Sobre os gateways VPN de site para site

Recursos do VPN for VPC

O serviço de VPN for VPC site a site do IBM Cloud inclui os seguintes recursos:

MD-5 e SHA-1, 2 e 5 grupos DH e o algoritmo de criptografia 3-DES foram descontinuados em 20 de setembro de 2022 e não têm mais suporte no console.

• Autenticação - O IBM Cloud VPN for VPC suporta uma chave pré-compartilhada para a autenticação de peer da Fase 1. Os algoritmos de autenticação suportados para ambas as fases incluem SHA-256, SHA-384 e SHA-512.

• Alta disponibilidade - O IBM Cloud VPN for VPC é construído em dois dispositivos VPN para fornecer redundância de nível de dispositivo. Uma VPN baseada em políticas opera no modo Ativo-Em espera, com um único endereço IP de gateway de VPN compartilhado entre os membros, enquanto uma VPN baseada em rotas oferece os modos de redundância Ativo-Reserva e Ativo-Ativo, com dois endereços IP de gateway de VPN.

  No modo Active-Backup de uma VPN baseada em rota, dois túneis são configurados entre o gateway IBM e o gateway de VPN par. No entanto, o gateway IBM sempre usa o túnel com o IP público menor como o caminho de saída principal. O outro túnel, com o IP maior, atua como o caminho de saída secundário. Enquanto os dois túneis estiverem ativos, o tráfego da VPC IBM para a rede local passa pelo caminho de saída primário. Se o caminho de saída primário falhar, o tráfego mudará automaticamente para o caminho de saída secundário. Essa configuração é usada quando o recurso "Distribuir tráfego" não está ativado. O gateway VPN local também deve usar a mesma configuração para escolher o mesmo caminho preferencial. Saiba mais

• Detecção de par inativo — Mecanismo configurável para detectar a disponibilidade de um par IPsec.

• Diffie-Hellman (DH) - Protocolo de troca de chave usado na Fase 1 para gerar uma chave secreta compartilhada entre os peers de VPN. Opcionalmente, os usuários podem ativar o Perfect Forward Secrecy (PFS) e um Grupo DH para negociação de IPsec da Fase 2. IBM Cloud VPN para VPC suporta grupos DH 14-24 e 31.

• Criptografia — O IBM Cloud VPN para VPC oferece suporte a AES-128, AES-192 e AES-256 para criptografia de dados tanto durante a Fase 1 quanto durante a Fase 2 do IKE.

• Internet Key Exchange (IKE) - o IKE é uma parte do protocolo IPsec que é usado para estabelecer conexões VPN. No IKE Fase 1, os peers de VPN usam a troca de chave Diffie-Hellman (DH) para criar um canal de comunicação seguro e autenticado. No Fase 2 do IKE, os peers usam o canal seguro da Fase 1 para negociar parâmetros para os túneis do IPsec. O IBM Cloud VPN for VPC suporta ambos, IKEv1 (modo principal) e IKEv2. Consulte Sobre a negociação de política para obter as combinações suportadas.

• IPsec - Conjunto de protocolo que fornece comunicação segura entre os dispositivos. IBM Cloud VPN pois o VPC utiliza o recurso “ UDP ” para encapsular pacotes do Protocolo de Segurança de Encapsulamento (ESP) do IPsec no modo de túnel, o que oferece autenticação e criptografia de pacotes completos.

• Modos de gateway de VPN- o IBM Cloud VPN for VPC oferece modos de gateway de VPN baseados em políticas e em rotas.

  • VPN baseada em políticas - com uma VPN baseada em políticas, o tráfego que corresponde aos intervalos CIDR negociados com base em políticas de segurança definidas passa pela VPN.
  • VPN baseada em rotas — Numa VPN baseada em rotas, as interfaces de túnel virtuais são criadas com base nas entradas da tabela de roteamento, e todo o tráfego roteado para essas interfaces lógicas por meio de rotas personalizadas passa pela VPN. Ambas as opções de VPN fornecem os mesmos recursos. As VPNs baseadas em rotas também suportam conexões VPN estáticas e dinâmicas.
    • Conexão VPN estática- Na conexão estática baseada em rota, os usuários devem definir e configurar manualmente as rotas na tabela de roteamento. Para começar, selecione “Estático” como modo ao criar um gateway de VPN e crie rotas utilizando o tipo de conexão VPN.
    • Conexão VPN dinâmica- Na conexão dinâmica baseada em rota, as rotas são descobertas e gerenciadas automaticamente entre as redes usando o BGP, ao contrário do roteamento estático, que exige configuração manual. A configuração dinâmica oferece melhor escalabilidade, gerenciamento de rede e alta disponibilidade. Para começar, selecione dinâmico como o tipo de conexão quando você criar um gateway de VPN. Lembre-se de que você deve usar essa conexão junto com um gateway de trânsito. Consulte Considerações de planejamento para VPN dinâmica baseada em rota.

• Perfect Forward Secrecy (PFS) - o PFS garante que chaves geradas por DH não sejam usadas novamente durante uma renegociação de IPsec. Se uma chave estiver comprometida, apenas os dados em trânsito durante o tempo de vida da associação de segurança protegida estarão acessíveis.

Introdução aos gateways VPN

Antes de criar uma VPN, deve-se primeiro criar uma VPC e uma ou mais sub-redes para a VPN e outros recursos.

Embora não seja obrigatório, recomenda-se dedicar uma sub-rede de pelo menos 16 endereços IP (prefixo /28 ou menor) para o seu gateway de VPN. Se decidir fornecer recursos extras dentro da sub-rede VPN, certifique-se de que sempre haja pelo menos quatro IPs disponíveis para tarefas de recuperação e manutenção para uso pelo gateway VPN. Além dos quatro IPs requeridos pelo gateway VPN, até cinco IPs em uma sub-rede são reservados para uso interno da rede, portanto, certifique-se de que a sub-rede seja grande o suficiente.

Para criar um gateway VPN, siga estas etapas:

1. Certifique-se de que as ACLs de rede estejam configuradas para permitir que o tráfego da VPN flua entre sua rede local e o gateway IBM Cloud VPN.

2. Certifique-se de que seu dispositivo peer suporta NAT Traversal e que esteja ativado no dispositivo peer. Para obter mais informações, consulte Problemas conhecidos dos gateways de VPN.

3. Analise as considerações de planejamento e crie seu gateway de VPN.

4. Crie conexões VPN para estabelecer uma conexão entre o gateway VPN e sua rede local.

   O IBM Cloud VPN for VPC suporta apenas uma VPN baseada em rota por zona por VPC.

5. Para uma conexão VPN baseada em rota estática, selecione ou crie uma tabela de roteamento para roteamento estático e, em seguida, crie rotas usando o tipo de conexão VPN.

6. Para uma conexão VPN dinâmica baseada em rota, crie um gateway de trânsito e associe-o ao gateway de VPN. Se você tiver um gateway de trânsito existente, também poderá anexá-lo ao gateway VPN. Consulte “Adicionando uma conexão ”. Para obter informações sobre como criar uma conexão dinâmica baseada em rota com um gateway de trânsito, consulte os seguintes casos de uso:

   • Conexão VPN dinâmica baseada em rota de zona única com o Transit Gateway.
   • Conexão VPN dinâmica entre zonas, baseada em rotas, com Transit Gateway
   • Conexão VPN como alternativa à conexão direta.
   • VPN dinâmica baseada em rotas com alta disponibilidade e afinidade por zona.

7. Conecte-se a uma rede no local por meio de um túnel VPN.

8. Verifique se sua conexão VPN está disponível enviando um ping ou tráfego de dados pelo túnel para dispositivos que estejam na rede homóloga.

Arquitetura

Este diagrama ilustra uma configuração de VPN de exemplo com várias redes no local. A VPN é configurada em uma sub-rede dentro de uma VPC do usuário, mas pode ser compartilhada por instâncias em todas as sub-redes dentro da zona. As políticas IKE e IPsec também podem ser utilizadas por uma ou mais conexões VPN.

Sobre a negociação de política

Para ambas as fases de negociação do IKE, os peers IPsec devem trocar propostas de parâmetros de segurança que cada um está configurado para suportar e concordar com um conjunto de configurações. As políticas customizadas de IKE e IPsec permitem que os usuários do IBM Cloud VPN for VPC configurem esses parâmetros de segurança usados durante esta negociação.

O uso de políticas IKE e IPsec para configurar uma conexão de VPN é opcional. Quando uma política não é selecionada, as propostas padrão são escolhidas automaticamente por meio de um processo conhecido como negociação automática.

Os principais parâmetros de segurança que estão envolvidos nesse processo de negociação são os seguintes:

• Fase do IKE
• Algoritmo de criptografia
• Algoritmo de autenticação
• Grupo Diffie-Hellman (protocolo de troca de chave de criptografia)

Como a negociação automática da IBM Cloud usa IKEv2, o dispositivo no local também deve usar IKEv2. Use uma política IKE customizada se o dispositivo local não suportar IKEv2.

Casos de uso do VPN for VPC

Caso de uso 1: conexão VPN com um único dispositivo par remoto do mesmo tipo, associado a uma ou mais redes pares

As VPNs baseadas em rotas e baseadas em política permitem que os usuários se conectem a um único dispositivo de peer remoto associado a uma ou mais redes.

Este caso de uso não se aplica a conexões entre uma VPN baseada em política e uma VPN baseada em rota. Para obter mais informações, consulte Problemas conhecidos dos gateways de VPN.

Caso de uso 2: conexões VPN com vários dispositivos de peer remoto

Tanto as VPNs baseadas em políticas quanto as baseadas em rotas permitem que os usuários se conectem a vários dispositivos remotos associados a diferentes VPCs ou ambientes, utilizando várias conexões VPN.

..

Caso de uso 3: configuração avançada de VPN usando um FQDN

O caso de uso a seguir ilustra um cliente que tem uma VPC no IBM Cloud e deseja conectar seu site no local com um único gateway VPN. O gateway de VPN do site local está atrás de um dispositivo NAT e não tem endereço IP público. Nesse caso, você pode associar um FQDN (nome de domínio totalmente qualificado) ao endereço IP NATed. Em seguida, você pode usar esse FQDN em vez de um endereço IP ao criar uma conexão VPN. A identidade IKE local do gateway de VPN local é o endereço IP privado que ele possui. Um FQDN está associado ao endereço IP público do dispositivo NAT.

Caso de uso 4: distribuição de tráfego para uma VPN baseada em rota

Uma VPN baseada em rota vem com 2 IPs públicos. Você pode optar por se conectar a um ou ambos os IPs para redundância. Se quiser se conectar a um IP público, você pode escolher qualquer um deles. No entanto, se quiser se conectar a ambos os IPs públicos, você tem as seguintes opções:

Modo Active-Backup para uma conexão VPN baseada em rota

Nesse modo, apenas um túnel é usado a qualquer momento para rotear o tráfego da VPN pelo túnel.

A VPN sempre usa o túnel com o IP público menor como o caminho de saída principal. Quando o caminho de saída primário é desativado, o tráfego flui pelo caminho secundário. O motivo de usar apenas um túnel para rotear o tráfego é evitar o problema de roteamento assimétrico.

Por exemplo, quando ambos tunnel 1 e tunnel 2 estão ativos em uma conexão VPN baseada em rota estática e você cria uma rota com o destino 10.1.0.0/24 e a conexão VPN como o próximo salto, o IP privado 10.254.0.2 do dispositivo VPN é retornado para a criação da rota. Nesse modo, o tráfego de distribuição não está habilitado. O diagrama a seguir mostra a configuração padrão para uma conexão baseada em rota estática.

A filtragem do estado do protocolo em uma interface de rede virtual oferece opções para resolver o problema de roteamento assimétrico. Para obter mais informações, consulte Modo de filtragem do estado do protocolo.

O comportamento do modo de backup ativo para uma conexão VPN dinâmica baseada em rota é semelhante ao de uma conexão estática. No entanto, você não precisa criar rotas porque elas são descobertas automaticamente pelo gateway de trânsito. Nesse caso, apenas um túnel é usado para rotear o tráfego da VPN pelo túnel a qualquer momento. A VPN sempre usa o túnel com o IP público menor como o caminho de saída principal. Quando o caminho de saída primário é desativado, o tráfego flui pelo caminho secundário. A sub-rede na qual a instância do servidor virtual está localizada 10.255.0.0/24 deve ser diferente da sub-rede do gateway da VPN 10.254.0.0/24 para que o gateway de trânsito possa rotear o tráfego entre eles. O diagrama a seguir mostra a configuração padrão para uma conexão dinâmica baseada em rota.

Modo ativo-ativo para conexão VPN baseada em rota

Nesse modo, o tráfego de saída é roteado para os dois túneis dinamicamente.

Por exemplo, quando tunnel 1 e tunnel 2 estão ativos e você cria uma rota com o destino 10.1.0.0/24 e a conexão VPN como o próximo salto, os endereços IP privados 10.254.0.2 e 10.254.0.3 são retornados e o serviço de rede VPC cria duas rotas. Como essas rotas têm a mesma prioridade, o tráfego flui para tunnel 1 e tunnel 2 dinamicamente quando o próximo salto de uma rota VPC é a conexão VPN. Para realizar esse modo de redundância ativo-ativo, você deve ativar a caixa de seleção Distribuir tráfego ao criar ou adicionar conexões a um gateway de VPN. O diagrama a seguir mostra essa configuração para uma conexão baseada em rota estática.

Para usar esse recurso e obter maior desempenho da rede, o dispositivo local deve oferecer suporte ao roteamento assimétrico. Além disso, lembre-se de que nem todos os gateways de VPN no local são compatíveis com esse caso de uso. Por exemplo, se a saída e a entrada do tráfego VPN forem de túneis diferentes, o tráfego poderá ser bloqueado por dispositivos VPN ou firewalls locais.

O comportamento do modo ativo-ativo para uma conexão VPN dinâmica baseada em rota é semelhante ao de uma conexão estática baseada em rota. Quando você ativa a caixa de seleção Distribuir tráfego ao adicionar conexões a um gateway de VPN, o tráfego flui pelos dois túneis simultaneamente. O gateway de trânsito lida com a descoberta, o aprendizado e o gerenciamento de rotas. O diagrama a seguir mostra a configuração padrão para uma conexão dinâmica baseada em rota.

Caso de uso 5: conexão VPN baseada em rota dinâmica de zona única com Transit Gateway

Com a VPN dinâmica baseada em rota, você pode estabelecer uma conexão VPN de zona única entre sua VPC e sua rede privada local usando Transit Gateway. Essa configuração permite a descoberta automática de rotas, o fluxo de tráfego bidirecional e a troca dinâmica de rotas entre os dispositivos, o que simplifica o gerenciamento da rede e reduz a configuração manual.

Caso de uso 6: Conexão VPN baseada em rota dinâmica de VPN entre zonas com Transit Gateway

Para obter alta disponibilidade regional total para a conectividade VPN, você pode provisionar um gateway VPN em cada zona de disponibilidade e estabelecer conexões VPN separadas do gateway de trânsito para cada gateway VPN. Essa configuração ajuda a garantir a redundância entre zonas, permitindo o fluxo contínuo de pacotes e a troca dinâmica de rotas, mesmo que uma zona sofra uma falha.

Caso de uso 7: Conexão VPN como backup do link direto

Você pode anexar conexões de link direto e VPN a um gateway de trânsito para permitir alta disponibilidade e roteamento flexível. Quando você adiciona rotas ao gateway de VPN, o tráfego prefere o caminho do link direto ao caminho da VPN em condições normais. Se a conexão de link direto falhar, o tráfego será automaticamente transferido para a conexão VPN, o que ajuda a manter a conectividade ininterrupta entre as redes. Você deve configurar as preferências de roteamento BGP em sua extremidade para que o link direto seja priorizado em relação à VPN. Você pode configurar essa preferência de roteamento definindo um caminho AS mais curto para o link direto e um caminho AS mais longo para a VPN, de modo que o link direto tenha preferência.

Caso de uso 8: VPN dinâmica baseada em rota de alta disponibilidade com afinidade zonal

Você pode obter alta disponibilidade para uma configuração de VPN dinâmica e baseada em rota implantando gateways IBM Cloud VPN em várias zonas. Essa configuração introduz a afinidade zonal, o que significa que, quando uma conexão Power Virtual Server, Transit Gateway e VPN estão localizadas na mesma zona, o tráfego é roteado preferencialmente por essa zona. O tráfego é transferido para outra zona somente se o gateway de VPN na zona atual ficar indisponível.

O tráfego VPN é protegido com o uso do IPsec e a descoberta automática de rotas é ativada com o BGP. Sua rede local pode se conectar ao Power Virtual Servers por meio do gateway de trânsito. Conforme ilustrado no diagrama, dois túneis VPN são estabelecidos quando você cria uma conexão VPN dinâmica baseada em rota. Se você ativar a opção Distribuir tráfego, o tráfego fluirá dinamicamente por ambos os túneis, o que proporciona uma taxa de transferência mais alta.

Para definir essa configuração, siga estas etapas:

1. Provisione um gateway de VPN na Zona 1 e na Zona 3. Consulte Criação de um gateway de VPN.
2. Adicione uma conexão VPN ao gateway provisionado para se conectar à sua rede local. Consulte Adição de conexões a um gateway de VPN.
3. Configure uma conexão entre IBM Cloud VPN e Transit Gateway. Consulte Criação de um gateway de trânsito.

Links relacionados

Esses links fornecem informações adicionais sobre o IBM Cloud VPN for VPC:

• Referência de CLI da VPN
• Referência de API da VPN
• Referência de Terraforme VPN
• Gerenciando o acesso ao IAM para serviços de infraestrutura VPC
• eventos de rastreamento de atividade
• Logging for VPC
• Perguntas mais frequentes para gateways VPN
• Resolução de problemas de gateways VPN
• Cotas de gateway VPN