IKEv2 VPN с аутентификацией EAP от Windows до Vigor3900 / 2960 с использованием самоподписанного сертификата

Vigor3900 и Vigor2960 поддерживают IKEv2 с аутентификацией EAP, начиная с версии прошивки 1.4.0. Это может сделать IKEv2 VPN еще более безопасным за счет дополнительной аутентификации по имени пользователя и паролю и проверки сертификата. В этой статье показано, как создать самоподписанный сертификат для аутентификации сервера, настроить Vigor Router на сервер IKEv2 VPN и как установить соединение из Windows с помощью Smart VPN Client v5.2.0.

Настройка маршрутизатора

1. Перейдите в раздел " Certificate Management >> Trusted CA" , нажмите " Build RootCA".

• Введите всю информацию
• Выберите «2048» для Key size.
• Введите passphrase, чтобы подписать локальный сертификат.
• Нажмите Apply, чтобы сохранить

2. Нажмите « Download », чтобы экспортировать корневой ЦС, который необходимо установить на VPN-клиент.

3. Перейдите в раздел «Certificate Management >> Local Certificate» , нажмите « Generate» :

• Выберите «Доменное имя» в качестве ID Type и введите домен маршрутизатора в поле « ID Value».
• Введите всю информацию
• Введите домен маршрутизатора для Common Name (CN)
• Выберите «2048» для key size
• Выберите «Включить» дляSelf Sign
• Введите парольную фразу корневого центра сертификации в CA Key Passphrase
• Нажмите Apply

4. Перейдите в User Management >> User Profile, чтобы добавить профиль пользователя:

• Установите флажок Enable
• Введите имя пользователя и пароль
• Выберите «Enable» для Xauth / EAP на сервере PPTP / L2TP / SSL / OpenVPN.

5. Перейдите в раздел VPN and Remote Access >> VPN Profiles >> IPsec ,  чтобы добавить профиль:

• Укажите profile name  и установите флажок Enable.
• Выберите «Включить» для Remote Dial-In User
• Введите локальную сеть маршрутизатора для  Local IP / Subnet Mask
• Выберите «IKEv2» для IKE Protocol
• Выберите «RSA» для Auth Type и выберите сертификат, созданный на предыдущих шагах для локального сертификата.

Подключение из Windows

1. Откройте RootCA и установите его.

2. Поместите его в доверенные корневые центры сертификации.

3. Подтвердите, что сертификат установлен успешно.

4. Запустите клиент Smart VPN и добавьте профиль:

• Дайте имя профиля
• Выберите "IKEv2" в качестве Type.
• Введите домен роутера
• Введите имя пользователя и пароль
• Нажмите ОК.

5. Включите Connect, и тогда мы сможем проверить статус VPN, когда он подключен.