Zyxel ZyWall USG 50 + Mikrotik L2TP over IPSec VPN

Обсуждения проблем с железом. Полезные советы по теме.


Модератор: UncleFather

Аватара пользователя
UncleFather
Site Admin
Сообщения: 1490
Зарегистрирован: 17 авг 2004 16:20, Вт
Контактная информация:

Zyxel ZyWall USG 50 + Mikrotik L2TP over IPSec VPN

Сообщение UncleFather »

Задача:

Имеется два интернет шлюза:

  • Zyxel ZyWall USG 50 - необходимо настроить в качестве сервера L2TP over IPSec VPN;

  • Mikrotik - необходимо настроить в качестве клиента, подключающегося к вышеуказанному серверу.

Казалось бы - ничего сложного - связки L2TP Zyxel ZyWall USG 50 + MS Windows, или Mikrotik + Mikrotik или Mikrotik + MS Windows много где описаны и настраиваются без подводных камней.

Но вот со связкой древнего Zyxel ZyWall USG 50 и современного Mikrotik возникли вопросы...


Решение:

  1. Настройка Zyxel ZyWall USG 50 в качестве сервера L2TP over IPSec VPN:

    1. Включаем алгоритм шифрования 3DES, для чего захотим telnet-ом на роутер и выполняем команды:

      Код: Выделить всё

      Username: admin
      Password:
      
      Router> configure terminal
      Router(config)# crypto algorithm-hide disable
      
      % The setting has been changed. You should reboot device to apply setting.
      
      Router(config)# write
      Router(config)# reboot
    2. Запускаем мастер настройки Zyxel USG:

      01.png
    3. Выбираем настройку VPN соединения:

      02.png
    4. Настройка VPN соединения:

      03.png
    5. Расширенная:

      04.png
    6. Выбираем роль сервера удаленного доступа. Здесь обращаем внимание на имя, которое мастер установки автоматически назначает новому правилу - в нашем случае имя WIZ_VPN1 - запоминаем его, оно нам понадобится в дальнейшем:

      05.png
    7. Указываем тот интерфейс, который «смотрит» в интернет (если связь устанавливается через PPPoE, то указывать нужно именно его) и задаем ключ предварительного шифрования (pre-shared key):

      06.png
    8. Прописываем подсеть для внешних подключений (эти адреса будут присваиваться подключающимся VPN клиентам) - она не должна пересекаться с существующими внутренними подсетями:

      07.png
    9. Сохраняем внесенные изменения:

      08.png

      В результате работы мастера будет создан VPN-шлюз с именем, запомненным на 6-м шаге, в нашем случае - WIZ_VPN, VPN-шлюз с таким же именем и две подсети в Object -> Adress с именами WIZ_VPN_LOCAL (для назначения адресов подключающимся VPN-клиентам (шаг 8 мастера настройки)) и WIZ_VPN_REMOTE;

    10. Создаем нового пользователя для внешнего подключения Object -> User/Group (1) -> User -> Add (2) -> придумываем имя пользователя (3) и пароль (4):

      09.png
    11. Включаем L2TP: VPN -> L2TP VPN (1) -> ставим галочку Enable L2TP Over IPSec (2) -> выбираем VPN соединение WIZ_VPN (3), пул адресов для назначения подключаемым VPN-клиентам WIZ_VPN_LOCAL (4) (те, которые были созданы мастером настройки), пользователя, созданного на предыдущем шаге (5) и прописываем серверы DNS (6):

      10.png
    12. На вкладке VPN -> IPSec VPN (1) -> VPN Connection включаем опции Use Policy Route to control dynamic IPSec rules и Ignore "Don't Fragment" setting in IP header:

      11.png
    13. На той же вкладке открываем VPN-соединение WIZ_VPN, созданное мастером установки, отображаем дополнительные настройки (1), выбираем адрес Local policy - внешний белый статический адрес шлюза (адрес интерфейса WAN или PPPoE - в зависимости от типа подключения) (2) и добавляем методы шифрования и аутентификации: 3DES - MD5, 3DES - SHA1, DES - SHA1 (3):

      13.png
    14. На вкладке VPN -> IPSec VPN (1) -> VPN Gateway открываем VPN-соединение WIZ_VPN, созданное мастером установки, отображаем дополнительные настройки и добавляем методы шифрования и аутентификации: 3DES - MD5, 3DES - SHA1, DES - SHA1 - точно такие же, ка и для VPN-соединения из предыдущего шага:

      12.png
    15. Создаем новую политику маршрутизации Network -> Routing (1) -> Police Route -> Add, где Destination Address - подсеть WIZ_VPN_LOCAL (2) для назначения адресов подключающимся VPN-клиентам, созданная матером настройки, Next-Hop Type выбираем VPN Tunnel (3) и указываем VPN-туннель WIZ_VPN, так же созданный мастером установки (4):

      14.png

    На этом настройка роутера Zyxel ZyWall USG 50 закончена, переходим к настройке роутера Mikrotik.


  2. Настройка Mikrotik в качестве клиента L2TP, с подключением к Zyxel ZyWall USG 50:

    1. Создаем новый PPP интерфейс PPP (1) -> Interface -> + (2) -> L2TP Client (3):

      15.png
    2. Настраиваем параметры интерфейса: задаем имя, Connect - указываем внешний (белый) адрес Zyxel ZyWall USG 50, которому будем подключаться (1), User - имя пользователя l2tp подключения, созданного ранее на Zyxel (2), Password - его пароль (3), ставим галочку «Use IPSec» (4), IPSec Secret - ключ предварительного шифрования (pre-shared key) (5), включаем все протоколы проверки подлинности (6):

      16.png
    3. Настраиваем предпочтения: IP -> IPSec (1) -> Proposals (2) -> Default (3) -> -> включаем алгоритм аутентификации SHA1 и алгоритмы шифрования 3DES, AES-128 CBC, AES-256 CBC, все остальное можно отключить (4) и PFS Group выбираем none (5):

      17.png
    4. Настраиваем профиль по умолчанию IPSec: на вкладке Profiles (1) -> Default (2) -> включаем алгоритмы шифрования: DES, 3DES, AES-128 и DH Group: modp1024 и modp2048, все остальное можно отключить (3):

      18.png
    5. Прописываем маршрут на внутреннюю сеть роутера Zyxel: IP -> IP -> Routes (1) -> Routes -> + (2) - Dst. Address - внутренняя сеть основного офиса (за роутером Zyxel USG) (3), Gateway - выбираем созданный нами PPP интерфейс L2TP Client (4):

      19.png

Alexander A. Manaeff©

Понравилась статья? Будем крайне признательны за репосты в соцсетях! Материально поддержать проект можно здесь

Мои странички:
ВКонтакте
Одноклассники
Youtube
Facebook
Instagram

Изображение
Изображение
Изображение
Изображение