Настройка VPN IPsec с zywall usg 100 - Russian Users MikroTik

В общем схема сети примерно такая

Думаю так понятнее?

все работает с маской сети /17 в туннеле со стороны зайвола
зайвол видит всех, в свою очередь все видят друг друга через зайвол.

проблема с микротиком, тоннель настроил, трафик не ходил.
да и почему-то в настройках peer параметр DH Group сампроизвольно с modp768 менялся на modp1024. вот как.
проблему с хождением трафика нашел!
надо было на микротике в файрволе добавить правила в цепочку forward
я добавлял в winbox, в командах примерно так вроде будет выглядеть:

/ip firewall filter add chain=forward src-address=172.27.0.0/17 action=accept
/ip firewall filter add chain=forward dst-address=172.27.0.0/17 action=accept

и подвинуть их вверх.
и трафик пошел!
- с зайвола на микротик и за микротик (видны сервер и рабочая станция) и обратно с микротика на зайвол
и.
с РС, подключающейся по VPN L2TP на зайвол, на микротик и за него и обратно.

ниже я показал как сейчас все работает:

соответственно цветовым стрелкам - все что объединены стрелками одного цвета видят друг друга.
а хочется чтобы микротик так же видел ВСЕХ.

с РС на микротик ходит потому что винда по умолчанию весь трафик пихает в VPN L2TP, т.е. на ZyWall а зайвол через впн на микротик.
НО. другие сети микротику не доступны и соответственно наоборот и я так понимаю потому что они ничего не знают про микротик (т.к. в Policy у них Dst.Address: 172.27.0.0/17) и соответственно куда слать пакеты на него.
и как решить эту проблему?
роутинг в IPSec на зюхелях настроить невозможно, так же как на IP 172.27.64.1 :(

один выход? переместить туннель микротика в адресацию 172.27.0.0/17, ну т.е. например со стороны микротика 172.27.88.0/24, но тогда если у него локальная сеть с такой же адресацией он становится недоступным!
как его сделать видимым.
а если локальная сеть с другой адресацией то как настроить связь туннеля с локальной сетью (подмену IP адресов)
допустим 172.27.88.4 на 192.168.88.4 и т.д. это конечно кривовато. но вариант.

Вложения MyVPNnetwork2.jpg My VPN - How it work (107.74 КБ) 0 скачиваний MyVPNnetwork.jpg My VPN Network (76.05 КБ) 0 скачиваний

Zyxel ZyWALL 110 Межсетевой экран

Межсетевой экран ZyWALL 110 с самыми высокими показателями пропускной способности SPI Firewall и VPN в своем классе устройств. В устройстве присутствует 2 порта WAN GbE, один универсальный порт WAN/LAN GbE и четыре настраиваемых порта LAN/DMZ GbE, реализуется множественное резервирование доступа в Интернет и балансировка нагрузки. Поддерживается резервирование подключения к провайдеру с помощью USB-модемов 2,5/3G и резервирование самого ZyWALL, что позволяет обеспечить высокую отказоустойчивость. ZyWALL 110 предлагает пропускную способность SPI брандмауэра до 1,000 Мбит/с, пропускную способность IPsec VPN до 300 Мбит/с, 60,000 параллельных сеансов NAT и 25 SSL VPN туннелей.

Межсетевой экран Zyxel ZyWALL 110 свежего поколения специализирован для заключения широкого диапазона задач по организации географически распределенных корпоративных сеток всякий трудности и действенной всеохватывающей обороны сетевой инфраструктуры от опасностей из Онлайна. Отвечая направленностям к глобализации и мобильности бизнес-процессов, ZyWALL 110 содержит богатый арсенал функций для сотворения скоростных защищенных каналов VPN для связи с удаленными отрядами. партнерами и выездными работниками. С технологиям VPN реализованными в ZyWALL 110, этим как IPSec, L2TP/IPSec и SSL, фирмы имеют все шансы группировать собственные бессчетные географически распределенные отряда в единственную информационную инфраструктуру, а например же делать мобильные трудящиеся пространства на основе телефонов. планшетов и ноутбуков для собственных выездных служащих. разрешая им быстро улаживать почти все трудящиеся вопросы за пределами кабинета. собственно что важно ускоряет бизнес-процессы. Бесперебойная ассоциация с удаленными объектами гарантируется резервированием туннелей VPN сквозь многочисленные широкополосные каналы Онлайна подключаемые к наружным интерфейсам прибора. Интегрированные в ZyWALL 110 сервисы сетевой защищенности UTM, эти как потоковый антивирус, система обнаружения и предотвращение проникновений. контентная фильтрация, оборона от мусора. патруль приложений и инспектирование трафика SSL, готовы гарантировать возвышенный степень сетевой защищенности. защищая всю сетевую инфраструктуру от опасностей из Онлайна. оптимизируя ее работу и повышая продуктивность работы фирмы. ZyWALL 110 соединит в для себя свежайшую аппаратную платформу, основанную на высокопроизводительном четырехъядерном микропроцессоре Cavium Octeon CN6230 и испытанную периодом операционную систему ZLD, надежность и работоспособность которой доказана долголетней удачной эксплуатацией центров защищенности ZyWALL USG разными компаниями во множества государствах мира. Спасибо данному ZyWALL 110 показывает одни из самых больших характеристик пропускной возможности SPI Firewall и VPN в ветви. собственно что признают итоги исследований независящих профессионалов. В одном ряду с высочайшей скоростью передачи данных по каналам VPN, межсетевой экран ZyWALL 110 располагает действенными способами приоритезации трафика и рассредотачивания полосы пропускания и что наиболее отвечает необходимостям бизнеса в применении передовых бизнес-приложений, чувствительных к задержкам и потерям передаваемых данных. С внедрением ZyWALL 110, IP-телефония, видеоконференции, а например же кооперативный централизованный доступ к документам и базам данных делаются дешевыми работникам бессчетных удаленных отрядов. При всех собственных широких активных способностях. межсетевые экраны серии ZyWALL считаются малогабаритными. ординарными и надежными в эксплуатации приборами с симпатичным соответствием стоимости и свойства. внедрение и эксплуатация коих не настятельно просит значительных денежных и трудовых расходов. Объектно-ориентированная модель управления в одном ряду с инстинктивно понятным пользовательским веб-интерфейсом, перекрестной системой навигации, интегрированным контекстным справочником и графическим прогнозом состояния дают возможность очень максимально облегчить настройку в том числе и в трудных сетях.

Главные выдающиеся качества

IPSec VPN
Разработка IPSec VPN реализованная в межсетевых экранах ZyWALL считается безупречным заключением для сотворения неизменных включений на подобии сеть-сеть меж удаленными отрядами. Обеспечивание бесперебойной работы VPN достигается методом сотворения VPN сквозь запасной канал Онлайна в случае отказа главного канала. Не считая такого. наличествует вероятность группировать туннели разработанные сквозь различные каналы Онлайна в транк с балансировкой нагрузки, что наиболее. увеличивая суммарную пропускную дееспособность VPN-соединения меж удаленными отрядами .

IKEv2
В одном ряду с IKEv1 (RFC 2407, 2408, 2409, 4109, 4995) в приборе ZyWALL 110 продана помощь протокола IKEv2 (RFC5996) с аутентификацией EAP. Внедрение свежей версии протокола IKEv2 гарантирует больше резвое и неопасное согласование ассоциаций защищенности IKE SA /IPSec SA и генерацию ключей шифрования защищенности. а например же надежную защиту от DoS-атак. Не считая такого. IKEv2 и EAP штатно поддерживаются операционными системами Windows 7/8, собственно что разрешает применить эти технологии для организации удаленных трудящихся пространств для служащих фирмы .

L2TP over IPSec VPN
Возникновение на рынке дешевых и действенных мобильных компьютерных приборов с неизменным включением к Онлайну и помощью VPN содействует мобильности бизнеса. Разработка L2TP over IPSec VPN реализованная в ZyWALL 110 и поддерживаемая операционными системами iPhone iOS, Android и MS Windows разрешает фирмам делать мобильные трудящиеся пространства для собственных выездных служащих на основе этих приборов. предоставляя им защищенный выделенный доступ к бизнес-приложениям в корпоративной сети. Спасибо ZyWALL 110 любой работник фирмы. имеющий при для себя телефон или же планшет, имеет возможность в всякий момент включиться к корпоративной сети и практически сразу решить почти все трудящиеся вопросы за пределами кабинета. собственно что важно ускоряет бизнес-процессы.

SSL VPN
Не считая такого. ZyWALL 110 поддерживает технологию SSL VPN, которая например же считается действенным заключением для предоставления работникам неопасного удаленного доступа к ресурсам корпоративной сети. Применяя данную технологию, межсетевой экран ZyWALL 110 способен гарантировать незатейливый. не связанный с настройкой клиентского оснащения или же аппаратом программных покупателей метод доступа к почтовому серверу, файлам и приложениям, веб-серверам и иным ресурсам корпоративной сети. Для сотворения SSL-подключения на стороне покупателя потребуется лишь только присутствие обычного компа с веб-браузером и включением к Онлайну. собственно что разрешает делать включение из всякий точки мира с всякого компа. Защищенность включения гарантируется передовыми способами шифрования, использованием цифровых сертификатов, а например же, при надобности. системой двухфакторной аутентификации. Доступ к ресурсам сети исполняется сквозь настраиваемый веб-портал. Работоспособность веб-портала имеет возможность быть расширена при поддержке деликатного покупателя SecuExtender (Java), механически загружаемого с шлюза ZyWALL USG и устанавливаемого конкретным юзерам для обеспечивания добавочных вероятностей доступа к сети.

Разработка Easy VPN
Технологии VPN очень эффективны для сотворения мобильных и удаленных трудящихся пространств для служащих фирмы. Но настройка VPN-подключения на устройствах служащих имеет возможность замерзнуть сложный задачей, как для самих служащих. например и для IT-персонала. В дополнение к упомянутым повыше технологиям VPN для сотворения мобильных трудящихся пространств. межсетевой экран ZyWALL 110 дает вероятность удаленного включения юзеров с программкой ZyWALL IPSec VPN Client. Плюсом предоставленного заключения считается автоматическое конфигурирование VPN-соединения на стороне удаленного работника. Спасибо применению технологии Easy VPN, для конфигурирования VPN-соединения юзеру потребуется лишь только установить Айпишник удаленного ZyWALL и собственные учетные данные (имя юзера и пароль). При данном форма VPN, сначала приготовленная IT-персоналом для юзера. в считанные секунды загружается в программку и все готово для сотворения VPN-соединения с удаленным ZyWALL.

Способы обеспечивания сетевой защищенности
ZyWALL 110 разрешает сделать эффективную всеохватывающую защиту сети фирмы от опасностей из Онлайна спасибо интегрированным сервисам сетевой защищенности (Unified Threat Management, UTM), этим как антивирус, оборона от проникновения. патруль приложений, контентная фильтрация и антиспам. Эти сервисы возможно активировать на приборе с поддержкой особых карт включения.

Антивирус
Шлюзовый антивирус SafeStream II Лаборатории Касперского сканирует в реальном времени Интернет- трафик, препятствуя вторжению вредных программ в корпоративную сеть. Спасибо постоянному автоматическому обновлению баз сигнатур антивирус способен показывать и истреблять больше 650 000 микробов. охватывая свежие микробы .
Для обновления сигнатур антивируса потребуется покупка и активация особой карты включения

Оборона от проникновений
Обслуживание обнаружения и предотвращения проникновений (Intrusion Detection&Prevention, IDP) нейтрализует трояны, бэкдоры, атаки DoS и DDoS, сетевых червяков и эксплойты, использующие знакомую уязвимости операционных систем и прикладных программ. IDP сканирует сетевые пакеты на 4-7 уровне OSI с внедрением базы сигнатур, собственно что разрешает действенно нейтрализовать больше 1700 популярных атак. Постоянное автоматическое обновление базы сигнатур разрешает благополучно противодействовать свежим угрозам.
Обслуживание обнаружения аномалий (Anomaly Detection and Prevention, ADP) подвергает анализу 2 и 3 значении OSI, выявляя и нейтрализуя атаки, использующие аномалии (несоответствие с RFC) протоколов TCP, UDP и ICMP. Не считая такого. ADP обнаруживает аномалии трафика TCP, UDP и ICMP, эти как сканирование портов и сетевой флуд, собственно что разрешает противодействовать разведывательным деяниям и атакам способным привести к провалу сетевых приложений и несанкционированному доступу злодеев к ресурсам сети.
Для обновления сигнатур обслуживания IDP потребуется купить и активировать особую карту включения. Для применения обслуживания ADP карты включения не потребуются .
Патруль приложений

Обслуживание патруль приложений (Application Patrol) от фирмы TREND Micro, способен идентифицировать и арестовать под контроль трафик больше чем 1 300 известных сетевых приложений являющихся собственностью к грядущим категориям:

Пиринговые сети (Peer to Peer)
Файлообменные ресурсы и покупатели (File Transfer)
Потоковая предоставление данных (Streaming Protocols)
Электрическая почта (Mail and Collaboration)
IP-телефония (Voice over IP)
Базы данных (Database)
Игры (Games)
Управление сетью (Network Management)
Выделенный терминальный доступ (Remote Access Terminals)
Прокси-серверы и VPN (Bypass Proxies and Tunnels)
Фондовая биржа (Stock Market)
Всевозможные веб-ресурсы (Web)
Обновления приложений (Security Update)
Веб-пейджеры (Web IM)
Бизнес-приложения (Business)
Всевозможные сетевые протоколы (Network Protocol)
Мобильные прибора (Mobile)
Защищенные протоколы веб-пейджеров (Private Protocol)
Общественные сети (Social Network)
Для идентификации трафика приложений применяется контроль трафика на 4-7 уровнях OSI с внедрением механически обновляемой базы сигнатур. Патруль приложений разрешает воспрещать и позволять сетевой трафик конкретных приложений, ограничивать полосу пропускания и коллекционировать статистику для конкретных пользователей/групп пользователей/хостов/диапазонов IP-адресов/подсетей. Эти способности дают возможность ограничить трафик ненужных. опасных и не имеющих дела к рабочему процессу приложений, и в одно и тоже время с данным гарантировать гарантированную полосу пропускания для нужных приложений, повышая что наиболее защищенность корпоративной сети и продуктивность рабочего процесса.

Антиспам
Обслуживание фильтрации мусора Anti-Spam способен оградить служащих фирмы от лавины лишних и потенциально небезопасных извещений e-mail рассылаемых с целью распространения рекламы, вредных программ и хищения ценной инфы. Внедрение пасмурных технологий фирмы SYREN – основного в ветви производителя заключений для обороны корпоративных ресурсов в Онлайне – разрешает показывать и одергивать до 99% мусора во входящем трафике SMTP и POP3, а например же истреблять вредные файлы во инвестициях. непринужденно пропуская нужную корреспонденцию

Контентная фильтрация
Контентная фильтрация (Content Filter, CF) базирующаяся на разработках фирм SYREN разрешает ликвидировать доступ служащих к потенциально небезопасным интернет-сайтам, а например же ограничить доступ к веб - сайтам. не имеющим дела к заключению трудящихся вопросов. Внедрение контентной фильтрации увеличивает степень сетевой защищенности. уменьшает бессмысленный интернет-трафик и наращивает продуктивность работы служащих .

Инспекция SSL
Почти все веб-ресурсы, к примеру (Facebook, Dropbox, Gmail, ВКонтакте и пр.), а например же приложения юзеров и вредные программки пользуют шифрование SSL для обмена данными сквозь Онлайн. Шифрованный трафик нельзя проверять сервисами защищенности. этими как антивирус, обнаружение и предотвращение проникновений. патруль приложений и контентная фильтрация, собственно что делает вероятную брешь в системе сетевой защищенности. Устройство инспекции SSL реализованный в приборе ZyWALL 110 призван решить данную делему. Он расшифровывает SSL-трафик проходящий сквозь ZyWALL для дальнейшего инспектирования упомянутыми сервисами, вслед за тем шифрует его вновь и передает адресату. В целях соблюдения важной конфиденциальности служащих фирмы. доверенные интернет-ресурсы, к примеру. эти как интернет-банки, мед учреждения, электрические сервисы правительства и т.п. имеют все шансы быть занесены в особый перечень исключений, дабы ликвидировать дешифрование и инспектирование трафика юзеров данных ресурсов.

Бесперебойный доступ в Онлайн
При выполнении ежедневных операций бизнеса отсутствие каналов включения к Онлайну отрицательно отображается на работе организации. Межсетевой экран ZyWALL 110 разрешает решить данную делему. Спасибо многочисленным портам WAN, он разрешает применить в одно и тоже время некоторое количество каналов Онлайна от различных Интернет-провайдеров. Балансировка нагрузки каналов, автоматическое переключение на запасной канал в случае отказа ведущих. возврат на ведущей канал при возобновлении его функционирования и внедрение 3G-модема в качестве запасного канала – все эти функции имеют все шансы гарантировать бесперебойный доступ в Онлайн 24 часа в день .

Резервирование прибора
Резервирование прибора (Device HA) ручается круглосуточную бесперебойную работу всех функций межсетевого экрана ZyWALL 110. Это достигается методом одновременного применения 2-ух приборов ZyWALL 110: главного и запасного. В случае временного сбоя или же выхода из строя главного прибора все его функции механически берет на себя запасное прибор .

Настраиваемые значении защищенности частей сети
ZyWALL 110 поддерживает технологии виртуализации L3: VLAN и виртуальные интерфейсы-псевдонимы. Сектор сети имеет возможность держать комплект из нескольких интерфейсов, собственно что разрешает с легкостью рулить уровнем защищенности всевозможных отрядов. ставить гранулированные политические деятели контроля и производить надзор за энергичностью в сетях разного значения трудности .

Бесцветная аутентификация юзеров Microsoft Active Directory
Устройство аутентификации юзеров Single Sign-on (SSO) реализованный в приборе ZyWALL 110 гарантирует иллюзорную аутентификацию юзеров MSAD на устройствах ZyWALL. Это достигается внедрением особой программки SSO Agent (опубликована в разделе Поддержка), которую возможно ввести на одном сервере с контроллером домена или же порознь стоящем сервере. SSO Agent воплотит в жизнь взаимодействие меж контроллером домена и устройством ZyWALL, передавая на ZyWALL данные о юзере при входе в домен и выходе из домена. С бесцветной аутентификацией SSO юзеру домена не потребуется дополнительно включать личный логин и пароль для аутентификации на ZyWALL. Будучи авторизованным контроллером домена, он станет механически авторизован и устройством ZyWALL с использованием надлежащих дипломат защищенности сконфигурированными IT-персоналом фирмы.

Многокритериальные политические деятели доступа
Умственная система обработки правил реализованная в ZyWALL 110 воспринимает заключение о направленности пакетов в согласовании с политическими деятелями доступа основанными на многочисленных аспектах объектного комплекта. в что количестве. этих как пользователь/группа юзеров. Айпишник источника/получателя, образ обслуживания и время активации/деактивации критерии. Похожие политические деятели срабатывают для правил межсетевого экрана, маршрутизации и управления полосой пропускания.

Управление полосой пропускания для обеспечивания QoS
Инструментарий управления полосой пропускания BWM разрешает включать ценности передачи трафика, гарантируя или ограничивая внедрение доступной емкости включения для трафика конкретного пользователя/групы пользователей/IP-адреса отправителя/групп Айпишников отправителей/IP-адресов получателей/с конкретным тегом DSCP в т.ч. по расписанию. Это разрешает гарантировать лучшее качество сервиса для трафика бизнес-приложений чувствительных к задержкам и потерям передаваемых данных, к примеру. этим как IP-телефония и видеоконференсвязь. Интеграция BWM с обслуживанием Application Intelligence разрешат арестовать под контроль в т.ч. покупатели пириногвых сеток. программки моментального обмена извещений и т.п.

Интегрированный контроллер точек доступа Wi-Fi
Встроенный в ZyWALL 110 контроллер точек доступа Wi-Fi с помощью протокола CAPWAP разрешает централизованно рулить 2-мя точками доступа ZyXEL серии NWA. При надобности численность управляемых точек доступа возможно расширить до 18 методом активации особых лицензий. Поддерживаются надлежащие точки доступа: NWA3160-N, NWA3560-N, NWA3550-N, NWA5160N, NWA5560-N, NWA5550-N, NWA5121-NI, NWA5121-N, NWA5123-NI.

Помощь IPv6
Межсетевой экран ZyWALL 110 поддерживает протокол IPv6 (Internet Protocol version 6), собственно что признают итоги тестирований по программке сертификации IPv6 Gold Logo Phase 1 и Phase2, проводимой по инициативе консорциума IPv6 Forum. Помощь IPv6, охватывая двойной стек IPv4/IPv6 и IPv6 IPSec, дозволит фирмам избежать расходов на свежее IPv6-совместимое оснащение в процессе грядущей передвижения корпоративных сеток к инфраструктуре IPv6, предохраняя возвышенный степень сетевой защищенности и оправдывая вложения в ZyWALL 110.

Групповая система отчетности
Прибора серии ZyWALL USG имеют встроенную систему отчетности, которая подключает в себя весь ряд докладов реального времени и исторических докладов. в что количестве о работе межсетевого экрана, антивируса, системы обнаружения и предотвращения проникновений. применении пропускной возможности интерфейсов прибора. энергичности юзеров и популярных ими интернет-сайтах. Для изучения работы сети наличествует вероятность захвата и хранения в файл дампов трафика на каждых интерфейсах прибора. Не считая такого. наличествует вероятность применения передового инструмента централизованного прогноза и сотворения докладов Vantage Report. Внедрение данных вероятностей дозволит IT-персоналу получать все нужные данные о работе сети.

Порты USB для включения USB-модемов 3G/4G
Порты USB имеют все шансы быть применены для установки поддерживаемых моделей USB-модемов 3G/4G, а например же для включения FLASH-накопителей, применяемых для скопления и сбережения системного лога и дампов трафика.

Перечень поддерживаемых USB-модемов (см. в разделе Поддержка>Документы) время от времени дополняется. Последняя версия пакета драйверов USB-модемов даром доступна для загрузки всем юзерам ZyWALL.

Порты WAN RJ45 GbE