Établissement d'un tunnel IPsec VPN entre un routeur DrayTek et une VPC amazon

Configuration de la VPC amazon

Étape 1 : créer un customer gateway pour le Vigor.

• Aller dans Customer Gateway et cliquer sur Create Customer Gateway.

Créer un nom pour le customer gateway et entrer l'adresse IP publique du Vigor.

Étape 2 : créer une virtual private gateway (VPG)

• Aller à Virtual Private Gateways, puis cliquer sur Create Virtual Private Gateway.

Créer un nom pour la Virtual Private Gateway et cliquer sur Create.

• Attacher la Virtual Private Gateway au VPC.

Étape 3 : créer un site-to-site VPN

• Aller à Site-to-Site VPN Connection et cliquer sur Create VPN Connection.

Créer un nom pour la connexion Site-to-Site.

• Sélectionner Virtual Private Gateway (VPG) comme type de passerelle cible et ajouter la virtual private gateway créée dans l'étape 2.
• Sélectionner Existing Customer Gateway et ajouter le customer gateway créé à l’étape 1.

Sélectionnez les options Static Routing et ajoutez le sous-réseau local Vigor dans les Static IP Prefixes et le CIDR du réseau IPv4 local. Ajoutez ensuite la passerelle de la VPC AWS dans Remote IPv4 Network CIDR.

• Cliquer sur Create VPN Connection

Étape 4 : modifier les tables de routage

• Aller à Route Tables.

Sélectionnez la table de routage, allez à l'onglet Routes et cliquez sur Edit Routes.

Cliquez sur Add Route et ajoutez le sous-réseau local (par exemple, 192.168.1.0/24) au VPG créé dans l'étape 2.

• Cliquez sur Save Change.

Étape 5 : télécharger la configuration AWS

• Aller à Site-to-Site Connections.

Sélectionnez la connexion VPN AWS vers DrayTek et cliquez sur Download Configurations.

Sélectionnez Generic pour le fournisseur et la plateforme, laissez les autres options par défaut et cliquez sur Download.

Étape 6 : localiser la clé pré-partagée et l'adresse IP du tunnel

• Recherchez la clé pré-partagée et l’adresse IP du tunnel dans le fichier de configuration téléchargé.

Tunnel #1 Clé pré-partagée et adresse IP

Tunnel #2 Clé pré-partagée et adresse IP

Configuration du Vigor2927

Pour tunnel #1

Pour tunnel #2

Si vous suivez correctement les instructions, vous devriez être en mesure de faire fonctionner les deux tunnels.

Pour configurer un VPN de secours, allez à VPN and Remote Access >> VPN Trunk Management.

Déconnectez les deux connexions VPN. Vous devriez alors voir uniquement un tunnel actif, tandis que le second tunnel sera en mode secours.

Si vous déconnectez le tunnel #2, le tunnel #1 se remettra automatiquement en service.

Configuration du Vigor2926

Étape 1 : aller à VPN and remote access >> LAN to LAN, cliquer sur profile index pour éditer un nouveau profil :

Entrer le nom du profil et activer ce profil

Sélectionner Dial-Out pour la Direction de l'appel

Sélectionner IPsec Tunnel comme Type de serveur

Entrer l'adresse WAN IP de VPC Amazon à Server IP

Cliquez sur le bouton IKE Pre-Shared Key pour entrer la clé pré-partagée

Étape 2 : sélectionnez AES avec authentification pour la méthode de sécurité IPsec et cliquez sur le bouton avancé pour ouvrir les paramètres IKE avancés.

Sélectionnez AES128_SHA1_G2 pour la proposition phase1 IKE

Sélectionnez AES128 SHA1 pour la proposition phase2 IKE

Activer Perfect Forward Secret

Étape 3 : dans TCP/IP network settings, entrez l'IP et le masque du réseau virtuel AWS dans remote network IP et remote network mask puis appliquer les paramètres

Configuration du Vigor3900

Étape 1 : aller à VPN and remote access >> VPN profile >> IPsec , cliquer sur add pour ajouter un nouveau profil. dans l'onglet basic :

Entrer le nom du profil et activer ce profil

Activer Auto Dial-Out

Sélectionner l'interface WAN pour créer le VPN vers la VPC Amazon pour Dial-Out Through

Entrer l'IP locale et masque de sous-réseau du routeur Vigor dans Local IP /Subnet Mask

Entrer l’adresse WAN IP de la VPC Amazon à Remote Host

Entrer votre réseau virtuel AWS dans Remote IP/ Subnet Mask

Sélectionner IKEv1 pour le protocole IKE et sélectionnez Main Mode comme phase1 IKE

Entrer la clé pré-partagée

Cliquez sur Apply pour sauvegarder le profil.

Étape 2 : dans l'onglet avancé, activer perfect forward secrecy status.

Étape 3 : dans l'onglet proposal,

Sélectionnez AES128_G2 pour la proposition phase1 IKE [Dial-Out]

Sélectionnez SHA1 pour l’authentification de phase1 IKE

Sélectionnez AES128with auth pour la proposition phase2 IKE [Dial-Out]

Sélectionnez SHA1 pour l'authentification de phase2 IKE

Appliquer les paramètres

Captures d'écran