LAN-to-LAN VPN IPSec Protocol
LAN-to-LAN VPN De DrayTek routers beschikken over een geïntegreerde VPN server. Hiermee kan een VPN tunnel worden opgezet naar uw netwerk, zonder dat hiervoor een VPN server in het lokale netwerk vereist is. VPN biedt een beveiligde verbinding over het internet naar uw lokale netwerk. Door gebruik te maken van de LAN-to-LAN VPN functionaliteit kan een beveiligde VPN tunnel opgezet worden tussen twee routers, welke het mogelijk maakt om lokale netwerken van beide routers aan elkaar te koppelen. Er zijn verschillende vormen van VPN. DrayTek ondersteunt L2TP, IPSec en PPTP. Van deze protocollen is PPTP de snelste, doch de minst beveiligde vorm van VPN. IPSec biedt een betere beveiliging door een encryptie die continu veranderd. L2TP is, in combinatie met IPSec, de meest veilige vorm van VPN. Helaas is dit ook de reden dat het protocol moeilijk te gebruiken is. Momenteel is IPSec de meest gebruikte vorm van VPN. Voor het beveiligen van de VPN tunnel wordt gebruik gemaakt van verschillende encryptie protocollen. DrayTek ondersteunt DES, 3DES, AES en MPPE. Van deze protocollen is MPPE de meest eenvoudige vorm van encryptie. Deze wordt toegepast bij een PPTP verbinding. DES biedt aanzienlijk meer veiligheid ten opzichte van MPPE. Dit door het verbeterde algoritme dat wordt gebruikt. 3DES is een 3-voudige DES encryptie. Dit verbetert de beveiliging aanzienlijk. De laatst ontwikkelde encryptie standaard is AES. Dit is de veiligste vorm van encryptie. In deze handleiding gaan we in op het opzetten van een LAN-to-LAN VPN verbinding door middel van het IPSec protocol. 2
De geschetste situatie Een gebruiker heeft twee locaties of vestigingen welke met elkaar moeten kunnen communiceren. U wilt hiervoor een VPN verbinding opzetten, zodat deze probleemloos en beveiligd met elkaar kunnen communiceren. Deze handleiding gaat uit van de onderstaande gegevens: Locatie 1 Locatie 2 Apparaat DrayTek Vigor router DrayTek Vigor router LAN IP-subnet 192.168.100.0 10.1.1.0 LAN subnetmask 255.255.255.0 255.255.255.0 Publiek IP-adres Publiek IP-adres Publiek IP-adres Verbindingsrichting Dial Out Dial In Protocol IPSec IPSec Pre-Shared Key Draytek Encryptie DES/3DES/AES Opmerking: De LAN IP-segmenten van beide lokale netwerken mogen niet hetzelfde zijn. Opmerking: Het publieke IP-adres van een DrayTek router kunt u vinden onder System Maintenance >> System Status. Het is een voordeel als u de bovenstaande tabel voor u zelf invult met de gegevens uit uw situatie voordat u begint aan het instellen van de VPN tunnel. Ten eerste moet u controleren of de IPSec VPN Service geactiveerd is op beide routers. Dit kunt u doen onder VPN and Remote Access >> Remote Access Control. 3
Router 1 Log in op de webinterface van de DrayTek en ga naar VPN and Remote Access >> LAN to LAN. Klik vervolgens op één van de index nummers van een leeg profiel om een nieuw profiel aan te maken. Geef het profiel een naam en vink Enable this profile aan om het profiel te activeren. Zet de Call Direction op Dial-out en vink Always on aan, zodat de VPN altijd online blijft. Ga naar punt 2: Dial-Out Settings. Geef aan dat u gebruik wilt maken van een IPSec tunnel. Geef bij Server IP/Host Name for VPN het publieke IP-adres op van de tweede router. Klik op IKE Pre-Shared Key en geef een sleutel op. Deze sleutel wordt gebruikt door de routers als wachtwoord om te controleren of de andere zijde wel de juiste router is. Notitie: De Pre-Shared Key moet in beide routers hetzelfde zijn! 4
Geef tenslotte aan dat u gebruik wilt maken van de beveiligingsmethode High (ESP) met de methode van beveiliging die u wilt gebruiken. Ga vervolgens naar punt 5: TCP/IP Network Settings. Bij My WAN IP hoeft u niks in te voeren, geef bij Remote Gateway IP het publieke IP-adres op van de tweede router. Geef het Remote Network IP van de tweede router op. Klik vervolgens op OK om het profiel op te slaan. 5
Router 2 Log in op de webinterface van de DrayTek en ga naar VPN and Remote Access >> LAN to LAN. Klik vervolgens op één van de index nummers van een leeg profiel om een nieuw profiel aan te maken. Geef het profiel een naam en vink Enable this profile aan om het profiel te activeren. Zet de Call Direction op Dial-in. 6
Ga naar punt 3: Dial-In Settings. Geef aan dat u gebruik wilt maken van een IPSec tunnel. Vink Specify Remote VPN Gateway aan en geef hierbij het publieke IP-adres op van de eerste router. Klik op IKE Pre-Shared Key en geef dezelfde sleutel op als bij de eerste router. Geef tenslotte aan dat u gebruik wilt maken van de beveiligingsmethode High (ESP) met de methode van beveiliging die u wilt gebruiken. Ga vervolgens naar punt 5: TCP/IP Network Settings. Bij My WAN IP hoeft u niks in te voeren, geef bij Remote Gateway IP het publieke IP-adres op van de eerste router. Geef het Remote Network IP van de eerste router op. Klik vervolgens op OK om het profiel op te slaan. Nu beide profielen ingesteld zijn wordt de verbinding automatisch opgezet vanuit de router waarin Dial-out is ingesteld. 7
Voorbehoud We behouden ons het recht voor om deze en andere documentatie te wijzigen zonder de verplichting gebruikers hiervan op de hoogte te stellen. Afbeeldingen en screenshots kunnen afwijken. Copyright verklaring 2011 DrayTek. Alle rechten voorbehouden. Niets uit deze uitgave mag worden vermenigvuldigd, opgeslagen in een geautomatiseerd gegevensbestand, of openbaar gemaakt, in enige vorm of op enige wijze, hetzij elektronisch, mechanisch, door fotokopieën, opnamen, of enige andere manier, zonder voorafgaande toestemming van de uitgever. Voor zover het maken van kopieën uit deze uitgave is toegestaan op grond van artikel 16B Auteurswet 1912 j het Besluit van 20 juni 1974, St.b. 351, zoals gewijzigd bij Besluit van 23 augustus 1985, St.b. 471 en artikel 17 Auteurswet 1912, dient men de daarvoor wettelijk verschuldigde vergoedingen te voldoen aan de Stichting Reprorecht. Voor het opnemen van gedeelte(n) uit deze uitgave in bloemlezingen, readers of andere compilatie- of andere werken (artikel 16 Auteurswet 1912), in welke vorm dan ook, dient men zich tot de uitgever te wenden. Ondanks alle aan de samenstelling van deze handleiding bestede zorg kan noch de fabrikant, noch de auteur, noch de distributeur aansprakelijkheid aanvaarden voor schade die het gevolg is van enige fout uit deze uitgave. Registreren U kunt via www.draytek.nl/registratie uw product registreren. Geregistreerde gebruikers worden per e-mail op de hoogte gehouden van nieuwe firmware versies en ontwikkelingen. Trademarks Alle merken en geregistreerde merken zijn eigendom van hun respectievelijke eigenaren. 8