Sot do të hedhim një vështrim në opsionet e konfigurimit të VPN që na ofron NSX Edge.
Në përgjithësi, ne mund t'i ndajmë teknologjitë VPN në dy lloje kryesore:
- VPN nga faqe në faqe. Përdorimi më i zakonshëm i IPSec është krijimi i një tuneli të sigurt, për shembull, midis një rrjeti të zyrës kryesore dhe një rrjeti në një vend të largët ose në cloud.
- Qasja në distancë VPN. Përdoret për të lidhur përdoruesit individualë me rrjetet private të korporatave duke përdorur softuerin e klientit VPN.
NSX Edge na lejon të përdorim të dy opsionet.
Ne do ta kryejmë konfigurimin duke përdorur një bankë testimi me dy NSX Edge, Linux-servera me daemon të instaluar dhe një laptop me Windows për testimin e VPN-së me qasje në distancë.
IPsec
- Në ndërfaqen e drejtorit vCloud, shkoni te seksioni Administrimi dhe zgjidhni vDC. Në skedën Edge Gateways, zgjidhni Edge që na nevojitet, kliko me të djathtën dhe zgjidhni Edge Gateway Services.
- Në ndërfaqen NSX Edge, shkoni te skeda VPN-IPsec VPN, më pas në seksionin IPsec VPN Sites dhe klikoni + për të shtuar një sajt të ri.
- Plotësoni fushat e kërkuara:
- Enabled â aktivizon faqen nĂ« distancĂ«.
- PFS â siguron qĂ« çdo çelĂ«s i ri kriptografik tĂ« mos shoqĂ«rohet me ndonjĂ« çelĂ«s tĂ« mĂ«parshĂ«m.
- ID-ja lokale dhe pika përfundimtare lokalet është adresa e jashtme e NSX Edge.
- Nënrrjeti lokals - rrjetet lokale që do të përdorin IPsec VPN.
- Peer ID dhe Peer Endpoint â adresa e faqes nĂ« distancĂ«.
- NĂ«nrrjetet homologe â rrjetet qĂ« do tĂ« pĂ«rdorin IPsec VPN nĂ« anĂ«n e largĂ«t.
- Algoritmi i kriptimit â algoritmi i enkriptimit tĂ« tunelit.
- Vërtetim - si do ta vërtetojmë bashkëmoshatarin. Mund të përdorni një çelës të përbashkët ose një certifikatë.
- ĂelĂ«si i para-ndarĂ« - specifikoni çelĂ«sin qĂ« do tĂ« pĂ«rdoret pĂ«r vĂ«rtetim dhe duhet tĂ« pĂ«rputhet nĂ« tĂ« dyja anĂ«t.
- Grupi Diffie Hellman â algoritmi i shkĂ«mbimit tĂ« çelĂ«save.
Pasi të plotësoni fushat e kërkuara, klikoni Mbaj.
- Done.
- Pasi të keni shtuar faqen, shkoni te skeda Statusi i aktivizimit dhe aktivizoni Shërbimin IPsec.
- Pasi të aplikohen cilësimet, shkoni te skeda Statistika -> IPsec VPN dhe kontrolloni statusin e tunelit. Shohim që tuneli është ngritur.
- Kontrolloni statusin e tunelit nga tastiera e portës Edge:
- shfaq shërbimin ipsec - kontrolloni statusin e shërbimit.
- Shfaq shërbimin e faqes ipsec - Informacion në lidhje me gjendjen e sitit dhe parametrat e negociuar.
- Shfaq shërbimin ipsec sa - kontrolloni statusin e Shoqatës së Sigurisë (SA).
- shfaq shërbimin ipsec - kontrolloni statusin e shërbimit.
- Kontrollimi i lidhjes me një sajt të largët:
root@racoon:~# ifconfig eth0:1 | grep inet inet 10.255.255.1 netmask 255.255.255.0 broadcast 0.0.0.0 root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data. 64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms --- 192.168.0.10 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 msSkedarët e konfigurimit dhe komandat shtesë për diagnostikimin në distancë Linux-serverat:
root@racoon:~# cat /etc/racoon/racoon.conf log debug; path pre_shared_key "/etc/racoon/psk.txt"; path certificate "/etc/racoon/certs"; listen { isakmp 80.211.43.73 [500]; strict_address; } remote 185.148.83.16 { exchange_mode main,aggressive; proposal { encryption_algorithm aes256; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1536; } generate_policy on; } sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any { encryption_algorithm aes256; authentication_algorithm hmac_sha1; compression_algorithm deflate; } === root@racoon:~# cat /etc/racoon/psk.txt 185.148.83.16 testkey === root@racoon:~# cat /etc/ipsec-tools.conf #!/usr/sbin/setkey -f flush; spdflush; spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec esp/tunnel/185.148.83.16-80.211.43.73/require; spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec esp/tunnel/80.211.43.73-185.148.83.16/require; === root@racoon:~# racoonctl show-sa isakmp Destination Cookies Created 185.148.83.16.500 2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 === root@racoon:~# racoonctl show-sa esp 80.211.43.73 185.148.83.16 esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000) E: aes-cbc 00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d A: hmac-sha1 aa9e7cd7 51653621 67b3b2e9 64818de5 df848792 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: May 22 13:46:13 2019 current: May 22 14:07:43 2019 diff: 1290(s) hard: 3600(s) soft: 2880(s) last: May 22 13:46:13 2019 hard: 0(s) soft: 0(s) current: 72240(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 860 hard: 0 soft: 0 sadb_seq=1 pid=7739 refcnt=0 185.148.83.16 80.211.43.73 esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000) E: aes-cbc c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044 A: hmac-sha1 cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: May 22 13:46:13 2019 current: May 22 14:07:43 2019 diff: 1290(s) hard: 3600(s) soft: 2880(s) last: May 22 13:46:13 2019 hard: 0(s) soft: 0(s) current: 72240(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 860 hard: 0 soft: 0 sadb_seq=0 pid=7739 refcnt=0 - Gjithçka është gati, IPsec VPN nga faqe në sit është në funksionim.
Në këtë shembull, ne kemi përdorur PSK për vërtetimin e kolegëve, por vërtetimi i certifikatës është gjithashtu i mundur. Për ta bërë këtë, shkoni te skedari "Konfigurimi global", aktivizoni vërtetimin e certifikatës dhe zgjidhni vetë certifikatën.
Përveç kësaj, në cilësimet e faqes, do t'ju duhet të ndryshoni metodën e vërtetimit.
Unë vërej se numri i tuneleve IPsec varet nga madhësia e portës së vendosur Edge (lexoni për këtë në faqen tonë ).
SSL VPN
SSL VPN-Plus është një opsion VPN me Qasje në Distancë. Ai u lejon përdoruesve individualë në distancë të lidhen në mënyrë të sigurt me rrjete private të vendosura pas një porte hyrëse NSX Edge. Me SSL VPN-Plus, krijohet një tunel i enkriptuar midis klientit (Windows, Linux, Mac) dhe NSX Edge.
- Le të fillojmë të konfigurojmë. Në panelin e kontrollit të shërbimit Edge Gateway, shkoni te skeda SSL VPN-Plus, më pas te Cilësimet e Serverit. Ne zgjedhim adresën dhe portën në të cilën serveri do të dëgjojë për lidhjet hyrëse, aktivizojmë regjistrimin dhe zgjedhim algoritmet e nevojshme të kriptimit.
Këtu mund të ndryshoni edhe certifikatën që do të përdorë serveri.
- Pasi gjithçka të jetë gati, ndizni serverin dhe mos harroni të ruani cilësimet.
- Më pas, ne duhet të krijojmë një grup adresash që do t'ua lëshojmë klientëve pas lidhjes. Ky rrjet është i ndarë nga çdo nënrrjet ekzistues në mjedisin tuaj NSX dhe nuk ka nevojë të konfigurohet në pajisje të tjera në rrjetet fizike, me përjashtim të rrugëve që tregojnë drejt tij.
Shkoni te skeda IP Pools dhe klikoni +.
- Zgjidhni adresat, maskën e nënrrjetit dhe portën. Këtu mund të ndryshoni gjithashtu cilësimet për serverët DNS dhe WINS.
- Pishina që rezulton.
- Tani le të shtojmë rrjetet në të cilat do të kenë akses përdoruesit që lidhen me VPN. Shkoni te skeda Rrjetet Private dhe klikoni +.
- Plotësojmë:
- Rrjeti - një rrjet lokal në të cilin përdoruesit e largët do të kenë akses.
- DĂ«rgo trafik, ka dy opsione:
- mbi tunel - dërgoni trafikun në rrjet përmes tunelit,
â tuneli i anashkalimitâdĂ«rgoni trafikun nĂ« rrjet duke anashkaluar drejtpĂ«rdrejt tunelin. - Aktivizo Optimizimin TCP - kontrolloni nĂ«se keni zgjedhur opsionin mbi tunelin. Kur optimizimi Ă«shtĂ« i aktivizuar, mund tĂ« specifikoni numrat e portave pĂ«r tĂ« cilat dĂ«shironi tĂ« optimizoni trafikun. Trafiku pĂ«r portet e mbetura nĂ« atĂ« rrjet tĂ« veçantĂ« nuk do tĂ« optimizohet. NĂ«se nuk specifikohen numra portash, trafiku pĂ«r tĂ« gjitha portet optimizohet. Lexoni mĂ« shumĂ« rreth kĂ«saj veçorie .
- Tjetra, shkoni te skedari "Autentifikimi" dhe klikoni +. Për vërtetim, ne do të përdorim një server lokal në vetë NSX Edge.
- Këtu mund të zgjedhim politikat për gjenerimin e fjalëkalimeve të reja dhe të konfigurojmë opsionet për bllokimin e llogarive të përdoruesve (për shembull, numrin e riprovave nëse fjalëkalimi është futur gabimisht).
- Meqenëse po përdorim vërtetimin lokal, duhet të krijojmë përdorues.
- Përveç gjërave themelore si emri dhe fjalëkalimi, këtu mund të ndaloni, për shembull, përdoruesin të ndryshojë fjalëkalimin ose, anasjelltas, ta detyroni atë të ndryshojë fjalëkalimin herën tjetër kur të identifikohet.
- Pasi të jenë shtuar të gjithë përdoruesit e nevojshëm, shkoni te skeda e Paketave të Instalimit, klikoni + dhe krijoni vetë instaluesin, i cili do të shkarkohet nga një punonjës i largët për instalim.
- Shtypni +. Zgjidhni adresën dhe portin e serverit me të cilin do të lidhet klienti dhe platformat për të cilat dëshironi të gjeneroni paketën e instalimit.
Më poshtë në këtë dritare mund të specifikoni parametrat e klientit për WindowsNe zgjedhim:- fillimi i klientit në hyrje - klienti VPN do të shtohet në fillimin në makinën në distancë;
- krijimin e ikonës së desktopit - do të krijojë një ikonë të klientit VPN në desktop;
- Vlefshmëria e certifikatës së sigurisë së serverit - do të vërtetojë certifikatën e serverit pas lidhjes.
Konfigurimi i serverit ka përfunduar.
- Tani le të shkarkojmë paketën e instalimit që krijuam në hapin e fundit në një PC të largët. Gjatë konfigurimit të serverit, ne specifikuam adresën e tij të jashtme (185.148.83.16) dhe portin (445). Pikërisht në këtë adresë duhet të shkojmë në një shfletues uebi. Në rastin tim është : 445.
Në dritaren e autorizimit, duhet të futni kredencialet e përdoruesit që kemi krijuar më parë.
- Pas autorizimit, ne shohim një listë të paketave të instalimit të krijuara të disponueshme për shkarkim. Ne kemi krijuar vetëm një - do ta shkarkojmë.
- Ne klikojmë në lidhjen, fillon shkarkimi i klientit.
- Shpaketoni arkivin e shkarkuar dhe ekzekutoni instaluesin.
- Pas instalimit, hapni klientin, në dritaren e autorizimit, klikoni Identifikohu.
- Në dritaren e verifikimit të certifikatës, zgjidhni Po.
- Ne futim kredencialet për përdoruesin e krijuar më parë dhe shohim që lidhja është përfunduar me sukses.
- Ne kontrollojmë statistikat e klientit VPN në kompjuterin lokal.
- Në rreshtin e komandës Windows (ipconfig /all) shohim që është shfaqur një përshtatës virtual shtesë dhe ka lidhje me rrjetin e largët, gjithçka funksionon:
- Dhe së fundi, kontrolloni nga tastiera Edge Gateway.
L2 VPN
L2VPN do të nevojitet kur ju duhet të kombinoni disa gjeografikisht
rrjetet e shpërndara në një domen transmetimi.
Kjo mund të jetë e dobishme, për shembull, kur migroni një makinë virtuale: kur një VM lëviz në një zonë tjetër gjeografike, makina do të ruajë cilësimet e adresës së IP-së dhe nuk do të humbasë lidhjen me makinat e tjera të vendosura në të njëjtin domen L2 me të.
Në mjedisin tonë të testimit, ne do të lidhim dy faqe me njëra-tjetrën, do t'i quajmë përkatësisht A dhe B. Kemi dy NSX dhe dy rrjete të drejtuara në mënyrë identike të bashkangjitura në Edges të ndryshëm. Makina A ka adresën 10.10.10.250/24, Makina B ka adresën 10.10.10.2/24.
- Në vCloud Director, shkoni te skeda Administrata, shkoni te VDC që na nevojitet, shkoni te skeda Org VDC Networks dhe shtoni dy rrjete të reja.
- Zgjidhni llojin e rrjetit të drejtuar dhe lidhni këtë rrjet me NSX-në tonë. Ne vendosim kutinë e zgjedhjes Krijo si nënndërfaqe.
- Si rezultat, ne duhet të marrim dy rrjete. Në shembullin tonë, ato quhen network-a dhe network-b me të njëjtat cilësime të portës dhe të njëjtën maskë.
- Tani le të shkojmë te cilësimet e NSX-it të parë. Ky do të jetë NSX me të cilin është bashkangjitur Rrjeti A. Do të veprojë si server.
Ne kthehemi në ndërfaqen NSx Edge / Shkoni te skedari VPN -> L2VPN. Ne aktivizojmë L2VPN, zgjedhim mënyrën e funksionimit të serverit, në cilësimet e Server Global ne specifikojmë adresën IP të jashtme NSX në të cilën do të dëgjojë porti për tunelin. Si parazgjedhje, priza do të hapet në portin 443, por kjo mund të ndryshohet. Mos harroni të zgjidhni cilësimet e kriptimit për tunelin e ardhshëm.
- Shkoni te skeda "Sajtet e serverit" dhe shtoni një koleg.
- Ne ndezim bashkëmoshatarin, vendosim emrin, përshkrimin, nëse është e nevojshme, vendosim emrin e përdoruesit dhe fjalëkalimin. Këto të dhëna do të na duhen më vonë kur të konfigurojmë faqen e klientit.
Në Adresën e Portës së Optimizimit të Egress vendosim adresën e portës. Kjo është e nevojshme që të mos ketë konflikt të adresave IP, sepse porta e rrjeteve tona ka të njëjtën adresë. Pastaj klikoni në butonin SELECT SUB-INTERFACES.
- Këtu zgjedhim nënndërfaqen e dëshiruar. Ne i ruajmë cilësimet.
- Ne shohim që faqja e klientit e krijuar rishtazi është shfaqur në cilësimet.
- Tani le të kalojmë në konfigurimin e NSX nga ana e klientit.
ShkojmĂ« nĂ« anĂ«n B NSX, shkojmĂ« te VPN -> L2VPN, aktivizojmĂ« L2VPN, vendosim modalitetin L2VPN nĂ« modalitetin e klientit. NĂ« skedĂ«n Client Global, vendosni adresĂ«n dhe portin e NSX A, tĂ« cilat i kemi specifikuar mĂ« parĂ« si Listening IP dhe Port nĂ« anĂ«n e serverit. ĂshtĂ« gjithashtu e nevojshme tĂ« vendosni tĂ« njĂ«jtat cilĂ«sime tĂ« kriptimit nĂ« mĂ«nyrĂ« qĂ« ato tĂ« jenĂ« tĂ« qĂ«ndrueshme kur tuneli ngrihet.
Ne lëvizim më poshtë, zgjedhim nënndërfaqen përmes së cilës do të ndërtohet tuneli për L2VPN.
Në Adresën e Portës së Optimizimit të Egress vendosim adresën e portës. Vendosni ID-në e përdoruesit dhe fjalëkalimin. Ne zgjedhim nënndërfaqen dhe mos harroni të ruani cilësimet.
- Në fakt, kjo është e gjitha. Cilësimet e klientit dhe serverit janë pothuajse identike, me përjashtim të disa nuancave.
- Tani mund të shohim që tuneli ynë ka funksionuar duke shkuar te Statistika -> L2VPN në çdo NSX.
- Nëse tani shkojmë në tastierën e ndonjë Edge Gateway, do të shohim në secilën prej tyre në tabelën arp adresat e të dy VM-ve.
Kjo ka tĂ« bĂ«jĂ« me VPN nĂ« NSX Edge. Pyesni nĂ«se diçka Ă«shtĂ« e paqartĂ«. ĂshtĂ« gjithashtu pjesa e fundit e njĂ« serie artikujsh mbi punĂ«n me NSX Edge. ShpresojmĂ« qĂ« ata tĂ« ishin tĂ« dobishĂ«m đ
Burimi: www.habr.com
