Este artículo ha sido traducido automáticamente. (Aviso legal)
Cómo configurar túneles IPSec entre dispositivos SD-WAN y de terceros
Para configurar el túnel IPSec para el servicio de intranet o LAN:
-
En el Editor de configuración, vaya a Conexiones> Ver sitio> [Nombre del sitio]> Túneles IPSec. Elija un tipo de servicio (LAN o Intranet).
-
Introduzca un nombre para el tipo de servicio. Para el tipo de servicio de Intranet, el servidor de Intranet configurado determina qué direcciones IP locales están disponibles.
Citrix SD-WAN ahora puede establecer túneles IPSec cuando un vínculo WAN finaliza directamente en el dispositivo y se asigna una IP dinámica al vínculo WAN.
Con la versión 11.1.0, los túneles IPSec de Intranet deben ser configurables cuando la dirección IP del túnel local no es o no se puede conocer. Esto ayuda a crear túneles IPSec en las interfaces cuya dirección se asigna a través de DHCP.
Al configurar la interfaz para el túnel IPSec, se debe mencionar una IP de túnel local. Esta interfaz se modifica para permitir que se seleccione una IP vacía cuando el tipo de túnel es Intranet.
Además, la etiqueta de una dirección no establecida se cambia a Auto cuando el tipo de túnel es Intranet.
Si la IP local se establece como Auto, tiene la capacidad de tomar la dirección IP incorporada para la interfaz de acceso en ese enlace WAN. Esa interfaz de acceso a vínculos WAN puede obtener la IP configurada estáticamente o desde DHCP. El túnel IPSec se establece mediante la interfaz de acceso de enlace WAN principal de forma predeterminada.
Anteriormente, puede establecer túneles IPSec a través de un único vínculo WAN. Esto expone al entorno de sucursal a la pérdida de servicio durante períodos de errores de enlace directo y cuando la pérdida de paquetes en un enlace es inadvertidamente alta para permitir una conectividad confiable.
A partir de la versión 11.1.0, puede utilizar dos vínculos WAN para establecer túneles IPSec a fin de proteger los entornos de bifurcación contra períodos de interrupción del servicio. Si el enlace primario se desactiva, el enlace secundario se activa/activa en milisegundos.
Nota
Cuando se selecciona la opción < Auto >,el túnel IPSec se establece mediante la interfaz de acceso de enlace WAN principal. Si el enlace WAN primario desciende, el túnel IPSec se establece mediante la interfaz de acceso del vínculo WAN secundario.
-
Seleccione la dirección IP local disponible e introduzca la dirección IP del mismo nivel del túnel IPSec.
Nota
Si el tipo de servicio es Intranet, la dirección IP está predeterminada por el servicio de intranet seleccionado.
-
Configure la configuración de IPSec aplicando los criterios descritos en las tablas siguientes. Cuando haya terminado, haga clic en Aplicar para guardar la configuración.
| Campo | Descripción | Valor |
|---|---|---|
| Tipo de servicio | Elija un tipo de servicio en el menú desplegable | Intranet, LAN |
| Nombre | Si el tipo de servicio es Intranet, elija en la lista de servicios de intranet configurados en el menú desplegable. Si el tipo de servicio es LAN, escriba un nombre único | Cadena de texto |
| IP local | Elija la dirección IP local del túnel IPSec en el menú desplegable de direcciones IP virtuales disponibles configuradas en este sitio | Dirección IP |
| IP del mismo nivel | Introduzca la dirección IP del mismo nivel del túnel IPSec | Dirección IP |
| MTU | Introduzca la MTU para fragmentar fragmentos IKE e IPSec | Predeterminado: 1500 |
| Configuración IKE | Versión: Seleccione una versión IKE en el menú desplegable | IKEv1 IKEv2 |
| Modo | Elija un modo en el menú desplegable | Cumple con FIPS: Principal, no compatible con FIPS: Agresivo |
| Identidad | Elija una identidad en el menú desplegable | Dirección IP automática Manual Dirección IP Usuario FQDN |
| Autenticación | Elija el tipo de autenticación en el menú desplegable | Clave previamente compartida: si está utilizando una clave previamente compartida, cópiela y péguela en este campo. Haga clic en el icono de globo ocular () para ver la clave previamente compartida. Certificado: si está utilizando un certificado de identidad, selecciónelo en el menú desplegable. |
| Validar identidad del mismo nivel | Active esta casilla de verificación para validar el par del IKE. Si el tipo de ID del par no es compatible, no habilite esta función | Ninguno |
| Grupo DH | Elija el grupo Diffie-Hellman para utilizar para la generación de claves IKE en el menú desplegable | No compatible con FIP: Grupo 1, Cumple con FIPS: Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21 |
| Algoritmo hash | Elija un algoritmo en el menú desplegable para autenticar los mensajes IKE | No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256 |
| Modo de cifrado | Elija el modo de cifrado para mensajes IKE en el menú desplegable | AES de 128 bits AES de 192 bits AES de 256 bits |
| Vida útil (s) | Introduzca la duración preferida, en segundos, para que exista una asociación de seguridad IKE | 3600 segundos (predeterminado) |
| Vida útil (s) máx. | Introduzca la duración máxima preferida, en segundos, para permitir que exista una asociación de seguridad IKE | 86400 segundos (predeterminado) |
| Tiempo de espera (s) de DPD | Introduzca el tiempo de espera de detección de pares muertos, en segundos, para las conexiones VPN | 300 segundos (predeterminado) |
| IKEv2 | Autenticación del mismo nivel: seleccione Autenticación del mismo nivel en el menú desplegable | Certificado de clave precompartida reflejado |
| IKE2 - Clave precompartida | Clave precompartida del mismo nivel: pegue la clave precompartida del par IKEv2 en este campo para la autenticación. Haga clic en el icono con forma de ojo para ver la clave precompartida | Cadena de texto |
| Algoritmo de integridad | Elija un algoritmo como algoritmo hash para usar para la verificación HMAC en el menú desplegable | No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256 |
Nota:
Si el enrutador IPSec de terminación incluye código de autenticación de mensajes basado en hash (HMAC) en la configuración, cambie el modo IPSec a Exp+Auth con un algoritmo hash como SHA1.
Configuración de red protegida IPSec e IPSec:
| Campo | Descripción | Valor (s) |
|---|---|---|
| Tipo de túnel | Elija el tipo de túnel en el menú desplegable | ESP ESP+Auth ESP+NULL AH |
| Grupo PFS | Elija el grupo Diffie-Hellman para utilizar para una generación perfecta de claves de secreto directo en el menú desplegable | Grupo 1 Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21 |
| Modo de cifrado | Elija el modo de cifrado para los mensajes IPSec en el menú desplegable | Si elige ESP o ESP+ Auth, seleccione una de las siguientes opciones: AES 128 bits, AES 192 bits, AES 256 bits, AES 128 bits GCM 64 bits, AES de 128 bits GCM de 64 bits, AES de 192 bits GCM de 64 bits, AES de 128 bits GCM de 96 bits, AES de 192 bits GCM de 96 bits, AES de 192 bits GCM de 96 bits, AES de 192 bits GCM de 96 bits 96 bits, AES 128 bits GCM de 128 bits, AES de 192 bits GCM de 128 bits, AES de 256 bits GCM de 128 bits. AES 128/192/256 Bit son compatibles con CBC. |
| Vida útil (s) | Introduzca la cantidad de tiempo, en segundos, para permitir que exista una asociación de seguridad IPsec | 28800 segundos (predeterminado) |
| Máx. (s) de vida útil | Introduzca la cantidad máxima de tiempo, en segundos para permitir que exista una asociación de seguridad IPsec | 86400 segundos (predeterminado) |
| Duración (KB) | Introduzca la cantidad de datos, en kilobytes, para que exista una asociación de seguridad IPSec | Kilobytes |
| Duración máxima (KB) | Introduzca la cantidad máxima de datos, en kilobytes, para permitir que exista una asociación de seguridad IPSec | Kilobytes |
| Comportamiento de falta de coincidencia de red | Elija la acción que quiere realizar si un paquete no coincide con las redes protegidas del túnel IPSec en el menú desplegable | Soltar, enviar sin cifrar, usar ruta que no sea IPSec |
| Redes protegidas IPSec | IP/prefijo de origen: después de hacer clic en el botón Agregar (+ Agregar), introduzca la IP de origen y el prefijo del tráfico de red que protegerá el túnel IPSec | Dirección IP |
| Redes protegidas IPSec | IP/prefijo de destino: introduzca la IP de destino y el prefijo del tráfico de red que el túnel IPSec protegerá | Dirección IP |
Supervisar túneles IPSec
Desplácese hasta Monitoring>IKE/IPSec en la GUI del dispositivo SD-WAN para ver y supervisar la configuración del túnel IPSec.