IPFire-palomuurin määritys ApexGuard-yhteyttä varten

Edellytykset

1. IPFire (versio 2.27 tai uudempi).
2. ApexGuardin tunnistetiedot (IKEv2):
   • Palvelinosoite (esim. ikev2.apexguard.com)
   • Ennalta jaettu avain (PSK), usein kohdassa ”Service Credentials” tai ”Manual Setup.”
3. LAN-aliverkkosi (esim. 192.168.0.0/24).
4. Pääsy IPFiren verkkohallintaan (yleensä https://[IP_of_IPFire]:444).

1. Kirjaudu IPFire-webhallintaan

1. Avaa selaimessa osoite https://[IP_of_IPFire]:444.
2. Syötä admin-tunnistetietosi.

2. IPsec käyttöön IPFiressä

1. Valitse ylävalikosta Firewall → IPsec.
2. Jos IPsec ei ole käynnissä, valitse Start tai Enable.

3. Lisää uusi IPsec-yhteys.

1. Etsi IPsec-kohdasta Connection Status and Control.
2. Valitse Add (tai New IPsec connection).

4. Yhteyden perusasetukset

1. Connection name: Syötä esimerkiksi ApexGuard-PSK.
2. Local Subnet:
   • Jos haluat ohjata kaiken LAN-liikenteen ApexGuardin kautta, jätä tämä LAN-aliverkoksesi (esim. 192.168.0.0/24).
3. Remote Subnet:
   • Jos ApexGuard tukee ”kaiken liikenteen” reititystä, arvoksi voi asettaa 0.0.0.0/0.
   • Osa palveluntarjoajista vaatii täystunneliin vain 0.0.0.0/0.
4. Gateway (Remote host/IP): ikev2.apexguard.com (tai tilisi näyttämä palvelimen verkkotunnus tai IP-osoite).

5. Todennustapa: ennalta jaettu avain

1. Valitse Authentication Method -kohdasta PSK (Pre-Shared Key).
2. Pre-Shared Key: Kopioi ja liitä avaimesi ApexGuardista.

(Jos ApexGuard antoi myös XAUTH/EAP-tunnuksen ja salasanan, katso opas 2.)

6. Vaihe 1 ja vaihe 2 (IKE ja ESP) -asetukset

• Phase 1 (IKE proposal): Tyypilliseen määritykseen valitse vahva salausjoukko, kuten aes256-sha256-modp2048, tai ApexGuardin suositus.
• Phase 2 (ESP proposal): Vastaava tapa (esim. aes256-sha256).
• Key lifetime: Yleiset oletusarvot: 28800 s (IKE), 3600 s (ESP). Käytä ApexGuardin suosituksia, jos niitä on.

7. Tallenna ja käynnistä yhteys

1. Paina Save.
2. IPsec-yleiskatsauksessa näkyy uusi yhteytesi ApexGuard-PSK.
3. Aseta Enabled ja paina Save tai Start avataksesi yhteyden.

8. Tarkista tunneli

1. Tarkista Connection Status kohdassa IPsec → Connection Status and Control.
2. Onnistunut tunneli näyttää yleensä tilan Established tai Connected.
3. Avaa Logs → System Logs → IPsec ja etsi ”IKE negotiation successfully completed” tai vastaava.

9. NAT tarvittaessa

• Monissa kotiasennuksissa LAN on IPFiren takana Masquerading-toiminnolla RED/WAN-liitännässä.

Jos ApexGuard vaatii kaiken LAN-liikenteen NAT-käsittelyn VPN:n kautta, lisää mukautettu palomuurisääntö:

iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -o ipsec0 -j MASQUERADE

• Korvaa:
  • 192.168.0.0/24 LAN-verkkosi osoitteella.
  • ipsec0 todellisella IPsec-liitännän nimellä (joskus ipsec1 tai vastaava).

10. Testaa VPN-yhteytesi

1. Siirry LAN-laitteella (esim. 192.168.0.x) sivulle ”What’s my IP” tai ApexGuardin hallintapaneeliin.
2. Jos kaikki on kunnossa, näet julkisen IP-osoitteesi olevan ApexGuardin IP-osoite, mikä vahvistaa, että liikenne kulkee tunnelin läpi.