Knowledge Base IPSec-Tunnel zwischen Fortigate und Draytek Vigor

Transkript

1 Datum :52 Hersteller Fortinet und Draytek Modell Type(n) Fortigate (jedes Modell), Vigor 2600/2500/2900 Firmware FortiOS v2.8 MR6 und Vigor V2.5.4 Copyright Boll Engineering AG, Wettingen Autor Sy Dokument-Version 1.0 Situation: Zwischen einer Fortigate Firewall und einem Draytek Vigor Router soll ein VPN-Tunnel aufgebaut werden. Dabei wird davon ausgegangen, dass aus Seiten des Vigors ein ADSL-Abo ohne feste IP-Adresse genutzt wird, die Fortigate jedoch eine feste offizielle Adresse besitzt. Seite 1 von 6 BOLL Engineering bemüht sich um die Richtigkeit aller in diesem Artikel aufgeführten Informationen und Daten. Eine Haftung oder Garantie für die Aktualität, Richtigkeit und Vollständigkeit dieser Informationen und Daten ist ausgeschlossen. BOLL Engineering behält sich vor, ohne Ankündigung Änderungen vorzunehmen. BOLL Engineering haftet weder für direkte noch indirekte Schäden, die durch die Nutzung der Informationen oder Daten dieses Artikels entstehen oder entstanden sind. Der Inhalt dieses Artikels ist urheberrechtlich geschützt. Die Vervielfältigung von Informationen oder Daten, insbesondere die Verwendung von Texten, Textteilen oder Bildmaterial bedarf der vorherigen Zustimmung von BOLL Engineering. Im Text vorkommende Produktenamen sowie Bezeichnungen von Technologien oder Konzepten sind meistens Warenzeichen oder eingetragene Warenzeichen der entsprechenden Firmen.

2 Lösung: Da der Vigor keine feste öffentliche IP-Adresse besitzt, kann die Fortigate von sich aus keine Verbindung auf den Vigor aufbauen 1. Damit wird auf dem Vigor Router nur eine Dial-Out -Verbindung konfiguriert. Diese Beschreibung gilt also auch für einen Vigor 2500, der keine Dial-In-Tunnel zulässt. Auf der Fortigate wird ein Dialup -Tunnel konfiguriert (ähnlich zu einem MUVPN Tunnel), damit man nicht gezwungen wird eine IP-Adresse als Gateway anzugeben. Fortigate- Konfiguration: Phase 1: Draytek unterstützt sowohl den Main als auch den Aggressive Mode. Aus Sicherheitsgründen wird in diesem Fall natürlich Main Mode genutzt 2. Wählen Sie bitte nicht DH Group 5, da Draytek nur die Diffie-Hellman- Gruppen 1 und 2 unterstützt. Auch Xauth und NAT Traversal werden von dem Vigor nicht unterstützt. 1 Eine Einwahl von der Fortigate zur Draytek wäre über DynDNS möglich. Allerdings verlässt man sich in diesem Fall auf einen Drittanbieter, dessen Funktionsfähigkeit nicht gewährleistet werden kann. Aus diesem Grund wird auf dieses Szenario in diesem Dokument nicht weiter eingegangen. 2 Es ist jedoch möglich, dass Probleme auftreten, wenn mehrere Dialup-Tunnel im MainMode arbeiten. Die Fortigate kann in diesem Moment nicht unterscheiden, welcher Dialup-User eine Einwahl versucht. Seite 2 von 6

3 Phase 2: Obwohl beide Hersteller in Phase 2 AES-Verschlüsselung anbieten, scheint eine fehlerfreie Kommunikation über AES zwischen Fortigate und Draytek derzeit nicht möglich. Verwenden Sie hier bitte 3DES. Wenn hier PFS aktiviert wird, wählen Sie bitte die gleiche DH Group, welche auch in Phase 1 verwendet wurde (der Vigor unterscheidet die DH Group nicht für Phase 1 und 2). Firewall Policy: Konfigurieren Sie die Firewall-Policy wie für einen normalen Branch-Office-VPN-Tunnel. Erstellen Sie dafür eine neue Policy (from internal to external/wan1), geben Sie als Source das interne Fortinet-Netzwerk an (bitte nicht / ) und als Destination das interne Draytek-Netzwerk. Die Action wird auf ENCRYPT gestellt und dann der Tunnel aus Phase 2 angewählt. Wählen Sie mit Allow inbound und Allow outbound in welche Richtung der Traffic innerhalb des Tunnel fliessen kann 3. Achten Sie wieder darauf, dass die Encrypt-Regel vor den Allow-Regeln steht. 3 Allow inbound: vom Draytek-Netz zum Fortigate-Netz, Allow outbound: vom Fortigate-Netz zum Draytek-Netz Seite 3 von 6

4 Draytek-Konfiguration: Kontrollieren Sie unter Advanced Setup > VPN and Remote Access Setup > Remote Access Control Setup, ob der IPSec VPN Service aktiviert ist. Erstellen Sie nun unter Advanced Setup > VPN and Remote Access Setup > LAN-to-LAN Profile Setup ein neues Setup 1. Common Settings Der Profile Name ist frei wählbar. Aktivieren Sie hier auch das Profile, da es sonst nicht ausgeführt wird. Wählen Sie als Richtung Dial-Out (das Dial-In ist nicht möglich, da angenommen wird, dass der Router keine feste IP-Adresse hat). Always On: Aktivieren Sie diese Funktion, wenn der Tunnel seitens der Draytek automatisch und dauerhaft geöffnet werden soll. Allerdings existiert auch hier wieder eine Inkompabilität zwischen beiden Herstellern. Wird auf der Fortigate unter VPN IPSec Monitoring der Tunnel manuell runter gefahren, schickt die Fortigate zwar die IPSec-Delete Meldung, welche aber von dem Vigor nicht verstanden wird. In diesem Moment arbeitet der Vigor mit einem Tunnel, welcher auf der Fortigate nicht mehr existiert. Es ist nicht mehr möglich durch diesen Tunnel zu kommunizieren, bis entweder die Schlüssel- Lebensdauer vom Vigor abgelaufen ist, der Tunnel manuell herunter gefahren wird (unter VPN Connection Management) oder der Vigor neu gebootet wird. (Ein Ausweg findet sich jedoch in der nächsten Option) Enable PING to keep alive: durch Aktivieren dieser Option pingt der Draytek regelmässig (im Sekundenabstand) die angegebene IP-Adresse 4 an, um damit den Tunnel aufrecht zu erhalten. Gleichzeitig wird darüber geprüft, ob der Tunnel fehlerfrei funktioniert. Bekommt der Router keine Antwort auf diesen Ping, versucht er den Tunnel komplett neu auszuhandeln. Achten Sie also darauf, dass die angegebene IP- Adresse auch immer erreichbar ist. 4 Die Adresse sollte natürlich im internen Fortigate-Netzwerk liegen. Seite 4 von 6

5 Wählen Sie also beide Optionen, wenn von Seiten der Fortigate jederzeit durch den Tunnel auf das Draytek-Netz zugegriffen werden soll. 2. Dial-Out Settings Wählen Sie IPSec-Tunnel an und geben Sie die offizielle IP-Adresse der Fortigate als Server IP an. Konfigurieren Sie das Preshared Key (welches auf der Fortigate in Phase 1 eingegeben wurde), indem Sie auf den entsprechenden Button drücken und das Password nun zweimal eingeben. Als IPSec Security Method wählen Sie High (ESP) und dann das Verschlüsselungsprotokoll, welches auf der Fortigate in Phase 2 ausgewählt wurde. Wählen Sie das Protokoll with Authentication, wenn in Phase 2 der Fortigate SHA-1 oder MD5 ausgewählt wurde. Die Einstellungen im Advance Button entsprechen grösstenteils den Phase 1 Einstellungen der Fortigate. Wählen Sie entsprechend den Main oder Aggressive Mode und das Phase 1 Proposal. Die Perfect Forward Secrecy Einstellung muss mit der PFS Einstellung aus Phase 2 der Fortigate übereinstimmen. 3. Dial-In Settings Ignorieren Sie diesen Teil, da nur ein Dial-Out-Tunnel konfiguriert wird. 4. TCP/IP Network Settings Belassen Sie die Einstellungen für My WAN IP und Remote Gateway IP auf Unter Remote Network IP/Mask wird das interne Fortigate-Netzwerk angegeben. Schalten Sie RIP auf disable, wenn Sie RIP nicht benutzen. Seite 5 von 6

6 Kontrollieren Sie den Tunnelaufbau von Seiten der Draytek über den Menüpunkt VPN Connection Management. Auf Seiten der Foritgate können Sie den Tunnel über VPN IPSec Monitoring oder über das Event Log kontrollieren. Seite 6 von 6