В UserGate NGFW версии 7.5.0 была переработана логика построения VPN-правил. Теперь правила реализованы в виде гибкой модульной структуры, основанной на новых настраиваемых объектах. Подробнее о структуре правил VPN — в разделе «Настройка VPN (версия 7.5.0 и выше)».

При обновлении UserGate NGFW до версии 7.5.x с рекомендованных предыдущих версий выполняется автоматическая конвертация существующих VPN-правил в новый формат.

В зтой статье рассматриваются особенности конвертации VPN-правил и сценарии взаимодействия узлов с разными версиями ПО в режиме site-to-site VPN.

Увеличение количества правил после конвертации

В процессе конвертации количество объектов настройки VPN на обновленном узле может увеличиться по сравнению с исходной конфигурацией. Это связано с тем, что одно правило старого формата в ряде случаев преобразуется в несколько объектов нового формата.

Для протоколов L2TP/IPsec и IPsec/IKEv2 отдельные серверные правила могут быть разделены на несколько объектов настройки VPN — в зависимости от типа подключения или используемого метода аутентификации.

Например:

Если в старой модели был настроен серверный профиль безопасности с протоколом IPsec/IKEv2, а параметр Режим аутентификации имел значение Любой, при конвертации автоматически будут созданы два отдельных правила аутентификации: с режимами PKI и AAA.
Если в старой модели использовался серверный профиль безопасности с протоколом L2TP/IPsec, при конвертации автоматически будут созданы отдельные правила аутентификации для каждого типа подключения: site-to-site и remote access.

После завершения конвертации рекомендуется проверить автоматически созданные правила и удалить избыточные объекты.

Совместимость версий ПО узлов для site-to-site VPN-соединений

В таблице ниже рассмотрены варианты организации site-to-site VPN-cоединений по протоколам L2TP/IPsec, IPsec only/IKEv1, IPsec/IKEv2 с учетом версий ПО узла-инициатора и узла-ответчика.

При планировании обновления узлов, использующих протокол L2TP/IPsec для защищенного соединения офисов, до версии 7.5.0 или выше необходимо учитывать совместимость версий ПО узла-инициатора и узла-ответчика.

Рекомендуемый порядок обновления:

1. Обновите ПО узла-инициатора VPN-соединения до версии 7.5.0 или выше.

2. Убедитесь, что VPN-соединение с узлом-ответчиком, работающим на более ранней версии ПО, по-прежнему устанавливается.

3. Обновите ПО узла-ответчика до версии 7.5.0 или выше.

Рекомендуемый порядок обновления позволяет сохранить возможность установления VPN-соединения по протоколу L2TP/IPsec на промежуточном этапе обновления.

Протокол	Инициатор соединения (версия ПО)	Ответчик (версия ПО)	Способ аутентификации	Возможность соединения	Условия и ограничения
L2TP/IPsec	6.1.9	7.5.1	PSK	–	Сценарий не поддерживается. VPN-соединение установлено не будет
	7.4.3	7.5.1	PSK	–	Сценарий не поддерживается. VPN-соединение установлено не будет
	7.5.1	6.1.9	PSK	+	Подключение к VPN-серверу будет выполняться без дополнительной настройки параметров идентификации, поскольку в старой модели VPN-правил проверка этих параметров не выполняется. Настройка VPN-сервера версии ниже 7.5.0 выполняется в соответствии с документацией для установленной на нем версии ПО. Подробнее о настройке VPN-сервера — в разделе «VPN для защищенного соединения офисов (site-to-site VPN)» руководства администратора UserGate NGFW 6.1.9
	7.5.1	7.4.3	PSK	+	Подключение к VPN-серверу будет выполняться без дополнительной настройки параметров идентификации, поскольку в старой модели VPN-правил проверка этих параметров не выполняется. Настройка VPN-сервера версии ниже 7.5.0 выполняется в соответствии с документацией для установленной на нем версии ПО. Подробнее о настройке VPN-сервера — в разделе «VPN для защищенного соединения офисов (Site-to-Site VPN)» руководства администратора UserGate NGFW 7.x
	7.5.x	7.5.x	PSK	+	После обновления узла-инициатора и узла-ответчика до версии 7.5.x для поддержки подключений по протоколу L2TP/IPsec необходимо вручную настроить параметры Тип идентификации и Значение идентификации для обеих сторон соединения. Параметры указываются: в правиле аутентификации VPN-сервера (Настройки ➜ VPN-сервер ➜ Правила аутентификации); в свойствах клиентского подключения (Настройки ➜ VPN site-to-site client ➜ Подключения клиента). После настройки параметров необходимо убедиться в успешном установлении VPN-подключения
IPsec only / IKEv1	6.1.9	7.5.1	PSK	+	Серверное правило VPN, созданное в старой модели с привязанным профилем безопасности с протоколом IPsec only/IKEv1 и без указания VPN-подсети (значение Не использовать в поле Сеть VPN), не будет сконвертировано при обновлении ПО узла-ответчика. Для успешной конвертации перед обновлением устройства укажите в правиле VPN-подсеть. Значение параметра Подсети для Cisco VPN в клиентском правиле на узле-инициаторе версии 6.1.9 должно соответствовать значениям Peer networks (ID), указанным в параметрах фазы 2 при настройке правила аутентификации на узле-ответчике версии 7.5.1
	7.4.3	7.5.1	PSK	+	Серверное правило VPN, созданное в старой модели с привязанным профилем безопасности с протоколом IPsec only/IKEv1 и без указания VPN-подсети (значение Не использовать в поле Сеть VPN), не будет сконвертировано при обновлении ПО узла-ответчика. Для успешной конвертации перед обновлением устройства укажите в правиле VPN-подсеть. Значения параметров Локальная подсеть и Удаленная подсеть в клиентском профиле безопасности на узле-инициаторе версии 7.4.3 должны соответствовать значениям параметра Peer networks (ID), указанным в параметрах фазы 2 при настройке правила аутентификации на узле-ответчике версии 7.5.1. Для маршрутизации используются подсети, заданные в параметрах правил. Использование системных статических или динамических маршрутов невозможно. Подключение к VPN-серверу будет выполняться без дополнительной настройки параметров идентификации, поскольку в новой модели VPN-правил проверка этих параметров не выполняется
	7.5.1	6.1.9	PSK	–	VPN-сервер версии 6.1.9 не поддерживает работу в роли ответчика для соединения по протоколу IPsec only / IKEv1
	7.5.1	7.4.3	PSK	+	Значения параметров Peer networks ID для локальной и удаленной подсетей, указанные при настройке параметров фазы 2 в подключении клиента про протоколу IPsec only / IKEv1 на узле-инициаторе должны соответствовать значениям параметра Подсети для VPN, указанным в свойствах серверного профиля безопасности на узле-ответчике
IKEv2	7.4.3	7.5.1	PKI	+	При обновлении ПО узла-ответчика до версии с новой моделью VPN (7.5.0 и выше) серверные правила с протоколом IKEv2 сконвертируются в правила удаленного доступа (тип политики VPN — RA native) с выдачей IP-адреса узлу-инициатору для совместимости со старой моделью VPN на подключаемых узлах. На узле-инициаторе с версией ПО 7.4.3 в свойствах клиентского правила в поле Адрес сервера необходимо указывать IP-адрес узла-ответчика. Если указать доменное имя узла, соединение не установится. Если на узле-ответчике версии 7.5.0 или выше необходимо создать новое правило подключения для узлов-инициаторов со старой моделью VPN (версии ниже 7.5.0), настройку серверных правил необходимо выполнить следующим образом: 1. При создании правила подключения в разделе Настройки ➜ VPN-сервер ➜ Правила подключения нажмите Добавить и выберите IKE. В параметрах правила выберите протокол IKEv2. 2. При создании правила аутентификации в разделе Настройки ➜ VPN-сервер ➜ Правила аутентификации нажмите Добавить, выберите Удаленный доступ и далее выберите IKEv2. В параметрах правила укажите режим аутентификации PKI. 3. При создании политики VPN в разделе Настройки ➜ VPN-сервер ➜ Политики VPN нажмите Добавить, выберите Удаленный доступ и далее выберите Clients. В параметрах политики добавьте правило аутентификации из пункта 2 и укажите пользователя (должен соответствовать пользователю в сертификате),VPN-интерфейс, диапазон IP-адресов и маску для подключения узлов-инициаторов со старой моделью VPN. Подробнее о настройке правил для удаленного доступа — в разделе «Настройка VPN для удаленного доступа в сеть». Сети, расположенные за VPN-сервером, передаются узлу-инициатору средствами протокола. Для обеспечения обратной маршрутизации к сетям, расположенным за узлом-инициатором, на узле-ответчике необходимо настроить статические маршруты через установленное VPN-соединение
	7.5.1	7.4.3	PKI	+	Узел-инициатор версии 7.5.1 работает в режиме совместимости со старой моделью VPN, используемой узлом-ответчиком версии 7.4.3. На узле-инициаторе должны быть настроены следующие параметры: туннельный интерфейс должен использовать динамический режим назначения IP-адреса; в параметрах подключения клиента по протоколу IKEv2 должен быть поставлен флажок Проверять IP на VPN-сервере (подробнее о параметре — в разделе «Настройка VPN для защищенного соединения офисов»). На узле-ответчике используется site-to-site правило IKEv2 с выдачей IP-адреса подключившемуся узлу. Сети, расположенные за VPN-сервером, передаются узлу-инициатору средствами протокола. Для обеспечения обратной маршрутизации к сетям, расположенным за узлом-инициатором, на узле-ответчике необходимо настроить статические маршруты через установленное VPN-соединение
	7.5.x	7.5.x	PKI или PSK	+	Новая конфигурация site-to-site подключения. Для установления site-to-site VPN-соединения по протоколу IKEv2 пользователь должен настроить VPN на обеих сторонах. На узле-инициаторе необходимо создать S2S-подключение IKEv2 и указать: адрес VPN-сервера; способ аутентификации — PSK или сертификат; параметры аутентификации; локальные сети и сети за VPN-сервером (Traffic Selectors). На узле-ответчике необходимо создать S2S-правило IKEv2, настроить соответствующий способ аутентификации и указать подсети за VPN-шлюзами на обеих сторонах соединения. Трафик-селекторы на узле-инициаторе и узле-ответчике должны быть согласованы. Пример настройки site-to-site VPN по протоколу IKEv2 для новой модели VPN — в разделе «Пример настройки site-to-site VPN с IPSec (IKEv2) и аутентификацией посредством сертификатов»