Objetivos

• Despliegue un dispositivo de direccionador virtual (VRA)
• Definición de las VLAN y las subredes IP para desplegar máquinas virtuales y servidores nativos
• Protección del VRA y del alojamiento con reglas de cortafuegos

1. Configurar VPN
2. Desplegar VRA
3. Crear un servidor virtual
4. Dirigir el acceso mediante el VRA
5. Configurar el cortafuegos del alojamiento
6. Definir una zona APP
7. Definir una zona INSIDE

Antes de empezar

Suministro del dispositivo de direccionador virtual

El primer paso consiste en desplegar un VRA (dispositivo de direccionador virtual) que proporcione direccionamiento de IP y el cortafuegos para el alojamiento de red privada. Se puede acceder a Internet desde el alojamiento mediante una VLAN de tránsito con interfaz pública proporcionada por IBM Cloud, una pasarela y, opcionalmente, un cortafuegos de hardware para crear la conectividad entre la VLAN pública y las VLAN del alojamiento privado. En esta guía de aprendizaje de la solución, un VRA proporciona esta pasarela y el cortafuegos para el perímetro.

1. En el catálogo, seleccione un Dispositivo de pasarela
2. En la sección Proveedor de pasarela, seleccione AT & T. Puede elegir una velocidad de enlace de "hasta 20 Gbps" o de "hasta 2 Gbps".
3. En la sección Nombre de host, especifique un nombre de host y un dominio para el nuevo VRA.
4. Si marca el recuadro de selección Alta disponibilidad, obtendrá dos dispositivos VRA que trabajarán en una configuración de tipo activo/reserva utilizando VRRP.
5. En la sección Ubicación, seleccione la ubicación y el Pod en el que residirá el VRA.
6. Seleccione Procesador único o Procesador dual. Verá una lista de servidores. Para elegir un servidor, pulse su botón de selección.
7. Seleccione la cantidad de RAM. Para un entorno de producción, se recomienda utilizar un mínimo de 64 GB de RAM. Un mínimo de 8 GB para un entorno de prueba.
8. Seleccione una Clave SSH (opcional). Esta clave SSH se instalará en el VRA, por lo que el usuario vyatta se puede utilizar para acceder al VRA con esta clave.
9. Unidad de disco duro. Conserve el valor predeterminado.
10. En la sección Velocidad de puerto de enlace ascendente, seleccione la combinación de velocidad, redundancia e interfaces privadas y/o públicas que se adapten a sus necesidades.
11. En la sección Complementos, mantenga el valor predeterminado. Si desea utilizar IPv6 en la interfaz pública, seleccione la dirección IPv6.

En el panel derecho, verá el Resumen del pedido. Seleccione el recuadro de selección He leído y acepto los Acuerdos de Servicio de Terceros enumerados a continuación: y, a continuación, pulse el botón Crear. Se desplegará la pasarela.

La Lista de dispositivos mostrará el VRA casi de inmediato con un símbolo de Reloj, que indica que hay transacciones en curso en este dispositivo. Hasta que finalice la creación del VRA, el símbolo de reloj permanecerá y, aparte de ver detalles, no podrá realizar ninguna acción de configuración en el dispositivo.

Configuración inicial del VRA

1. En la estación de trabajo, utilice la VPN SSL para iniciar sesión en el VRA con la cuenta de vyatta predeterminada y acepte las solicitudes de seguridad SSH.

   ssh vyatta@<VRA Private IP Address>
   

   Si SSH solicita una contraseña, significa que la clave SSH no se ha incluido en la compilación. Acceda al VRA mediante el navegador web utilizando la VRA Private IP Address. La contraseña viene de la página Contraseñas de software. En el separador Configuración, seleccione la ramificación Sistema/login/vyatta y añada la clave SSH deseada.

   Para configurar el VRA, este se debe colocar en modalidad [edit] con el mandato configure. Cuando se está en modalidad edit, el indicador pasa de $ a #. Después de un cambio de configuración correcto del VRA, puede ver los cambios con el mandato compare y puede comprobar los cambios con el mandato validate. Cuando se confirma un cambio con el mandato commit, se aplica a la configuración en ejecución y se guarda automáticamente en la configuración de arranque.

2. Mejore la seguridad permitiendo solo inicios de sesión SSH. Ahora que el inicio de sesión SSH se ha realizado correctamente mediante la red privada, inhabilite el acceso mediante autenticación con id de usuario y contraseña.

   configure
   set service ssh disable-password-authentication
   commit
   exit
   

   Desde este punto de la guía de aprendizaje, se presupone que todos los mandatos de VRA se especifican en el indicador de mandatos edit, después de utilizar el mandato configure.

3. Revise la configuración inicial.

   show
   

   El VRA está preconfigurado para el entorno IaaS de IBM Cloud. Esto incluye lo siguiente:

   • Servidor NTP
   • Servidores de nombres
   • SSH
   • Servidor web HTTPS
   • Huso horario predeterminado US/Chicago

4. Establezca el huso horario local que necesite. Si opta por completar automáticamente con la tecla de tabulación, se listarán los valores potenciales de huso horario.

   set system time-zone <timezone>
   

5. Defina el comportamiento de ping. Ping no está inhabilitado para ayudar en la resolución de problemas de direccionamiento y de cortafuegos.

   set security firewall all-ping enable
   set security firewall broadcast-ping disable
   

6. Habilite el funcionamiento del cortafuegos con estado. De forma predeterminada, el cortafuegos VRA no tiene estado.

   set security firewall global-state-policy icmp
   set security firewall global-state-policy udp
   set security firewall global-state-policy tcp
   

7. Confirme y guarde automáticamente los cambios en la configuración de arranque.

   commit
   

Solicitud del primer servidor virtual

En este punto se crea un servidor virtual para ayudar en el diagnóstico de los errores de configuración de VRA. El acceso correcto a la VSI se valida a través de la red privada de IBM Cloud antes de que el acceso a la misma se direccione a través del VRA en un paso posterior.

1. Solicite un servidor virtual.
2. En la página del pedido:
   • Seleccione Público.
   • Establezca Facturación en Por hora.
   • Establezca el Nombre de host de VSI y el Nombre de dominio. Este nombre de dominio no se utiliza para el direccionamiento ni para DNS, pero debe ajustarse a los estándares de denominación de la red.
   • Establezca Ubicación en la misma que el VRA.
   • Establezca Perfil en C1.1x1
   • Añada la Clave SSH que ha especificado anteriormente.
   • Configurar el sistema operativo a CentOS Stream 9.x- Mínimo
   • En Velocidades de puerto de enlace ascendente, la interfaz de red debe cambiarse del valor predeterminado de pública y privada para especificar sólo un enlace ascendente de red privada. Esto garantiza que el nuevo servidor no tenga acceso directo a Internet.
   • Establezca VLAN privada en el número de VLAN de la VLAN privada que se ha solicitado anteriormente.
3. Seleccione el recuadro de selección para aceptar los acuerdos de servicio de 'terceros' y, a continuación, pulse Crear.
4. Supervise la finalización en la página Dispositivos o por correo electrónico.
5. Anote la dirección IP privada de la VSI para un paso posterior y que en la sección Red de la página Detalles del dispositivo la VSI está asignada a la VLAN correcta. Si no es así, suprima esta VSI y cree una VSI nueva en la VLAN correcta.
6. Compruebe que se puede acceder correctamente a la VSI a través de la red privada de IBM Cloud mediante ping y SSH desde la estación de trabajo local a través de la VPN.

   ping <VSI Private IP Address>
   SSH root@<VSI Private IP Address>
   

Direccionamiento del acceso de VLAN a través del VRA

Las VLAN privadas correspondientes al servidor virtual se asocian mediante el sistema de gestión de IBM Cloud a este VRA. En esta fase, todavía se puede acceder al VSI mediante direccionamiento IP en la red privada de IBM Cloud. Ahora direccionará la subred mediante el VRA para crear la red privada segura y validará mediante la confirmación de que ahora la VSI no resulta accesible.

1. Vaya a los detalles de la pasarela para el VRA en la página Dispositivos de pasarela y localice la sección VLAN asociadas en la mitad inferior de la página. Allí se mostrará la VLAN asociada. En esta etapa, la VLAN y la subred asociada no están protegidas o direccionadas a través del VRA y se puede acceder a la VSI a través de la red privada de IBM Cloud. El estado de la VLAN se muestra como Route Around. Pulse el botón Gestionar VLAN.

   El enlace Asociar VLAN está activado, lo que permite añadir otras VLAN provisionadas. Si no hay VLAN disponibles en el mismo direccionador que el VRA, el enlace estará de color gris. Tendrá que solicitar una VLAN para solicitar una VLAN privada en el mismo direccionador que el VRA. La asociación de VLAN inicial puede tardar un par de minutos en completarse. Una vez completada, la VLAN debería aparecer bajo la cabecera VLAN asociadas.

2. Haga clic en la casilla de verificación situada a la izquierda de la VLAN asociada y, a continuación, haga clic en Enrutar a través para enrutar la VLAN/Subred a través de la VRA. Este proceso puede durar unos minutos. Una actualización de la pantalla mostrará que el estado es Route Through.

3. Pulse el número de VLAN para ver los detalles de la VLAN. En Dispositivos, se puede ver el VSI suministrado. En Subredes, se ve la Subred primaria que se va a utilizar con el VRA. Anote el número de VLAN privada , ya que se utilizará en un paso posterior.

   Para identificar adecuadamente una VLAN, consulte identificación de VLAN

4. Pulse la subred para ver los detalles de la subred IP. Anote la red, las direcciones de pasarela y el CIDR (/26) de la subred, ya que los necesitará para seguir configurando el VRA.

5. Valide que la subred/VLAN se direcciona al VRA y que NO se puede acceder a la VSI a través de la red de gestión desde la estación de trabajo mediante ping.

   ping <VSI Private IP Address>
   

Con esto finaliza la configuración del VRA mediante la de consola IBM Cloud. El trabajo adicional para configurar el alojamiento y el direccionamiento de IP se realiza ahora directamente en el VRA a través de SSH.

Configuración del direccionamiento de IP y del alojamiento seguro

Cuando se confirma la configuración de VRA, la configuración en ejecución se modifica y los cambios se guardan automáticamente en la configuración de arranque.

Si desea volver a una configuración funcional anterior, de forma predeterminada se pueden ver, comparar y restaurar los últimos 20 puntos de confirmación. Consulte la documentación suplementaria Guía de configuración básica del sistema para ver información sobre show system commit, compare, rollback.

Protección del VRA

1. Aplique una política de seguridad de VRA. De forma predeterminada, la distribución en zonas de cortafuegos basada en políticas no protege el acceso al propio VRA. Esto se configura a través de Control Plane Policing (CPP). VRA proporciona un conjunto de reglas de CPP básico como plantilla. Debe incorporarlo a su configuración:

   configure
   merge /opt/vyatta/etc/cpp.conf
   

   Esto crea un nuevo conjunto de reglas de cortafuegos llamado CPP. Revise las reglas adicionales y confirme en la modalidad additional [edit].

   show security firewall name CPP
   commit
   

2. Protección del acceso SSH público. Debido a un problema pendiente en este momento con el firmware de Vyatta, no se recomienda utilizar set service SSH listen-address x.x.x.x para limitar el acceso de administración de SSH a través de la red pública. Como alternativa, el acceso externo se puede bloquear mediante el cortafuegos de CPP para el rango de direcciones IP públicas utilizadas por la interfaz pública de VRA. El <VRA Public IP Subnet> utilizado aquí es el mismo que <VRA Public IP Address> con el último octeto siendo cero (x.x.x.0).

   set security firewall name CPP rule 900 action drop
   set security firewall name CPP rule 900 destination address <VRA Public IP Subnet>/24
   set security firewall name CPP rule 900 protocol tcp
   set security firewall name CPP rule 900 destination port 22
   commit
   

3. Valide el acceso administrativo SSH de VRA a través de la red interna de IBM. Si se pierde el acceso al VRA a través de SSH después de realizar confirmaciones, puede acceder al VRA a través de la consola de KVM disponible en la página Detalles del dispositivo del VRA a través del menú de acción.

Con esto finaliza la configuración del alojamiento de red privada segura que protege una sola zona del cortafuegos que contiene una VLAN y una subred. Se pueden añadir zonas de cortafuegos adicionales, reglas, servidores virtuales y nativos, VLAN y subredes siguiendo las mismas instrucciones.

Eliminación de recursos

En este paso limpiará los recursos para eliminar lo que ha creado anteriormente.

• Cancele todos los servidores virtuales o servidores locales
• Desasocie y Cancele las VLAN
• Cancele el VRA

El VRA está en el plan de pago mensual. La cancelación no da derecho a un reembolso. Se recomienda cancelar solo si este VRA no se volverá a necesitar durante el mes siguiente. Si se necesita un clúster de alta disponibilidad VRA dual, este VRA se puede actualizar en la página Detalles de pasarela.

Contenido relacionado

• IBM Virtual Router Appliance
• Subredes IP estáticas y portables
• IBM QRadar Security Intelligence Platform
• Documentación de Vyatta