Azure IPSEC VPN USG (мой опыт) - Форум UBIQUITI.RU

Azure IPSEC VPN USG (мой опыт), UniFi Network

timrekdgorf

Guest

11.02.2017 20:16:00

Всем привет! Ищу, как настроить простой IPsec VPN в Azure через USG. Надеюсь, этот пост кому-то поможет... Я мучился с этим целую неделю, когда поставил новое оборудование Ubiquiti UniFi в своём домашнем лабораторном сетапе, и после множества проб и ошибок вот что у меня получилось.

Вот что у меня есть:
- UniFi Cloud Key
- UniFi USG
- UniFi Switch PoE 24 port
- UniFi AP AC LR

Внутреннюю конфигурацию описывать не буду, она довольно простая — у меня несколько VLAN и сетей для домашней лаборатории.

Но снаружи я хотел получить две вещи:
- VPN до дома друга (тоже с USG)
- VPN до Azure

CIDR:
мой дом — 172.16.0.0/20
Azure — 172.16.16.0/20
друг — 10.100.0.0/16

Начните с прочтения этих ссылок:
https://community.ui.com/questions/159bfe8c-fd77-4e5d-bbc2-f4b9d85341ff
https://help.ubnt.com/hc/en-us/articles/215458888-UniFi-How-to-further-customize-USG-configuration-with-config-gateway-json
https://community.ui.com/questions/37ab57aa-b075-4d02-b200-4aa5f5b5cf53

Первая ссылка (автор cchristian) отлично объясняет, что и как нужно делать — это крутой туториал. Я опирался именно на неё.

Я долго не мог настроить эти простые VPN’ы... Помните, я в душе системщик, и для меня сетевые «прибамбасики» — это иногда проблема, если не считать того, к какому VLAN подключаюсь 😀

Основная задача VPN — S2S с Azure и S2S с другим USG. Обе туннели тяжело настраивались через GUI. По инструкции с поста cchristian я немного модифицировал конфигурацию под свои задачи и теперь VPN работает. Спасибо огромное!

Основная идея такая:
1. Создайте в Azure VNet/subnet/gateway — я взял самый простой и дешевый вариант, на всякий случай.
2. В этой сети разместите что-то, к чему можно «постучаться» — я быстро создал виртуалку, чтобы был IP, по которому можно проверить связь.
3. На своей стороне прошёл стандартную настройку всего UniFi — у меня тоже несколько VLAN’ов, ничего особенного. Но обязательно убедитесь, что у вашего USG публичный IP — у меня это решил вопрос с настройкой через проксирование провайдера. Не хочу вдаваться в NAT, думаю, это была причина моих изначальных проблем с USG.
4. Вот моя конфигурация для Azure site-to-site VPN (всю эту информацию я тоже подчерпнул из разных постов на форуме, много перепробовал, и сейчас она работает, по крайней мере последние 4 часа точно 😀):

```
set vpn ipsec auto-firewall-nat-exclude enable
set vpn ipsec esp-group esp-azure-dynamic compression disable
set vpn ipsec esp-group esp-azure-dynamic lifetime 3600
set vpn ipsec esp-group esp-azure-dynamic mode tunnel
set vpn ipsec esp-group esp-azure-dynamic pfs disable
set vpn ipsec esp-group esp-azure-dynamic proposal 1 encryption aes256
set vpn ipsec esp-group esp-azure-dynamic proposal 1 hash sha1
set vpn ipsec ike-group ike-azure-dynamic key-exchange ikev2
set vpn ipsec ike-group ike-azure-dynamic lifetime 28800
set vpn ipsec ike-group ike-azure-dynamic proposal 1 dh-group 2
set vpn ipsec ike-group ike-azure-dynamic proposal 1 encryption aes256
set vpn ipsec ike-group ike-azure-dynamic proposal 1 hash sha1
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> authentication mode pre-shared-secret
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> authentication pre-shared-secret <**your secret here**>
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> connection-type initiate
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> description MyAzureVPN
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> ike-group ike-azure-dynamic
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> local-address <Your USG PIP (x.x.x.x)>
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> tunnel 1 allow-nat-networks disable
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> tunnel 1 allow-public-networks disable
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> tunnel 1 esp-group esp-azure-dynamic
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> tunnel 1 local prefix 172.16.0.0/20
set vpn ipsec site-to-site peer <Your Azure GW PIP (x.x.x.x)> tunnel 1 remote prefix 172.16.16.0/20
set vpn ipsec ipsec-interfaces interface eth0
```

5. По инструкции cchristian теперь нужно закоммитить, сохранить, выйти из режима конфигурации, экспортировать конфиг.
6. Открыть JSON-экспорт и убрать всё лишнее, оставив только нужные строки — мне нужно просто добавить инфу по VPN, остальное хочу делать через GUI.

Ubiquiti — люблю вашу технику и даю должное, как сказал cchristian, вот бы получше документацию и более понятные туториалы, которые бы помогли с такими вещами... Немного внимания и заботы к гайдам сильно бы поспособствовало масштабу распространения и простоте пользования, даже для новых или бета-функций.

Теперь по поводу VPN USG к USG, который, казалось бы, должен быть простым, но пока мы его так и не смогли поднять.

Удачи всем!

shreyasnaik

Guest

05.05.2020 09:52:00

Знаю, что с момента этого поста прошёл год, но у меня возникли проблемы с настройкой Unifi USG для Azure S2S VPN с использованием готового профиля Azure Dynamic routing — ничего не работает, и поддержка толком не помогла (говорят, что это сложная конфигурация, которая не поддерживается напрямую). У вас эта схема всегда работает? (У меня домашний интернет от Virgin Media, но роутер в режиме модема, и WAN IP у меня на интерфейсе USG WAN.)

scott_thomson

Guest

30.04.2019 13:30:00

@netwiz

Интересно, вы пробовали использовать готовые варианты Azure VPN с ручным IPSec? Эта тема довольно старая, кажется, она появилась до того, как эти опции стали доступны в контроллере. Спрашиваю, потому что я недавно настроил Azure VPN для клиента, используя готовый профиль Azure Dynamic Routing — заняло пару секунд и не пришлось возиться с JSON-файлами.

netwiz

Guest

30.04.2019 08:58:00

Привет! Спасибо за это! Теперь у меня есть VPN до моих серверов в Azure! Но есть одна проблема: когда я экспортирую конфиг командой mca-ctrl -t dump-cfg > config.gateway.json, секция VPN там отсутствует! Файл заканчивается на:

"time-zone": "UTC",
"traffic-analysis": {
"dpi": "enable",
"export": "enable"
}
},
"unifi": {
"mgmt": {
"cfgversion": "b9bb9405d683d3f7"
}
}
}

Но команда show config явно показывает, что эти строки там есть...

export enable
}
}
unifi {
mgmt {
cfgversion b9bb9405d683d3f7
}
}
vpn {
ipsec {
auto-firewall-nat-exclude enable
esp-group esp-azure-dynamic {
compression disable
lifetime 3600
mode tunnel
pfs disable
proposal 1 {
encryption aes256
hash sha1
}
}
ike-group ike-azure-dynamic {
key-exchange ikev2
lifetime 28800
proposal 1 {
dh-group 2
encryption aes256
hash sha1
}
}
ipsec-interfaces {
interface eth2
}
site-to-site {
peer x.x.x.x {
authentication {
mode pre-shared-secret
pre-shared-secret ****************
}
connection-type initiate
description AzureVPN
ike-group ike-azure-dynamic
local-address x.x.x.x
tunnel 1 {
allow-nat-networks disable
allow-public-networks disable
esp-group esp-azure-dynamic
local {
prefix 10.0.0.0/24
}
remote {
prefix 10.1.1.0/24
}
}
}
}
}
}

Есть идеи, как включить экспорт этой секции в JSON?
Марек

sam_otago

Guest

11.10.2017 23:47:00

Я следовал твоей настройке, но всё равно не могу заставить USG направлять VPN-трафик через VPN. Единственная подсказка — ошибка в логе VPN: [KNL] <peer-AZUREIP-tunnel-1|1> не удалось установить исходный маршрут для [Internal_USG_IP]. Какие идеи?

puckboss3 Guest	#6 19.06.2017 19:32:00 Большое спасибо! Наконец-то это помогло разобраться с тем бардаком, который у меня был с подключением ERL к Azure! Огромное-преогромное спасибо!

Читают тему (гостей: 1)