Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Junos OS를 실행하는 디바이스에서 VPN 구성

이 섹션에서는 다음 IKE 인증 방법을 사용하는 Junos OS 디바이스의 IPsec VPN 샘플 구성에 대해 설명합니다.

Junos OS를 실행하는 디바이스에서 VPN 구성 개요

이 섹션에서는 다음 IKE 인증 방법을 사용하는 Junos OS 디바이스의 IPsec VPN 샘플 구성에 대해 설명합니다.

그림 1 은 이 섹션에서 설명한 모든 예에서 사용되는 VPN 토폴로지를 보여줍니다. 여기서, H0 및 H1은 호스트 PC이고, R0 및 R2는 IPsec VPN 터널의 두 엔드포인트이며, R1은 서로 다른 두 네트워크 간에 트래픽을 라우팅하는 라우터입니다.

참고:

라우터 R1은 Linux 기반 라우터, 주니퍼 네트웍스 디바이스 또는 기타 벤더 라우터가 될 수 있습니다.
그림 1: VPN 토폴로지 VPN Topology

표 1 은 지원되는 IKE 프로토콜, 터널 모드, 1단계 협상 모드, 인증 방법 또는 알고리즘, 암호화 알고리즘, IKE 인증 및 암호화(Phase1, IKE 제안)와 IPsec 인증 및 암호화(Phase2, IPsec 제안)에 지원되는 DH 그룹의 전체 목록을 제공합니다. 나열된 프로토콜, 모드 및 알고리즘이 지원되며 22.2 R1 공통 기준에 필요합니다.

표 1: VPN 조합 매트릭스

IKE 프로토콜

터널 모드

1단계 협상 모드

1단계 제안(P1, IKE)

인증 방법

인증 알고리즘

DH 그룹

암호화 알고리즘

IKEv1

주요

경로

사전 공유 키

샤-256

그룹14

IKEv2

    

RSA 서명-2048

샤-384

그룹19

AES-128-CBC
     

ECDSA 서명-256

  

그룹20

AES-128-GCM
     

ECDSA 서명-384

  

그룹24

AES-192-CBC
           

AES-256-CBC
           

AES-256-GCM
             

IKE 프로토콜

터널 모드

1단계 협상 모드

2단계 제안(P2, IPsec)

인증 알고리즘

DH 그룹 (PFS)

암호화 방법

암호화 알고리즘

IKEv1

주요

경로

HMAC-SHA1-96

그룹14

Esp

3DES-CBC

IKEv2

    

HMAC-샤-256-128

그룹19

  

AES-128-CBC
       

그룹20

  

AES-128-GCM
       

그룹24

  

AES-192-CBC
           

AES-192-GCM
           

AES-256-CBC
           

AES-256-GCM
참고:

다음 섹션에서는 선택한 알고리즘에 대한 IKEv1 IPsec VPN 예제의 샘플 구성을 제공합니다. 인증 및 암호화 알고리즘은 사용자가 원하는 구성을 달성하기 위해 구성에서 대체될 수 있습니다. IKEv2 IPsec VPN에 명령을 사용합니다 set security ike gateway <gw-name> version v2-only .

IKE(Internet Key Exchange) 인증을 위해 사전 공유 키를 사용하여 IPsec VPN 구성

이 섹션에서는 IKE 인증 방법으로 사전 공유 키를 사용하여 IPsec VPN용 Junos OS를 실행하는 디바이스를 구성합니다. IKE(Internet Key Exchange) 또는 IPsec 인증 또는 암호화에 사용되는 알고리즘은 표 2에 나와 있습니다

표 2: IKE(Internet Key Exchange) 또는 IPsec 인증 및 암호화

IKE 프로토콜

터널 모드

1단계 협상 모드

1단계 제안(P1, IKE)

인증 방법

인증 알고리즘

DH 그룹

암호화 알고리즘

IKEv1

주요

경로

사전 공유 키

샤-256

그룹14

AES-256-CBC

IKE 프로토콜

터널 모드

1단계 협상 모드

2단계 제안(P2, IPsec)

인증 알고리즘

DH 그룹 (PFS)

암호화 방법

암호화 알고리즘

IKEv1

주요

경로

HMAC-샤-256-128

그룹14

Esp

AES-256-CBC
참고:

Junos OS를 실행하는 디바이스는 IPsec을 위해 인증서 기반 인증 또는 사전 공유 키를 사용합니다. TOE는 대문자 및 소문자, 숫자 및 !, @, #, $, %, ^, &, *, (및 )와 같은 특수 문자가 포함된 최대 255자(및 이에 상응하는 이진 키)의 ASCII 사전 공유 또는 비트 기반 키를 허용합니다. 디바이스는 사전 공유된 텍스트 키를 수락하고 IKE 교환을 위한 해시 알고리즘으로 구성된 PRF를 사용하여 IKEv1의 경우 RFC 2409 또는 IKEv2의 경우 RFC 4306에 따라 텍스트 문자열을 인증 값으로 변환합니다. Junos OS는 사전 공유 키에 대한 최소 복잡성 요구 사항을 부과하지 않습니다. 따라서 사용자는 충분히 복잡하고 미리 공유된 긴 키를 신중하게 선택하는 것이 좋습니다.

개시자에서 IKE(Internet Key Exchange) 인증으로 사전 공유 키를 사용하여 IPsec VPN 구성

개시자에서 사전 공유 키 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN을 구성하려면 다음을 수행합니다.

  1. IKE(Internet Key Exchange) 제안을 구성합니다.

    여기서는 ike-proposal1 권한 있는 관리자가 지정한 IKE 제안 이름입니다.

  2. IKE(Internet Key Exchange) 정책을 구성합니다.

    여기서, 은(는) ike-policy1 IKE 정책 이름이며 ike-proposal1 권한 있는 관리자가 제공한 IKE 제안 이름입니다. 메시지가 표시되면 사전 공유 키를 입력하고 다시 입력해야 합니다. 예를 들어, 사전 공유 키는 일 수 있습니다 CertSqa@jnpr2014.

    사전 공유 키는 16진수 형식으로 입력할 수도 있습니다. 예를 들어:

    여기서 16진수 사전 공유 키는 일 수 있습니다 cc2014bae9876543.

  3. IPsec 제안을 구성합니다.

    여기서는 ipsec-proposal1 권한 있는 관리자가 지정한 IPsec 제안 이름입니다.

  4. IPsec 정책을 구성합니다.

    여기서, 은(는) ipsec-policy1 IPsec 정책 이름이며 ipsec-proposal1 권한 있는 관리자가 제공한 IPsec 제안 이름입니다.

  5. IKE(Internet Key Exchange)를 구성합니다.

    여기서, 은(는) IKE 게이트웨이 이름이고, 은(는) 피어 VPN 엔드포인트 IP이고, 은(는) 로컬 VPN 엔드포인트 IP이고ge-0/0/2 , gw1 192.0.2.8 192.0.2.5 은(는) VPN 엔드포인트로서의 로컬 아웃바운드 인터페이스입니다. IKEv2의 경우 다음과 같은 추가 구성도 필요합니다

  6. VPN을 구성합니다.

    여기서는 vpn1 권한 있는 관리자가 지정한 VPN 터널 이름입니다.

  7. 아웃바운드 플로우 정책을 구성합니다.

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  8. 인바운드 플로우 정책을 구성합니다.

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  9. 구성을 커밋합니다.

응답자에서 IKE(Internet Key Exchange) 인증으로 사전 공유 키를 사용하여 IPsec VPN 구성

응답자에서 사전 공유 키 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN을 구성하려면 다음을 수행합니다.

  1. IKE(Internet Key Exchange) 제안을 구성합니다.

    참고:

    여기서는 ike-proposal1 권한 있는 관리자가 지정한 IKE 제안 이름입니다.

  2. IKE(Internet Key Exchange) 정책을 구성합니다.

    참고:

    여기서, 은(는) ike-policy1 IKE 정책 이름이며 ike-proposal1 권한 있는 관리자가 제공한 IKE 제안 이름입니다.
    참고:

    메시지가 표시되면 사전 공유 키를 입력하고 다시 입력해야 합니다. 예를 들어, 사전 공유 키는 일 수 있습니다 CertSqa@jnpr2014.
    참고:

    또는 사전 공유 키를 16진수 형식으로 입력할 수 있습니다. 예를 들어

    여기서 16진수 사전 공유 키는 일 수 있습니다 cc2014bae9876543.

  3. IPsec 제안을 구성합니다.

    참고:

    여기서는 ipsec-proposal1 권한 있는 관리자가 지정한 IPsec 제안 이름입니다.

  4. IPsec 정책을 구성합니다.

    참고:

    여기서, 은(는) ipsec-policy1 IPsec 정책 이름이며 ipsec-proposal1 권한 있는 관리자가 제공한 IPsec 제안 이름입니다.

  5. IKE(Internet Key Exchange)를 구성합니다.

    참고:

    여기서, 은(는) IKE 게이트웨이 이름이고, 은(는) 피어 VPN 엔드포인트 IP이고, 은(는) 로컬 VPN 엔드포인트 IP이고ge-0/0/2 , gw1 192.0.2.5 192.0.2.8 은(는) VPN 엔드포인트로서의 로컬 아웃바운드 인터페이스입니다. IKEv2의 경우에도 다음과 같은 추가 구성이 필요합니다.

  6. VPN을 구성합니다.

    참고:

    여기서는 vpn1 권한 있는 관리자가 지정한 VPN 터널 이름입니다.

  7. 아웃바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  8. 인바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  9. 구성을 커밋합니다.

IKE(Internet Key Exchange) 인증을 위한 RSA 서명으로 IPsec VPN 구성

다음 섹션에서는 RSA 서명을 IKE 인증 방법으로 사용하여 IPsec VPN을 위한 Junos OS 디바이스를 구성하는 예를 제공하는 반면, IKE/IPsec 인증/암호화에 사용되는 알고리즘은 다음 표와 같습니다. 이 섹션에서는 IKE 인증 방법으로 RSA 서명을 사용하여 IPsec VPN을 위해 Junos OS를 실행하는 디바이스를 구성합니다. IKE(Internet Key Exchange) 또는 IPsec 인증이나 암호화에 사용되는 알고리즘은 표 3에 나와 있습니다.

표 3: IKE/IPsec 인증 및 암호화

IKE 프로토콜

터널 모드

1단계 협상 모드

1단계 제안(P1, IKE)

인증 방법

인증 알고리즘

DH 그룹

암호화 알고리즘

IKEv1

주요

경로

RSA 서명-2048

샤-256

그룹19

AES-128-CBC

IKE 프로토콜

터널 모드

1단계 협상 모드

2단계 제안(P2, IPsec)

인증 알고리즘

DH 그룹 (PFS)

암호화 방법

암호화 알고리즘

IKEv1

주요

경로

HMAC-샤-256-128

그룹19

Esp

AES-128-CBC

개시자 또는 응답자에서 RSA 서명을 IKE 인증으로 사용하여 IPsec VPN 구성

개시자에서 RSA 서명 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN을 구성하려면 다음을 수행합니다.

  1. PKI를 구성합니다. 예: PKI 구성을 참조하십시오.

  2. RSA 키 페어를 생성합니다. 예: 퍼블릭-프라이빗 키 페어 생성을 참조하십시오.

  3. CA 인증서를 생성하고 로드합니다. 예: 수동으로 CA 및 로컬 인증서 로드를 참조하십시오.

  4. CRL을 로드합니다. 예: 장치에 CRL을 수동으로 로드를 참조하십시오 .

  5. 로컬 인증서를 생성하고 로드합니다. 예: 수동으로 CA 및 로컬 인증서 로드를 참조하십시오.

  6. IKE(Internet Key Exchange) 제안을 구성합니다.

    참고:

    ike-proposal1 여기서는 권한 있는 관리자가 지정한 이름입니다.

  7. IKE(Internet Key Exchange) 정책을 구성합니다.

    참고:

    여기서는 ike-policy1 권한 있는 관리자가 지정한 IKE 정책 이름입니다.

  8. IPsec 제안을 구성합니다.

    참고:

    ipsec-proposal1 여기서는 권한 있는 관리자가 지정한 이름입니다.

  9. IPsec 정책을 구성합니다.

    참고:

    ipsec-policy1 여기서는 권한 있는 관리자가 지정한 이름입니다.

  10. IKE(Internet Key Exchange)를 구성합니다.

    참고:

    여기서는 피어 VPN 끝점 IP이고, 는 로컬 VPN 끝점 IP이며fe-0/0/1, 192.0.2.5 는 192.0.2.8 VPN 끝점으로서의 로컬 아웃바운드 인터페이스입니다. IKEv2에도 다음 구성이 필요합니다.

  11. VPN을 구성합니다.

    참고:

    여기서는 vpn1 권한 있는 관리자가 지정한 VPN 터널 이름입니다.

  12. 아웃바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan untrustLan 및 는 사전 구성된 네트워크 주소입니다.

  13. 인바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  14. 구성을 커밋합니다.

IKE(Internet Key Exchange) 인증을 위해 ECDSA 서명을 사용하여 IPsec VPN 구성

이 섹션에서는 IKE 인증 방법으로 ECDSA 서명을 사용하여 IPsec VPN을 위해 Junos OS를 실행하는 디바이스를 구성합니다. IKE(Internet Key Exchange) 또는 IPsec 인증이나 암호화에 사용되는 알고리즘은 표 4에 나와 있습니다.

표 4: IKE(Internet Key Exchange) 또는 IPsec 인증 및 암호화

IKE 프로토콜

터널 모드

1단계 협상 모드

1단계 제안(P1, IKE)

인증 방법

인증 알고리즘

DH 그룹

암호화 알고리즘

IKEv1

주요

경로

ECDSA 서명-256

샤-384

그룹14

AES-256-CBC

IKE 프로토콜

터널 모드

1단계 협상 모드

2단계 제안(P2, IPsec)

인증 알고리즘

DH 그룹 (PFS)

암호화 방법

암호화 알고리즘

IKEv1

주요

경로

알고리즘 없음

그룹14

Esp

AES-256-GCM

개시자에서 ECDSA 서명 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN 구성

개시자에서 ECDSA 서명 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN을 구성하려면 다음을 수행합니다.

  1. PKI를 구성합니다. 예: PKI 구성을 참조하십시오.

  2. RSA 키 페어를 생성합니다. 예: 퍼블릭-프라이빗 키 페어 생성을 참조하십시오.

  3. CA 인증서를 생성하고 로드합니다. 예: 수동으로 CA 및 로컬 인증서 로드를 참조하십시오.

  4. CRL을 로드합니다. 예: 장치에 CRL을 수동으로 로드를 참조하십시오 .

  5. 로컬 인증서를 생성하고 로드합니다. 예: 수동으로 CA 및 로컬 인증서 로드를 참조하십시오.

  6. IKE(Internet Key Exchange) 제안을 구성합니다.

    참고:

    여기서는 ike-proposal1 권한 있는 관리자가 지정한 IKE 제안 이름입니다.

  7. IKE(Internet Key Exchange) 정책을 구성합니다.

  8. IPsec 제안을 구성합니다.

    참고:

    여기서는 ipsec-proposal1 권한 있는 관리자가 지정한 IPsec 제안 이름입니다.

  9. IPsec 정책을 구성합니다.

    참고:

    여기서, 은(는) ipsec-policy1 IPsec 정책 이름이며 ipsec-proposal1 권한 있는 관리자가 제공한 IPsec 제안 이름입니다.

  10. IKE(Internet Key Exchange)를 구성합니다.

    참고:

    여기서, 은(는) IKE 게이트웨이 이름이고, 은(는) 피어 VPN 엔드포인트 IP이고, 은(는) 로컬 VPN 엔드포인트 IP이고ge-0/0/2 , gw1 192.0.2.8 192.0.2.5 은(는) VPN 엔드포인트로서의 로컬 아웃바운드 인터페이스입니다. IKEv2에도 다음 구성이 필요합니다.

  11. VPN을 구성합니다.

    참고:

    여기서는 vpn1 권한 있는 관리자가 지정한 VPN 터널 이름입니다.

  12. 아웃바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  13. 인바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  14. 구성을 커밋합니다.

응답자에서 ECDSA 서명 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN 구성

응답자에서 ECDSA 서명 IKE(Internet Key Exchange) 인증을 사용하여 IPsec VPN을 구성하려면 다음을 수행합니다.

  1. PKI를 구성합니다. 예: PKI 구성을 참조하십시오.

  2. ECDSA 키 페어를 생성합니다. 예: 퍼블릭-프라이빗 키 페어 생성을 참조하십시오.

  3. CA 인증서를 생성하고 로드합니다. 예: 수동으로 CA 및 로컬 인증서 로드를 참조하십시오.

  4. CRL을 로드합니다. 예: 장치에 CRL을 수동으로 로드를 참조하십시오 .

  5. IKE(Internet Key Exchange) 제안을 구성합니다.

    참고:

    여기서는 ike-proposal1 권한 있는 관리자가 지정한 IKE 제안 이름입니다.

  6. IKE(Internet Key Exchange) 정책을 구성합니다.

  7. IPsec 제안을 구성합니다.

    참고:

    여기서는 ipsec-proposal1 권한 있는 관리자가 지정한 IPsec 제안 이름입니다.

  8. IPsec 정책을 구성합니다.

    참고:

    여기서, 은(는) ipsec-policy1 IPsec 정책 이름이며 ipsec-proposal1 권한 있는 관리자가 제공한 IPsec 제안 이름입니다.

  9. IKE(Internet Key Exchange)를 구성합니다.

    참고:

    여기서, 은(는) IKE 게이트웨이 이름이고, 은(는) 피어 VPN 엔드포인트 IP이고, 은(는) 로컬 VPN 엔드포인트 IP이고ge-0/0/1, gw1 192.0.2.5 192.0.2.8 은(는) VPN 엔드포인트로서의 로컬 아웃바운드 인터페이스입니다. IKEv2에도 다음 구성이 필요합니다.

  10. VPN을 구성합니다.

    참고:

    여기서는 vpn1 권한 있는 관리자가 지정한 VPN 터널 이름입니다.

  11. 아웃바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  12. 인바운드 플로우 정책을 구성합니다.

    참고:

    여기서, trustZone 및 untrustZone 는 사전 구성된 보안 영역이고 trustLan 및 untrustLan 는 사전 구성된 네트워크 주소입니다.

  13. 구성을 커밋합니다.

또한보십시오