua configuração atual na configuração de inicialização. O arquivo de configuração de inicialização agora manterá todas as configurações após a reinicialização.

Conclusão

Agora você deve ter adicionado com êxito uma nova conexão VPN de site a site para o roteador local. Você precisaria configurar seu roteador remoto (Roteador B) usando as informações inversas.