IPsec 是一种站点到站点 VPN，可将 UniFi 网关连接到远程位置。您需要使用 UniFi Gateway 或 UniFi Cloud Gateway。

工作原理

IPsec 站点到站点 VPN 使用预共享密钥进行身份验证。系统会自动生成唯一密钥，但也可以使用自定义密钥。

此外，还需要以下信息：

  • 本地 IP： 使用分配给 WAN 端口的 IP 地址，或手动输入地址。
  • 远程网络：远程位置使用的网络。
  • 远程 IP / 主机名：远程位置的公网 IP 地址或主机名。

互操作性

要成功设置连接到第三方网关的 VPN，以下信息 必须匹配：

  • 基于路由或基于策略的 VPN
  • 远程和本地子网（使用基于策略的 VPN 时）
  • 密钥交换版本
  • 加密、哈希和生命周期
  • Diffie-Hellman（DH）组和完全前向保密（PFS）
  • 预共享密钥
  • 远程和本地 IP 地址
  • 远程或本地身份验证 ID（位于 NAT 后时）

基于路由或基于策略的 VPN

  • UniFi 网关默认使用 基于路由的 VPN，也可以切换为 基于策略的 VPN。
  • 基于路由的 VPN 使用虚拟隧道接口（VTI）和自动创建的静态路由，或通过 OSPF 交换路由。
    • 使用 OSPF 时，需要配置隧道 IP 地址来建立邻居连接。
  • 基于策略的 VPN 会交换 远程和本地子网。两个网关上的子网必须完全匹配。
  • 不能 在一个网关上使用基于路由的 VPN，而在另一个网关上使用基于策略的 VPN。VPN 类型 必须匹配。

注意： 如果第三方网关没有提供选择基于路由或基于策略 VPN 的选项，则它可能 仅支持基于策略的 VPN。

远程和本地子网

  • 使用基于策略的 VPN 时，UniFi 网关会通过站点到站点 VPN 自动 共享所有本地网络。
    • 也可以 只使用 特定的本地网络。
  • 使用基于策略的 VPN 时，请确保第三方网关 包含 UniFi 网关使用的所有本地网络。
  • 基于路由的 VPN 使用静态路由或 OSPF，并通过防火墙规则控制访问。
    • 使用 OSPF 时，将远程网络设置为 无。

注意： 对于基于策略的 VPN，远程和本地子网必须匹配。如果不匹配，VPN 可能只能部分建立或断开连接。

密钥交换版本

  • UniFi 网关同时支持 IKEv1 和 IKEv2。
  • UniFi 网关上的 IKEv2 使用了一些第三方网关不支持的优化功能。
  • 使用基于策略的 VPN 时，如果 VPN 使用 IKEv2 无法建立或断开连接，请尝试分离 IKEv2 网络，或切换到 IKEv1。

加密、哈希和生命周期

  • 阶段 1（IKE）和阶段 2（ESP）可以使用不同的加密和哈希值。默认情况下，两个阶段均使用 AES-128 和 SHA1，但可以更改。
  • IKE 生命周期默认设置为 28800 秒，ESP 生命周期默认设置为 3600 秒，但都可以更改。

Diffie-Hellman（DH）组和完全前向保密（PFS）

  • DH 组通常使用编号表示，例如 DH 组 14。
  • 第三方网关可能改用 MODP 表示法，例如 2048 位，对应第 14 组。
  • UniFi 网关支持 PFS，并可为阶段 1（IKE）和阶段 2（ESP）使用不同的 DH 组。
  • 第三方网关可能不支持 PFS，或者其实现方式不兼容。
  • 如果 VPN 使用 PFS 时 无法建立或断开连接，建议禁用此功能。

VPN 模式

  • UniFi 网关仅支持 主模式。
  • 如果第三方网关使用 积极模式，则无法建立站点到站点 VPN。

常见问题

  1. 1. 如何确定我使用的是基于策略还是基于路由的 VPN？

    基于路由的 VPN 通过使用虚拟隧道接口（VTI）进行区分。使用基于路由的 VPN 时，安全关联（SA）将设置为 0.0.0.0/0，并使用 VTI 作为下一跳来访问远程子网的路由。

    基于策略的 VPN 通过交换网络进行区分。使用基于策略的 VPN 时，安全关联（SA）将设置为远程和本地子网（即 192.168.1.0/24 和 172.16.1.0/24），并且两个网关上的子网必须完全匹配。

    如果第三方网关没有提供选择基于路由或基于策略 VPN 的选项，则它可能仅支持基于策略的 VPN。有关更多信息，请参阅第三方网关的文档。

    有关基于策略和基于路由 VPN 的更多信息，请参阅互操作性部分。

  2. 2. 如果 VPN 无法建立，我该怎么办？

    检查其中一个网关是否分配了私有 IP 地址并位于另一个路由器之后。

    如果两个网关都使用公网 IP 地址，请确认配置是否匹配。

    有关更多信息，请参阅互操作性部分。

  3. 3. 如果无法通过 VPN 通信，我该怎么办？

    要测试 VPN 连接，请尝试在两个客户端之间执行 ping，**而不是从 UniFi 网关本身发起或接收 ping**。

    如果 ping 不通，请确认是否配置了可能阻止连接的防火墙或流量规则。

    使用 Windows 客户端测试时，还要确保允许 ping 流量通过 Windows 防火墙。

  4. 4. UniFi Gateway 位于 NAT 后时，是否可以使用 IPsec 站点到站点 VPN？

    建议在可访问公网 IP 地址的 UniFi Gateway 上使用 IPsec 站点到站点 VPN。上游路由器的性能或端口转发问题 可能导致 VPN 断开。 

    如果无法满足这一条件，请配置身份验证 ID。例如，以下 UniFi Gateway 之间建立了 IPsec 站点到站点 VPN：

    • UniFi Gateway 站点 A - WAN IP 192.168.5.1（位于 NAT 后）
    • ISP 调制解调器/路由器站点 A - WAN IP 203.0.113.1（公网 IP）
    • UniFi Gateway 站点 B - WAN IP 198.51.100.1（公网 IP）

    VPN 建立在公网 IP 地址 203.0.113.1 > 198.51.100.1 之间。

    站点 B 从站点 A 收到 IPsec VPN 对等端请求时，该请求会包含 IP 地址 192.168.5.1 和 203.0.113.1。但是，站点 B 仅配置为与 203.0.113.1 建立对等连接，从而导致不匹配。要解决此问题，请在站点 A 上将 203.0.113.1 配置为本地身份验证 ID。 

    反之亦然。可以在站点 B 上将 IP 地址 192.168.5.1 配置为远程身份验证 ID。

    除了 IP 地址外，身份验证 ID 还支持主机名、电子邮件地址和可分辨名称。

  5. 5. 是否需要为 VPN 手动创建防火墙规则或静态路由？

    不需要，这些内容会自动创建。