VPN между двумя сетями: полное руководство по настройке site-to-site соединения

Что такое VPN site-to-site и зачем он нужен

VPN site-to-site (сеть-сеть) — это технология, которая создает защищенный туннель между двумя локальными сетями через интернет. В отличие от remote access VPN, где подключаются отдельные пользователи, здесь соединяются целые офисы, филиалы или дата-центры. Такое соединение позволяет устройствам из одной сети обращаться к ресурсам другой так, как будто они находятся в одной локальной сети.

Основные сценарии использования:

• Объединение главного офиса и филиалов для доступа к общим файловым серверам, базам данных или внутренним сервисам.
• Подключение облачной инфраструктуры к локальной сети предприятия.
• Организация резервного канала связи между площадками.
• Обеспечение безопасного обмена данными между партнерами или подрядчиками.

VPN site-to-site обеспечивает конфиденциальность и целостность передаваемых данных, защищая их от перехвата и модификации в публичных сетях. Это критически важно для компаний, работающих с чувствительной информацией, финансовыми операциями или персональными данными.

Основные протоколы VPN: IPsec, IKE, L2TP

Для построения site-to-site VPN чаще всего используются протоколы IPsec и L2TP. IPsec (Internet Protocol Security) — это набор протоколов, обеспечивающих аутентификацию и шифрование IP-пакетов. Он состоит из нескольких компонентов:

• IKE (Internet Key Exchange) — протокол, который устанавливает безопасное соединение и управляет ключами шифрования. IKE работает в две фазы: первая фаза создает защищенный канал для обмена ключами, вторая — согласовывает параметры основного туннеля.
• ESP (Encapsulation Security Payload) — протокол, который непосредственно шифрует и обеспечивает целостность данных.
• AH (Authentication Header) — протокол, который обеспечивает только целостность данных без шифрования. В современных реализациях, например в FortiGate, AH обычно не используется.

L2TP (Layer 2 Tunneling Protocol) — это протокол туннелирования, который сам по себе не шифрует данные, поэтому обычно комбинируется с IPsec (L2TP/IPsec). Он позволяет передавать кадры второго уровня (например, Ethernet) через IP-сеть, что удобно для организации VPN между офисами.

При выборе протокола важно учитывать совместимость оборудования и требования к безопасности. IPsec с IKEv2 считается более современным и безопасным, чем IKEv1, но требует поддержки со стороны всех устройств.

Как работает IPsec: фазы IKE и установка туннеля

Процесс установки IPsec VPN можно разбить на несколько этапов. Сначала устройства обмениваются параметрами безопасности в рамках IKE Phase 1. На этом этапе происходит аутентификация сторон (с помощью предварительного общего ключа или сертификатов) и согласование алгоритмов шифрования и хеширования. В результате создается IKE SA (Security Association) — двунаправленный защищенный канал, который используется только для управления.

Затем начинается IKE Phase 2, где стороны договариваются о параметрах основного туннеля для передачи данных. Создаются две однонаправленные IPsec SA (для входящего и исходящего трафика), которые используют ESP для шифрования. После этого туннель считается установленным, и через него можно передавать данные.

Ключевые параметры, которые согласовываются в фазах:

• Алгоритмы шифрования (AES, 3DES и др.) и аутентификации (SHA-1, SHA-256).
• Группы Диффи-Хеллмана для обмена ключами.
• Время жизни ключей (lifetime) — по истечении этого времени ключи обновляются.
• Режим работы DPD (Dead Peer Detection) — механизм проверки доступности удаленного узла.

Важно, чтобы параметры на обоих концах туннеля совпадали, иначе соединение не установится. Многие современные межсетевые экраны, такие как FortiGate, автоматически согласовывают параметры, но при ручной настройке нужно быть внимательным.

Настройка VPN между двумя MikroTik: пошаговое руководство

MikroTik — популярные маршрутизаторы, которые поддерживают множество VPN-протоколов. Рассмотрим настройку IPsec VPN между двумя устройствами MikroTik. Для этого потребуется доступ к обоим устройствам через Winbox или веб-интерфейс.

Шаг 1. Подготовка сети Убедитесь, что оба маршрутизатора имеют уникальные IP-адреса в своих локальных сетях и доступны друг другу через интернет. Настройте основные параметры интерфейсов: LAN и WAN.

Шаг 2. Создание VPN-профиля На каждом MikroTik создайте профиль IPsec, указав алгоритмы шифрования и аутентификации. Например, можно использовать AES-256 и SHA-256.

Шаг 3. Настройка IPsec Peer Создайте IPsec Peer на каждом устройстве. Укажите IP-адрес удаленного маршрутизатора, предварительный общий ключ (secret) и профиль.

Шаг 4. Настройка IPsec Policy Создайте политику IPsec, которая определяет, какой трафик должен шифроваться. Укажите локальные и удаленные подсети, а также параметры шифрования.

Шаг 5. Правила фильтрации Настройте правила firewall, разрешающие трафик между сетями через VPN-туннель.

Шаг 6. Проверка соединения Используйте команду /ping с одного маршрутизатора на IP-адрес другого, чтобы убедиться, что туннель работает. Если пинг проходит, соединение установлено.

Важно помнить, что безопасность VPN зависит от правильной настройки всех параметров. Регулярно обновляйте прошивку и проверяйте конфигурацию.

Настройка site-to-site VPN на FortiGate

FortiGate — это межсетевой экран, который предоставляет удобный мастер настройки VPN. Рассмотрим процесс создания site-to-site VPN между двумя FortiGate.

Настройка Branch (филиал)

1. Перейдите в раздел VPN → IPSec Wizard.
2. Выберите Template Type = Site to Site, Remote Device Type = FortiGate, NAT Configuration = No NAT between sites.
3. На этапе Authentication укажите Remote IP Address (внешний адрес другой площадки), Outgoing Interface (например, wan1), Authentication Method = Pre-shared key, и задайте ключ.
4. На этапе Policy & Routing выберите Local Interface (например, lan), укажите Local Subnets и Remote Subnets (подсети другой площадки). Internet Access установите в None.

Настройка HQ (главный офис) Выполните аналогичные настройки на втором FortiGate, указав в качестве Remote IP адрес Branch. После завершения в списке туннелей появится новый туннель со статусом Up.

Для проверки можно отправить эхо-запрос с внутреннего интерфейса HQ на внутренний адрес Branch. Если пинг проходит, туннель работает корректно.

FortiGate использует только ESP для шифрования данных, что обеспечивает высокую производительность и безопасность.

Настройка VPN на UserGate NGFW

UserGate NGFW — это российский межсетевой экран, который поддерживает site-to-site VPN с протоколами L2TP/IPsec (IKEv1), IPsec (IKEv2) и IPsec (IKEv1). Настройка выполняется на обоих узлах: VPN-сервере и VPN-клиенте.

Настройка VPN-сервера

1. Разрешите сервис VPN в контроле доступа зоны, из которой будут подключаться клиенты (обычно Untrusted).
2. Создайте зону для VPN-подключений, чтобы использовать ее в политиках безопасности.
3. Для L2TP создайте локальную учетную запись пользователя, который будет использоваться для аутентификации.
4. Создайте профиль безопасности VPN, указав протокол (IPsec/L2TP, IPsec only/IKEv1 или IKEv2), методы аутентификации (Pre-shared key или сертификаты) и криптографические параметры.
5. Создайте VPN-интерфейс (tunnelN) и укажите зону.
6. Создайте сеть VPN и серверное правило VPN.
7. Настройте контроль доступа к ресурсам.

Настройка VPN-клиента На клиентском узле настройте аналогичные параметры, но в роли клиента. Укажите адрес VPN-сервера, общий ключ или сертификаты, а также локальные и удаленные подсети.

Важно: для L2TP/IPsec между UserGate и сторонними устройствами поддержка ограничена — полная совместимость гарантируется только между устройствами UserGate.

Выбор между IPsec и L2TP: что лучше для вашей задачи

При выборе протокола для site-to-site VPN необходимо учитывать несколько факторов: совместимость оборудования, требования к безопасности, производительность и сложность настройки.

IPsec (IKEv2) — современный протокол, который обеспечивает высокую безопасность и производительность. Он поддерживает аутентификацию с помощью сертификатов, что удобно для крупных организаций. IKEv2 устойчив к смене сети и быстрее восстанавливает соединение после обрыва.

IPsec (IKEv1) — более старая версия, но все еще широко используется. Поддерживает аутентификацию по предварительному общему ключу. Может быть менее безопасным, если не настроить правильно.

L2TP/IPsec — комбинация L2TP и IPsec, которая позволяет передавать немаршрутизируемые протоколы и обеспечивает шифрование. Часто используется для совместимости со старым оборудованием. Однако L2TP добавляет дополнительную нагрузку и может снижать производительность.

Если ваше оборудование поддерживает IKEv2, рекомендуется использовать его. В противном случае выбирайте протокол, который поддерживают все устройства в вашей сети. Также учитывайте, что некоторые производители, например UserGate, могут иметь ограничения на использование L2TP со сторонними устройствами.

Типичные проблемы и способы их решения

При настройке site-to-site VPN могут возникать различные проблемы. Рассмотрим наиболее частые из них.

Туннель не устанавливается

• Проверьте, совпадают ли параметры шифрования и аутентификации на обоих концах.
• Убедитесь, что IP-адреса удаленных узлов указаны правильно.
• Проверьте, не блокирует ли межсетевой экран или NAT трафик IPsec (порты 500 и 4500 для IKE).
• Убедитесь, что предварительный общий ключ совпадает.

Туннель устанавливается, но трафик не проходит

• Проверьте правила фильтрации и политики маршрутизации.
• Убедитесь, что локальные и удаленные подсети указаны корректно.
• Проверьте, не конфликтуют ли IP-адреса в объединенных сетях.

Низкая производительность VPN

• Проверьте, не используется ли слабое шифрование (например, 3DES вместо AES).
• Убедитесь, что аппаратное ускорение шифрования включено на устройствах.
• Проверьте пропускную способность интернет-канала.

Периодические обрывы соединения

• Настройте DPD (Dead Peer Detection) для быстрого обнаружения проблем.
• Проверьте время жизни ключей — слишком короткое время может вызывать частые пересогласования.
• Убедитесь, что NAT keepalive включен, если трафик проходит через NAT.

Если проблема не решается, обратитесь к документации производителя или в службу поддержки.

Безопасность VPN: лучшие практики

VPN site-to-site — это мощный инструмент, но его безопасность зависит от правильной настройки. Вот несколько рекомендаций.

• Используйте сильные алгоритмы шифрования: AES-256 вместо 3DES, SHA-256 вместо SHA-1.
• Применяйте аутентификацию с помощью сертификатов вместо предварительных общих ключей, если это возможно. Сертификаты сложнее скомпрометировать.
• Регулярно обновляйте прошивки и программное обеспечение устройств, чтобы устранять известные уязвимости.
• Ограничьте доступ к VPN-туннелю только необходимыми подсетями и сервисами. Не открывайте весь трафик без необходимости.
• Используйте механизмы DPD и NAT keepalive для поддержания стабильности соединения.
• Ведите журналы и мониторинг VPN-соединений, чтобы своевременно обнаруживать аномалии.
• Разделяйте VPN-трафик и обычный интернет-трафик с помощью политик маршрутизации.

Следуя этим практикам, вы сможете создать надежное и безопасное VPN-соединение между сетями.

Заключение

VPN site-to-site — это незаменимый инструмент для объединения удаленных офисов и филиалов в единую защищенную сеть. В этой статье мы рассмотрели основные протоколы, принципы работы IPsec и практические примеры настройки на популярных устройствах: MikroTik, FortiGate и UserGate.

Правильный выбор протокола и тщательная настройка параметров обеспечат стабильное и безопасное соединение. Не забывайте о регулярном обновлении оборудования и мониторинге состояния VPN. Если вы столкнулись с трудностями, обратитесь к документации производителя или к специалистам.

Надеемся, что это руководство помогло вам разобраться в теме и успешно настроить VPN между двумя сетями.

Вопросы и ответы