Hoe kan ik een site-to-site VPN instellen tussen een QuWAN- en een Cisco® Meraki®-apparaat?

Laatst gewijzigd op: 2025-02-18

Toepasselijke producten

QuWAN Orchestrator
QuRouter 2.4.0 en recentere versies
Cisco® Meraki®-apparaat

Details

Deze handleiding beschrijft de stappen om een site-to-site VPN-verbinding tot stand te brengen tussen een QuWAN-apparaat en een Meraki® MX64-beveiligingsapparaat. Het Cisco®-ecosysteem biedt verschillende apparaten met site-to-site VPN-functionaliteit, maar deze zelfstudie gaat specifiek over de Meraki® MX64 en is bedoeld ter demonstratie.

Belangrijk

QuWAN site-to-site VPN ondersteunt alleen IKEv2.
Beide apparaten (QuWAN- en Cisco®-apparaten) moeten dezelfde configuratie-instellingen gebruiken om de VPN correct te laten functioneren.
Uw QNAP-apparaat moet aan QuWAN Orchestrator worden toegevoegd voordat u de site-to-site VPN kunt configureren. Raadpleeg de helpinformatie voor QuWAN en QuWAN Orchestrator voor het toevoegen van uw apparaat: Configuratie | Hulp bij QuWAN en QuWAN Orchestrator (qnap.com)

Waarschuwing

De implementatie van een site-to-site VPN zorgt voor extra complexiteit in uw netwerk. Zorg ervoor dat u de beveiligingsimplicaties begrijpt voordat u deze optie inschakelt.

Procedure

Configuratie van site-to-site VPN op het Cisco® Meraki®-apparaat

Meld u aan bij de configuratie-interface van de Meraki® MX64.
Ga naar de pagina Beveiliging en SD-WAN > Configureren > Site-to-site VPN.
Klik onder VPN-peers niet van Meraki op Een peer toevoegen en voer de volgende informatie in:
- Voer een beschrijvende naam in (bijv. ‘QuWAN Site-to-Site VPN’)
- Selecteer IKEv2 als de IKE-versie.

Klik op Standaard onder IPsec-beleid en configureer het volgende:

Instelling	Gebruikersactie	Voorbeeldwaarde
Fase 1
Versleuteling	Selecteer een versleutelingsmethode.	AES-128
Verificatie	Selecteer de hash-functie.	SHA-256
Pseudo-random Function (PRF)	Selecteer de hash-PRF.	SHA-256
Diffie-Hellman-groep	Geef de DH-groep op.	14
Levensduur	Geef de levensduur van de verbinding op (in seconden).	28800
Fase 2
Versleuteling	Selecteer de versleutelingsmethode.	AES-128
Verificatie	Selecteer de hash-functie.	SHA-256
PFS-groep	Geef de PFS-groep op.	14
Levensduur (in seconden)	Geef de levensduur van de gegevensoverdracht op (in seconden).	3600

Voer de volgende informatie in voor de externe gateway:
- Openbaar IP-adres of hostnaam van het externe QuWAN-apparaat.
- Geef de interne subnetten van de externe locatie op.
- Voer een sterke vooraf gedeelde geheime sleutel in en configureer dezelfde sleutel op de externe gateway.
Klik op Opslaan.
MX64 past de configuratie toe.

Site-to-site VPN-configuratie in QuWAN Orchestrator

Meld u aan bij QuWAN Orchestrator met uw QNAP-ID.
Selecteer uw organisatie.
Ga naar QuWAN-topologie > VPN op basis van route.
Klik op Nieuwe verbinding maken.
Het venster Nieuwe verbinding maken wordt weergegeven.

Configureer de verbindingsinstellingen voor de VPN op basis van route.

Instelling	Beschrijving
Verbindingsnaam	Wijs een beschrijvende naam toe (bijv. ‘Meraki Site-to-Site VPN’).
IPsec-modus	Selecteer Tunnelmodus.
Hub	Wijs de juiste hub aan voor de verbinding.
WAN-interface	Voer de gewenste WAN-interface in.
IP-adres of hostnaam van externe bestemming	Geef het openbare IP-adres of de hostnaam op van het externe gateway-apparaat.
Verbinding testen (optioneel)	Klik op de knop om het IP-adres/de hostnaam te pingen om de verbinding te bevestigen.
Vooraf gedeelde sleutel	Stel een sterke vooraf gedeelde sleutel in en zorg voor identieke configuratie op de externe gateway.

Configureer de uitgebreide verbindingsinstellingen voor de VPN op basis van route.

Instelling	Gebruikersactie	Voorbeeldwaarde
'Internet Key Exchange' (IKE)
Versie	Selecteer IKEv2.	-
Verificatie-algoritme	Selecteer een robuust verificatie-algoritme.	AES-128
Versleuteling	Selecteer een sterke versleutelingsmethode.	AES-128
DH-groep	Selecteer een veilige DH-groep.	14
Levensduur van 'Security Association' (SA)	Definieer de duur van de IKE Security Association (SA) om cryptografische risico's in verband met blootstelling aan sleutels te verminderen.	480
Lokale ID (optioneel)	Als er een ‘Dynamic DNS’-service (DDNS) moet worden gebruikt voor de VPN-verbinding op basis van route, moet de lokale ID worden verstrekt.	-
'Encapsulating Security Payload' (ESP)
Verificatie-algoritme	Selecteer een verificatie-algoritme.	SHA-256
Versleuteling	Selecteer een versleutelingsmethode.	AES-128
'Perfect Forward Secrecy' (PFS) inschakelen	Schakel het selectievakje in om een nieuwe DH-sleutel te genereren.	-
DH-groep	Geef een veilige DH-groep op.	14
Levensduur van 'Security Association' (SA)	Geef de levensduur van de SA op.	60 minuten
'Dead Peer Detection' (DPD) inschakelen	Schakel het selectievakje in om peer-apparaten te identificeren en te reageren op storingen.	-
DPD-time-out	Geef de waarde voor de DPD-time-out op.	10 seconden

Schakel het selectievakje naast NAT-modus inschakelen in om ervoor te zorgen dat de VPN-verbinding correct werkt, zelfs wanneer er NAT-apparaten in het netwerk aanwezig zijn.
Geef het lokale IP-adres van de tunnel op om NAT-verkeer te ondersteunen.
Klik onder Locatiesubnets op Subnet toevoegen en definieer het interne subnet van het externe netwerk waartoe u toegang wilt hebben.
Klik op Opslaan.