Regeln für den VPN-Protokolldatenverkehr

VPN-Server können über TCP- oder UDP-Protokolle ausgeführt werden. Sie können das Protokoll und den Port angeben, wenn Sie den VPN-Server bereitstellen. Sie müssen das entsprechende Protokoll und den entsprechenden Port mit den Sicherheitsgruppenregeln und NACL öffnen.

Beispielsweise läuft der VPN-Server standardmäßig auf dem UDP-Port 443. Sie können die Sicherheitsgruppe und die NACL-Regeln wie folgt konfigurieren:

Regeln für VPN-Datenverkehr mit deliver Route-Aktion

Wenn der Client mit dem VPN-Server verbunden ist, löscht der VPN-Server standardmäßig den gesamten Datenverkehr vom Client. Sie müssen die VPN-Route auf dem VPN-Server konfigurieren, um diesen Datenverkehr zuzulassen. Die Aktion der Route kann entweder deliver oder sein translate.

• Wenn die Aktion deliver ist, wird das Paket direkt weitergeleitet, nachdem das Paket aus dem Tunnel entschlüsselt wurde. Die Quellen-IP des Pakets ist also die VPN-Client-IP, die aus dem Client-IP-Pool stammt.
• Wenn die Aktion translate ist, nachdem das Paket aus dem Tunnel entschlüsselt wurde, wird die Quellen-IP des Pakets in die private IP-Adresse des VPN-Servers übersetzt und anschließend das Paket gesendet.

Beachten Sie, welcher CIDR beim Erstellen der Sicherheitsgruppe und der NACL-Regeln angegeben werden sollte.

Gleichzeitig müssen Sie die Sicherheitsgruppe und NACL auf dem virtuellen VPC-Server konfigurieren, um den Datenverkehr vom VPN-Client freizugeben:

Wenn Sie beispielsweise 172.16.0.0/20 als Client-IP-Pool bei der Bereitstellung des VPN-Servers verwenden und auf die Ressourcen des Teilnetzes 10.240.128.0/24 über den VPN-Client zugreifen möchten, müssen Sie eine VPN-Route mit dem Ziel 10.240.128.0/24 und der Aktion deliver (übergeben) erstellen. Sie müssen außerdem die Sicherheitsgruppe und die NACL-Regeln wie folgt konfigurieren:

Regeln für VPN-Datenverkehr mit translate Route-Aktion

Die Regeln für die VPN-Übersetzungsroute sind fast identisch mit denen der Übergaberoute. Der einzige Unterschied besteht darin, dass die Quell-IP des Pakets in die private IP des VPN-Servers übersetzt wird. Daher müssen Sie das Subnetz des VPN-Servers anstelle des Client-IP-Pools des VPN-Servers verwenden.

Wenn Sie bei der Bereitstellung des VPN-Servers mehrere Subnetze auswählen, müssen Sie alle Subnetze in die Sicherheitsgruppe und die NACL-Regeln aufnehmen.

Normalerweise stammt das Ziel der VPN-Übersetzungsroute aus der VPC. Beispielsweise möchten Sie möglicherweise einen VPN-Server verwenden, um auf die IBM klassische virtuelle Serverinstanz der Infrastruktur zuzugreifen, die sich im Subnetz befindet 10.187.190.0/26. Gleichzeitig müssen Sie Firewall-Regeln auf dem Zielsystem konfigurieren, um den Datenverkehr vom VPN-Client freizugeben.

Im Beispiel werden die 10.240.129.0/24 Subnetze 10.240.64.0/24 und verwendet, wenn der VPN-Server bereitgestellt wird. Die klassische virtuelle Serverinstanz, auf die Sie vom VPN-Client aus zugreifen möchten, befindet sich im Subnetz 10.187.190.0/26 in der IBM klassischen Infrastruktur. Sie müssen eine VPN-Route mit Ziel: 10.187.190.0/26, Aktion: erstellen translate und die Sicherheitsgruppe und NACL-Regeln wie folgt konfigurieren: