Creare una VPN Site to Site IPSEC con pfSense

da | Feb 26, 2015

PRE-REQUISITI

Per stabilire una connessione site to site tra due sedi utilizzando IPsec sono necessari i seguenti prerequisiti:

  1. Almeno una delle due sedi deve avere un IP Pubblico statico
  2. Le subnet interne delle due sedi devono essere diverse

CONFIGURAZIONE

Supponiamo di avere le seguenti configurazioni per le due sedi:

  1. SEDE TORINO: IP Pubblico: 4.3.2.1 e LAN : 192.168.0.0./24ù
  2. SEDE ROMA: IP Pubblico: 1.2.3.4 e LAN : 192.168.1.0./24

Colleghiamoci al firewall della sede di Torino e configuriamo la connessione verso il server di Roma

vpnpfsense01

Selezionare dal menu a tendina VPN quindi IPSec

vpnpfsense02

Selezionare Enable IPsec quindi Save

vpnpfsense03

Cliccare sul pulsante add phase1 entry

vpnpfsense04

Inserire i seguenti parametri:

INTERNET PROTOCOL: selezionare IPv4

INTERFACE: selezionare l’interfaccia WAN

REMOTE GATEWAY: inserire l’IP Pubblico della sede di Roma

DESCRIPTION: inserire la descrizione

vpnpfsense05

Inserire i seguenti parametri:

AUTHENTICATION METHOD: Selezionare il valore Mutual PSK

NEGOTIATION MODE: Selezionare aggressive

MY IDENTIFIER: Selezionare My IP Address

PEER IDENTIFIER: Selezionare Peer IP Address

PRE-SHARED KEY: Inserire la chiave condivisa (Es: csdih<87YFXZA6738JDN0’D)

POLICY GENERATION: Selezionare Default

PROPOSAL CHECKING: Selezionare Default

ENCRYPTION ALGORITHM: Selezionare AES quindi 256

HASH ALGORITHM: Selezionare MD5

DH KEY GROUP: Selezionare 2 (1024 bit)

LIFETIME: 28800 secondi

NOTA BENE: Il tipo di algoritmo utilizzato (ENCRYPTION ALGORITHM) deve essere uguale su entrambe i sistemi e bisogna sceglierlo in base alla potenza di calcolo dell’hardware che abbiamo scelto.

vpnpfsense06

Inserire i seguenti parametri:

NAT TRASVERSAL: Selezionare Enable

DEAD PEER DETECTION: Abilitare l’opzione quindi cliccare su Save per passare alla Phase-2

vpnpfsense07

Cliccare su Apply Changes per rendere effettive le modifiche

vpnpfsense08

Cliccare su Close

vpnpfsense09

Cliccare sul + per procedere con la Phase-2

vpnpfsense10

Cliccare sull’icona come mostrato nella figura sovrastante

vpnpfsense11

Inserire i seguenti parametri:

MODE: Selezionare Tunnel IPv4

LOCAL NETWORK: Selezionare LAN Subnet

REMOTE NETWORK: inserire i seguenti parametri

TYPE: Selezionare Network

ADDRESS: Inserire la subnet locale della sede di Roma

DESCRIPTION: inserire la descrizione

vpnpfsense12

Inserire i seguenti parametri:

PROTOCOL: Selezionare ESP

ENCRYPTION ALGORITHMS: Selezionare gli algoritmi che volgiamo utilizzare in base alle caratteristiche hardware

HASH ALGORITHMS: Selezionare entrambe gli algoritmi SHA1 e MD5

PFS KEY GROUP: Selezionare OFF

LIFETIME: Inserire 28800 secondi

AUTOMATICALLY PING HOST: è l’ip che bisogna pingare per mantenere attiva la connessione. Quindi selezionare o l’IP di un server sempre attivo o meglio ancora l’IP del firewall

Clicchiamo su Save per rendere effettive le modifiche

vpnpfsense13

Cliccare su Apply Changes per rendere effettive le modifiche

vpnpfsense14

Cliccare su Close

vpnpfsense15

Se è tutto corretto dovremmo avere una schermata come quella mostrata nella figura sovrastante

Ora facciamo la stessa configurazione sul Firewall di Roma impostando gli IP di Torino.

Adesso la VPN è pronta bisogna solo creare le regole sul firewall per permettere il passaggio dei pacchetti all’interno del Tunnel e le regole per permettere l’accesso dei pacchetti per stabilire il tunnel sull’interfaccia WAN di entrambe i firewall.

vpnpfsense16

Selezionare dal menù a tendina Firewall quindi Rules

vpnpfsense17ù

Selezioniamo la linguetta IPSec quindi clicchiamo sull’icona per aggiungere la regola

vpnpfsense18

Aggiungiamo una regola che permette tutti il traffico quindi clicchiamo su Apply Changes

vpnpfsense19

Cliccare su Close

NOTA BENE: Questa regola va inserita su entrambe i firewall

Scritto da Raffaele Chiatto

Sono Raffaele Chiatto, un appassionato di informatica a 360°…
Mi sono avvicinato al mondo dell’informatica nel lontano 1996 con Windows 95 e da allora non ho più smesso di dedicarmi allo studio ed approfondimento di questo settore.
Laureato in Ingegneria Informatica nel 2009, lavoro nel campo dell’IT dal lontano 2001.

Articoli Recenti

Veeam Backup

Monitoring

Friends

  • My English Lab  English School
  • ChrSystem   Infrastrutture IT
  • ACT For Cange  Mental Coach
  • Since 01  Kreative Graphics

Database

Networking

Autori

  • Raffaele Chiatto  Amministratore
  • Marco Valle  Autore Collaboratore

Related Post

0 commenti

Invia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Virtualizzazione

Linux

Microsoft

Apple

Backup

Database

Security

Automazione