VPN site to site en Checkpoint con NAT

Publicado: 03/12/2010 en Manual
Etiquetas:,

Esta semana hemos tenido que ayudar con una VPN site to site entre un Checkpoint y un Cisco ASA. Ha sido interesante ya que la forma en que Checkpoint configura las VPN site to site, es ligeramente distinta de la mayoría de los firewalls.

En checkpoint el dominio de encriptación (o las redes internas entre las que se establecen los túneles) de fase 2 se define a través de algo llamado communities que codicionan la selección de los paquetes que se envían a través del túnel, como veremos más adelante.

El esquema del caso es:

Se ha de establecer el tunel entre las redes LAN A y LAN B con el problema añadido de que la red 192.168.1.0/24 se encuentra en uso en la red del Peer B ya que es parte de la LAN C a la cual se accede desde LAN B a través del Checkpoint. Para solucionar el tema de solapamiento entre la LAN A y la LAN C se establece un NAT en Checkpoint enmascarando la LAN A con la red 192.168.3.0/24 que no se encuentra en uso en la red del Peer B.

La configuración del tunel en el Checkpoint quedó establecida así:

Configuracion del tunel:

Community: PeerA-B.

Nodos:

1) Nodo Peer A:

– IP Pública: 80.27.22.11

– Dominio de encriptación: 192.168.1.0/24

1) Nodo Peer B:

– IP Pública: 90.27.22.22

– Dominio de encriptación: 192.168.2.0/24

Regla de Acceso

LAN A                           LAN A

NATEO LAN A —> NATEO LAN A —> Todos los servicios —> Aceptar

LAN B                           LAN B

Configuración de NAT

IPorig                          IPdst                   TraduccOrig                TraduccionDst

192.168.1.0/24           any                       192.168.3.0/24                            =

any                             192.168.3.0/24                =                                  192.168.1.0/24

Con esta configuración, el tunel levanta si la comunicación es iniciada por  el Peer A  y los paquetes pasan encriptados a través del tunel tanto para el tráfico desde A a B como desde B a A.  El problema es que si la comunicación es iniciada por B, el túnel no levanta y los paquetes son enviados hacia la LAN C, tal y como indica la tabla de rutas de Checkpoint.

Al mirar los logs en tracker pordíamos observar entradas que aceptaban el tráfico entre los dos extremos del tunel:

192.168.2.x  —>  192.168.3.y —> UDP_200 —> ACCEPT

También podíamos observar en estos logs que el NAT se estaba realizando correctamente por lo que la comunicación, con la traduccion de direcciones quedaba:

192.168.2.x  —>  192.168.3.y (Xlatedst: 192.168.1.y) —> UDP_200 —> ACCEPT

Al mirar los logs de  la pestaña VPN, no aparecía  ninguna entrada perteneciente al tunel, lo que indica que no trata de levantar el túnel porque no considera este tráfico VPN.

Se inició la comunicación desde el Peer A para que el túnel mantuviese levantada la fase 1 y se realizaron pruebas de acceso desde el Peer B (iniciando este la comunicación) hacia el Peer A. En los logs de VPN apareció una entrada como:

Number:                                   718105
Date:                                        4Mar2010
Time:                                        18:08:05
Product:                                   VPN-1 Power/UTM
VPN Feature:                            IKE
Interface:                                  daemon
Origin:                                      CHECKPOINT
Type:                                        Log
Action:                                      Key Install
Source:                                    CISCO_ASA
Destination:                             CHECKPOINT
Encryption Scheme:                IKE
VPN Peer Gateway:                CISCO_ASA
IKE Phase2 Message ID:        14b7d641
Community:                             Peer A-B
Subproduct:                             VPN
Information:                             IKE: Quick Mode Received Notification from Peer: invalid id information
El mensaje “Invalid id Information” en el establecimiento de la fase 2 indica que existe algún error en las redes configuradas en el dominio de encriptación ya que no coinciden con los datos de los que dispone el peer remoto. Este mensaje fue la pista definitiva para dar con la solución. Había algo incorrecto en el dominio de encriptación remoto.

Para que  funcionen las VPNs de Checkpoint con NAT, hay que incluir la red del NAT en objeto que representa al PeerA en la comunity que define la VPN en checkpoint.

1) Nodo Peer A:

– IP Pública: 80.27.22.11

– Dominio de encriptación: 192.168.1.0/24; 192.168.3.0/24.

Al instalar políticas con este cambio, el checkpoint considera los accesos

192.168.2.x  —>  192.168.3.y (Xlatedst: 192.168.1.y) —> UDP_200 —> ACCEPT

como accesos de VPN y hace que los paquetes vayan por el túnel estableciendose correctamente la comunicación. Ahora aparecen entradas en la pestaña VPN del tracker que indica que el tráfico está pasando por él.

Espero que este post sea de utilidad a alguien. Más adelante escribiré algún post con el procedimiento general para configurar una VPN con Checkpoint.

Anuncios
comentarios
  1. Hernan dice:

    Muy bueno, estaría espectacular contar con el procedimiento y comandos.

    Saludos

  2. Andres salazar dice:

    Excelente. ahora tengo el panorama un poco mas claro pero si seria bueno que pusieras un procedimiento para manejarlo como buena practica..

  3. emanuel dice:

    Lo que falta es que se realice!! que se configure en los routers todo esto que indicas! estaria genial!!!… ya que estoy en una situacion similar… tenqo dos redes con el mismo direcionamiento 192.168.1.x (red A) y 192.168.1.x (red B), esto genera mucho conflicto con la VPN, mi duda es como debo configurar el dominio de encriptaicon no le he hallado en mi router(draytek). es por eso que estaria genial en que estuviera en practica.

  4. Gabriel Jarrin dice:

    Amigo me podrias ayudar con un problema

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión / Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión / Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión / Cambiar )

Google+ photo

Estás comentando usando tu cuenta de Google+. Cerrar sesión / Cambiar )

Conectando a %s