Comment envoyer tout le trafic via la passerelle VPN sur Vigor3900/2960

Assumons que le Vigor3900 est dans le siège social et que le Vigor2960 est dans une succursale. Le responsable réseau souhaite créer un tunnel VPN entre les deux sites et faire en sorte que le Vigor2960 envoie tout son trafic via ce tunnel VPN. Les exemples ci-dessous vous montrent comment réaliser cet objectif de deux manières différentes.

A. GRE sur IPsec + route policy

Configurations sur le Vigor3900 (siège social)

1. Ajoutez un nouveau profil VPN : Allez dans VPN and Remote Access > VPN Profiles, cliquez sur Add et configurez les paramètres de base :

• Cochez **Enable**.
• Entrez Local IP/ Sub net comme 10.0.0.0/8.
• Entrez Remote Host comme l'adresse WAN du Vigor2960.
• Entrez Remote IP/ Subnet comme l'adresse LAN du Vigor2960.
• Sélectionnez **Main Mode** pour IKE Phase 1.
• Entrez la clé pré-partagée.
• Sélectionnez **ESP** pour le Protocole de sécurité.

2. Configurez les paramètres GRE pour ce profil VPN :

• Activez la fonction GRE.
• Entrez Local GRE IP (il doit être identique à Remote GRE IP sur le Vigor2960 dans la succursale).
• Entrez Remote GRE IP (il doit être identique à Local GRE IP sur le Vigor2960 dans la succursale).
• Appliquez les paramètres.

3. Créez un pool de balance de charge VPN : Allez dans VPN and Remote Access > VPN Trunk Management > Load Balance Pool, puis cliquez sur Add pour créer un nouveau pool.

• Entrez le nom du profil.
• Cliquez sur **Ajouter** pour sélectionner le profil VPN que vous venez de créer et donnez le poids (seulement les profils avec des paramètres GRE seront listés ici).
• Appliquez les paramètres.

4. Créez une règle de balance de charge VPN : Allez dans VPN and Remote Access > VPN Trunk Management > Load Balance Rule, puis cliquez sur Add pour créer une nouvelle règle.

• Entrez le nom du profil.
• Sélectionnez **ALL** pour le Protocole.
• Entrez l'adresse IP source
• Entrez la masque de sous-réseau source
• Entrez l'adresse IP destination
• Entrez le masque de sous-réseau destination
• Sélectionnez le pool de balance de charge du tronc VPN pour Load Balance Pool.

Note : Il est nécessaire de définir quel type de trafic doit passer par le tunnel du tronc VPN avec la règle de balance de charge. Sinon, le trafic ne passera pas dans le tunnel du tronc VPN.

Configurations sur le Vigor2960 (succursale)

1. Ajoutez un nouveau profil VPN : Allez dans VPN and Remote Access > VPN Profiles, cliquez sur Add et configurez les paramètres de base :

• Cochez **Enable**.
• Activez l'appel sortant automatique et sélectionnez Toujours appeler.
• Entrez local IP/ Subnet comme 192.168.1.0/ 255.255.255.0
• Entrez Remote Host IP comme l'adresse WAN du Vigor3900.
• Entrez Remote IP/ Subnet comme 10.0.0.0/ 255.0.0.0
• Sélectionnez **Main Mode** pour IKE Phase 1.
• Entrez la clé pré-partagée.
• Sélectionnez ESP pour le Protocole de sécurité.

2. Configurez les paramètres GRE du profil VPN :

• Cochez **Enable** pour activer la fonction GRE.
• Entrez Local GRE IP (il doit être identique à Remote GRE IP sur le Vigor3900 dans le siège social).
• Entrez Remote GRE IP (il doit être identique à Local GRE IP sur le Vigor3900 dans le siège social).
• Appliquez les paramètres.

3. Créez un pool de balance de charge VPN : Allez dans VPN and Remote Access > VPN Trunk Management > Load Balance Pool, puis cliquez sur Add pour créer un nouveau pool.

• Entrez le nom du profil.
• Cliquez sur **Ajouter** pour sélectionner le profil VPN que vous venez de créer et donnez le poids (seulement les profils avec des paramètres GRE seront listés ici).
• Appliquez les paramètres.

4. Créez une règle de balance de charge VPN : Allez dans VPN and Remote Access > VPN Trunk Management > Load Balance Rule, puis cliquez sur Add pour créer une nouvelle règle.

• Entrez le nom du profil.
• Sélectionnez **ALL** pour le Protocole.
• Entrez l'adresse IP source
• Entrez la masque de sous-réseau source
• Entrez l'adresse IP destination
• Entrez le masque de sous-réseau destination
• Sélectionnez le pool de balance de charge du tronc VPN pour Load Balance Pool.

5. Après avoir terminé les configurations ci-dessus, la connexion VPN devrait être établie maintenant. Allez dans VPN and Remote Access > Connection Management pour vérifier son statut. De plus, effectuez un ping pour confirmer si une machine locale peut recevoir une réponse de ping d'une machine distante.

6. Créez une règle de politique pour forcer tout le trafic à passer par le tunnel du tronc VPN : Allez dans Routing > Policy Route, puis cliquez sur Add pour ajouter une nouvelle règle.

• Entrez le nom du profil.
• Cochez **Enable**
• Sélectionnez **ALL** pour le Protocole
• Sélectionnez **ANY** pour le Type source
• Sélectionnez **ANY** pour le Type destination
• Sélectionnez **VPN Trunk LB Pool** pour la règle sortante.
• Sélectionnez le profil de balance de charge du tronc VPN pour Load Balance Pool.
• Sélectionnez NAT pour Mode.
• Appliquez les paramètres.

7. Utilisez la commande traceroute "tracert -d" pour confirmer si tout le trafic passe par le tunnel VPN. Dans le résultat de la trace ci-dessous, nous pouvons voir que le deuxième nœud est l'adresse LAN du Vigor3900 et cela signifie que le trafic vers 8.8.8.8 passe via le tunnel VPN.

B. NAT policy

Configurations sur le Vigor2960 (succursale)

1. Ajoutez un nouveau profil VPN : Allez dans VPN and Remote Access > VPN Profiles, cliquez sur Add

Captures d'écran