Belajar Computer Networking PNETLab - Site-to-Site VPN (GRE Tunnel & IPsec Security)

#Pendahuluan

Di episode 16 kalian mengirim traffic internal ke Internet lewat NAT. Tapi bagaimana jika dua kantor ingin berkomunikasi seolah-olah terhubung langsung, padahal keduanya hanya punya koneksi Internet publik? Jawabannya adalah site-to-site VPN yang menjadi topik episode 17.

Kita membangun VPN dalam dua lapis: GRE tunnel untuk transportasi traffic, lalu IPsec untuk enkripsi. Kombinasi GRE over IPsec ini adalah pola klasik yang dipakai ratusan ribu jaringan enterprise di seluruh dunia.

#Kebutuhan Site-to-Site VPN

#Menghubungkan Kantor Pusat dan Cabang Secara Aman

Kantor Pusat (HQ) dan Kantor Cabang (Branch) sama-sama terhubung ke Internet, tetapi tidak boleh saling kirim data dalam bentuk teks terbuka. Site-to-site VPN menciptakan terowongan terenkripsi di atas Internet publik sehingga: traffic antar kantor melewati Internet, isinya dienkripsi, dan kedua jaringan tampak seperti satu LAN besar.

#Generic Routing Encapsulation (GRE) Tunnel

#Interface Virtual Tunnel

GRE membungkus paket IP asli di dalam paket IP baru yang dialamatkan ke ujung tunnel di sisi lain. Hasilnya, traffic IP unicast maupun multicast — seperti Hello routing protocol — bisa lewat tunnel. Konfigurasikan tunnel di kedua router:

configure terminal
interface Tunnel0
 ip address 10.99.0.1 255.255.255.252
 tunnel source g0/1
 tunnel destination 203.0.113.10
exit

tunnel source g0/1 dan tunnel destination 203.0.113.10 menentukan titik masuk dan keluar tunnel. Interface Tunnel0 lalu diberi IP di subnet /30 pribadi — alamat yang dipakai traffic antar kantor.

#Enkripsi Tunnel dengan IPsec

#ISAKMP Phase 1 dan Phase 2

IPsec bekerja dalam dua fase melalui protokol ISAKMP (IKE):

• Phase 1: membangun Internet Key Exchange (IKE SA) — negosiasi policy autentikasi pre-shared key, Diffie-Hellman group, dan enkripsi AES atau 3DES. Hasilnya kanal aman untuk negosiasi berikutnya.
• Phase 2: membangun IPsec SA di dalam kanal tersebut — memilih transform set seperti ESP-AES dan ESP-SHA yang dipakai mengenkripsi traffic aktual.

Konfigurasi phase 1 dan 2 di sisi HQ:

configure terminal
crypto isakmp policy 10
 encr aes
 authentication pre-share
 group 2
exit
crypto isakmp key Pn3tLab2026 address 203.0.113.10
crypto ipsec transform-set TRANSIT esp-aes esp-sha-hmac

crypto isakmp policy 10 dengan authentication pre-share dan encr aes mengatur phase 1, sedangkan crypto ipsec transform-set TRANSIT esp-aes esp-sha-hmac menentukan transform set phase 2.

#Mengamankan Interface GRE dengan IPsec Profile

IPsec lalu diikat ke tunnel lewat profil:

configure terminal
crypto ipsec profile TUNNEL_PROFILE
 set transform-set TRANSIT
exit
interface Tunnel0
 tunnel protection ipsec profile TUNNEL_PROFILE
exit

tunnel protection ipsec profile TUNNEL_PROFILE membuat seluruh traffic GRE yang melewati Tunnel0 otomatis dienkripsi dengan transform set yang sudah ditentukan. Perlihatkan state fase:

R1# show crypto isakmp sa
R1# show crypto ipsec sa

show crypto isakmp sa menampilkan state phase 1 (QM_IDLE berarti berhasil), dan show crypto ipsec sa menunjukkan jumlah paket terenkripsi yang lewat.

#Menguji VPN di PNETLab

Rakit dua router mewakili HQ dan Branch, keduanya terhubung ke "Internet" di tengah. Konfigurasi tunnel dan IPsec di kedua sisi dengan nilai yang simetris. Uji dengan ping dari LAN HQ ke LAN Branch: paket harus sampai tanpa masalah meski lewat jaringan publik. Tangkap traffic di segmen Internet dengan Wireshark — kalian akan melihat paket ESP yang isinya tidak terbaca, bukti enkripsi bekerja.

#Kesalahan Umum GRE over IPsec

Perhatikan simetri: pre-shared key, transform set, dan IP address tunnel lawan harus cocok di kedua sisi. Kegagalan phase 1 hampir selalu berasal dari key atau policy yang tidak sama, sedangkan kegagalan phase 2 sering berasal dari transform set yang tidak kompatibel. Jangan lupa menambahkan rute ke subnet kantor lawan melalui interface Tunnel0.

#Penutup

Inti yang harus dibawa pulang:

• Site-to-site VPN menghubungkan dua kantor secara aman di atas Internet.
• GRE membungkus paket IP dan mendukung multicast untuk routing protocol.
• IPsec phase 1 membangun IKE SA; phase 2 membangun IPsec SA.
• Transform set ESP-AES ESP-SHA menentukan enkripsi traffic aktual.
• tunnel protection ipsec profile mengikat enkripsi ke GRE tunnel.
• show crypto isakmp sa dan show crypto ipsec sa adalah verifikasinya.

Di episode 18 selanjutnya kita menambah layanan infrastruktur: DHCP server dan DHCP relay di router Cisco, ip helper-address untuk meneruskan request broadcast antar VLAN, serta sinkronisasi waktu dengan NTP dan pengumpulan log terpusat dengan syslog untuk menjaga konsistensi seluruh peranti.