IKEv2 VPN avec l'authentification EAP depuis iOS vers le routeur Vigor

DrayOS supporte IKEv2 avec l'authentification EAP à partir de la version 3.9.0 du firmware, et les modèles Vigor3900 et Vigor2960 depuis la version 1.4.0 du firmware. Cela rend le VPN IKEv2 encore plus sécurisé grâce à une authentification supplémentaire par nom d'utilisateur/mot de passe et vérification de certificat. Cet article explique comment créer un certificat auto-signé pour l'authentification serveur, configurer le routeur Vigor en tant que serveur IKEv2 VPN et établir une connexion depuis iOS.

Configuration sur le routeur Vigor

1. Aller à Certificate Management >> Trust CA Certificate, puis cliquer sur Create.

2. Entrer les informations du certificat, sélectionner "2048 Bit" pour la Taille de clé. Puis cliquer sur Generate.

3. Cliquer sur Export pour télécharger le RootCA.

4. Aller à Certificate Management >> Local Certificate, puis cliquer sur Generate.

Sélectionnez "Domain Name" pour Subject Alternative Name Type
Entrez le nom du domaine du routeur pour Domain name et Common Name (CN)
Remplissez toutes les autres informations du certificat
Sélectionnez "2048 Bit" pour la Taille de clé
Cliquez sur Generate

5. Cliquer sur Sign pour le certificat créé.

6. Spécifiez la date valide puis cliquez sur Sign.

7. Aller à VPN and Remote Access >> IPsec General Setup, sélectionnez le certificat local créé dans les étapes précédentes pour Certificate for Dial-in.

8. Aller à VPN and Remote Access >> Remote Dial-in User, cliquer sur un numéro d'index disponible et éditer le profil comme suit.

Cochez IKEv2 EAP sous Allowed Dial-In Type
Donnez un nom d'utilisateur et un mot de passe
Cliquez sur OK pour sauvegarder.

Configuration du routeur Vigor

1. Aller à Certificate Management >> Trusted CA, cliquer sur Build RootCA.

Entrez toutes les informations
Sélectionnez "2048" pour la Taille de clé
Entrez le Mot de passe pour signer le certificat local
Cliquez sur Apply pour sauvegarder

2. Cliquer sur Download pour exporter le Root CA, qui devra être installé sur l'application cliente VPN.

3. Aller à Certificate Management >> Local Certificate, cliquer sur Generate :

Sélectionnez "Domain Name" pour ID Type et entrez le domaine du routeur pour ID Value
Entrez toutes les informations
Entrez le domaine du routeur pour Common Name (CN)
Sélectionnez "2048" pour la Taille de clé
Cochez "Enable" pour Self Sign
Entrez le Mot de passe du Root CA à CA Key Passphrase
Cliquez sur Apply

4. Aller à User Management >> User Profile pour ajouter un profil utilisateur :

Cochez Enable
Entrez un nom d'utilisateur et un mot de passe
Sélectionnez "Enable" pour Xauth/EAP au niveau du serveur PPTP/L2TP/SSL/OpenVPN

5. Aller à VPN and Remote Access >> VPN Profiles >> IPsec pour ajouter un profil :

Donnez un nom au profil et cochez Enable
Cochez "Enable" pour Remote Dial-In User
Entrez le réseau LAN du routeur pour Local IP / Subnet Mask
Sélectionnez "IKEv2" pour IKE Protocol
Sélectionnez "RSA" pour Auth Type et choisissez le certificat créé dans les étapes précédentes pour Local Certificate.