در این مطلب انتخاب بین روتر و فایروال برای VPN دسترسی راه دور، ساختار FlexVPN ، کانفیگ نمونه سرور روی روتر IOS XE بر پایه سند رسمی سیسکو، تنظیم پروفایل کلاینت، بررسی و نکته‌های امنیتی را مرور می‌کنیم.

روتر یا فایروال؟

SSL VPN قدیمی روی IOS کلاسیک (WebVPN) که در نسخه قبلی این مطلب آمده بود، روی روترهای امروزی جای خود را به IKEv2 داده است. انتخاب فایروال مناسب را در راهنمای انتخاب تجهیزات سیسکو ببینید.

اجزای FlexVPN

کانفیگ نمونه سرور

ساختار زیر بر پایه سند رسمی سیسکو «Configure FlexVPN Headend for Secure Client IKEv2 Remote Access Using Local User Database» است؛ پیش از اجرا، جزئیات را با نسخه IOS XE خود و همان سند تطبیق دهید:

aaa new-model
aaa authentication login a-eap-authen-local local
aaa authorization network a-eap-author-grp local
!
username vpnuser1 secret Str0ng-VPN-Pass!
!
ip local pool ACPOOL 192.168.250.10 192.168.250.200
!
crypto ikev2 authorization policy ikev2-auth-policy
 pool ACPOOL
 dns 192.168.10.10
!
crypto ikev2 profile AnyConnect-EAP
 match identity remote key-id *$AnyConnectClient$*
 authentication local rsa-sig
 authentication remote anyconnect-eap aggregate
 pki trustpoint VPN-TP
 aaa authentication anyconnect-eap a-eap-authen-local
 aaa authorization group anyconnect-eap list a-eap-author-grp ikev2-auth-policy
 virtual-template 100
!
crypto ipsec profile AnyConnect-EAP
 set ikev2-profile AnyConnect-EAP
!
interface Virtual-Template100 type tunnel
 ip unnumbered GigabitEthernet0/0/1
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile AnyConnect-EAP

توضیح aaa new-model و فهرست‌های AAA را در پیکربندی AAA روی سیسکو آورده‌ایم. در شبکه سازمانی، به‌جای کاربران محلی از RADIUS (مثلاً Cisco ISE یا NPS مایکروسافت) استفاده کنید.

تنظیم کلاینت

روتر برخلاف فایروال، پروفایل کلاینت را خودکار ارسال نمی‌کند؛ باید فایل XML پروفایل Secure Client را روی کامپیوتر کاربر قرار دهید و در آن پروتکل اصلی را IPsec (IKEv2) تعیین کنید. نام میزبان سرور باید با گواهی Trustpoint مطابقت داشته باشد، وگرنه کلاینت هشدار گواهی نامعتبر می‌دهد. نصب‌کننده Secure Client را فقط از software.cisco.com دریافت کنید.

بررسی

Router# show crypto ikev2 sa
Router# show crypto session
Router# show crypto ipsec sa
Router# show interfaces virtual-access 1
Router# debug crypto ikev2

نکته‌های امنیتی

• برای کاربران VPN احراز هویت چندعاملی (MFA) از طریق RADIUS در نظر بگیرید.
• با ACL یا Zone-Based Firewall ، دسترسی کاربران VPN را به منابع لازم محدود کنید.
• IOS XE را به‌روز نگه دارید؛ سرویس‌های VPN رو به اینترنت، هدف دائمی حمله‌اند (سیسکو را آپدیت کنید).

پرسش‌های متداول

AnyConnect و Secure Client فرق دارند؟
همان محصول است؛ سیسکو از نسخه 5 نام آن را به Cisco Secure Client تغییر داد.

لایسنس لازم است؟
روی فایروال‌ها لایسنس Secure Client لازم است؛ برای روتر، شرایط لایسنس را در مستندات و سند رسمی FlexVPN سیسکو بررسی کنید.

منابع رسمی

• Configure FlexVPN Headend for Secure Client (AnyConnect) IKEv2 Remote Access Using Local User Database
• Security and VPN Configuration Guide, IOS XE 17 – Configuring the FlexVPN Server

مشاوره با AKA NET

برای طراحی و راه‌اندازی VPN دسترسی راه دور و امن‌سازی تجهیزات سیسکو با آکانت (AKA NET) تماس بگیرید.