Настройка VPN соединения в VPNaaS с использованием «Endpoint Groups» (recommended)¶
По умолчанию, при настройке VPN сервиса в VPNaaS можно указывать только одну локальную сеть. «Endpoint Groups» -это сущности позволяющие группировать локальные сети, после чего использовать эти группы при настройке IPSec соединения. Здесь будет описана настройка соединения с использованием «Endpoint Groups». Внутренние сети участвующие в настройке (локальные и удалённые) будут указаны в «Endpoint Groups».
Примечание
Для установления IPSec VPN-соединения необходимо обеспечить выполнения обязательных условий:
Сетевая доступность между маршрутизаторами:
- Protocol: UDP, port 500 (for IKE, to manage encryption keys).
- Protocol: UDP, port 4500 (for IPSEC NAT-Traversal mode).
- Protocol: ESP, value 50 (for IPSEC).
- Protocol: AH, value 51 (for IPSEC).
Правила фаерволов не должны блокировать сетевой трафик между маршрутизаторами и приватными подсетями.
Приватные подсети, которые будут соединяться средствами IPSec, должны быть разными, а также не включать в себя друг друга.
Настройка сервиса VPNaaS с использованием «Endpoint Groups» состоит из следующих шагов:
Добавим политику IKE¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «IKE POLICIES».
- Нажать «ADD IKE POLICY».
- В появившейся форме заполним следующие поля:
«Add IKE Policy»¶ Name ввести имя политики Encryption algorithm выбрать необходимый алгоритм шифрования IKE version выбрать необходимую версию IKE Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Добавим политику IPSec¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «IPSEC POLICIES».
- Нажать «ADD IPSEC POLICY».
- В появившейся форме заполним следующие поля:
«Add IPSec Policy»¶ Name ввести имя политики Encryption algorithm выбрать необходимый алгоритм шифрования Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Добавим сервис VPN¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «VPN SERVICES».
- Нажать «ADD VPN SERVICE».
- В появившейся форме заполним следующие поля:
«Add IKE Policy»¶ Name ввести имя сервиса Router выбрать маршрутизатор проекта, который будет использоваться Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Примечание
После создания, сервис VPN появится со статусом «PENDING_CREATE». Статус сменится на «ACTIVE» после успешного создания IPSec подключения. Поэтому, не ожидая его изменения, переходим к следующему пункту.
Создадим Endpoint Group для локальных сетей облачного проекта¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «ENDPOINT GROUPS».
- Нажать «ADD ENDPOINT GROUP».
- В появившейся форме заполним следующие поля:
«Add Local Endpoint Group»¶ Name ввести имя группы Type выбрать пункт SUBNET(FOR LOCAL SYSTEMS) Local System Subnets выбираем нужную локальную сеть/сети заведённые в облачном проекте Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Предупреждение
Обязательно нужно убедиться, что маршрутизатору добавлен интерфейс из приватной сети/сетей, которая будет выбрана в Local System Subnets. Иначе последний шаг,»ADD IPSEC SITE CONNECTIONS» - будет завершаться с ошибкой.
Создадим Endpoint Group для удалённых локальных сетей¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «ENDPOINT GROUPS».
- Нажать «ADD ENDPOINT GROUP».
- В появившейся форме заполним следующие поля:
«Add Remote Endpoint Group»¶ Name ввести имя группы Type выбрать пункт CIDR(FOR EXTERNAL SYSTEMS) External System CIDRs прописываем удалённую локальную сеть/сети (через запятую) Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Добавим IPSec подключение¶
- Перейти «PROJECT» → «NETWORK» → «VPN» в панели управления SIM-Cloud.
- Открыть вкладку «IPSEC SITE CONNECTIONS».
- Нажать «ADD IPSEC SITE CONNECTIONS».
- В появившейся форме заполним следующие поля:
«Add IPSec Site Connection»¶ Name ввести имя соединения VPN service associated with this connection Сервис VPN, который был создан в предыдущем шаге Endpoint group for local subnet(s) выбрать созданную раннее Endpoint Group для локальных сетей из облачного проекта IKE policy associated with this connection Политика IKE, которая была создана на предыдущих шагах IPsec policy associated with this connection Политика IPSec, которая была создана на предыдущих шагах Peer gateway public IPv4/IPv6 Address or FQDN Публичный IP-адрес удаленной стороны Peer router identity for authentication (Peer ID) Может быть IPv4/IPv6 адрес, адрес электронной почты, ID ключа или FQDN. Обычно используем IP из предыдущего поля Endpoint group for remote peer CIDR(s) выбрать созданную раннее Endpoint Group для локальных сетей удаленной стороны Pre-Shared Key (PSK) string ключ PSK, требуемый между двумя точками VPN-соединения Остальные настройки оставляем по умолчанию.
- Нажимаем «ADD».
Настрока VPN соединения с помощью Opencstack CLI¶
Все описанные шаги также можно выполнить с помощью интерфейса командной строки Openstack CLI.Подробное описание всех шагов по настройке VPNaaS можно взять из официальной документации Openstack
Cоздание VPN соединения со стороны сервиса VPNaaS закончено.¶
Теперь требуется произвести настройку со второй стороны. При этом параметры используемые при настройке политик должны быть идентичными.
Предупреждение
Протокол IPSec предусматривает, что создаваемые политики и алгоритмы шифрования должны быть одинаковыми с обоих сторон туннеля. Если они не будут совпадать, то туннель не будет создаваться.