IKEv2 VPN avec l'authentification EAP depuis macOS vers le routeur Vigor

DrayOS prend en charge IKEv2 avec l'authentification EAP à partir de la version firmware 3.9.0, et les modèles Vigor3900 et Vigor2960 le supportent à partir de la version firmware 1.4.0. Cette fonctionnalité rend l'IKEv2 VPN plus sécurisé en ajoutant une authentification par nom d'utilisateur et mot de passe ainsi qu'une vérification de certificat. Cet article explique comment créer un certificat auto-signé pour l'authentification du serveur, configurer le routeur Vigor comme serveur IKEv2 VPN, et établir une connexion à partir de macOS.

Configuration sur le routeur Vigor

1. Allez dans Certificate Management >> Trust CA Certificate, puis cliquez sur Create.

2. Entrez les informations du certificat, sélectionnez "2048 Bit" pour la Taille de clé. Cliquez ensuite sur Generate.

3. Cliquez sur Export pour télécharger le RootCA.

4. Allez dans Certificate Management >> Local Certificate, puis cliquez sur Generate.

• Sélectionnez "Domain Name" pour Subject Alternative Name Type
• Entrez l'adresse du domaine du routeur pour Domain name et Common Name (CN)
• Remplissez toutes les autres informations nécessaires pour le certificat
• Sélectionnez "2048 Bit" pour la Taille de clé
• Cliquez sur Generate

5. Cliquez sur Sign pour valider le certificat créé.

6. Spécifiez la date de validité puis cliquez sur Sign.

7. Allez dans VPN and Remote Access >> IPsec General Setup, sélectionnez le certificat local créé précédemment pour Certificate for Dial-in.

8. Allez dans VPN and Remote Access >> Remote Dial-in User, cliquez sur un numéro d'index disponible et modifiez le profil comme suit.

• Cochez IKEv2 EAP à Allowed Dial-In Type
• Donnez un nom d'utilisateur et un mot de passe
• Cliquez OK pour sauvegarder.

Configuration sous Linux

1. Allez dans Certificate Management >> Trusted CA, cliquez sur Build RootCA.

• Entrez toutes les informations nécessaires
• Sélectionnez "2048" pour la Taille de clé
• Entrez le Mot de passe pour signer le certificat local
• Cliquez Apply pour sauvegarder

2. Cliquez sur Download pour exporter le Root CA, qui doit être installé sur le client VPN.

3. Allez dans Certificate Management >> Local Certificate, cliquez sur Generate :

• Sélectionnez "Domain Name" pour ID Type et entrez l'adresse du domaine du routeur pour ID Value
• Remplissez toutes les informations nécessaires
• Entrez l'adresse du domaine du routeur pour Common Name (CN)
• Sélectionnez "2048" pour la Taille de clé
• Cochez "Enable" pour Self Sign
• Entrez le Mot de passe du Root CA à CA Key Passphrase
• Cliquez Apply

4. Allez dans User Management >> User Profile pour ajouter un profil utilisateur :

• Cochez Enable
• Entrez nom d'utilisateur et mot de passe
• Cochez "Enable" pour Xauth/EAP au niveau du serveur PPTP/L2TP/SSL/OpenVPN.

5. Allez dans VPN and Remote Access >> VPN Profiles >> IPsec pour ajouter un profil :

• Donnez un nom au profil et cochez Enable
• Sélectionnez "Enable" pour Remote Dial-In User
• Entrez le réseau LAN du routeur pour Local IP / Subnet Mask
• Sélectionnez "IKEv2" pour IKE Protocol
• Sélectionnez "RSA" pour Auth Type et choisissez le certificat créé précédemment pour Local Certificate.

Connexion depuis macOS

1. Ouvrez Keychain Access, installez le RootCA téléchargé du routeur en l'important dans la fenêtre.

2. Sélectionnez "Always Trust" pour Extensible Authentication (EAP) et IP Security (IPsec)

3. Allez dans les paramètres réseau et cliquez sur ' + ' pour créer un nouveau réseau :

• Sélectionnez "VPN" pour Interface
• Sélectionnez "IKEv2" pour Type de VPN
• Cliquez Create

4. Entrez l'adresse du domaine du routeur pour Server Address et Remote ID. Puis, cliquez sur Authentication Settings...

5. Sélectionnez Username et entrez le nom d'utilisateur et le mot de passe. Ensuite, cliquez OK.

6. Cliquez Connect pour démarrer la connexion VPN au routeur.

Connexion depuis macOS par SmartVPN

1. Ouvrez l'application SmartVPN. Cliquez sur '+' pour créer un nouveau profil :

• Sélectionnez "IKEv2 EAP" pour Type.
• Donnez un nom de profil.
• Entrez l'adresse IP ou le domaine du serveur
• Entrez le nom d'utilisateur.
• Cliquez sur Authentication. Et entrez le mot de passe. Puis cliquez OK.
• Cliquez Create.

2. Choisissez le profil créé à l'étape 1 :

• Cochez Enable Profile.
• Cliquez Connect.

La connexion VPN est maintenant active.

Captures d'écran