Quali tipi di connessioni VPN supporta IBM Cloud per le VPC?

IBM Cloud supporta i seguenti tipi di VPN per VPC:

• VPN da sito a sito: utilizzata per la connettività da rete a rete.
• VPN client-to-site: utilizzata per l'accesso remoto sicuro di singoli utenti.

Che cos'è IBM Cloud Client VPN for VPC (client-to-site)?

Client VPN for VPC consente ai singoli utenti di connettersi in modo sicuro al VPC da postazioni remote utilizzando un software client VPN, come OpenVPN. Questa configurazione è ideale per i dipendenti remoti o gli appaltatori che necessitano di un accesso crittografato alle risorse VPC. Per saperne di più, vedere gateway VPN client-to-site e IBM Cloud VPN per la pagina del prodotto VPC.

Perché utilizzare una VPN client-to-site piuttosto che una VPN site-to-site?

Utilizzate una VPN client-to-site quando singoli utenti necessitano di un accesso sicuro e crittografato da postazioni remote, ideale per scenari di lavoro a distanza o per appaltatori terzi. Utilizzate una VPN site-to-site per proteggere il trasferimento dei dati tra il vostro IBM Cloud VPC e altre reti private, supportando le architetture cloud ibride e la comunicazione tra reti.

Quali sono i casi d'uso tipici delle VPN client-to-site di IBM Cloud?

IBM Cloud client-to-site VPN for VPC è utile per l'accesso remoto della forza lavoro e per fornire connessioni sicure agli appaltatori. Vedere i casi d'uso delle VPN client-to-site.

Qual è il punto di partenza per impostare una VPN client-to-site per la mia VPC?

Per iniziare a configurare una VPN client-to-site per la VPC, è necessario creare un server VPN. Vedere Creazione di un server VPN.

Quante connessioni VPN client-to-site posso impostare per IBM Cloud VPC?

Per determinare il numero di connessioni per la VPN client-to-site, vedere Quote del server VPN.

Come posso monitorare i miei server VPN?

È possibile monitorare lo stato e l'attività dei server VPN utilizzando IBM Cloud Monitoring. Vedere Monitoraggio dei server VPN.

Dove posso trovare i dettagli dei prezzi per IBM Cloud client-to-site VPN for VPC?

Per trovare i dettagli sui prezzi di IBM Cloud client-to-site VPN for VPC, consultare la scheda Prezzi.

Cosa indica uno stato di integrità VPN?

Le descrizioni dello stato sono le seguenti:

• Healthy- Indica che il server VPN sta funzionando correttamente.
• Degraded- Indica che il tuo server VPN ha prestazioni, capacità o connettività compromesse.
• Faulted- Indica che il server VPN non è raggiungibile e non è operativo.
• Inapplicable- Indica che lo stato di integrità non si applica a causa dello stato corrente del ciclo di vita. Una risorsa con uno stato del ciclo di vita failed o deleting avrà uno stato di inapplicabile. Anche una risorsa Pending potrebbe avere questo stato.

Perché non posso salvare la password / passcode nel client VPN?

Il codice di accesso generato da IBM IAM è un codice di accesso unico basato sul tempo (TOTP), che non può essere riutilizzato. È necessario rigenerarla ogni volta.

Se aggiorno un server VPN con client VPN connessi, cosa succede ai client VPN?

I client VPN sono disconnessi insieme al server VPN. Tutti i client VPN devono riconnettersi nuovamente al server VPN. Quando si utilizza l'autenticazione con ID utente e codice di accesso, è necessario recuperare il codice di accesso e avviare la connessione dal client VPN.

Perché il client VPN è disconnesso?

L'amministratore del server VPN può specificare un tempo di inattività del client VPN. Quando non vi è traffico dal client VPN durante la finestra di tempo di inattività, il server VPN disconnette automaticamente il client. È necessario riavviare la sessione VPN dal client VPN se è disconnessa.

Se elimino un server VPN con client VPN connessi, cosa succede ai client VPN?

I client VPN sono disconnessi insieme al server VPN.

Cosa succede a un server VPN se si cerca di eliminare la sottorete su cui si trova il server VPN?

Non è possibile eliminare la sottorete se sono presenti server VPN.

Come posso aggiornare il gruppo di protezione a cui è collegato il server VPN?

1. Nel riquadro di navigazione, fare clic su VPN > Server client-to-site e selezionare il server VPN da aggiornare.
2. Fare clic su Gruppi di sicurezza allegati > Allega e selezionare il gruppo di sicurezza da allegare.

È possibile creare percorsi e utilizzare gli IP privati del server VPN come hop successivo?

No, non è possibile creare rotte e utilizzare gli indirizzi IP privati. Gli indirizzi IP privati non sono statici e possono cambiare in qualsiasi momento. Il servizio VPN for VPC aggiorna automaticamente le rotte nella tabella di instradamento VPC. Se si crea una tabella di routing VPC e si desidera che il servizio VPN for VPC inietti le rotte nella nuova tabella di routing, è necessario aggiungere il server VPN al flag accept routes from. È inoltre necessario rimuovere il server VPN dall'indicatore accept routes from se non si desidera che il server VPN inserisca gli instradamenti nella tabella di instradamento. Per ulteriori informazioni, vedi Configurazione della propagazione dell'instradamento per i server VPN.

Cosa succede a un server VPN se provo a eliminare il gruppo di sicurezza a cui è collegato il server VPN?

Non è possibile eliminare un gruppo di sicurezza se sono presenti server VPN.

Come si fa a passare una VPN client-to-site dalla modalità full tunnel alla modalità split tunnel?

Seguire i passaggi:

1. Nella console IBM Cloud, fai clic del menu di navigazione > infrastruttura > Rete > VPN.
2. Fare clic su Server client-sito e fare clic sul nome del server VPN da aggiornare.
3. Nei dettagli del server VPN, fare clic su Modifica e selezionare Split Tunnel nel menu Modalità tunnel.
4. Immettere gli indirizzi IP o gli intervalli di indirizzi specifici delle reti a cui si desidera accedere tramite la VPN.
5. Fare clic su Salva.

Perché devo scegliere le sottoreti durante il provisioning del server VPN?

Il server risiede nella sottorete VPN scelta. Un server VPN ha bisogno di due indirizzi IP privati disponibili in ogni sottorete per fornire alta disponibilità e manutenzione automatica. È preferibile utilizzare la sottorete dedicata per il server VPN di dimensione 8, dove la lunghezza del prefisso della sottorete è inferiore o uguale a 29. Con le sottoreti dedicate, puoi personalizzare il gruppo di sicurezza e l'ACL per una maggiore flessibilità del server VPN.

Il server VPN supporta configurazioni ad alta disponibilità?

Sì, supporta l'alta disponibilità in una configurazione Attiva / Attiva. Devi scegliere due sottoreti se vuoi distribuire un server VPN ad alta disponibilità con due domini di errore. È anche possibile aggiornare il server VPN autonomo in modalità alta disponibilità e retrocedere il server VPN alta disponibilità in modalità autonoma.

Ci sono limiti di velocità per i server VPN?

Un server VPN indipendente supporta fino a 600 Mbps di throughput di aggregazione. Un server VPN ad alta disponibilità supporta un massimo di 1200 Mbps di throughput di aggregazione. Fino a 150 Mbps di velocità di trasmissione per una singola connessione client (applicabile sia per server VPN autonomi che ad alta disponibilità).

Posso utilizzare un server VPN per l'infrastruttura classica IBM Cloud ?

Sì, è possibile utilizzare un server VPN per l'infrastruttura classica di IBM Cloud. Tuttavia, è necessario anche abilitare Classic Access sulla VPC o configurare IBM Cloud Transit Gateway per connettere la VPC in cui risiede il server VPN.

Quale client VPN è supportato?

Consultare Software client supportato per i dettagli.

Quale protocollo e porta posso utilizzare per il server VPN?

È possibile utilizzare UDP o TCP e qualsiasi numero di porta per eseguire il server VPN. UDP è consigliata perché fornisce prestazioni migliori; la porta 443 è consigliata perché altre porte potrebbero essere bloccate dai provider di servizi Internet. Se non riuscite a connettervi al server VPN dal vostro client VPN, potete provare TCP/443 perché è aperto su quasi tutti i provider di servizi Internet.

Quale azione di instradamento dovrei utilizzare?

L'azione dell'instradamento VPN dipende dalla destinazione dell'instradamento:

• Se la destinazione della rotta si trova nella VPC o in una subnet privata on-premises collegata tramite gateway VPN, l'azione della rotta può essere deliver, altrimenti è translate.
• Se si desidera bloccare il traffico dal client, utilizzare l'azione di instradamento drop per inoltrare il traffico di rete indesiderato o indesiderato a un percorso null o "black hole".
• Quando l'azione di instradamento è translate, l'IP di origine viene convertito nell'IP privato del server VPN prima che venga inviato dal server VPN. Questa azione significa che l'IP del vostro client VPN è invisibile ai dispositivi di destinazione.

Quali indirizzi IP del server DNS dovrei utilizzare?

Gli indirizzi IP del server DNS sono facoltativi quando esegui il provisioning di un server VPN. Dovresti utilizzare gli indirizzi IP 161.26.0.10 e 161.26.0.11 se vuoi accedere agli endpoint del servizio e agli endpoint IaaS dal tuo client. Per i dettagli, vedi Endpoint del servizio e EndpointIaaS.

Utilizza 161.26.0.7 e 161.26.0.8 se hai bisogno di risolvere i nomi DNS privati dal tuo client. Per ulteriori dettagli, consultare la sezione Informazioni su DNS Services.

Come faccio ad aggiornare il certificato per il server VPN?

Il server VPN non è a conoscenza degli aggiornamenti apportati a un certificato in Secrets Manager. È necessario reimportare il certificato con un CRN diverso, quindi aggiornare il server VPN con il nuovo CRN del certificato.

Posso utilizzare un nome host personalizzato per il server VPN?

Sì, puoi. Devi creare un record DNS CNAME e indirizzarlo al nome host del server VPN nel tuo provider DNS. Dopo di che, modificare il profilo client sostituendo direttamente remote 445df6c234345.us-south.vpn-server.appdomain.cloud con remote your-customized-hostname.com.

445df6c234345.us-south.vpn-server.appdomain.cloud è un nome host del server VPN di esempio.

Se utilizzi IBM Cloud Internet Services come provider DNS, consulta il record di tipo CNAME per informazioni su come aggiungere un record DNS CNAME.

Quali informazioni devo fornire in un caso di supporto IBM se ho bisogno di assistenza?

Fornire il seguente contenuto nel IBM:

1. Il tuo ID server VPN.

2. Il tuo client VPN e la versione del sistema operativo.

3. I log dal tuo client VPN.

4. L'intervallo di tempo in cui si è verificato il problema.

5. Se viene utilizzata l'autenticazione basata sull'ID utente, fornire il nome utente.

6. Se viene utilizzata l'autenticazione basata sul certificato, fornire il nome comune del certificato client.

   Per visualizzare il nome comune del certificato client, utilizzare il comando OpenSSLopenssl x509 -noout -text -in your_client_certificate_file nella subject sezione.

Come si assegna il ruolo VPN client utilizzando i tag di gestione degli accessi IAM nell'API?

Quando si gestisce l'accesso degli utenti utilizzando i tag di gestione degli accessi su una VPN client-to-site e si abilita la modalità UserId and Passcode per Client Authentication, è necessario associare al ruolo VPN Client un tag di accesso. In alternativa, il client VPN non può connettersi al server VPN. Per ulteriori informazioni, vedi Concessione agli utenti dell'accesso per contrassegnare le risorse abilitate a IAM utilizzando l'API e imposta role_id su crn:v1:bluemix:public:is::::serviceRole:VPNClient per concedere l'accesso.