Настройка на стороне CheckPoint

1. Параметры сетевых интерфейсов следующие:

   

2. Активируем блейд IPsec VPN:

   

3. Выбираем внешний адрес для подключения IPsec в разделе IPsec VPN — Link Selection:

   

4. Указываем VPN-домен объектом локальной сети CheckPoint:

   

5. Создаем Interoperable Device с именем UserGate:

   

6. Указываем топологию объектом локальной сети за UserGate:

   

7. Сетевые устройства CheckPoint и UserGate добавляем в Meshed комьюнити:

   

8. Задаем параметры фаз туннеля:

   

   

   

   

9. Создаем правило доступа для взаимодействия удаленных сегментов:

   

Настройка на стороне CheckPoint завершена.

Настройка на стороне UserGate

1. В разделе Сеть — Зоны разрешаем доступ по VPN для Untrusted-зоны:

   

2. В разделе Сеть — Интерфейсы создаем или используем созданный по умолчанию интерфейс VPN for Site-to-Site:

3. Данному интерфейсу назначаем IP-адрес из немаршрутизируемой сети:

4. Создаем профиль безопасности VPN в разделе VPN — Профили безопасности VPN. В свойствах профиля указываем общий ключ (pre-shared key) и во вкладке Безопасность задаем параметры Фазы 1 и Фазы 2, заданные на CheckPoint:

   

   

   

5. В разделе VPN — Клиентские правила создаем правило, выбрав профиль безопасности VPN, указав адрес сервера (IP-адрес внешнего интерфейса CheckPoint, через который происходит соединение) и протокол VPN: IPsec-туннель. Далее указываем разрешенные подсети со стороны UserGate и CheckPoint:

   

6. Создаем двустороннее правило доступа с указанием Trusted и VPN for Site-to-Site зон. Разрешаем трафик между зонами Trusted и S2S:

   

   

   

   

7. Включаем клиентское правило CheckPoint IPsec. При успешном подключении статус правила должен быть зеленого цвета: 

   

8. Проверяем статус туннеля Диагностика и мониторинг — VPN:

   

Настройка на стороне UserGate завершена.

Настройка на стороне FortiGate

1. Создаем новый IPsec-туннель через Template type — Custom:

   

2. В разделе Network — Interfaces присваиваем туннельному интерфейсу свободный IP-адрес из неиспользуемого диапазона — 203.0.113.2/32, В поле Remote IP/Netmask указываем свободный адрес со стороны UserGate — 203.0.113.1/24:

   

3. Создаем правило взаимодействия между сетями. На стороне FortiGate локальной сетью будет выступать адрес loopback интерфейса с двумя IP-адресами: 172.21.10.1 и 172.21.10.100:

   

4. И вот само правило доступа с именем FGT-UserGate. Адреса интерфейсов: 

• FGT-UserGate — Loopback Interface локальной сети.

• UserGate — туннельный интерфейс.

  

Настройка на стороне FortiGate завершена.

Настройка на стороне UserGate

1. Все подготовительные настройки схожи со сценарием UserGate — CheckPoint. Ниже приведем только отличные параметры. В разделе Сеть — Интерфейсы назначаем туннельному интерфейсу tunnel3 свободный IP-адрес из неиспользуемого диапазона 203.0.113.1/24:

   

2. В разделе VPN — Профили безопасности VPN создаем новый профиль безопасности FortiGate S2S:

   

   

3. В разделе VPN — Клиентские правила создаем правило FortiGate IPsec с использованием профиля безопасности, созданного на предыдущем шаге:

4. В свойствах виртуального маршрутизатора прописываем статический маршрут в удаленную сеть за FortiGate через туннельный интерфейс tunnel3: 

5. Не забываем про правило МЭ, которое у нас уже было включено с предыдущих схем, — VPN S2S:

   

6. В разделе Диагностика и мониторинг — VPN поверим статус туннеля:

   

7. Выполним ping и убедимся в доступности удаленной сети:

   

8. Со стороны FortiGate так же сделаем ping в сторону клиентского хоста с адресом 172.21.10.100:

   

Настройка на стороне UserGate завершена.

Настройка на стороне NSX Edge

1. Идем в vCloud Director — Networking — EDGE — Services — VPN — IPsec VPN Sites. Вот описание параметров (давали в нашей предыдущей статье):

   Параметр Значение Enabled True PFS False Local ID и Local Endpoint 178.20.233.46 Local Subnets 192.168.1.0/24 Peer ID и Peer Endpoint 91.107.67.230 Peer Subnets 172.21.10.0/24 Encryption Algorithm AES256 Authentication PSK Pre-Shared Key ********** Diffie-Hellman Group DH14 Digest Algorithm SHA-256 IKE Option IKEv1 Session Type Policy Based Session

2. В итоге получаем:

   

   

Настройка на стороне NSX Edge завершена.

Настройка на стороне UserGate

Настройки на стороне UserGate практически аналогичны настройкам в сценарии с CheckPoint, за исключением таймингов фаз IPsec. Дело в том, что данные параметры зашиты в NSX Edge и не подлежат изменению.

Их значения следующие:

ikelifetime = 28800s, 

type = tunnel, 

lifetime = 3600s, 

dpddelay = 30, 

dpdaction = restart.

1. Создаем новый профиль безопасности VPN в разделе VPN — Профили безопасности VPN:

2. В разделе VPN — Клиентские правила создаем правило, выбрав профиль безопасности VPN, указав адрес сервера (IP-адрес внешнего интерфейса NSX Edge, через который происходит соединение) и протокол VPN: IPsec-туннель. Указываем локальные сети со стороны UserGate и NSX Edge, трафик которых должен шифроваться данным туннелем:

   

3. Правило МЭ аналогично сценарию с CheckPoint:

   

4. Ну и не забываем про маршрут в локальную сеть за NSX Edge:

   

5. Проверим состояние туннеля. В разделе VPN — Клиентские правила в нормальном состоянии должен быть зеленый индикатор:

   

6. В разделе Диагностика и мониторинг — VPN смотрим:

   

Настройка на стороне UserGate завершена.

Настройка на стороне MikroTik

1. IP — Addresses — Задаем адресацию: 

• ether1 — WAN-порт, 

• bridge1 — LAN:

2. Создаем туннель в Interfaces — IP Tunnel, указываем внешние адреса MikroTik и UserGate в Local и Remote Address соответственно:

3. Переходим к настройке IPsec. Создаем новый peer в IP — IPsec — Peer:

   

4. Прописываем PSK-ключ в IP — IPsec — Identities:

   

5. В IP — IPsec — Profile параметры фазы 1 в данном случае описываем в default-профиле со следующими параметрами:

6. В IP — IPsec — Proposals поправляем параметры фазы 2:

7. В IP — IPsec — Policies создаем политику для шифрования трафика, указываем:

• Src.Adress=192.168.21.0/24 (локальная сеть MikroTik),

• Dst.Address=172.21.1 0.0/24 (локальная сеть UserGate).

8. Переходим к файрвольным правилам IP — Firewall — Filter Rules, создаем несколько правил. 

   Разрешаем трафик между локальными сетями:

   • Src.Address=172.21.10.0/24,

   • Dst.Address=192.168.21.0/24, 

   • Chain=forward Action=accept.

9. Для функционирования IPsec разрешаем порты UDP 500, 4500 и ipsec-esp на WAN-порте:

   

10. В IP — Firewall — Raw создаем правило прероутинга: 

Src.Address=172.21.10.0/24. 

Dst.Address=192.168.21.0/24. 

Chain=prerouting. 

Action=accept.

11. В IP — Firewall — NAT создаем правило, разрешающее трафику локальной сети MikroTik не натироваться в сторону локальной сети UserGate:

Src.Address=192.168.21.0/24. 

Dst.Address=172.21.10.0/24. 

Chain=forward. 

Action=accept.

12.  Далее в IP — Routes создаем статический маршрут в локальную сеть UserGate через туннельный интерфейс:

    

Настройка на стороне MikroTik завершена.

Настройка на стороне UserGate

1. В Сеть — Зоны на зоне Untrusted разрешаем VPN-сервис:

   

2. Параметры интерфейсов UserGate следующие:

   

3. В VPN — Профили безопасности VPN добавим новый профиль MikroTik S2S:

   

   

4. В VPN — Клиентские правила создаем правило MikroTik IPsec. Указываем профиль безопасности, созданный на предыдущем шаге: интерфейс=tunnel2, адрес сервера=внешний адрес MikroTik, протокол VPN=IPsec-туннель и наши локальные сети:

   

5. Создаем правило МЭ, разрешив взаимодействие между Trusted и VPN for Site-to-Site зонами:

   

6. В Сеть — Виртуальные маршрутизаторы — Виртуальный маршрутизатор по умолчанию — Статические маршруты добавляем статический маршрут в локальную сеть Mikrotik через tunnel2:

   

7. Проверить состояние туннеля можно в разделе Диагностика и мониторинг — VPN. Отправим ping через интерфейс Trusted-зоны в сторону клиентского хоста за MikroTik:

   

8. Так же сделаем ping со стороны тестового хоста за Mikrotik в сторону тестового хоста за UserGate:

   

Настройка на стороне UserGate завершена.

Настройка на стороне Cisco

1. Задаем параметры 1-й фазы:

• crypto isakmp policy 235,

• encr aes,

• authentication pre-share,

• group 14.

2. Задаем pre-shared key:

   crypto isakmp key <PSK ключ> address 91.107.67.230.

3. Задаем параметры 2-й фазы:

   crypto ipsec transform-set UserGate_TEST esp-aes 256 esp-sha256-hmac

   mode tunnel.

4. Создаем фильтр для сетей, между которыми будет шифроваться трафик (src/dst):

   ip access-list extended UserGate_TEST

   permit ip 172.22.10.0 0.0.0.255 172.21.10.0 0.0.0.255.

5. Создаем саму криптокарту, которую будем вешать на исходящий интерфейс:

   crypto map IPSEC 100 ipsec-isakmp

   description UserGate_TEST

   set peer 91.107.67.230

   set transform-set UserGate_TEST

   match address UserGate_TEST.

6. Эмуляция внутренней сети:

   interface Port-channel1.3970

   description UserGate_TEST

   encapsulation dot1Q 3970

   ip address 172.22.10.1 255.255.255.0.

7. Создаем маршрут до локальной сети за туннелем UserGate:

   ip route 172.21.10.0 255.255.255.0 91.107.67.225.

8. Вешаем созданную криптокарту на исходящий интерфейс:

   interface Port-channel1.100

   crypto map IPSEC.

Настройка на стороне Cisco завершена.

Настройка на стороне UserGate

1. В разделе Сеть – Зоны включаем VPN на зоне Untrusted:

   

2. В разделе Сеть – Интерфейсы создаем интерфейс tunnel4 и назначаем адресацию из пула локальной сети с адресом 172.21.10.254:

3. В разделе VPN – Профили безопасности VPN создаем новый профиль безопасности VPN со следующими параметрами:

• IKEv1, main mode,

• PSK auth,

• Phase1,

• группа Diffie-Hellman 14,

• время жизни ключа — 24 часа,

• DPD 120 сек, 5 попыток,

• sha256-aes256,

• Phase2,

• время жизни ключа — 1 час, no volume limit,

• sha256-aes256.

4. В разделе VPN — Клиентские правила создаем правило CISCO IPsec, выбрав профиль безопасности VPN, созданный на предыдущем шаге, указав адрес сервера (IP-адрес внешнего интерфейса Cisco) и протокол VPN — IPsec-туннель.

5. Обозначаем разрешенные (локальные) подсети со стороны UserGate и Cisco:

6. В Сеть — Виртуальные маршрутизаторы — Виртуальный маршрутизатор по умолчанию прописываем статический маршрут к удаленной локальной сети Cisco через tunnel4:

   

7. Не забываем про правило МЭ с указанием Trusted и VPN S2S зон:

   

8. Теперь проверяем доступность удаленной сети. Отправляем icmp с Trusted-интерфейса в сторону интерфейса локальной сети Cisco:

   

Настройка на стороне UserGate завершена.