Konfigurasi IPSec Site to Site VPN di Juniper
Assalamualaikum Wr Wb
Ingin sharing sekaligus jadi arsip belajar mengenai IPSec VPN di Juniper.
Topology :
Deskripsi Umum :
• Interface LAN ge-0/0/1 zone trust , menggunakan IP Private.
• Interface dari Provider ge-0/0/0 zone untrust dan menggunakan IP Public (simulasi menggunakan IP private/ IP point to point).
• Buat interface Tunnel di masing masing router, SRX menggunakan
interface st0.0 dan SSG20 menggunakan Interface Tunnel.1 yang nantinya
sebagai jalur VPN dengan membuat zone baru yaitu “VPN”.
Konfigurasi
Junos OS memakai konsep logical component interface. Dalam contoh ini
menggunakan unit 0 dan family inet (IPv4). Untuk statik route kita
spesifik antara gateway dan next hop nya. Setelah itu kita buat unik
zone untuk tunnel traffic yang nanti nya kita allow di policy masing
masing router dalam hal VPN Trafik dan untuk memudahkan dan membedakan
dengan policy lainnya. Bisa juga kita membuat policy untuk blok traffic
selain traffic VPN dan network mana yang bisa mengakses nya.
Host-inbound services diperlukan untuk masing masing router. Contoh
services yang tersedia FTP, HTTP, HTTPS, Internet Key Exchange (IKE),
ping, rlogin, RSH, SNMP, SSH, Telnet, TFTP, traceroute. Tapi dalam hal
ini kita asumsikan allow semua services dari zone trust dan untuk alasan
security kita hanya allow IKE dari system services untrust.
Dalam contoh ini kita buat address book/address list contoh
local-net(10.10.10.0/24) dan remote-net(192.168.168.0/24). Saat kita
mengkonfigurasi Peer IKE(Internet Key Exchange), IKE dapat di
diklasifikan mulai dari IP Address, full qualified domain name/user
fully qualified domain name(FQDN/UFQDN) atau ASN1-DN public key
infrastructure (PKI Certificates). Dalam contoh ini kita menggunakan IP
Address dengan menggunakan standart proposal IKE gateway nya (phase 1)
walaupun kita dapat membuat proposal sendiri sesuai yang kita kehendaki
dan kemudian kita spesisifikasikan di IPsec Policy nya.
Tahap - Tahap Konfigurasi :
1. Konfigurasi IP address di masing masing interface router sesuai gambar topology.
2. Konfigurasi default route ke gateway provider internet dan static route untuk remote office LAN(SSG20).
3. Konfigurasi Security Zone dan bind interface setelah itu kita
konfigurasi host inbound traffic di masing masing zone. Dalam contoh ini
kita harus enable service IKE (Internet Key Exchange) di interface
ge-0/0/0 dalam zone untrust.
4. Konfigurasi Addressbook masing masing zona yang nantinya kita gunakan dalam pembuatan policy.
5. Konfigurasi phase 1 IKE gateway. Dalam contoh ini standart proposal
tidak msalah walau kita ingin mengggunakan proposal sendiri asalakn
nantinya sama di masing masing peer nya.
6. Konfiigurasi phase 2 (IPsec) VPN. sama hal nya dengan phase 1 kita
gunakan standart proposal atau ingin menggukana proposal sendiri.
7. Bind secure tunnel (st0) interface ke zone VPN.
8. Konfigurasi security policies, kita permit Traffik dari remote
office(SSG) ke corporate LAN (SRX) dan kita juga konfigurasi policy
outgoing trust ke untrust permit semua policy (any) dengan source NAT
dari trafik internet.
9. Konfigurasi TCP- maximum segment size (tcp-mss) untuk IPsec traffic.
Konfigurasi Junos OS (SRX210) Corporate Office
1. Konfigurasi IP address untuk Interface LAN, Point to point interface/ Ip public, dan Interfcae tunnel (st0) :
[edit]
root# set interfaces ge-0/0/0 unit 0 family inet address 1.1.1.1/30
root# set interfaces ge-0/0/1 unit 0 family inet address 10.10.10.1/24
root# set interfaces st0 unit 0 family inet address 10.11.11.10/24
2. Konfigurasi routing network LAN remote office untuk tunnel trafik
dapat di routing langusng ke interface tunnel atau di spesifikasikan
dengan IP address nya sebagai next-hop nya.
root# set routing-options static route 192.168.168.0/24 next-hop st0.0
3. Konfigurasi Zone masing masing interface.
[edit]
root# set security zones security-zone untrust interfaces ge-0/0/0.0
root# set security zones security-zone trust interfaces ge-0/0/1.0
root# set security zones security-zone vpn interfaces st0.0
4. Konfigurasi host-inbound services di masing masing zone :
[edit]
root# set security zones security-zone trust host-inbound-traffic system-services all
root# set security zones security-zone untrust host-inbound-traffic system-services ike
5. Konfigurasi addressbook / address list di masing masing zone :
[edit]
root# set security zones security-zone trust address-book address local-net 10.10.10.0/24
root# set security zones security-zone vpn address-book address remote-net 192.168.168.0/24
6. Konfigurasi IKE policy main mode contoh yang saya buat “ike-polcy1”,
standard proposal dan preshared key dalam string. Preshared key yang
nantinya kita samakan juga di remote office (SSG20)
[edit]
root# set security ike policy ike-policy1 mode main
root# set security ike policy ike-policy1 proposal-set standard
root# set security ike policy ike-policy1 pre-shared-key ascii-text "secretkey"
7. Konfigurasi IKE gateway (phase 1) contoh yang saya buat “ike-gate”
dengan peer IP address remote office, IKE Policy yang sudah kita buat di
atas dan outgoing interface.
[edit]
root# set security ike gateway ike-gate ike-policy ike-policy1
root# set security ike gateway ike-gate address 1.1.1.2
root# set security ike gateway ike-gate external-interface ge-0/0/0.0
8. Konfigurasi IPsec policy dalam standart proposal , standart proposal ( the esp-group2-3des-sha1 and esp-group2-aes128-sha1 ).
[edit]
root# set security ipsec policy vpn-policy1 proposal-set standard
9.
Konfigurasi
IPsec VPN dengan IKE gateway yang sudah kita buat dan IKE Policy yang
sudah kita buat juga dan kemudian kita bind interface ke interface st0.0
yang sudah kita masukan zone VPN.
[edit]
root# set security ipsec vpn ike-vpn ike gateway ike-gate
root# set security ipsec vpn ike-vpn ike ipsec-policy vpn-policy1
root# set security ipsec vpn ike-vpn bind-interface st0.0
10.
Konfigurasi Security Policy untuk tunnel raffik di 2 sisi dari zone trust ke vpn dan sebaliknya:
[edit security policies from-zone trust to-zone vpn]
root# set policy vpn-tr-vpn match source-address local-net
root# set policy vpn-tr-vpn match destination-address remote-net
root# set policy vpn-tr-vpn match application any
root# set policy vpn-tr-vpn then permit
[edit security policies from-zone vpn to-zone trust]
root# set policy vpn-vpn-tr match source-address remote-net
root# set policy vpn-vpn-tr match destination-address local-net
root# set policy vpn-vpn-tr match application any
root# set policy vpn-vpn-tr then permit
11.
Konfigurasi source NAT rule dan security policy.
[edit security nat source rule-set nat-out]
root# set from zone trust
root# set to zone untrust
root# set rule interface-nat match source-address 192.168.168.0/24
root# set rule interface-nat match destination-address 0.0.0.0/0
root# set rule interface-nat then source-nat interface
[edit security policies from-zone trust to-zone untrust]
root# set policy any-permit match source-address any
root# set policy any-permit match destination-address any
root# set policy any-permit match application any
root# set policy any-permit then permit
12.Konfigurasi tcp-mss TCP traffic tunnel VPN . dengan value of 1350
yang disarankan Ethernet-based networks dengan MTU 1500. Untuk lebih
jelasnya mungkin bisa browsing mengenai tcp-mss atau bias di baca di
knowledge base juniper.
root# set security flow tcp-mss ipsec-vpn mss 1350
Selesai , kita lanjut konfiguasi di SSG20.
Sebenarnya dari konfigurasi tidak ada yang di bedakan hanya saja
menyesuaikan dengan topology diatas dan langkah yang hampir sama.
set zone name "VPN"
set interface ethernet0/0 zone "Untrust"
set interface ethernet0/1 zone "Trust"
set interface "tunnel.1" zone "VPN"
set interface ethernet0/0 ip 1.1.1.2/30
set interface ethernet0/0 route
set interface ethernet0/1 ip 192.168.168.1/24
set interface ethernet0/1 route
set interface tunnel.1 ip 10.11.11.11/24
set flow tcp-mss 1350
set address "Trust" "192.168.168-net" 192.168.168.0 255.255.255.0
set address "VPN" "10.10.10-net" 10.10.10.0 255.255.255.0
set ike gateway "corp-ike" address 1.1.1.1 Main outgoing-interface ethernet0/0 preshare "secretkey" sec-level standard
set vpn "corp-vpn" gateway "corp-ike" replay tunnel idletime 0 sec-level standard
set vpn "corp-vpn" monitor optimized rekey
set vpn "corp-vpn" bind interface tunnel.1
set policy from "Trust" to "Untrust" "ANY" "ANY" "ANY" nat src permit
set policy from "Trust" to "VPN" "192.168.168-net" "10.10.10-net" "ANY" permit
set policy from "VPN" to "Trust" "10.10.10-net" "192.168.168-net" "ANY" permit
set route 10.10.10.0/24 interface tunnel.1
set route 0.0.0.0/0 interface ethernet0/0 gateway 1.1.1.1
Verifikasi hasil konfigurasi yang sudah kita buat.
1. Kita check status VPN di SRX dengan melihat IKE phase 1 security
association dan Internet Key Exchange (IKE) (phase 1) security
associations dengan CLI show security ike security-associations.
- Jika kita show security ike security-associations dan output nya
remote address 1.1.1.2 dan status UP berarti VPN yang kita buat sudah
terhubung .
- Tapi jika status masih DOWN kita check IKE SA kemungkinan masalah
berada di phase 1 check ulang apakah sudah benar konfigurasi di phase 1.
Check Ulang remote IP address nya, IKE Policy dan interfaces pastikan
semua sudah sesuai topology.
2. Verifikasi status IPsec (phase 2). setelah IKE phase 1 di verifikasi,
kita jalankan command show security ipsec security-associations untuk
melihat status IKE (phase 2) security associations dengan verifikasi
sebagai berikut :
- show security ipsec security-associations command output 1 IPsec
security association (SA) peer dan dengan default port 500, tanpan NAT
traversall (nat-traversal default port 4500 atau random port diatas
nya).
- security parameter index (SPI) digunakan di dua sisi, lifetime dalam
hitungan detik , dan usage limits atau lifesize dalam hitungan
kilobytes.
- Kolom Mon mengacu pada status VPN. jika VPN monitoring di enable,
kemudian akan tampil U (up) atau D (down). Atau tanda (-) berarti VPN
monitoring tidak diaktifkan dalam SA ini.
- vsys selalu menunjukan 0/root, dan ID number 131073. Dan nilai index unik untuk setiap SA IPsec.
show
security ipsec security-associations index 131073 detail kita dapat melihat
Local Identity dan
Remote Identity.
- Jika tidak ada IPsec SA , check ke phase 2 proposals.
3. Check statistics dan errors untuk IPsec SA. show security ipsec
statistics index 131073 command check Encapsulating Security Payload
(ESP) dan Authentication Header (AH) counters dan check apakah ada pesan
errors dalam IPsec security association nya.
4. Kita test Trafik dari Corp Office Router ke host menggunakan source interface LAN dan sebaliknya.
Demikian Semoga Bermanfaat.
Posts
