🥇VMware NSX за най-малките. Част 6. Настройка на VPN

VMware NSX за най-малките. Чърт 6. Настройка на VPN

Част първа. Въведение
Част втора. Настройка на правила за Firewall и NAT
Част трета. Конфигуриране на DHCP
Част четвърта. Настройка на маршрутизация
Пета част. Конфигуриране на балансировач на натоварването

Днес ще разгледаме възможностите за конфигуриране на VPN, които ни предлага NSX Edge.

По принцип можем да разделим VPN технологиите на два основни вида:

VPN между сайтове. Най-често се използва IPSec за създаване на защитен тунел, например, между мрежата на главния офис и мрежата на отдалечено място или в облака.
VPN за отдалечен достъп. Използва се за свързване на индивидуални потребители с частни мрежи на организациите чрез софтуер VPN клиент.

NSX Edge ни позволява да използваме и двата варианта.
Конфигурацията ще се извърши с помощта на тестова среда с два NSX Edge, Linux сървър с инсталиран демон racoon и лаптоп с Windows за тестване на VPN за отдалечен достъп.

IPsec

В интерфейса на vCloud Director отиваме в раздела Администрация и избираме vDC. На таба Edge Gateways избираме нужния ни Edge, кликваме с десния бутон и избираме Услуги на Edge Gateway.
В интерфейса на NSX Edge отиваме на таба VPN-IPsec VPN, след това в раздела IPsec VPN Sites и натискаме +, за да добавим нова площадка.
Запълваме необходимите полета:
- включено – активира удалечената площадка.
- PFS – гарантира, че всеки нов криптографски ключ не е свързан с предишен ключ.
- Local ID и Local Endpoint– външния адрес на NSX Edge.
- Local Subnets– локалните мрежи, които ще използват IPsec VPN.
- Peer ID и Peer Endpoint – адреса на отдалечената площадка.
- Peer Subnets – мрежите, които ще използват IPsec VPN на отдалечената страна.
- Алгоритъм за шифроване – алгоритъм за шифруване на тунела.
- Аутентикация – как ще удостоверим пира. Може да се използва Pre-Shared Key или сертификат.
- Pre-Shared Key – посочваме ключа, който ще се използва за удостоверяване и трябва да съвпада от двете страни.
- Diffie-Hellman Group – алгоритъм за обмен на ключове.
След попълване на нужните полета натискаме Keep.
Готово.
След добавяне на площадката, отиваме на таба Activation Status и активираме IPsec Service.
След като настройките бъдат приложени, отиваме на таба Statistics -> IPsec VPN и проверяваме статуса на тунела. Виждаме, че тунелът е активиран.
Да проверим статуса на тунела от конзолата на Edge gateway:
- show service ipsec – проверка на състоянието на услугата.
- show service ipsec site – информация за състоянието на сайта и съгласуваните параметри.
- show service ipsec sa – проверка на статуса на Security Association (SA).

Проверка на свързаността с отдалечената площадка:

root@racoon:~# ifconfig eth0:1 | grep inet
        inet 10.255.255.1  netmask 255.255.255.0  broadcast 0.0.0.0

root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 
PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data.
64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms

--- 192.168.0.10 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms

Конфигурационни файлове и допълнителни команди за диагностика от отдалечен Linux сървър:

root@racoon:~# cat /etc/racoon/racoon.conf 

log debug;
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

listen {
  isakmp 80.211.43.73 [500];
   strict_address;
}

remote 185.148.83.16 {
        exchange_mode main,aggressive;
        proposal {
                 encryption_algorithm aes256;
                 hash_algorithm sha1;
                 authentication_method pre_shared_key;
                 dh_group modp1536;
         }
         generate_policy on;
}
 
sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any {
         encryption_algorithm aes256;
         authentication_algorithm hmac_sha1;
         compression_algorithm deflate;
}

===

root@racoon:~# cat /etc/racoon/psk.txt
185.148.83.16 testkey

===

root@racoon:~# cat /etc/ipsec-tools.conf 
#! /usr/sbin/setkey -f

flush;
spdflush;

spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec
      esp/tunnel/185.148.83.16-80.211.43.73/require;

spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec
      esp/tunnel/80.211.43.73-185.148.83.16/require;

===


root@racoon:~# racoonctl show-sa isakmp
Destination            Cookies                           Created
185.148.83.16.500      2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 

===

root@racoon:~# racoonctl show-sa esp
80.211.43.73 185.148.83.16 
        esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000)
        E: aes-cbc  00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d
        A: hmac-sha1  aa9e7cd7 51653621 67b3b2e9 64818de5 df848792
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=1 pid=7739 refcnt=0
185.148.83.16 80.211.43.73 
        esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000)
        E: aes-cbc  c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044
        A: hmac-sha1  cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=0 pid=7739 refcnt=0

Всичко е готово, site-to-site IPsec VPN е настроен и работи.
В този пример използвахме PSK за удостоверяване на партньора, но също е възможно удостоверяване с сертификати. За целта трябва да отидете на раздела Global Configuration, да активирате удостоверяване с сертификати и да изберете самия сертификат.
Освен това, в настройките на сайта е необходимо да се смени метода на удостоверяване.

Ще отбележа, че количеството IPsec тунели зависи от размера на развернатия Edge Gateway (за това прочетете в нашия първата статия).

SSL VPN

SSL VPN-Plus е един от вариантите на Remote Access VPN. Той позволява на отделни отдалечени потребители безопасно да се свързват към частни мрежи, намиращи се зад шлюза NSX Edge. Шифрован тунел в случая на SSL VPN-Plus се установява между клиента (Windows, Linux, Mac) и NSX Edge.

Нека пристъпим към настройката. В контролния панел за услугите на Edge Gateway отиваме на таба SSL VPN-Plus, след което на Server Settings. Избираем адреса и порта, на който сървърът ще слуша входящите връзки, включваме логването и избираме необходимите алгоритми за шифроване.

Тук също може да промените сертификата, който ще използва сървърът.
След като всичко е готово, включваме сървъра и не забравяме да запазим настройките.
Следващата ни задача е да настроим пула от адреси, които ще предоставяме на клиентите при свързване. Тази мрежа е отделена от всяка съществуваща подсет в средата NSX, не е необходимо да я настройвате на други устройства в физическите мрежи, освен маршрути, насочващи към нея.
Отиваме на таба IP Pools и натискаме +.
Избираме адреси, маска на подсет и шлюз. Тук също може да промените настройките за DNS и WINS сървъри.
Полученият пул.
Сега добавяме мрежите, до които ще имат достъп потребителите, свързващи се с VPN. Преминаваме на таба Private Networks и натискаме +.
Попълваме:
- Network — локалната мрежа, до която ще имат достъп отдалечените потребители.
- Send traffic, има две опции:
  — over tunnel – да изпращате трафика към мрежата през тунела,
  — bypass tunnel – да изпращате трафика директно към мрежата, заобикаляйки тунела.
- Enable TCP Optimization – отбелязваме, ако сме избрали опцията over tunnel. Когато оптимизацията е включена, може да посочите номера на портовете, за които е необходимо да се оптимизира трафика. Трафикът за останалите портове на тази конкретна мрежа няма да бъде оптимизиран. Ако номерата на портовете не са посочени, трафикът за всички портове ще бъде оптимизиран. Повече за тази функция прочетете тук..
След това преминаваме на таба Authentication и натискаме +. За аутентификация ще използваме локален сървър на самия NSX Edge.
Тук можем да изберем политики за генериране на нови пароли и да настроим опции за блокиране на потребителски акаунти (например, брой повторни опити при неправилен въвеждане на парола).
Тъй като използваме локална аутентификация, е необходимо да създадем потребители.
Освен основните неща като име и парола, тук може, например, да забраните на потребителя да променя паролата или, обратно, да го накарате да смени паролата при следващото влизане.
След като всички необходими потребители са добавени, преминаваме на раздела Installation Packages, натискаме + и създаваме самия инсталатор, който ще свали за инсталация на отдалечения служител.
Натискаме +. Избираме адреса и порта на сървъра, към който ще се свързва клиентът, и платформите, за които трябва да генерираме инсталационния пакет.

Вдолу в това окно може да посочите параметрите на клиента за Windows. Избираме:
- start client on logon – VPN клиентът ще бъде добавен в автоматичното стартиране на отдалечената машина;
- create desktop icon – ще създаде икона на VPN клиента на работния плот;
- server security certificate validation – ще валидира сертификата на сървъра при свързване.
  Настройката на сървъра е завършена.
Сега ще изтеглим създадения от нас в последната стъпка инсталационен пакет на отдалечения ПК. При настройката на сървъра посочихме външния му адрес (185.148.83.16) и порта (445). Именно на този адрес трябва да отидем в уеб браузъра. В моя случай това е 185.148.83.16:445.
В прозореца за авторизация е необходимо да въведете данните на потребителя, когото създадохме по-рано.
След авторизация, пред нас се появява списък с създадените инсталационни пакети, налични за изтегляне. Създадохме само един – него и ще изтеглим.
Кликваме по линка, започва изтеглянето на клиента.
Разпаковаме изтегления архив и стартираме инсталатора.
След инсталацията стартираме клиента, в прозореца за авторизация натискаме Login.
В прозореца за проверка на сертификата избираме Yes.
Въвеждаме данните за предварително създадения потребител и виждаме, че свързването е завършено успешно.
Проверяваме статистиката на VPN клиента на локалния компютър.
В командния ред на Windows (ipconfig /all) виждаме, че се е появил допълнителен виртуален адаптер и свързаността с отдалечената мрежа е налице, всичко работи:
И накрая – проверка от конзолата Edge Gateway.

L2 VPN

L2VPN ще е необходим в случай, че е нужно да се обединят няколко географски
разпределени мрежи в един broadcast-домен.

Това може да бъде полезно, например, при мигриране на виртуална машина: при преместването на ВМ на друга географска локация, машината ще запази настройките на IP адреса и няма да загуби свързаността с другите машини, намиращи се в един и същи L2 домен с нея.

В нашата тестова среда свързваме две площадки, които ще наречем съответно A и B. Имаме два NSX и две идентично създадени маршрутизируеми мрежи, свързани с различни Edge. Машина A има адрес 10.10.10.250/24, а машина B – 10.10.10.2/24.

В vCloud Director преминаваме на раздела Administration, влизаме в нужния VDC, преминаваме на раздела Org VDC Networks и добавяме две нови мрежи.
Избираме тип мрежа routed и свързваме тази мрежа с нашия NSX. Поставяме отметка Create as subinterface.
В крайна сметка трябва да получим две мрежи. В нашия пример те се наричат network-a и network-b с идентични настройки на шлюта и идентична маска.
Сега ще преминем към настройките на първия NSX. Това ще бъде NSX, с който е свързана мрежа A. Той ще служи като сървър.
Връщаме се в интерфейса на NSX Edge / Преминаваме на раздела VPN -> L2VPN. Включваме L2VPN, избираме режим на работа Server, в настройките Server Global посочваме външния IP адрес на NSX, на който ще се слуша порта за тунела. По подразбиране сокетът ще се отвори на порт 443, но може да бъде променен. Не забравяме да изберем настройки за криптиране за бъдещия тунел.
Преминаваме на раздела Server Sites и добавяме пир.
Включваме пира, задаваме име, описание, ако е необходимо, задаваме име на потребителя и парола. Тези данни ще ни трябват по-късно при настройване на клиентската страна.
В Egress Optimization Gateway Address задаваме адреса на шлюза. Това е необходимо, за да избегнем конфликти с IP адресите, тъй като шлюзът на нашите мрежи има един и същ адрес. След това натискаме бутона SELECT SUB-INTERFACES.
Тук избираме нужния сабинтерфейс. Запазваме настройките.
Виждаме, че в настройките се е появил новосъздаденият клиентски сайт.
Сега преминаваме към настройката за NSX от страна на клиента.
Влизаме в NSX от страна B, преминаваме в VPN -> L2VPN, включваме L2VPN, задаваме L2VPN mode в клиентски режим на работа. На раздела Client Global задаваме адреса и порта на NSX A, който посочвахме по-рано като Listening IP и Port на сървърната страна. Също така е необходимо да зададем идентични настройки за криптиране, за да съответстват при изграждането на тунела.

Преместете надолу, изберете сабинтерфейс, през който ще се изгражда тунела за L2VPN.
В Egress Optimization Gateway Address задайте адреса на шлюза. Задайте user-id и парола. Изберете сабинтерфейс и не забравяйте да запазите настройките.
Всъщност, това е всичко. Настройките на клиентската и сървърната страна са практически идентични, с изключение на няколко нюанса.
Сега можем да видим, че нашият тунел работи, като преминем в Statistics —> L2VPN на всяко NSX.
Ако сега влезем в конзолата на който и да е Edge Gateway, ще видим адресите на двете VM в arp-таблицата на всеки от тях.

На това приключвам с VPN на NSX Edge. Питайте, ако нещо остана неясно. Това е и последната част от серия статии за работа с NSX Edge. Надяваме се, че бяха полезни 🙂

Източник: habr.com