Configuração do túnel VPN nos roteadores VPN RV016, RV042, RV042G e RV082

Objetivo

Uma VPN (Virtual Private Network) é uma conexão segura entre dois endpoints. Uma rede privada, que envia dados com segurança entre esses dois locais ou redes, é estabelecida por um túnel VPN. Um túnel VPN conecta dois PCs ou redes e permite que os dados sejam transmitidos pela Internet como se os endpoints estivessem em uma rede. A VPN é uma boa solução para empresas que têm funcionários que precisam viajar ou estar fora da LAN com frequência. Com a VPN, esses funcionários podem ter acesso à LAN e usar os recursos disponíveis para realizar seu trabalho. Além disso, a VPN pode conectar dois ou mais sites, para que empresas com filiais diferentes possam se comunicar entre si.

Note: A série RV Wired Routers oferece dois tipos de VPN, Gateway para Gateway e Cliente para Gateway. Para que a conexão VPN funcione corretamente, os valores de IPSec em ambos os lados da conexão devem ser os mesmos. Além disso, ambos os lados da conexão devem pertencer a LANs diferentes. As próximas etapas explicam como configurar a VPN na série RV Wired Routers.

Para o objetivo deste artigo, a configuração da VPN será Gateway to Gateway.

Este artigo explica como configurar um túnel VPN em RV016 RV042, RV042G e RV082 VPN Routers.

Dispositivos aplicáveis

•RV016
•RV042
•RV042G
•RV082

Versão de software

•v4.2.1.02

Configuração de VPN

Etapa 1. Faça login na página Web Configuration Utility e escolha VPN > Gateway to Gateway. A página Gateway to Gateway é aberta:

Note: Para configurar um túnel VPN de cliente para gateway, escolha VPN > Cliente para Gateway.

Etapa 2. No campo Nome do túnel, insira o nome do túnel VPN.

Etapa 3. Na lista suspensa Interface, escolha uma das interfaces WAN disponíveis. Essa é a interface que estabelecerá o túnel VPN com o outro lado.

Etapa 4. Em Local Group Setup (Configuração de grupo local), na lista suspensa Local Security Gateway Type (Tipo de gateway de segurança local), escolha uma das opções listadas:

Somente IP — Escolha esta opção se o roteador estiver configurado com um endereço IP estático para conectividade com a Internet.

Autenticação IP + Nome do domínio (FQDN) — Escolha esta opção se o roteador estiver configurado com um endereço IP estático e um nome de domínio registrado para conectividade com a Internet.

Autenticação IP + endereço de e-mail (FQDN do usuário) — Escolha esta opção se o roteador estiver configurado com um endereço IP estático para conectividade com a Internet e um endereço de e-mail será usado para autenticação.

Autenticação de IP dinâmico + nome de domínio (FQDN) — Escolha esta opção se o roteador estiver configurado com um endereço IP dinâmico e um nome de domínio dinâmico será usado para autenticação.

Autenticação de Endereço IP Dinâmico + Endereço de Email (FQDN do Usuário) — Escolha esta opção se o roteador tiver um endereço IP dinâmico para conectividade com a Internet, mas não tiver um nome de domínio dinâmico para autenticação e, em vez disso, um endereço de email será usado para autenticação.

Etapa 5. Em Local Group Setup (Configuração de grupo local), na lista suspensa Local Security Group Type (Tipo de grupo de segurança local), escolha uma das opções:

Endereço IP — Essa opção permite especificar um dispositivo que pode usar esse túnel VPN. Você só precisa digitar o endereço IP do dispositivo.

Sub-rede — Escolha esta opção para permitir que todos os dispositivos que pertencem à mesma sub-rede usem o túnel VPN. Você precisa inserir o endereço IP da rede e sua respectiva máscara de sub-rede.

Intervalo de IPs — Escolha esta opção para especificar um intervalo de dispositivos que podem usar o túnel VPN. Você precisa inserir o primeiro endereço IP e o último endereço IP do intervalo de dispositivos.

Etapa 6. Em Remote Group Setup, na lista suspensa Remote Local Security Gateway Type, escolha uma das seguintes opções:

Somente IP — Escolha esta opção se o roteador estiver configurado com um endereço IP estático para conectividade com a Internet.

Autenticação IP + Nome do domínio (FQDN) — Escolha esta opção se o roteador estiver configurado com um endereço IP estático e um nome de domínio registrado para conectividade com a Internet.

Autenticação IP + endereço de e-mail (FQDN do usuário) — Escolha esta opção se o roteador estiver configurado com um endereço IP estático para conectividade com a Internet e um endereço de e-mail será usado para autenticação.

Autenticação de IP dinâmico + nome de domínio (FQDN) — Escolha esta opção se o roteador estiver configurado com um endereço IP dinâmico e um nome de domínio dinâmico será usado para autenticação.

Autenticação de Endereço IP Dinâmico + Endereço de Email (FQDN do Usuário) — Escolha esta opção se o roteador tiver um endereço IP dinâmico para conectividade com a Internet, mas não tiver um nome de domínio dinâmico para autenticação e, em vez disso, um endereço de email será usado para autenticação.

Passo 7. Se você escolher IP Only como o tipo de gateway de segurança local remoto, escolha uma destas opções na lista suspensa abaixo:

IP — Escolha essa opção para inserir o endereço IP no campo adjacente.

IP by DNS Resolved— Escolha essa opção se você não souber o endereço IP do gateway remoto e insira o nome do outro roteador no campo adjacente.

Etapa 8. Em Remote Group Setup (Configuração de grupo remoto), na lista suspensa Remote Security Group Type (Tipo de grupo de segurança remota), escolha uma das seguintes opções:

Endereço IP — Essa opção permite especificar um dispositivo que pode usar esse túnel VPN. Você só precisa digitar o endereço IP do dispositivo.

Sub-rede — Escolha esta opção para permitir que todos os dispositivos que pertencem à mesma sub-rede usem o túnel VPN. Você precisa inserir o endereço IP da rede e sua respectiva máscara de sub-rede.

Intervalo de IPs — Escolha esta opção para especificar um intervalo de dispositivos que podem usar o túnel VPN. Você precisa inserir o primeiro endereço IP e o último endereço IP do intervalo de dispositivos.

Etapa 9. Em IPSec Setup (Configuração de IPSec), na lista suspensa Keying Mode (Modo de chave), escolha uma das opções:

Manual — Essa opção permite que você configure manualmente a chave em vez de negociar a chave com o outro roteador na conexão VPN.

IKE com chave pré-compartilhada — Escolha esta opção para ativar o Internet Key Exchange Protocol (IKE) que configura uma associação de segurança no túnel VPN. O IKE usa uma chave pré-compartilhada para autenticar um peer remoto.

Etapa 10. DH (Diffie - Hellman) é um protocolo de troca de chaves que permite que ambas as extremidades do túnel VPN compartilhem uma chave criptografada. Nas listas suspensas Grupo DH de Fase 1 e Grupo DH de Fase 2, escolha uma das seguintes opções:

Grupo 1 - 768 bits - Oferece velocidade de troca mais rápida, mas menor segurança. Se você precisar que a sessão VPN seja rápida e a segurança não for um problema, escolha essa opção.

Grupo 2 - 1024 bits - Fornece mais segurança que o Grupo 1, mas tem mais tempo de processamento. Esta é uma opção mais equilibrada em termos de segurança e velocidade.

Grupo 3 - 1536 bits - Oferece menos velocidade, mas mais segurança. Se você precisar que a sessão VPN seja segura e a velocidade não for um problema, escolha essa opção.

Etapa 11. Nas listas suspensas Criptografia de Fase 1 e Criptografia de Fase 2, escolha uma das seguintes opções para criptografia e descriptografia da chave:

DES — Data Encryption Standard, este é um algoritmo básico para criptografia de dados que criptografa a chave em um pacote de 56 bits.

3DES — Triple Data Encryption Standard, esse algoritmo criptografa a chave em três pacotes de 64 bits. É mais seguro que o DES.

AES-128 — Advanced Encryption Standard, este algoritmo usa a mesma chave para criptografia e descriptografia. Ele oferece mais segurança que o DES. Seu tamanho de chave é 128 bits

AES-192 — Semelhante ao AES-128, mas seu tamanho de chave é 192 bits.

AES-256 — Semelhante ao AES-128, mas seu tamanho de chave é 256 bits. Esse é o algoritmo de criptografia mais seguro disponível.

Etapa 12. Nas listas suspensas Autenticação da Fase 1 e Autenticação da Fase 2, escolha uma destas opções:

SHA1 — Este algoritmo produz um valor de hash de 160 bits. Com esse valor, o algoritmo verifica a integridade dos dados trocados e garante que os dados não foram alterados.

MD5 — Este é um projeto de algoritmo para fins de autenticação. Esse algoritmo verifica a integridade das informações compartilhadas entre as duas extremidades do túnel VPN. Ele produz um valor de hash que é compartilhado para autenticar a chave em ambas as extremidades do túnel VPN.

Etapa 13. Nos campos SA Lifetime da Fase 1 e SA Lifetime da Fase 2, insira o tempo (em segundos) durante o qual o túnel VPN está ativo em uma fase. O valor padrão para a Fase 1 é 28800 segundos. O valor padrão para a Fase 2 é 3600 segundos.

Note: A configuração das fases 1 e 2 deve ser a mesma em ambos os roteadores.

Etapa 14. (Opcional) Marque a caixa de seleção Perfect Forward Secret para ativar o PFS (perfeito forward secret, segredo de encaminhamento perfeito). Com o PFS, a negociação da fase 2 do IKE gerará novos dados para criptografia e autenticação, o que reforça mais segurança.

Etapa 15. Na chave pré-compartilhada, insira a chave que ambos os roteadores compartilharão para autenticação.

Etapa 16. (Opcional) Marque a caixa de seleção Mínimo de complexidade de chave pré-compartilhada para ativar o medidor de força de chave pré-compartilhada, que informa a força da chave que você criou.

Etapa 17. (Opcional) Para configurar opções de criptografia mais avançadas, clique em Avançado+.

Etapa 18. Clique em Salvar para salvar suas configurações.

Opções avançadas de VPN

Se você quiser adicionar mais recursos à sua configuração de VPN, o RV Wired Routers Series oferece opções avançadas. Essas opções aprimoram os recursos de segurança do túnel VPN. Essas opções são opcionais, mas se você definir opções avançadas em um roteador, certifique-se de definir as mesmas opções no outro roteador. A próxima seção explica essas opções.

Etapa 1. No campo IPSec, clique no botão Avançado+. A página Avançado é aberta:

Note: Para configurar as opções avançadas de um cliente para um túnel VPN de gateway, escolha VPN > Cliente para Gateway. Em seguida, clique em Avançado+.

 

A figura acima mostra um exemplo de configuração das opções avançadas.

Etapa 2. Em Avançado, marque as opções que você gostaria de adicionar à configuração da VPN:

Modo agressivo - Com essa opção, a negociação da chave é mais rápida, o que diminui a segurança. Marque a caixa de seleção Modo agressivo se quiser melhorar a velocidade do túnel VPN.

Compress (Support IP Payload Compression Protocol (IP Comp)) — Com essa opção, o protocolo Comp IP reduzirá o tamanho dos datagramas IP.  Marque a caixa de seleção Compress (Support IP Payload Compression Protocol) (Comp IP)) para ativar esta opção

Keep Alive — Esta opção tenta restabelecer a sessão VPN se ela for removida. Marque a caixa de seleção Keep Alive para habilitar essa opção.

AH Hash Algorithm — Esta opção estende a proteção ao cabeçalho IP para verificar a integridade de todo o pacote. MD5 ou SHA1 podem ser usados para essa finalidade. Marque a caixa de seleção AH Hash Algorithm e, na lista suspensa, escolha MD5 ou SHA1 para ativar a autenticação de todo o pacote.

Broadcast do NetBIOS — Este é um protocolo do Windows que fornece informações sobre os diferentes dispositivos conectados em uma LAN, como impressoras, computadores e servidores de arquivos. Normalmente, a VPN não transmite essas informações. Marque a caixa de seleção NetBIOS Broadcast para enviar essas informações pelo túnel VPN.

NAT Traversal — A Network Address Translation permite que os usuários de uma LAN privada acessem recursos da Internet com o uso de um endereço IP público como endereço de origem. Se o roteador estiver por trás de um gateway NAT, marque a caixa de seleção NAT Traversal.

· Intervalo de Detecção de Peer Dead — Marque a caixa de seleção Intervalo de Detecção de Peer Dead e insira (em segundos) o intervalo antes que o roteador envie outros pacotes para verificar a conectividade do túnel VPN.

Etapa 3. Clique em Salvar para salvar suas configurações.