Citrix SD-WAN

Cómo configurar túneles IPsec entre dispositivos SD-WAN y de terceros

October 27, 2021

Contribución de:

Para configurar el túnel IPsec para el servicio de intranet o LAN:

En el Editor de configuración, vaya a Conexiones> Ver sitio> [Nombre del sitio]> Túneles IPsec. Elija un tipo de servicio (LAN o intranet).
Introduzca un nombre para el tipo de servicio. Para el tipo de servicio de Intranet, el servidor de Intranet configurado determina qué direcciones IP locales están disponibles.

Citrix SD-WAN ahora puede establecer túneles IPsec cuando un vínculo WAN finaliza directamente en el dispositivo y se asigna una IP dinámica al vínculo WAN.

Con la versión 11.1.0, los túneles IPsec de Intranet deben ser configurables cuando la dirección IP del túnel local no es o no se puede conocer. Esto ayuda a crear túneles IPsec en las interfaces cuya dirección se asigna a través de DHCP.

Al configurar la interfaz para el túnel IPsec, se debe mencionar una IP de túnel local. Esta interfaz se modifica para permitir que se seleccione una IP vacía cuando el tipo de túnel es Intranet.

Además, la etiqueta de una dirección no establecida se cambia a Auto cuando el tipo de túnel es Intranet.

Si la IP local se establece como Auto, tiene la capacidad de tomar la dirección IP incorporada para la interfaz de acceso en ese enlace WAN. Esa interfaz de acceso a vínculos WAN puede obtener la IP configurada estáticamente o desde DHCP. El túnel IPsec se establece mediante la interfaz de acceso de enlace WAN principal de forma predeterminada.

Anteriormente, puede establecer túneles IPsec a través de un único vínculo WAN. Esto expone al entorno de sucursal a la pérdida de servicio durante períodos de errores de enlace directo y cuando la pérdida de paquetes en un enlace es inadvertidamente alta para permitir una conectividad confiable.

A partir de la versión 11.1.0, puede utilizar dos vínculos WAN para establecer túneles IPsec a fin de proteger los entornos de bifurcación contra períodos de interrupción del servicio. Si el enlace primario se desactiva, el enlace secundario se activa/activa en milisegundos.

Nota

Cuando se selecciona la opción < Auto >,el túnel IPsec se establece mediante la interfaz de acceso de enlace WAN principal. Si el vínculo WAN principal desaparece, el túnel IPsec se establece mediante la interfaz de acceso a vínculos WAN secundaria.
Seleccione la dirección IP local disponible e introduzca la dirección IP del mismo nivel del túnel IPsec.

Nota

Si el tipo de servicio es Intranet, la dirección IP está predeterminada por el servicio de intranet seleccionado.
Configure la configuración de IPsec aplicando los criterios descritos en las tablas siguientes. Cuando termines, haga clic en Aplicar para guardar la configuración.

Campo	Descripción	Valor
Tipo de servicio	Elija un tipo de servicio en el menú desplegable	Intranet, LAN
Nombre	Si el tipo de servicio es Intranet, elija en la lista de servicios de intranet configurados en el menú desplegable. Si el tipo de servicio es LAN, introduzca un nombre exclusivo	Cadena de texto
IP local	Elija la dirección IP local del túnel IPsec en el menú desplegable de direcciones IP virtuales disponibles configuradas en este sitio	Dirección IP
IP de pares	Introduzca la dirección IP del mismo nivel del túnel IPsec	Dirección IP
MTU	Introduzca la MTU para fragmentar fragmentos IKE e IPsec	Predeterminado: 1500
Configuración de IKE	Versión: Seleccione una versión IKE en el menú desplegable	IKEv1 IKEv2
Modo	Elija un modo en el menú desplegable	Cumple con FIPS: principal, no compatible con FIPS: agresivo
Identidad	Elija una identidad en el menú desplegable	Dirección IP automática Manual Dirección IP Usuario FQDN
Autenticación	Elija el tipo de autenticación en el menú desplegable	Clave previamente compartida: si está utilizando una clave previamente compartida, cópiela y péguela en este campo. Haga clic en el icono de globo ocular () para ver la clave previamente compartida. Certificado: si está utilizando un certificado de identidad, selecciónelo en el menú desplegable.
Validar identidad del mismo nivel	Active esta casilla de verificación para validar el par del IKE. Si el tipo de ID del par no es compatible, no habilite esta función	Ninguno
Grupo DH	Elija el grupo Diffie-Hellman para utilizar para la generación de claves IKE en el menú desplegable	No compatible con FIP: Grupo 1, Cumple con FIPS: Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21
Algoritmo hash	Elija un algoritmo en el menú desplegable para autenticar los mensajes IKE	No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256
Modo de cifrado	Elija el modo de cifrado para mensajes IKE en el menú desplegable	AES de 128 bits AES de 192 bits AES de 256 bits
Vida útil (s)	Introduzca la duración preferida, en segundos, para que exista una asociación de seguridad IKE	3600 segundos (predeterminado)
Vida útil (s) máx.	Introduzca la duración máxima preferida, en segundos, para permitir que exista una asociación de seguridad IKE	86400 segundos (predeterminado)
Tiempo de espera (s) de DPD	Introduzca el tiempo de espera de detección de pares muertos, en segundos, para las conexiones VPN	300 segundos (predeterminado)
IKEv2	Autenticación del mismo nivel: seleccione Autenticación del mismo nivel en el menú desplegable	Certificado de clave precompartida reflejado
IKE2 - Clave precompartida	Clave precompartida del mismo nivel: pegue la clave precompartida del par IKEv2 en este campo para la autenticación. Haga clic en el icono del globo ocular () para ver la clave previamente compartida	Cadena de texto
Algoritmo de integridad	Elija un algoritmo como algoritmo hash para usar para la verificación HMAC en el menú desplegable	No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256

Nota:

Si el enrutador IPsec de terminación incluye código de autenticación de mensajes basado en hash (HMAC) en la configuración, cambie el modo IPsec a Exp+Auth con un algoritmo hash como SHA1.

Configuración de IKE túnel IPsec

Configuración de IKE2 túnel IPsec

Configuración de red protegida IPsec e IPsec:

Campo	Descripción	Valor (s)
Tipo túnel	Elija el tipo de túnel en el menú desplegable	ESP ESP+AUTH ESP+AH NULO
Grupo PFS	Elija el grupo Diffie-Hellman para utilizar para una generación perfecta de claves de secreto directo en el menú desplegable	Grupo 1 Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21
Modo de cifrado	Elija el modo de cifrado para los mensajes IPsec en el menú desplegable	Si elige ESP o ESP+ Auth, seleccione una de las siguientes opciones: AES de 128 bits, AES de 192 bits, AES de 256 bits, AES de 128 bits GCM de 64 bits, AES de 192 bits GCM de 64 bits, AES de 256 bits GCM de 64 bits, AES de 128 bits GCM de 96 bits, AES de 192 bits GCM de 96 bits, AES de 256 bits GCM de 96 bits, AES de 128 bits GCM de 128 bits, AES de 192 bits GCM de 128 bits, AES de 256 bits GCM de 128 bits. AES 128/192/256 Bit son compatibles con CBC.
Vida útil (s)	Introduzca la cantidad de tiempo, en segundos, para permitir que exista una asociación de seguridad IPsec	28800 segundos (predeterminado)
Máximo (s) de por vida	Introduzca la cantidad máxima de tiempo, en segundos, para permitir que exista una asociación de seguridad IPsec	86400 segundos (predeterminado)
Vida útil (KB)	Introduzca la cantidad de datos, en kilobytes, para que exista una asociación de seguridad IPsec	Kilobytes
Duración máxima (KB)	Introduzca la cantidad máxima de datos, en kilobytes, para permitir que exista una asociación de seguridad IPsec	Kilobytes
Comportamiento de discrepancia	Elija la acción que quiere realizar si un paquete no coincide con las redes protegidas del túnel IPsec en el menú desplegable	Soltar, Envinar sin cifrar, Usar redirección que no sea IPsec
Redes protegidas IPsec	IP/prefijo de origen: después de hacer clic en el botón Agregar (+ Agregar), introduzca la IP de origen y el prefijo del tráfico de red que protegerá el túnel IPsec	Dirección IP
Redes protegidas IPsec	IP/prefijo de destino: introduzca la IP de destino y el prefijo del tráfico de red que el túnel IPsec protegerá	Dirección IP

Configuración del túnel IPsec

Supervisar túneles IPsec

Vaya a Supervisión > IKE/IPsec en la GUI del dispositivo SD-WAN para ver y supervisar la configuración del túnel IPsec.

La versión oficial de este contenido está en inglés. Para mayor comodidad, parte del contenido de la documentación de Cloud Software Group solo tiene traducción automática. Cloud Software Group no puede controlar el contenido con traducción automática, que puede contener errores, imprecisiones o un lenguaje inadecuado. No se ofrece ninguna garantía, ni implícita ni explícita, en cuanto a la exactitud, la fiabilidad, la idoneidad o la precisión de las traducciones realizadas del original en inglés a cualquier otro idioma, o que su producto o servicio de Cloud Software Group se ajusten a cualquier contenido con traducción automática, y cualquier garantía provista bajo el contrato de licencia del usuario final o las condiciones de servicio, o cualquier otro contrato con Cloud Software Group, de que el producto o el servicio se ajusten a la documentación no se aplicará en cuanto dicha documentación se ha traducido automáticamente. Cloud Software Group no se hace responsable de los daños o los problemas que puedan surgir del uso del contenido traducido automáticamente.

Cómo configurar túneles IPsec entre dispositivos SD-WAN y de terceros

October 27, 2021

Contribución de:

October 27, 2021

Contribución de:

En este artículo

Supervisar túneles IPsec