Edge gateway

Настройка DHCP на Edge Gateway

На вкладке DHCP можно включить сервер DHCP, который будет выдавать «серые» адреса машинам. В примере включен DHCP сервер и настроена выдача адресов из пула 192.168.1.2 - 192.168.1.50 c DNS-сервером и шлюзом 192.168.1.1, и маской подсети 255.255.255.0.

Настройка статической маршрутизации на Edge Gateway

Для настройки статических маршрутов перейдите в Routing -> Static Routes и нажмите +.

Для добавления статического маршрута заполните следующие обязательные поля:

• Network – сеть назначения;
• Next Hop – IP-адреса хоста/маршрутизатора, через который будет проходить трафик до сети назначения;
• Interface – интерфейс, за которым находится нужный Next Hop.

Нажмите Keep.

​

Настройка балансировщика (Load Balancer) на Edge Gateway

Балансировщик нагрузки, встроенный в edge, принимает UDP, TCP, HTTP, HTTPS запросы и распределяет трафик по пулу серверов (server pool). Для включения балансировщика на вкладке Global Configuration нажмите enable и сохраните изменения.

Потом создаем Application Profiles нажав на кнопку +.

Далее создаем пул серверов и на этом этапе указываем алгоритм балансировки, профиль мониторинга и добавляем сервера в пул:

Доступны следующие алгоритмы балансировки:

• IP Hash: все запросы с одного и того же IP-адреса будут попадать на один и тот же сервер из пула 
• Round Robin: запросы распределяются по очереди между серверами в зависимости от заданного веса. 
• URI: все запросы к одному и тому же адресу будут попадать на 1 виртуальную машину. Применимо только для серверов, доступных по протоколу http.
• Least Connected: новый запрос будет направляться на наименее загруженный сервер.
  Например, выберем протокол http, Port 80, метод Round Robin.

Чтобы добавить сервера в пул необходимо в графе Members нажать на  +

Далее заполняем имя, IP адрес, порт и вес сервера.

Далее мы создаем виртуальный сервер, для этого переходим во вкладку Virtual Servers и нажимаем на + и в открывшемся окошке необходимо указать профиль приложения, пул серверов и выбрать один из адресов эджа:

Проброс портов для управления, настройка NAT

1)    Откройте консоль управления vCloud Director. Войдите в систему под администратором организации. В разделе Datacenters выберите нужный виртуальный дата-центр и кликните на него.

далее во вкладке Edges выберите нужный Edge и кликните на него. После этого нажмите Services, чтобы приступить к настройке.

2) Откроется новое окно. Перейдите во вкладку NAT.

По умолчанию после создания организации в вашем Edge Gateway будет присутствовать одно правило – SNAT. Оно обеспечивает доступ виртуальных машин в интернет.

3) В качестве примера создадим правило проброса для WEB сервиса со стандартным портом 80, на адрес виртуальной машины – 192.168.3.5 . Для начала необходимо нажать кнопку “+ DNAT RULE”.
 

Откроется новое окно,  в котором необходимо указать следующие поля:

Applied On: Указываем внешнюю сеть, в данном случае  - Cloud.3919.External.IX
Original IP/Range: Внешний адрес Edge Gateway, можно узнать из SNAT правила – 92.246.150.219
Protocol: для WEB сервисов - TCP
Original Port: порт для внешнего IP Edge Gateway - 80
Translated IP/Range: локальный IP адрес виртуальной машины с WEB сервисом – 192.168.3.5
Translated Port: порт для локального IP адреса виртуальной машины  - 80
Enabled: переключатель включающий и выключающий правило.
 

После нажмите кнопку , и новое правило будет добавлено в список.
Для применения и сохранения настроек необходимо нажать кнопку Save Changes:

4) В целях безопасности при пробросе портов для таких служб как SSH, TELNET, RDP рекомендуем использовать нестандартные внешние порты. Либо настроить фильтрацию доступа в Firewall.
Пример правила для RDP сервера (локальный IP 192.168.3.10) который будет доступен по IP 92.246.150.219 + порт 58421

Нестандартный внешний порт для RDP не гарантирует 100% защиту от взлома по этому протоколу, но отсеет большую часть ботов, сканирующих только стандартные порты и их вариации.

Настройка Firewall в Advanced Edge Gateway

1.    Откройте консоль управления vCloud Director. Войдите в систему в качестве   администратора организации, перейдите в ваш vDC, в левом меню перейдите в разделе Edges (1), выберите Edge Gateway (2) и нажмите кнопку SERVICES(3).

2.    Откроется новое окно, в котором необходимо перевести переключатель “Show only user-defined rules” в положение 

3.    По умолчанию в Firewall Rules создано два правила, удалить которые не представляется возможным:
1 – обеспечивает функционирование Edge Gateway, изменить его нельзя.
2 – действие по умолчанию для входящего трафик. При первичной настройке Edge Gateway установлено значение Accept – разрешать всё, то есть входящий трафик без фильтрации по IP направляется для дальнейшей обработки DNAT правилами, что позволяет публиковать сервисы добавлением всего одного DNAT правила. В данном правиле изменяется только пункт “Action”: возможные значения “Accept” или “Deny”.

Внимание! если выбрать DENY и не добавить разрешающие правила соответственно DNAT правилам, то все пробросы портов перестанут работать.

4.    Для создания нового правила нажимаем кнопку . 
После этого будет создано новое правило с названием “New Rule”.
 

Правило состоит из нескольких параметров:

1)    Name – Название правила (задается произвольно)

2)    Type -  типы правил:
- Internal - это встроенные правила, которые невозможно изменять.
- Default Policy - это встроенное правило, которое определяет поведение фильтра по умолчанию для соединений не подходящих под другие правила
- User – правила, созданные пользователем.

3)    Source – адрес источника. Необходимо указать адреса источника. 

По кнопке «IP» можно задать одиночный IP-адрес, диапазон IP-адресов, CIDR.

По кнопке «+» можно задать дополнительные объекты:
- Gateway interfaces: внутренние сети, внешние сети или Any.
- Virtual machines- назначаем правило для определенной виртуальной машине.
- OrgVdcNetworks - сети уровня организации.
- IP Sets - заранее созданная группа IP-адресов (назначается в Grouping object).

4)    Destination – адрес получателя. Задается аналогично Source.
5)    Service, нажав на кнопку «+» - можно указать вручную порт получателя (Destination Port), необходимый протокол (Protocol), порт отправителя (Source Port)

6)    Action – действие:
Accept - разрешить прохождение трафика
Deny - запретить прохождение трафика

5.    После внесения изменений в новое правило необходимо нажать на кнопку Save Changes

Примеры правил:

1.    Необходимо запретить доступ в Интернет по протоколам HTTP(80) и HTTPS(443) виртуальной машине с адресом в локальной сети 192.168.200.101

Создадим запрещающее правило со следующими параметрами:

Name: Internet
Source: 192.168.200.101
Destination: Any
Service: Protocol – TCP, Source Port – Any, Destination Port - 80 и 443 

Action: Deny
Итоговый вид таблицы Firewall Rules:

2.    Необходимо обезопасить RDP-сервер с адресом в локальной сети 192.168.200.101, опубликованный на стандартном порту 3389, путем разрешения к нему доступа с IP-адреса нашего офиса, например, 217.25.123.123

В данном случае нам необходимо будет создать два правила:
Разрешающее правило для подключение по RDP c определенного адреса
Запрещающее правило для подключение по RDP со всех остальных адресов.

Внимание! Сначала необходимо расположить разрешающее правило, затем запрещающее, так как правила применяются сверху внизу. Перемещение правил в таблице осуществляется с помощью кнопок   и  

Параметры разрешающего правила:
Name: RDP from Office
Source: 217.25.123.123
Destination: необходимо указать внешний IP-адрес Edge Gateway (увидеть можно в SNAT правиле) в данном случае это адрес 185.58.221.130
Service: Protocol – TCP, Source Port – Any, Destination Port - 3389
Action: Accept

Параметры запрещающего правила:
Name: RDP from another location
Source: Any
Destination: необходимо указать внешний IP-адрес Edge Gateway (увидеть можно в SNAT правиле) в данном случае это адрес 185.58.221.130, либо внешний интерфейс
Service: Protocol – TCP, Source Port – Any, Destination Port - 3389
Action: Deny

Итоговый вид таблицы Firewall Rules:

Настройка правил Firewall в режиме работы - “по умолчанию запрещать”

Для повышения безопасности возможно настроить Firewall в режим работы, при котором все входящие соединения будут сбрасываться. 
В данном режиме для доступа к сервисам внутри облака (например RDP или WEB сервер) необходимо будет всегда создавать разрешающие правила, так как без них правила DNAT не будут работать.

1.    Для активации данного режима изменяем самое нижнее правило Firewall “default rule for ingress traffic” на “Deny”.

2.    Создаём правила DNAT для размещенных в облаке сервисов – RDP (3389) и WEB (80,443).

3.    Настраиваем разрешающие правила:
Для RDP сервера – доcтуп откроем только для IP 217.25.123.123:
Параметры разрешающего правила:
Name: RDP from Office
Source: 217.25.123.123
Destination: необходимо указать внешний IP-адрес Edge Gateway (увидеть можно в SNAT правиле) в данном случае это адрес 93.90.220.58
Service: Protocol – TCP, Source Port – Any, Destination Port - 3389
Action: Accept

WEB сервер будет публичным:
Параметры разрешающего правила:
Name: WEB server
Source: Any
Destination: необходимо указать внешний IP-адрес Edge Gateway (увидеть можно в SNAT правиле) в данном случае это адрес 93.90.220.58
Service: Protocol – TCP, Source Port – Any, Destination Port – 80
Service: Protocol – TCP, Source Port – Any, Destination Port – 443
Action: Accept

Итоговый вид таблицы Firewall Rules:

Настройка EDGE СЕРВЕРА для создания Site-to-Site VPN

Откройте консоль управления vCloud Director. Войдите в систему под администратором организации. В разделе Datacenters выберите нужный виртуальный дата-центр и кликните на него.

Во вкладке Edges выберите нужный Edge и кликните на него. После этого нажмите Services, чтобы приступить к настройке.

В открывшемся окне перейдите на вкладку VPN, а в ней на IPsec VPN. Откроется окно настроек IPsec VPN Configuration. Во вкладке Activation Status включите опцию IPsec VPN Service Status.

Далее для добавления нового VPN тоннеля перейдите на вкладку IPsec VPN Sites и нажмите 

Откроется новое окно:

Укажите название тоннеля в поле Name.
Выберите использование функции PFS если вторая точка IPsec тоннеля её поддерживает. По умолчанию большинство устройств данную функцию используют.
В поле Local ID и Local Endpoint укажите IP адрес внешнего интерфейса Edge Gateway.

Примечание: В некоторых случаях Edge сервер может быть подключен к Интернет не напрямую, а находиться за NAT устройством, которое осуществляет проброс необходимых портов для организации VPN. В любом случае, в данном поле указывается IP адрес внешнего интерфейса Edge сервера, неважно, из публичного или из частного диапазона.

В списке Local Subnets выберите локальную сеть, подключенную к серверу Edge, для которой требуется организовать VPN туннель.
В поле Peer ID и Peer Endpoint укажите IP адрес внешнего интерфейса второй точки IPsec тоннеля.

Примечание: В некоторых случаях сервер IPsec может быть подключен к Интернет не напрямую, а находиться за NAT устройством, которое осуществляет проброс необходимых портов для организации VPN. В любом случае, в данном поле указывается IP адрес внешнего интерфейса Windows сервера, неважно, из публичного или из частного диапазона. 

В поле Peer Subnets укажите в формате CIDR (например, 10.0.1.0/24) удаленную сеть, до которой требуется организовать VPN туннель.
Если сервер Edge подключен к нескольким внешним (External) сетям, то в списке Local Endpoint выберите внешнюю сеть, через которую Edge будет подключаться к удаленному IPsec серверу.
В списке Encryption protocol выберите протокол шифрования. Edge сервер поддерживает протоколы шифрования AES-256 (256 бит), AES (128 бит), использование протокола 3DES не рекомендуется.
Заполните поле Pre-Shared key. Скопируйте общий ключ, т.к. он потребуется при настройке VPN тоннеля на удаленной точке.
Выберите diffie hellman group в соответствии с тем, который поддерживает вторая точка IPsec тоннеля.

Нажмите     для создания VPN туннеля.
Если все было сделано правильно, то на вкладке VPN появится новый туннель.
После чего сохраните внесенные изменения нажав кнопку Save Changes.

Не забудьте настроить брандмауэр Edge Gateway на вкладке Firewall. Для тестовых целей вы можете разрешить весь входящий и исходящий трафик установив значения Any-Any-Any-Accept для правила default rule for ingress traffic на вкладке Firewall.

На этом настройки со стороны Edge сервера закончены.

Рекомендации и ограничения для Москвы:

Phase 1 Mode:  IKE with pre-shared Key (32-128 symbols)
Phase 1 DH Group: Group 14
Phase 1 Encryption: AES/AES-256
Phase 1 Authentication: SHA1
Phase 1 SA Life: 28800
Phase 2 DH Group: Group 14
Phase 2 Encryption: AES/AES-256
Phase 2 Authentication: SHA1
Phase 2 SA Life: 3600
 

Инструкция по настройке site-to-site vpn между Edge Gateway и Mikrotik

Демонстрационный стенд:

213.159.206.154– внешний IP адрес Edge Gateway
192.168.0.0/24 – локальная сеть, подключенная к Edge Gateway
93.90.221.9 – внешний IP-адрес маршрутизатора Mikrotik
192.168.10.0/24 – локальная сеть, подключенная к Mikrotik
 

Настройка VPN-туннеля на Edge Gateway

Откройте портал управления vCloud Director и войдите в систему в качестве администратора организации. Перейдите во вкладку Data Centers и выберите нужный виртуальный ЦОД (vDC). 

В открывшемся списке выберите нужный виртуальный ЦОД (Virtual Datacenters) и перейдите в раздел Network – Edges.
Отметьте нужный Edge в списке Edge Gateways и нажмите SERVICES.

В открывшемся окне настроек перейдите на вкладку VPN и включите поддержку VPN, изменив положение переключателя.

Для добавления нового VPN-туннеля перейдите на вкладку IPsec VPN Sites и нажмите 

Откроется новое окно:

В появившемся окне включите пункты «Enabled» и «Enable perfect forward secrecy».
В поле «Name» введите название для VPN-туннеля.
В поля «Local Id» и «Local Endpoint» укажите внешний IP-адрес Edge Gateway
В поле «Local Subnets» укажите адрес локальной сети, подключенной к Edge Gateway
В полях «Peer Id» и «Peer Endpoint» укажите внешний IP-адресс Mikrotik
В поле «Peer Subnets» укажите адрес локальной сети, подключенной к Mikrotik.
 

Рекомендуется использовать следующие параметры:

• Encryption Algorithm – AES256
• Authentication – PSK
• В поле «Pre-Shared Key» вводим придуманный нами пароль для подключения. 
• Diffie-Hellman Group – DH14
• Digest Algorithm – SHA-256
• IKE Option – IKEv2
• Session Type – Policy Based Session

Нажмите кнопку «Keep», что бы сохранить изменения
Перейдите во вкладку «Activation Status» и включите настройку «IPsec VPN Service Status».

Настройка VPN-туннеля на маршрутизаторе Mikrotik

Рекомендуется использовать прошивку для оборудования из ветви с долгосрочной поддержкой (Long-term).

Так же для настройки туннеля понадобится утилита Winbox. Скачать актуальные версии программного обеспечения Вы можете с официального сайта производителя: https://mikrotik.com/download

Запустите утилиту Winbox и подключитесь к настраиваемому маршрутизатору.

Выберете «IP», «IPsec» - «Profiles» и нажмите Add, чтобы добавить новый профиль, либо откорректируйте «default»:

Укажите следующие значения:

• Hash Algorithms – sha256
• Encryption Algorithm – aes-256
• DH Group - modp2048

Соотношение значений DH NSX Edge и Microtik приведено в статье: https://help.mikrotik.com/docs/display/ROS/IPsec.

Затем, выберете «Peers» и нажмите «Add», чтобы добавить новое соединение.

В открывшемся окне введите следующие значения:

• Name - название соединения
• Address – внешний IP-адрес Edge Gateway
• Local Address – внешний IP-адрес Mikrotik
• Profile – заранее созданный профиль или откорректированный «default»
• Exchange Mode – IKE2

После перейдите на вкладку «Proposals» и нажмите «Add»:

Укажите следующие значения:

• Name – название профиля
• Auth. Algorithms – выберете sha256
• Encr. Algorithms – поставьте галочку aes-256 cbc
• PFS Group – необходимо выбрать modp2048

Для каждой IPsec Policies целесообразно создать собственный «Proposals», особенно при использовании несколько IPsec Policy в рамках одного VPN туннеля.

Перейдите на вкладку «Identities» и нажмите «Add»:

Укажите следующие значения:

• В поле «Peer» выберете ранее созданное подключение.
• В поле «Auth. Method» выберете значение pre shared key
• В поле «Secret» введите пароль, указанный при создании VPN-туннеля Edge Gateway (Pre-Shared key).
• В поле «Notrack Chain» выберете значение prerouting

Перейдите на вкладку «Policies» и нажмите «Add»

Укажите следующие значения:

• В поле «Peer» выберете ранее созданное подключение.
• Поставьте «галочку» у параметра «Tunnel»
• «Src. Address» - адрес локальной сети, подключенной к Mikrotik
• «Dst. Address» - адрес локальной сети, подключенной к Edge Gateway

• В поле «Action» выберете encrypt
• В поле «Level» выберете require
• В поле «IPsec Protocols» выберете esp
• В поле «Proposal» выберете ранее созданный профиль
   

Важное примечание. Доступ к удаленным сетям для клиентов L2TP

Для того, чтобы VPN - клиенты, подключающееся к Mikrotik по L2TP, могли иметь доступ к сетям за Edge, необходимо в настройках каждого VPN подключения, настроенного на EdgeGateway, в поле Peer Subnets добавить подсеть, которую получает L2TP пользователи.

В данном примере, сеть для клиентов L2TP - 172.16.23.0/24.

Для Mikrotik создать соответствующий «Policies», указав Level – unique:

Настройка правил Firewall

Перейдите в меню «IP» - «Firewall», на вкладке «Filter Rules» нажмите кнопку «Add»:

Укажите следующие значения:

• В поле «Chain» выберете значение forward
• В поле «Src. Address» укажите адрес локальной сети, подключенной к Edge Gateway
• В поле «Dst. Address» укажите адрес локальной сети, подключенной к Mikrotik
• Во вкладке «Action» выберете значение accept

Повторите действия по добавлению правила на Firewall, только в «Src. Address» укажите адрес локальной сети, подключенной к Mikrotik, а в «Dst. Address» укажите адрес локальной сети, подключенной к Edge Gateway.

В результате будет следующий набор правил:

Перейдите на вкладку «NAT» и нажмите «Add», чтобы добавить новое правило.

Укажите следующие значения:

• В поле «Chain» выберете значение srcnat
• В поле «Src. Address» введите адрес локальной сети, подключенной к Mikrotik
• В поле «Dst. Address» введите адрес локальной сети, подключенной к Edge Gateway.

Создайте еще одно правило. Поменяйте значения «Src. Address» «Dst. Address».

В результате будет следующий набор правил:

Данные правила необходимо поместить первыми при настройке NAT на MikroTik.

Перейдите на вкладку «RAW» и нажмите «Add» 

Укажите следующие значения:

• В поле «Chain» выберете значение prerouting
• В поле «Src. Address» введите адрес локальной сети, подключенной к Mikrotik
• В поле «Dst. Address» введите адрес локальной сети, подключенной к Edge Gateway

Добавьте еще одно правило, где в поле «Src. Address» введите адрес локальной сети, подключенной к Edge Gateway, а в поле «Dst. Address» - адрес локальной сети, подключенной к Mikrotik.

В результате должны получиться два следующие правила:

Адресные списки

Если у Вас используется множество сетей, объединенных через VPN, либо же требуется частое их изменение, то Вы можете воспользоваться списками адресов:

Для создания адресного списка, перейдите в IP – Firewall – Address Lists и нажмите Add. В открывшемся меню введите название списка и сеть с указанием маски:

В данном примере используются следующие списки сетей:

• Local_Net – сеть, подключенная к Mikrotik
• VPN_Net – сеть, подключенная к Edge Gateway

Вводить название списка требуется лишь первый раз, в дальнейшем название можно будет выбрать из выпадающего перечня Name.

После того как списки будут составлены, необходимо будет пройти шаги, описанные в разделе «Настройка правил Firewall». 

Рассмотрим пример для NAT. Перейдите на вкладку «NAT» и нажмите «Add», чтобы добавить новое правило.

Укажите следующие значения:

• В поле «Chain» выберете значение srcnat
• В поле «Advanced - Src. Address Lists» выберете адресный список локально сети, подключенной к Mikrotik (в данном примере – Local_Net)
• В поле «Advanced - Dst. Address Lists» выберете список сети, подключенной к Edge Gateway (в данном примере – VPN_Net).

Создайте еще одно правило. Поменяйте значения «Src. Address Lists» и «Dst. Address Lists ».

Выполните аналогичные действия для «Raw»

В дальнейшем, если понадобится добавить или удалить сеть из VPN – соединений, будет достаточно отредактировать адресные списки, править правила файервола не потребуется.

Важное замечание:

Описание проблемы: 

Недоступны либо долго отвечают на запросы ресурсы за Edge Gateway, при обращении к ним через VPN-туннель.
При этом пинг и трассировка до ресурсов ошибок не показывают. 

Решение:

Данная проблема связана с фрагментацией пакетов, получаемых через VPN-туннель.
Проверить фрагментацию пакетов:
ping XXX.XXX.XXX.XXX -l 1500 -f
Где XXX.XXX.XXX.XXX - IP за Edge Gateway 

Если на Mikrotik используется подключение к сети Интернет типа PPP (например, PPPoE), необходимо внести правку в правила файервола:
/ip firewall mangle add chain=postrouting action=change-mss new-mss=clamp-to-pmtu passthrough=yes tcp-flags=syn protocol=tcp out-interface=all-ppp log=no  

Пример настройки ROUTE-BASED IPSEC VPN между VCLOUD EDGE GATEWAY (ESG) и JUNIPER SRX

Настройка сайта на стороне ESG (VCLOUD TENANT PORTAL):
 

В разделе IPSEC VPN SITES настроек сервисов ESG добавляем новый сайт.

Указываем в качестве LOCAL ID\ENDPOINT внешний IP-адрес ESG, PEER ID\ENDPOINT – IP-адрес JUNIPER SRX.

LOCAL\PEER SUBNETS – 0.0.0.0/0 (для route-based vpn список сетей определяется с помощью маршрутов!).

Выбираем алгоритм шифрования, способ аутентификации, указываем общий ключ (рекомендуется – от 32 символов, разнорегистровые цифробуквы).

Выбираем DH группу (рекомендуется DH14 и выше), алгоритм дайджеста, версию IKE.

Выбираем ROUTE BASED SESSION и указываем IP-адрес туннельного интерфейса (не связан с имеющимися сетями!) и значение MTU.

В результате получаем:

Активируем сервис:

Добавляем статические маршруты для удаленных сетей (NEXT HOP – IP-адрес туннельного интерфейса на стороне JUNIPER SRX):

Настройка на стороне JUNIPER SRX (IP-адреса соответствуют указанным в настройках ESG):
 

## Interface IP and route for tunnel traffic

set interfaces st0 unit 10 family inet address <Tunnel p2p IP/mask> [10.10.10.100/24]

set routing-options static route <cloud network1/mask> [10.1.1.0/24] next-hop st0.10

set routing-options static route <cloud network2/mask> [192.168.192.168/29] next-hop st0.10

set routing-options static route <cloud networkX/mask> next-hop st0.10

## Security zones, assign interfaces to the zones & host-inbound services for each zone

set security zones security-zone vmedge-vpn interfaces st0.10

set security zones security-zone untrust host-inbound-traffic system-services ike

## Address book entries for each zone

set security zones security-zone trust address-book address net-local-network1 <local network1/mask> [192.168.10.0/24]

set security zones security-zone trust address-book address net-local-network1 <local network2/mask> [192.168.200.200/32]

set security zones security-zone trust address-book address net-local-network1 <local networkX/mask>

set security zones security-zone vmedge-vpn address-book address net-cloud-network1 <cloud network1/mask> [10.1.1.0/24]

set security zones security-zone vmedge-vpn address-book address net-cloud-network2 <cloud network2/mask> [192.168.192.168/29]

set security zones security-zone vmedge-vpn address-book address net-cloud-networkX <cloud networkX/mask>

## IKE policy

set security ike policy ike-policy-cloud mode main

set security ike policy ike-policy-cloud pre-shared-key ascii-text "<PRE-SHARED-KEY>"

set security ike policy ike-policy-cloud proposals ike-proposal-cloud

## IKE gateway with peer IP address, IKE policy and outgoing interface

set security ike gateway ike-gate-cloud ike-policy ike-policy-cloud

set security ike gateway ike-gate-cloud address <Cloud Edge IP> [213...]

set security ike gateway ike-gate-cloud external-interface <External Juniper interface ID like ge-0/0/0>

set security ike gateway ike-gate-cloud version v2-only

## IKE authentication, encryption, DH group, and Lifetime

set security ike proposal ike-proposal-cloud authentication-method pre-shared-keys

set security ike proposal ike-proposal-cloud encryption-algorithm aes-128-cbc

set security ike proposal ike-proposal-cloud authentication-algorithm sha-256

set security ike proposal ike-proposal-cloud dh-group group14

set security ike proposal ike-proposal-cloud lifetime-seconds 28800

## IPsec policy

set security ipsec policy ipsec-policy-cloud proposals ipsec-proposal-cloud

set security ipsec policy ipsec-policy-cloud perfect-forward-secrecy keys group14

## IPsec vpn

set security ipsec vpn ipsec-vpn-cloud ike gateway ike-gate-cloud

set security ipsec vpn ipsec-vpn-cloud ike ipsec-policy ipsec-policy-cloud

set security ipsec vpn ipsec-vpn-cloud bind-interface st0.10

set security ipsec vpn ipsec-vpn-cloud establish-tunnels immediately

set security ipsec vpn ipsec-vpn-cloud ike proxy-identity local <External Juniper Interface IP> [217...] remote <Cloud Edge IP> [213...]

## IPsec authentication and encryption

set security ipsec proposal ipsec-proposal-cloud protocol esp

set security ipsec proposal ipsec-proposal-cloud encryption-algorithm aes-128-cbc

set security ipsec proposal ipsec-proposal-cloud authentication-algorithm hmac-sha-256-128

set security ipsec proposal ipsec-proposal-cloud lifetime-seconds 3600

## Security policies for tunnel traffic in outbound direction

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match source-address net-local-network1

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match source-address net-local-network2

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match source-address net-local-networkX

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match destination-address net-cloud-network1

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match destination-address net-cloud-network2

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match destination-address net-cloud-networkX

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr match application any

set security policies from-zone trust to-zone vmedge-vpn policy trust-vmedge-vpn-cfgr then permit

## Security policies for tunnel traffic in inbound direction

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match source-address net-cloud-network1

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match source-address net-cloud-network2

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match source-address net-cloud-networkX

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match destination-address net-local-network1

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match destination-address net-local-network2

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match destination-address net-local-networkX

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr match application any

set security policies from-zone vmedge-vpn to-zone trust policy vmedge-vpn-trust-cfgr then permit

После настройки рекомендуется переподключить туннель с обеих сторон.

В результате имеем:

​

Также, можно получить статус туннеля на JUNIPER SRX:

show security ike security-associations - фаза 1 (IKE)
show security ipsec security-associations  - фаза 2 (IPSEC)

Дополнительно должны быть настроены правила фаервола с обеих сторон – по собственному усмотрению.

Инструкция по настройке Route Based VPN между Edge Gateway и Huawei AR6120

Демонстрационный стенд:

195.19.176.9– внешний IP адрес Edge Gateway
10.177.0.0/16 – локальная сеть, подключенная к Edge Gateway
188.235.1.195 – внешний IP-адрес маршрутизатора Huawei AR6120
10.36.0.0/16 – локальная сеть, подключенная к Huawei AR6120

Настройка VPN-туннеля на Edge Gateway

Откройте портал управления vCloud Director и войдите в систему в качестве администратора организации. Перейдите во вкладку Data Centers и выберите нужный виртуальный ЦОД (vDC). 

В открывшемся списке выберите нужный виртуальный ЦОД (Virtual Datacenters) и перейдите в раздел Network – Edges.
Отметьте нужный Edge в списке Edge Gateways и нажмите SERVICES.

В открывшемся окне настроек перейдите на вкладку VPN и включите поддержку VPN, изменив положение переключателя.

Для добавления нового VPN-туннеля перейдите на вкладку IPsec VPN Sites и нажмите 

Откроется новое окно:

В появившемся окне выключите пункт «Enabled» и включите «Enable perfect forward secrecy».
В поле «Name» введите название для VPN-туннеля.
В поля «Local Id» и «Local Endpoint» укажите внешний IP-адрес Edge Gateway
В поле «Local Subnets» укажите адрес локальной сети, подключенной к Edge Gateway. В данном случае это будет 0.0.0.0/0.
В полях «Peer Id» и «Peer Endpoint» укажите внешний IP-адрес маршрутизатора Huawei.
В поле «Peer Subnets» укажите адрес локальной сети, подключенной к Huawei. В данном случае это будет 0.0.0.0/0.

Рекомендуется использовать следующие параметры:

• Encryption Algorithm – AES256
• Authentication – PSK
• В поле «Pre-Shared Key» вводим придуманный пароль для подключения. 
• Diffie-Hellman Group – DH14
• Digest Algorithm – SHA-256
• IKE Option – IKEv2
• Session Type – Route Based Session

Tunnel Interface IP CIDR – введите IP – адрес туннельного интерфейса со стороны Edge Gateway. В данном примере используется 172.16.177.177/24
Нажмите кнопку «Keep», чтобы сохранить изменения.
Затем перейдите в Edge Gateway в раздел Routing – Static Routeа нажмите кнопку Add:

Network – укажите сеть, подключенную за Huawei AR.
Next Hop – IP – адрес туннельного интерфейса на стороне маршрутизатора Huawei. В данном примере используется 172.16.177.36/24
Перейдите во вкладку «Activation Status» и включите настройку «IPsec VPN Service Status».
 

Настройка VPN-туннеля на маршрутизаторе Huawei AR6120

Создание туннельного интерфейса

Перейдите в панели управления маршрутизатором Huawei AR в раздел Advanced – Interface – Logical Interface:

Создайте новый интерфейс типа Tunnel:

Укажите следующие параметры:
-    Interface number – номер туннельного интерфейса. В данном примере используется номер 177.
-    IP address – IP-адрес туннельного интерфейса со стороны Huawei AR. В данном примере используется 172.16.177.36/24.
-    Tunnel Mode – укажите IPSec.
-    Source IP – интерфейс, через который осуществляется выход в Интернет. В данном примере используется интерфейс Dialer.
-    Destination IP – укажите IP – адрес Edge Gateway.
По завершению нажмите Ok.

Создание маршрута до сети Edge Gateway

Зададим маршрут до сети за Edge. Для этого в панели управления Huawei AR в раздел Advanced – IP – Routing раскройте меню Static Route и заполните следующие поля:

Destination IP / Subnet mask – укажите подключенную за Edge Gateway сеть и её маску.
Outbound interface – созданный на предыдущем шагу туннельный интерфейс. В примере используется Tunnel0/0/177.
После нажмите кнопку Add.

Создание политики IPSec 

Для этого в панели управления Huawei AR в разделе Advanced – VPN – IPSec создадим новую политику со следующими параметрами:

IKE Parameter setting:
-    IPsec connection name – задайте имя подключения.
-    Interface name – укажите созданный ранее туннельный интерфейс. В данном примере это Tunnel0/0/177.
-    IKE version – укажите v2.
-    Authentication mode – укажите Pre-shared key.
-    Authentication algorithm – укажите SHA2-256.
-    DH group – укажите Group14.
-    Pre-shared key – укажите ключ, заданный при создании VPN – туннеля на Edge Gateway.
-    Encryption algorithm – укажите AES-256.

IPSec Parameter setting:
-    Security Protocol – укажите ESP.
-    ESP authentication algorithm - укажите SHA2-256.
-    Encapsulation mode – укажите Tunnel mode.
-    SHA2 algorithm compatible – переведите в режим ON.
-    ESP encryption algorithm – укажите AES-256.

Advanced:

-    DPD - переведите в режим ON.
-    DPD idle time – укажите 150.
-    DPD packet retransmission interval – 30.
-    PFS – укажите Group14.
-    IKE SA duration – укажите 28800.
После указания перечисленных выше параметров нажмите Ok.
Затем перейдите в раздел IPSec Global Setting и установите следующие параметры:

DF bit setting – установите опцию clear.
Fragment before encryption - переведите в режим ON.
Нажмите Apply.

Конфигурация для данного туннеля для настройки через CLI:

#  
ipsec proposal msk02-routevpn
 esp authentication-algorithm sha2-256 
 esp encryption-algorithm aes-256 
#

ike proposal 4
 encryption-algorithm aes-256 
 dh group14 
 authentication-algorithm sha2-256 
 sa duration 28800
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256 
 prf hmac-sha2-256 

#

ike peer msk02-routevpn
 undo version 1
 pre-shared-key cipher PASSWORD_CLOUD_VPN
 ike-proposal 4
 remote-id-type ip
 dpd type periodic
 dpd idle-time 150
 dpd retransmit-interval 30
 rsa encryption-padding oaep
 rsa signature-padding pss
 ikev2 authentication sign-hash sha2-256

#

ipsec profile msk02-routevpn
 ike-peer msk02-routevpn
 proposal msk02-routevpn
 pfs dh-group14

#
interface Tunnel0/0/177
 description MSK02
 ip address 172.16.177.36 255.255.255.0
 tunnel-protocol ipsec                    
 source Dialer2
 destination 195.19.176.9
 ipsec profile msk02-routevpn

#

ip route-static 10.177.0.0 255.255.0.0 Tunnel0/0/177

Включение VPN – туннеля

Перейдите в настройки VPN – туннеля на Edge Gateway и включите созданный ранее туннель:

Для просмотра состояния туннеля перейдите в раздел Edge Gateway – Statistics – IPSec VPN. В данном разделе можно отслуживать состояние как самого туннеля, так и сетей пиров:

Для проверки состояния со стороны Huawei AR6120 перейдите в панели управления маршрутизатором в раздел Advanced – Interface – Logical Interface – Configured Logical Interface List:

Если конфигурация туннеля как на Edge Gateway, так и на Huawei AR задана верно, туннельный интерфейс будет находиться в состоянии UP. 

Если туннельный интерфейс находится в состоянии DOWN, ошибку подключения можно посмотреть в Advanced – VPN – IPSec – Tunnel Down Reason:

Для проверки маршрутов, запустите пинг как из локальной сети в сеть облака, так и из сети облака в локальную сеть. При наличии ошибок необходимо будет еще раз проверить корректность статических маршрутов.

Важное замечание:

Описание проблемы: 

Недоступны либо долго отвечают на запросы ресурсы за Edge Gateway, при обращении к ним через VPN-туннель.
При этом пинг и трассировка до ресурсов ошибок не показывают. 

Решение:

Данная проблема связана с фрагментацией пакетов, получаемых через VPN-туннель.
Проверить фрагментацию пакетов:
ping XXX.XXX.XXX.XXX -l 1500 -f
Где XXX.XXX.XXX.XXX - IP за Edge Gateway 

Для решения проблемы с фрагментацией вендором рекомендуется установить для туннеля значение MSS 1200.
Подробнее с информацией Вы можете ознакомиться в статье официального справочника Huawei:
https://info.support.huawei.com/network/ptmngsys/Web/tsrev_ar/en/content/ar/26_edesk_unable_to_websurf/AR_edesk_unable_to_websurf_edesk008.html

Инструкция по настройке Site-to-Site VPN между Edge Gateway и Cisco ISR 1000

В данной статье будет показано, как настроить VPN – туннель типа «сеть-сеть» с использованием протокола IPSec между маршрутизаторами Vmware NSX Edge и Cisco ISR 1000. Необходимым условием является то, что маршрутизатор Cisco ISR 1000 имеет статический публичный IP-адрес.

Демонстрационный стенд:

78.155.214.213 – внешний IP адрес Edge Gateway
10.178.0.0/16 – локальная сеть, подключенная к Edge Gateway
185.23.83.57 – внешний IP-адрес маршрутизатора Cisco ISR 1000
10.36.0.0/16 – локальная сеть, подключенная к Cisco ISR 1000

Настройка VPN-туннеля на Edge Gateway

Откройте портал управления vCloud Director и войдите в систему в качестве администратора организации. Перейдите во вкладку Data Centers и выберите нужный виртуальный ЦОД (vDC). 

В открывшемся списке выберите нужный виртуальный ЦОД (Virtual Datacenters) и перейдите в раздел Network – Edges.
Отметьте нужный Edge в списке Edge Gateways и нажмите SERVICES.

В открывшемся окне настроек перейдите на вкладку VPN и включите поддержку VPN, изменив положение переключателя.

Для добавления нового VPN-туннеля перейдите на вкладку IPsec VPN Sites и нажмите 

Откроется новое окно:

В появившемся окне включите пункты «Enabled» и «Enable perfect forward secrecy».
В поле «Name» введите название для VPN-туннеля.
В поля «Local Id» и «Local Endpoint» укажите внешний IP-адрес Edge Gateway
В поле «Local Subnets» укажите адрес локальной сети, подключенной к Edge Gateway
В полях «Peer Id» и «Peer Endpoint» укажите внешний IP-адресс Cisco ISR 1000
В поле «Peer Subnets» укажите адрес локальной сети, подключенной к Cisco ISR 1000.

Рекомендуется использовать следующие параметры:

• Encryption Algorithm – AES256
• Authentication – PSK
• В поле «Pre-Shared Key» вводим придуманный нами пароль для подключения. 
• Diffie-Hellman Group – DH14
• Digest Algorithm – SHA-256
• IKE Option – IKEv2
• Session Type – Policy Based Session

Нажмите кнопку «Keep», что бы сохранить изменения
Перейдите во вкладку «Activation Status» и включите настройку «IPsec VPN Service Status».

Настройка VPN-туннеля на маршрутизаторе Cisco ISR 1000

Современные маршрутизаторы и файерволы Cisco поддерживают логический интерфейс, называемый виртуальным туннельным интерфейсом (VTI). В качестве альтернативы VPN на основе политик можно создать VPN-туннель между одноранговыми сетями с настроенными виртуальными туннельными интерфейсами. Это поддерживает VPN на основе маршрутов с профилями IPsec, прикрепленными к концу каждого туннельного интерфейса. 

Использование VTI устраняет необходимость настройки списков доступа статических криптокарт (ACL) и их сопоставления с интерфейсами. Больше не нужно отслеживать все удаленные подсети и включать их в список доступа криптокарты. Достаточно лишь добавить маршрут к удаленной сети через виртуальный интерфейс.

В данной инструкции используется настройка VPN – туннеля на Cisco ISR 1000 с использованием виртуального туннельного интерфейса (VTI).

Этапы создания VPN – туннеля:

Все описанные ниже команды должны выполнять в консоли в режиме глобальной конфигурации (config t).

# Создайте предложение ikev2 IPsec_proposal_name

crypto ikev2 proposal SBP02-PROP-1 
 encryption aes-cbc-256 # Укажите алгоритм шифрования AES256
 integrity sha256 # Укажите алгорим проверки целостности SHA256
 group 14 # Укажите DH - группу 14

# Создайте политику IKEv2 и привяжите предложение IKEv2

crypto ikev2 policy SBP02-POL-1 
 proposal SBP02-PROP-1

# Создайте связку ключей IKEv2 и определите предварительный общий ключ

crypto ikev2 keyring SPB02-KEYRING-1
  peer CLOUD-SPB02
  address 78.155.214.213 # Укажите IP-адрес Edge Gateway
  pre-shared-key local P@ssw0rd # Укажите ключ, заданный при создании VPN – туннеля на Edge Gateway
  pre-shared-key remote P@ssw0rd # Повторите ключ, заданный при создании VPN – туннеля на Edge Gateway

# Создайте профиль IKEv2

crypto ikev2 profile SPB02-PROFILE-1
 match identity remote address 78.155.214.213 255.255.255.255 # Укажите IP-адрес Edge Gateway
 identity local address 185.23.83.57 # Укажите IP-адрес Cisco ISR 1000
 authentication remote pre-share 
 authentication local pre-share 
 keyring local SPB02-KEYRING-1
 dpd 30 5 periodic

# Создайте набор преобразований IPSec, определите алгоритмы шифрования и целостности (хеширования)

crypto ipsec transform-set SPB02-TS-1 esp-aes 256 esp-sha256-hmac 
 mode tunnel

# Создайте профиль IPSec

crypto ipsec profile SPB02-PROFILE-1
 set transform-set SPB02-TS-1 # Привяжите созданный ранее набор предобразований IPSec 
 set ikev2-profile SPB02-PROFILE-1 # Привяжите созданный ранее ikev2 профиль
set pfs group14 # Укажите PFS - группу 14

# Создайте новый туннельный интерфейс

interface Tunnel 178 # Укажите идентификатор туннеля в диапазоне от 0 до 100. Поддерживается до 100 интерфейсов VTI
 description "SPB02" # Укажите описание туннеля (необязательно)
 ip address 172.16.178.36 255.255.255.0 # Укажите IP-адрес туннеля в виде IP-адрес маска
 ip nat inside # Укажите интерфейс как внутренний относительно NAT
 tunnel source Dialer2 # Укажите внешний интерфейс Cisco ISR 1000 
 tunnel mode ipsec ipv4 # Укажите туннельный режим ipsec ipv4
 tunnel destination 78.155.214.213 # Укажите IP-адрес Edge Gateway
 tunnel protection ipsec profile SPB02-PROFILE-1 # Назначьте созданный профиль IPsec для туннеля

# Создайте статический маршрут к удаленной сети через туннельный интерфейс

ip route 10.178.0.0 255.255.0.0 Tunnel178 
 end

Проверка состояния VPN – туннеля

Проверка состояния туннеля со стороны Cisco ISR 1000

Выполните в консоли следующую команду для проверки состояния этапа 1 Security Association (SA):

show crypto ikev2 sa

Выполните в консоли следующую команду для проверки состояния этапа 2 Security Association (SA):

show crypto ipsec sa

Выполните проверку прохождения пакетов через туннель с помощью команды пинг (source – локальный IP – адрес, 10.178.1.1 – адрес на стороне Edge Gateway):

ping 10.178.1.1 source 10.36.1.1

Посмотреть статистику прохождения трафика через туннель: 

show crypto ipsec sa | i pkts

Устранение неполадок

Выполните в консоли следующие команды отладки для согласования туннеля:

debug crypto ikev2
debug crypto ikev2 error
debug crypto ikev2 internal

Проверка состояния туннеля со стороны Edge Gateway

Для просмотра состояния туннеля перейдите в раздел Edge Gateway – Statistics – IPSec VPN. В данном разделе можно отслуживать состояние как самого туннеля, так и сетей пиров: