🥇छोटे बच्चों के लिए VMware NSX। भाग 6. वीपीएन सेटअप

एक भाग। पृष्ठभूमि
भाग दो। फ़ायरवॉल और NAT नियमों को कॉन्फ़िगर करना
भाग तीन। डीएचसीपी को कॉन्फ़िगर करना
भाग चार. रूटिंग सेटअप
भाग पांच. लोड बैलेंसर की स्थापना

आज हम वीपीएन कॉन्फ़िगरेशन विकल्पों पर एक नज़र डालने जा रहे हैं जो एनएसएक्स एज हमें प्रदान करता है।

सामान्य तौर पर, हम वीपीएन प्रौद्योगिकियों को दो प्रमुख प्रकारों में विभाजित कर सकते हैं:

साइट-टू-साइट वीपीएन। आईपीएसईसी का सबसे आम उपयोग एक सुरक्षित सुरंग बनाना है, उदाहरण के लिए, मुख्य कार्यालय नेटवर्क और किसी दूरस्थ साइट पर या क्लाउड में नेटवर्क के बीच।
रिमोट एक्सेस वीपीएन। वीपीएन क्लाइंट सॉफ़्टवेयर का उपयोग करके व्यक्तिगत उपयोगकर्ताओं को कॉर्पोरेट निजी नेटवर्क से जोड़ने के लिए उपयोग किया जाता है।

एनएसएक्स एज हमें दोनों विकल्पों का उपयोग करने की अनुमति देता है।
हम दो एनएसएक्स एज के साथ एक परीक्षण बेंच, एक स्थापित डेमॉन के साथ एक लिनक्स सर्वर का उपयोग करके कॉन्फ़िगर करेंगे एक प्रकार का जानवर और रिमोट एक्सेस वीपीएन का परीक्षण करने के लिए एक विंडोज़ लैपटॉप।

IPsec

vCloud निदेशक इंटरफ़ेस में, प्रशासन अनुभाग पर जाएँ और vDC चुनें। एज गेटवे टैब पर, हमें जिस एज की आवश्यकता है उसका चयन करें, राइट-क्लिक करें और एज गेटवे सर्विसेज का चयन करें।
एनएसएक्स एज इंटरफ़ेस में, वीपीएन-आईपीसेक वीपीएन टैब पर जाएं, फिर आईपीसेक वीपीएन साइट्स अनुभाग पर जाएं और एक नई साइट जोड़ने के लिए + पर क्लिक करें।
आवश्यक फ़ील्ड भरें:
- सक्षम - दूरस्थ साइट को सक्रिय करता है।
- PFS - यह सुनिश्चित करता है कि प्रत्येक नई क्रिप्टोग्राफ़िक कुंजी किसी भी पिछली कुंजी से संबद्ध नहीं है।
- स्थानीय आईडी और स्थानीय समापन बिंदुt NSX Edge का बाहरी पता है।
- स्थानीय सबनेटs - स्थानीय नेटवर्क जो IPsec VPN का उपयोग करेंगे।
- पीयर आईडी और पीयर एंडपॉइंट - दूरस्थ साइट का पता.
- सहकर्मी सबनेट - नेटवर्क जो रिमोट साइड पर IPsec VPN का उपयोग करेंगे।
- एन्क्रिप्शन एल्गोरिथम - सुरंग एन्क्रिप्शन एल्गोरिदम।
- प्रमाणीकरण - हम सहकर्मी को कैसे प्रमाणित करेंगे। आप पूर्व-साझा कुंजी या प्रमाणपत्र का उपयोग कर सकते हैं।
- गुप्त कुंजी - वह कुंजी निर्दिष्ट करें जिसका उपयोग प्रमाणीकरण के लिए किया जाएगा और दोनों तरफ से मेल खाना चाहिए।
- डिफी हेलमैन ग्रुप - कुंजी विनिमय एल्गोरिदम।
आवश्यक फ़ील्ड भरने के बाद, Keep पर क्लिक करें।
हो गया।
साइट जोड़ने के बाद, सक्रियण स्थिति टैब पर जाएं और IPsec सेवा सक्रिय करें।
सेटिंग्स लागू होने के बाद, सांख्यिकी -> आईपीसेक वीपीएन टैब पर जाएं और सुरंग की स्थिति जांचें। हम देखते हैं कि सुरंग ऊपर उठ गई है।
एज गेटवे कंसोल से सुरंग की स्थिति जांचें:
- सेवा आईपीएसईसी दिखाएं - सेवा की स्थिति जांचें।
- सेवा आईपीएसईसी साइट दिखाएं - साइट की स्थिति और तय किए गए मापदंडों के बारे में जानकारी।
- सेवा दिखाएँ ipsec sa - सुरक्षा एसोसिएशन (SA) की स्थिति की जाँच करें।

किसी दूरस्थ साइट से कनेक्टिविटी की जाँच करना:

root@racoon:~# ifconfig eth0:1 | grep inet
        inet 10.255.255.1  netmask 255.255.255.0  broadcast 0.0.0.0

root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 
PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data.
64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms

--- 192.168.0.10 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms

दूरस्थ Linux सर्वर से निदान के लिए कॉन्फ़िगरेशन फ़ाइलें और अतिरिक्त आदेश:

root@racoon:~# cat /etc/racoon/racoon.conf 

log debug;
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

listen {
  isakmp 80.211.43.73 [500];
   strict_address;
}

remote 185.148.83.16 {
        exchange_mode main,aggressive;
        proposal {
                 encryption_algorithm aes256;
                 hash_algorithm sha1;
                 authentication_method pre_shared_key;
                 dh_group modp1536;
         }
         generate_policy on;
}
 
sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any {
         encryption_algorithm aes256;
         authentication_algorithm hmac_sha1;
         compression_algorithm deflate;
}

===

root@racoon:~# cat /etc/racoon/psk.txt
185.148.83.16 testkey

===

root@racoon:~# cat /etc/ipsec-tools.conf 
#!/usr/sbin/setkey -f

flush;
spdflush;

spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec
      esp/tunnel/185.148.83.16-80.211.43.73/require;

spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec
      esp/tunnel/80.211.43.73-185.148.83.16/require;

===


root@racoon:~# racoonctl show-sa isakmp
Destination            Cookies                           Created
185.148.83.16.500      2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 

===

root@racoon:~# racoonctl show-sa esp
80.211.43.73 185.148.83.16 
        esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000)
        E: aes-cbc  00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d
        A: hmac-sha1  aa9e7cd7 51653621 67b3b2e9 64818de5 df848792
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=1 pid=7739 refcnt=0
185.148.83.16 80.211.43.73 
        esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000)
        E: aes-cbc  c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044
        A: hmac-sha1  cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=0 pid=7739 refcnt=0

सब कुछ तैयार है, साइट-टू-साइट IPsec VPN चालू है और चल रहा है।
इस उदाहरण में, हमने सहकर्मी प्रमाणीकरण के लिए पीएसके का उपयोग किया, लेकिन प्रमाणपत्र प्रमाणीकरण भी संभव है। ऐसा करने के लिए, वैश्विक कॉन्फ़िगरेशन टैब पर जाएं, प्रमाणपत्र प्रमाणीकरण सक्षम करें और प्रमाणपत्र का चयन करें।

इसके अलावा, साइट सेटिंग्स में, आपको प्रमाणीकरण विधि को बदलना होगा।

मैं ध्यान देता हूं कि IPsec सुरंगों की संख्या तैनात एज गेटवे के आकार पर निर्भर करती है (इसके बारे में हमारे में पढ़ें)। पहला लेख).

एसएसएल वीपीएन

एसएसएल वीपीएन-प्लस रिमोट एक्सेस वीपीएन विकल्पों में से एक है। यह व्यक्तिगत दूरस्थ उपयोगकर्ताओं को एनएसएक्स एज गेटवे के पीछे निजी नेटवर्क से सुरक्षित रूप से जुड़ने की अनुमति देता है। एसएसएल वीपीएन-प्लस के मामले में क्लाइंट (विंडोज, लिनक्स, मैक) और एनएसएक्स एज के बीच एक एन्क्रिप्टेड सुरंग स्थापित की जाती है।

आइए सेटअप शुरू करें. एज गेटवे सेवा नियंत्रण कक्ष में, एसएसएल वीपीएन-प्लस टैब पर जाएं, फिर सर्वर सेटिंग्स पर जाएं। हम उस पते और पोर्ट का चयन करते हैं जिस पर सर्वर आने वाले कनेक्शनों को सुनेगा, लॉगिंग सक्षम करेगा और आवश्यक एन्क्रिप्शन एल्गोरिदम का चयन करेगा।

यहां आप उस प्रमाणपत्र को भी बदल सकते हैं जिसका उपयोग सर्वर करेगा।
सब कुछ तैयार होने के बाद, सर्वर चालू करें और सेटिंग्स को सेव करना न भूलें।
इसके बाद, हमें पतों का एक पूल स्थापित करने की आवश्यकता है जिसे हम कनेक्शन पर ग्राहकों को जारी करेंगे। यह नेटवर्क आपके एनएसएक्स वातावरण में किसी भी मौजूदा सबनेट से अलग है और इसे इंगित करने वाले मार्गों को छोड़कर, भौतिक नेटवर्क पर अन्य उपकरणों पर कॉन्फ़िगर करने की आवश्यकता नहीं है।
आईपी पूल टैब पर जाएं और + पर क्लिक करें।
पते, सबनेट मास्क और गेटवे का चयन करें। यहां आप DNS और WINS सर्वर के लिए सेटिंग्स भी बदल सकते हैं।
परिणामी पूल.
अब आइए उन नेटवर्कों को जोड़ें जिन तक वीपीएन से जुड़ने वाले उपयोगकर्ताओं की पहुंच होगी। प्राइवेट नेटवर्क टैब पर जाएं और + पर क्लिक करें।
हम भरते हैं:
- नेटवर्क - एक स्थानीय नेटवर्क जिस तक दूरस्थ उपयोगकर्ताओं की पहुंच होगी।
- ट्रैफ़िक भेजें, इसके दो विकल्प हैं:
  - सुरंग के ऊपर - सुरंग के माध्यम से नेटवर्क पर ट्रैफ़िक भेजें,
  — बायपास सुरंग—सुरंग को बायपास करके सीधे नेटवर्क पर ट्रैफ़िक भेजें।
- टीसीपी ऑप्टिमाइज़ेशन सक्षम करें - जांचें कि क्या आपने ओवर टनल विकल्प चुना है। जब अनुकूलन सक्षम होता है, तो आप उन पोर्ट नंबरों को निर्दिष्ट कर सकते हैं जिनके लिए आप ट्रैफ़िक को अनुकूलित करना चाहते हैं। उस विशेष नेटवर्क पर शेष बंदरगाहों के लिए ट्रैफ़िक अनुकूलित नहीं किया जाएगा। यदि कोई पोर्ट संख्या निर्दिष्ट नहीं है, तो सभी पोर्ट के लिए ट्रैफ़िक अनुकूलित किया गया है। इस सुविधा के बारे में और पढ़ें यहां.
इसके बाद ऑथेंटिकेशन टैब पर जाएं और + पर क्लिक करें। प्रमाणीकरण के लिए, हम NSX Edge पर ही एक स्थानीय सर्वर का उपयोग करेंगे।
यहां हम नए पासवर्ड बनाने के लिए नीतियों का चयन कर सकते हैं और उपयोगकर्ता खातों को ब्लॉक करने के लिए विकल्पों को कॉन्फ़िगर कर सकते हैं (उदाहरण के लिए, यदि पासवर्ड गलत तरीके से दर्ज किया गया है तो पुनः प्रयास की संख्या)।
चूँकि हम स्थानीय प्रमाणीकरण का उपयोग कर रहे हैं, हमें उपयोगकर्ता बनाने की आवश्यकता है।
नाम और पासवर्ड जैसी बुनियादी चीज़ों के अलावा, उदाहरण के लिए, आप उपयोगकर्ता को पासवर्ड बदलने से रोक सकते हैं या, इसके विपरीत, उसे अगली बार लॉग इन करने पर पासवर्ड बदलने के लिए मजबूर कर सकते हैं।
सभी आवश्यक उपयोगकर्ताओं को जोड़ने के बाद, इंस्टॉलेशन पैकेज टैब पर जाएं, + पर क्लिक करें और इंस्टॉलर स्वयं बनाएं, जिसे इंस्टॉलेशन के लिए एक दूरस्थ कर्मचारी द्वारा डाउनलोड किया जाएगा।
+ दबाएँ. उस सर्वर का पता और पोर्ट चुनें जिससे क्लाइंट कनेक्ट होगा, और वे प्लेटफ़ॉर्म चुनें जिनके लिए आप इंस्टॉलेशन पैकेज जेनरेट करना चाहते हैं।

नीचे इस विंडो में, आप विंडोज़ के लिए क्लाइंट सेटिंग्स निर्दिष्ट कर सकते हैं। चुनना:
- लॉगऑन पर क्लाइंट प्रारंभ करें - वीपीएन क्लाइंट को रिमोट मशीन पर स्टार्टअप में जोड़ा जाएगा;
- डेस्कटॉप आइकन बनाएं - डेस्कटॉप पर एक वीपीएन क्लाइंट आइकन बनाएगा;
- सर्वर सुरक्षा प्रमाणपत्र सत्यापन - कनेक्शन पर सर्वर प्रमाणपत्र को मान्य करेगा।
  सर्वर सेटअप पूरा हो गया है.
आइए अब अंतिम चरण में हमारे द्वारा बनाए गए इंस्टॉलेशन पैकेज को एक दूरस्थ पीसी पर डाउनलोड करें। सर्वर स्थापित करते समय, हमने इसका बाहरी पता (185.148.83.16) और पोर्ट (445) निर्दिष्ट किया था। इसी पते पर हमें वेब ब्राउज़र में जाना होगा। मेरे मामले में यह है 185.148.83.16: 445।
प्राधिकरण विंडो में, आपको वह उपयोगकर्ता क्रेडेंशियल दर्ज करना होगा जो हमने पहले बनाया था।
प्राधिकरण के बाद, हम डाउनलोड के लिए उपलब्ध निर्मित इंस्टॉलेशन पैकेजों की एक सूची देखते हैं। हमने केवल एक ही बनाया है - हम इसे डाउनलोड करेंगे।
हम लिंक पर क्लिक करते हैं, क्लाइंट का डाउनलोड शुरू होता है।
डाउनलोड किए गए संग्रह को अनपैक करें और इंस्टॉलर चलाएँ।
इंस्टॉलेशन के बाद, क्लाइंट लॉन्च करें, प्राधिकरण विंडो में, लॉगिन पर क्लिक करें।
प्रमाणपत्र सत्यापन विंडो में, हाँ चुनें।
हम पहले बनाए गए उपयोगकर्ता के लिए क्रेडेंशियल दर्ज करते हैं और देखते हैं कि कनेक्शन सफलतापूर्वक पूरा हो गया है।
हम स्थानीय कंप्यूटर पर वीपीएन क्लाइंट के आंकड़ों की जांच करते हैं।
विंडोज़ कमांड लाइन (ipconfig / all) में, हम देखते हैं कि एक अतिरिक्त वर्चुअल एडाप्टर दिखाई दिया है और रिमोट नेटवर्क से कनेक्टिविटी है, सब कुछ काम करता है:
और अंत में, एज गेटवे कंसोल से जांचें।

एल2 वीपीएन

L2VPN की आवश्यकता तब होगी जब आपको कई भौगोलिक रूप से संयोजित करने की आवश्यकता होगी
एक प्रसारण डोमेन में वितरित नेटवर्क।

यह उपयोगी हो सकता है, उदाहरण के लिए, वर्चुअल मशीन को माइग्रेट करते समय: जब एक वीएम किसी अन्य भौगोलिक क्षेत्र में जाता है, तो मशीन अपनी आईपी एड्रेसिंग सेटिंग्स को बरकरार रखेगी और उसी L2 डोमेन में स्थित अन्य मशीनों के साथ कनेक्टिविटी नहीं खोएगी।

हमारे परीक्षण परिवेश में, हम दो साइटों को एक-दूसरे से जोड़ेंगे, हम उन्हें क्रमशः ए और बी कहेंगे। हमारे पास दो एनएसएक्स और दो समान रूप से बनाए गए रूटेड नेटवर्क अलग-अलग किनारों से जुड़े हुए हैं। मशीन A का पता 10.10.10.250/24 है, मशीन B का पता 10.10.10.2/24 है।

वीक्लाउड डायरेक्टर में, एडमिनिस्ट्रेशन टैब पर जाएं, जिस वीडीसी की हमें जरूरत है उस पर जाएं, ऑर्ग वीडीसी नेटवर्क टैब पर जाएं और दो नए नेटवर्क जोड़ें।
रूट किए गए नेटवर्क प्रकार का चयन करें और इस नेटवर्क को हमारे एनएसएक्स से बांधें। हमने चेकबॉक्स क्रिएट को सबइंटरफ़ेस के रूप में रखा है।
परिणामस्वरूप, हमें दो नेटवर्क मिलने चाहिए। हमारे उदाहरण में, उन्हें समान गेटवे सेटिंग्स और समान मास्क के साथ नेटवर्क-ए और नेटवर्क-बी कहा जाता है।
अब पहले NSX की सेटिंग में चलते हैं। यह एनएसएक्स होगा जिससे नेटवर्क ए जुड़ा हुआ है। यह एक सर्वर के रूप में कार्य करेगा।
हम एनएसएक्स एज इंटरफ़ेस पर लौटते हैं / वीपीएन टैब -> एल2वीपीएन पर जाते हैं। हम L2VPN चालू करते हैं, सर्वर ऑपरेशन मोड का चयन करते हैं, सर्वर ग्लोबल सेटिंग्स में हम बाहरी NSX IP पता निर्दिष्ट करते हैं जिस पर सुरंग के लिए पोर्ट सुनेगा। डिफ़ॉल्ट रूप से, सॉकेट पोर्ट 443 पर खुलेगा, लेकिन इसे बदला जा सकता है। भविष्य की सुरंग के लिए एन्क्रिप्शन सेटिंग्स का चयन करना न भूलें।
सर्वर साइट्स टैब पर जाएं और एक सहकर्मी जोड़ें।
हम सहकर्मी को चालू करते हैं, नाम, विवरण सेट करते हैं, यदि आवश्यक हो, तो उपयोगकर्ता नाम और पासवर्ड सेट करते हैं। बाद में क्लाइंट साइट सेट करते समय हमें इस डेटा की आवश्यकता होगी।
इग्रेस ऑप्टिमाइज़ेशन गेटवे एड्रेस में हम गेटवे एड्रेस सेट करते हैं। यह आवश्यक है ताकि आईपी पते का कोई टकराव न हो, क्योंकि हमारे नेटवर्क के गेटवे का पता एक ही है। इसके बाद सेलेक्ट सब-इंटरफेस बटन पर क्लिक करें।
यहां हम वांछित उप-इंटरफ़ेस का चयन करते हैं। हम सेटिंग्स सहेजते हैं।
हम देखते हैं कि नई बनाई गई क्लाइंट साइट सेटिंग्स में दिखाई दी है।
अब क्लाइंट साइड से NSX को कॉन्फ़िगर करने के लिए आगे बढ़ते हैं।
हम एनएसएक्स साइड बी पर जाते हैं, वीपीएन -> एल2वीपीएन पर जाते हैं, एल2वीपीएन सक्षम करते हैं, एल2वीपीएन मोड को क्लाइंट मोड पर सेट करते हैं। क्लाइंट ग्लोबल टैब पर, एनएसएक्स ए का पता और पोर्ट सेट करें, जिसे हमने पहले सर्वर साइड पर लिसनिंग आईपी और पोर्ट के रूप में निर्दिष्ट किया था। समान एन्क्रिप्शन सेटिंग्स सेट करना भी आवश्यक है ताकि सुरंग को ऊपर उठाने पर वे सुसंगत रहें।

हम नीचे स्क्रॉल करते हैं, उप-इंटरफ़ेस का चयन करते हैं जिसके माध्यम से L2VPN के लिए सुरंग बनाई जाएगी।
इग्रेस ऑप्टिमाइज़ेशन गेटवे एड्रेस में हम गेटवे एड्रेस सेट करते हैं। यूजर-आईडी और पासवर्ड सेट करें। हम उप-इंटरफ़ेस का चयन करते हैं और सेटिंग्स को सहेजना नहीं भूलते हैं।
दरअसल, बस इतना ही. कुछ बारीकियों को छोड़कर, क्लाइंट और सर्वर पक्ष की सेटिंग्स लगभग समान हैं।
अब हम किसी भी NSX पर सांख्यिकी -> L2VPN पर जाकर देख सकते हैं कि हमारी सुरंग ने काम किया है।
यदि अब हम किसी एज गेटवे के कंसोल पर जाते हैं, तो हम उनमें से प्रत्येक पर एआरपी टेबल में दोनों वीएम के पते देखेंगे।

एनएसएक्स एज पर वीपीएन के बारे में बस इतना ही। पूछें कि क्या कुछ अस्पष्ट है। यह एनएसएक्स एज के साथ काम करने पर लेखों की श्रृंखला का अंतिम भाग भी है। हमें उम्मीद है कि वे मददगार थे 🙂

स्रोत: www.habr.com

छोटों के लिए VMware NSX। भाग 6: वीपीएन सेटअप

IPsec

एसएसएल वीपीएन

एल2 वीपीएन

एक टिप्पणी जोड़ें उत्तर रद्द