Nastavení firewallu IPFire pro připojení k ApexGuard

Co potřebujete

1. IPFire (verze 2.27 nebo novější).
2. ApexGuard – údaje IKEv2:
   • Adresa serveru (např. ikev2.apexguard.com)
   • Předsdílený klíč (PSK), obvykle v „Přihlašovacích údajích ke službě“ nebo „Ručním nastavení“.
3. Vaše podsíť LAN (např. 192.168.0.0/24).
4. Přístup k rozhraní IPFire (obvykle https://[IP_of_IPFire]:444).

1. Přihlášení k rozhraní IPFire

1. V prohlížeči přejděte na https://[IP_of_IPFire]:444.
2. Zadejte údaje správce admin.

2. Povolte IPsec v IPFire

1. V horním menu přejděte na Firewall → IPsec.
2. Je-li IPsec zastaven, klikněte na Spustit nebo Povolit.

3. Přidat nové připojení IPsec

1. V sekci IPsec najděte Stav a řízení připojení.
2. Zvolte Přidat či Nové IPsec připojení.

4. Základní nastavení IPsec

1. Název připojení: Zadejte například ApexGuard-PSK.
2. Místní podsíť:
   • Pokud chcete, aby veškerý provoz LAN procházel přes ApexGuard, ponechte zde svou podsíť LAN (např. 192.168.0.0/24).
3. Vzdálená podsíť:
   • Pokud ApexGuard podporuje „veškerý provoz“, lze nastavit 0.0.0.0/0.
   • Někteří poskytovatelé pro plný tunel vyžadují jen 0.0.0.0/0.
4. Brána (vzdálený hostitel/IP): ikev2.apexguard.com (nebo doménu či IP serveru, kterou zobrazuje váš účet).

5. Metoda ověření: Předsdílený klíč (PSK)

1. V sekci Metoda ověření vyberte PSK (předsdílený klíč).
2. Předsdílený klíč: Zkopírujte a vložte klíč z ApexGuard.

(Pokud vám ApexGuard poskytl i uživatelské jméno/heslo pro XAUTH/EAP, viz Návod 2.)

6. Nastavení fáze 1 a fáze 2 (IKE a ESP)

• Fáze 1 (návrh IKE): Pro typické nastavení zvolte silnou sadu šifer, jako je aes256-sha256-modp2048, nebo dle doporučení ApexGuard.
• Fáze 2 (návrh ESP): Podobný přístup (např. aes256-sha256).
• Doba klíče: Běžně 28800 s (IKE), 3600 s (ESP). Pokud má ApexGuard vlastní doporučení, řiďte se jím.

7. Uložte a spusťte připojení

1. Na Uložit.
2. V přehledu IPsec se zobrazí vaše nové připojení ApexGuard-PSK.
3. Přepněte na Povoleno a pak zvolte Uložit nebo Spustit.

8. Ověřte VPN tunel

1. Zkontrolujte Stav připojení v sekci IPsec → Stav a řízení připojení.
2. Úspěšný tunel obvykle zobrazuje stav Navázáno nebo Připojeno.
3. Protokoly → Systémové protokoly → IPsec: „IKE negotiation successfully completed“ nebo podobné.

9. NAT (volitelně)

• Mnoho domácích sítí má LAN za IPFire a obvykle používá maskování na rozhraní RED/WAN.

Pokud ApexGuard vyžaduje NAT veškerého provozu LAN přes VPN, můžete přidat vlastní pravidlo firewallu:

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ipsec0 -j MASQUERADE

• Nahraďte:
  • 192.168.0.0/24 vaší sítí LAN.
  • ipsec0 skutečným názvem rozhraní IPsec (někdy ipsec1 nebo podobně).

10. Otestujte připojení

1. Ze zařízení LAN (např. PC na 192.168.0.x) otevřete „What’s my IP“ nebo ovládací panel ApexGuard.
2. Pokud je vše správně, uvidíte, že vaše veřejná IP je IP adresa ApexGuard, což potvrzuje, že veškerý provoz prochází tunelem.