1. ApexGuard IKEv2/IPsec Kimlik Bilgilerini Alın

1. ApexGuard hesabınıza giriş yapın.
2. Şuraya gidin: Gelişmiş Ayarlar → ApexGuard’ı manuel kurun → Hizmet Kimlik Bilgileri / IPsec bilgileri.
3. IKEv2/IPsec ön paylaşımlı anahtarınızı (PSK) bulun/oluşturun; sunucu adresini (örn. ikev2.apexguard.com) ve kullanıcı doğrulama bilgilerini not edin.

Lütfen aşağıdaki bilgileri hazır bulundurun:

• Sunucu adresi (örn. ikev2.apexguard.com veya IP).
• Ön paylaşımlı anahtar (PSK) veya sertifika (sertifika doğrulamasında).
• EAP ile IKEv2 için Kullanıcı Adı/Parola.

2. EdgeRouter WAN Arayüzünüzü Doğrulayın

1. İnternete bağlantı sağlayan WAN arayüzünüzü (örn. eth0) belirleyin.
2. LAN arayüzlerinizi kontrol edin (örn. eth1, eth2 veya switch0). NAT kuralları ve güvenlik duvarı ayarları için bu bilgi gerekir.

3. IPsec’i Açın ve IKE/ESP Grupları Kurun

EdgeOS, güvenlik önerilerini (şifreleme ve karma algoritmaları) tanımlamak için “IKE Grupları” (Aşama 1) ve “ESP Grupları” (Aşama 2) kullanır. Aşağıda modern şifrelerle örnek yapı vardır.

EdgeRouter’a SSH ile girin:

ssh ubnt@[router_ip_address]

Yapılandırma moduna girin:

configure

WAN arayüzünde IPsec işlemeyi etkinleştirin (henüz yapılmadıysa):

set vpn ipsec ipsec-interfaces interface eth0

eth0 yerine gerçek WAN arayüzünüzün adını yazın.

IKE Grubunu Kurun/Değiştirin (Aşama 1 önerisi):

set vpn ipsec ike-group IKEV2 proposal 1 encryption aes256
set vpn ipsec ike-group IKEV2 proposal 1 hash sha512
set vpn ipsec ike-group IKEV2 lifetime 28800
set vpn ipsec ike-group IKEV2 ike-version 2

ESP Grubunu Kurun/Değiştirin (Aşama 2 önerisi):

set vpn ipsec esp-group ESPV2 proposal 1 encryption aes256
set vpn ipsec esp-group ESPV2 proposal 1 hash sha512
set vpn ipsec esp-group ESPV2 lifetime 3600

Uygula ve Kaydet:

commit
save

4. IPsec Eşini Yapılandırın (ApexGuard Sunucusu)

Uzak eşi (ApexGuard’ın IKEv2 sunucusu) tanımlayın. Bu örnek ön paylaşımlı anahtar kullanır. Sertifika veya EAP tabanlı doğrulama kullanıyorsanız ayarları uyarlayın.

Yapılandırma modunda:

configure

Uzak eşi belirtin (ikev2.apexguard.com yerine gerçek sunucu veya IP’yi yazın):

set vpn ipsec site-to-site peer ikev2.apexguard.com authentication mode pre-shared-secret
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication pre-shared-secret "YOUR_PSK_HERE"
set vpn ipsec site-to-site peer ikev2.apexguard.com ike-group IKEV2

Gerekiyorsa yerel IP’nizi belirtin (eth0 üzerindeki genel IP):

set vpn ipsec site-to-site peer ikev2.apexguard.com local-address <your_public_ip_here>

Yönlendirici IP’yi otomatik (DHCP) alıyorsa local-address satırını atlayabilir veya ApexGuard öneriyorsa açıkça ayarlayabilirsiniz.

ESP grubunu atayın:

set vpn ipsec site-to-site peer ikev2.apexguard.com esp-group ESPV2

Şifrelenecek yerel ve uzak alt ağları (site-to-site) tanımlayın. LAN’ınızdaki tüm trafiğin VPN’den geçmesini istiyorsanız uzak tarafta 0.0.0.0/0 ayarlayın veya ApexGuard’ın önerdiği yöntemi kullanın:

set vpn ipsec site-to-site peer ikev2.apexguard.com tunnel 1 local subnet 192.168.1.0/24
set vpn ipsec site-to-site peer ikev2.apexguard.com tunnel 1 remote subnet 0.0.0.0/0

Uygula ve Kaydet:

commit
save

5. (İsteğe Bağlı) IKEv2 için XAUTH/EAP Kullanıcı Doğrulaması

set vpn ipsec site-to-site peer ikev2.apexguard.com authentication mode 'xauth'   # or eap
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication id 'YOUR_USERNAME'
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication remote-id 'SERVER_ID'
# ... Additional lines depending on ApexGuard’s EAP config requirements

Benzer şekilde, sertifika tabanlı doğrulama kullanıyorsanız:

1. CA ve istemci sertifikalarını router’daki /config/auth/ klasörüne SCP veya SFTP ile yükleyin.

Yapılandırmada bunları yazın:

set vpn ipsec site-to-site peer ikev2.apexguard.com authentication mode 'rsa'
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication certificate <client_cert_file>
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication private-key <client_key_file>
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication ca-certificate <ca_cert_file>

6. NAT/Güvenlik Duvarı Kuralları

LAN trafiğini (örn. 192.168.1.0/24) ApexGuard VPN üzerinden yönlendirmek için genellikle NAT masquerade kuralı (IPsec üzerinden giden NAT) ve gerekirse güvenlik duvarı ayarları gerekir. Politika tabanlı yönlendirme de gerekebilir. Örnek:

NAT Kuralı (LAN trafiğini IPsec tüneli üzerinden maskeleme):

configure
set service nat rule 5000 description 'IPsec outbound NAT for LAN'
set service nat rule 5000 outbound-interface eth0
set service nat rule 5000 source address 192.168.1.0/24
set service nat rule 5000 translation address masquerade
commit
save

Önemli: Bazı EdgeRouter/EdgeOS sürümlerinde, ApexGuard’ın beklediği trafik akışına bağlı olarak auto-firewall-nat-exclude veya politika tabanlı yönlendirme gerekebilir.

Güvenlik Duvarı
yerel güvenlik duvarı eth0 (WAN) üzerindeyse, IPsec trafiğine (UDP/500, UDP/4500, ESP) izin verin:

set firewall name WAN_LOCAL rule 10 action accept
set firewall name WAN_LOCAL rule 10 description 'Allow IPsec IKEv2'
set firewall name WAN_LOCAL rule 10 destination port 500,4500
set firewall name WAN_LOCAL rule 10 protocol udp
set firewall name WAN_LOCAL rule 20 action accept
set firewall name WAN_LOCAL rule 20 description 'Allow IPsec ESP'
set firewall name WAN_LOCAL rule 20 protocol esp
commit
save

Not: Mevcut kurulumunuza göre kesin güvenlik duvarı adlarını, kural numaralarını ve arayüz referanslarını (örn. WAN_IN, WAN_LOCAL) uyarlayın.

7. Bağlantıyı Doğrulayın

IPsec durumuna bakın:

run show vpn ipsec sa

1. ESTABLISHED durumunu veya “INSTALLED SA” ifadesini ikev2.apexguard.com eşi için arayın.

Logları Aç:

run show log

Başarılı bir IKE müzakeresini gösteren satırlar görmelisiniz:

IPsec SA established tunnel mode ...

1. Trafiği test edin:
   • Bir LAN istemcisinden (örn. 192.168.1.x PC) “IP adresim nedir” sayfasını açın veya trafiğin VPN’den geçtiğini doğrulamak için ApexGuard sitesindeki IP bilginizi kontrol edin.
   • Site-to-site yapılandırmada tünel üzerinden uzak bir IP’ye ping atın.

8. Ek Faydalı Komutlar

IPsec Tünelini Kapatın

configure
set vpn ipsec site-to-site peer ikev2.apexguard.com disable
commit
save

Bu, yönlendiricinin belirtilen eşle bağlantı kurmasını veya yanıtlamasını engeller.

IPsec Tünelini Yeniden Açın

configure
delete vpn ipsec site-to-site peer ikev2.apexguard.com disable
commit
save

Farklı Bir ApexGuard Sunucusuna Geçiş

Düzenleyin: Eş yapılandırmasını yeni sunucuya yöneltin (örn. ikev2-us.apexguard.com):

configure
set vpn ipsec site-to-site peer ikev2.apexguard.com disable  # (optional) temporarily disable old server
delete vpn ipsec site-to-site peer ikev2.apexguard.com
set vpn ipsec site-to-site peer ikev2-us.apexguard.com ...
commit
save

Veya mevcut eşi doğrudan güncelleyin:

configure
set vpn ipsec site-to-site peer ikev2.apexguard.com authentication pre-shared-secret "NEW_PSK"
# And so on
commit
save