VPN for VPC caratteristiche

Il servizio IBM Cloud site-to-site VPN for VPC include le seguenti caratteristiche:

• Autenticazione- IBM Cloud VPN for VPC supporta una chiave pre-condivisa per l'autenticazione dei peer di fase 1. Gli algoritmi di autenticazione supportati per entrambe le fasi sono SHA-256, SHA-384 e SHA-512.

• Alta disponibilità- IBM Cloud VPN for VPC è costruito su due dispositivi VPN per fornire ridondanza a livello di appliance. Una VPN basata su policy opera in modalità Active-Standby con un singolo IP gateway VPN condiviso tra i membri, mentre una VPN basata su route offre sia la modalità di ridondanza Active-Backup che Active-Active con due IP gateway VPN.

  Nella modalità Active-Backup per una VPN route-based, vengono creati due tunnel tra il gateway IBM e il gateway VPN peer. Tuttavia, il gateway IBM utilizza sempre il tunnel con l'IP pubblico più piccolo come percorso di uscita primario. L'altro tunnel, con l'IP più grande, funge da percorso di uscita secondario. Finché entrambi i tunnel sono attivi, il traffico dalla VPC IBM alla rete on-premise passa attraverso il percorso di uscita primario. Se il percorso di uscita primario si guasta, il traffico passa automaticamente al percorso di uscita secondario. Questa impostazione viene utilizzata quando la funzione "Distribuisci traffico" non è abilitata. Anche il gateway VPN on-premise deve utilizzare la stessa configurazione per scegliere lo stesso percorso preferito. Ulteriori informazioni

• Rilevamento del peer morto- Meccanismo configurabile per rilevare la disponibilità di un peer IPsec.

• Diffie - Hellman (DH)- Protocollo di scambio di chiavi utilizzato nella Fase 1 per generare una chiave segreta condivisa tra peer VPN. Facoltativamente, gli utenti possono abilitare PFS (Perfect Forward Secrecy) e un gruppo DH per la negoziazione IPsec fase 2. IBM Cloud VPN per VPC supporta i gruppi DH 14-24 e 31.

• Crittografia- IBM Cloud VPN for VPC supporta AES-128, AES-192 e AES-256 per la crittografia dei dati durante la Fase 1 e la Fase 2 di IKE.

• IKE (Internet Key Exchange)- IKE è una parte del protocollo IPsec utilizzato per stabilire connessioni VPN. In IKE Phase 1, i peer VPN utilizzano lo scambio di chiavi DH (Diffie - Hellman) per creare un canale di comunicazione sicuro e autenticato. Nella fase 2 IKE, i peer utilizzano un canale sicuro dalla fase 1 per negoziare parametri per i tunnel IPsec. IBM Cloud VPN for VPC supporta sia IKEv1 (modalità principale) che IKEv2. Consultare Informazioni sulla negoziazione della politica per le combinazioni supportate.

• IPsec- Suite di protocolli che fornisce comunicazioni sicure tra le periferiche. IBM Cloud VPN per VPC utilizza UDP Incapsulamento dei pacchetti IPsec Encapsulating Security Protocol (ESP) in modalità tunnel, che offre l'autenticazione e la crittografia dell'intero pacchetto.

• Modalità gateway VPN- IBM Cloud VPN for VPC offre modalità gateway VPN basate su criteri e rotte.

  • VPN basata su criteri- Con una VPN basata su criteri, il traffico che corrisponde agli intervalli CIDR negoziati in base ai criteri di sicurezza definiti passa attraverso la VPN.
  • VPN basata sulle rotte- Per una VPN basata sulle rotte, le interfacce tunnel virtuali vengono create in base alle voci della tabella di routing e tutto il traffico instradato verso queste interfacce logiche con rotte personalizzate passa attraverso la VPN. Entrambe le opzioni VPN forniscono le stesse funzionalità. Le VPN basate sulle rotte supportano inoltre connessioni VPN statiche e dinamiche.
    • Connessione VPN statica- Nella connessione basata su percorsi statici, gli utenti devono definire e configurare manualmente i percorsi nella tabella di routing. Per iniziare, selezionare Statica come modalità quando si crea un gateway VPN e creare percorsi utilizzando il tipo di connessione VPN.
    • Connessione VPN dinamica- Nella connessione basata su percorsi dinamici, i percorsi vengono scoperti e gestiti automaticamente tra le reti utilizzando BGP, a differenza del routing statico che richiede una configurazione manuale. La configurazione dinamica offre una migliore scalabilità, gestione della rete e alta disponibilità. Per iniziare, selezionare dinamico come tipo di connessione quando si crea un gateway VPN. Tenete presente che questa connessione deve essere utilizzata insieme a un gateway di transito. Vedere Considerazioni sulla pianificazione di una VPN basata su percorsi dinamici.

• PFS (Perfect Forward Secrecy)- PFS garantisce che le chiavi generate da DH non vengano utilizzate di nuovo durante la rinegoziazione IPsec. Se una chiave è compromessa, sono accessibili solo i dati in transito nel corso della durata dell'associazione della sicurezza protetta.

Introduzione ai gateway VPN

Prima di creare una VPN, devi prima creare un VPC e una o più sottoreti per la tua VPN e altre risorse.

Sebbene non sia obbligatorio, si consiglia di dedicare al gateway VPN una sottorete di almeno 16 IP (prefisso /28 o inferiore). Se decidi di eseguire il provisioning di risorse aggiuntive all'interno della sottorete VPN, assicurati che ci siano sempre almeno 4 IP disponibili per le attività di recupero e manutenzione per l'utilizzo da parte del gateway VPN. In aggiunta ai 4 IP necessari al gateway VPN, fino a 5 IP in una sottorete sono riservati per l'utilizzo della rete interna, quindi assicurati che la sottorete sia abbastanza grande.

Per creare un gateway VPN, attieniti alla seguente procedura generale:

1. Assicurarsi che le ACL di rete siano configurate in modo da consentire il flusso del traffico VPN tra la rete on-premises e il gateway IBM Cloud VPN.

2. Assicurati che il dispositivo peer supporti l'attraversamento NAT e che sia abilitato sul dispositivo peer. Per ulteriori informazioni, vedere Problemi noti per i gateway VPN.

3. Rivedere le considerazioni sulla pianificazione e creare il gateway VPN.

4. Creare connessioni VPN per stabilire una connessione tra il gateway VPN e la rete locale.

   IBM Cloud VPN per VPC supporta solo una VPN basata su route per zona per VPC.

5. Per una connessione VPN basata su percorsi statici, selezionare o creare una tabella di routing per il routing statico, quindi creare percorsi utilizzando il tipo di connessione VPN.

6. Per una connessione VPN dinamica basata su percorso, creare un gateway di transito e associarlo al gateway VPN. Se si dispone di un gateway di transito esistente, è possibile collegarlo al gateway VPN. Vedi la sezione " Aggiunta di una connessione ". Per informazioni sulla creazione di una connessione dinamica basata su percorso con un gateway di transito, consultare i seguenti casi d'uso:

   • Connessione VPN dinamica basata su percorso a zona singola con Transit Gateway.
   • Connessione VPN dinamica tra zone diverse basata su percorsi con Transit Gateway
   • Connessione VPN come soluzione di riserva rispetto al collegamento diretto.
   • VPN dinamica ad alta disponibilità basata su percorsi con affinità zonale.

7. Connetti a una rete in loco tramite un tunnel VPN.

8. Verificate che la connessione VPN sia disponibile inviando un ping o del traffico dati attraverso il tunnel a dispositivi che si trovano sulla rete peer.

Architettura

Questo diagramma illustra una configurazione VPN di esempio con più reti in loco. La VPN è configurata su una sottorete all'interno del VPC di un utente, ma può essere condivisa dalle istanze su tutte le sottoreti all'interno della zona. I criteri IKE e IPsec possono essere utilizzati anche da una o più connessioni VPN.

Informazioni sulla negoziazione delle politiche

Per entrambe le fasi della negoziazione IKE, i peer IPsec devono scambiare proposte di parametri di sicurezza che ognuno è configurato per supportare e per concordare una serie di configurazioni. I criteri IKE e IPsec personalizzati consentono agli utenti di IBM Cloud VPN for VPC di configurare i parametri di sicurezza utilizzati durante la negoziazione.

L'utilizzo delle politiche IKE e IPsec per configurare una connessione VPN è facoltativo. Quando non viene selezionata alcuna politica, vengono scelte automaticamente delle proposte predefinite attraverso un processo noto come “auto-negoziazione ”.

I principali parametri di sicurezza coinvolti in questo processo di negoziazione sono i seguenti:

• Fase IKE
• Algoritmo di crittografia
• Algoritmo di autenticazione
• Gruppo Diffie - Hellman (protocollo di scambio chiavi di cifratura)

Poiché la negoziazione automatica di IBM Cloud utilizza IKEv2, anche il dispositivo in loco deve utilizzare IKEv2. Utilizza una politica IKE personalizzata se il tuo dispositivo in loco non supporta IKEv2.

Casi di utilizzo di VPN for VPC

Caso d'uso 1: connessione VPN a un singolo dispositivo peer remoto dello stesso tipo associato a una o più reti peer

Sia le VPN basate sull'instradamento che quelle basate sulla politica consentono agli utenti di connettersi a un singolo dispositivo peer remoto associato a una o più reti.

Questo caso d'uso non è applicabile alle connessioni tra una VPN basata su criteri e una VPN basata su percorsi. Per ulteriori informazioni, vedere Problemi noti per i gateway VPN.

Caso di utilizzo 2: connessioni VPN a più dispositivi peer remoti

Sia le VPN basate su criteri che quelle basate su rotte consentono agli utenti di connettersi a più dispositivi peer remoti associati a VPC o ambienti diversi utilizzando più connessioni VPN.

Caso d'uso 3: configurazione avanzata della VPN utilizzando un FQDN

Il seguente caso di utilizzo illustra un cliente che ha un VPC in IBM Cloud e desidera connettere il proprio sito in loco con un singolo gateway VPN. Il gateway VPN del sito in sede si trova dietro un dispositivo NAT e non ha un indirizzo IP pubblico. In questo caso, è possibile associare un FQDN (fully qualified domain name) all'indirizzo IP NATed. È quindi possibile utilizzare questo FQDN al posto di un indirizzo IP quando si crea una connessione VPN. L'identità IKE locale del gateway VPN on-premises è l'indirizzo IP privato che possiede. Un FQDN è associato all'indirizzo IP pubblico della periferica NAT.

Caso d'uso 4: Distribuzione del traffico per una VPN basata sulle rotte

Una VPN basata su route viene fornita con 2 IP pubblici. È possibile scegliere di connettersi a uno o a entrambi gli IP per ridondanza. Se si desidera connettersi a un IP pubblico, è possibile scegliere uno dei due. Tuttavia, se si desidera connettersi a entrambi gli IP pubblici, sono disponibili le seguenti opzioni:

Modalità Active-Backup per una connessione VPN basata su percorso

In questa modalità, viene utilizzato solo 1 tunnel in qualsiasi momento per instradare il traffico VPN sul tunnel.

La VPN utilizza sempre il tunnel con l'IP pubblico più piccolo come percorso di uscita primario. Quando il percorso di uscita primario è disattivato, il traffico scorre attraverso il percorso secondario. Il motivo per cui si utilizza un solo tunnel per instradare il traffico è quello di evitare il problema dell'instradamento asimmetrico.

Ad esempio, quando entrambi i siti tunnel 1 e tunnel 2 sono attivi in una connessione VPN basata su una rotta statica e si crea una rotta con destinazione 10.1.0.0/24 e la connessione VPN come hop successivo, l'IP privato 10.254.0.2 dell'appliance VPN viene restituito per la creazione della rotta. In questa modalità, la distribuzione del traffico non è abilitata. Il diagramma seguente illustra la configurazione predefinita per una connessione basata su una rotta statica.

Il filtraggio dello stato del protocollo su un'interfaccia di rete virtuale offre opzioni per risolvere il problema del routing asimmetrico. Per ulteriori informazioni, vedere Modalità di filtraggio dello stato del protocollo.

Il comportamento della modalità di backup attivo per una connessione VPN dinamica basata su route è simile a quello di una connessione statica. Tuttavia, non è necessario creare rotte, perché vengono scoperte automaticamente dal gateway di transito. In questo caso, viene utilizzato solo 1 tunnel per instradare il traffico VPN sul tunnel in qualsiasi momento. La VPN utilizza sempre il tunnel con l'IP pubblico più piccolo come percorso di uscita primario. Quando il percorso di uscita primario è disattivato, il traffico scorre attraverso il percorso secondario. La sottorete in cui è collocata l'istanza del server virtuale 10.255.0.0/24 deve essere diversa dalla sottorete del gateway VPN 10.254.0.0/24 affinché il gateway di transito instradi il traffico tra di esse. Il diagramma seguente illustra la configurazione predefinita per una connessione basata su una rotta dinamica.

Modalità attiva-attiva per la connessione VPN basata su percorso

In questa modalità, il traffico in uscita viene instradato verso i 2 tunnel in modo dinamico.

Ad esempio, quando sia tunnel 1 che tunnel 2 sono attivi e si crea una rotta con destinazione 10.1.0.0/24 e connessione VPN come hop successivo, gli indirizzi IP privati 10.254.0.2 e 10.254.0.3 vengono restituiti e il servizio di rete VPC crea 2 rotte. Poiché queste rotte hanno la stessa priorità, il traffico fluisce verso tunnel 1 e tunnel 2 in modo dinamico quando l'hop successivo di una rotta VPC è la connessione VPN. Per realizzare questa modalità di ridondanza attiva-attiva, è necessario attivare la casella di controllo Distribuisci traffico quando si creano o si aggiungono connessioni a un gateway VPN. Il diagramma seguente illustra questa configurazione per una connessione basata su una rotta statica.

Per utilizzare questa funzione e ottenere prestazioni di rete superiori, il dispositivo on-premises deve supportare il routing asimmetrico. Inoltre, tenete presente che non tutti i gateway VPN on-premise supportano questo caso d'uso. Ad esempio, se il traffico VPN in entrata e in uscita proviene da tunnel diversi, il traffico potrebbe essere bloccato da dispositivi VPN o firewall in sede.

Il comportamento della modalità attivo-attivo per una connessione VPN dinamica basata su route è simile a quello di una connessione statica basata su route. Quando si attiva la casella di controllo Distribuisci traffico quando si aggiungono connessioni a un gateway VPN, il traffico scorre attraverso entrambi i tunnel contemporaneamente. Il gateway di transito gestisce la scoperta, l'apprendimento e la gestione del percorso. Il diagramma seguente illustra la configurazione predefinita per una connessione basata su una rotta dinamica.

Caso d'uso 5: Connessione VPN dinamica a zona singola basata su route con Transit Gateway

Con la VPN dinamica basata su route, è possibile stabilire una connessione VPN a zona singola tra la VPC e la rete privata on-premise utilizzando Transit Gateway. Questa configurazione consente il rilevamento automatico dei percorsi, il flusso di traffico bidirezionale e lo scambio dinamico di percorsi tra i dispositivi, semplificando la gestione della rete e riducendo la configurazione manuale.

Caso d'uso 6: Connessione VPN cross-zone dinamica basata su route con Transit Gateway

Per ottenere un'alta disponibilità regionale completa per la connettività VPN, è possibile fornire un gateway VPN in ciascuna zona di disponibilità e stabilire connessioni VPN separate dal gateway di transito a ciascun gateway VPN. Questa configurazione contribuisce a garantire la ridondanza tra le zone, consentendo il flusso continuo dei pacchetti e lo scambio dinamico dei percorsi anche se una zona subisce un guasto.

Caso d'uso 7: Connessione VPN come backup del collegamento diretto

È possibile collegare a un gateway di transito sia connessioni dirette che VPN per consentire un'elevata disponibilità e un instradamento flessibile. Quando si aggiungono percorsi al gateway VPN, in condizioni normali il traffico preferisce il percorso del collegamento diretto rispetto al percorso VPN. Se la connessione diretta si interrompe, il traffico passa automaticamente alla connessione VPN, contribuendo a mantenere una connettività ininterrotta tra le reti. È necessario configurare le preferenze di routing BGP in modo che il collegamento diretto sia prioritario rispetto alla VPN. È possibile configurare questa preferenza di routing impostando un percorso AS più breve per il collegamento diretto e un percorso AS più lungo per la VPN, in modo da preferire il collegamento diretto.

Caso d'uso 8: VPN dinamica ad alta disponibilità basata su route con affinità zonale

È possibile ottenere un'elevata disponibilità per una configurazione VPN dinamica basata su percorsi distribuendo i gateway IBM Cloud VPN in più zone. Questa configurazione introduce l'affinità zonale, il che significa che quando un sito Power Virtual Server, Transit Gateway e una connessione VPN si trovano tutti nella stessa zona, il traffico viene instradato preferenzialmente attraverso quella zona. Il traffico viene spostato in un'altra zona solo se il gateway VPN della zona corrente diventa indisponibile.

Il traffico VPN è protetto da IPsec e il rilevamento automatico delle rotte è abilitato con BGP. La rete locale può collegarsi a Power Virtual Servers attraverso il gateway di transito. Come illustrato nel diagramma, quando si crea una connessione VPN dinamica basata sulle rotte vengono creati due tunnel VPN. Se si attiva l'opzione Distribuisci traffico, il traffico scorre dinamicamente attraverso entrambi i tunnel, garantendo un throughput più elevato.

Per impostare questa configurazione, procedere come segue:

1. Predisporre un gateway VPN nella Zona 1 e nella Zona 3. Vedere Creazione di un gateway VPN.
2. Aggiungere una connessione VPN al gateway fornito per connettersi alla rete locale. Vedere Aggiunta di connessioni a un gateway VPN.
3. Impostare una connessione tra IBM Cloud VPN e Transit Gateway. Vedere Creazione di un gateway di transito.

Link correlati

Questi link forniscono ulteriori informazioni su IBM Cloud VPN for VPC:

• Riferimento CLI VPN
• Riferimento API VPN
• Riferimento Terraform VPN
• Gestione dell'accesso IAM per i servizi infrastrutturali VPC
• eventi di traccia dell'attività
• Registrazione per VPC
• FAQ per gateway VPN
• Risoluzione dei problemi relativi ai gateway VPN
• Quote gateway VPN