Настройка передачи данных через VPN-туннель

VPN Site-to-Site — это технология, которая соединяет через Интернет две локальные сети в единую виртуальную сеть. Сети могут находиться где угодно: в разных компаниях, в разных странах, в облаках разных провайдеров и т.п. Соединение осуществляется через зашифрованный VPN-туннель между VPN-шлюзами в каждой сети. VPN-шлюз на одной стороне VPN-туннеля шифрует и отправляет трафик через Интернет на VPN-шлюз на другой стороне VPN-туннеля. Этот VPN-шлюз расшифровывает и направляет трафик получателям.

Пример настройки передачи данных через VPN-туннель

Для примера соединим через VPN-туннель две подсети из разных проектов. С одной стороны VPN-туннеля (Сторона А) используем сеть и подсеть, созданные по умолчанию (сеть default и подсеть default-ru-central1). Для другой стороны VPN-туннеля (Сторона Б) создадим новую подсеть в сети default:

Чтобы настроить безопасную передачу данных через VPN-туннель:

1. Подключите сервис Cloud Engine в каждом проекте, подсети которого нужно соединить VPN-туннелем. 
2. Создайте сети и подсети, которые нужно соединить VPN-туннелем. Подсети на разных сторонах VPN-туннеля не должны пересекаться.
3. При необходимости закажите серверы в созданных подсетях. 
4. Создайте VPN-шлюз на каждой стороне VPN-туннеля.
5. Создайте таблицу маршрутизации на каждой стороне VPN-туннеля.
6. Создайте VPN-туннель для каждого VPN-шлюза.

Создание сети и подсети

Создайте сети и подсети, которые нужно соединить VPN-туннелем. Подсети должны находиться в разных проектах. Подсети на разных сторонах VPN-туннеля не должны пересекаться.

В нашем примере для стороны Б требуется создать подсеть в сети default. Созданная подсеть отобразится на портале со статусом Доступно:

Создание VPN-шлюза

На каждой стороне VPN-туннеля создайте VPN-шлюз.

Чтобы создать VPN-шлюз для подсети А:

1. Выберите проект, в котором создана подсеть А.
2. В главном меню портала перейдите в раздел Ресурсы → Cloud Engine → VPN Site-to-Site.

3. Нажмите на кнопку Добавить.

4. Заполните поля:
   

   • Название шлюза — имя VPN-шлюза.

     Требования к имени VPN-шлюза

     • Длина имени — от 3 до 30 символов.
     • Может содержать строчные буквы латинского алфавита, цифры, дефисы.
     • Название должно начинаться с буквы.
   • Зона доступности и Дата-центр — зона доступности и ЦОД, в которых создана подсеть А;
   • Подсеть для VPN-шлюза — подсеть А, к которой будет подключен VPN-шлюз.

     Примечание

     Если VPN-шлюз используется для нескольких подсетей, укажите любую из них. Маршрутизация пакетов будет доступна ко всем подсетям, входящим в сеть.

   • Ограничение скорости, Мбит/сек — лимит пропускной способности канала. Значение должно быть кратно 100.
5. Нажмите на кнопку Создать.
6. Аналогично создайте VPN-шлюз для подсети Б.

VPN-шлюз можно перезапустить, удалить, а также изменить ограничение скорости.

Группы безопасности VPN-шлюза

Группа безопасности — правила, контролирующие входящий и исходящий трафик VPN-шлюза.

После создания VPN-шлюза автоматически создаётся группа безопасности sg-<имя VPN-шлюза>-<первые 4 символа идентификатора заказа VPN-шлюза>:

Группа безопасности для VPN-шлюза содержит правила для входящего и исходящего трафика:

Правила группы безопасности VPN-шлюза можно изменять.

Создание таблицы маршрутизации

На каждой стороне VPN-туннеля создайте таблицу маршрутизации и привяжите её к сети.

Чтобы настроить маршрутизацию на стороне А VPN-туннеля:

1. Выберите проект, в котором создана подсеть А.
2. Создайте таблицу маршрутизации:
   
   1. В поле Зона доступности * выберите зону доступности, в которой создана подсеть А.
   2. В поле Адрес сети * укажите IP-адрес подсети Б (противоположной стороны VPN-туннеля).
      Где посмотреть IP-адрес подсети Б?

      1. В главном меню портала перейдите в раздел Ресурсы → Cloud Engine → Сети.
      2. Нажмите на строку с сетью VPN-шлюза Б.
      3. IP-адрес подсети Б указан на вкладке Подсети:
         
   3. В поле Шлюз * укажите Внутренний IP-адрес VPN-шлюза А.
      Где посмотреть Внутренний IP-адрес VPN-шлюза А?

      1. В главном меню портала перейдите в раздел Ресурсы → Cloud Engine → VPN Site-to-Site.
      2. В строке с VPN-шлюзом А нажмите на кнопку .
      3. Внутренний IP-адрес указан в столбце Внутренний IP-адрес:
         
3. Привяжите созданную таблицу маршрутизации к сети А:
4. Аналогично создайте таблицу маршрутизации и привяжите её к сети Б.

В результате серверы, входящие в подсеть, которая указана в таблице маршрутизации, получат статический маршрут к этой подсети.

Создание VPN-туннеля

Создайте VPN-туннель для каждого VPN-шлюза.

Чтобы создать VPN-туннель для VPN-шлюза А:

1. Выберите проект, в котором создан VPN-шлюз А.
2. В главном меню портала перейдите в раздел Ресурсы → Cloud Engine → VPN Site-to-Site.
3. В строке с VPN-шлюзом А нажмите на кнопку .
4. Нажмите на кнопку + Создать туннель.
5. Заполните поля:

6. Нажмите на кнопку Создать.

7. Аналогично создайте VPN-туннель для VPN-шлюза Б.

Созданный VPN-туннель отобразится на портале:

Чтобы посмотреть подробную информацию о VPN-туннеле, нажмите на кнопку  в строке с нужным VPN-туннелем. Откроется страница с информацией о VPN-туннеле:

Созданный VPN-туннель можно перезапустить, изменить, удалить, а также посмотреть его статус и лог-файл.