Настройка VPN между двумя USG-устройствами (site-to-site)

Настройка VPN между двумя USG-устройствами (site-to-site), UniFi Network

mrsafrit

Guest

07.01.2015 21:56:00

Я пока не заказывал ни одного из этих устройств и ищу инструкции по настройке базового VPN “site to site” с использованием USG на каждой стороне. Оба будут управляться моим хостинг-контроллером, так что, надеюсь, это немного упростит задачу. Просто не могу найти нормальной информации по настройке.

mpctech

Guest

15.12.2016 16:30:00

У меня такая же проблема, site-to-site VPN на основе IPSEC — вроде бы всё просто... но как же это невозможно на USG? Всё время выскакивает такое:

Dec 15 10:30:54 VenomGW kernel: [WAN_IN-3007-A] IN=eth0 OUT=eth1 MAC=44:d9:e7:9f:69:cf:00:1e:be:fe:f3:e2:08:00 src=152.166.114.191 DST=172.16.1.7 LEN=52 TOS=0x00 PREC=0x20 TTL=111 ID=25494 DF PROTO=TCP SPT=62300 DPT=6690 WINDOW=8192 RES=0x00 SYN URGP=0
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #49: max number of retransmissions (2) reached STATE_MAIN_I3. Возможная ошибка аутентификации: нет приемлемого ответа на первое зашифрованное сообщение
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #49: начинается попытка установки ключа 46 из неограниченного количества
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: запускается Main Mode вместо #49
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: игнорируется Vendor ID payload [4f535771775064405e494145]
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: получен Vendor ID payload [Dead Peer Detection]
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: получен Vendor ID payload [RFC 3947]
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: включён возможный NAT-traversal методом 3
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: NAT-Traversal: результат по RFC 3947 — peer за NAT
Dec 15 10:31:14 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: сообщение Informational Exchange должно быть зашифровано
Dec 15 10:31:17 VenomGW pluto[2417]: "peer-186.150.116.190-tunnel-vti" #38: достигнуто максимальное число повторных передач (20) STATE_MAIN_I1. Нет ответа (или нет приемлемого ответа) на первое IKE-сообщение
Dec 15 10:31:17 VenomGW pluto[2417]: "peer-186.150.116.190-tunnel-vti" #38: начинается попытка установки ключа 5 из неограниченного числа
Dec 15 10:31:17 VenomGW pluto[2417]: "peer-186.150.116.190-tunnel-vti" #51: запускается Main Mode вместо #38
Dec 15 10:31:24 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: удалён дублирующий пакет; уже в состоянии STATE_MAIN_I3
Dec 15 10:31:24 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: сообщение Informational Exchange должно быть зашифровано
Dec 15 10:31:44 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: удалён дублирующий пакет; уже в состоянии STATE_MAIN_I3
Dec 15 10:31:44 VenomGW pluto[2417]: "peer-73.6.153.70-tunnel-vti" #50: сообщение Informational Exchange должно быть зашифровано.

MarFox

Guest

08.09.2017 20:17:00

Без понятия, я перестал пытаться. Для Wi-Fi у них классное решение. А для использования фаервола с VPN я остаюсь при Cisco или pfsense. Просто пока всё ещё несозревшее. И у меня ощущение, что пройдёт много времени, прежде чем они дойдут до нужного уровня. Честно говоря, я серьёзно разочарован, у меня были хорошие надежды после установки нескольких точек доступа. Но, по всей видимости, это ограничивается только точками доступа.

jsenecal_zap Guest	#4 08.09.2017 20:10:00 В ответ на сообщение UBNT-cmb: Это уже реализовали? Мы же не всегда можем контролировать, что происходит перед USG

5wkn1gh7

Guest

06.02.2017 18:14:00

У меня такая же проблема: маршрут есть, когда я запускаю команду route на USG. Ты так и не смог это решить? У меня на одном конце модем с PPPoE, который заменить нельзя. Может, кто-нибудь поделится ссылкой на документацию по настройке IPsec туннелей между локациями?

jndfx22 Guest	#6 31.01.2017 12:50:00 @macrovoskull Какой у тебя номер модели модема (или модемов)?

nonnih Guest	#7 31.01.2017 11:43:00 Нет документации, у всех моих шлюзов есть действительный интернет-адрес, поэтому это должно работать, но не работает. Если же у вас шлюз за модемом, возможно, нужно открыть некоторые порты.

MarFox

Guest

31.01.2017 08:20:00

Спасибо за совет. У вас есть какая-нибудь документация по настройке ipsec сервера/клиента (другой USG за NAT-модемом)? Я купил два USG3p специально для этой задачи, но никак не могу найти нормальной документации. Буду очень признателен!

nonnih

Guest

30.01.2017 22:22:00

У меня есть 2 USG и 2 USG Pro, с обеими вариантами подключения — статический WAN-адрес и DHCP WAN-адреса. Я вижу, что туннель поднимается с обеих сторон, и отображается, что VTI-туннель активен. Между шлюзами создана маршрутизируемая сеть: на USG1 назначен IP 10.255.254.2, а на USG2 — 10.255.254.1, что выглядит правильно. Это IP-адреса для маршрутизации VPN, а не адреса внутренней сети. Исходя из этого, маршрутизация VPN должна работать, но не работает. Когда я запускаю traceroute, маршрут всегда уходит в интернет, а не через туннель. Я понимаю, что эта функция всё ещё в бета-версии и, похоже, не работает. Но мне очень хочется, чтобы это заработало, ведь я купил все шлюзы именно ради простоты организации туннелей между локальными сетями. Эта функция скоро будет исправлена? Спасибо и спасибо за отличные продукты! #unifiFanNo1

UI-Team

Guest

#10

30.01.2017 22:09:00

Да, сейчас тип Auto VPN требует, чтобы публичный IP был напрямую на интерфейсе WAN, потому что именно он используется для настройки туннеля. В будущем я хочу добавить опцию конфигурации, которая будет определять публичный IP и использовать его. Пока же опция Auto VPN не работает, если ваш WAN находится за NAT.

MarFox

Guest

#11

30.01.2017 19:32:00

Думаю, я знаю почему. У меня есть модем перед площадкой B, который нельзя перевести в режим моста. Нужно найти решение, потому что шлюз думает, что его внешний IP — это DHCP-адрес от модема (при этом у меня все порты проброшены).

nonnih

Guest

#12

30.01.2017 15:48:00

У меня такая же проблема. Я работаю на версии 5.4.9 на сервере Ubuntu, на том же сервере запущены 4 USG для разных сайтов. И когда я пытаюсь настроить «Site-to-Site» соединение, в консоли пишет, что соединение установлено, но трафик из локальной сети не идет. Надо ли открывать порты на USG? Я также пробовал настроить статические маршруты с обеих сторон, но ничего не меняется. Понимаю, что эта функция в Бете, и у меня она тоже не работает...

Надеюсь, скоро исправят.

karaten Guest	#13 29.01.2017 15:38:00 Странно, что у некоторых всё запустилось, а у других нет. У меня три сайта работают отлично, просто пришлось добавить мой DNS-сервер на основном сайте и пропинговать хост — и всё отлично заработало.

sdm1130 Guest	#14 29.01.2017 15:34:00 Та же проблема и у меня... Я уже больше месяца разбираюсь и жду решения от поддержки UBNT.

jndfx22 Guest	#15 29.01.2017 08:32:00 @MarFox Какая у тебя версия контроллера?

MarFox

Guest

#16

27.01.2017 22:17:00

Привет! Есть ли руководство по добавлению удалённого шлюза UniFi к контроллеру на другом сайте? У меня есть 2 шлюза, у каждого — свой отдельный контроллер. Хотелось бы также использовать функцию автоматического определения сайта. Просто никак не могу с этим разобраться. Спасибо!

JoeWorker

Guest

#17

23.01.2017 08:57:00

Та же «проблема»... 2 сайта работают на двух USG. Как только настроили VPN, на втором сайте появился «новый сеть». Зашёл в настройки USG — интерфейсы, потом в сети, и там появилась третья подсеть 10.255.154.0/24. Но ни одно устройство с одного сайта не видит устройства с другого, и даже не пингуется удалённый интерфейс 10... Кто из ребят UBNT хочет подключиться к вечеринке?

timau

Guest

#18

09.11.2016 02:56:00

Привет! Можешь настроить USG через его собственную веб-страницу для PPPoE на WAN, задать локальный IP-адрес LAN (отключить DHCP и т.д.), а также указать IP контроллера, к которому можно будет обращаться через публичный WAN IP? Думаю, это стоит сделать ещё до отправки устройства на удалённые объекты, чтобы заменить там существующие роутеры. Несколько странно, что для настройки нужен контроллер в локальной сети, когда на самом деле хочется иметь один центральный контроллер. Есть ли вообще виртуальные USG для VM-среды? Спасибо!

christic769

Guest

#19

10.07.2016 16:46:00

Окей, у меня вопрос, может, кому-то он покажется глупым, но я не могу сам найти на него ответ. Если я возьму 2 USG и настрою их на site-to-site VPN, смогу ли я запускать приложения с удалённого сайта на сервере основного сайта? Спасибо, Кларенс.

patientaccounts Guest	#20 06.07.2016 12:51:00 Пожалуйста, сделайте пошаговую инструкцию! У меня есть два устройства USG, которые я пытаюсь настроить на нескольких площадках с помощью IPSEC-туннеля между сайтами. Мы с трудом справляемся с этим, и почти не нашли поддержки или документации по настройке. Помогите, пожалуйста!

Читают тему (гостей: 1)