Configuración de grupos de seguridad y NACL para su uso con un servidor VPN

Los grupos de seguridad y las listas de control de acceso a la red (NACL) se pueden configurar en la subred del servidor VPN donde se implementa el servidor VPN. También se pueden configurar en otras subredes VPC que se comunican a través del túnel VPN.

Si configura grupos de seguridad y NACL en la subred del servidor VPN, asegúrese de que se apliquen las siguientes reglas para permitir el tráfico del túnel VPN. Para obtener más información, consulte Acerca de los grupos de seguridad y Configuración de las ACL de red.

Si no especifica un grupo de seguridad al suministrar el servidor VPN, el grupo de seguridad predeterminado de la VPC se conecta al servidor VPN. Puede adjuntar otros grupos de seguridad al servidor VPN después de que su servidor haya sido aprovisionado.

Reglas para el tráfico del protocolo VPN

Los servidores VPN se pueden ejecutar en protocolos TCP o UDP. Puede especificar el protocolo y el puerto al suministrar el servidor VPN. Debe abrir el protocolo y el puerto correspondientes con las reglas del grupo de seguridad y NACL.

Reglas de grupo de seguridad para un servidor VPN
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound VPN server protocol Bloque de CIDR 0.0.0.0/0 VPN server port
outbound VPN server protocol Bloque de CIDR 0.0.0.0/0 VPN server port
Reglas NACL para un servidor VPN
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound VPN server protocol Cualquiera Cualquiera VPN server subnet VPN server port
outbound VPN server protocol VPN server subnet VPN server port Cualquiera Cualquiera

Por ejemplo, de forma predeterminada, el servidor VPN se ejecuta en el puerto UDP 443. Puede configurar el grupo de seguridad y las reglas NACL de la siguiente manera:

Información de configuración para las reglas de grupo de seguridad de un servidor VPN con protocolo y puerto predeterminados.
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound UDP Bloque de CIDR 0.0.0.0/0 443
outbound UDP Bloque de CIDR 0.0.0.0/0 443
Información de configuración para un NACL de un servidor VPN con protocolo y puerto por defecto
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound UDP Cualquiera Cualquiera VPN server subnet 443
outbound UDP VPN server subnet 443 Cualquiera Cualquiera

Reglas para el tráfico VPN con acción deliver de ruta

Cuando el cliente está conectado al servidor VPN, el servidor VPN elimina todo el tráfico procedente del cliente de forma predeterminada. Debe configurar la ruta VPN en el servidor VPN para permitir este tráfico. La acción de la ruta puede ser deliver o translate.

  • Cuando la acción es deliver, después de que el paquete se descifra del túnel, el paquete se reenvía directamente, por lo que la IP de origen del paquete es la IP del cliente de VPN, que es de la agrupación de IP del cliente.
  • Cuando la acción es translate, después de que el paquete se descifra del túnel, la dirección IP de origen del paquete se convierte en la IP privada del servidor VPN y, luego, se envía el paquete.

Tenga en cuenta qué CIDR debe especificarse al crear el grupo de seguridad y las reglas NACL.

Reglas de grupo de seguridad para una ruta de entrega VPN en el servidor VPN
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR VPN route destination CIDR Cualquiera
outbound TODOS Bloque de CIDR VPN route destination CIDR Cualquiera
Reglas NACL para una ruta de entrega VPN en la subred del servidor VPN
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS VPN route destination CIDR Cualquiera VPN server client IP pool Cualquiera
outbound TODOS VPN server client IP pool Cualquiera VPN route destination CIDR Cualquiera

Al mismo tiempo, debe configurar el grupo de seguridad y NACL en el servidor virtual VPC para desbloquear el tráfico del cliente VPN:

Reglas de grupo de seguridad para una ruta de entrega VPN en la interfaz de servidor virtual VPC
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR VPN server client IP pool Cualquiera
outbound TODOS Bloque de CIDR VPN server client IP pool Cualquiera
Reglas NACL para una ruta de entrega VPN en la subred del servidor virtual VPC
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS VPN server client IP pool Cualquiera VPN route destination CIDR Cualquiera
outbound TODOS VPN route destination CIDR Cualquiera VPN server client IP pool Cualquiera

Por ejemplo, si utiliza 172.16.0.0/20 como agrupación de IP de cliente al suministrar el servidor VPN y desea acceder a los recursos de la subred 10.240.128.0/24 desde el cliente de VPN, debe crear una ruta de VPN con el destino: 10.240.128.0/24 y la acción: deliver. También debe configurar el grupo de seguridad y las reglas NACL de la siguiente manera:

Reglas de grupo de seguridad para una ruta de entrega VPN en el servidor VPN
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR 10.240.128.0/24 Cualquiera
outbound TODOS Bloque de CIDR 10.240.128.0/24 Cualquiera
Reglas NACL para una ruta de entrega VPN en la subred del servidor VPN
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS 10.240.128.0/24 Cualquiera 172.16.0.0/20 Cualquiera
outbound TODOS 172.16.0.0/20 Cualquiera 10.240.128.0/24 Cualquiera
Reglas de grupo de seguridad para una ruta de entrega VPN en el servidor virtual VPC
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR 172.16.0.0/20 Cualquiera
outbound TODOS Bloque de CIDR 172.16.0.0/20 Cualquiera
Reglas NACL para una ruta de entrega VPN en la subred del servidor virtual VPC
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS 172.16.0.0/20 Cualquiera 10.240.128.0/24 Cualquiera
outbound TODOS 10.240.128.0/24 Cualquiera 172.16.0.0/20 Cualquiera

Reglas para el tráfico VPN con acción translate de ruta

Las reglas para la ruta de conversión de VPN son casi iguales a las de la ruta de entrega. La única diferencia es que la IP de origen del paquete se traduce a la IP privada del servidor VPN. Por lo tanto, debe utilizar la subred del servidor VPN en lugar del grupo de direcciones IP de los clientes del servidor VPN.

Si selecciona varias subredes al aprovisionar el servidor VPN, debe incluir todas las subredes en el grupo de seguridad y en las reglas NACL.

Reglas del grupo de seguridad para una ruta de conversión de VPN en el servidor VPN
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR VPN route destination CIDR Cualquiera
outbound TODOS Bloque de CIDR VPN route destination CIDR Cualquiera
Reglas NACL para una ruta de traducción VPN en la subred del servidor VPN
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS VPN route destination CIDR Cualquiera VPN server subnet CIDR Cualquiera
outbound TODOS VPN server subnet CIDR Cualquiera VPN route destination CIDR Cualquiera

Normalmente, el destino de la ruta de conversión de VPN está fuera de la VPC. Por ejemplo, es posible que desee utilizar un servidor VPN para acceder a la instancia de servidor virtual IBM de infraestructura clásica que se encuentra en la subred 10.187.190.0/26. Al mismo tiempo, debe configurar las reglas del firewall en el destino para desbloquear el tráfico procedente del cliente VPN.

En el ejemplo, las subredes 10.240.64.0/24 y 10.240.129.0/24 se utilizan cuando se aprovisiona el servidor VPN. La instancia de servidor virtual clásico a la que desea acceder desde el cliente VPN se encuentra en la subred 10.187.190.0/26 de la infraestructura IBM clásica. Debe crear una ruta VPN con destino: 10.187.190.0/26, acción: translate, y configurar el grupo de seguridad y las reglas NACL de la siguiente manera:

Reglas del grupo de seguridad para una ruta de conversión de VPN en el servidor VPN
Reglas de entrada/salida Protocolo Tipo de origen o destino Origen Valor
inbound TODOS Bloque de CIDR 10.187.190.0/26 Cualquiera
outbound TODOS Bloque de CIDR 10.187.190.0/26 Cualquiera
Reglas NACL para una ruta de traducción VPN en la subred del servidor VPN
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS 10.187.190.0/26 Cualquiera 10.240.64.0/24 Cualquiera
inbound TODOS 10.187.190.0/26 Cualquiera 10.240.129.0/24 Cualquiera
outbound TODOS 10.240.64.0/24 Cualquiera 10.187.190.0/26 Cualquiera
outbound TODOS 10.240.129.0/24 Cualquiera 10.187.190.0/26 Cualquiera
Reglas de cortafuegos para una ruta de conversión de VPN en el dispositivo de cortafuegos de destino (opcional)
Reglas de entrada/salida Protocolo IP de origen Puerto de origen IP de destino Puerto de destino
inbound TODOS 10.240.64.0/24 Cualquiera 10.187.190.0/26 Cualquiera
inbound TODOS 10.240.129.0/24 Cualquiera 10.187.190.0/26 Cualquiera
outbound TODOS 10.187.190.0/26 Cualquiera 10.240.64.0/24 Cualquiera
outbound TODOS 10.187.190.0/26 Cualquiera 10.240.129.0/24 Cualquiera