Настройка Juniper Dynamic VPN (Remote Access VPN) на оборудовании Juniper SRX (JunOS version 10.4R4.5)

root@SRX240> show system license
License usage:
			Licenses 	Licenses 	Licenses 	Expiry
Feature name 		    used 	installed   	  needed
av_key_kaspersky_engine        0 		1 	       0        2013-01-01 00:00:00 UTC
anti_spam_key_sbl 	       0 		2 	       0 	2013-01-01 00:00:00 UTC
wf_key_surfcontrol_cpa 	       0 		1 	       0 	2013-01-01 00:00:00 UTC
idp-sig 		       0 		1 	       0 	2013-01-01 00:00:00 UTC      
[b]dynamic-vpn 		       1 		10 	       0 	2011-07-25 00:00:00 UTC[/b]

root@SRX240> show version
Hostname: SRX240
Model: srx240h
JUNOS Software Release [10.4R4.5]

security {
    ike {
        proposal VPN-Clients {
            description VPN-Clients;
            authentication-method pre-shared-keys;
            dh-group group2;
            authentication-algorithm sha1;
            encryption-algorithm aes-128-cbc;
            lifetime-seconds 28800;
                                        
        }
        policy VPN-Clients {
            mode aggressive;
            description VPN-Clients;
            proposals VPN-Clients;    #присваиваем политике IKE вышесозданные параметры IKE "VPN-Clients"
            pre-shared-key ascii-text "$9$QM4Oz/tEhreK8IEX-VboaUjHmT3/Cu"; ## SECRET-DATA  ##Задаём любое значение ключа. 
        }
        }
        gateway VPN-Clients {
	    ike-policy VPN-Clients;   #присваиваем IKE-шлюзу политику IKE - "VPN-Clients" 	
            dynamic {
                hostname vpn.test;  #В нашем случае можно указать любое буквенное значение. Обычно используется для идентификации нужного IKE-шлюза удалённой стороной (при установке dynamic Site-to-Site туннелей). 
		connections-limit 10;   #обязательно нужно указать лимит соединений (не более чем кол-во по лицензии), иначе будет ошибка соединения!
		ike-user-type shared-ike-id;   #для возможности использования данного IKE-шлюза для нескольких удалённых клиентов одновременно, необходимо указать shared-ike-id или group-ike-id.
            }
            external-interface ge-0/0/15.0;   #обязательно указываем внешний интерфейс, подключенный к сети Интернет, для установления IKE-туннеля
	    xauth access-profile VPN-Clients;   #указываем профиль дополнительной аутентификации для удалённых клиентов.

security {
    ipsec {
        proposal VPN-Clients { #задаём параметры шифрования трафика
            description VPN-Clients;
                                        
            protocol esp;
            authentication-algorithm hmac-sha1-96;
            encryption-algorithm 3des-cbc;
            lifetime-seconds 3600;
        }
        policy VPN-Clients { #создаём политику IPsec
            description VPN-Clients;
            perfect-forward-secrecy {
                keys group2;
            }
            proposals VPN-Clients; #присваиваем политике IPSec-туннеля вышесозданные параметры шифрования"
        }
	 vpn VPN-Users { #создаём VPN IPSec-шлюз и включаем в него ранее созданные параметры IKE и IPSec.
            ike { 
                gateway VPN-Clients; #ранее созданный IKE-шлюз
                idle-time 3600;
                ipsec-policy VPN-Clients; #ранее созданная IPSec-политика
	}
}

interfaces {
    ge-0/0/1 {
        description LAN;
        unit 0 {
            family inet {
                address 10.10.10.1/24;
	   	}
	}
    ge-0/0/15 {
        description Internet;
        unit 0 {
            family inet {
                address 198.0.0.1/30;

		}
	}

security {
     nat {
        source {
            rule-set Trust-to-Internet { #NAT для прохождения в интернет пользователей локальной сети
                from zone trust;
                to zone Internet;
		rule ALL {
                    match {
                        source-address 0.0.0.0/0;
                    }
                    then {
                        source-nat {
                            interface;
                        }

     zones {
        security-zone trust { #зона локальной сети
            address-book {
                address LAN 10.10.10.0/24; #создаём название "LAN" для локальной подсети в зоне trust
                
		 }
            host-inbound-traffic { 
                system-services {
                    all;
                }
                protocols {
                    all;
                }
       	    interfaces {
                ge-0/0/1.0;
		}
	    }
    	security-zone Internet { #настраиваем зону Интернет
                         
            interfaces { #включаем в зону Интернет интерфейс ge-0/0/15
                ge-0/0/15.0;
            	 host-inbound-traffic { #и только на этот конкретный интерфейс отрываем доступ из Интернет на порты для установления туннеля: IKE и HTTPS. (ping - не обязательно)
                    system-services {
                        ike;
                        ping;
                        https;
                    }    
		}
	}
     policies {	
	from-zone trust to-zone Internet { #создаём политику для прохождения трафика из локальной сети в Интернет (в данном случае весь трафик открыт для прохождения)
	
	    policy Default {
                match {
                    source-address any;
                    destination-address any;
                    application any;
                }
                then {
                    permit;
			}
		}
	 from-zone Internet to-zone trust { #создаём политику для прохождения трафика из Интернет в локальную сеть (Пропускаем только туннельный трафик, причём для конкретного VPN-туннеля с названием "VPN-Users", который мы создали ранее в контексте "security ipsec vpn". Всё остальное по умолчанию закрыто).
	     policy VPN-Access {
                match {
                    source-address any;
                    destination-address LAN;
                    application any;
                }
                then {
                    permit {
                        tunnel {
                            ipsec-vpn VPN-Users;

security {
    dynamic-vpn { 
        access-profile VPN-Clients; #создаём dynamic vpn и присваиваем ему профиль доступа с названием "VPN-Clients" (см.ниже access profile)
        clients {  #в параметрах dynamic vpn создаём clients VPN-test-users (группа настроек параметров туннеля, которая включает в себя параметры сетей для шифрования - "remote-protected-resources", пользователей которые должны входить в данную vpn-группу - "user test", и какой ipsec vpn шлюз будет применен для данной группы -  "ipsec-vpn VPN-Users" см.п.4)
            VPN-test-users {
                remote-protected-resources { #указываем сеть для туннеля
                    10.10.10.0/8;
                }
                remote-exceptions { #исключаем из туннеля все остальные сети
                    0.0.0.0/0;
                }
                ipsec-vpn VPN-Users; #указываем какой из ранее созданных VPN-шлюзов будет применен для данной dynamic-vpn группы 
                user { #указываем какие пользователи могут входить в данную dynamic-vpn группу 
                    test;
 
		}
	}
access {
    profile VPN-Clients { #создаём профиль доступа "VPN-Clients" для xauth и web-аутентификации
        authentication-order [ radius password ]; #в качестве сервера аутентификации выступает RADIUS-сервер, а в случае его недоступности - применяется локальная аутентфикация на SRX
        client test { #создание пользователя user на случай локальной аутентфикации
            firewall-user {
                password "$9$7oN2af5Vn6AmfRSylMWZUDk5Q6/tRhrTz"; ## SECRET-DATA
            }
        }
        address-assignment { #присваиваем данному профилю доступа DHCP-пул с названием "VPN-Clients"
            pool VPN-Clients;
        }
        radius-server { #описываем параметры RADIUS-сервера
            10.10.10.22 {
                port 1812;
                secret "$9$2egZj5T36/tP5u1REeK8X7VYoZUH"; ## SECRET-DATA
                timeout 10;
                retry 3;
                source-address 10.10.10.1;
            }
        }
    }
    address-assignment { 
        pool VPN-Clients { #создаём DHCP-пул
            family inet {
                network 10.10.11.0/24;
                range VPN-Clients {
                    low 10.10.11.50;
                    high 10.10.11.100;
                }
                dhcp-attributes {
                                        
                    maximum-lease-time 20000;
                    domain-name test.vpn;
                    }
		 xauth-attributes { #задаём параметры DNS-серверов, которые будут использоваться на клиенте, при подключении его к VPN-серверу. DNS-серверы для VPN-клиентов задаются именно ч/з xauth-attributes. Если задать DNS-серверы ч/з dhcp-attributes - эти DNS-серверы не будут автоматически использоваться при подключении клиента.
                    primary-dns 10.10.10.10/32;
                    secondary-dns 10.10.10.11/32;

                }
            }
        }
    }
    firewall-authentication { #указываем ранее созданный профиль "VPN-Clients" для WEB-аутентификации.
        web-authentication {
            default-profile VPN-Clients;

system {
	web-management {
            https {
                port 443;
                system-generated-certificate;
                interface ge-0/0/15.0;