UniFi Network — 站對站 VPN 搭配第三方閘道器

發布於 2022-12-13 轉至英文轉至英文

為了確保獲得最佳體驗，建議所有站點都使用 UniFi 閘道器。UniFi 站對站 VPN 是專為彼此之間的最佳相容性而設計。某些第三方閘道器允許配置 UniFi Network 應用程式因為採取自動設定，而未提供的設定。這些設定仍必須符合站對站 VPN 才可以運作。

本文探討與第三方閘道器互通的注意事項。應向第三方製造商尋求所有裝置的相關協助。

路由型 VPN 與原則型 VPN

路由型 VPN 在每一個閘道器的 虛擬隧道介面（VTI） 之間建立單一 VPN 隧道。原則型 VPN 為每一個網路組合建立隧道。

以兩個閘道器為例。閘道器 A 共用三個近端網路。閘道器 B 共用兩個近端網路。路由型 VPN 以單一隧道路由傳送所有的網路流量。原則型 VPN 建立了六個隧道，每一個共用網路之間各有一個。

如果第三方閘道器不允許選擇，則表示它可能僅支援原則型 VPN。

第一階段與第二階段加密設定

第一階段與第二階段的加密和雜湊設定相同。必須針對兩個階段使用相符值配置第三方閘道器。

第一階段的存留期為 28,800 秒，第二階段的存留期為 3,600 秒。第三方閘道器必須符合兩個期間。

UniFi 閘道器是採行某些第三方閘道器不支援的 IKEv2 協定最佳化。如果無法建立 VPN或使用 IKEv2 時連線中斷，則建議將兩個閘道器都切換至 IKEv1。

UniFi 閘道器允許自訂 PFS DH 群組。某些第三方閘道器不支援此功能。如果 VPN 連線經常中斷時，請嘗試在兩個閘道器上停用 PFS。

如果任何支援閘道器在 NAT 之後，則無法建立站對站 VPN。

UniFi 閘道器會自動 共用站對站 VPN 中的所有近端網路。請確保每一個閘道器都已設為包含遠端網路的所有近端網路。

UniFi 閘道器僅支援主要模式。如果第三方閘道器是設為激進模式，則無法建立站對站 VPN。

DPD 不需要在所有閘道器上都相符，但是，如果發生設定或連線問題時，建議在第三方閘道器上停用。

UniFi 閘道器會自動新增透過 VPN 傳送流量需要的靜態路由。請勿新增任何其他靜態路由，否則可能會發生通訊失敗。

DH 群編號可能會因製造商而異。請參閱下列清單：

DH 群編號	位元／描述
1	768 位元模指數（MODP）演算法。
2	1024 位元 MODP 演算法。
5	1536 位元 MODP 演算法。
14	2048 位元 MODP 群。
15	3072 位元 MODP 演算法。
16	4096 位元 MODP 演算法。
19	256 位元隨機橢圓曲線群 modulo a Prime（ECP 群）演算法。
20	384 位元隨機 ECP 群演算法。
21	521 位元隨機 ECP 群演算法。
24	2048 位元 MODP 群搭配 256 位元質數階子群。