Документация

Настройка IPSec VPN-туннеля в AZ1/AZ2

Примечание

VMware-организация, в которой нужно настроить безопасную передачу данных через IPSec VPN-туннель, должна быть создана в зоне доступности AZ1-DC3-RTK-Moscow-V или AZ2-DC4-RTK-Moscow-VI (присутствует GPU).

Чтобы настроить безопасную передачу данных через IPSec VPN-туннель между виртуальными дата-центрами А и Б, в каждом виртуальном дата-центре:

  1. Создайте хотя бы одну виртуальную машину. 
  2. Создайте маршрутизатор (Edge Gateway) одним из способов:
  3. Создайте Routed-сеть.
  4. Создайте IPSec VPN-туннель.
  5. Проверьте работоспособность IPSec VPN-туннеля.

Создание IPSec VPN-туннеля

Для примера создадим IPSec VPN-туннель между двумя виртуальными дата-центрами внутри одной VMware-организации. Маршрутизатор виртуального дата-центра А 

Чтобы создать IPSec VPN-туннель в локальном маршрутизаторе виртуального дата-центра А:

  1. Войдите в VMware-организацию (в зоне доступности AZ1-DC3-RTK-Moscow-V или AZ2-DC4-RTK-Moscow-VI (присутствует GPU)), в которой нужно создать IPSec VPN-туннель.
  2. Перейдите в раздел Networking → Edge Gateways и выберите маршрутизатор, в котором нужно создать IPSec VPN-туннель.
  3. В разделе IPSec VPN нажмите на кнопку NEW.
  4. Заполните поля:

    • Description
    • Security Profile
    • Status
    • Logging активируйте переключатель, чтобы включить логирование.
  5. Нажмите на кнопку NEXT. 
  6. Заполните поля:
    • Authentication Mode
        • CA Certificate *
  7. Нажмите на кнопку NEXT. 
  8. Заполните поля:

    Local Endpoint

    • IP Address *
    • Networks *

    Remote Endpoint

    • IP Address *
    • Networks *
    • Remote ID
  9. Нажмите на кнопку NEXT. 
  10. Проверьте данные и нажмите на кнопку FINISH.
  11. Аналогично создайте VPN-туннель в удалённом маршрутизаторе виртуального дата-центра Б.

Созданный IPSec VPN-туннель отображается на платформе VMware Cloud Director: 

Проверка работоспособности IPSec VPN-туннеля

Чтобы проверить работоспособность IPSec VPN-туннеля:

  1. Войдите в VMware-организацию (в зоне доступности AZ1-DC3-RTK-Moscow-V или AZ2-DC4-RTK-Moscow-VI (присутствует GPU)), в которой нужно проверить работоспособность IPSec VPN-туннеля.
  2. Перейдите в раздел Networking → Edge Gateways и выберите нужный маршрутизатор.
  3. В разделе IPSec VPN выберите IPSec VPN-туннель, работоспособность которого нужно проверить.
  4. Нажмите на кнопку VIEW STATISTICS.

Статус работающего VPN-туннеля отображается в столбцах Tunnel Status и IKE service Status — Up.

Настройка параметров Security Profile

Чтобы настроить профиль безопасности

  1. Войдите в VMware-организацию (в зоне доступности AZ1-DC3-RTK-Moscow-V или AZ2-DC4-RTK-Moscow-VI (присутствует GPU)), в которой нужно настроить профиль безопасности IPSec VPN-туннеля.
  2. Перейдите в раздел Networking → Edge Gateways и выберите нужный маршрутизатор.
  3. В разделе IPSec VPN выберите IPSec VPN-туннель, профиль безопасности которого нужно настроить.
  4. Нажмите на кнопку SECURITY PROFILE CUSTOMIZATION.
  5. Измените настройки профиля безопасности

    IKE Profiles профили обмена ключами в Интернете:

    • Version *
      • IKE v1;
      • IKE v2;
      • IKE Flex;
    • Encryption *

      • AES 128 — AES128-CBC;

      • AES 256 — AES256-CBC;

      • AES-GCM 128 — AES128-GCM;

      • AES-GCM 192 — AES192-GCM;
      • AES-GCM 256 — AES256-GCM;
    • Digest * — фиксированный размер хэша для любого сообщения:
      • SHA 1 — 160 бит;
      • SHA 2 - 256 — 256 бит;
      • SHA 2 - 384 — 384 бита;
      • SHA 2 - 512 — 512 бит;
    • Diffie-Hellman Group * — группа определяет длину ключа, используемого для передачи ключа сеанса:
      • Group 2 — длина ключа 1024 бита;
      • Group 5 — длина ключа 1536 бит;
      • Group 14 — длина ключа 2048 бит;
      • Group 15 — длина ключа 3072 бита;
      • Group 16 — длина ключа 4096 бит;
      • Group 19 — длина ключа 256 бит;
      • Group 20 — длина ключа 384 бита;
      • Group 21 — длина ключа 521 бит;
    • Association Life Time (seconds) — количество секунд, по истечении которых IPSec VPN-туннель будет переустанавливаться.

    Tunnel Configuration настройки IPSec :

    • Enable Perfect Forward Secrecy —

    • Defragmentation Policy — политика дефрагментации. Помогает обрабатывать биты дефрагментации, присутствующие во внутреннем пакете:

      • Copy — копирование бита дефрагментации из внутреннего IP-пакета во внешний IP-пакет;

      • Clear — игнорирование бита дефрагментации, который присутствует во внутреннем IP-пакете;

    • Encryption *

      • AES 128 — AES128-CBC;

      • AES 256 — AES256-CBC;

      • AES-GCM 128 — AES128-GCM;

      • AES-GCM 192 — AES192-GCM;
      • AES-GCM 256 — AES256-GCM;
    • Diffie-Hellman Group * — группа определяет длину ключа, используемого для передачи ключа сеанса:
      • Group 2 — длина ключа 1024 бита;
      • Group 5 — длина ключа 1536 бит;
      • Group 14 — длина ключа 2048 бит;
      • Group 15 — длина ключа 3072 бита;
      • Group 16 — длина ключа 4096 бит;
      • Group 19 — длина ключа 256 бит;
      • Group 20 — длина ключа 384 бита;
      • Group 21 — длина ключа 521 бит;
    • Association Life Time (seconds) — количество секунд, по истечении которых IPSec VPN-туннель будет переустанавливаться.

    DPD Configuration — настройки DPD-сессии (обнаружение неработающего IPSec VPN-туннеля):

    • Probe Interval (seconds) — количество секунд отсутствия входящего трафика от удалённого маршрутизатора. По истечении указанного количества секунд активируется DPD-сессия при наличии исходящего трафика от локального маршрутизатора.
  6. Нажмите на кнопку SAVE.

В этой статье

Мы ответили на ваш вопрос?