Часто задаваемые вопросы

Программа клиента SSL VPN использует TСР порт 4100 для подключения к Firebox c целью загрузки обновлений программного обеспечения клиента и его конфигурационного файла.

Если пользователь не может подключиться через ТСР порт 4100, но при наличии конфигурационного файла он может создать VPN-соединение, но при этом не cможет загрузить обновленный конфигурационный файл.

Пользователь увидит диалоговое окно с ошибкой «Could not download the configuration from the server. Do you want to try to connect using the most recent configuration?». Затем пользователю следует нажать Yesи создать VPN-соединение, только если он не изменил параметры Mobile VPN with SSL в конфигурации Firebox.

Если пользователь не может подключиться к устройству Firebox через порт 4100, так как он заблокирован брандмауэром или ISP, то вы можете пользователю отправить программу клиента и конфигурационный файл. Для более подробной информации см. Manually distribute and install the Mobile VPN with SSL client software and configuration file

Вернуться к списку вопросов

WatchGuard Mobile VPN для Windows Mobile используется для создания на устройстве под управлением Windows Mobile безопасного VPN-соединения с сетями, которые защищены устройством Firebox с поддержкой Mobile VPN with IPSec.

Mobile VPN для Windows Mobile содержит два компоненты:

• WatchGuardMobileVPNWMConfigurator запускается на компьютере, который подключается к мобильному устройству через Microsoft ActiveSync. Configurator используется для настройки и загрузки программы клиента на Windows Mobile устройство.

• Программа клиента WatchGuard Mobile VPN, которое запускается на мобильном устройстве. Для создания VPN соединений необходимо, чтобы сервис WatchGuardMobileVPNService был запущен. WatchGuardMobileVPNMonitor позволяет вам выбрать загруженный профиль конечного пользователя и создавать VPN соединение.

Для того чтобы настроить Mobile VPN для Windows Mobile для работы с устройством Edge выполните следующее:

1. Настройте Firebox для работы с Mobile VPN with IPSec.

2. Установите Mobile VPN WM Configurator на компьютер, который подключается к мобильному устройству через ActiveSync.

3. Если вы используете сертификаты для аутентификации, то выберите сертификат и введите PIN.

4. Импортируйте профиль конечного пользователя.

5. Установите программу клиента на мобильное устройство.

6. Загрузите профиль конечного пользователя на устройство Windows Mobile.

7. Подключите и отключите программу клиента Mobile VPN для Windows Mobile.

Для более подробной информации см. Mobile VPN for Windows Mobile setup.

Вернуться к списку вопросов

Процедура установки состоит из двух частей: установка ПО клиента на удаленный компьютер и импорт профиля конечного пользователя в программу клиента.

До начала установки убедитесь в наличии следующих компонентов установки, которые вам следует получить от вашего сетевого администратора:

• Файл установки Mobile VPN

• Профиль конечного пользователя с - .wgx или .ini файл

• Общий ключ

• Файл сертификата .p12 (если вы используете сертификаты для аутентификации)

• Имя пользователя и пароль (если вы используете Extended Authentication)

Для того чтобы установить программу клиента выполните следующее:

1. скопировать файл Mobile VPN .zip на удаленный компьютер и распаковать его содержимое.

2. скопировать профиль конечного пользователя (файл .wgx) в корневой каталог удаленного (клиентского или пользовательского) компьютера.

3. Запустить исполняемый файл Mobile VPN двойным нажатием мыши на файл .exe, который вы распаковали в п.1. Запустится мастер WatchGuard Mobile VPN Installation. Вам необходимо перезагрузить ваш компьютер после того, как мастер завершит работу.

Для того чтобы импортировать профиль конечного пользователя в программе клиента выполните следующее:

1. На рабочем столе Windows удаленного компьютера выберите Start > AllPrograms > WatchGuardMobileVPN > MobileVPNMonitor.

2. В WatchGuard Mobile VPN Connection Monitor выберите Configuration > Profile Import.

3. следуйте инструкциям Profile Import Wizard для импорта профиля конечного пользователя (файл .wgx).

Для более подробной информации см. End-user instructions for WatchGuard Mobile VPN with IPSec client installation

Вернуться к списку вопросов

Если на компьютере клиента установлены Windows Vista или Windows XP, необходимо войти в систему под учетной записью администратора для установки ПО клиента Mobile VPN with SSL.

Права администратора не потребуются для подключения после того, как программа-клиент SSL будет установлена и настроена.

В ОС Windows XP Professional пользователю требуется быть членом группы NetworkConfigurationOperators для запуска клиента SSL.

Если на компьютере клиента установлена ОС Mac OS X, администраторские права для установки или использования клиента SSL не требуются.

Для более подробной информации см.:

• WatchGuard System Manager Help — Install and connect the Mobile VPN with SSL client

• Fireware XTM Web UI Help — Install and connect the Mobile VPN with SSL client

Вернуться к списку вопросов

Вы можете выбрать параметры, которые будут использоваться для созданных вручную BOVPN-туннелей, управляемых BOVPN и Mobile VPN with IPSec туннелей.

Для настройки глобальных параметров VPN в web-интерфейсе Fireware XTM выберите VPN > GlobalSettings.

Для более подробной информации о глобальных параметрах VPN в web-интерфейсе см. About Global VPN Settings.

Для настройки глобальных параметров VPN в Policy Manager выберите VPN > VPN Settings.

Для более подробной информации см. About Global VPN Settings.

Вернуться к списку вопросов

Для платформы Mac OS X компания WatchGuard предоставляет только программу клиента Mobile VPN with SSL,

• Для более подробной информации о том, как настроить Mobile VPN with SSL на устройстве Firebox при помощи Policy Manager см. Configure the Firebox for Mobile VPN with SSL.
• Для более подробной информации о том, как настроить Mobile VPN with SSL при помощи Web интерфейса Fireware XTM Web UI см. Configure the Firebox with Mobile VPN with SSL.

Другие компании разработчики также предлагают своим клиентам программы клиентов IPSec, который совместимы с продуктами WatchGuard. Компания не рекомендует использовать эти программы. Для более подробной информации см.:

IPSecuritas: http://www.lobotomo.com/products/IPSecuritas/index.html

VPNTracker: http://www.equinux.com/us/products/vpntracker/vendor.html?vendor=watchguard

Вы также посмотреть на форуме WatchGuard User Forum по адресу http://www.watchguard.com/ forum/.

Вернуться к списку вопросов

Для устройства Firebox, который является конечной точкой туннеля, мы рекомендуем использовать статический IP адрес или Динамический DNS.

В противном случае, после каждого изменения внешнего IP адреса устройства Firebox, вам необходимо пользователям рассылать новый конфигурационный .wgx файл или заставлять пользователей самих вносить изменения в конфигурацию их программы клиента. Иначе, IPSec VPN пользователи не смогут подключиться к устройству Firebox до тех пор, пока они не получат новый конфигурационный файл или не введут новый IP адрес.

Для того чтобы настроить Firebox и IPSec клиенты удаленных пользователей при изменении внешнего IP адреса вам необходимо:

• Записать текущий IP адрес устройства
• Настроить устройство Firebox и IPSec клиенты пользователей
• Обновлять конфигурации клиентов при каждом изменении IP адреса

После того, как внешний IP адрес устройства Firebox изменится, удаленные Mobile VPN with IPSec пользователи не смогут подключиться до тех пор, пока они не получат новый IP адрес. Изменить IP адрес вы можете двумя способами.

• Разослать удаленным пользователям новый конфигурационный .wgx файл для импорта
• Заставить пользователей вручную поменять конфигурацию IPSec клиента. Для того чтобы использовать этот способ вам необходимо настроить устройство Firebox так, чтобы удаленные пользователи могли вносить изменения в конфигурацию.

Для более подробной информации о процедуре настройки в Policy Manager см. Configure Mobile VPN with IPSec to a dynamic IP address.

Для более подробной информации о процедуре настройки в Web-интерфейсе Fireware XTM см. Configure Mobile VPN with IPSec to a dynamic IP address.

Вернуться к списку вопросов

Группы Diffie-Hellman (DH) – определяют «силу» ключа шифрования, который используется в процедуре обмена ключами. Чем выше номер группы, тем «сильнее» и безопаснее ключ. Однако следует учитывать тот факт, что при увеличении номер группы DH увеличивается «сила» и уровень безопасности ключа, однако одновременно увеличивается нагрузка на центральный процессор, так как для генерации более «сильного» ключа необходимо больше времени и ресурсов.

Устройства WatchGuard поддерживают DH группы 1, 2 и 5:

• DH group 1: 768-bit key
• DH group 2: 1024-bit key
• DH group 5: 1536-bit key

Оба устройства, которые обмениваются данными через VPN должны использовать одну и ту же группу DH. Группа DH, которая будет использоваться устройствами, выбирается во время IPSec Phase 1 процедуры.

Для более подробной информации см. About Diffie-Hellman groups в справочнике WSM или About Diffie-Hellman groups в справочнике Web интерфейса Fireware.

Вернуться к списку вопросов