Ktoś kiedyś powiedział, że "najtrudniejsze są odpowiedzi na proste pytania". Coś w tym jest. Moje pierwsze podejście do ustawienia tunelu IPSec trwało 5 dni. Pewnie się teraz zastanawiasz - Grzechu, coś Ty robił tyle czasu? 🤦 Odpowiedzieć mógłbym w zasadzie pierwszym zdaniem tego wpisu. 🙄 Tak, to było pięć długich dni od rana do wieczora. Mnóstwo testów, prób różnych konfiguracji, czytania dokumentacji, postów na forach internetowych oraz sprawdzania rad znajomych po fachu. Nie mniej jednak wyniosłem z tego doświadczenia naukę i teraz ustawienie tunelu IPSec zajmuje mi mniej niż godzinę (łącznie z konfiguracją urządzeń i testami komunikacji w obydwie strony z różnych urządzeń). Co prawda z tandemu Netgear - TP-Link już nie korzystam (nie miałem z nim żadnych problemów, zamieniłem je na lepsze rozwiązanie), jednak zostawiam to tutaj ku pamięci.

Poniższa konfiguracja dotyczy ustawienia połączenia IPSec między urządzeniami Netgear SRX5308 a TP-Link Archer MR600 v1 (w wersji v2 producent usunął obsługę IPSec).

Netgear SRX5308

Ustawienia strony A.

Konfiguracja polityki IKE

W panelu przechodzę do VPN / IPSec VPN / IKE Policies, klikam przycisk Add... i wprowadzam następujące ustawienia:

General:

• Policy name: - wpisuję nazwę polityki
• Direction / Type: - Both
• Exchange Mode: - Main

Local:

• Select Local Gateway: - WAN1
• Identifier Type: - Local Wan IP
• Identifier: - puste

Remote:

• Identifier Type: - Remote Wan IP
• Identifier: - puste

IKE SA Parameters:

• Encryption Algorithm: - AES-128
• Authentication Algorithm: - SHA-1
• Authentication Method: - Pre-shared key
• Pre-shared key: - wklejam swój klucz
• Diffie-Hellman (DH) Group: - Group 2 (1024 bit)
• SA-Lifetime (sec): - 28800
• Enable Dead Peer Detection: - Yes
• Detection Period: - 10
• Reconnect after failure count: - 3

Konfiguracja polityki VPN

W panelu przechodzę do VPN / IPSec VPN / VPN Policies, klikam przycisk Add... i wprowadzam następujące ustawienia:

General:

• Policy Name: - wpisuję nazwę polityki VPN
• Policy Type: - Auto Policy
• Select Local Gateway: - w moim przypadku WAN1
• Remote Endpoint: - wpisuję stały adres IP strony B

Traffic Selection:

• Local IP: - Subnet
• Start IP: - wpisuję podsieć lokalną strony A
• Subnet Mask: - wpisuję maskę podsieci lokalnej strony A
• Remote IP: - Subnet
• Start IP: - wpisuję podsieć lokalną strony B
• Subnet Mask: - wpisuję maskę podsieci lokalnej strony B.

Auto Policy Parameters:

• SA Lifetime: - 28800 sekund
• Encryption Algorithm: - AES-128
• Integrity Algorithm: - SHA-1
• ☑ PFS Key Group: - DH Group 2 (1024 bit)
• Select IKE Policy: wybieram wcześniej dodaną politykę IKE

TP-Link Archer MR600 v1

Ustawienia strony B.

Dodaję nowe połączenie IPSec

W panelu przechodzę do Advanced / VPN / IPSec VPN / Add i wprowadzam następujące ustawienia:

• IPSec Connection Name: - wpisuję nazwę połączenia
• Remote IPSec Gateway (URL): - wpisuję stały adres IP strony A
• Tunnel access from local IP addresses: - Subnet Address
• IP Address for VPN: - wpisuję adres podsieci lokalnej strony B
• Subnet Mask: - wpisuję maskę podsieci lokalnej strony B
• Tunnel access from remote IP addresses: - Subnet Address
• IP Address for VPN: - wpisuję adres podsieci lokalnej strony A
• Subnet Mask: - wpisuję maskę podsieci lokalnej strony A
• Key Exchange Method: - Auto (IKE)
• Authentication Method: - Pre-Shared Key
• Pre-Shared Key: - wpisuję swój klucz
• Perfect Forward Secrecy: - Enable

Klikam w przycisk Advanced w celu konfiguracji ustawień zaawansowanych:

Faza 1 (Phase 1):

• Mode: - Main
• Local Identifier Type: - Local Wan IP
• Remote Identifier Type: - Remote Wan IP
• Encryption Algorithm: - AES-128
• Integrity Algorithm: - SHA1
• Diffie-Hellman Group for Key Exchange: - 1024 bit
• Key Life Time(Seconds): - 28800

Faza 2 (Phase 2):

• Encryption Algorithm: - AES-128
• Integrity Algorithm: - SHA1
• Diffie-Hellman Group for Key Exchange: - 1024 bit
• Key Life Time(Seconds): - 28800