Ziele

• Virtual Router Appliance (VRA) bereitstellen
• VLANs und IP-Teilnetze zum Bereitstellen von virtuellen Maschinen und Bare-Metal-Servern definieren
• VRA und geschlossenen Netzbereich durch Firewallregeln schützen

1. VPN konfigurieren
2. VRA bereitstellen
3. Virtuellen Server erstellen
4. Zugriff über VRA steuern
5. Firewall für Netzbereich konfigurieren
6. APP-Zone definieren
7. INSIDE-Zone definieren

Vorbereitende Schritte

Virtual Router Appliance bereitstellen

Im ersten Schritt wird eine Virtual Router Appliance (VRA) bereitgestellt, die das IP-Routing und die Firewall für den privaten Netzbereich zur Verfügung stellen soll. Das Internet ist aus dem privaten Netzbereich über ein von IBM Cloud bereitgestelltes öffentliches Transit-VLAN erreichbar. Ein Gateway und eine optionale Hardware-Firewall ermöglichen die Anbindung des öffentlichen VLAN an die VLANs im geschützten privaten Netzbereich. Im vorliegenden Lernprogramm für Lösungen werden das Gateway und die Firewall für den Perimeter über eine VRA bereitgestellt.

1. Wählen Sie im Katalog eine Gateway-Appliance aus.
2. Wählen Sie im Abschnitt Gateway-Anbieter AT&T aus. Als Uplink-Geschwindigkeit können Sie "bis 20 Gb/s" oder "bis 2 Gb/s" auswählen.
3. Geben Sie im Abschnitt Hostname einen Hostnamen und eine Domäne für Ihre neue VRA ein.
4. Wenn Sie das Kontrollkästchen Hochverfügbarkeit auswählen, erhalten Sie zwei VRA-Geräte in einer aktiven Konfiguration/Sicherungskonfiguration mit VRRP.
5. Wählen Sie im Abschnitt Standort den gewünschten Standort und den Pod für Ihre VRA aus.
6. Wählen Sie 'Einzelprozessor' oder 'Dualprozessor' aus. Eine Liste der Server wird angezeigt. Klicken Sie auf das zugehörige Optionsfeld, um einen Server auszuwählen.
7. Wählen Sie die Größe des Arbeitsspeichers (RAM) aus. Für eine Produktionsumgebung wird empfohlen, mindestens 64GB RAM zu verwenden. Mindestens 8GB für eine Testumgebung.
8. Wählen Sie einen SSH-Schlüssel aus (optional). Der ausgewählte SSH-Schlüssel wird in der VRA installiert, sodass der Benutzer vyatta verwendet werden kann, um mit diesem Schlüssel auf die VRA zuzugreifen.
9. Festplattenlaufwerk. Behalten Sie die Standardeinstellung bei.
10. Wählen Sie im Abschnitt Uplink-Port-Geschwindigkeiten die Kombination aus Geschwindigkeit, Redundanz und privaten und/oder öffentlichen Schnittstellen aus, die Ihren Anforderungen entspricht.
11. Behalten Sie im Abschnitt Add-ons die Standardeinstellung bei. Wenn Sie IPv6 in der öffentlichen Schnittstelle verwenden möchten, wählen Sie die IPv6-Adresse aus.

Im rechten Fensterbereich wird Ihre Bestellübersicht angezeigt. Wählen Sie das Kontrollkästchen Die im Folgenden aufgeführten Servicevereinbarungen anderer Anbieter habe ich gelesen und stimme ihnen zu: aus und klicken Sie anschließend auf die Schaltfläche Erstellen. Ihr Gateway wird bereitgestellt.

In der Geräteliste wird die VRA nahezu sofort mit einem Uhrsymbol angezeigt, das auf aktive Transaktionen hinweist, die momentan auf diesem Gerät ausgeführt werden. Bis die VRA-Erstellung abgeschlossen ist, wird das Uhrsymbol weiterhin angezeigt. Währenddessen können außer dem Anzeigen der Details keine weiteren Konfigurationsoptionen für das Gerät ausgeführt werden.

Erstkonfiguration der VRA

1. Melden Sie sich von Ihrer Workstation aus über das SSL-VPN bei der VRA mit dem Standardbenutzerkonto vyatta an und bestätigen Sie die SSH-Sicherheitsanweisungen.

   ssh vyatta@<VRA Private IP Address>
   

   Wenn SSH zur Eingabe eines Kennworts auffordert, wurde der SSH-Schlüssel nicht in den Build einbezogen. Rufen Sie die VRA über den Web-Browser auf und verwenden Sie dabei die VRA Private IP Address. Das Kennwort stammt von der Seite Softwarekennwörter. Wählen Sie auf der Registerkarte Konfiguration die Verzweigung 'System/login/vyatta' aus und fügen Sie den gewünschten SSH-Schlüssel hinzu.

   Zum Konfigurieren muss die VRA mit dem Befehl configure in den Bearbeitungsmodus (edit) versetzt werden. Im Bearbeitungsmodus (edit) wird die Eingabeaufforderung von $ in # geändert. Nachdem die VRA-Konfiguration erfolgreich geändert wurde, können Sie die Änderungen mit dem Befehl compare anzeigen und mit dem Befehl validate überprüfen. Wenn Sie eine Änderung mit dem Befehl commit festschreiben, wird sie in die aktive Konfiguration übernommen und automatisch in der Startkonfiguration gespeichert.

2. Erhöhen Sie die Sicherheit, indem Sie nur die SSH-Anmeldung zulassen. Nachdem die Anmeldung über das private Netz erfolgreich eingerichtet wurde, können Sie den Zugriff und die Authentifizierung mit Benutzer-ID und Kennwort inaktivieren.

   configure
   set service ssh disable-password-authentication
   commit
   exit
   

   Ab diesem Punkt des Lernprogramms wird davon ausgegangen, dass alle VRA-Befehle an der Eingabeaufforderung edit nach der Verwendung des Befehls configure eingegeben werden.

3. Überprüfen Sie die Erstkonfiguration:

   show
   

   Die VRA ist für die IBM Cloud-IaaS-Umgebung vorkonfiguriert. Dazu gehören die folgenden Komponenten:

   • NTP Server
   • Namensserver
   • SSH
   • HTTPS-Web-Server
   • Standardzeitzone 'US/Chicago'

4. Legen Sie die örtliche Zeitzone nach Bedarf fest. Beim automatischen Vervollständigen mit der Tabulatortaste werden die potenziellen Zeitzonenwerte aufgelistet.

   set system time-zone <timezone>
   

5. Legen Sie das Ping-Verhalten fest. Um das Routing und die Fehlerbehebung für die Firewall zu unterstützen, wird das Pingsignal nicht inaktiviert.

   set security firewall all-ping enable
   set security firewall broadcast-ping disable
   

6. Aktivieren Sie den statusabhängigen Firewall-Betrieb. Die VRA-Firewall ist standardmäßig statusunabhängig.

   set security firewall global-state-policy icmp
   set security firewall global-state-policy udp
   set security firewall global-state-policy tcp
   

7. Schreiben Sie Ihre Änderungen fest und speichern Sie sie automatisch in der Startkonfiguration:

   commit
   

Ersten virtuellen Server bestellen

An dieser Stelle wird ein virtueller Server erstellt, um die Diagnose von VRA-Konfigurationsfehlern zu unterstützen. Der erfolgreiche Zugriff auf die VSI wird über das private IBM Cloud-Netz überprüft, bevor in einem späteren Schritt der Zugriff auf die VSI über die VRA geleitet wird.

1. Bestellen Sie einen virtuellen Server.
2. Gehen Sie auf der Bestellseite wie folgt vor:
   • Wählen Sie Öffentlichaus.
   • Geben Sie für Abrechnung die Option Stündlich an.
   • Legen Sie den VSI-Hostnamen und den _Domänennamen_fest. Dieser Domänenname wird zwar nicht für Routing und DNS verwendet, er sollte jedoch mit Ihren Namenskonventionen für das Netz übereinstimmen.
   • Geben Sie für Standort denselben Standort an wie für die VRA.
   • Geben Sie für Profil den Wert C1.1x1 an.
   • Fügen Sie den SSH-Schlüssel hinzu, den Sie vorher angegeben haben.
   • Setzen Sie Betriebssystem auf CentOS Stream 9.x- Minimal
   • Unter Uplink Port Speeds muss die Netzwerkschnittstelle von der Standardeinstellung Public und Private geändert werden, um nur einen Private Network Uplink anzugeben. Dadurch wird sichergestellt, dass der neue Server nicht direkt auf das Internet zugreifen kann.
   • Geben Sie für Privates VLAN die VLAN-Nummer des zuvor bestellten privaten VLAN an.
3. Wählen Sie dieses Kontrollkästchen aus, um die Servicevereinbarungen anderer Anbieter zu akzeptieren, und klicken Sie anschließend auf Erstellen.
4. Überwachen Sie die vollständige Durchführung auf der Seite Einheiten oder per E-Mail.
5. Notieren Sie sich die private IP-Adresse des VSI für einen späteren Schritt und vergewissern Sie sich im Abschnitt Netzwerk auf der Seite Gerätedetails, dass der VSI dem richtigen VLAN zugewiesen ist. Wenn dies nicht zutrifft, löschen Sie die betreffende VSI und erstellen Sie eine neue VSI im richtigen VLAN.
6. Überprüfen Sie den erfolgreichen Zugang zu der VSI über das private IBM Cloud-Netz mit Ping und SSH von Ihrer lokalen Workstation aus über das VPN:

   ping <VSI Private IP Address>
   SSH root@<VSI Private IP Address>
   

VLAN-Zugriff über die VRA steuern

Das bzw. die privaten VLAN(s) für den virtuellen Server ist/sind vom IBM Cloud-Managementsystem dieser VRA zugeordnet. In diesem Stadium ist die VSI weiterhin per IP-Routing im privaten IBM Cloud-Netz erreichbar. Als nächstes leiten Sie das Teilnetz über die VRA, um das geschützte private Netz zu erstellen, und überprüfen, dass die VSI danach nicht zugänglich ist.

1. Rufen Sie die Gateway-Details für die VRA über die Seite Gateway-Appliances auf und suchen Sie den Abschnitt Zugeordnete VLANs auf der unteren Hälfte der Seite. Das zugehörige VLAN wird in diesem Abschnitt aufgelistet. Zu diesem Zeitpunkt wird das VLAN und das zugehörige Teilnetz nicht durch die VRA geschützt oder über die VRA geleitet und die VSI ist über das private IBM Cloud-Netz zugänglich. Der Status des VLAN wird als Route Around angezeigt. Klicken Sie auf die Schaltfläche VLANs verwalten.

   Die Verknüpfung VLAN zuordnen ist aktiviert, so dass Sie weitere bereitgestellte VLANs hinzufügen können. Wenn keine VLANs auf demselben Router wie die VRA verfügbar sind, wird der Link abgeblendet. In diesem Fall müssen Sie ein VLAN bestellen, damit Sie ein privates LAN auf demselben Router wie die VRA anfordern können. Die Erstzuordnung des VLAN kann mehrere Minuten dauern. Nachdem die Zuordnung abgeschlossen ist, wird das VLAN unter der Überschrift Zugeordnete VLANs angezeigt.

2. Klicken Sie auf das Kontrollkästchen links neben dem zugehörigen VLAN und dann auf Durchleiten, um das VLAN/Subnetz über den VRA zu leiten. Dieser Vorgang kann einige Minuten in Anspruch nehmen. Eine Bildschirmaktualisierung zeigt an, dass der Status " Route Through" lautet.

3. Klicken Sie auf die VLAN-Nummer, um die VLAN-Details anzuzeigen. Unter 'Geräte' wird die bereitgestellte VSI angezeigt. Unter 'Teilnetze' wird das primäre Teilnetz angezeigt, das mit der VRA verwendet wird. Notieren Sie sich die private VLAN-Nummer , da diese in einem späteren Schritt verwendet wird.

   Informationen zur korrekten Identifizierung eines VLAN finden Sie in VLAN-Identifikation.

4. Klicken Sie auf das Teilnetz, um die Details für das IP-Teilnetz anzuzeigen. Notieren Sie die Netzadresse des Teilnetzes, die Gateway-Adresse und die CIDR (/26), da diese für die weitere VRA-Konfiguration erforderlich sind.

5. Überprüfen Sie, ob das Teilnetz bzw. VLAN über die VRA geleitet wird und die VSI NICHT mit dem Befehl 'ping' von Ihrer Workstation aus über das Managementnetz erreichbar ist.

   ping <VSI Private IP Address>
   

Damit ist die Konfiguration der VRA über die IBM Cloud-Konsole abgeschlossen. Die weiteren Konfigurationsschritte für den Netzbereich und das IP-Routing werden direkt auf der VRA über SSH ausgeführt.

IP-Routing und geschützten Netzbereich konfigurieren

Beim Festschreiben der VRA-Konfiguration wird die aktive Konfiguration geändert und die Änderungen werden automatisch in der Startkonfiguration gespeichert.

Falls es erforderlich wird, auf eine zuvor verwendete Konfiguration zurückzugreifen, können Sie die letzten 20 Festschreibungspunkte anzeigen, vergleichen und wiederherstellen. In der ergänzenden Dokumentation Basic System Configuration Guide finden Sie Details zu show system commit, compare, rollback.

VRA schützen

1. Wenden Sie die VRA-Sicherheitsrichtlinie an. Die standardmäßige, richtlinienbasierte Einrichtung von Firewallzonen schützt nicht den Zugriff auf die VRA selbst. Dieser Zugriffsschutz wird durch CPP (Control Plane Policing, Überwachung von Steuerebenen) konfiguriert. Die VRA stellt einen grundlegenden CPP-Regelsatz als Vorlage bereit. Fusionieren Sie diesen Regelsatz mit Ihrer Konfiguration:

   configure
   merge /opt/vyatta/etc/cpp.conf
   

   Daraufhin wird eine neue Firewallregel mit dem Namen CPP erstellt. Überprüfen Sie die zusätzlichen Regeln im Bearbeitungsmodus und schreiben Sie sie fest.

   show security firewall name CPP
   commit
   

2. Schützen Sie den öffentlichen SSH-Zugriff. Aufgrund eines bekannten Problems mit der Vyatta-Firmware wird derzeit nicht empfohlen, mit set service SSH listen-address x.x.x.x den SSH-Verwaltungszugriff über das öffentliche Netz zu verwenden. Alternativ kann der externe Zugriff über die CPP-Firewall für den Bereich der öffentlichen IP-Adressen blockiert werden, die von der öffentlichen VRA-Schnittstelle verwendet werden. Das hier verwendete <VRA Public IP Subnet> stimmt mit <VRA Public IP Address> überein, wobei das letzte Oktett auf null gesetzt ist (x.x.x.0).

   set security firewall name CPP rule 900 action drop
   set security firewall name CPP rule 900 destination address <VRA Public IP Subnet>/24
   set security firewall name CPP rule 900 protocol tcp
   set security firewall name CPP rule 900 destination port 22
   commit
   

3. Überprüfen Sie den VRA-SSH-Verwaltungszugriff über das interne IBM Netz. Wenn der Zugriff auf die VRA über SSH nach dem Durchführen von Commitoperationen verloren geht, können Sie die VRA über die KVM-Konsole aufrufen, die auf der Seite mit den Gerätedetails der VRA über das Aktionsmenü verfügbar ist.

Damit ist die Einrichtung des geschützten privaten Netzbereichs mit einer einzelnen Firewallzone, die ein VLAN und ein Teilnetz enthält, abgeschlossen. Mithilfe der dargestellten Anweisungen können weitere Firewallzonen, Regeln, virtuelle Server und Bare-Metal-Server, VLANs und Teilnetze hinzugefügt werden.

Ressourcen entfernen

In diesem Schritt bereinigen Sie die Ressourcen, um die in diesem Lernprogramm erstellten Elemente zu entfernen.

• Kündigen Sie alle virtuellen Server oder Bare-Metal-Server.
• Heben Sie alle Zuordnungen auf und kündigen Sie alle VLANs.
• Kündigen Sie die VRA.

Die VRA wird mit einem monatlichen Preisstrukturplan bereitgestellt. Bei einer Kündigung wird keine Erstattung geleistet. Eine Kündigung wird nur empfohlen, wenn die betreffende VRA im Folgemonat nicht mehr benötigt wird. Wenn ein Hochverfügbarkeitscluster mit zwei VRAs erforderlich ist, kann für die bestehende einzelne VRA ein Upgrade auf der Seite Gateway-Details durchgeführt werden.

Zugehörige Inhalte

• IBM Virtual Router Appliance
• Statische und portierbare IP-Teilnetze
• IBM QRadar Security Intelligence Platform
• Vyatta-Dokumentation