Obiettivi

• Distribuire un VRA (Virtual Router Appliance)
• Definire VLAN e sottoreti IP per distribuire macchine virtuali e server bare-metal
• Proteggere VRA ed enclosure con le regole del firewall

1. Configura VPN
2. Distribuisci VRA
3. Crea il Virtual Server
4. Instrada l'accesso tramite VRA
5. Configura il firewall dell'enclosure
6. Definisci la zona APP
7. Definisci la zona INSIDE

Prima di iniziare

Esegui il provisioning del VRA (Virtual Router Appliance)

Il primo passo consiste nel distribuire un VRA (Virtual Router Appliance) che fornirà l'instradamento IP e il firewall per l'enclosure di rete privata. Internet è accessibile dall'enclosure mediante una VLAN di transito pubblica fornita da IBM Cloud, un gateway e, facoltativamente, un firewall hardware per creare la connettività dalla VLAN pubblica alle VLAN di enclosure private sicure. In questa esercitazione della soluzione, un VRA fornisce questo gateway e il firewall per il perimetro.

1. Dal catalogo, seleziona un Gateway Appliance
2. Nella sezione Gateway Vendor, selezionare AT&T. Puoi scegliere tra una velocità di uplink fino a 20 Gbps ("up to 20 Gbps") o fino a 2 Gbps ("up to 2 Gbps").
3. Nella sezione Hostname, inserisci un nome host (Hostname) e un dominio (Domain) per il tuo nuovo VRA.
4. Se selezioni la casella di spunta High Availability, ottieni due dispositivi VRA che operano in una configurazione attiva/di backup utilizzando VRRP.
5. Nella sezione Location, seleziona l'ubicazione (Location) e il Pod in cui hai bisogno del tuo VRA.
6. Seleziona Single Processor o Dual Processor. Ottieni un elenco dei server. Scegli un server facendo clic sul relativo pulsante di opzione.
7. Seleziona la quantità di RAM. Per un ambiente di produzione, si consiglia di utilizzare un minimo di 64GB di RAM. 8GB minimo per un ambiente di test.
8. Seleziona una chiave SSH (SSH Key) (facoltativo). Questa chiave SSH verrà installata sul VRA in modo che l'utente vyatta possa essere utilizzato per accedere al VRA con questa chiave.
9. Disco rigido. Mantenere il valore predefinito.
10. Nella sezione Uplink Port Speeds, seleziona la combinazione di velocità, ridondanza e interfacce private e/o pubbliche che soddisfa le tue esigenze.
11. Nella sezione Add-ons, mantieni il valore predefinito. Se vuoi utilizzare IPv6 sull'interfaccia pubblica, seleziona l'indirizzo IPv6.

Nel pannello di destra, puoi vedere il tuo riepilogo dell'ordine (Order Summary). Selezionare la casella di controllo Ho letto e accetto i contratti di servizio di terze parti elencati di seguito: e fare clic sul pulsante Crea. Il tuo gateway verrà distribuito.

L'elenco dispositivi (Device list) visualizzerà il VRA quasi immediatamente, contrassegnato da un simbolo Clock che indica che su questo dispositivo sono in corso delle transazioni. Il simbolo Clock persiste finché la creazione del VRA non sarà stata completata e, tranne visualizzare i dettagli, non è possibile eseguire alcuna azione di configurazione sul dispositivo.

Configurazione di VRA iniziale

1. Dalla tua workstation, utilizza la VPN SSL per accedere al VRA utilizzando l'account vyatta predefinito e accettando i prompt di sicurezza di SSH.

   ssh vyatta@<VRA Private IP Address>
   

   Se SSH richiede una password, la chiave SSH non era stata inclusa nella build. Accedi al VRA utilizzando il browser web utilizzando l'indirizzo IP privato VRA (VRA Private IP Address). La password proviene dalla pagina Software Passwords. Nella scheda Configuration, seleziona il ramo System/login/vyatta e aggiungi la chiave SSH desiderata.

   La configurazione del VRA richiede che quest'ultimo venga messo in modalità [edit] utilizzando il comando configure. Quando è in modalità edit, il prompt cambia da $ a #. Dopo una corretta modifica della configurazione del VRA, puoi visualizzare le tue modifiche con il comando compare e controllare le tue modifiche con il comando validate. Eseguendone il commit con il comando commit, una modifica verrà applicata alla configurazione in esecuzione e salvata automaticamente nella configurazione di avvio.

2. Migliora la sicurezza consentendo solo l'accesso SSH. Ora che l'accesso SSH ha esito positivo utilizzando la rete privata, disabilita l'accesso mediante autenticazione con id utente e password.

   configure
   set service ssh disable-password-authentication
   commit
   exit
   

   Da questo punto dell'esercitazione, si presume che tutti i comandi VRA siano immessi nel prompt edit, dopo l'utilizzo del comando configure.

3. Riesamina la configurazione iniziale.

   show
   

   Il VRA è preconfigurato per l'ambiente IaaS IBM Cloud Ciò include quanto segue:

   • Server NTP
   • Server dei nomi
   • SSH
   • Server web HTTPS
   • Fuso orario predefinito Stati Uniti/Chicago

4. Imposta il fuso orario locale come richiesto. Il completamento automatico con il tasto di tabulazione elencherà i potenziali valori di fuso orario.

   set system time-zone <timezone>
   

5. Imposta la modalità di funzionamento del ping. Il ping non è disabilitato per assistenza nella risoluzione dei problemi di firewall e instradamento.

   set security firewall all-ping enable
   set security firewall broadcast-ping disable
   

6. Abilita l'operazione del firewall con stato. Per impostazione predefinita, il firewall VRA è senza stato.

   set security firewall global-state-policy icmp
   set security firewall global-state-policy udp
   set security firewall global-state-policy tcp
   

7. Esegui il commit e salva automaticamente le tue modifiche alla configurazione di avvio.

   commit
   

Ordina il primo server virtuale

A questo punto viene creato un server virtuale per assistere nella diagnostica degli errori di configurazione VRA. Un corretto accesso alla VSI viene convalidato sulla rete privata IBM Cloud prima che l'accesso a essa venga instradato tramite il VRA in un passo successivo.

1. Ordina un server virtuale.
2. Nella pagina dell'ordine:
   • Seleziona Public.
   • Imposta Billing su Hourly.
   • Imposta VSI Hostname e Domain name. Questo nome dominio non viene utilizzato per l'instradamento e DNS ma deve allinearsi con i tuoi standard di denominazione di rete.
   • Imposta Location sul nome del VRA.
   • Imposta Profile su C1.1x1
   • Aggiungi la chiave SSH (SSH Key) che hai specificato in precedenza.
   • Impostare il sistema operativo su CentOS Stream 9.x- Minimo
   • In Uplink Port Speeds, l'interfaccia di rete deve essere modificata dall'impostazione predefinita di pubblico e privato per specificare solo un Uplink di rete privato. Ciò garantisce che il nuovo server non abbia accesso diretto a Internet.
   • Imposta Private VLAN sul numero VLAN della VLAN privata ordinata in precedenza.
3. Seleziona la casella di spunta per accettare gli accordi di servizio di terze parti ('Third-Party') e seleziona quindi Create.
4. Monitora il completamento nella pagina Devices oppure via email.
5. Prendere nota dell'indirizzo IP privato del VSI per una fase successiva e verificare che nella sezione Rete della pagina Dettagli dispositivo il VSI sia assegnato alla VLAN corretta. In caso contrario, elimina questa VSI e creane una nuova sulla VLAN corretta.
6. Verificare il corretto accesso alla VSI tramite la rete privata IBM Cloud utilizzando ping e SSH dalla tua workstation locale sulla VPN.

   ping <VSI Private IP Address>
   SSH root@<VSI Private IP Address>
   

Instrada l'accesso VLAN tramite il VRA

La VLAN o le VLAN private per il server virtuale vengono associate dal sistema di gestione IBM Cloud a questo VRA. A questo punto, la VSI è ancora accessibile tramite l'instradamento IP sulla rete privata IBM Cloud. Eseguirai ora l'instradamento della sottorete tramite il VRA per creare la rete privata sicura ed eseguirai la convalida confermando che la VSI è ora non accessibile.

1. Procedi ai dettagli del gateway (Gateway Details) per il VRA tramite la pagina Gateway Appliances e individua la sezione Associated VLANs nella metà inferiore della pagina. La VLAN associata sarà elencata qui. A questo punto, la VLAN e la sottorete associata non sono protette o instradate tramite il VRA e la VSI è accessibile tramite la rete privata di IBM Cloud. Lo stato della VLAN viene visualizzato come Rotta intorno. Fai clic sul pulsante Manage VLANs.

   Il link Associa VLAN è abilitato e consente di aggiungere altre VLAN in dotazione. Se non è disponibile alcuna VLAN sullo stesso router del VRA, il link è in grigio. Dovrai pertanto ordinare una VLAN per richiedere una VLAN privata sullo stesso router del VRA. Il completamento dell'associazione iniziale della VLAN può richiedere un paio di minuti. Dopo il completamento, la VLAN viene visualizzata sotto l'intestazione Associated VLANs.

2. Fare clic sulla casella di controllo a sinistra della VLAN associata e poi su Route Through per instradare la VLAN/Subnet attraverso il VRA. Questa operazione può richiedere alcuni minuti. L'aggiornamento della schermata mostrerà che lo stato è Route Through.

3. Fai clic sul numero della VLAN per visualizzarne i dettagli. In Devices, è possibile visualizzare la VSI di cui è stato eseguito il provisioning. In Subnets, viene visualizzata la sottorete primaria che deve essere utilizzata con il VRA. Prendere nota del numero di VLAN privata , che verrà utilizzato in una fase successiva.

   Per la corretta identificazione di una VLAN, vedi Identificazione della VLAN

4. Fai clic sulla sottorete per visualizzare i dettagli della sottorete IP. Prendi nota degli indirizzi gateway, del CIDR (/26) e della rete della sottorete poiché saranno necessari per l'ulteriore configurazione del VRA.

5. Convalida che la sottorete/VLAN è instradata al VRA e che la VSI NON è accessibile tramite la rete di gestione dalla tua workstation utilizzando ping.

   ping <VSI Private IP Address>
   

Ciò completa l'instradamento del VRA tramite la console IBM Cloud. Il lavoro aggiuntivo per configurare l'enclosure e l'instradamento IP viene ora eseguito direttamente sul VRA tramite SSH.

Configura l'instradamento IP e l'enclosure protetta

Quando viene eseguito il commit della configurazione VRA, la configurazione in esecuzione viene modificata e le modifiche vengono salvate automaticamente nella configurazione di avvio.

Se vuoi ritornare a una configurazione funzionante precedente, per impostazione predefinita è possibile visualizzare, confrontare o ripristinare gli ultimi 20 punti di commit. Vedi la documentazione aggiuntiva Basic System Configuration Guide per i dettagli su show system commit, compare, rollback.

Proteggi il VRA

1. Applica la politica di sicurezza VRA. Per impostazione predefinita, la suddivisione in zone dei firewall basata sulle politiche non protegge l'accesso al VRA stesso. Ciò viene configurato tramite CPP (Control Plane Policing). VRA fornisce un set di regole CPP di base come template. Uniscilo nella tua configurazione:

   configure
   merge /opt/vyatta/etc/cpp.conf
   

   Ciò crea un nuovo set di regole del firewall denominato CPP. Visualizza le regole aggiuntive ed esegui il commit in modalità di modifica ([edit]).

   show security firewall name CPP
   commit
   

2. Protezione dell'accesso SSH pubblico. A causa di un problema al momento irrisolto con il firmware Vyatta, ti sconsigliamo di utilizzare set service SSH listen-address x.x.x.x per limitare l'accesso amministrativo SSH sulla rete pubblica. In alternativa, è possibile bloccare l'accesso esterno tramite il firewall CPP per l'intervallo di indirizzi IP pubblici utilizzati dall'interfaccia pubblica VRA. L'<VRA Public IP Subnet> utilizzato in questo caso è uguale all'<VRA Public IP Address> con l'ultimo ottetto pari a zero x.x.x.0).

   set security firewall name CPP rule 900 action drop
   set security firewall name CPP rule 900 destination address <VRA Public IP Subnet>/24
   set security firewall name CPP rule 900 protocol tcp
   set security firewall name CPP rule 900 destination port 22
   commit
   

3. Convalida l'accesso amministrativo SSH VRA sulla rete interna IBM. Se perdi l'accesso al VRA tramite SSH dopo l'esecuzione dei commit, puoi accedere al VRA tramite la console VKM disponibile nella pagina Device Details del VRA tramite il menu Action.

Ciò completa la configurazione dell'enclosure di rete privata sicura che protegge una singola zona del firewall contenente una VLAN e una sottorete. Ulteriori zone del firewall, regole, server virtuali e bare-metal, VLAN e sottoreti possono essere aggiunti attenendosi alle stesse istruzioni.

Rimuovi le risorse

In questo passo, ripulirai le risorse per rimuovere ciò che hai creato.

• Annulla qualsiasi server virtuale o server bare metal
• Annulla l'associazione e Annulla le VLAN
• Annulla il VRA

Il VRA è su un piano a pagamento mensile. L'annullamento non prevede un rimborso. Ti consigliamo di annullare solo se questo VRA non sarà richiesto di nuovo nel prossimo mese. Se è richiesto un cluster ad alta disponibilità VRA duale, è possibile eseguire l'upgrade di questo singolo VRA nella pagina dei dettagli del gateway.

Contenuto correlato

• IBM Virtual Router Appliance
• Sottoreti IP statici e portatili
• IBM QRadar Security Intelligence Platform
• Documentazione Vyatta