Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

Configuración de VPN en un dispositivo que ejecuta Junos OS

En esta sección se describen las configuraciones de ejemplo de una VPN IPsec en un dispositivo Junos OS mediante los siguientes métodos de autenticación IKE:

Configuración de VPN en un dispositivo que ejecuta Junos OS Descripción general

En esta sección se describen las configuraciones de ejemplo de una VPN IPsec en un dispositivo Junos OS mediante los siguientes métodos de autenticación IKE:

La Figura 1 muestra la topología VPN utilizada en todos los ejemplos descritos en esta sección. Aquí, H0 y H1 son las PC host, R0 y R2 son los dos puntos de conexión del túnel VPN IPsec, y R1 es un enrutador para enrutar el tráfico entre las dos redes diferentes.

Nota:

El enrutador R1 puede ser un enrutador basado en Linux, un dispositivo Juniper Networks o cualquier otro enrutador de proveedor.
Figura 1: Topología VPN Topology VPN

La tabla 1 proporciona una lista completa de los protocolos IKE compatibles, modos de túnel, modo de negociación de fase 1, método o algoritmo de autenticación, algoritmo de cifrado, grupos DH compatibles con la autenticación Y cifrado IKE (Fase1, propuesta de IKE), y para la autenticación y cifrado IPsec (Fase2, Propuesta de IPsec). El TOE solo funciona en modo de túnel de forma predeterminada. No se necesita ninguna configuración independiente para IPSec.

Tabla 1: Matriz de combinación vpn

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 1 (P1, IKE)

Método de autenticación

Algoritmo de autenticación

Grupo DH

Algoritmo de cifrado

IKEv1

Principal

Ruta

claves previamente compartidas

sha-256

grupo14

3des-cbc

IKEv2

    

rsa-signatures-2048

sha-384

grupo19

aes-128-cbc
     

ecdsa-signatures-256

  

grupo 20

aes-128-gcm
     

ecdsa-signatures-384

  

grupo 24

aes-192-cbc
           

aes-256-cbc
           

aes-256-gcm
             

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 2 (P2, IPsec)

Algoritmo de autenticación

Grupo DH (PFS)

Método de cifrado

Algoritmo de cifrado

IKEv1

Principal

Ruta

hmac-sha256-128

grupo14

Esp

aes-128-cbc

IKEv2

    

grupo19

  

aes-128-gcm
       

grupo 20

  

aes-192-cbc
       

grupo 24

  

aes-192-gcm
           

aes-256-cbc
           

aes-256-gcm
             
Nota:

En las siguientes secciones se proporcionan configuraciones de ejemplo de ejemplos de VPN IPsec IKEv1 para algoritmos seleccionados. Los algoritmos de autenticación y cifrado se pueden reemplazar en las configuraciones para lograr las configuraciones deseadas por el usuario. Use set security ike gateway <gw-name> version v2-only el comando para VPN IPsec IKEv2.

Configuración de una VPN IPsec con una clave previamente compartida para la autenticación IKE

En esta sección, configurará dispositivos que ejecutan Junos OS para VPN IPsec mediante una clave previamente compartida como método de autenticación IKE. Los algoritmos utilizados en la autenticación o cifrado IKE o IPsec se muestran en la tabla 2

Tabla 2: Autenticación y cifrado IKE o IPsec

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 1 (P1, IKE)

Método de autenticación

Algoritmo de autenticación

Grupo DH

Algoritmo de cifrado

IKEv1

Principal

Ruta

claves previamente compartidas

sha-256

grupo14

aes-256-cbc

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 2 (P2, IPsec)

Algoritmo de autenticación

Grupo DH (PFS)

Método de cifrado

Algoritmo de cifrado

IKEv1

Principal

Ruta

hmac-sha-256-128

grupo14

Esp

aes-256-cbc
Nota:

Un dispositivo que ejecuta Junos OS utiliza autenticación basada en certificados o claves previamente compartidas para IPsec. TOE acepta claves ASCII previamente compartidas o basadas en bits de hasta 255 caracteres (y sus equivalentes binarios) que contienen letras mayúsculas y minúsculas, números y caracteres especiales como !, @, #, $, %, ^, &, *, (y ). El dispositivo acepta las claves de texto previamente compartidas y convierte la cadena de texto en un valor de autenticación según RFC 2409 para IKEv1 o RFC 4306 para IKEv2, utilizando la PRF que se configura como el algoritmo hash para los intercambios IKE. Junos OS no impone requisitos de complejidad mínimos para claves previamente compartidas. Por lo tanto, se recomienda a los usuarios elegir cuidadosamente claves previamente compartidas de la complejidad suficiente.

Configuración de VPN IPsec con clave previamente compartida como autenticación IKE en el iniciador

Para configurar la VPN IPsec con autenticación IKE de clave previamente compartida en el iniciador:

  1. Configure la propuesta de ICR.

    Aquí está ike-proposal1 el nombre de la propuesta de ICR que le dio el administrador autorizado.

  2. Configure la política de IKE.

    Aquí, ike-policy1 se encuentra el nombre de la política de IKE y ike-proposal1 es el nombre de propuesta de ICR que le dio el administrador autorizado. Debe introducir y volver a ingresar la clave previamente compartida cuando se le solicite. Por ejemplo, la clave previamente compartida puede ser CertSqa@jnpr2014.

    La clave previamente compartida se puede introducir alternativamente en formato hexadecimal. Por ejemplo:

    Aquí, la clave hexadecimal previamente compartida puede ser cc2014bae9876543.

  3. Configure la propuesta de IPsec.

    Aquí, ipsec-proposal1 se encuentra el nombre de propuesta IPsec dado por el administrador autorizado.

  4. Configure la política IPsec.

    Aquí, ipsec-policy1 es el nombre de la política IPsec y ipsec-proposal1 es el nombre de propuesta de IPsec que le dio el administrador autorizado.

  5. Configure la IKE.

    Aquí, gw1 es un nombre de puerta de enlace de IKE, 192.0.2.8 es la IP del punto de conexión VPN par, 192.0.2.5 es la IP del punto de conexión VPN local y ge-0/0/2 es una interfaz de salida local como punto de conexión VPN. La siguiente configuración adicional también es necesaria en el caso de IKEv2

  6. Configure la VPN.

    Aquí está vpn1 el nombre del túnel VPN que le dio el administrador autorizado.

  7. Configure las políticas de flujo de salida.

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  8. Configure las políticas de flujo entrante.

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  9. Confirme su configuración.

Configuración de VPN IPsec con clave previamente compartida como autenticación IKE en el respondedor

Para configurar la VPN IPsec con autenticación IKE de clave previamente compartida en el respondedor:

  1. Configure la propuesta de ICR.

    Nota:

    Aquí está ike-proposal1 el nombre de la propuesta de ICR que le dio el administrador autorizado.

  2. Configure la política de IKE.

    Nota:

    Aquí, ike-policy1 se encuentra el nombre de la política de IKE y ike-proposal1 es el nombre de propuesta de ICR que le dio el administrador autorizado.
    Nota:

    Debe introducir y volver a ingresar la clave previamente compartida cuando se le solicite. Por ejemplo, la clave previamente compartida puede ser CertSqa@jnpr2014.
    Nota:

    La clave previa al recurso compartido se puede introducir alternativamente en formato hexadecimal. Por ejemplo,

    Aquí, la clave hexadecimal previamente compartida puede ser cc2014bae9876543.

  3. Configure la propuesta de IPsec.

    Nota:

    Aquí, ipsec-proposal1 se encuentra el nombre de propuesta IPsec dado por el administrador autorizado.

  4. Configure la política IPsec.

    Nota:

    Aquí, ipsec-policy1 es el nombre de la política IPsec y ipsec-proposal1 es el nombre de propuesta de IPsec que le dio el administrador autorizado.

  5. Configure la IKE.

    Nota:

    Aquí, gw1 es un nombre de puerta de enlace IKE, 192.0.2.5 es la IP del punto de conexión VPN par, 192.0.2.8 es la IP del punto de conexión VPN local. las interfaces ge son las interfaces lógicas utilizadas para las funciones VPN y ge-0/0/2 es una interfaz de salida local como punto de conexión VPN. La siguiente configuración adicional también es necesaria en el caso de IKEv2.

  6. Configure la VPN.

    Nota:

    Aquí está vpn1 el nombre del túnel VPN que le dio el administrador autorizado.

  7. Configure las políticas de flujo de salida.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  8. Configure las políticas de flujo entrante.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  9. Confirme su configuración.

Configuración de una VPN IPsec con una firma RSA para la autenticación IKE

En esta sección, configurará dispositivos que ejecutan Junos OS para VPN IPsec mediante una firma RSA con el método de autenticación IKE. Para validar certificados, el TOE extrae el asunto, el emisor, la clave pública del asunto, la firma, las restricciones básicas y los campos del período de validez. Si no hay campos presentes, se producirá un error en la validación. El emisor se busca en la base de datos de PKI. Si el emisor no está presente o si el certificado del emisor no tiene la marca CA:true en la sección basicConstraints , se producirá un error en la validación. El TOE verifica la validez de la firma. Si la firma no es válida, se producirá un error en la validación. A continuación, confirma que la fecha y la hora actuales están dentro del período de tiempo válido especificado en el certificado si el TOE se configuró para realizar una comprobación de revocación mediante CRL (como se especifica en rfc 5280 Sección 6.3). Si la CRL no se puede descargar, se considera que el certificado ha fallado en la validación, a menos que se haya habilitado la opción de omitir la comprobación de CRL en el error de descarga. Los algoritmos utilizados en la autenticación o cifrado IKE o IPsec se muestran en la tabla 3.

Tabla 3: Autenticación y cifrado IKE/IPsec

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 1 (P1, IKE)

Método de autenticación

Algoritmo de autenticación

Grupo DH

Algoritmo de cifrado

IKEv1

Principal

Ruta

rsa-signatures-2048

sha-256

grupo19

aes-128-cbc

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 2 (P2, IPsec)

Algoritmo de autenticación

Grupo DH (PFS)

Método de cifrado

Algoritmo de cifrado

IKEv1

Principal

Ruta

hmac-sha-256-128

grupo19

Esp

aes-128-cbc

Configuración de VPN IPsec con firma RSA como autenticación IKE en el iniciador o el respondedor

Para configurar la autenticación IKE de VPN IPsec con firma RSA en el iniciador:

  1. Configure la PKI. Consulte Ejemplo: Configurar PKI.

  2. Genere el par de claves RSA. Consulte Ejemplo: Generación de un par de claves públicas y privadas.

  3. Genere y cargue el certificado de CA. Consulte Ejemplo: Cargar ca y certificados locales manualmente.

  4. Cargue la CRL. Consulte Ejemplo: Cargar manualmente una CRL en el dispositivo .

  5. Genere y cargue un certificado local. Consulte Ejemplo: Cargar ca y certificados locales manualmente.

  6. Configure la propuesta de ICR.

    Nota:

    Aquí está ike-proposal1 el nombre que le dio el administrador autorizado.

  7. Configure la política de IKE.

    Nota:

    Aquí, ike-policy1 el nombre de la política de ICR que le dio el administrador autorizado.

  8. Configure la propuesta de IPsec.

    Nota:

    Aquí está ipsec-proposal1 el nombre que le dio el administrador autorizado.

  9. Configure la política IPsec.

    Nota:

    Aquí está ipsec-policy1 el nombre que le dio el administrador autorizado.

  10. Configure la IKE.

    Nota:

    Aquí, 192.0.2.8 es la IP del punto de conexión VPN par, 192.0.2.5 es la IP del punto de conexión VPN local y fe-0/0/1 es la interfaz de salida local como punto de conexión VPN. La siguiente configuración también es necesaria para IKEv2.

  11. Configure VPN.

    Nota:

    Aquí está vpn1 el nombre del túnel VPN que le dio el administrador autorizado.

  12. Configure las políticas de flujo de salida.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  13. Configure las políticas de flujo entrante.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  14. Confirme la configuración.

Configuración de una VPN IPsec con una firma ECDSA para la autenticación IKE

En esta sección, configurará dispositivos que ejecutan Junos OS para VPN IPsec mediante una firma ECDSA con el método de autenticación IKE. Para validar certificados, el TOE extrae el asunto, el emisor, la clave pública del asunto, la firma, las restricciones básicas y los campos del período de validez. Si no hay campos presentes, se producirá un error en la validación. El emisor se busca en la base de datos de PKI. Si el emisor no está presente o si el certificado del emisor no tiene la marca CA:true en la sección basicConstraints , se producirá un error en la validación. El TOE verifica la validez de la firma. Si la firma no es válida, se producirá un error en la validación. A continuación, confirma que la fecha y la hora actuales están dentro del período de tiempo válido especificado en el certificado si el TOE está configurado para realizar una comprobación de revocación mediante CRL (como se especifica en rfc 5280 Sección 6.3). Si la CRL no se puede descargar, se considera que el certificado ha fallado en la validación, a menos que se haya habilitado la opción de omitir la comprobación de CRL en el error de descarga. Los algoritmos utilizados en la autenticación o cifrado IKE o IPsec se muestran en la tabla 4.

Tabla 4: Autenticación y cifrado IKE o IPsec

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 1 (P1, IKE)

Método de autenticación

Algoritmo de autenticación

Grupo DH

Algoritmo de cifrado

IKEv1

Principal

Ruta

ecdsa-signatures-256

sha-384

grupo14

aes-256-cbc

Protocolo ICR

Modo de túnel

Modo de negociación fase1

Propuesta de fase 2 (P2, IPsec)

Algoritmo de autenticación

Grupo DH (PFS)

Método de cifrado

Algoritmo de cifrado

IKEv1

Principal

Ruta

Sin algoritmo

grupo14

Esp

aes-256-gcm

Configuración de VPN IPsec con autenticación IKE de firma ECDSA en el iniciador

Para configurar la autenticación IKE de VPN IPsec con firma ECDSA en el iniciador:

  1. Configure la PKI. Consulte Ejemplo: Configurar PKI.

  2. Genere el par de claves RSA. Consulte Ejemplo: Generación de un par de claves públicas y privadas.

  3. Genere y cargue el certificado de CA. Consulte Ejemplo: Cargar ca y certificados locales manualmente.

  4. Cargue la CRL. Consulte Ejemplo: Cargar manualmente una CRL en el dispositivo .

  5. Genere y cargue un certificado local. Consulte Ejemplo: Cargar ca y certificados locales manualmente.

  6. Configure la propuesta de ICR.

    Nota:

    Aquí está ike-proposal1 el nombre de la propuesta de ICR que le dio el administrador autorizado.

  7. Configure la política de IKE.

  8. Configure la propuesta de IPsec.

    Nota:

    Aquí, ipsec-proposal1 se encuentra el nombre de propuesta IPsec dado por el administrador autorizado.

  9. Configure la política IPsec.

    Nota:

    Aquí, ipsec-policy1 es el nombre de la política IPsec y ipsec-proposal1 es el nombre de propuesta de IPsec que le dio el administrador autorizado.

  10. Configure IKE.

    Nota:

    Aquí, gw1 es un nombre de puerta de enlace de IKE, 192.0.2.8 es la IP del punto de conexión VPN par, 192.0.2.5 es la IP del punto de conexión VPN local y ge-0/0/2 es una interfaz de salida local como punto de conexión VPN. La siguiente configuración también es necesaria para IKEv2.

  11. Configure la VPN.

    Nota:

    Aquí está vpn1 el nombre del túnel VPN que le dio el administrador autorizado.

  12. Configure las políticas de flujo de salida.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  13. Configure las políticas de flujo entrante.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  14. Confirme su configuración.

Configuración de VPN IPsec con autenticación IKE de firma ECDSA en el respondedor

Para configurar una VPN IPsec con autenticación IKE de firma ECDSA en el respondedor:

  1. Configure la PKI. Consulte Ejemplo: Configurar PKI.

  2. Genere el par de claves ECDSA. Consulte Ejemplo: Generación de un par de claves públicas y privadas.

  3. Genere y cargue el certificado de CA. Consulte Ejemplo: Cargar ca y certificados locales manualmente.

  4. Cargue la CRL. Consulte Ejemplo: Cargar manualmente una CRL en el dispositivo .

  5. Configure la propuesta de ICR.

    Nota:

    Aquí está ike-proposal1 el nombre de la propuesta de ICR que le dio el administrador autorizado.

  6. Configure la política de IKE.

  7. Configure la propuesta de IPsec.

    Nota:

    Aquí, ipsec-proposal1 se encuentra el nombre de propuesta IPsec dado por el administrador autorizado.

  8. Configure la política IPsec.

    Nota:

    Aquí, ipsec-policy1 es el nombre de la política IPsec y ipsec-proposal1 es el nombre de propuesta de IPsec que le dio el administrador autorizado.

  9. Configure la IKE.

    Nota:

    Aquí, gw1 es un nombre de puerta de enlace de IKE, 192.0.2.5 es la IP del punto de conexión VPN par, 192.0.2.8 es la IP del punto de conexión VPN local y ge-0/0/1 es una interfaz de salida local como punto de conexión VPN. La siguiente configuración también es necesaria para IKEv2.

  10. Configure la VPN.

    Nota:

    Aquí está vpn1 el nombre del túnel VPN que le dio el administrador autorizado.

  11. Configure las políticas de flujo de salida.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  12. Configure las políticas de flujo entrante.

    Nota:

    Aquí, trustZone y untrustZone son zonas de seguridad preconfiguradas y untrustLan trustLan son direcciones de red preconfiguradas.

  13. Confirme su configuración.

Configuración de IKE remotos

De forma predeterminada, el ID de IKE recibido del par se valida con la dirección IP configurada para la puerta de enlace IKE. En determinadas configuraciones de red, el ID de IKE recibido del par (el ID de IKE puede ser una dirección IPv4 o IPv6, id de correo electrónico, nombre de dominio completo (FQDN) o un nombre distinguido) no coincide con la puerta de enlace IKE configurada en el dispositivo. Esto puede dar lugar a un error de validación de fase 1.

Para configurar el ID de IKE, realice los siguientes pasos:
  1. Configure la instrucción de identidad remota en el nivel de jerarquía de nombre de puerta de enlace de puerta de enlace de ike de seguridad establecido para que coincida con el ID de IKE que se recibe del par. Los valores de ID de IKE pueden ser una dirección IPv4 o una dirección IPv6, id de correo electrónico, FQDN o un nombre distinguido.
  2. En el dispositivo par, asegúrese de que el ID de IKE sea el mismo que la identidad remota configurada en el dispositivo. Si el dispositivo par es un dispositivo Junos OS, configure la instrucción de identidad local en el nivel de jerarquía de nombre de puerta de enlace de puerta de enlace de ike establecido. Los valores de ID de IKE pueden ser una dirección IPv4 o una dirección IPv6, id de correo electrónico, FQDN o un nombre distinguido.

Consulte también