Creazione di un server VPN nella console

Per creare un server VPN client-to-site nella console:

1. Completare tutti i prerequisiti nella sezione "Prima di iniziare".

2. Dal browser, aprire la console IBM Cloud e accedere al proprio account.

3. Selezionare il menu di navigazione , quindi fare clic su Icona Infrastruttura > Rete > VPN.

4. Fare clic su Crea nella parte superiore destra della pagina.

5. Nella sezione Tipo VPN, fai clic su Client - to - site servers.

   

   La sezione Ubicazioni mostra la regione in cui si trova il VPC e in cui verrà eseguito il provisioning del server VPN.

6. Nella sezione Dettagli, specificare le seguenti informazioni:

   • Nome server VPN- Immettere un nome per il server VPN, ad esempio my-vpn-server.

   • Gruppo di risorse- Selezionare un gruppo di risorse per il server VPN.

   • Tag- Facoltativamente, aggiungi le tag per organizzare, tenere traccia dei costi di utilizzo o gestire l'accesso alle tue risorse.

   • Tag di gestione degli accessi- Facoltativamente, aggiungere tag di gestione degli accessi alle risorse per organizzare le relazioni di controllo degli accessi. L'unico formato supportato per le tag di gestione accessi è key:value. Per ulteriori informazioni, vedi Controllo dell'accesso alle risorse utilizzando le tag.

   • Virtual private cloud- seleziona il VPC per il server VPN.

   • Client IPv4 address pool- Immettere un intervallo CIDR. Al client viene assegnato un indirizzo IP per la relativa sessione da questo pool di indirizzi.

     

7. Nella sezione Sottoreti, specificare le seguenti informazioni:

   • Selezionare una modalità server VPN:

     • Modalità ad alta disponibilità - Distribuisce il server VPN su due sottoreti in zone diverse. Ideale per le distribuzioni su più zone e le soluzioni in cui l'accesso VPN al client è fondamentale.
     • Modalità stand-alone - Distribuisce il server VPN in una singola subnet e zona. Ideale per le distribuzioni su una singola zona, in cui la resilienza a più zone non è richiesta.

   • Specifica la sottorete (modalità autonoma) o le sottoreti (modalità HA) per il tuo VPC.

     

8. Nella sezione Autenticazione, specificare le seguenti informazioni:

   • Autenticazione server VPN- selezionare il certificato SSL del server da Secrets Manager. Completare tutti i campi obbligatori.

     

   • Modalità di autenticazione client- Selezionare questa opzione per configurare l'autenticazione utente mediante l'utilizzo di un certificato client, di un ID utente e di un codice di accesso o di entrambi.

     • Certificato client - È possibile selezionare un certificato client e configurare un ID utente e un codice di accesso per una sicurezza ottimale. L'ID utente e il codice di accesso costituiscono un ulteriore livello di sicurezza che richiede credenziali di accesso aggiuntive per l'accesso all'account.

       Facoltativamente, è possibile caricare un CRL (Certificate Revocation List) in formato PEM. Dopo aver caricato una CRL, il file PEM viene visualizzato come nome del server VPN.

     • ID utente e codice di accesso - Configurare l'autenticazione aggiunta per gli utenti client VPN. Questo metodo di autenticazione offre un ulteriore livello di sicurezza che si integra con IBM Cloud IAM per completare l'autenticazione client. Al termine dell'autenticazione, il sistema passa il codice al client openVPN per l'autenticazione.

     

9. Nella sezione Gruppi di sicurezza, selezionare almeno un gruppo di protezione.

   Per configurare uno o più gruppi di sicurezza e le relative regole o, facoltativamente, per configurare le liste di controllo degli accessi (ACL) sulla sottorete in cui si intende distribuire il server VPN e sulle altre sottoreti VPC che comunicano attraverso il tunnel VPN, vedere Configurazione delle ACL da utilizzare con un server VPN.

   

   Puoi collegare i gruppi di sicurezza dopo il provisioning dalla pagina dei dettagli del server VPN (scheda Gruppi di protezione).

10. Nella sezione Configurazione aggiuntiva, specificare le seguenti informazioni:

    • Indirizzo IP del server DNS- Facoltativamente, specificare uno o due indirizzi IP del server DNS per la risoluzione del nome dominio.

    • Sessione di timeout inattiva (secondi)- Se il server VPN non ha traffico prima dello scadere di questo intervallo, viene disconnesso automaticamente. Questo valore può variare da 0 a 28800 secondi. Il valore predefinito è 600 secondi.

    • Protocollo di trasporto- Selezionare uno dei seguenti protocolli e immettere una porta VPN valida (1 - 65535).

      • UDP è un protocollo senza connessione che esegue una verifica degli errori ma elimina i pacchetti con errori. Più rapido rispetto a TCP.
      • TCP è un protocollo orientato alla connessione con la verifica degli errori e il ripristino da essi. Più affidabile rispetto a UDP.

    • Modalità tunnel- Specificare uno dei seguenti:

      • Tunnel completo - Tutto il traffico scorre attraverso l'interfaccia VPN verso il tunnel VPN.

      • Tunnel diviso - Il traffico privato scorre attraverso l'interfaccia VPN verso il tunnel VPN, mentre il traffico pubblico scorre attraverso l'interfaccia LAN esistente.

        

Creazione di un server VPN dalla CLI

Prima di iniziare, configura il tuo ambiente CLI.

Per creare un server VPN dalla CLI, immetti il seguente comando:

ibmcloud is vpn-server-create --subnets SUBNETS --client-ip-pool CLIENT_IP_POOL --cert CERT (--client-auth-methods certificate | username | certificate,username | username,certificate) [--client-ca CLIENT_CA] [--client-crl CLIENT_CRL] [--client-dns CLIENT_DNS] [--client-idle-timeout CLIENT_IDLE_TIMEOUT] [--enable-split-tunnel false | true] [--port PORT] [--protocol udp | tcp] [--security-group SECURITY_GROUP1 --security-group SECURITY_GROUP2 ...] [--name NAME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

Creazione di un server VPN con l'API

Per creare un server VPN client - to - site con l'API, attieniti alla seguente procedura:

1. Configura il tuo ambiente API con le variabili corrette.

2. Memorizzare eventuali variabili aggiuntive da utilizzare nei comandi API; ad esempio:

   • ResourceGroupId- Trova l'ID gruppo di risorse utilizzando il comando get resource groups e popola la variabile:

     export ResourceGroupId=<your_resourcegroup_id>
     

   • SubnetId- Trova l'ID sottorete utilizzando il comando get subnet e popola la variabile:

     export SubnetId=<your_subnet_id>
     

3. Quando tutte le variabili vengono avviate, creare il server VPN:

      curl -X POST "$vpc_api_endpoint/v1/vpn_servers?version=$api_version&generation=2" \
        -H "Authorization: $iam_token" \
        -d '{
           "certificate": {
               "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
            },
           "client_ip_pool": "192.168.50.0/22",
           "name": "my-new-vpn-server",
           "subnets": [
               {
                     "id": "0716-046c3fd3-1cc5-40f6-b0ad-bbc305308f6d"
               },
               {
                     "id": "0717-30ff71ff-3e90-42a9-aa93-96a062081f18"
               }
            ],
           "client_authentication": [
               {
                     "method": "certificate",
                     "client_ca": {
                        "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
                     }
               },
               {
                     "method": "username",
                     "identity_provider": {
                        "provider_type": "iam"
                     }
               }
            ]
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'