VMware NSX за най-малките. Част 6. Настройка на VPN

Част първа. Въведение
Част втора. Настройка на правилата за Firewall и NAT
Част трета. Настройка на DHCP
Част четвърта. Настройка на маршрутизацията
Част пета. Настройка на натоварващ балансировач

Днес ще разгледаме възможностите за настройка на VPN, които NSX Edge ни предлага.

В общи линии можем да разделим VPN технологиите на два основни вида:

• Site-to-site VPN. Най-често се използва IPSec за създаване на защитен тунел, например между мрежата на главния офис и мрежата на отдалечен обект или в облака.
• Remote Access VPN. Използва се за свързване на отделни потребители с частните мрежи на организациите чрез VPN клиентски софтуер.

NSX Edge ни позволява да използваме и двата варианта.
Настройката ще се извърши с помощта на тестова инсталация с две NSX Edge, Linux сървър с инсталиран демон racoon и лаптоп с Windows за тестване на Remote Access VPN.

IPsec

1. В интерфейса на vCloud Director преминаваме в секция Administration и избираме vDC. На таба Edge Gateways избираме необходимия ни Edge, кликваме с десния бутон и избираме Edge Gateway Services.
   
2. В интерфейса на NSX Edge преминаваме на таба VPN-IPsec VPN, след това в секцията IPsec VPN Sites и натискаме +, за да добавим нова площадка.

   

3. Попълваме необходимите полета:
   • Активирано – активиране на отдалечената площадка.
   • PFS – гарантира, че всеки нов криптографски ключ не е свързан с никакъв предишен ключ.
   • Local ID и Local Endpoint– външният адрес на NSX Edge.
   • Local Subnets– локални мрежи, които ще използват IPsec VPN.
   • Peer ID и Peer Endpoint – адрес на отдалечената площадка.
   • Peer Subnets – мрежите, които ще използват IPsec VPN на отдалечената страна.
   • Encryption Algorithm – алгоритъм за шифроване на тунела.

   
   

   • Authentication – как ще аутентифицираме пира. Може да се използва Pre-Shared Key или сертификат.
   • Pre-Shared Key – указваме ключа, който ще се използва за аутентификация и трябва да съвпада от двете страни.
   • Diffie-Hellman Group – алгоритъм за обмен на ключове.

   След попълване на необходимите полета натискаме Keep.

   

4. Готово.

   

5. След добавяне на площадката преминаваме на таба Activation Status и активираме IPsec Service.

   

6. След като настройките бъдат приложени, преминаваме на таба Statistics —> IPsec VPN и проверяваме статуса на тунела. Виждаме, че тунелът е активиран.

   

7. Проверка на статуса на тунела от конзолата на Edge gateway:
   • show service ipsec – проверка на състоянието на услугата.

     

   • show service ipsec site – информация за състоянието на сайта и съгласуваните параметри.

     

   • show service ipsec sa – проверка на статуса на Security Association (SA).

     

8. Проверка на свързаност с отдалечения сайт:

   root@racoon:~# ifconfig eth0:1 | grep inet
           inet 10.255.255.1  netmask 255.255.255.0  broadcast 0.0.0.0
   
   root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 
   PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data.
   64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms
   
   --- 192.168.0.10 ping статистики ---
   1 пакета изпратени, 1 получен, 0% загуба на пакети, време 0ms
   rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms
   

   Конфигурационни файлове и допълнителни команди за диагностика от страна на отдалечения Linux сървър:

   root@racoon:~# cat /etc/racoon/racoon.conf 
   
   log debug;
   path pre_shared_key "/etc/racoon/psk.txt";
   path certificate "/etc/racoon/certs";
   
   listen {
     isakmp 80.211.43.73 [500];
      strict_address;
   }
   
   remote 185.148.83.16 {
           exchange_mode main,aggressive;
           proposal {
                    encryption_algorithm aes256;
                    hash_algorithm sha1;
                    authentication_method pre_shared_key;
                    dh_group modp1536;
            }
            generate_policy on;
   }
    
   sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any {
            encryption_algorithm aes256;
            authentication_algorithm hmac_sha1;
            compression_algorithm deflate;
   }
   
   ===
   
   root@racoon:~# cat /etc/racoon/psk.txt
   185.148.83.16 testkey
   
   ===
   
   root@racoon:~# cat /etc/ipsec-tools.conf 
   #! /usr/sbin/setkey -f
   
   flush;
   spdflush;
   
   spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec
         esp/tunnel/185.148.83.16-80.211.43.73/require;
   
   spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec
         esp/tunnel/80.211.43.73-185.148.83.16/require;
   
   ===
   
   
   root@racoon:~# racoonctl show-sa isakmp
   Destination            Cookies                           Created
   185.148.83.16.500      2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 
   
   ===
   
   root@racoon:~# racoonctl show-sa esp
   80.211.43.73 185.148.83.16 
           esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000)
           E: aes-cbc  00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d
           A: hmac-sha1  aa9e7cd7 51653621 67b3b2e9 64818de5 df848792
           seq=0x00000000 replay=4 flags=0x00000000 состояние=зрял
           създадено: 22 май 13:46:13 2019   текущо: 22 май 14:07:43 2019
           diff: 1290(с)   hard: 3600(с)   soft: 2880(с)
           last: 22 май 13:46:13 2019      hard: 0(с)      soft: 0(с)
           current: 72240(байта)   hard: 0(байта)  soft: 0(байта)
           allocated: 860  hard: 0 soft: 0
           sadb_seq=1 pid=7739 refcnt=0
   185.148.83.16 80.211.43.73 
           esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000)
           E: aes-cbc  c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044
           A: hmac-sha1  cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878
           seq=0x00000000 replay=4 flags=0x00000000 состояние=зрял
           създадено: 22 май 13:46:13 2019   текущо: 22 май 14:07:43 2019
           diff: 1290(с)   hard: 3600(с)   soft: 2880(с)
           last: 22 май 13:46:13 2019      hard: 0(с)      soft: 0(с)
           current: 72240(байта)   hard: 0(байта)  soft: 0(байта)
           allocated: 860  hard: 0 soft: 0
           sadb_seq=0 pid=7739 refcnt=0

9. Всичко е готово, site-to-site IPsec VPN е настроен и работи.

   В този пример използвахме PSK за удостоверяване на партньора, но е възможен и вариант с удостоверяване чрез сертификати. За целта трябва да отидете в раздела Global Configuration, да активирате удостоверяването чрез сертификати и да изберете самия сертификат.

   Освен това, в настройките на сайта е необходимо да се смени методът на удостоверяване.

   
   
   
   
   Ще подчертая, че броят на IPsec тунелите зависи от размера на разположеното Edge Gateway (за това четете в нашата първа статия).

   

SSL VPN

SSL VPN-Plus е един от вариантите на Remote Access VPN. Той позволява на отделни дистанционни потребители безопасно да се свързват към частни мрежи, разположени зад NSX Edge шлюза. Шифрованият тунел в случай на SSL VPN-plus се установява между клиента (Windows, Linux, Mac) и NSX Edge.

1. Да започнем с настройките. В контролния панел на услугите Edge Gateway преминаваме в раздела SSL VPN-Plus, след което към Server Settings. Избираме адрес и порт, на който сървърът ще слуша входящи връзки, включваме логване и избираме необходимите алгоритми за шифриране.

   
   
   Тук също можем да променим сертификата, който ще използва сървърът.

   

2. След като всичко е готово, включваме сървъра и не забравяме да запазим настройки.

   

3. Следващата стъпка е да настроим пул адреси, които ще предоставяме на клиентите при свързване. Тази мрежа е отделена от всяка съществуваща подсистема във вашата среда NSX, не е необходимо да я конфигурирате на други устройства в физическите мрежи, освен маршрутите, които сочат към нея.

   Отиваме в раздела IP Pools и натискаме +.

   

4. Избираме адреси, маска на подсетите и шлюз. Тук също можем да променим настройките за DNS и WINS сървърите.

   

5. Получилия се пул.

   

6. Сега добавяме мрежи, до които ще имат достъп свързаните към VPN потребители. Ще преминем в раздела Private Networks и ще натиснем +.

   

7. Попълваме:
   • Network — локалната мрежа, до която ще имат достъп дистанционните потребители.
   • Send traffic, има две опции:
     — over tunnel – изпраща трафика към мрежата през тунела,
     — bypass tunnel – изпраща трафика към мрежата директно, заобикаляйки тунела.
   • Enable TCP Optimization – маркираме, ако сме избрали опцията over tunnel. Когато оптимизацията е включена, можете да зададете номерата на портовете, за които е необходимо да се оптимизира трафикът. Трафикът за останалите портове от тази конкретна мрежа няма да бъде оптимизиран. Ако номерата на портовете не са зададени, трафикът за всички портове ще бъде оптимизиран. За повече информация за тази функция четете тук.

   

8. След това преминаваме в раздела Authentication и натискаме +. За автентикация ще използваме локалния сървър на самия NSX Edge.

   

9. Тук можем да изберем политики за генериране на нови пароли и да настроим опции за блокиране на потребителските акаунти (например, броя на опитите при неправилно въвеждане на паролата).

   
   
   

10. Тъй като използваме локална автентификация, необходимо е да създадем потребители.

    

11. Освен основните неща като име и парола, тук можем, например, да забраним на потребителя да променя паролата или, обратно, да го принудим да я смени при следващото влизане.

    

12. След като всички необходими потребители са добавени, преминаваме на таба Installation Packages, натискаме + и създаваме самия инсталатор, който ще изтегли за инсталация на отдалечения служител.

    

13. Натискаме +. Избираме адреса и порта на сървъра, с който клиентът ще се свързва, и платформите, за които трябва да генерираме инсталационен пакет.

    
    
    По-долу в този прозорец можем да зададем параметри за клиента за Windows. Избираме:

    • start client on logon – VPN клиентът ще бъде добавен в автозагрузката на отдалечената машина;
    • create desktop icon – ще създаде иконка на VPN клиента на работния плот;
    • server security certificate validation – ще валидира сертификата на сървъра при свързване.
      Настройката на сървъра е завършена.

    

14. Сега ще изтеглим създадения от нас инсталационен пакет на отдалечения компютър. При настройката на сървъра указахме неговия външен адрес (185.148.83.16) и порт (445). Именно на този адрес трябва да преминем в уеб браузъра. В моя случай това е 185.148.83.16:445.

    В прозореца за авторизация е необходимо да въведем данните на потребителя, когото създадохме по-рано.

    

15. След авторизацията пред нас се появява списък с изготвените инсталационни пакети, налични за изтегляне. Създадохме само един – него ще изтеглим.

    

16. Кликваме на връзката, започва изтеглянето на клиента.

    

17. Разпаковаем изтегления архив и стартираме инсталатора.

    

18. След инсталирането стартираме клиента, в прозореца за авторизация натискаме Login.

    

19. В прозореца за проверка на сертификата избираме Yes.

    

20. Въвеждаме данните за вече създадения потребител и виждаме, че свързването е успешно завършено.

    
    
    

21. Проверяваме статистиката на VPN клиента на локалния компютър.

    
    
    

22. В командния ред на Windows (ipconfig /all) виждаме, че се появи допълнителен виртуален адаптер и свързаността с отдалечената мрежа е налична, всичко работи:

    
    
    

23. И накрая – проверка от конзолата на Edge Gateway.

    

L2 VPN

L2VPN ще бъде необходим, когато трябва да свържете няколко географски
разпределени мрежи в един broadcast домейн.

Това може да бъде полезно, например, при мигриране на виртуална машина: при преместване на ВМ на друга географска площадка, машината ще запази настройките на IP адреса и няма да загуби свързаността с други машини, които се намират в един и същ L2 домейн.

В нашата тестова среда ще свържем две площадки помежду им, които ще наречем A и B. Имаме два NSX и две идентично създадени маршрутизируеми мрежи, свързани с различни Edge устройства. Машина A има адрес 10.10.10.250/24, а машина B – 10.10.10.2/24.

1. В vCloud Director преминаваме на таба Administration, влизаме в необходимия ни VDC, прескачаме на таба Org VDC Networks и добавяме две нови мрежи.

   

2. Избираме тип мрежа routed и свързваме тази мрежа с нашия NSX. Поставяме отметка Create as subinterface.

   

3. В крайна сметка трябва да получим две мрежи. В нашия пример те се наричат network-a и network-b с идентични настройки на gateway и една и съща маска.

   
   
   

4. Сега ще преминем в настройките на първия NSX. Това ще бъде NSX, към който е свързана мрежа A. Той ще играе ролята на сървър.

   Връщаме се в интерфейса на NSx Edge/ Преминаваме на таба VPN → L2VPN. Включваме L2VPN, избираме режим на работа Server, в настройките на Server Global посочваме външния IP адрес на NSX, на който ще слуша порта за тунела. По подразбиране, сокетът ще се отвори на порт 443, но може да бъде променен. Не забравяме да изберем настройки за криптиране за бъдещия тунел.

   

5. Преминаваме на таба Server Sites и добавяме пир.

   

6. Включваме пира, задаваме име, описание, ако е нужно, задаваме име на потребителя и парола. Тези данни ще ни бъдат необходими по-късно при настройката на клиентския сайт.

   В Egress Optimization Gateway Address задаваме адреса на шлюза. Това е необходимо, за да не възникне конфликт на IP адреси, тъй като шлюзът на нашите мрежи има един и същ адрес. След това натискаме бутона SELECT SUB-INTERFACES.

   

7. Тук избираме необходимия сабинтерфейс. Запазваме настройките.

   

8. Виждаме, че в настройките се е появил току-що създаденият клиентски сайт.

   

9. Сега ще преминем към настройката на NSX от страна на клиента.

   Влизаме от страна B на NSX, преминаваме в VPN -> L2VPN, включваме L2VPN, задаваме L2VPN mode в клиентски режим на работа. На раздела Client Global задаваме адреса и порта на NSX A, които посочихме по-рано като Listening IP и порт на сървърната страна. Също така е необходимо да зададем еднакви настройки за криптиране, така че те да съвпадат при изграждането на тунела.

   
   
   Превъртаме надолу, избираме подсистемен интерфейс, през който ще се изгражда тунел за L2VPN.
   В Egress Optimization Gateway Address задаваме адреса на шлюза. Задаваме user-id и парола. Избираме подсистемен интерфейс и не забравяме да запазим настройките.

   

10. Собствено, това е всичко. Настройките на клиентската и сървърната страна практически са идентични, с изключение на няколко нюанса.
11. Сега можем да проверим дали нашият тунел работи, като преминем в Statistics -> L2VPN на всяко NSX.

    

12. Ако в момента влезем в консолата на който и да е Edge Gateway, ще видим адресите на двете VM в ARP таблицата на всяко от тях.

    

На това за VPN на NSX Edge завършвам. Питайте, ако имате нещо, което не е станало ясно. Това е и последната част от серията статии за работа с NSX Edge. Надяваме се да са били полезни 🙂

Източник: habr.com