Objetivos

• Implementar um Virtual Router Appliance (VRA)
• Definir VLANs e sub-redes IP para implementar máquinas virtuais e servidores bare metal
• Proteger o VRA e o gabinete com regras de firewall

1. Configurar VPN
2. Implementar VRA
3. Criar Virtual Server
4. Rotear o acesso por meio do VRA
5. Configurar firewall de gabinete
6. Definir zona APP
7. Definir zona INSIDE

Antes de Iniciar

Provisionar Virtual Router Appliance

A primeira etapa é implementar um Virtual Router Appliance (VRA) que fornecerá o roteamento de IP e o firewall para o gabinete de rede privada. A internet é acessível por meio do gabinete por um VLAN de trânsito voltado a público fornecido pelo IBM Cloud, por um gateway e, opcionalmente, por um firewall de hardware para criar a conectividade entre a VLAN pública e as VLANs de gabinete privadas seguras. Neste tutorial de solução, um VRA fornece esse gateway e firewall para o perímetro.

1. No catálogo, selecione um Dispositivo de gateway
2. Na seção Fornecedor de Gateway, selecione AT&T. É possível escolher entre "até 20 Gbps" ou "até 2 Gbps" de Velocidade de uplink.
3. Na seção Nome do host, insira um Nome do host e um Domínio para seu novo VRA.
4. Se marcar a caixa de seleção Alta disponibilidade, você obterá dois dispositivos VRA trabalhando em uma configuração ativa/de backup usando o VRRP.
5. Na seção Local, selecione o Local e o Pod no qual você precisa de seu VRA.
6. Selecione Processador único ou Processador dual. Você recebe uma lista de Servidores. Escolha um Servidor clicando em seu botão de opções.
7. Selecione a quantia de RAM. Para um ambiente de produção, recomenda-se usar no mínimo 64 GB de RAM. No mínimo 8 GB para um ambiente de teste.
8. Selecione uma Chave SSH (opcional). Esta chave SSH será instalada no VRA, portanto, o usuário vyatta pode ser usado para acessar o VRA com esta chave.
9. Disco rígido. Mantenha o padrão.
10. Na seção Velocidades da porta de uplink, selecione a combinação de velocidade, a redundância e interfaces privadas e/ou públicas que atendam às suas necessidades.
11. Na seção Complementos, mantenha o padrão. Se você deseja usar IPv6 na interface pública, selecione Endereço IPv6.

No painel direito, é possível ver o seu Resumo do pedido. Marque a caixa de seleção Li e concordo com os Contratos de Serviço de Terceiros listados abaixo: e, em seguida, clique no botão Criar. Seu gateway será implementado.

A Lista de dispositivos mostrará o VRA quase imediatamente com um símbolo de Clock nele, indicando que as transações estão em andamento nesse dispositivo. Até que a criação do VRA esteja concluída, o símbolo de Clock permanece e, além de visualizar detalhes, não é possível executar nenhuma ação de configuração com relação ao dispositivo.

Configuração inicial do VRA

1. Em sua estação de trabalho, use a VPN SSL para efetuar login no VRA usando a conta padrão vyatta, aceitando os prompts de segurança SSH.

   ssh vyatta@<VRA Private IP Address>
   

   Se o SSH solicitar uma senha, a chave SSH não foi incluída na construção. Acesse o VRA por meio do navegador da web usando o VRA Private IP Address. A senha é por meio da página Senhas de software. Na guia Configuração, selecione a ramificação Sistema/login/vyatta e inclua a chave SSH desejada.

   A configuração do VRA requer que o VRA seja colocado no modo [edit] usando o comando configure. Quando no modo edit, o prompt muda de $ para #. Após uma mudança bem-sucedida na configuração do VRA, é possível visualizar suas mudanças com o comando compare e verificar suas mudanças com o comando validate. Confirmando uma mudança com o comando commit, ela será aplicada à configuração em execução e será salva automaticamente na configuração de inicialização.

2. Aprimore a segurança permitindo somente login de SSH. Agora que o login de SSH é bem-sucedido por meio da rede privada, desative o acesso por meio de autenticação de ID do usuário/senha.

   configure
   set service ssh disable-password-authentication
   commit
   exit
   

   Deste ponto em diante neste tutorial, supõe-se que todos os comandos do VRA sejam inseridos no prompt edit, depois de usar o comando configure.

3. Revise a configuração inicial.

   show
   

   O VRA é pré-configurado para o ambiente do IBM Cloud IaaS. Isso inclui o seguinte:

   • Servidor NTP
   • Servidores de nomes
   • SSH
   • Servidor da web HTTPS
   • Fuso horário padrão EUA/Chicago

4. Configure o fuso horário local conforme necessário. A conclusão automática com a tecla tab listará os potenciais valores de fuso horário.

   set system time-zone <timezone>
   

5. Configure o comportamento de ping. O ping não é desativado para auxiliar na resolução de problemas de roteamento e de firewall.

   set security firewall all-ping enable
   set security firewall broadcast-ping disable
   

6. Ative a operação de firewall stateful. Por padrão, o firewall do VRA é stateless.

   set security firewall global-state-policy icmp
   set security firewall global-state-policy udp
   set security firewall global-state-policy tcp
   

7. Confirme e salve automaticamente suas mudanças na configuração de inicialização.

   commit
   

Pedir o primeiro servidor virtual

Um servidor virtual é criado neste ponto para auxiliar no diagnóstico de erros de configuração do VRA. O acesso bem-sucedido à VSI é validado na rede privada do IBM Cloud antes de o acesso a ela ser roteado por meio de VRA em uma etapa posterior.

1. Peça um servidor virtual.
2. Na página do pedido:
   • Selecione Público.
   • Configure Faturamento como Por hora.
   • Configure o Nome do host da VSI e o Nome de domínio Esse nome de domínio não é usado para roteamento e DNS, mas deve ser alinhado com seus padrões de nomenclatura de rede.
   • Configure Local para o mesmo que o VRA.
   • Configure Perfil como C1.1x1
   • Inclua a Chave SSH que você especificou anteriormente.
   • Definir o sistema operacional como CentOS Stream 9.x- Mínimo
   • Em Velocidades da porta de uplink, a interface de rede deve ser alterada do padrão de pública e privada para especificar apenas um Uplink de rede privada. Isso assegura que o novo servidor não tenha acesso direto à Internet.
   • Configure VLAN privada para o número de VLAN da VLAN privada pedida anteriormente.
3. Marque a caixa de seleção para aceitar os contratos de prestação de serviços de 'Terceiros' e, em seguida, clique em Criar.
4. Monitore a conclusão na página Dispositivos ou por meio de e-mail.
5. Anote o endereço IP privado do VSI para uma etapa posterior e verifique se, na seção Rede da página Detalhes do dispositivo, o VSI está atribuído à VLAN correta. Se não, exclua essa VSI e crie uma nova VSI na VLAN correta.
6. Verifique o acesso bem-sucedido à VSI por meio de rede privada do IBM Cloud usando ping e SSH em sua estação de trabalho local na VPN.

   ping <VSI Private IP Address>
   SSH root@<VSI Private IP Address>
   

Rotear acesso à VLAN por meio do VRA

As VLANs privadas para o servidor virtual estão associadas pelo sistema de gerenciamento do IBM Cloud a esse VRA. Neste estágio, a VSI ainda é acessível por meio de roteamento de IP na rede privada do IBM Cloud. Agora você roteará a sub-rede por meio do VRA para criar a rede privada segura e validar confirmando que a VSI agora não está acessível.

1. Continue com os Detalhes do gateway para o VRA por meio da página Dispositivos de gateway e localize a seção VLANs associadas na metade inferior da página. A VLAN associada será listada aqui. Nesta fase, a VLAN e a sub-rede associada não são protegidas ou roteadas por meio do VRA e o VSI é acessível por meio da rede IBM Cloud Private. O status da VLAN é mostrado como Route Around. Clique no botão Gerenciar VLANs.

   O link Associar VLAN está ativado, permitindo que você adicione outras VLANs provisionadas. Se nenhuma VLAN estiver disponível no mesmo roteador que o VRA, o link será esmaecido. Isso exigirá que você peça uma VLAN para solicitar uma VLAN privada no mesmo roteador que o VRA. A associação de VLAN inicial pode levar alguns minutos para ser concluída. Após a conclusão, a VLAN é mostrada sob o título VLANs associadas.

2. Clique na caixa de seleção à esquerda da VLAN associada e, em seguida, clique em Route Through para rotear a VLAN/Sub-rede por meio do VRA. Isso pode levar alguns minutos. Uma atualização de tela mostrará que o status é Route Through.

3. Clique no número da VLAN para visualizar os detalhes da VLAN. Em Dispositivos, a VSI provisionada pode ser vista. Em Sub-redes, a Sub-rede primária que deve ser usada com o VRA é vista. Anote o número da VLAN privada , pois ele será usado em uma etapa posterior.

   Para a identificação adequada de uma VLAN, verifique a Identificação da VLAN

4. Clique na sub-rede para ver os detalhes da sub-rede IP. Anote a rede da sub-rede, os endereços de gateway e o CIDR (/26), pois estes são necessários para posterior configuração do VRA.

5. Valide que a sub-rede/VLAN é roteada para o VRA e que a VSI NÃO está acessível por meio da rede de gerenciamento de sua estação de trabalho usando ping.

   ping <VSI Private IP Address>
   

Isso conclui a configuração do VRA por meio do console do IBM Cloud. O trabalho adicional para configurar o gabinete e o roteamento de IP é agora executado diretamente no VRA por meio de SSH.

Configure o roteamento IP e o gabinete seguro

Quando a configuração do VRA é confirmada, a configuração em execução é mudada e as mudanças são salvas automaticamente na configuração de inicialização.

Se você deseja retornar a uma configuração de trabalho anterior, por padrão, os últimos 20 pontos de confirmação podem ser visualizados, comparados ou restaurados. Veja a documentação complementar Guia de Configuração do sistema básico para obter detalhes sobre show system commit, compare, rollback.

Proteger o VRA

1. Aplique a política de segurança do VRA. Por padrão, o zoneamento de firewall baseado em política não protege o acesso ao próprio VRA. Isso é configurado por meio do Control Plane Policing (CPP). O VRA fornece um conjunto de regras básicas de CPP como um modelo. Mescle-o em sua configuração:

   configure
   merge /opt/vyatta/etc/cpp.conf
   

   Isso cria um novo conjunto de regras de firewall chamado CPP. Visualize as regras adicionais e confirme no modo [edit].

   show security firewall name CPP
   commit
   

2. Protegendo o acesso SSH público. Devido a um problema pendente neste momento com o firmware do Vyatta, não é recomendado usar set service SSH listen-address x.x.x.x para limitar o acesso administrativo do SSH na rede pública. Como alternativa, o acesso externo pode ser bloqueado por meio do firewall de CPP para o intervalo de endereços IP públicos usados pela interface pública do VRA. O <VRA Public IP Subnet> usado aqui é o mesmo que o <VRA Public IP Address> com o último octeto sendo zero (x.x.x.0).

   set security firewall name CPP rule 900 action drop
   set security firewall name CPP rule 900 destination address <VRA Public IP Subnet>/24
   set security firewall name CPP rule 900 protocol tcp
   set security firewall name CPP rule 900 destination port 22
   commit
   

3. Valide o acesso administrativo SSH do VRA sobre a rede interna da IBM. Se o acesso for perdido para o VRA por meio de SSH após executar confirmações, será possível acessar o VRA por meio do Console do KVM disponível na página Detalhes do dispositivo do VRA por meio do menu Ação.

Isso conclui a configuração do gabinete seguro de rede privada que protege uma única zona de firewall contendo uma VLAN e uma sub-rede. Zonas de firewall, regras, servidores virtuais e bare metal, VLANs e sub-redes adicionais podem ser incluídos seguindo as mesmas instruções.

Remover recursos

Nesta etapa, você limpará os recursos para remover o que você criou.

• Cancelar quaisquer servidores virtuais ou servidores bare-metal
• Desassociar e Cancelar quaisquer VLANs
• Cancelar o VRA

O VRA está em um plano pago mensal. O cancelamento não resulta em um reembolso. Sugere-se cancelar apenas se esse VRA não for necessário novamente no próximo mês. Se um cluster de Alta Disponibilidade dual VRA for necessário, esse VRA único poderá ser atualizado na página Detalhes do gateway.

Conteúdo relacionado

• IBM Virtual Router Appliance
• Sub-redes de IP estático e móvel
• IBM QRadar Security Intelligence Platform
• Documentação do Vyatta