Objetivos

O objetivo deste tutorial é demonstrar as etapas básicas de conexão de uma IBM Cloud® for VMware Cloud Foundation as a Service instância de locatário único ou de diversos locatários com o Juniper ® vSRX. A conexão acontece através de uma rede privada virtual (VPN). O vSRX pode ser implementado na Infraestrutura clássica do IBM Cloud ou em um data center do cliente. As etapas a seguir criam um ambiente de trabalho básico, fornecendo uma VPN, uma implementação de firewall básica, e conectividade de rede de ponta a ponta

Neste tutorial, você aprenderá:

• Como criar VPNs entre um gateway de borda do data center virtual (VDC) e o vSRX.
• Como criar e configurar propostas e perfis de túnel IKE e IPsec correspondentes.
• Como configurar regras de firewall em seu gateway de borda VDC e vSRX para permitir o tráfego de VPN.

O diagrama a seguir apresenta uma visão geral da solução a ser implementada..

Antes de Iniciar

Este tutorial requer:

• Uma IBM Cloud conta faturável.
• Permissões de usuário necessárias Assegure-se de que sua conta do usuário tenha permissões suficientes para criar e gerenciar VMware Cloud Foundation (VCF) as a Service recursos.
• Uma instância do VCF as a Service pré-provisionada.
• Um VDC pré-fornecido no VCF as a Service.
• IBM CloudCLI.
• Uma IBM Cloud chave de API.

Reunir informações e requisitos

Para estabelecer um túnel baseado em política, é necessário coletar várias informações de sua implementação e design, como terminais de gateway e redes locais e remotas.. Além disso, é necessário definir as políticas de segurança do túnel para IKE e IPsec.

Colete cuidadosamente e documente as informações listadas e mencionadas aqui. Os valores devem corresponder exatamente às configurações de túnel em ambos os lados.

Use o portal IBM Cloud e a configuração de firewall vSRX para coletar as informações a seguir e, em seguida, definir os parâmetros de política IPsec e IKE para o túnel com base em seus requisitos de segurança:

1. Colete informações de rede local e remota para o túnel baseado em política

   A interface privada do vSRX geralmente é configurada como a seguir:

   set interfaces reth2 unit <vlan-id> description "Your private network routed through Gateway Appliance"
   set interfaces reth2 unit <vlan-id> vlan-id <vlan-id>
   set interfaces reth2 unit <vlan-id> family inet address <private-IP address-of-the-vsrx>/26
   

   Você pode ter vários endereços IP secundários na interface vSRX, portanto, colete todas as informações de rede necessárias para o túnel.

   Coletar todas as informações de rede VDC necessárias para o túnel. Use o console VMware Cloud Director™ ou colete as informações da sua documentação de projeto de rede (quais redes estão implantadas no VDC).

   Valores de exemplo são fornecidos da seguinte forma:

   Lista de prefixos ou sub-redes de sites a serem revisados antes de configurar a VPN.

   Prefixo	Valor
   Sub-redes atrás do vSRX	10.95.1.0/26
   Sub-redes no VDC	192.168.100.0/24

   Como sua solução pode ser diferente, use as sub-redes de seu design e implementação de rede.

2. Colete informações de endereço IP do gateway local e remoto para o túnel do IPsec

   O endereço IP da interface pública do vSRX é geralmente configurado conforme a seguir em IBM Cloud:

   set interfaces reth1 unit 0 description "SL PUBLIC VLAN INTERFACE"
   set interfaces reth1 unit 0 family inet address <public-IP address-of-the-vsrx>/29
   

   Colete o endereço IP público do VDC Edge Gateway de seu VDC. Os endereços IP públicos estão disponíveis no portal IBM Cloud, sob sua instância do VDC.

   A tabela a seguir mostra os valores usados neste exemplo:

   Lista de endereços IP de gateway a serem revisados antes de configurar a VPN.

   Endereço IP do gateway	Valor
   Endereço IP público do gateway de borda	<public-IP address-of-the-vdc-edge-gateway>
   Endereço IP público do vSRX	<public-IP address-of-the-vsrx>

   Como a sua solução pode ser diferente, use os endereços IP do terminal correspondentes à sua implementação

3. Crie uma chave pré-compartilhada.. Gerar uma chave pré-compartilhada your-psk para o túnel IPsec. A chave é usada na configuração de firewall e VDC IPsec.

4. Defina sua política de IKE para o túnel A tabela a seguir mostra os valores usados neste exemplo:

   Lista de parâmetros de política IKE a serem revisados antes de configurar a VPN.

   Política IKE	Valor
   Versão	IKE v2
   Criptografia	AES 256
   Compilação	SHA 2-256
   Grupo Diffie-Hellman	Grupo 14
   Tempo de Vida da Associação (segundos)	28800

   Como seus requisitos podem ser diferentes, use os valores de sua implementação..

5. Defina sua política IPsec (ou túnel) para o túnel. A tabela a seguir mostra os valores usados neste exemplo:

   Lista de parâmetros de política de IPsec (ou túnel) a serem revisados antes de configurar a VPN.

   Política IPsec (ou túnel)	Valor
   Perfect Forward Secrecy	Ativado
   Política de Desfragmentação	Copiar
   Criptografia	AES 256
   Compilação	SHA 2-256
   Grupo Diffie-Hellman	Grupo 14
   Tempo de Vida da Associação (segundos)	3600

   Como seus requisitos podem ser diferentes, use os valores de sua implementação..

6. Defina sua política de detecção de peer inativo (DPD) para o túneis. A tabela a seguir mostra os valores usados neste exemplo:

   Lista de parâmetros de política de detecção de pares mortos (DPD) a serem revisados antes de configurar a VPN.

   DPD	Valor
   Intervalo de Análise (segundos)	60

   Como seus requisitos podem ser diferentes, use os valores de sua implementação..

Configurar vSRX

As configurações a seguir usam os valores de política de exemplo que foram apresentados anteriormente: Seu ambiente e as políticas podem ser diferentes, portanto, ajuste os comandos de configuração

1. Configure a proposta IKE, a política IKE e a chave pré-compartilhada:

   set security ike proposal ike-phase1-vmwaas authentication-method pre-shared-keys
   set security ike proposal ike-phase1-vmwaas dh-group group14
   set security ike proposal ike-phase1-vmwaas authentication-algorithm sha-256
   set security ike proposal ike-phase1-vmwaas encryption-algorithm aes-256-cbc
   set security ike proposal ike-phase1-vmwaas lifetime-seconds 28800
   
   set security ike policy ike-phase1-policy mode main
   set security ike policy ike-phase1-policy proposals ike-phase1-vmwaas
   set security ike policy ike-phase1-policy pre-shared-key ascii-text <your-psk>
   

2. Configure o gateway IKE:

   set security ike gateway vmwaas ike-policy ike-phase1-policy
   set security ike gateway vmwaas address <public-IP address-of-the-vdc-edge-gateway>
   
   set security ike gateway vmwaas external-interface reth1.0
   set security ike gateway vmwaas version v2-only
   

3. Configure a política e a proposta IPsec:

   set security ipsec proposal ipsec-phase2-vmwaas protocol esp
   set security ipsec proposal ipsec-phase2-vmwaas authentication-algorithm hmac-sha-256-128
   set security ipsec proposal ipsec-phase2-vmwaas encryption-algorithm aes-256-cbc
   set security ipsec proposal ipsec-phase2-vmwaas lifetime-seconds 3600
   
   set security ipsec policy ipsec-phase2-policy perfect-forward-secrecy keys group14
   set security ipsec policy ipsec-phase2-policy proposals ipsec-phase2-vmwaas
   

4. Configure a VPN IPsec:

   set interfaces st0 unit 0 family inet
   set security ipsec vpn vmwaas-vpn-1 bind-interface st0.0
   set security ipsec vpn vmwaas-vpn-1 ike gateway vmwaas
   set security ipsec vpn vmwaas-vpn-1 ike ipsec-policy ipsec-phase2-policy
   set security ipsec vpn vmwaas-vpn-1 traffic-selector pair1 local-ip 10.95.1.0/26
   set security ipsec vpn vmwaas-vpn-1 traffic-selector pair1 remote-ip 192.168.100.0/24
   set security ipsec vpn vmwaas-vpn-1 establish-tunnels immediately
   set security ipsec vpn vmwaas-vpn-1 df-bit copy
   

5. Configure o firewall do plano de controle:

   set firewall filter PROTECT-IN term PING from destination-address 10.95.1.1/32
   set firewall filter PROTECT-IN term PING from protocol icmp
   
   set firewall filter PROTECT-IN term IPSec-IKE from destination-address `<public-IP address-of-the-vsrx>/32`
   # Alternative way to use source-address
   # set firewall filter PROTECT-IN term IPSec-IKE from source-address `<public-IP address-of-the-vdc-edge-gateway>/32`
   set firewall filter PROTECT-IN term IPSec-IKE from protocol udp
   set firewall filter PROTECT-IN term IPSec-IKE from port 500
   set firewall filter PROTECT-IN term IPSec-IKE then accept
   
   set firewall filter PROTECT-IN term IPSec-ESP from destination-address `<public-IP address-of-the-vsrx>/32`
   # Alternative way to use source-address
   # set firewall filter PROTECT-IN term IPSec-ESP from source-address `<public-IP address-of-the-vdc-edge-gateway>/32`
   set firewall filter PROTECT-IN term IPSec-ESP from protocol esp
   set firewall filter PROTECT-IN term IPSec-ESP then accept
   
   set firewall filter PROTECT-IN term IPSec-4500 from destination-address `<public-IP address-of-the-vsrx>/32`
   # Alternative way to use source-address
   # set firewall filter PROTECT-IN term IPSec-4500 from source-address `<public-IP address-of-the-vdc-edge-gateway>/32`
   set firewall filter PROTECT-IN term IPSec-4500 from protocol udp
   set firewall filter PROTECT-IN term IPSec-4500 from port 4500
   set firewall filter PROTECT-IN term IPSec-4500 then accept
   

6. Configure as zonas de segurança e políticas de zona:

   set security zones security-zone vpn-vmwaas-tunnel interfaces st0.0
   set security zones security-zone vsrx-vlan interfaces reth2.2498
   
   set security policies from-zone vsrx-vlan to-zone vpn-vmwaas-tunnel policy vlan_to_vmwaas match source-address any
   set security policies from-zone vsrx-vlan to-zone vpn-vmwaas-tunnel policy vlan_to_vmwaas match destination-address any
   set security policies from-zone vsrx-vlan to-zone vpn-vmwaas-tunnel policy vlan_to_vmwaas match application any
   set security policies from-zone vsrx-vlan to-zone vpn-vmwaas-tunnel policy vlan_to_vmwaas then permit
   
   set security policies from-zone vpn-vmwaas-tunnel to-zone vsrx-vlan policy vmwaas_to_vlan match source-address any
   set security policies from-zone vpn-vmwaas-tunnel to-zone vsrx-vlan policy vmwaas_to_vlan match destination-address any
   set security policies from-zone vpn-vmwaas-tunnel to-zone vsrx-vlan policy vmwaas_to_vlan match application any
   set security policies from-zone vpn-vmwaas-tunnel to-zone vsrx-vlan policy vmwaas_to_vlan then permit
   

7. Configure o tamanho máximo do segmento TCP (MSS):

   set security flow tcp-mss ipsec-vpn mss 1360
   

Configurar o gateway de borda da instância VCF as a Service

Efetue login em sua instância do VCF as a Service, configure sub-redes de rede, regras de firewall e túnel IPsec.

Valide seu túnel IPsec e conectividade

Se todas as etapas forem concluídas com sucesso, seu túnel VPN será estabelecido e o tráfego fluirá entre as duas redes.

É possível testar a conexão na interface com o usuário (UI) ou a maneira clássica por meio da CLI com ping.

ping 10.95.1.1

nc -vz 10.95.1.10 443
Connection to 10.95.1.10 port 443 [tcp/https] succeeded!