Erstellen eines VPN-Servers in der Konsole

So erstellen Sie einen Client-to-Site-VPN-Server in der Konsole:

1. Erfüllen Sie alle unter 'Vorbereitende Schritte' aufgeführten Vorbedingungen.

2. Öffnen Sie in Ihrem Browser die Konsole IBM Cloud und melden Sie sich bei Ihrem Konto an.

3. Wählen Sie das Navigationsmenü aus und klicken Sie dann auf Infrastruktur- VPC > Netzwerk > VPNs.

4. Klicken Sie in der rechten oberen Ecke der Seite auf Erstellen.

5. Klicken Sie im Abschnitt VPN-Typ auf Client-to-Site-Server.

   

   Der Abschnitt Standorte zeigt die Region, in der sich die VPC befindet und in der der VPN-Server bereitgestellt wird.

6. Geben Sie im Abschnitt 'Details' die folgenden Informationen an:

   • Name des VPN-Servers: Geben Sie einen Namen für den VPN-Server ein, z. B. my-vpn-server.

   • Ressourcengruppe: Wählen Sie eine Ressourcengruppe für den VPN-Server aus.

   • Tags- Fügen Sie optional Tags hinzu, um den Zugriff auf Ihre Ressourcen zu organisieren, Nutzungskosten zu verfolgen oder zu verwalten.

   • Zugriffsmanagementtags-Optional können Sie Zugriffsmanagementtags zu Ressourcen hinzufügen, um die Zugriffssteuerungsbeziehungen zu organisieren. Das einzige unterstützte Format für Zugriffsverwaltungstags ist key:value. Weitere Informationen finden Sie unter Zugriff auf Ressourcen mithilfe von Tags steuern.

   • Virtual Private Cloud: Wählen Sie die VPC für den VPN-Server aus.

   • IPv4-Adresspool für Client: Geben Sie einen CIDR-Bereich ein. Dem Client wird eine IP-Adresse aus diesem Adressenpool für seine Sitzung zugewiesen.

     

7. Geben Sie im Abschnitt 'Teilnetze' die folgenden Informationen an:

   • Wählen Sie einen VPN-Servermodus aus:

     • Hochverfügbarkeitsmodus: Stellt den VPN-Server über zwei Teilnetze in verschiedenen Zonen. bereit. Dieser Modus eignet sich am besten für Mehrzonenbereitstellungen und Lösungen, in denen der Zugriff auf das Client-VPN extrem wichtig ist.
     • Standalone-Modus: Stellt den VPN-Server in einem einzigen Teilnetz und einer einzelnen Zone bereit. Dieser Modus eignet sich am besten für Einzelzonenbereitstellungen, in denen die Verfügbarkeit mehrerer Zonen nicht erforderlich ist.

   • Geben Sie das Teilnetz (Standalone-Modus) oder die Teilnetze (Hochverfügbarkeitsmodus) für die VPC an.

     

8. Geben Sie im Abschnitt 'Authentifizierung' die folgenden Informationen an:

   • VPN-Serverauthentifizierung-Wählen Sie das SSL-Zertifikat des Servers aus Secrets Manageraus. Füllen Sie alle erforderlichen Felder aus.

     

   • Clientauthentifizierungsmodi: Wählen Sie diese Option aus, um die Benutzerauthentifizierung über die Verwendung eines Clientzertifikats, einer Benutzer-ID und eines Kenncodes oder beides zu konfigurieren.

     • Clientzertifikat: Sie können ein Clientzertifikat auswählen und eine Benutzer-ID und einen Kenncode für optimale Sicherheit konfigurieren. Eine Benutzer-ID und ein Passcode bieten eine zusätzliche Sicherheitsebene, die zusätzliche Anmeldedaten für den Kontozugang erfordert.

       Optional können Sie eine Zertifikatswiderrufsliste (Certificate Revocation List, CRL) im PEM-Format hochladen. Nachdem Sie eine CRL hochgeladen haben, wird die PEM-Datei als der Name des VPN-Servers angezeigt.

     • Benutzer-ID und Kenncode-Konfigurieren Sie die hinzugefügte Authentifizierung für VPN-Clientbenutzer. Diese Authentifizierungsmethode bietet eine zusätzliche Sicherheitsebene, die mit IBM Cloud IAM integriert wird, um die Client-Authentifizierung abzuschließen. Wenn die Authentifizierung abgeschlossen ist, gibt das System den Code zur Authentifizierung an den openVPN Client weiter.

     

9. Wählen Sie im Abschnitt 'Sicherheitsgruppen' mindestens eine Sicherheitsgruppe aus.

   Um eine oder mehrere Sicherheitsgruppen und ihre Regeln zu konfigurieren oder um optional Zugriffskontrolllisten (ACLs) auf dem Subnetz zu konfigurieren, in dem Sie den VPN-Server und andere VPC-Subnetze, die über den VPN-Tunnel kommunizieren, bereitstellen möchten, lesen Sie den Abschnitt Konfigurieren von ACLs zur Verwendung mit einem VPN-Server.

   

   Sie können Sicherheitsgruppen nach der Bereitstellung auf der Detailseite des VPN-Servers (Registerkarte "Sicherheitsgruppen") zuordnen.

10. Geben Sie im Abschnitt Zusätzliche Konfiguration die folgenden Informationen an:

    • IP-Adresse des DNS-Servers: Geben Sie optional eine oder zwei IP-Adressen des DNS-Servers für die Auflösung von Domänennamen an.

    • Inaktivitätszeitlimit für Sitzung (Sekunden): Wenn der VPN-Server keinen Datenverkehr verzeichnet, bevor dieses Intervall abläuft, wird die Verbindung automatisch getrennt. Dieser Wert kann zwischen 0 und 28800 Sekunden liegen. Der Standardwert ist 600 Sekunden.

    • Transportprotokoll: Wählen Sie eines der folgenden Protokolle aus und geben Sie einen gültigen VPN-Port ein (1 - 65535).

      • UDP ist ein verbindungsunabhängiges Protokoll, das eine Fehlerprüfung durchführt, aber fehlerhafte Pakete verwirft. UDP ist schneller als TCP.
      • TCP ist ein verbindungsorientiertes Protokoll mit Fehlerprüfung und Fehlerbehebung. TCP ist zuverlässiger als UDP.

    • Tunnelmodus: Geben Sie eine der folgenden Optionen an:

      • Full-Tunnel: Der gesamte Datenverkehr fließt über die VPN-Schnittstelle zum VPN-Tunnel.

      • Split-Tunnel: Der private Datenverkehr fließt über die VPN-Schnittstelle zum VPN-Tunnel und der öffentliche Datenverkehr fließt über die vorhandene LAN-Schnittstelle.

        

Erstellen eines VPN-Servers über die CLI

Bevor Sie beginnen, richten Sie Ihre CLI-Umgebung ein.

Um einen VPN-Server über die CLI zu erstellen, geben Sie den folgenden Befehl ein:

ibmcloud is vpn-server-create --subnets SUBNETS --client-ip-pool CLIENT_IP_POOL --cert CERT (--client-auth-methods certificate | username | certificate,username | username,certificate) [--client-ca CLIENT_CA] [--client-crl CLIENT_CRL] [--client-dns CLIENT_DNS] [--client-idle-timeout CLIENT_IDLE_TIMEOUT] [--enable-split-tunnel false | true] [--port PORT] [--protocol udp | tcp] [--security-group SECURITY_GROUP1 --security-group SECURITY_GROUP2 ...] [--name NAME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

Erstellen eines VPN-Servers mit der API

Gehen Sie folgendermaßen vor, um einen Client-to-Site-VPN-Server mit der API zu erstellen:

1. Richten Sie Ihre API-Umgebung mit den richtigen Variablen ein.

2. Speichern Sie weitere Variablen; die in den API-Befehlen verwendet werden sollen. Zum Beispiel:

   • ResourceGroupId - Suchen Sie die Ressourcengruppen-ID mithilfe des Befehls get resource groups und füllen Sie dann die Variable:

     export ResourceGroupId=<your_resourcegroup_id>
     

   • SubnetId - Suchen Sie die Teilnetz-ID mithilfe des Befehls get subnet und füllen Sie anschließend die Variable:

     export SubnetId=<your_subnet_id>
     

3. Wenn alle Variablen initialisiert sind, erstellen Sie den VPN-Server:

      curl -X POST "$vpc_api_endpoint/v1/vpn_servers?version=$api_version&generation=2" \
        -H "Authorization: $iam_token" \
        -d '{
           "certificate": {
               "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
            },
           "client_ip_pool": "192.168.50.0/22",
           "name": "my-new-vpn-server",
           "subnets": [
               {
                     "id": "0716-046c3fd3-1cc5-40f6-b0ad-bbc305308f6d"
               },
               {
                     "id": "0717-30ff71ff-3e90-42a9-aa93-96a062081f18"
               }
            ],
           "client_authentication": [
               {
                     "method": "certificate",
                     "client_ca": {
                        "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
                     }
               },
               {
                     "method": "username",
                     "identity_provider": {
                        "provider_type": "iam"
                     }
               }
            ]
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'