VYATTA, INC.

| Vyatta System

VPN
REFERENCE GUIDE
Introduction to VPN
IPsec Site‐to‐Site VPN
Virtual Tunnel Interfaces
Remote Access VPN
OpenVPN

Vyatta
Suite 200
1301 Shoreway Road
Belmont, CA 94002
[Link]
650 413 7200
1 888 VYATTA 1 (US and Canada)
COPYRIGHT
Copyright © 2005–2012 Vyatta, Inc. All rights reserved.
Vyatta reserves the right to make changes to software, hardware, and documentation without notice. For the most recent version
of documentation, visit the Vyatta web site at [Link].

PROPRIETARY NOTICES
Vyatta is a registered trademark of Vyatta, Inc.
Hyper‐V is a registered trademark of Microsoft Corporation.
VMware, VMware ESX, and VMware server are trademarks of VMware, Inc.
XenServer, and XenCenter are trademarks of Citrix Systems, Inc.
All other trademarks are the property of their respective owners.
RELEASE DATE: October 2012
DOCUMENT REVISION. 6.5R1 v01
RELEASED WITH: 6.5R1
PART NO. A0‐0222‐10‐0016
 iii

Contents

Quick List of Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xi

List of Examples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xvi

Preface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xvii
Intended Audience . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xviii
Organization of This Guide . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xviii
Document Conventions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xix
Vyatta Publications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . xx

Chapter 1 Introduction to VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1

Types of VPNs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2
Supported Solutions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Site‐to‐Site with IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
Virtual Tunnel Interface. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
Remote Access Using PPTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
Remote Access Using L2TP and IPsec. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Site‐to‐Site and Remote Access Using OpenVPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Comparing VPN Solutions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
PPTP.................................................................................... 7
L2TP/IPsec. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7 Pre‐
shared keys (L2TP/IPsec) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8 X.509
certificates (L2TP/IPsec) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
VPNs and NAT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8

Chapter 2 IPsec Site‐to‐Site VPN. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9

IPsec Site‐to‐Site VPN Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
IPsec Site‐to‐Site VPN Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
IPsec Architecture . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11 IPsec
Phase 1 and Phase 2 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 IKE Key
Exchange . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13 Encryption
Ciphers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 Hash
Algorithms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 Pre‐Shared
Keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 Digital
Signatures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16 Diffie‐Hellman
Groups . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 IPsec
Modes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18

VPN 6.5R1 v01 Vyatta

 iv

Perfect Forward Secrecy . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19

Committing VPN Configuration Changes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
Configuring a Basic Site‐to‐Site Connection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
Authenticating with RSA Digital Signatures . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Generate a Digital Signature on WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
Generate a Digital Signature on EAST. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
Record EAST’s Public Key on WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
Modify WEST’s Connection to EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
Record WEST’s Public Key on EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
Modify EAST’s Connection to WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
Authenticating with X.509 Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
Modify WEST’s Connection to EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
Modify EAST’s Connection to WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
Defining a VPN Connection to a Peer with a Dynamic IP Address . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
Defining a VPN Connection to a Peer Using Dynamic DNS. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
Defining a VPN Connection with NAT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
Configuring IPsec Tunnels between Three Gateways. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
Configure SOUTH . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
Protecting a GRE Tunnel with IPsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
Bridging. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Configuring a Basic Site‐to‐Site Connection with a Virtual Tunnel Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . 89
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 90
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 92
Configuring a Basic Site‐to‐Site Connection over IPv6 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
Configure WEST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
Configure EAST . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96
Monitoring IPsec Site‐to‐Site VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
Showing IKE Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
Showing IPsec Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 100

VPN 6.5R1 v01 Vyatta

 v

Viewing IPsec VPN Debug Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102

Sending IPSec VPN Messages to Syslog . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
IPsec Site‐to‐Site VPN Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105
generate vpn rsa‐key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
generate vpn x509 key‐pair <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
reset vpn ipsec‐peer <peer> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112
restart vpn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
show vpn debug . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114
show vpn ike rsa‐keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
show vpn ike sa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
show vpn ike secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
show vpn ike status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
show vpn ipsec sa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
show vpn ipsec sa detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
show vpn ipsec sa nat‐traversal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
show vpn ipsec sa statistics. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
show vpn ipsec status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132 vpn
ipsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134 vpn
ipsec auto‐update <interval>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135 vpn
ipsec esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137 vpn
ipsec esp‐group <name> compression <state> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139 vpn
ipsec esp‐group <name> lifetime <lifetime> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141 vpn
ipsec esp‐group <name> mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143 vpn
ipsec esp‐group <name> pfs <pfs> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145 vpn
ipsec esp‐group <name> proposal <num> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147 vpn
ipsec esp‐group <name> proposal <num> encryption <cipher> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149 vpn
ipsec esp‐group <name> proposal <num> hash <hash> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151 vpn
ipsec ike‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153 vpn
ipsec ike‐group <name> dead‐peer‐detection. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155 vpn
ipsec ike‐group <name> lifetime <lifetime>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157 vpn
ipsec ike‐group <name> proposal <num> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159 vpn
ipsec ike‐group <name> proposal <num> dh‐group <group>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161 vpn
ipsec ike‐group <name> proposal <num> encryption <cipher> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163 vpn
ipsec ike‐group <name> proposal <num> hash <hash> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165 vpn
ipsec ipsec‐interfaces interface <if‐name>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167 vpn
ipsec logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169 vpn
ipsec nat‐networks allowed‐network <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171 vpn
ipsec nat‐traversal <state>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173 vpn
ipsec site‐to‐site peer <peer> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175 vpn
ipsec site‐to‐site peer <peer> authentication id <id> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 vpn
ipsec site‐to‐site peer <peer> authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179

VPN 6.5R1 v01 Vyatta

 vi

vpn ipsec site‐to‐site peer <peer> authentication pre‐shared‐secret <secret> . . . . . . . . . . . . . . . . . . . . . . . . . 181

vpn ipsec site‐to‐site peer <peer> authentication remote‐id <id> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
vpn ipsec site‐to‐site peer <peer> authentication rsa‐key‐name <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
vpn ipsec site‐to‐site peer <peer> authentication x509 ca‐cert‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . 187
vpn ipsec site‐to‐site peer <peer> authentication x509 cert‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . 189
vpn ipsec site‐to‐site peer <peer> authentication x509 crl‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
vpn ipsec site‐to‐site peer <peer> authentication x509 key file <file‐name>. . . . . . . . . . . . . . . . . . . . . . . . . . . 193
vpn ipsec site‐to‐site peer <peer> authentication x509 key password <password> . . . . . . . . . . . . . . . . . . . . . 195
vpn ipsec site‐to‐site peer <peer> connection‐type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
vpn ipsec site‐to‐site peer <peer> default‐esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
vpn ipsec site‐to‐site peer <peer> description <desc> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
vpn ipsec site‐to‐site peer <peer> dhcp‐interface <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
vpn ipsec site‐to‐site peer <peer> ike‐group <group> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
vpn ipsec site‐to‐site peer <peer> local‐address <address> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> allow‐nat‐networks <state> . . . . . . . . . . . . . . . . . . . . . . . 209
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> allow‐public‐networks <state> . . . . . . . . . . . . . . . . . . . . . 211
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> disable. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> local . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> protocol <protocol> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> remote . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
vpn ipsec site‐to‐site peer <peer> vti bind <vtix> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
vpn ipsec site‐to‐site peer <peer> vti esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
vpn rsa‐keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 227

Chapter 3 Virtual Tunnel Interfaces . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 229

Virtual Tunnel Interface Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
Benefits. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
Restrictions and Limitations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 230
Virtual Tunnel Interface Configuration Examples. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
Creating a Virtual Tunnel Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231
Virtual Tunnel Interface Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 232
clear interfaces vti counters . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
interfaces vti <vtix> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
interfaces vti <vtix> address <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
interfaces vti <vtix> description <descr> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
interfaces vti <vtix> disable. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
interfaces vti <vtix> mtu <mtu> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 240
monitor interfaces vti <vtix> traffic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
show interfaces vti. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
show interfaces vti detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246

VPN 6.5R1 v01 Vyatta

 vii

show interfaces vti <vtix> brief. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247

Chapter 4 Remote Access VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 248

Remote Access VPN Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Remote Access VPN Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249
Remote VPN Access using PPTP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252 Remote
VPN Access Using L2TP/IPsec with Pre‐Shared Key . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 252 Remote VPN
Access Using L2TP/IPsec with X.509 Certificates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 253 Planning
Considerations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 257 Connecting
Remotely Using Site‐to‐Site IPSec. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258 Remote Access
using OpenVPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258 Configuring with Zone‐
Based Firewall . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258 Remote Access VPN
Configuration Examples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 258 PPTP VPN Example . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 259 L2TP/IPsec with Pre‐Shared Key
VPN Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 261 L2TP/IPsec with X.509 Certificates VPN
Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263 PPTP VPN Example with a Dynamic IP Address
and using Dynamic DNS . . . . . . . . . . . . . . . . . . . . . . . . . . 267 Configuring Split Tunneling on a Windows Client . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270
Monitoring Remote Access VPN . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
Showing Interface Information. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
Showing Remote Access VPN Information . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271
Remote Access VPN Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 273
reset vpn remote‐access interface <interface>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
reset vpn remote‐access user <user‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
show vpn remote‐access. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 280 vpn
l2tp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 282 vpn
l2tp remote‐access authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283 vpn l2tp
remote‐access authentication local‐users user‐name <user‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . 285 vpn l2tp
remote‐access authentication radius‐server <ipv4> key <key> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287 vpn l2tp
remote‐access client‐ip‐pool start <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289 vpn l2tp
remote‐access client‐ip‐pool stop <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 291 vpn l2tp
remote‐access dhcp‐interface <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 293 vpn l2tp
remote‐access dns‐servers server‐1 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 295 vpn l2tp
remote‐access dns‐servers server‐2 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 297 vpn l2tp
remote‐access ipsec‐settings authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299 vpn l2tp
remote‐access ipsec‐settings authentication pre‐shared‐secret <secret> . . . . . . . . . . . . . . . . . . . . . 301 vpn l2tp
remote‐access ipsec‐settings authentication x509 ca‐cert‐file <file‐name> . . . . . . . . . . . . . . . . . . . . 303 vpn l2tp
remote‐access ipsec‐settings authentication x509 crl‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . 305 vpn l2tp
remote‐access ipsec‐settings authentication x509 server‐cert‐file <file‐name>. . . . . . . . . . . . . . . . . 307 vpn l2tp
remote‐access ipsec‐settings authentication x509 server‐key‐file <file‐name> . . . . . . . . . . . . . . . . . 309 vpn l2tp
remote‐access ipsec‐settings authentication x509 server‐key‐password <password> . . . . . . . . . . . 311

VPN 6.5R1 v01 Vyatta

 viii

vpn l2tp remote‐access ipsec‐settings ike‐lifetime <lifetime>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313

vpn l2tp remote‐access mtu <mtu> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 315
vpn l2tp remote‐access outside‐address <ipv4>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 317
vpn l2tp remote‐access outside‐nexthop <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 319
vpn l2tp remote‐access wins‐servers server‐1 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 320
vpn l2tp remote‐access wins‐servers server‐2 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 322
vpn pptp . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 324
vpn pptp remote‐access authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 325
vpn pptp remote‐access authentication local‐users user‐name <user‐name> . . . . . . . . . . . . . . . . . . . . . . . . . 327
vpn pptp remote‐access authentication radius‐server <ipv4> key <key>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 329
vpn pptp remote‐access client‐ip‐pool start <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 331
vpn pptp remote‐access client‐ip‐pool stop <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 333
vpn pptp remote‐access dhcp‐interface <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 335
vpn pptp remote‐access dns‐servers server‐1 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 337
vpn pptp remote‐access dns‐servers server‐2 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 339
vpn pptp remote‐access mtu <mtu> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 341
vpn pptp remote‐access outside‐address <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 343
vpn pptp remote‐access wins‐servers server‐1 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 345
vpn pptp remote‐access wins‐servers server‐2 <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 347

Chapter 5 OpenVPN. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 349

OpenVPN Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350
OpenVPN Security Mechanisms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350
Pre‐Shared Secret. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350
TLS................................................................................... 351 OpenVPN Modes of Operation . . . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 352 Site‐to‐Site
Operation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 352 Remote Access
Operation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 353 Client‐Side Access to an
OpenVPN Access Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 354 Configuration Examples for Basic
Usage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 356 Site‐to‐Site Mode with Pre‐Shared
Secret . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 356 Site‐to‐Site Mode with TLS . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360 Client‐Server Mode . . . . . . . . . . . . . . . . . . . . . . . . . . . .
. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 363 Setting Up OpenVPN Clients on Windows
Hosts . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366 Firewall
Configuration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 367 Using an
OpenVPN Access Server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 368 Configuration
Examples for Advanced Options. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 371 Transport
Protocol (Site‐to‐Site, Client, Server) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 371 Cryptographic
Algorithms (Site‐to‐Site, Client, Server). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 373 Split Tunnelling (Site‐
to‐Site, Client, Server) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 374 Broadcast Network (Site‐to‐
Site, Client, Server) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 375

VPN 6.5R1 v01 Vyatta

 ix

Multiple Remote Endpoints (Client Only). . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 377 Client‐

Server Topology (Server Only) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 378 Client‐Specific
Settings (Server Only) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 378 Unsupported OpenVPN
Options. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 381
Bridging. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 383
OpenVPN Commands . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 384
generate vpn openvpn‐key <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 388
interfaces openvpn <vtunx> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 389
interfaces openvpn <vtunx> description <desc>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 390
interfaces openvpn <vtunx> device‐type tap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 392
interfaces openvpn <vtunx> disable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 394
interfaces openvpn <vtunx> encryption <algorithm> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 395
interfaces openvpn <vtunx> hash <algorithm>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 397
interfaces openvpn <vtunx> local‐address <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 399
interfaces openvpn <vtunx> local‐host <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 401
interfaces openvpn <vtunx> local‐port <port> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403
interfaces openvpn <vtunx> mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 405
interfaces openvpn <vtunx> openvpn‐option <options> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 407
interfaces openvpn <vtunx> protocol <protocol>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 409
interfaces openvpn <vtunx> remote‐address <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 411
interfaces openvpn <vtunx> remote‐configuration password <password> . . . . . . . . . . . . . . . . . . . . . . . . . . . . 413
interfaces openvpn <vtunx> remote‐configuration server <address> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 415
interfaces openvpn <vtunx> remote‐configuration tunnel‐password <password>. . . . . . . . . . . . . . . . . . . . . . 417
interfaces openvpn <vtunx> remote‐configuration tunnel‐username <username> . . . . . . . . . . . . . . . . . . . . . 419
interfaces openvpn <vtunx> remote‐configuration username <username> . . . . . . . . . . . . . . . . . . . . . . . . . . . 421
interfaces openvpn <vtunx> remote‐host <hostname> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 423
interfaces openvpn <vtunx> remote‐port <port> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 425
interfaces openvpn <vtunx> replace‐default‐route . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 427
interfaces openvpn <vtunx> server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 429
interfaces openvpn <vtunx> server client <client‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 430
interfaces openvpn <vtunx> server client <client‐name> disable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 432
interfaces openvpn <vtunx> server client <client‐name> ip <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 434
interfaces openvpn <vtunx> server client <client‐name> push‐route <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . 436
interfaces openvpn <vtunx> server client <client‐name> subnet <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . 438
interfaces openvpn <vtunx> server domain‐name <domain‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 440
interfaces openvpn <vtunx> server max‐connections <num> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 442
interfaces openvpn <vtunx> server name‐server <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444
interfaces openvpn <vtunx> server push‐route <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446
interfaces openvpn <vtunx> server subnet <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 448
interfaces openvpn <vtunx> server topology <topology> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450
interfaces openvpn <vtunx> shared‐secret‐key‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 452

VPN 6.5R1 v01 Vyatta

 x

interfaces openvpn <vtunx> tls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 454

interfaces openvpn <vtunx> tls ca‐cert‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 455
interfaces openvpn <vtunx> tls cert‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 457
interfaces openvpn <vtunx> tls crl‐file <filename>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 459
interfaces openvpn <vtunx> tls dh‐file <filename>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 461
interfaces openvpn <vtunx> tls key‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 463
interfaces openvpn <vtunx> tls role <role> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 465
monitor interfaces openvpn <interface> traffic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 467
reset openvpn client <client‐name>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
reset openvpn interface <vtunx> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 469
show interfaces openvpn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 470
show interfaces openvpn <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 471
show interfaces openvpn <interface> brief. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 472
show interfaces openvpn detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 473
show openvpn status client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 474
show openvpn status server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 475
show openvpn status site‐to‐site . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 476

Glossary of Acronyms . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 478

VPN 6.5R1 v01 Vyatta

 xi

Quick List of Commands

Use this list to help you quickly locate commands.

clear interfaces vti counters . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 234
generate vpn openvpn‐key <filename>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 388
generate vpn rsa‐key. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
generate vpn x509 key‐pair <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111
interfaces openvpn <vtunx> description <desc> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 390
interfaces openvpn <vtunx> device‐type tap . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 392
interfaces openvpn <vtunx> disable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 394
interfaces openvpn <vtunx> encryption <algorithm> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 395
interfaces openvpn <vtunx> hash <algorithm> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 397
interfaces openvpn <vtunx> local‐address <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 399
interfaces openvpn <vtunx> local‐host <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 401
interfaces openvpn <vtunx> local‐port <port> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 403
interfaces openvpn <vtunx> mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 405
interfaces openvpn <vtunx> openvpn‐option <options>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 407
interfaces openvpn <vtunx> protocol <protocol> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 409
interfaces openvpn <vtunx> remote‐address <ipv4>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 411
interfaces openvpn <vtunx> remote‐configuration password <password>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 413
interfaces openvpn <vtunx> remote‐configuration server <address> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 415
interfaces openvpn <vtunx> remote‐configuration tunnel‐password <password> . . . . . . . . . . . . . . . . . . . . . . . . . 417
interfaces openvpn <vtunx> remote‐configuration tunnel‐username <username> . . . . . . . . . . . . . . . . . . . . . . . . . 419
interfaces openvpn <vtunx> remote‐configuration username <username> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 421
interfaces openvpn <vtunx> remote‐host <hostname>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 423
interfaces openvpn <vtunx> remote‐port <port>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 425
interfaces openvpn <vtunx> replace‐default‐route . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 427
interfaces openvpn <vtunx> server client <client‐name> disable. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 432
interfaces openvpn <vtunx> server client <client‐name> ip <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 434
interfaces openvpn <vtunx> server client <client‐name> push‐route <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . 436
interfaces openvpn <vtunx> server client <client‐name> subnet <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 438
interfaces openvpn <vtunx> server client <client‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 430
interfaces openvpn <vtunx> server domain‐name <domain‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 440
interfaces openvpn <vtunx> server max‐connections <num>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 442
interfaces openvpn <vtunx> server name‐server <ipv4>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444

VPN 6.5R1 v01 Vyatta

 xii

interfaces openvpn <vtunx> server push‐route <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 446

interfaces openvpn <vtunx> server subnet <ipv4net>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 448
interfaces openvpn <vtunx> server topology <topology> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 450
interfaces openvpn <vtunx> server . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 429
interfaces openvpn <vtunx> shared‐secret‐key‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 452
interfaces openvpn <vtunx> tls ca‐cert‐file <filename>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 455
interfaces openvpn <vtunx> tls cert‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 457
interfaces openvpn <vtunx> tls crl‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 459
interfaces openvpn <vtunx> tls dh‐file <filename> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 461
interfaces openvpn <vtunx> tls key‐file <filename>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 463
interfaces openvpn <vtunx> tls role <role>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 465
interfaces openvpn <vtunx> tls . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 454
interfaces openvpn <vtunx> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 389
interfaces vti <vtix> address <ipv4>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 236
interfaces vti <vtix> description <descr>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 238
interfaces vti <vtix> disable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 239
interfaces vti <vtix> mtu <mtu> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 240
interfaces vti <vtix> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 235
monitor interfaces openvpn <interface> traffic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 467
monitor interfaces vti <vtix> traffic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 242
reset openvpn client <client‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468
reset openvpn interface <vtunx> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 469
reset vpn ipsec‐peer <peer>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112
reset vpn remote‐access interface <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 277
reset vpn remote‐access user <user‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 278
restart vpn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
show interfaces openvpn <interface> brief . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 472
show interfaces openvpn <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 471
show interfaces openvpn detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 473
show interfaces openvpn . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 470
show interfaces vti <vtix> brief . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 247
show interfaces vti detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 246
show interfaces vti . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244
show openvpn status client . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 474
show openvpn status server. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 475
show openvpn status site‐to‐site . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 476

VPN 6.5R1 v01 Vyatta

 xiii

show vpn debug. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 114

show vpn ike rsa‐keys . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 117
show vpn ike sa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119
show vpn ike secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 121
show vpn ike status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122
show vpn ipsec sa detail . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126
show vpn ipsec sa nat‐traversal . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 129
show vpn ipsec sa statistics . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130
show vpn ipsec sa . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
show vpn ipsec status . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 132
show vpn remote‐access . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 280
vpn ipsec auto‐update <interval> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135
vpn ipsec esp‐group <name> compression <state> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 139
vpn ipsec esp‐group <name> lifetime <lifetime> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141
vpn ipsec esp‐group <name> mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 143
vpn ipsec esp‐group <name> pfs <pfs> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 145
vpn ipsec esp‐group <name> proposal <num> encryption <cipher> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 149
vpn ipsec esp‐group <name> proposal <num> hash <hash>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 151
vpn ipsec esp‐group <name> proposal <num> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 147
vpn ipsec esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137
vpn ipsec ike‐group <name> dead‐peer‐detection . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 155
vpn ipsec ike‐group <name> lifetime <lifetime> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 157
vpn ipsec ike‐group <name> proposal <num> dh‐group <group> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 161
vpn ipsec ike‐group <name> proposal <num> encryption <cipher>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 163
vpn ipsec ike‐group <name> proposal <num> hash <hash> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 165
vpn ipsec ike‐group <name> proposal <num> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 159
vpn ipsec ike‐group <name>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 153
vpn ipsec ipsec‐interfaces interface <if‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 167
vpn ipsec logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 169
vpn ipsec nat‐networks allowed‐network <ipv4net> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171
vpn ipsec nat‐traversal <state> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 173
vpn ipsec site‐to‐site peer <peer> authentication id <id> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177
vpn ipsec site‐to‐site peer <peer> authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179
vpn ipsec site‐to‐site peer <peer> authentication pre‐shared‐secret <secret>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
vpn ipsec site‐to‐site peer <peer> authentication remote‐id <id> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
vpn ipsec site‐to‐site peer <peer> authentication rsa‐key‐name <name>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185

VPN 6.5R1 v01 Vyatta

 xiv

vpn ipsec site‐to‐site peer <peer> authentication x509 ca‐cert‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . 187
vpn ipsec site‐to‐site peer <peer> authentication x509 cert‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 189
vpn ipsec site‐to‐site peer <peer> authentication x509 crl‐file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 191
vpn ipsec site‐to‐site peer <peer> authentication x509 key file <file‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 193
vpn ipsec site‐to‐site peer <peer> authentication x509 key password <password> . . . . . . . . . . . . . . . . . . . . . . . . . 195
vpn ipsec site‐to‐site peer <peer> connection‐type. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 197
vpn ipsec site‐to‐site peer <peer> default‐esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
vpn ipsec site‐to‐site peer <peer> description <desc>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 201
vpn ipsec site‐to‐site peer <peer> dhcp‐interface <interface> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 203
vpn ipsec site‐to‐site peer <peer> ike‐group <group> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 205
vpn ipsec site‐to‐site peer <peer> local‐address <address> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 207
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> allow‐nat‐networks <state> . . . . . . . . . . . . . . . . . . . . . . . . . . . 209
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> allow‐public‐networks <state> . . . . . . . . . . . . . . . . . . . . . . . . . 211
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> disable . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 213
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> local. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 217
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> protocol <protocol> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 219
vpn ipsec site‐to‐site peer <peer> tunnel <tunnel> remote . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 221
vpn ipsec site‐to‐site peer <peer> vti bind <vtix>. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 223
vpn ipsec site‐to‐site peer <peer> vti esp‐group <name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 225
vpn ipsec site‐to‐site peer <peer> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 175
vpn ipsec . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134
vpn l2tp remote‐access authentication local‐users user‐name <user‐name> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 285
vpn l2tp remote‐access authentication mode <mode> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 283
vpn l2tp remote‐access authentication radius‐server <ipv4> key <key> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 287
vpn l2tp remote‐access client‐ip‐pool start <ipv4> . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 289