Règles pour le trafic du protocole VPN

Les serveurs VPN peuvent fonctionner avec le protocole TCP ou UDP. Vous pouvez spécifier le protocole et le port lorsque vous mettez à disposition le serveur VPN. Vous devez ouvrir le protocole et le port correspondants avec les règles du groupe de sécurité et NACL.

Par exemple, par défaut, le serveur VPN fonctionne sur le port UDP 443. Vous pouvez configurer le groupe de sécurité et les règles NACL comme suit :

Règles pour le trafic VPN avec action deliver de routage

Lorsque le client est connecté au serveur VPN, ce dernier supprime par défaut tout le trafic provenant du client. Vous devez configurer la route VPN sur le serveur VPN pour autoriser ce trafic. L'action de la route peut être soit deliver soit translate.

• Lorsque l'action est deliver, après le déchiffrement du paquet à partir du tunnel, le paquet est transmis directement. L'adresse IP source du paquet est l'adresse IP du client VPN, qui provient du pool d'adresses IP du client.
• Lorsque l'action est translate, après le déchiffrement du paquet à partir du tunnel, l'adresse IP source du paquet est convertie en adresse IP privée du serveur VPN, puis le paquet est envoyé.

Notez quel CIDR doit être spécifié lorsque vous créez le groupe de sécurité et les règles NACL.

Dans le même temps, vous devez configurer le groupe de sécurité et la liste NACL sur le serveur virtuel VPC afin de débloquer le trafic provenant du client VPN :

Par exemple, si vous utilisez 172.16.0.0/20 comme pool d'adresses IP client lorsque vous mettez à disposition le serveur VPN, et que vous souhaitez accéder aux ressources du sous-réseau 10.240.128.0/24 à partir du client VPN, vous devez créer une route VPN avec la destination : 10.240.128.0/24 et l'action : deliver. Vous devez également configurer les règles du groupe de sécurité et NACL comme suit :

Règles pour le trafic VPN avec action translate de routage

Les règles pour la route de conversion VPN sont presque identiques à la route de livraison. La seule différence est que l'adresse IP source du paquet est traduite en adresse IP privée du serveur VPN. Par conséquent, vous devez utiliser le sous-réseau du serveur VPN au lieu du pool d'adresses IP client du serveur VPN.

Si vous sélectionnez plusieurs sous-réseaux lors de la configuration du serveur VPN, vous devez inclure tous les sous-réseaux dans le groupe de sécurité et les règles NACL.

Normalement, la destination de la route de conversion VPN est hors du VPC. Par exemple, vous pouvez utiliser un serveur VPN pour accéder à l'instance de serveur IBM virtuel d'infrastructure classique qui se trouve dans le sous-réseau 10.187.190.0/26. Dans le même temps, vous devez configurer les règles du pare-feu sur la destination afin de débloquer le trafic provenant du client VPN.

Dans l'exemple, les sous-réseaux 10.240.64.0/24 et 10.240.129.0/24 sont utilisés lorsque le serveur VPN est provisionné. L'instance de serveur virtuel classique à laquelle vous souhaitez accéder à partir du client VPN se trouve dans le sous-réseau 10.187.190.0/26 de l'infrastructure IBM classique. Vous devez créer une route VPN avec la destination : 10.187.190.0/26, l'action : translate, et configurer le groupe de sécurité et les règles NACL comme suit :