Objectifs

• Déployer un dispositif Virtual Router Appliance (VRA)
• Définir des VLAN et des sous-réseaux IP pour déployer des machines virtuelles et des serveurs bare metal
• Sécuriser le VRA et l'enceinte à l'aide des règles de pare-feu

1. Configurer le VPN
2. Déployer le VRA
3. Créer un serveur virtuel
4. Router l'accès via le VRA
5. Configurer le pare-feu de l'enceinte
6. Définir la zone APP
7. Définir la zone INSIDE

Avant de commencer

Mise à disposition du dispositif Virtual Router Appliance (VRA)

La première étape consiste à déployer un dispositif Virtual Router Appliance (VRA) qui fournit le routage IP et le pare-feu pour l'enceinte de réseau privé. Internet est accessible à partir de l'enceinte par un VLAN de transit public fourni par IBM Cloud, une passerelle et, éventuellement, un pare-feu matériel afin d'établir la connectivité du VLAN public avec les VLAN de l'enceinte privée sécurisée. Dans le tutoriel de cette solution, un dispositif VRA fournit la passerelle et le pare-feu pour ce périmètre.

1. Dans le catalogue, sélectionnez un dispositif Gateway Appliance.
2. Dans la section Fournisseur de passerelle, sélectionnez AT & T. Vous pouvez choisir entre une vitesse de liaison montante "jusqu'à 20 Gbits/s" ou "jusqu'à 2 Gbits/s".
3. Dans la section Nom d'hôte, entrez un nom d'hôte et un domaine pour votre nouveau VRA.
4. Si vous cochez la case Haute disponibilité, vous obtenez deux dispositifs VRA fonctionnant dans une configuration active/passive (dispositif de secours) à l'aide de VRRP.
5. Dans la section Emplacement, sélectionnez l'emplacement et le module dans lesquels doit se trouver le VRA.
6. Sélectionnez Processeur unique ou Processeur double. Vous obtenez une liste de serveurs. Choisissez un serveur en cliquant sur le bouton radio correspondant.
7. Sélectionnez la quantité de mémoire RAM. Pour un environnement de production, il est recommandé d'utiliser au minimum 64GB de RAM. 8GB minimum pour un environnement de test.
8. Sélectionnez une Clé SSH (facultatif). Cette clé SSH étant installée sur le VRA, le dispositif vyatta de l'utilisateur peut être utilisé pour accéder au VRA à l'aide de cette clé.
9. Disque dur. Conservez la valeur par défaut.
10. Dans la section Vitesses de port pour la liaison montante, sélectionnez la combinaison de vitesse, de redondance et d'interfaces privées et/ou publiques répondant à vos besoins.
11. Dans la section Modules complémentaires, conservez les valeurs par défaut. Si vous souhaitez utiliser IPv6 sur l'interface publique, sélectionnez l'adresse IPv6.

Dans le panneau de droite, vous pouvez voir le Récapitulatif de la commande. Cochez la case J'ai lu et accepté les accords de services de tiers énumérés ci-dessous : puis cliquez sur le bouton Créer . Votre passerelle est déployée.

La Liste des unités affiche le dispositif VRA presque immédiatement avec le symbole d'une horloge, ce qui indique que des transactions sont en cours sur ce dispositif. Tant que la création du VRA n'est pas terminée, le symbole de l'horloge reste affiché et, à l'exception de l'affichage des détails, il est impossible d'effectuer des actions de configuration sur le dispositif.

Configuration initiale du VRA

1. Sur votre poste de travail, utilisez le réseau VPN SSL pour vous connecter au VRA à l'aide du compte vyatta par défaut, en acceptant les invites de sécurité SSH.

   ssh vyatta@<VRA Private IP Address>
   

   Si SSH vous invite à entrer un mot de passe, cela signifie que la clé SSH n'est pas incluse dans la version. Accédez au VRA à l'aide du navigateur Web en utilisant l'VRA Private IP Address. Le mot de passe provient de la page Mots de passe logiciel. Dans l'onglet Configuration, sélectionnez la branche System/login/vyatta et ajoutez la clé SSH souhaitée.

   La configuration du VRA nécessite que le VRA soit placé en mode [edit] à l'aide de la commande configure. En mode edit, l'invite passe de $ à #. Une fois la modification de la configuration VRA réussie, vous pouvez afficher vos modifications à l'aide de la commande compare et les vérifier à l'aide de la commande validate. Lorsque vous validez une modification à l'aide de la commande commit, celle-ci est appliquée à la configuration en cours et automatiquement enregistrée dans la configuration de démarrage.

2. Améliorez la sécurité en autorisant uniquement la connexion SSH. Une fois la connexion SSH établie à l'aide du réseau privé, désactivez l'accès via l'authentification par ID utilisateur et mot de passe.

   configure
   set service ssh disable-password-authentication
   commit
   exit
   

   A ce stade dans le tutoriel, il est supposé que toutes les commandes VRA sont entrées à l'invite edit après avoir utilisé la commande configure.

3. Examinez la configuration initiale.

   show
   

   Le VRA est préconfiguré pour l'environnement IaaS IBM Cloud. Les éléments suivants sont inclus :

   • Serveur NTP
   • Serveurs de noms
   • SSH
   • Serveur Web HTTPS
   • Fuseau horaire par défaut US/Chicago

4. Définissez le fuseau horaire local selon les besoins. La saisie semi-automatique avec la touche de tabulation permet d'afficher la liste des valeurs de fuseau horaire potentielles.

   set system time-zone <timezone>
   

5. Définissez le comportement de la commande ping. La commande ping n'est pas désactivée pour faciliter le traitement des incidents liés au routage et au pare-feu.

   set security firewall all-ping enable
   set security firewall broadcast-ping disable
   

6. Activez le fonctionnement du pare-feu avec état. Par défaut, le pare-feu du VRA est sans état.

   set security firewall global-state-policy icmp
   set security firewall global-state-policy udp
   set security firewall global-state-policy tcp
   

7. Validez et sauvegardez automatiquement vos modifications dans la configuration de démarrage.

   commit
   

Commande du premier serveur virtuel

Un serveur virtuel est créé à ce stade pour faciliter le diagnostic des erreurs de configuration du VRA. L'accès réussi à l'Instance de serveur virtuel (VSI) est validé sur le réseau privé IBM Cloud avant que l'accès à celui-ci ne soit routé via le VRA lors d'une étape ultérieure.

1. Commandez un serveur virtuel.
2. Sur la page de commande :
   • Sélectionnez Public.
   • Définissez Facturation sur Horaire.
   • Définissez le nom d'hôte VSI et le nom de domaine. Ce nom de domaine n'est pas utilisé pour le routage et le DNS, mais doit respecter les normes de dénomination de votre réseau.
   • Définissez l'Emplacement sur celui du VRA.
   • Définissez le Profil sur C1.1x1
   • Ajoutez la Clé SSH que vous avez spécifiée précédemment.
   • Définir le système d'exploitation sur CentOS Stream 9.x- Minimal
   • Dans Uplink Port Speeds, l'interface réseau doit être modifiée par rapport à la valeur par défaut ( public et privé) pour spécifier uniquement une liaison montante de réseau privé. Cela garantit que le nouveau serveur n'a pas d'accès direct à Internet.
   • Définissez VLAN privé sur le numéro de VLAN du VLAN privé commandé précédemment.
3. Sélectionnez la case à cocher pour accepter les accords de services 'tiers', puis cliquez sur Créer.
4. Surveillez l'exécution sur la page Unités ou par courrier électronique.
5. Notez l'adresse IP privée du VSI pour une étape ultérieure et vérifiez dans la section Réseau de la page Détails du périphérique que le VSI est assigné au bon VLAN. Si tel n'est pas le cas, supprimez cette VSI et créez une nouvelle VSI sur le VLAN correct.
6. Vérifiez que l'accès à l'instance VSI a abouti via le réseau privé IBM Cloud à l'aide de la commande ping et de SSH, à partir de votre poste de travail local via le réseau VPN.

   ping <VSI Private IP Address>
   SSH root@<VSI Private IP Address>
   

Routage de l'accès VLAN via le VRA

Le ou les VLAN privés du serveur virtuel sont associés à ce dispositif VRA par le système de gestion IBM Cloud. A ce stade, l'instance de serveur virtuel (VSI) est toujours accessible via le routage IP sur le réseau privé IBM Cloud. Vous allez maintenant acheminer le sous-réseau via le VRA pour créer le réseau privé sécurisé et valider en confirmant que la VSI n'est plus accessible.

1. Accédez à la page Détails de la passerelle du VRA via la page Tous les dispositifs de passerelle et localisez la section VLAN associés dans la moitié inférieure de la page. Le VLAN associé est répertorié ici. A ce stade, le VLAN et le sous-réseau associé ne sont pas protégés ni routés via le VRA et l'instance de serveur virtuel (VSI) est accessible via le réseau privé IBM Cloud. Le statut du VLAN est affiché comme Route Around. Cliquez sur le bouton Gestion des réseaux locaux virtuels (VLAN).

   Le lien Associate VLAN est activé, ce qui vous permet d'ajouter d'autres VLAN provisionnés. Si aucun réseau local virtuel n'est disponible sur le même routeur que le VRA, le lien est grisé. Vous devez alors commander un VLAN pour demander un réseau local virtuel privé sur le même routeur que le VRA. L'association initiale du VLAN peut prendre quelques minutes. Une fois associé, le VLAN s'affiche sous l'en-tête VLAN associés.

2. Cliquez sur la case à cocher à gauche du VLAN associé, puis cliquez sur Route Through pour acheminer le VLAN/Subnet via le VRA. Cette opération peut prendre quelques minutes. Un rafraîchissement de l'écran montrera que l'état est " Route Through".

3. Cliquez sur le numéro du réseau local virtuel pour en afficher les détails. Sous Unités, l'instance VSI mise à disposition est visible. Sous Sous-réseaux, le sous-réseau principal à utiliser avec le VRA est visible. Notez le numéro de VLAN privé car il sera utilisé dans une étape ultérieure.

   Pour une identification correcte d'un réseau local virtuel, voir Identification des VLAN

4. Cliquez sur le sous-réseau pour afficher les détails du sous-réseau IP. Notez le réseau du sous-réseau, les adresses de passerelle et le CIDR (/26) car ces informations sont nécessaires pour poursuivre la configuration du VRA.

5. Vérifiez que le sous-réseau/VLAN est routé vers le dispositif VRA et que l'instance VSI N'EST PAS accessible via le réseau de gestion de votre poste de travail à l'aide de la commande ping.

   ping <VSI Private IP Address>
   

Cette action termine la configuration du VRA via la console IBM Cloud. Le travail supplémentaire de configuration de l'enceinte et du routage IP est maintenant effectué directement sur le VRA via SSH.

Configuration du routage IP et sécurisation de l'enceinte

Lorsque la configuration du VRA est validée, la configuration en cours est modifiée et les modifications sont automatiquement enregistrées dans la configuration de démarrage.

Si vous souhaitez revenir à une configuration de travail précédente, par défaut, les 20 derniers points de validation peuvent être affichés, comparés ou restaurés. Reportez-vous à la documentation supplémentaire Basic System Configuration Guide pour plus de détails sur show system commit, compare et rollback.

Sécurisation du VRA

1. Appliquez la politique de sécurité du VRA. Par défaut, la segmentation par zones du pare-feu, basée sur une politique, ne sécurise pas l'accès au VRA même. Elle est configurée via le CPP (Control Plane Policing). Le VRA fournit un modèle d'ensemble de règles CPP de base que vous pouvez fusionner dans votre configuration :

   configure
   merge /opt/vyatta/etc/cpp.conf
   

   Cette opération crée un ensemble de règles de pare-feu nommé CPP. Affichez les règles supplémentaires et validez en mode [edit].

   show security firewall name CPP
   commit
   

2. Sécurisation de l'accès SSH public. En raison d'un problème lié au microprogramme Vyatta non résolu actuellement, il est déconseillé d'utiliser la commande set service SSH listen-address x.x.x.x pour limiter l'accès administrateur SSH sur le réseau public. En guise d'alternative, l'accès externe peut être bloqué via le pare-feu CPP pour la plage d'adresses IP publiques utilisées par l'interface publique du VRA. Le <VRA Public IP Subnet> utilisé ici est le même que le <VRA Public IP Address> dont le dernier octet est égal à zéro (x.x.x.0).

   set security firewall name CPP rule 900 action drop
   set security firewall name CPP rule 900 destination address <VRA Public IP Subnet>/24
   set security firewall name CPP rule 900 protocol tcp
   set security firewall name CPP rule 900 destination port 22
   commit
   

3. Validez l'accès administrateur SSH du VRA sur le réseau interne IBM. Si l'accès au VRA via SSH est perdu après l'exécution des validations, vous pouvez accéder au VRA via la console KVM disponible sur la page Détails de l'unité du VRA via le menu Action.

Cette opération termine la configuration de l'enceinte de réseau privé sécurisé protégeant une zone unique de pare-feu contenant un VLAN et un sous-réseau. Vous pouvez ajouter des zones de pare-feu supplémentaires, des règles, des serveurs virtuels et bare metal, des VLAN et des sous-réseaux en appliquant les mêmes instructions.

Suppression de ressources

Dans cette étape, vous nettoyez les ressources pour supprimer ce que vous avez créé.

• Annulez tous les serveurs virtuels ou les serveurs bare metal
• Dissociez et annulez tous les VLAN
• Annulez le VRA

Le VRA est disponible moyennant un forfait mensuel. L'annulation ne donne pas lieu à un remboursement. Il est suggéré d'annuler uniquement si ce VRA n'est plus nécessaire le mois suivant. Si un cluster à haute disponibilité VRA double est requis, ce VRA unique peut être mis à niveau sur la page Détails de la passerelle.

Contenu connexe

• IBM Virtual Router Appliance
• Sous-réseaux IP statiques et portables
• IBM QRadar Security Intelligence Platform
• Documentation Vyatta