VMware NSX kõige väiksematele. Osa 6. VPN-i seadistamine

Esimene osa. Sissejuhatus
Teine osa. Firewalli ja NAT-i reeglite seadistamine
Kolmas osa. DHCP seadistamine
Neljas osa. Suunamise seadistamine
Viies osa. Koormuse tasakaalustaja seadistamine

Täna vaatame NSX Edge'i pakutavaid VPN-i seadistamise võimalusi.

Üldiselt saame VPN-tehnoloogiad jagada kaheks peamiseks tüübiks:

• Site-to-site VPN. IPSeci kasutatakse kõige sagedamini kaitstud tunnelite loomiseks, näiteks peamiste kontorite võrgu ja kaugasukoha või pilveteenuse vahel.
• Remote Access VPN. Kasutatakse selleks, et ühendada üksikuid kasutajaid organisatsiooni privaatsete võrkudega VPN-klient tarkvara kaudu.

NSX Edge võimaldab meil kasutada mõlemaid variante.
Seadistamise teostame testkeskkonnas, kus on kaks NSX Edge'i, Linuxi server, millel on töötav daemon racoon ja Windowsi sülearvuti Remote Access VPN-i testimiseks.

IPsec

1. vCloud Directori liideses valime jaotises Administration vDC. Edge Gateways vahekaartide alt valime vajaliku Edge'i, klõpsame paremalt ja valime Edge Gateway teenused.
   
2. NSX Edge'i liideses läheme VPN-IPsec VPN vahekaardile, seejärel – IPsec VPN Sites ja klõpsame +, et lisada uus plats.

   

3. Täidame vajalikud väljad:
   • Enabled – aktiveerib kaugplatvormi.
   • PFS – tagab, et iga uus krüptograafiline võti ei ole seotud ühegi varasema võtmega.
   • Local ID ja Local Endpoint– NSX Edge'i väline aadress.
   • Local Subnets– kohalikud võrgud, mis kasutavad IPsec VPN-i.
   • Peer ID ja Peer Endpoint – kaugplatvormi aadress.
   • Peer Subnets – võrgud, mis kasutavad IPsec VPN-i kaugpoole.
   • Encryption Algorithm – tunnelite krüpteerimise algoritm.

   
   

   • Authentication – kuidas me autentime partnerit. Võime kasutada eelnevalt jagatud võtmeid või sertifikaati.
   • Pre-Shared Key – määrame võtme, mida kasutatakse autentimiseks ja mis peab olema mõlemal pool sama.
   • Diffie-Hellman Group – võtmevahetuse algoritm.

   Pärast vajalike väljade täitmist klõpsame Keep.

   

4. Valmis.

   

5. Pärast platvormi lisamist läheme vahekaardile Activation Status ja aktiveerime IPsec teenuse.

   

6. Pärast seadistuste rakendamist läheme vahekaardile Statistics –> IPsec VPN ja kontrollime tunnelite olekut. Näeme, et tunnel on üles tõusnud.

   

7. Kontrollime tunnelite olekut Edge gateway'i konsoolist:
   • show service ipsec – teenuse oleku kontrollimine.

     

   • show service ipsec site – saidi ja lepinguliste parameetrite oleku teave.

     

   • show service ipsec sa – Security Association (SA) staatuse kontroll.

     

8. Kaugplatvormi ühenduse kontroll:

   root@racoon:~# ifconfig eth0:1 | grep inet
           inet 10.255.255.1  netmask 255.255.255.0  broadcast 0.0.0.0
   
   root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 
   PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data.
   64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms
   
   --- 192.168.0.10 ping statistics ---
   1 packets transmitted, 1 received, 0% packet loss, time 0ms
   rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms
   

   Konfiguratsioonifailid ja täiendavad käsud kaug-Linux-serveri diagonaalimiseks:

   root@racoon:~# cat /etc/racoon/racoon.conf 
   
   log debug;
   path pre_shared_key "/etc/racoon/psk.txt";
   path certificate "/etc/racoon/certs";
   
   listen {
     isakmp 80.211.43.73 [500];
      strict_address;
   }
   
   remote 185.148.83.16 {
           exchange_mode main,aggressive;
           proposal {
                    encryption_algorithm aes256;
                    hash_algorithm sha1;
                    authentication_method pre_shared_key;
                    dh_group modp1536;
            }
            generate_policy on;
   }
    
   sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any {
            encryption_algorithm aes256;
            authentication_algorithm hmac_sha1;
            compression_algorithm deflate;
   }
   
   ===
   
   root@racoon:~# cat /etc/racoon/psk.txt
   185.148.83.16 testkey
   
   ===
   
   root@racoon:~# cat /etc/ipsec-tools.conf 
   #!/usr/sbin/setkey -f
   
   flush;
   spdflush;
   
   spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec
         esp/tunnel/185.148.83.16-80.211.43.73/require;
   
   spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec
         esp/tunnel/80.211.43.73-185.148.83.16/require;
   
   ===
   
   
   root@racoon:~# racoonctl show-sa isakmp
   Destination            Cookies                           Created
   185.148.83.16.500      2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 
   
   ===
   
   root@racoon:~# racoonctl show-sa esp
   80.211.43.73 185.148.83.16 
           esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000)
           E: aes-cbc  00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d
           A: hmac-sha1  aa9e7cd7 51653621 67b3b2e9 64818de5 df848792
           seq=0x00000000 replay=4 flags=0x00000000 state=mature 
           created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
           diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
           last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
           current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
           allocated: 860  hard: 0 soft: 0
           sadb_seq=1 pid=7739 refcnt=0
   185.148.83.16 80.211.43.73 
           esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000)
           E: aes-cbc  c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044
           A: hmac-sha1  cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878
           seq=0x00000000 replay=4 flags=0x00000000 state=mature 
           created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
           diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
           last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
           current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
           allocated: 860  hard: 0 soft: 0
           sadb_seq=0 pid=7739 refcnt=0

9. Kõik on valmis, site-to-site IPsec VPN on seadistatud ja töötab.

   Selles näites kasutasime PSK-d partneri autentimiseks, kuid võimalik on ka sertifikaadi autentimise variant. Selleks tuleb minna globaalsete seadete vahelehele, aktiveerida sertifikaadi autentimine ja valida vajalik sertifikaat.

   Lisaks tuleb saidi seadetes muuta autentimise meetodit.

   
   
   
   
   Tõstaksin esile, et IPsec tunnelite arv sõltub juurutatud Edge Gateway'i suurusest (selle kohta saate lugeda meie esimesest artiklist).

   

SSL VPN

SSL VPN-Plus on üks variant Remote Access VPN-ist. See võimaldab üksikutel eemalt töötavatel kasutajatel ohutult ühenduda privaatsete võrkudega, mis asuvad NSX Edge'i taga. Krüpteeritud tunnel SSL VPN-plus korral luuakse kliendi (Windows, Linux, Mac) ja NSX Edge'i vahel.

1. Alustame seadistamist. Edge Gateway'i teenuste juhtpaneelil läheme SSL VPN-Plus vahelehele, seejärel Server Settings. Valime aadressi ja porti, millel server sisenevaid ühendusi kuulama hakkab, aktiveerime logimise ja valime vajalikud krüpteerimisalgoritmid.

   
   
   Siin saab muuta ka sertifikaati, mida server kasutab.

   

2. Kui kõik on valmis, lülitage server sisse ja ärge unustage seadeid salvestada.

   

3. Seejärel peame seadistama adressipooli, mida jagame klientidele ühenduse loomisel. See võrk on eraldatud igast olemasolevast alamvõrgust teie NSX keskkonnas, seda ei pea seadistama mujal füüsilistes võrkudes, välja arvatud marsruudid, mis viitavad sellele.

   Liigume vahekaardile IP Pools ja klõpsame +.

   

4. Valige aadressid, alamvõrgu mask ja värav. Siin saab muuta ka DNS ja WINS serverite seadeid.

   

5. Saadud piiressurss.

   

6. Nüüd lisame võrgud, millele VPN-i kasutajatel juurdepääs on. Liigume vahekaardile Private Networks ja vajutame +.

   

7. Täidame:
   • Network — kohalik võrk, millele eemalt kasutajad pääsevad.
   • Send traffic, sellel on kaks varianti:
     — over tunnel – saata liiklus võrku tunnelisse,
     — bypass tunnel – saata liiklus võrku otse, mööda tunnelit.
   • Aktiveeri TCP optimeerimine – märkige, kui valisite üle tunnel. Kui optimeerimine on lubatud, saab määrata portide numbrid, mille jaoks on vajalik liiklus optimeerida. Selle konkreetse võrgu ülejäänud portide liiklust ei optimeerita. Kui portide numbreid ei ole määratud, optimeeritakse liiklust kõigi portide jaoks. Lisainformatsiooni selle funktsiooni kohta leiate siit siit.

   

8. Liigume edasi vahelehele Authentication ja vajutame +. Autentimiseks kasutame kohaliku serveri NSX Edge'is.

   

9. Siin saame valida poliitikad uute paroolide genereerimiseks ja seadistada kasutajakontode lukustatud staatuse valikud (näiteks, kui palju katseid on lubatud vale parooli sisestamisel).

   
   
   

10. Kuna me kasutame kohalikke autentimismeetodeid, on vajalik kasutajate loomine.

    

11. Lisaks põhiasjadele, nagu nimi ja parool, saab siin näiteks keelata kasutajal parooli muutmise või vastupidi, nõuda, et ta muudaks parooli järgmise sisenemise ajal.

    

12. Pärast seda, kui kõik vajalikud kasutajad on lisatud, liigume edasi vahelehele Installation Packages, vajutame + ja loome installija, mis laadib alla eemaloleva töötaja jaoks.

    

13. Klõpsame +. Valime serveri aadressi ja sadama, millega klient ühendub, ning platvormid, mille jaoks tuleb genereerida paigalduspakett.

    
    
    Allpool selles aknas saab määrata Windowsi kliendi parameetrid. Valime:

    • kliendi käivitamine sisselogimisel – VPN-klient lisatakse kaugmasina käivituste hulka;
    • lauaarvuti ikooni loomine – loob VPN-klientide ikooni töölauale;
    • serveri turvaseadme sertifikaadi valideerimine – valideerib serveri sertifikaadi ühenduse loomisel.
      Serveri seadistamine on lõpetatud.

    

14. Nüüd laadime alla viimases etapis loodud paigalduspaketi kaug-PC-le. Serveri seadistamisel määrasime selle välimise aadressi (185.148.83.16) ja sadama (445). Just sellele aadressile peame veebibrauseris minema. Minu puhul on see 185.148.83.16:445.

    Sisselogimise aknas tuleb sisestada kasutaja andmed, kelle oleme varem loonud.

    

15. Pärast sisselogimist ilmub meie ette loodud paigalduspakettide loend, mis on allalaadimiseks saadaval. Loome ainult ühe – selle me ka alla laadime.

    

16. Klõpsame lingil, klient hakkab alla laadima.

    

17. Väärindame alla laaditud arhiivi ja käivitame installiprogrammi.

    

18. Pärast installimist käivitage klient, logimisaknas klõpsake nuppu Login.

    

19. Sertifikaadi kontrollimise aknas valige Jah.

    

20. Sisestage varem loodud kasutaja andmed ja veenduge, et ühendus on edukalt loodud.

    
    
    

21. Kontrollige VPN-klientide statistikat kohaliku arvuti peal.

    
    
    

22. Windowsi käsuviibas (ipconfig /all) näeme, et on ilmunud lisavirtuaalne adapter ja ühendus kaugvõrguga on olemas, kõik töötab:

    
    
    

23. Ja lõpuks - kontroll Edge Gateway konsolist.

    

L2 VPN

L2VPN on vajalik, kui tuleb ühenduda mitme geograafiliselt
jaotatud võrgu ühe broadcast-domeeniga.

See võib olla kasulik näiteks virtuaalmasina migreerimisel: kui VM liigub teise geograafilisse asukohta, säilitab see IP-aadressi seaded ja ei kaota ühendust teiste masinatega, mis asuvad samas L2-domeenis.

Meie testkeskkonnas ühendame omavahel kaks asukohta, nimetame need vastavalt A ja B. Meil on kaks NSX-i ja kaks identset marsruutimisvõrku, mis on seotud erinevate Edge'idega. Masin A on aadressil 10.10.10.250/24, masin B – 10.10.10.2/24.

1. vCloud Directoris liikuge vahekaardile Administration, valige soovitud VDC, minge vahekaardile Org VDC Networks ja lisage kaks uut võrku.

   

2. Valige võrgunäidu tüüp routed ja siduge see meie NSX-iga. Märkige ruut Create as subinterface.

   

3. Kokku peaks meil olema kaks võrku. Meie näites nimetatakse neid network-a ja network-b, mõlemal on sama gateway seadistus ja sama mask.

   
   
   

4. Nüüd liikuge esimese NSX-i seadete juurde. See on NSX, millega on seotud võrgu A. See toimib serverina.

   Naaseme NSX Edge'i liidesesse. Liikuge vahekaardile VPN -> L2VPN. Lubage L2VPN, valige Serveri töörežiim, Server Global seadetes sisestage NSX-i väline IP-aadress, kus kuulatakse tunnelis porti. Vaikimisi avatakse pistik 443. port, kuid seda saab muuta. Ärge unustage valida krüpteerimise seadeid tulevase tunneliga.

   

5. Liikuge vahekaardile Server Sites ja lisage peer.

   

6. Lubage peer, määrake nimi, kirjeldus, kui soovite, ja määrake kasutajanimi ja parool. Need andmed on meile hiljem vajalikud kliendi saidi seadistamisel.

   Egress Optimization Gateway Address väljendame värav aadressi. See on vajalik IP-aadresside konfliktide vältimiseks, kuna meie võrkude värav on sama aadressiga. Seejärel klõpsame nuppu SELECT SUB-INTERFACES.

   

7. Siin valime vajaliku alaliidese. Salvestame seaded.

   

8. Näeme, et seadetes on ilmunud äsja loodud kliendileht.

   

9. Nüüd liigume kliendi poole NSX seadistamise juurde.

   Sisestume NSX poolele B, liikuda VPN → L2VPN, lülitame L2VPN sisse, seadistame L2VPN režiimi kliendi töörežiimi. Vahekaardil Client Global määrame NSX A aadressi ja voldi, mille me eelnevalt määrasime Listening IP ja Port serveripoolsel küljel. Samuti on vajalik määrata sama šifreerimise seaded, et need kokku sobiksid tunnelit üles tõstes.

   
   
   Liigume allapoole, valime alaliidese, mille kaudu tunnel L2VPN-i ehitatakse.
   Egress Optimization Gateway Address väljendame värav aadressi. Määrame user-id ja parooli. Valime alaliidese ja ärge unustage seadeid salvestada.

   

10. Kokkuvõttes on see kõik. Kliendi ja serveri poole seaded on praktiliselt identsed, välja arvatud mõned nüansid.
11. Nüüd saame vaadata, kuidas meie tunnel töötab, minnes Statistics -> L2VPN igas NSX-is.

    

12. Kui me nüüd siseneme mis tahes Edge Gateway konsooli, siis näeme arp-tabelis adressaatide aadresse mõlema VM-i jaoks.

    

See on kõik NSX Edge'i VPN-ist. Küsige, kui midagi jäi arusaamatuks. See on ka viimane osa NSX Edge'i tööd käsitlevast artiklite seeriast. Loodame, et nad olid kasulikud 🙂

Allikas: habr.com