IPSec IKEv2

Данный протокол VPN является предпочтительным и рекомендованным для всех сценариев использования.

Настройка VPN-сервера в Ideco UTM

1. Для включения авторизации по IKEv2 установите соответствующий флажок Авторизация IKEv2/IPSec в разделе веб-интерфейса Пользователи -> Авторизация пользователей -> VPN-авторизация.

2. При необходимости настройте передачу маршрутов клиентам до ваших локальных сетей.

3. Подключение возможно только по доменному имени (не по IP-адресу), поэтому необходимо иметь доменное имя, которое резолвится в IP-адрес внешнего интерфейса Ideco UTM. В поле Домен необходимо указать это DNS-имя. Оно необходимо для выписки сертификата Let’s Encrypt.

4. У пользователей, которым необходимо подключаться извне по VPN установите флажок Разрешить удаленный доступ через VPN в дереве пользователей. Указанный там логин и пароль будут использоваться для подключения.

Поддержка IPSec IKEv2 в клиентских ОС

• Microsoft Windows 7 (2009 г.). Требует установки корневого сертификата;

• Apple MacOS X 10.11 "El Capitan" (2015 г.);

• Linux NetworkManager plugin (c 2008 г.);

• Google Android 11 (2020 г.). На более старых версиях можно использовать приложение StrongSwan;

• Apple iOS 9 (iPhone 4S) (2015 г.);

• KeeneticOS 3.5;

• Mikrotik;

• Cisco routers.

Настройка VPN-подключения в Windows

Для создания VPN-подключения вы можете использовать готовый скрипт либо создать подключение вручную. Для создания подключения вручную выполните следующие действия:

1. В меню Пуск введите с клавиатуры vpn и в появившихся программах выберите Добавить VPN-подключение.

2. В появившемся окне нажмите Добавить VPN-подключение:

3. В окне добавления подключений выберите соответствующие параметры:

• Поставщик услуг VPN: Windows (встроенные).

• Имя или адрес сервера: укажите доменное имя (указанное в настройках IKEv2 в Ideco UTM и резолвящееся в IP-адрес внешнего интерфейса Ideco UTM).

• Тип VPN: IKEv2.

• Тип данных для входа: имя пользователя и пароль.

Если не удалось подключиться, рекомендуем выполнить следующие действия:

1. Откройте редактор реестра;

2. Перейти в HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent и создать DWORD-параметр с названием AssumeUDPEncapsulationContextOnSendRule и значением 2;

3. Перезагрузить Windows.

Автоматическое создание подключений по IPSec IKEv2 в Windows

Вы можете запустить скрипт PowerShell для автоматического создания подключения на компьютерах пользователей с Windows 8.1 и 10. Для этого скачайте готовый скрипт из раздела Пользователи -> Авторизация -> VPN-авторизация.

Подключение с помощью скрипта будет создано со следующими параметрами:

1. Протокол IKEv2.

2. Параметр Использовать основной шлюз в удаленной сети выключен. Доступ к локальным сетям того же класса, что были получены для VPN-подключения по умолчанию в Windows 7 и 10, будет осуществляться через VPN-подключение, поэтому дополнительных маршрутов создавать не нужно (если вы не используете разные классы сетей в локальной сети офиса).

Создайте текстовый файл с именем ideco_utm_ikev2.ps1 (в Блокноте или редакторе Windows PowerShell ISE) и скопируйте туда следующий текст:

### Ideco UTM IKEv2 connection ###
param([switch]$Elevated)
$currentUser = New-Object Security.Principal.WindowsPrincipal $([Security.Principal.WindowsIdentity]::GetCurrent())
if (!$currentUser.IsInRole([Security.Principal.WindowsBuiltinRole]::Administrator))  {
  if (!$elevated) {
    Start-Process \`
            powershell.exe `
            -Verb RunAs `
            -ArgumentList ('-noprofile -noexit -file "{0}" -elevated' -f ( $myinvocation.MyCommand.Definition ))
  }
  exit
}
Enable-NetFirewallRule -Group "@FirewallAPI.dll,-28502"
Add-VpnConnection `
    -Force `
    -Name "Ideco UTM IKEv2 VPN" `
    -TunnelType IKEv2 `
    -ServerAddress my.domain.com `
    -EncryptionLevel "Required" `
    -AuthenticationMethod EAP `
    -SplitTunneling $False `
    -DnsSuffix activedirectory.domain `
    -RememberCredential

Поменяйте в нем необходимые параметры на соответствующие вашим настройкам:

3. Ideco UTM IKEv2 VPN - название подключения в системе (может быть произвольным).

4. my.domain.com - домен внешнего интерфейса Ideco UTM (А-запись для домена должна ссылаться на IP-адрес внешнего интерфейса Ideco UTM).

5. activedirectory.domain - ваш домен Active Directory (если его, то нужно удалить эту строчку из скрипта).

Запустить скрипт на компьютере пользователя можно из контекстного меню файла «Выполнить с помощью PowerShell». Нажмите «Ок» в диалоге повышения прав (они требуются для разрешения доступа к общим файлам и принтерам).

После этого подключение в системе будет создано, а также включен общий доступ к файлам и принтерам для всех сетей (иначе доступ к общим папкам в локальной сети будет невозможен).

При первой авторизации необходимо ввести логин/пароль пользователя.

Возможные ошибки при выполнении скрипта

При появлении ошибки «Выполнение сценариев отключено в этой системе», нужно включить выполнение сценариев, выполнив команду в PowerShell: Set-ExecutionPolicy Unrestricted