Quels types de connexions VPN sont pris en charge par IBM Cloud pour les VPC?

IBM Cloud prend en charge les types de VPN suivants pour VPC :

• VPN de site à site: utilisé pour la connectivité de réseau à réseau.
• VPN client à site: utilisé pour sécuriser l'accès à distance des utilisateurs individuels.

Qu'est-ce que IBM Cloud Client VPN for VPC (client-to-site)?

Client VPN for VPC permet aux utilisateurs individuels de se connecter en toute sécurité à votre VPC à partir de sites distants en utilisant un logiciel client VPN, tel que OpenVPN. Cette configuration est idéale pour les employés distants ou les sous-traitants qui ont besoin d'un accès crypté aux ressources du VPC. Pour en savoir plus, voir passerelle VPN client-site et IBM Cloud VPN pour la page du produit VPC.

Pourquoi utiliser un VPN client à site plutôt qu'un VPN site à site?

Utilisez un VPN client à site lorsque des utilisateurs individuels ont besoin d'un accès sécurisé et crypté à partir de sites distants, ce qui est idéal pour les scénarios de travail à distance ou les entrepreneurs tiers. Utilisez un VPN de site à site pour sécuriser le transfert de données entre votre site IBM Cloud VPC et d'autres réseaux privés, en prenant en charge les architectures cloud hybrides et la communication inter-réseaux.

Quels sont les cas d'utilisation typiques du VPN client-site IBM Cloud?

IBM Cloud client-to-site VPN for VPC permet d'accéder à la main-d'œuvre à distance et de fournir des connexions sécurisées aux sous-traitants. Voir les cas d'utilisation du VPN client à site.

Quel est le point de départ pour mettre en place un VPN client à site pour mon VPC?

Pour commencer à configurer un VPN client à site pour votre VPC, vous devez créer un serveur VPN. Voir Création d'un serveur VPN.

Combien de connexions VPN client à site puis-je établir par IBM Cloud VPC?

Pour déterminer le nombre de connexions pour votre VPN client à site, voir Quotas de serveurs VPN.

Comment puis-je surveiller mes serveurs VPN?

Vous pouvez surveiller l'état et l'activité de vos serveurs VPN en utilisant IBM Cloud Monitoring. Voir Surveillance des serveurs VPN.

Où puis-je trouver les détails des prix pour IBM Cloud client-to-site VPN for VPC?

Pour connaître les tarifs de IBM Cloud client-to-site VPN for VPC, consultez l'onglet Tarifs.

Que signifie le statut d'intégrité d'un VPN ?

Les descriptions des statuts sont les suivantes :

• Healthy- Indique que votre serveur VPN fonctionne correctement.
• Degraded - Indique que votre serveur VPN présente des problèmes de performance, de capacité ou de connectivité.
• Faulted- Indique que votre serveur VPN est inaccessible et inopérant.
• Inapplicable - Indique que l'état de santé ne s'applique pas en raison de l'état en cours du cycle de vie. Une ressource dont l'état de cycle de vie est failed ou deleting aura un état de santé inapplicable. Une ressource Pending peut également avoir cet état.

Pourquoi ne puis-je pas enregistrer le mot de passe/code d'accès dans le client VPN ?

Le code d'accès généré par IBM IAM est un code d'accès unique basé sur le temps (TOTP), qui ne peut pas être réutilisé. Vous devez le régénérer chaque fois.

Si je mets à jour un serveur VPN avec des clients VPN connectés, que se passe-t-il pour les clients VPN ?

Les clients VPN sont déconnectés en même temps que le serveur VPN. Tous les clients VPN doivent se reconnecter au serveur VPN. Lorsque vous utilisez l'authentification par identifiant et code d'accès, vous devez récupérer le code d'accès et initier la connexion à partir de votre client VPN.

Pourquoi le client VPN est-il déconnecté ?

L'administrateur du serveur VPN peut spécifier un temps d'inactivité du client VPN. Lorsqu'il n'y a pas de trafic en provenance du client VPN pendant la fenêtre de temps d'inactivité, le serveur VPN déconnecte le client automatiquement. Vous devez réinitialiser la session VPN à partir de votre client VPN s'il est déconnecté.

Si je supprime un serveur VPN avec des clients VPN connectés, que se passe-t-il avec les clients VPN ?

Les clients VPN sont déconnectés en même temps que le serveur VPN.

Qu'arrive-t-il à un serveur VPN si j'essaie de supprimer le sous-réseau sur lequel se trouve le serveur VPN ?

Vous ne pouvez pas supprimer le sous-réseau si des serveurs VPN sont présents.

Comment puis-je mettre à jour le groupe de sécurité auquel mon serveur VPN est associé ?

1. Dans le volet de navigation, cliquez sur VPNs > Client-to-site servers, et sélectionnez le serveur VPN que vous souhaitez mettre à jour.
2. Cliquez sur Groupes de sécurité attachés > Attacher, et sélectionnez le groupe de sécurité que vous souhaitez attacher.

Puis-je créer des routes et utiliser les IP privées du serveur VPN comme prochain saut?

Non, vous ne pouvez pas créer de routes et utiliser les adresses IP privées. Les adresses IP privées ne sont pas statiques et peuvent changer à tout moment. Le service VPN for VPC met à jour automatiquement les routes dans la table de routage VPC. Si vous créez une table de routage VPC et que vous souhaitez que le service VPN for VPC injecte des routes dans la nouvelle table de routage, vous devez ajouter le serveur VPN au drapeau accept routes from. Vous devez également retirer le serveur VPN de l'indicateur accept routes from si vous ne souhaitez pas que le serveur VPN injecte des routes dans la table de routage. Pour plus d'informations, voir Configuration de la propagation de routes pour les serveurs VPN.

Qu'arrive-t-il à un serveur VPN si j'essaie de supprimer le groupe de sécurité auquel le serveur VPN est associé ?

Vous ne pouvez pas supprimer un groupe de sécurité si des serveurs VPN sont présents.

Comment faire passer un VPN client-site du mode tunnel complet au mode tunnel fractionné?

Suivez ces étapes :

1. Dans la console IBM Cloud, cliquez sur l'icône de Navigation > Infrastructure **> Réseau **> VPNs.
2. Cliquez sur Serveurs client à site et cliquez sur le nom du serveur VPN que vous souhaitez mettre à jour.
3. Dans les détails du serveur VPN, cliquez sur Edit et sélectionnez Split Tunnel dans le menu Tunnel mode.
4. Saisissez les adresses IP spécifiques ou les plages d'adresses des réseaux auxquels vous souhaitez accéder via le VPN.
5. Cliquez sur Sauvegarder.

Pourquoi dois-je choisir les sous-réseaux pendant la mise à disposition du serveur VPN ?

Le serveur réside dans le sous-réseau VPN que vous avez choisi. Un serveur VPN a besoin de deux adresses IP privées disponibles dans chaque sous-réseau pour assurer une haute disponibilité et une maintenance automatique. Il est préférable d'utiliser le sous-réseau dédié au serveur VPN de taille 8, où la longueur du préfixe du sous-réseau est inférieure ou égale à 29. Avec des sous-réseaux dédiés, vous pouvez personnaliser le groupe de sécurité et l'ACL pour une plus grande flexibilité du serveur VPN.

Le serveur VPN prend-il en charge les configurations à haute disponibilité ?

Oui, il prend en charge la haute disponibilité dans une configuration active-active. Vous devez choisir deux sous-réseaux si vous souhaitez déployer un serveur VPN à haute disponibilité avec deux domaines d'erreur. Vous pouvez également mettre à niveau le serveur VPN autonome vers le mode haute disponibilité et rétromigrer le serveur VPN à haute disponibilité vers le mode autonome.

Y a-t-il des limites de débit pour le serveur VPN ?

Un serveur VPN autonome peut prendre en charge jusqu'à 600 Mbps de débit d'agrégation. Un maximum de 1200 Mbps de débit d'agrégation est supporté par un serveur VPN à haute disponibilité. Jusqu'à 150 Mbit / s de débit pour une connexion client unique (applicable aux serveurs VPN autonomes et à haute disponibilité).

Puis-je utiliser un serveur VPN pour l'infrastructure IBM Cloud classic ?

Oui, vous pouvez utiliser un serveur VPN pour l'infrastructure classique IBM Cloud. Cependant, vous devez également activer l'accès classique sur le VPC, ou configurer IBM Cloud Transit Gateway pour connecter le VPC où réside le serveur VPN.

Quel client VPN est pris en charge ?

Pour plus d'informations, voir Logiciels clients pris en charge.

Quel protocole et quel port puis-je utiliser pour le serveur VPN ?

Vous pouvez utiliser UDP ou TCP et n'importe quel numéro de port pour exécuter le serveur VPN. Le port UDP est recommandé car il offre de meilleures performances ; le port 443 est recommandé car les autres ports peuvent être bloqués par les fournisseurs de services Internet. Si vous ne pouvez pas vous connecter au serveur VPN à partir de votre client VPN, vous pouvez essayer le port TCP/443 car il est ouvert sur presque tous les fournisseurs de services Internet.

Quelle action de route dois-je utiliser ?

L'action de la route VPN dépend de la destination de la route :

• Si la destination de l'itinéraire se trouve dans le VPC ou dans un sous-réseau privé sur site connecté par une passerelle VPN, l'action de l'itinéraire peut être deliver; sinon, il s'agit de translate.
• Si vous souhaitez bloquer le trafic en provenance du client, utilisez l'action de route drop pour transférer le trafic réseau non sollicité ou indésirable vers une route nulle ou "trou noir".
• Lorsque l'action de route est translate, l'adresse IP source est convertie en adresse IP privée du serveur VPN avant d'être envoyée par le serveur VPN. Cette action signifie que l'IP de votre client VPN est invisible pour les appareils de destination.

Quelles adresses IP de serveur DNS dois-je utiliser ?

Les adresses IP des serveurs DNS sont facultatives lorsque vous mettez à disposition un serveur VPN. Vous devez utiliser les adresses IP 161.26.0.10 et 161.26.0.11 si vous souhaitez accéder aux points d'extrémité de service et aux points d'extrémité IaaS depuis votre client. Pour plus de détails, voir Points d'extrémité de service et Points d'extrémité IaaS.

Utilisez 161.26.0.7 et 161.26.0.8 si vous devez résoudre des noms DNS privés depuis votre client. Pour plus d'informations, voir A propos de DNS Services.

Comment mettre à jour le certificat du serveur VPN ?

Le serveur VPN n'est pas informé des mises à jour apportées à un certificat sur Secrets Manager. Vous devez réimporter le certificat avec un CRN différent, puis mettre à jour le serveur VPN avec le nouveau CRN du certificat.

Puis-je utiliser un nom d'hôte personnalisé pour le serveur VPN?

Oui. Vous devez créer un enregistrement DNS CNAME et le pointer vers le nom d'hôte du serveur VPN dans votre fournisseur DNS. Ensuite, éditez le profil de client en remplaçant directement remote 445df6c234345.us-south.vpn-server.appdomain.cloud par remote your-customized-hostname.com.

445df6c234345.us-south.vpn-server.appdomain.cloud est un exemple de nom d'hôte de serveur VPN.

Si vous utilisez IBM Cloud Internet Services comme fournisseur DNS, consultez l'enregistrement de type CNAME pour savoir comment ajouter un enregistrement DNS CNAME.

Quelles informations dois-je fournir dans un dossier de support IBM si j'ai besoin d'aide ?

Indiquez les informations suivantes dans votre cas de support IBM :

1. Votre ID de serveur VPN.

2. La version de votre client VPN et de votre système d'exploitation.

3. Les journaux de votre client VPN.

4. La période pendant laquelle vous avez rencontré le problème.

5. Si l'authentification basée sur l'ID de l'utilisateur est utilisée, indiquez le nom d'utilisateur.

6. Si l'authentification basée sur un certificat est utilisée, indiquez le nom commun de votre certificat client.

   Pour afficher le nom commun de votre certificat client, utilisez la commande OpenSSL openssl x509 -noout -text -in your_client_certificate_file dans la section subject.

Comment attribuer le rôle VPN client en utilisant les balises de gestion d'accès IAM dans l'API?

Lorsque vous gérez l'accès des utilisateurs à l'aide de balises de gestion des accès sur un VPN client-site et que vous activez le mode UserId and Passcode pour Client Authentication, vous devez associer le rôle VPN Client à une balise d'accès. Sinon, le client VPN ne peut pas se connecter au serveur VPN. Pour plus d'informations, voir Octroi aux utilisateurs de l'accès à l'étiquette des ressources activées pour IAM à l'aide de l'API et définition de role_id sur crn:v1:bluemix:public:is::::serviceRole:VPNClient pour accorder l'accès.