IPsec VPN орнату бойынша толық нұсқаулық: Mikrotik, Cisco FTD, NSX Edge, pfSense

Қажет болса, IPSec VPN қажет:

• Кеңселерді бірыңғай желіге біріктіру (site-to-site)
• Кеңсені бұлтты серверге қосыңыз
• Инфрақұрылымға қорғалған қолжетімділікті ұйымдастыру
• Қызметкерлердің L2TP қосылымдарын шифрлаңыз
• Гибридті архитектураны құру (on-prem + бұлт)

Егер сіз VPS немесе бұлтты орталық нүкте ретінде қолдансаңыз-сіз аласыз:

• тұрақты жалпыға ортақ IP
• Nat провайдерлерімен проблемалар жоқ
• кепілдендірілген аптайм
• масштабтау
• өткізу қабілетін бақылау

өндірістегі туннель сұр IP бар үй немесе кеңсе провайдерінде емес, деректер орталығында , аяқталуы керек.

• IPSec - желілік деңгейдегі трафикті шифрлау протоколы.
• IKE (v1/v2) — туннель параметрлерін сәйкестендіру механизмі.
• DH Group - кілттермен алмасу алгоритмі.
• PFS - әр сессия үшін жаңа кілттерді құру.

IPsec екі фазадан тұрады:

DH Group

PFS

Егер PFS қосулы болса - Бір кілт бұзылған кезде қалғандары қорғалған күйінде қалады.

Өндірісте:

• Phase 1: DH group 14 немесе 19
• Phase 2: PFS қосылған

3.1 MikroTik - MikroTik (Site to Site)

• Филиалдар бірлестігі
• Кеңсені VPS-ке қосу
• Резервтік арна

Негізгі қадамдар

• Peer Орнату
• Proposal Орнату
• Саясат құру
• NAT bypass
• Firewall

Маңызды сәттер

• IPSec үшін FastTrack өшіріңіз
• Nat айналып өту ережесін қосыңыз
• UDP 500 және 4500 рұқсат етіңіз

Қиындық неде

Cisco FMC арқылы профильдердің қатаң моделін қолданады.

Конфигурация мыналарды қамтиды:

• IKE Policy
• IPSec Proposal
• Crypto Map
• Access ControlPolicy

Жиі қате

Mismatch шифрлау:

Егер кем дегенде бір параметр сәйкес келмесе-туннель көтерілмейді.

VMware бұлтына қосылған кезде қолданылады.

Ерекшеліктері:

• Әдетте policy-based
• Mismatch lifetime сезімтал
• Жергілікті/қашықтағы ішкі желілерді дәл көрсетуді талап етеді

Ең тұрақты сценарий.

pfSense икемді және Микротикпен жақсы дос.

Маңызды:

• Nat-t тексеріңіз
• Phase 2 selector дұрыстығын тексеріңіз
• Auto firewall rule generation қосыңыз

Nat үшін IPsec Nat-T (UDP 4500) арқылы НАТ істейді.

Бірақ:

• Сұр IP диагнозды қиындатады
• Қосnat проблемаларды тудырады
• CGNAT тұрақтылықты жиі бұзады

Егер сіз бизнес үшін VPN құрып жатсаңыз-орталық нүктені бұлтқа апарыңыз.

Қызметкерлерді қосу үшін қолданылады.

Тұрады:

• L2TP туннелі
• IPSec шифрлау
• Firewall
• Пайдаланушылар

Артықшылықтары:

• Windows/macOS жүйесінде клиентсіз жұмыс істейді
• Қарапайымдылық

Кемшіліктері:

• Ескірген стандарт
• IKEv2 EAP қарағанда қауіпсіз емес

Бұл қашықтағы қызметкерлер үшін ең жақсы нұсқа

Неге:

• Қазіргі криптография
• Мобильді құрылғыларды қолдау
• Тұрақтылық

Қолдану:

• AES-256
• SHA256
• DH group 19
• PSK орнына сертификаттар

Бұл проблемалардың ең көп таралған көзі.

Міндетті:

• "Қабылдау" ережесін қосыңыз IPsec policy
• VPN үшін fasttrack өшіріңіз
• Srcnat bypass қосыңыз

Логика мысалы:

• accept policy=in, IPSec
• accept policy=out, IPSec
• srcnat action=accept VPN ішкі желілері үшін
• келесі кәдімгі masquerade

Микротикте:

• Active Peers
• Installed SAs
• IPSec debug қосылған Log

Егер SA жасалса, бірақ трафик жүрмесе, мәселе саясатта немесе firewall — да болады.

• DH group сәйкес келмеуі
• Әр түрлі lifetime
• Nat bypass жоқ
• FastTrack қосылған
• Полистегі әртүрлі желілер
• CGNAT провайдері

Кеңсе маршрутизаторындағы VPN - бұл:

• жарықты өшіру қаупі
• ISP-ге тәуелділік
• бақылау жоқ
• брондау жоқ

VPS-тегі VPN - бұл:

• кепілдендірілген uptime
• DDoS қорғау
• тұрақты жалпыға ортақ IP
• резервтік туннельді көтеру мүмкіндігі
• шифрлау үшін CPU масштабтау

• Сізде бірнеше филиалдар бар
• Қашықтағы қызметкерлер
• Бұлтты инфрақұрылым
• SLA қажет
• Туннель арқылы 1С, CRM, ERP қолданылады

Оңтайлы схема:

Деректер орталығындағы филиалдар > IPsec > VPS (бұлтты серверлер) < IPSec & LT; екінші филиал

Артықшылықтары:

• Орталық нүкте
• Қарапайым маршруттауды басқару
• BGP қосу мүмкіндігі
• Қарапайым масштабтау

• MikroTik - Mikrotik (site to site)
• Деректер орталығындағы VPS
• L2TP/IPSec сервері
• IKEv2 EAP сервері

Барлық мысалдар RouterOS v7-ге арналған.

Бастапқы деректер

1-қадам. Phase 1 профилін жасаңыз

• /ip profile
• add name=profile hash-algorithm=sha256 enc-algorithm=aes-256 dh group=modp2048

2-қадам. Peer қосыңыз

• /ip peer
• add address=2.2.2.2 exchange-mode=ike2 profile=profile secret=StrongPSK123

3-қадам. Proposal (Phase 2)орнату

• /ip proposal
• add name=proposal auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs-group=modp2048

4-қадам. Policy құру

• /ip policy
• add src-address=192.168.10.0/24 dst-address=192.168.20.0/24 tunnel=yes proposal=proposal peer=2.2.2.2

5-қадам. Nat bypass (сыни)

• /ip firewall nat
• add chain=srcnat src-address=192.168.10.0/24 dst-address=192.168.20.0/24 action=accept place-before=0

6-қадам. Брандмауэр ережелері

• /ip firewall filter
• add chain=input protocol=udp port=500,4500 action=accept
• add chain=input protocol=esp action=accept
• add chain=forward policy=in,ipsec action=accept
• add chain=forward policy=out,ipsec action=accept

Егер MikroTik бұлтқа (CHR) орнатылса, схема бірдей. Айырмашылық-әдетте:

• жоқnat
• жалпыға ортақ IP тікелей интерфейсте
• жоғары тұрақтылық

Бұл жағдайда masquerade жоқ болса, Nat bypass ережесін қосуға болмайды.

Күйді тексеру:

• /ip IPsec active-peers print
• /ip IPsec installed-sa print

L2TP серверін қосыңыз

• /interface l2tp-server server
• set enabled=yes use-ipsec=yes secret=StrongPSK123 default-profile=default

Пайдаланушыны құру

• /ppp secret
• add name=user1 password=Password123 service=l2tp profile=default

Брандмауэр

• /ip firewall filter
• add chain=input protocol=udp port=500,4500,1701 action=accept
• add chain=input protocol=esp action=accept

Бұл опция өндірілген және мобильді клиенттер үшін жақсы.

1. Профиль жасау

• /ip profile
• add name=ike2-profile hash-algorithm=sha256 enc-algorithm=aes-256 dh group=modp2048

2. Proposal

• /ip proposal
• add name=ike2-proposal auth-algorithms=sha256 enc-algorithms=aes-256-cbc pfs group=modp2048

3. Peer

• /ip peer
• add exchange-mode=ike2 profile=ike2-profile passive=yes

4. Identity

• /ip identity
• add auth-method=eap certificate=server-cert generate-policy=port-strict mode-config=ike2-config

5. Mode-config

• /ip mode-config
• add name=ike2-config address-pool=vpn-pool split-include=192.168.10.0/24

6. Мекен-жайлар пулын жасаңыз

• /ip pool
• add name=vpn-pool ranges=10.10.10.10-10.10.10.50

Егер туннель көтерілмесе:

• /log print where topics~"ipsec"

Егжей-тегжейлі дебаг үшін:

• /system logging add topics=!packet

Егер SA жасалса, бірақ трафик болмаса, біз тексереміз:

• /ip firewall nat print
• /ip firewall filter print
• /ip route print

Егер сіз IPsec ті өндірісте көтерсеңіз:

• IKEv2 пайдаланыңыз
• AES-256 + SHA256 пайдаланыңыз
• DH modp2048 төмен емес
• VPN хабын ВПС - ға орналастырыңыз
• CPU жүктемесін бақылау (IPsec процессорды жүктейді)

Жүктеуді тексеру:

• /tool profile
• /system resource monitor

Егер шифрланған CPU тұрақты түрде 70% - дан жоғары болса, ресурстарды масштабтау уақыты келді.