uOS(USG FLEX H) 系列防火牆設定 Route-based VPN 與對點的多個子網路連線

Jim_Tsai

以下說明 uOS(USG FLEX H) 系列防火牆如何使用設定精靈建立 IPSec VPN 連接到 ZLD(ZYWALL、USG FELX) 系列防火牆

架構圖

uOS 設定 IPSec VPN 隧道

1. VPN > IPSec VPN > Site to Site VPN > 新增
2. 幫這個VPN連線取一個名稱並選擇IKEv2後按下一步
3. 選擇要連線的介面及輸入對點的 IP 後按下一步
4. 輸入預先共用金鑰後按下一步
5. 因為是多個子網路連線所以選擇 Route-Base,輸入相關設定後按完成
6. 設定完成
7. 按"提案"紀錄 Phase1、Phase2 的設定內容，等等設定 ZLD 防火牆時會用到
8. 按"編輯"可以進行修改
9. uOS 新增對點子網路 192.168.1.0/24、192.168.2.0/24位址並加到群組"PeerGroup"
10. uOS 新增策略路由
    1. 將 LAN1、LAN2 到 192.168.168.0/24 、192.168.169.0/24 的流量送往 VTI
    2. 防火牆(ZYWALL)到 192.168.168.0/24 、192.168.169.0/24 的流量送往 VTI
    3. 設定完成如下圖

ZLD 設定 IPSec VPN

1. VPN > IPSec VPN > VPN閘道 > 新增
2. 選擇 WAN 介面並輸入uOS防火牆位址
3. 鍵入預先共用金鑰、階段 1 設定，這些設定要與 uOS 相同，完成後按OK
4. VPN > IPSec VPN > VPN連線 > 新增
5. 依序輸入
   1. 連線名稱:自取
   2. 應用情境:VPN通道界面
   3. VPN閘道器:選擇上階段設定的VPN閘道名稱
   4. 階段 2 設定:這些設定要與 uOS 相同，完成後按OK
6. 建立 VTI 介面
7. 建立對等子網路 192.168.168.0/24、192.168.169.0/24位址並新增位址群組
8. ZLD 新增策略路由
   1. 將 LAN1、LAN2 到 192.168.1.0/24 、192.168.2.0/24 的流量送往 VTI
   2. 防火牆(ZYWALL)到 192.168.1.0/24 、192.168.2.0/24 的流量送往 VTI
   3. 設定完成如下圖

測試 IPSec VPN 連線

1. uOS GUI 檢查
2. ZLD GUI 檢查
3. PC 從 uOS ping ZLD IP