Configuration d'un VPN IKEv2 avec l'authentification EAP depuis windows vers un Vigor3900 en utilisant le certificat auto-signé

Le routeur Vigor3900 et Vigor2960 supporte l'IKEv2 avec l'authentification EAP à partir de la version 1.4.0 du firmware. Cela rend le VPN IKEv2 encore plus sécurisé grâce à une authentification supplémentaire par nom d'utilisateur et mot de passe, ainsi qu'à la vérification des certificats. Ce document explique comment créer un certificat auto-signé pour l'authentification serveur, configurer un routeur Vigor en tant que serveur IKEv2 VPN, et établir une connexion depuis Windows avec le client Smart VPN Client v5.2.0.

Configuration du routeur

1. Accédez à Certificate Management >> Trusted CA, puis cliquez sur Build RootCA

• Entrez toutes les informations requises.
• Sélectionnez "2048" pour la Taille de Clé.
• Entrez le Mot de Passe pour signer le certificat local.
• Cliquez sur Apply pour sauvegarder.

2. Cliquez sur Download pour exporter la Root CA, qui doit être installée sur le client VPN.

3. Accédez à Certificate Management >> Local Certificate, puis cliquez sur Generate :

• Sélectionnez "Domain Name" pour ID Type et entrez le nom de domaine du routeur pour ID Value.
• Entrez toutes les informations requises.
• Entrez le nom de domaine du routeur pour Common Name (CN).
• Sélectionnez "2048" pour la Taille de Clé.
• Cochez "Enable" pour Self Sign.
• Entrez le Mot de Passe de Root CA à l'emplacement CA Key Passphrase.
• Cliquez sur Apply.

4. Accédez à User Management >> User Profile pour ajouter un profil utilisateur :

• Activez la case Enable.
• Entrez Username et Password.
• Sélectionnez "Enable" pour Xauth/EAP au niveau des serveurs PPTP/L2TP/SSL/OpenVPN.

5. Accédez à VPN and Remote Access >> VPN Profiles >> IPsec pour ajouter un profil :

• Donnez un nom de profil et activez la case Enable.
• Sélectionnez "Enable" pour Remote Dial-In User.
• Entrez le réseau LAN du routeur pour Local IP / Masque de sous-réseau.
• Sélectionnez "IKEv2" pour Protocole IKE.
• Sélectionnez "RSA" pour Type d'Authentification.
• Choisissez le certificat créé précédemment pour Local Certificate et "Subject Alternative Name" pour Local ID.

Connexion depuis windows

1. Ouvrez RootCA et installez-le.

2. Placez-le dans Trust Root Certificate Authorities.

3. Confirmez que le certificat est installé correctement.

4. Lancez Smart VPN client et ajoutez un profil :

• Donnez un nom de profil.
• Sélectionnez "IKEv2" pour Type.
• Entrez le nom de domaine du routeur.
• Entrez Username et Password.
• Cliquez sur OK.

5. Activez Connect, puis vous pouvez vérifier l'état du VPN une fois la connexion établie.

Captures d'écran