🥇VMware NSX პატარებისთვის. ნაწილი 6. VPN დაყენება

ნაწილი პირველი. შესავალი
Მეორე ნაწილი. Firewall-ისა და NAT-ის წესების კონფიგურაცია
ნაწილი მესამე. DHCP-ის კონფიგურაცია
ნაწილი მეოთხე. მარშრუტის დაყენება
ნაწილი მეხუთე. დატვირთვის ბალანსერის დაყენება

დღეს ჩვენ ვაპირებთ გადავხედოთ VPN კონფიგურაციის ვარიანტებს, რომლებსაც NSX Edge გვთავაზობს.

ზოგადად, VPN ტექნოლოგიები შეგვიძლია დავყოთ ორ ძირითად ტიპად:

საიტიდან საიტზე VPN. IPSec-ის ყველაზე გავრცელებული გამოყენება არის უსაფრთხო გვირაბის შექმნა, მაგალითად, მთავარ ოფისის ქსელსა და ქსელს შორის დისტანციურ საიტზე ან ღრუბელში.
დისტანციური წვდომის VPN. გამოიყენება ინდივიდუალური მომხმარებლების დასაკავშირებლად კორპორატიულ პირად ქსელებთან VPN კლიენტის პროგრამული უზრუნველყოფის გამოყენებით.

NSX Edge საშუალებას გვაძლევს გამოვიყენოთ ორივე ვარიანტი.
ჩვენ დავაკონფიგურირებთ სატესტო სკამით ორი NSX Edge-ით, Linux სერვერით დაინსტალირებული დემონით ენოტი და Windows ლეპტოპი დისტანციური წვდომის VPN შესამოწმებლად.

IPsec

vCloud Director ინტერფეისში გადადით ადმინისტრაციის განყოფილებაში და აირჩიეთ vDC. Edge Gateways ჩანართზე აირჩიეთ Edge, რომელიც გვჭირდება, დააწკაპუნეთ მარჯვენა ღილაკით და აირჩიეთ Edge Gateway Services.
NSX Edge ინტერფეისში გადადით VPN-IPsec VPN ჩანართზე, შემდეგ IPsec VPN საიტების განყოფილებაში და დააჭირეთ + ახალი საიტის დასამატებლად.
შეავსეთ საჭირო ველები:
- ჩართულია – ააქტიურებს დისტანციურ საიტს.
- PFS – უზრუნველყოფს, რომ ყოველი ახალი კრიპტოგრაფიული გასაღები არ იყოს ასოცირებული წინა გასაღებთან.
- ლოკალური ID და ლოკალური საბოლოო წერტილიt არის NSX Edge-ის გარე მისამართი.
- ადგილობრივი ქვექსელიs - ლოკალური ქსელები, რომლებიც გამოიყენებენ IPsec VPN-ს.
- Peer ID და Peer Endpoint – დისტანციური საიტის მისამართი.
- თანატოლების ქვექსელები – ქსელები, რომლებიც გამოიყენებენ IPsec VPN-ს დისტანციურ მხარეს.
- დაშიფვრის ალგორითმი - გვირაბის დაშიფვრის ალგორითმი.
- აუტენტიფიკაცია - როგორ მოვახდინოთ თანატოლის ავთენტიფიკაცია. შეგიძლიათ გამოიყენოთ წინასწარ გაზიარებული გასაღები ან სერტიფიკატი.
- წინასწარ გაზიარებული გასაღები - მიუთითეთ გასაღები, რომელიც გამოყენებული იქნება ავთენტიფიკაციისთვის და უნდა ემთხვეოდეს ორივე მხარეს.
- Diffie Hellman Group – გასაღების გაცვლის ალგორითმი.
საჭირო ველების შევსების შემდეგ დააჭირეთ ღილაკს Keep.
შესრულებულია.
საიტის დამატების შემდეგ გადადით აქტივაციის სტატუსის ჩანართზე და გაააქტიურეთ IPsec სერვისი.
პარამეტრების გამოყენების შემდეგ გადადით სტატისტიკა -> IPsec VPN ჩანართზე და შეამოწმეთ გვირაბის სტატუსი. ჩვენ ვხედავთ, რომ გვირაბი ამოვიდა.
შეამოწმეთ გვირაბის სტატუსი Edge gateway კონსოლიდან:
- სერვისის ჩვენება ipsec - შეამოწმეთ სერვისის სტატუსი.
- ჩვენება სერვისი ipsec საიტი - ინფორმაცია საიტის მდგომარეობისა და შეთანხმებული პარამეტრების შესახებ.
- შოუ სერვისი ipsec sa - შეამოწმეთ უსაფრთხოების ასოციაციის (SA) სტატუსი.

დისტანციურ საიტთან კავშირის შემოწმება:

root@racoon:~# ifconfig eth0:1 | grep inet
        inet 10.255.255.1  netmask 255.255.255.0  broadcast 0.0.0.0

root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 
PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data.
64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms

--- 192.168.0.10 ping statistics ---
1 packets transmitted, 1 received, 0% packet loss, time 0ms
rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms

კონფიგურაციის ფაილები და დამატებითი ბრძანებები დიაგნოსტიკისთვის დისტანციური Linux სერვერიდან:

root@racoon:~# cat /etc/racoon/racoon.conf 

log debug;
path pre_shared_key "/etc/racoon/psk.txt";
path certificate "/etc/racoon/certs";

listen {
  isakmp 80.211.43.73 [500];
   strict_address;
}

remote 185.148.83.16 {
        exchange_mode main,aggressive;
        proposal {
                 encryption_algorithm aes256;
                 hash_algorithm sha1;
                 authentication_method pre_shared_key;
                 dh_group modp1536;
         }
         generate_policy on;
}
 
sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any {
         encryption_algorithm aes256;
         authentication_algorithm hmac_sha1;
         compression_algorithm deflate;
}

===

root@racoon:~# cat /etc/racoon/psk.txt
185.148.83.16 testkey

===

root@racoon:~# cat /etc/ipsec-tools.conf 
#!/usr/sbin/setkey -f

flush;
spdflush;

spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec
      esp/tunnel/185.148.83.16-80.211.43.73/require;

spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec
      esp/tunnel/80.211.43.73-185.148.83.16/require;

===


root@racoon:~# racoonctl show-sa isakmp
Destination            Cookies                           Created
185.148.83.16.500      2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 

===

root@racoon:~# racoonctl show-sa esp
80.211.43.73 185.148.83.16 
        esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000)
        E: aes-cbc  00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d
        A: hmac-sha1  aa9e7cd7 51653621 67b3b2e9 64818de5 df848792
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=1 pid=7739 refcnt=0
185.148.83.16 80.211.43.73 
        esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000)
        E: aes-cbc  c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044
        A: hmac-sha1  cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878
        seq=0x00000000 replay=4 flags=0x00000000 state=mature 
        created: May 22 13:46:13 2019   current: May 22 14:07:43 2019
        diff: 1290(s)   hard: 3600(s)   soft: 2880(s)
        last: May 22 13:46:13 2019      hard: 0(s)      soft: 0(s)
        current: 72240(bytes)   hard: 0(bytes)  soft: 0(bytes)
        allocated: 860  hard: 0 soft: 0
        sadb_seq=0 pid=7739 refcnt=0

ყველაფერი მზად არის, საიტიდან საიტის IPsec VPN მუშაობს და მუშაობს.
ამ მაგალითში, ჩვენ გამოვიყენეთ PSK თანატოლთა ავთენტიფიკაციისთვის, მაგრამ ასევე შესაძლებელია სერტიფიკატის ავთენტიფიკაცია. ამისათვის გადადით გლობალური კონფიგურაციის ჩანართზე, ჩართეთ სერთიფიკატის ავთენტიფიკაცია და აირჩიეთ თავად სერთიფიკატი.

გარდა ამისა, საიტის პარამეტრებში, თქვენ უნდა შეცვალოთ ავტორიზაციის მეთოდი.

მე აღვნიშნავ, რომ IPsec გვირაბების რაოდენობა დამოკიდებულია განლაგებული Edge Gateway-ის ზომაზე (ამის შესახებ წაიკითხეთ ჩვენს პირველი სტატია).

SSL VPN

SSL VPN-Plus არის ერთ-ერთი დისტანციური წვდომის VPN ვარიანტი. ის საშუალებას აძლევს ინდივიდუალურ დისტანციურ მომხმარებლებს უსაფრთხოდ დაუკავშირდნენ კერძო ქსელებს NSX Edge Gateway-ის უკან. SSL VPN-plus-ის შემთხვევაში დაშიფრული გვირაბი იქმნება კლიენტს (Windows, Linux, Mac) და NSX Edge-ს შორის.

დავიწყოთ დაყენება. Edge Gateway სერვისის მართვის პანელში გადადით SSL VPN-Plus ჩანართზე, შემდეგ სერვერის პარამეტრებზე. ჩვენ ვირჩევთ მისამართს და პორტს, რომელზედაც სერვერი მოუსმენს შემომავალ კავშირებს, ჩართავს ჟურნალს და შეარჩევს საჭირო დაშიფვრის ალგორითმებს.

აქ ასევე შეგიძლიათ შეცვალოთ სერთიფიკატი, რომელსაც სერვერი გამოიყენებს.
მას შემდეგ რაც ყველაფერი მზად არის, ჩართეთ სერვერი და არ დაგავიწყდეთ პარამეტრების შენახვა.
შემდეგი, ჩვენ უნდა მოვაწყოთ მისამართების კრებული, რომელსაც მივუწოდებთ კლიენტებს დაკავშირებისთანავე. ეს ქსელი განცალკევებულია ნებისმიერი არსებული ქვექსელისგან თქვენს NSX გარემოში და არ საჭიროებს კონფიგურაციას ფიზიკურ ქსელებში არსებულ სხვა მოწყობილობებზე, გარდა მარშრუტებისა, რომლებიც მასზე მიუთითებს.
გადადით IP Pools ჩანართზე და დააჭირეთ +.
აირჩიეთ მისამართები, ქვექსელის ნიღაბი და კარიბჭე. აქ ასევე შეგიძლიათ შეცვალოთ პარამეტრები DNS და WINS სერვერებისთვის.
შედეგად მიღებული აუზი.
ახლა მოდით დავამატოთ ქსელები, რომლებზეც VPN-თან დაკავშირებულ მომხმარებლებს ექნებათ წვდომა. გადადით პირადი ქსელების ჩანართზე და დააჭირეთ +.
ჩვენ ვავსებთ:
- ქსელი - ლოკალური ქსელი, რომელზეც წვდომა ექნებათ დისტანციურ მომხმარებლებს.
- გაგზავნეთ ტრაფიკი, მას აქვს ორი ვარიანტი:
  - გვირაბის გავლით - გაგზავნეთ ტრაფიკი ქსელში გვირაბის გავლით,
  — შემოვლითი გვირაბი — გაგზავნეთ ტრაფიკი ქსელში პირდაპირ გვირაბის გვერდის ავლით.
- ჩართეთ TCP ოპტიმიზაცია - შეამოწმეთ, აირჩიეთ თუ არა გვირაბის ოფცია. როდესაც ოპტიმიზაცია ჩართულია, შეგიძლიათ მიუთითოთ პორტის ნომრები, რომლებისთვისაც გსურთ ტრაფიკის ოპტიმიზაცია. ამ კონკრეტულ ქსელში დარჩენილი პორტების ტრაფიკი არ იქნება ოპტიმიზებული. თუ პორტის ნომრები არ არის მითითებული, ტრაფიკი ყველა პორტისთვის ოპტიმიზირებულია. წაიკითხეთ მეტი ამ ფუნქციის შესახებ აქ.
შემდეგი, გადადით ავტორიზაციის ჩანართზე და დააჭირეთ +. ავთენტიფიკაციისთვის ჩვენ გამოვიყენებთ ლოკალურ სერვერს თავად NSX Edge-ზე.
აქ შეგვიძლია შევარჩიოთ ახალი პაროლების გენერირების პოლიტიკა და დავაკონფიგურიროთ მომხმარებლის ანგარიშების დაბლოკვის ვარიანტები (მაგალითად, განმეორებითი ცდების რაოდენობა, თუ პაროლი არასწორად არის შეყვანილი).
ვინაიდან ჩვენ ვიყენებთ ადგილობრივ ავთენტიფიკაციას, ჩვენ უნდა შევქმნათ მომხმარებლები.
გარდა ძირითადი საკითხებისა, როგორიცაა სახელი და პაროლი, აქ შეგიძლიათ, მაგალითად, აუკრძალოთ მომხმარებელს პაროლის შეცვლა ან, პირიქით, აიძულოთ შეცვალოს პაროლი მომდევნო შესვლისას.
მას შემდეგ რაც ყველა საჭირო მომხმარებელი დაემატება, გადადით ინსტალაციის პაკეტების ჩანართზე, დააწკაპუნეთ + და შექმენით თავად ინსტალერი, რომელსაც ჩამოტვირთავს დისტანციური თანამშრომელი ინსტალაციისთვის.
დააჭირეთ +. აირჩიეთ სერვერის მისამართი და პორტი, რომელსაც კლიენტი დაუკავშირდება და პლატფორმები, რომლებისთვისაც გსურთ ინსტალაციის პაკეტის გენერირება.

ამ ფანჯარაში ქვემოთ შეგიძლიათ მიუთითოთ კლიენტის პარამეტრები Windows-ისთვის. აირჩიეთ:
- კლიენტის დაწყება შესვლისას – VPN კლიენტი დაემატება დისტანციურ მანქანაზე გაშვებას;
- შექმნა დესკტოპის ხატულა - შექმნის VPN კლიენტის ხატულას დესკტოპზე;
- სერვერის უსაფრთხოების სერტიფიკატის ვალიდაცია - დაადასტურებს სერვერის სერთიფიკატს დაკავშირებისთანავე.
  სერვერის დაყენება დასრულებულია.
ახლა გადმოვწეროთ ინსტალაციის პაკეტი, რომელიც შევქმენით ბოლო ეტაპზე დისტანციურ კომპიუტერზე. სერვერის დაყენებისას ჩვენ დავაზუსტეთ მისი გარე მისამართი (185.148.83.16) და პორტი (445). სწორედ ამ მისამართზე უნდა შევიდეთ ვებ ბრაუზერში. ჩემს შემთხვევაში ასეა 185.148.83.16: 445.
ავტორიზაციის ფანჯარაში თქვენ უნდა შეიყვანოთ მომხმარებლის სერთიფიკატები, რომლებიც ადრე შევქმენით.
ავტორიზაციის შემდეგ, ჩვენ ვხედავთ შექმნილი ინსტალაციის პაკეტების ჩამონათვალს, რომლებიც ხელმისაწვდომია ჩამოსატვირთად. ჩვენ შევქმენით მხოლოდ ერთი - გადმოვწერთ.
ჩვენ ვაჭერთ ბმულს, იწყება კლიენტის ჩამოტვირთვა.
გახსენით გადმოწერილი არქივი და გაუშვით ინსტალერი.
ინსტალაციის შემდეგ გაუშვით კლიენტი, ავტორიზაციის ფანჯარაში დააჭირეთ შესვლას.
სერტიფიკატის დადასტურების ფანჯარაში აირჩიეთ დიახ.
ჩვენ შევიყვანთ ადრე შექმნილი მომხმარებლის სერთიფიკატებს და ვხედავთ, რომ კავშირი წარმატებით დასრულდა.
ჩვენ ვამოწმებთ VPN კლიენტის სტატისტიკას ადგილობრივ კომპიუტერზე.
Windows ბრძანების ხაზში (ipconfig / all), ჩვენ ვხედავთ, რომ გამოჩნდა დამატებითი ვირტუალური ადაპტერი და არის კავშირი დისტანციურ ქსელთან, ყველაფერი მუშაობს:
და ბოლოს, შეამოწმეთ Edge Gateway კონსოლიდან.

L2 VPN

L2VPN დაგჭირდებათ, როდესაც გეოგრაფიულად რამდენიმე გაერთიანება გჭირდებათ
განაწილებული ქსელები ერთ სამაუწყებლო დომენში.

ეს შეიძლება იყოს სასარგებლო, მაგალითად, ვირტუალური მანქანის მიგრაციისას: როდესაც VM გადადის სხვა გეოგრაფიულ არეალში, მანქანა შეინარჩუნებს IP მისამართის პარამეტრებს და არ დაკარგავს კავშირს სხვა მანქანებთან, რომლებიც მდებარეობს იმავე L2 დომენში.

ჩვენს სატესტო გარემოში ჩვენ დავაკავშირებთ ორ საიტს ერთმანეთს, დავარქმევთ მათ შესაბამისად A და B. გვაქვს ორი NSX და ორი იდენტურად შექმნილი მარშრუტირებული ქსელი, რომლებიც მიმაგრებულია სხვადასხვა Edge-ზე. A მანქანას აქვს მისამართი 10.10.10.250/24, მანქანა B აქვს მისამართი 10.10.10.2/24.

vCloud Director-ში გადადით ადმინისტრაციის ჩანართზე, გადადით ჩვენ გვჭირდება VDC-ზე, გადადით Org VDC Networks ჩანართზე და დაამატეთ ორი ახალი ქსელი.
აირჩიეთ მარშრუტირებული ქსელის ტიპი და დაუკავშირეთ ეს ქსელი ჩვენს NSX-ს. ჩვენ ვაყენებთ ჩამრთველს Create როგორც subinterface.
შედეგად, ჩვენ უნდა მივიღოთ ორი ქსელი. ჩვენს მაგალითში მათ უწოდებენ network-a და network-b იგივე კარიბჭის პარამეტრებით და იგივე ნიღბით.
ახლა მოდით გადავიდეთ პირველი NSX-ის პარამეტრებზე. ეს იქნება NSX, რომელზეც ქსელი A არის მიმაგრებული. ის იმოქმედებს როგორც სერვერი.
ჩვენ ვუბრუნდებით NSx Edge ინტერფეისს / გადადით VPN ჩანართზე -> L2VPN. ჩვენ ჩართავთ L2VPN, ვირჩევთ სერვერის მუშაობის რეჟიმს, სერვერის გლობალურ პარამეტრებში ჩვენ ვაზუსტებთ გარე NSX IP მისამართს, რომელზეც გვირაბის პორტი მოუსმენს. ნაგულისხმევად, სოკეტი გაიხსნება პორტზე 443, მაგრამ ეს შეიძლება შეიცვალოს. არ დაგავიწყდეთ მომავალი გვირაბის დაშიფვრის პარამეტრების არჩევა.
გადადით სერვერის საიტების ჩანართზე და დაამატეთ თანატოლი.
ჩვენ ჩართავთ თანატოლს, ვაყენებთ სახელს, აღწერას, საჭიროების შემთხვევაში ვაყენებთ მომხმარებლის სახელს და პაროლს. ეს მონაცემები მოგვიანებით დაგვჭირდება კლიენტის საიტის დაყენებისას.
Egress Optimization Gateway Address-ში ჩვენ ვაყენებთ კარიბჭის მისამართს. ეს აუცილებელია იმისათვის, რომ არ მოხდეს IP მისამართების კონფლიქტი, რადგან ჩვენი ქსელების კარიბჭეს აქვს იგივე მისამართი. შემდეგ დააჭირეთ ღილაკს SELECT SUB-INTERFACES.
აქ ვირჩევთ სასურველ ქვეინტერფეისს. ჩვენ ვინახავთ პარამეტრებს.
ჩვენ ვხედავთ, რომ ახლად შექმნილი კლიენტის საიტი გამოჩნდა პარამეტრებში.
ახლა მოდით გადავიდეთ NSX-ის კონფიგურაციაზე კლიენტის მხრიდან.
ჩვენ მივდივართ NSX მხარეს B, გადავდივართ VPN -> L2VPN, ჩართეთ L2VPN, დააყენეთ L2VPN რეჟიმი კლიენტის რეჟიმში. Client Global ჩანართზე დააყენეთ NSX A-ს მისამართი და პორტი, რომელიც ადრე დავაზუსტეთ, როგორც მოსმენის IP და პორტი სერვერის მხარეს. ასევე აუცილებელია დაშიფვრის იგივე პარამეტრების დაყენება ისე, რომ ისინი თანმიმდევრული იყოს გვირაბის ამაღლებისას.

ჩვენ გადავდივართ ქვემოთ, ვირჩევთ ქვეინტერფეისს, რომლის მეშვეობითაც აშენდება გვირაბი L2VPN-სთვის.
Egress Optimization Gateway Address-ში ჩვენ ვაყენებთ კარიბჭის მისამართს. დააყენეთ მომხმარებლის ID და პაროლი. ჩვენ ვირჩევთ ქვეინტერფეისს და არ დაგავიწყდეთ პარამეტრების შენახვა.
სინამდვილეში, ეს ყველაფერია. კლიენტისა და სერვერის მხარის პარამეტრები თითქმის იდენტურია, რამდენიმე ნიუანსის გარდა.
ახლა ჩვენ ვხედავთ, რომ ჩვენი გვირაბი მუშაობდა სტატისტიკაზე -> L2VPN-ზე გადასვლით ნებისმიერ NSX-ზე.
თუ ახლა გადავალთ რომელიმე Edge Gateway-ის კონსოლზე, თითოეულ მათგანზე arp ცხრილში დავინახავთ ორივე VM-ის მისამართებს.

ეს ყველაფერი VPN-ზეა NSX Edge-ზე. ჰკითხეთ, თუ რამე გაურკვეველია. ის ასევე არის სტატიების სერიის ბოლო ნაწილი NSX Edge-თან მუშაობის შესახებ. ვიმედოვნებთ, რომ ისინი დაგეხმარნენ 🙂

წყარო: www.habr.com

VMware NSX პატარებისთვის. ნაწილი 6: VPN დაყენება

IPsec

SSL VPN

L2 VPN

ახალი კომენტარის დამატება

VMware NSX პატარებისთვის. ნაწილი 6: VPN დაყენება

IPsec

SSL VPN

L2 VPN

ახალი კომენტარის დამატება პასუხის გასაუქმებლად

ახალი კომენტარის დამატება