Technical Note #047 Auteur:Mark Vork Gemaakt op:14 februari 2003 Gewijzigd op:9 februari 2004

Transcriptie

1 Technical Note #047 Auteur:Mark Vork Gemaakt op:14 februari 2003 Gewijzigd op:9 februari 2004 Een IPsec tunnel opzetten met een Netasq door middel van een Safenet client Met behulp van deze technical note kunt u een IPsec tunnel opzetten tussen een Safenet client en een Netasq firewall. We hebben een paar gegevens die we van te voren moeten weten, voor deze technote gebruik in een aantal verzonnen waardes: Extern IP adres firewall Intern netwerk achter de firewall /24 Extern IP adres mobile client wisselend Intern (virteel netwerk adres client) Open (na installatie van de client) onder start->programma s- >softremote de Security Policy editor Klik op de button om een nieuwe policy aan te maken (rood omcirceld). Kies voor connection security secure. Bij Remote Party Identity and Addressing geef ik in dit geval een ip subnet op, dit is dus het lokale netwerk waar we mee gaan verbinden. Vinkje aan bij Connect using, en in het pulldown menu seleteer je Secure Gateway Tunnel. ID Type is Any en daarachter Gateway IP Address: Het externe IP adress van de Netasq

2 2 Open nu onder het menu options de Global Policy Security Vink nu Allow to Specify Internal Network Address aan, en klik op ok. Klik nu op security policy, en selecteer bij select phase1 negotiation Mode voor de Aggressive mode. Zet het vinkje bij Enable Perfect Forward Secrecy (PFS) uit. Enable Replay Detection mag aan.

3 3 Klik nu op my identity en vul daar in: Select certificate: None. ID type: Address. Vul een adres in: Virutal Adapter: Required. Internal Network IP Adress: (zorg ervoor dat deze op de verschillende remotes verschillend zijn). Dit subnet mag niet hetzelfde zijn als het interne Netwerk van de Firewall!!! Internet interface: ANY Klik op de button Pre-shared key en geef een woord op bv: eenvpntunnel (zorg ervoor dat deze op de verschillende remotes verschillend zijn). Klik nu op Security Policy-> Authentication (Phase1)-> Proposal 1 Selecteer als authentication Method Pre-Shared Key Bij Encryption and Data Integrity Algorithems Encrypt Alg: DES Hash Alg: MD5 SA life: seconds 3600 Key Group: Diffie-Hellman Group 2 Klik nu op Security Policy->Key Exchange (Phase 2)-> Proposal 1 SA life: Secinds 600 Compression: None Zet het vinkje aan bij Encapsulation Protocol (ESP) Encrypt Alg: DES Hash Alg: MD5 Encapsulation: Tunnel

4 4 Klik nu op save en sluit het venster: De vpn client is nu geconfigureerd, leg nu een verbinding via de manager met de firewall. Indien dit de eerste tunnel is die geconfigureerd word in de firewall, dan kun je via configuration->vpn-> IPSec Tunnels het eerste slot dubbelklikken

5 5 Mochten er al één of meerdere tunnels in de firewall staan dan kun je het juiste slot selecteren door er op te dubbelklikken of enkel klikken en dan Edit. De lijst met tunnels zal nu verschijnen, je kunt hier ook op NEW klikken. De wizard verschijnt: Geef de tunnel een naam naar keuze. Klik op next Selecteer hier Dynamic (Pre- Shared Key). Klik op next.

6 6 Bij Choose the local firewall s interface selecteert u de juiste interface, (bij een Dial-UP verbinding zoals een Mxstream verbinding met PPtP selecteert u de dial-up interface. Bij een routed subnet verbinding of een bridge naar het internet selecteert u de interface waarachter het internet zich bevind, in de meeste gevallen zal dat interface_out zijn. Bij local host at traffic end point selecteer je het netwerk waarmee de client verbonden moet worden (dit is het netwerk zoals ingegeven bij de mobile client onder Remote Party Identity and Addressing). In de meeste gevallen zal dit network_in zijn. Als remote traffic endpoint maak je onder objects network een netwerk aan die bijvoorbeeld mobielnet heet en ip subnet met subnet mask heeft. Klik nu op finish Het scherm zoals links komt naar voren. Geef bij filename linksboven een naam voor het VPN slot op. In het rechterveld vul je het volgende in. Onder tunnel configuration selecteer je Pre-shared keys. Bij Phase 1 negotiation mode selecteer je Aggressive mode. Bij Pre-shared key configuration onder identity type kies je user@full qualified domain name. Daar vul je een adres is anders dan bij de client: mobile@local.nl

7 7 Klik op authentication (Phase1). SA life is 60 minuten. Key group is Diffie-Hellman group 2. Verwijder onder authentication phase1, proposal 2 en proposal 3. Klik nu op proposal 1 Onder Proposal 1 bij Hash algorithm kies je MD5 en onder Encryption algorithm kies je DES. Klik nu op Policy 1 bij key exchange bij phase 2 Onder het tabje general maak je de volgende instellingen: Proposal method: ESP protocol, Perfect Forward Secrecy (PFS) No Perfect Forward Secrecy, SA life 10 minuten. Klik nu op het tabje Authentication Zet het knopje bij hmac-md5 op on en zet deze door middel van de rode pijltjes (rechts) bovenaan. De rest van de knopjes mag op off. Klik nu op het tabje Encryption.

8 8 Zet hier het knopje bij des aan en de rest uit. Verplaats des door middel van de rode pijltjes aan de rechterkant naar boven. Klik nu op het tabje Traffic end points. Hier hoef je niets te wijzigen, je kunt eventueel een beperking opleggen aan de protocollen die er over de tunnel mogen gaan, maar dit is verder niet nodig. Klik op send. Open nu onder Configuration->Vpn-> Pre-shared Keys. Geef een naam voor de key op: mobiel, het type is peer identity is klik op preshared key en vul hier dezelfde key in als in de client: eenvpntunnel (zorg ervoor dat deze voor de verschillende remotes verschillend zijn dus 1 key per remote).

9 9 Open nu onder de slots de VPN tunnels, selecteer het slot welke actief moet worden en klik op activate. De tunnel is nu klaar voor gebruik.