Documentación de productos
Citrix SD-WAN
Current Release 11.5 limited availability 11.3 11.2 11.1 11.0 10.2
Ver PDF

Cómo configurar túneles IPsec entre dispositivos SD-WAN y de terceros

October 27, 2021
Contribución de: 
C

Para configurar el túnel IPsec para el servicio de intranet o LAN:

  1. En el Editor de configuración, vaya a Conexiones> Ver sitio> [Nombre del sitio]> Túneles IPsec. Elija un tipo de servicio (LAN o intranet).

  2. Introduzca un nombre para el tipo de servicio. Para el tipo de servicio de Intranet, el servidor de Intranet configurado determina qué direcciones IP locales están disponibles.

    IP local

    Citrix SD-WAN ahora puede establecer túneles IPsec cuando un vínculo WAN finaliza directamente en el dispositivo y se asigna una IP dinámica al vínculo WAN.

    Con la versión 11.1.0, los túneles IPsec de Intranet deben ser configurables cuando la dirección IP del túnel local no es o no se puede conocer. Esto ayuda a crear túneles IPsec en las interfaces cuya dirección se asigna a través de DHCP.

    Al configurar la interfaz para el túnel IPsec, se debe mencionar una IP de túnel local. Esta interfaz se modifica para permitir que se seleccione una IP vacía cuando el tipo de túnel es Intranet.

    Además, la etiqueta de una dirección no establecida se cambia a Auto cuando el tipo de túnel es Intranet.

    Si la IP local se establece como Auto, tiene la capacidad de tomar la dirección IP incorporada para la interfaz de acceso en ese enlace WAN. Esa interfaz de acceso a vínculos WAN puede obtener la IP configurada estáticamente o desde DHCP. El túnel IPsec se establece mediante la interfaz de acceso de enlace WAN principal de forma predeterminada.

    Anteriormente, puede establecer túneles IPsec a través de un único vínculo WAN. Esto expone al entorno de sucursal a la pérdida de servicio durante períodos de errores de enlace directo y cuando la pérdida de paquetes en un enlace es inadvertidamente alta para permitir una conectividad confiable.

    A partir de la versión 11.1.0, puede utilizar dos vínculos WAN para establecer túneles IPsec a fin de proteger los entornos de bifurcación contra períodos de interrupción del servicio. Si el enlace primario se desactiva, el enlace secundario se activa/activa en milisegundos.

    Nota

    Cuando se selecciona la opción < Auto >,el túnel IPsec se establece mediante la interfaz de acceso de enlace WAN principal. Si el vínculo WAN principal desaparece, el túnel IPsec se establece mediante la interfaz de acceso a vínculos WAN secundaria.

    Dos enlaces WAN

  3. Seleccione la dirección IP local disponible e introduzca la dirección IP del mismo nivel del túnel IPsec.

    Configuración de intranet de sitios IPsec

    Tipos de túnel IPsec

    Tipos de túnel de intranet IPsec

    Nota

    Si el tipo de servicio es Intranet, la dirección IP está predeterminada por el servicio de intranet seleccionado.

    Configuración de LAN de sitios

  4. Configure la configuración de IPsec aplicando los criterios descritos en las tablas siguientes. Cuando termines, haga clic en Aplicar para guardar la configuración.

Campo Descripción Valor
Tipo de servicio Elija un tipo de servicio en el menú desplegable Intranet, LAN
Nombre Si el tipo de servicio es Intranet, elija en la lista de servicios de intranet configurados en el menú desplegable. Si el tipo de servicio es LAN, introduzca un nombre exclusivo Cadena de texto
IP local Elija la dirección IP local del túnel IPsec en el menú desplegable de direcciones IP virtuales disponibles configuradas en este sitio Dirección IP
IP de pares Introduzca la dirección IP del mismo nivel del túnel IPsec Dirección IP
MTU Introduzca la MTU para fragmentar fragmentos IKE e IPsec Predeterminado: 1500
Configuración de IKE Versión: Seleccione una versión IKE en el menú desplegable IKEv1 IKEv2
Modo Elija un modo en el menú desplegable Cumple con FIPS: principal, no compatible con FIPS: agresivo
Identidad Elija una identidad en el menú desplegable Dirección IP automática Manual Dirección IP Usuario FQDN
Autenticación Elija el tipo de autenticación en el menú desplegable Clave previamente compartida: si está utilizando una clave previamente compartida, cópiela y péguela en este campo. Haga clic en el icono de globo ocular () para ver la clave previamente compartida. Certificado: si está utilizando un certificado de identidad, selecciónelo en el menú desplegable.
Validar identidad del mismo nivel Seleccione esta casilla de verificación para validar el par de IKE. Si el tipo de ID del par no es compatible, no habilite esta función Ninguno
Grupo DH Elija el grupo Diffie-Hellman para utilizar para la generación de claves IKE en el menú desplegable No compatible con FIP: Grupo 1, Cumple con FIPS: Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21
Algoritmo hash Elija un algoritmo en el menú desplegable para autenticar los mensajes IKE No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256
Modo de cifrado Elija el modo de cifrado para mensajes IKE en el menú desplegable AES de 128 bits AES de 192 bits AES de 256 bits
Vida útil (s) Introduzca la duración preferida, en segundos, para que exista una asociación de seguridad IKE 3600 segundos (predeterminado)
Vida útil (s) máx. Introduzca la duración máxima preferida, en segundos, para permitir que exista una asociación de seguridad IKE 86400 segundos (predeterminado)
Tiempo de espera (s) de DPD Introduzca el tiempo de espera de detección de pares muertos, en segundos, para las conexiones VPN 300 segundos (predeterminado)
IKEv2 Autenticación del mismo nivel: seleccione Autenticación del mismo nivel en el menú desplegable Certificado de clave precompartida reflejado
IKE2 - Clave precompartida Clave precompartida del mismo nivel: pegue la clave precompartida del par IKEv2 en este campo para la autenticación. Haga clic en el icono del globo ocular () para ver la clave previamente compartida Cadena de texto
Algoritmo de integridad Elija un algoritmo como algoritmo hash para usar para la verificación HMAC en el menú desplegable No cumple con FIPS: MD5 Cumple con FIPS: SHA1 SHA-256

Nota:

Si el enrutador IPsec de terminación incluye código de autenticación de mensajes basado en hash (HMAC) en la configuración, cambie el modo IPsec a Exp+Auth con un algoritmo hash como SHA1.

Configuración de IKE túnel IPsec

Configuración de IKE2 túnel IPsec

Configuración de red protegida IPsec e IPsec:

Campo Descripción Valor (s)
Tipo túnel Elija el tipo de túnel en el menú desplegable ESP ESP+AUTH ESP+AH NULO
Grupo PFS Elija el grupo Diffie-Hellman para utilizar para una generación perfecta de claves de secreto directo en el menú desplegable Grupo 1 Grupo 2 Grupo 5 Grupo 14 Grupo 15 Grupo 16 Grupo 19 Grupo 20 Grupo 21
Modo de cifrado Elija el modo de cifrado para los mensajes IPsec en el menú desplegable Si elige ESP o ESP+ Auth, seleccione una de las siguientes opciones: AES de 128 bits, AES de 192 bits, AES de 256 bits, AES de 128 bits GCM de 64 bits, AES de 192 bits GCM de 64 bits, AES de 256 bits GCM de 64 bits, AES de 128 bits GCM de 96 bits, AES de 192 bits GCM de 96 bits, AES de 256 bits GCM de 96 bits, AES de 128 bits GCM de 128 bits, AES de 192 bits GCM de 128 bits, AES de 256 bits GCM de 128 bits. AES 128/192/256 Bit son compatibles con CBC.
Vida útil (s) Introduzca la cantidad de tiempo, en segundos, para permitir que exista una asociación de seguridad IPsec 28800 segundos (predeterminado)
Máximo (s) de por vida Introduzca la cantidad máxima de tiempo, en segundos, para permitir que exista una asociación de seguridad IPsec 86400 segundos (predeterminado)
Vida útil (KB) Introduzca la cantidad de datos, en kilobytes, para que exista una asociación de seguridad IPsec Kilobytes
Duración máxima (KB) Introduzca la cantidad máxima de datos, en kilobytes, para permitir que exista una asociación de seguridad IPsec Kilobytes
Comportamiento de discrepancia Elija la acción que se realizará si un paquete no coincide con las redes protegidas del túnel IPsec en el menú desplegable Soltar, Envinar sin cifrar, Usar redirección que no sea IPsec
Redes protegidas IPsec IP/prefijo de origen: después de hacer clic en el botón Agregar (+ Agregar), introduzca la IP de origen y el prefijo del tráfico de red que protegerá el túnel IPsec Dirección IP
Redes protegidas IPsec IP/prefijo de destino: introduzca la IP de destino y el prefijo del tráfico de red que el túnel IPsec protegerá Dirección IP

Configuración del túnel IPsec

Nota

Citrix SD-WAN admite conectividad con Oracle Cloud Infrastructure (OCI) a través de IPsec.

Supervisar túneles IPsec

Vaya a Supervisión > IKE/IPsec en la GUI del dispositivo SD-WAN para ver y supervisar la configuración del túnel IPsec.

Cómo configurar túneles IPsec entre dispositivos SD-WAN y de terceros
October 27, 2021
Contribución de: 
C
October 27, 2021
Contribución de: 
C

En este artículo

Comentarios sobre el sitio | Your privacy choices footer linkSus opciones de privacidad | Condiciones legales y de privacidad | Preferencias de cookies | Parámetros de consentimiento | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.