在控制台中创建 VPN 服务器

在控制台中创建客户端到站点 VPN 服务器：

1. 完成“开始之前”部分中的所有先决条件。

2. 从浏览器打开 IBM Cloud 控制台并登录账户。

3. 选择导航菜单 ，然后单击基础设施 > 网络 > VPN。

4. 单击页面右上角的 创建。

5. 在“VPN 类型”部分中，单击 客户机到站点服务器。

   

   “位置”部分显示 VPC 所在的区域以及将供应 VPN 服务器的位置。

6. 在详细信息部分，请指定以下信息：

   • VPN 服务器名称-输入 VPN 服务器的名称，例如 my-vpn-server。

   • 资源组- 为 VPN 服务器选择一个资源组。

   • 标记-(可选) 添加标记以组织，跟踪使用成本或管理对资源的访问权。

   • 访问管理标记-(可选) 向资源添加访问管理标记以帮助组织访问控制关系。 访问管理标记唯一受支持的格式为 key:value。 有关更多信息，请参阅 使用标记控制对资源的访问。

   • 虚拟私有云-选择 VPN 服务器的 VPC。

   • 客户机 IPv4 地址池-输入 CIDR 范围。 从该地址池为客户端分配其会话的 IP 地址。

     

7. 在子网部分，指定以下信息：

   • 选择 VPN 服务器模式：

     • 高可用性模式 - 在不同区域的两个子网中部署 VPN 服务器。 最适合用于客户端 VPN 访问至关重要的多区域部署和解决方案。
     • 独立模式 - 在单一子网和区域内部署 VPN 服务器。 最适合用于不需要多区域灾备的单一区域部署。

   • 指定 VPC 的子网 (独立方式) 或子网 (HA 方式)。

     

8. 在“身份验证”部分，指定以下信息：

   • VPN 服务器认证-从 Secrets Manager中选择服务器 SSL 证书。 填写所有必填字段。

     

   • 客户机认证方式-选择此选项以通过使用客户机证书，用户标识和/或验证码来配置用户认证。

     • 客户端证书 - 您可以选择客户端证书并配置用户 ID 和密码，以获得最佳安全性。 用户 ID 和密码提供了一个额外的安全层，需要额外的登录凭证才能访问账户。

       (可选) 您可以上载 PEM 格式的证书撤销列表 (CRL)。 上传 CRL 后，PEM 文件会显示为 VPN 服务器的名称。

     • 用户标识和验证码-为 VPN 客户端用户配置已添加的认证。 此认证方法提供了额外的安全层，可与 IBM Cloud IAM 集成以完成客户机认证。 验证完成后，系统会将代码传递给 openVPN 客户端进行验证。

     

9. 在“安全组”部分中，至少选择一个安全组。

   要在计划部署 VPN 服务器的子网和通过 VPN 通道通信的其他 VPC 子网上配置一个或多个安全组及其规则，或有选择地配置访问控制列表 (ACL)，请参阅 配置与 VPN 服务器一起使用的 ACL。

   

   您可以在从 VPN 服务器的详细信息页面 ("安全组" 选项卡) 进行供应后附加安全组。

10. 在附加配置部分，指定以下信息：

    • DNS 服务器 IP 地址-(可选) 指定一个或两个 DNS 服务器 IP 地址以进行域名解析。

    • 空闲超时会话（秒）- 如果 VPN 服务器在此时间间隔失效前没有流量，则会自动断开连接。 该值范围为 0 至 28800 秒。 缺省值为 600 秒。

    • 传输协议-选择下列其中一个协议，然后输入有效的 VPN 端口 (1 - 65535)。

      • UDP 是一个无连接协议，可执行错误检查，但会丢弃错误的包。 比 TCP 更快。
      • TCP 是面向连接的协议，具有错误检查和错误恢复功能。 比 UDP 更可靠。

    • 隧道方式-指定下列其中一项:

      • 全隧道 - 所有流量都通过 VPN 接口流向 VPN 隧道。

      • 分离隧道 - 专用流量通过 VPN 接口流向 VPN 隧道，公共流量通过现有 LAN 接口流向 VPN 隧道。

        

从 CLI 创建 VPN 服务器

开始之前，请 设置 CLI 环境。

要从 CLI 创建 VPN 服务器，请输入以下命令:

ibmcloud is vpn-server-create --subnets SUBNETS --client-ip-pool CLIENT_IP_POOL --cert CERT (--client-auth-methods certificate | username | certificate,username | username,certificate) [--client-ca CLIENT_CA] [--client-crl CLIENT_CRL] [--client-dns CLIENT_DNS] [--client-idle-timeout CLIENT_IDLE_TIMEOUT] [--enable-split-tunnel false | true] [--port PORT] [--protocol udp | tcp] [--security-group SECURITY_GROUP1 --security-group SECURITY_GROUP2 ...] [--name NAME] [--resource-group-id RESOURCE_GROUP_ID | --resource-group-name RESOURCE_GROUP_NAME] [--output JSON] [-q, --quiet]

使用 API 创建 VPN 服务器

要使用 API 创建客户机到站点 VPN 服务器，请执行以下步骤:

1. 使用正确的变量设置 API 环境。

2. 存储要在 API 命令中使用的任何其他变量; 例如:

   • ResourceGroupId-使用 get resource groups 命令查找资源组标识，然后填充变量:

     export ResourceGroupId=<your_resourcegroup_id>
     

   • SubnetId-使用 get subnet 命令查找子网标识，然后填充变量:

     export SubnetId=<your_subnet_id>
     

3. 启动所有变量时，创建 VPN 服务器:

      curl -X POST "$vpc_api_endpoint/v1/vpn_servers?version=$api_version&generation=2" \
        -H "Authorization: $iam_token" \
        -d '{
           "certificate": {
               "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
            },
           "client_ip_pool": "192.168.50.0/22",
           "name": "my-new-vpn-server",
           "subnets": [
               {
                     "id": "0716-046c3fd3-1cc5-40f6-b0ad-bbc305308f6d"
               },
               {
                     "id": "0717-30ff71ff-3e90-42a9-aa93-96a062081f18"
               }
            ],
           "client_authentication": [
               {
                     "method": "certificate",
                     "client_ca": {
                        "crn": "crn:v1:bluemix:public:cloudcerts:us-south:a/aa5a471f75bc456fac416bf02c4ba6de:1862b0b4-c1f8-4eef-a6b5-e9c00c9f593d:certificate:6c801ef768c139d986b4c6f91175e8cc"
                     }
               },
               {
                     "method": "username",
                     "identity_provider": {
                        "provider_type": "iam"
                     }
               }
            ]
           "resource_group": {
             "id": "'$ResourceGroupId'"
           }
         }'