Comment configurer un VPN IPsec entre un routeur PfSense virtuel et un point de terminaison VPN géré par AWS avec routage statique ?

Résolution

Prérequis

Avant de commencer, assurez-vous de ce qui suit :

• Vous avez configuré un CIDR de cloud privé virtuel (VPC) associé à une passerelle privée virtuelle ou vous vous êtes connecté à une passerelle de transit.
• L'adresse CIDR du VPC ne chevauche pas l'adresse CIDR sur site.

Créez un VPN de site à site AWS avec le routeur pfSense, en utilisant le routage statique :

1. Suivez les étapes 1 à 5 de la section Premiers pas avec le AWS Site-to-Site VPN pour configurer le côté AWS de la connexion VPN.
   **Remarque :**Sélectionnez l'option de routage comme statique à l'étape 5.
2. Ouvrez la console Amazon VPC. Accédez à Connexions de site à VPN.
3. Sélectionnez votre connexion VPN, puis téléchargez l'exemple de fichier de configuration pour le routeur.
   **Remarque :**Utilisez ce fichier d'exemple pour configurer l’AWS Site-to-Site VPN sur le routeur.
4. Connectez-vous au routeur PfSense depuis votre navigateur :
   Dans l'URL de votre navigateur, saisissez l'adresse IP de gestion du routeur PfSense.
   Lorsque la page de connexion s'affiche, entrez le nom d'utilisateur et le mot de passe.

Configurer les paramètres de la proposition de phase 1

Configurez les paramètres de la proposition de phase 1 ou de la proposition IKE (Internet Key Exchange).
**Remarque :**Une proposition de phase 1 définit les paramètres IKE pour le chiffrement, l'authentification, le groupe Diffie-Hellman et la durée de vie.

1. Accédez à VPN et choisissez **IPsec.**Choisissez ensuite Tunnels. Sélectionnez Ajouter P1. Entrez ensuite les informations suivantes :
   Pour les Informations générales :
   Descriptif : <Par exemple, AWS Tunnel 1 ou tout autre nom approprié>
2. Pour la configuration des points de terminaison IKE :
   **Version d'échange de clés :**IKEv1 ou IKEv2
   **Protocole Internet :**IPv4
   Interface : <outside interface of PfSense router>
   Passerelle distante : <Public IP of AWS Tunnel>
3. Pour la proposition de phase 1 (authentification) :
   Méthode d'authentification : <PSK>
   **Mode de négociation :**Principal
   Mon identifiant : <My IP address>
   Clé pré-partagée : <Entrez la clé pré-partagée à partir de l'exemple de fichier de configuration que vous avez téléchargé à l'étape 3.>
4. Pour la proposition de phase 1 (algorithme de chiffrement) :
   Sélectionnez l'algorithme de cryptage, la longueur de la clé, l'algorithme de hachage, le groupe Diffie-Hellman
   Remarque : Assurez-vous que les options ci-dessus sont sélectionnées. Pour plus d'informations, consultez les options du tunnel AWS pour les connexions Site-to-Site VPN.
5. Pour Expiration et remplacement :
   Durée de vie : 28 800 secondes (8 heures)
6. Pour les Options avancées :
   Activez DDP
   Retard : 10 secondes
   Nombre maximum de défaillances : 3
   Choisissez Enregistrer.

Configurer les paramètres de la proposition de phase 2

Configurez la proposition de phase 2 ou la proposition IPsec pour le tunnel.
**Remarque :**Une proposition de phase 2 définit les paramètres IPsec pour le chiffrement, l'authentification, le groupe Diffie-Hellman et la durée de vie.

1. Accédez à VPN et choisissez IPsec. Choisissez ensuite Tunnels.
   Sélectionnez Ajouter P2. Entrez ensuite les informations suivantes :
   Pour les Informations générales :
   Descriptif :<Par exemple, AWS Tunnel 1 \ _Phase2 ou tout autre nom approprié >
2. Pour les Réseaux :
   Réseau local : <Enter the private CIDR on on-premises network>**
   Réseau distant :** <AWS VPC CIDR>
3. Pour la proposition de phase 2 (SA/échange de clés) :
   Sélectionnez l'algorithme de cryptage, la longueur de la clé, l'algorithme de hachage, le groupe Diffie-Hellman
   **Remarque :**Assurez-vous que les options ci-dessus sont sélectionnées. Pour plus d'informations, consultez les options du tunnel AWS pour les connexions VPN de site à site.
4. Pour l’Expiration et le Remplacement :
   Durée de vie : 3 600 secondes (1 heure)
   KeepAlive (facultatif) :<l'adresse IP privée spécifique à travers le tunnel (pour maintenir la phase 2 active)

Activez l'interface du tunnel

Après avoir configuré les paramètres de phase 1 (IKE) et de phase 2 (IPsec), activez l'interface du tunnel comme indiqué ci-dessous :

1. Accédez à VPN et choisissez IPsec. Choisissez ensuite Tunnels.
   Cliquez sur le bouton Désactiver sur le tunnel nouvellement configuré que vous avez créé précédemment.

Démarrez le processus de lancement du tunnel

Déclenchez le processus d'initiation du tunnel comme indiqué ci-dessous :

1. Accédez à la liste déroulante Statut et choisissez IPsec. Choisissez ensuite Vue d'ensemble.
   Localisez AWS Tunnel 1. Il affiche le statut Déconnecté.
   Pour Statut déconnecté, sélectionnez l'option Connecter P1 et P2 pour lancer les négociations sur le tunnel.
   **Remarque :**Lorsque les négociations sur le tunnel aboutissent, le statut du tunnel AWS passe à Établi.