Настройка IPsec IKEv2 с EAP-MSCHAPv2 в режиме «клиент — сеть»

Данный режим IPsec предполагает использование ISAKMP/IKEv2 для установления ассоциаций безопасности (security association).

На фазе IKE_SA_INIT, IKEv2 использует X.509 PKI и сертификаты для нужд аутентификации сервера. Следовательно, нам потребуется подготовить нужные X.509 сертификаты.

Аутентификация VPN-клиентов проводится с использованием EAP-MSCHAPv2.

Безопасность трафика обеспечивается за счет протокола ESP (Encapsulating Security Payload) в туннельном режиме.

В операционной системе Windows данный тип VPN называется IKEv2.

В нашем примере VPN-клиент подключается к устройству NPS AV со стороны WAN-адаптера, который имеет IP-адрес 192.168.13.240.

В VPN-туннеле будет использована IP-сеть 172.16.0.0/24.