Shunze 學園 >資訊設備專區 >Sophos XG > 《分享》XG與DrayTek做IPsec串接 哈囉,還沒有註冊或者登入。請你[註冊|登入]
« 上一篇主題 下一篇主題 » 顯示成列印模式 | 增加到我的最愛
發表新主題 發表回覆
作者
主題
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2369

shunze 離線
《分享》XG與DrayTek做IPsec串接引用回覆 編輯/刪除文章 搜尋由  發表的其他文章 回報給版主 IP 位置 回此頁最上方

順子沒操作過台廠防火牆DrayTek,最近剛好客戶端有XG與DrayTek的IPsec串接需求,
那順子也來筆記一下XG如何跟DrayTek做Site to Site的IPsec VPN串接。

DrayTek與XG兩端的情境配置如下圖。


在IPsec VPN的串接角色上,有分為撥出的主動端與被撥入的被動端。
若其中有一端是PPPoE上網,因為PPPoE取得的IP會變動,所以建議PPPoE那端做為主動端,另一端則做為被動端,等候主動端的撥入;
若兩端都是固定IP,則哪一端當主動,哪一端當被動都可以。
在這個示範中,DrayTek將做為主動端,而XG則做為被動端。

  • DrayTek上的設定
    DrayTek的IPsec VPN設定請到VPN and Remote Access中的LAN to LAN來進行,
    點選一個設定檔,進行IPsec的連線設定。



    1. 在第一個區段Commmon Settings,除了設定組態名稱外,還可以設定是否要啟用此組態與撥出入的方向設定。
      由於DrayTek在這個場景中是做為撥出的主動端,所以在方向上請選擇“Dial-Out”,並勾選“Always on”,
      讓斷線時,做為主動撥出端的DrayTek能夠主動再次建立VPN連線。



    2. 做為撥出端,第二個區段就顯得格外重要,
      除了要輸入被連線的XG端連線IP外,還要輸入Pre-Shared Key與一致的Phase1/2加解密邏輯(請點Advanced按鈕來設定)。


      ↑因為XG上的Phase2是有驗證的,所以設定前,請選擇High(ESP) XXX with Authentication的驗證方式,
      這樣Phase2才會有對應的驗證方式可選用!

      Advanced中確認Phase1/2所使用的加解密邏輯,並啟用Perfect Forward Secret,在XG端需建立相同的IPsec Profile。



    3. 第三區段是撥入端設定,由於此場景是做為主動端而不是被動端,
      所以此區段的設定不重要,可以保留設定,也可以進行對應設定以應用在被動端。



    4. 第四區段保留預設即可。



    5. 在第五區段中,設定local端與Remote端的網路組態。



      完成後,由於XG端還未設定,所以現階段會出現紅色的Offline狀態。



    IPsec組態設定好後,還要於防火牆規則中,放行VPN to LAN的封包。



    完成後,開始到被動端的XG進行設定吧∼

  • Sophos XG的設定
    XG上,以上述的Phase1/2設定,新建一個對應的profile,
    DPD的“對端連不到”的處理動作設定為斷線。



    然後在IPsec VPN連線設定中,選用此profile,並選擇動作為Respond Only,作為連線的被動接受端。



    設定完成後,請於防火牆規則中,依需要建立放行VPN to LAN以及LAN to VPN的規則。
    由於XG是被動端,且對端DrayTek已設定好,所以連線會自動建立。



    回到DrayTek上,也可發現連線已經主動建立,出現綠色Online狀態。



    在Connection Management中,也可以查看到目前連線狀態。


XG與DrakTek做IPsec串接到此告一段落∼



♥順子老婆的網拍,請多關照∼

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!




2018-01-24, 13:26 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
shunze
工友伯伯


註冊日期: 2002 04
來自: 潮汐終止之地
文章: 2369

shunze 離線
《分享》XG與DrayTek串接的版本問題引用回覆 編輯/刪除文章 搜尋由  發表的其他文章 回報給版主 IP 位置 回此頁最上方

在實測中,順子發現V16版的XG可用 DES + MD5 這樣加密驗證方式與DrayTek進行串接,
不過在V17版,透過這樣的加密驗證方式是無法與DrayTek串接的!

在V17版中,因安全層級提高,
要能成功的與DrayTek串接,必需採用 3DES + SHA1 以上的加密驗證方式才能成功。
XG與DrayTek串接時,請注意版本上的差異!



♥順子老婆的網拍,請多關照∼

If you don't like something, change it.
If you can't change it, change your attitude.
Don't complain!




2018-07-13, 09:46 shunze 的個人資料 把 shunze 加入好友列表 發送Email給 shunze 瀏覽 shunze 的網站 MSN : shunze@gmail.com
  « 上一篇主題 下一篇主題 »
發表新主題 發表回覆
跳到:

Powered by: Burning Board 1.1.1 2001 WoltLab GbR