सबसे छोटे के लिए VMware NSX। भाग 6. वीपीएन सेटअप

भाग एक पृष्ठभूमि
भाग दो फ़ायरवॉल और NAT नियम कॉन्फ़िगर करें
भाग तीन डीएचसीपी सेटअप
भाग चार रूटिंग सेटअप
भाग पांच एक लोड बैलेंसर को कॉन्फ़िगर करना

आज हम वीपीएन कॉन्फ़िगरेशन विकल्पों को देखते हैं जो एनएसएक्स एज हमें प्रदान करता है।

सामान्य तौर पर, हम वीपीएन तकनीकों को दो प्रमुख प्रकारों में विभाजित कर सकते हैं:

• साइट-टू-साइट वीपीएन। ज्यादातर, IPSec का उपयोग एक सुरक्षित सुरंग बनाने के लिए किया जाता है, उदाहरण के लिए, मुख्य कार्यालय नेटवर्क और एक दूरस्थ साइट पर या क्लाउड में नेटवर्क के बीच।
  
• रिमोट एक्सेस वीपीएन। इसका उपयोग व्यक्तिगत उपयोगकर्ताओं को वीपीएन क्लाइंट सॉफ़्टवेयर का उपयोग करने वाले संगठनों के निजी नेटवर्क से जोड़ने के लिए किया जाता है।

NSX Edge हमें दोनों विकल्पों का उपयोग करने की अनुमति देता है।
हम दो एनएसएक्स एज के साथ एक परीक्षण बेंच का उपयोग करके कॉन्फ़िगर करेंगे, एक लिनक्स सर्वर जिसमें रस्सून डेमॉन स्थापित किया गया है, और विंडोज एक्सेस वीपीएन का परीक्षण करने के लिए एक विंडोज लैपटॉप है।

IPsec

1. VCloud निदेशक इंटरफ़ेस में, प्रशासन अनुभाग पर जाएं और vDC का चयन करें। एज गेटवे टैब पर, जिस एज की हमें आवश्यकता है, राइट-क्लिक करें और एज गेटवे सर्विसेज का चयन करें।
   
2. NSX Edge इंटरफ़ेस में, VPN-IPsec VPN टैब पर जाएँ, फिर IPsec VPN साइट सेक्शन में जाएँ और एक नई साइट जोड़ने के लिए + पर क्लिक करें।
   
   
3. आवश्यक फ़ील्ड भरें:
   
   • सक्षम - दूरस्थ साइट को सक्रिय करता है।
   • पीएफएस - यह सुनिश्चित करता है कि हर नई क्रिप्टोग्राफ़िक कुंजी किसी भी पिछली कुंजी से जुड़ी नहीं है।
   • लोकल आईडी और लोकल एंडपॉइंट टी NSX Edge का बाहरी पता है।
   • स्थानीय सबनेट s - स्थानीय नेटवर्क जो IPsec VPN का उपयोग करेगा।
   • पीयर आईडी और पीयर एंडपॉइंट - दूरस्थ साइट का पता।
   • पीयर सबनेट्स - नेटवर्क जो रिमोट साइड पर IPsec वीपीएन का उपयोग करेंगे।
   • एन्क्रिप्शन एल्गोरिथ्म - सुरंग एन्क्रिप्शन एल्गोरिथ्म।
   
   
   
   
   • प्रमाणीकरण - हम एक दावत को कैसे प्रमाणित करेंगे। आप पूर्व साझा कुंजी या एक प्रमाण पत्र का उपयोग कर सकते हैं।
   • पूर्व-साझा कुंजी - वह कुंजी निर्दिष्ट करें जो प्रमाणीकरण के लिए उपयोग की जाएगी और दोनों तरफ से मेल खाना चाहिए।
   • डिफी-हेलमैन ग्रुप - प्रमुख एक्सचेंज एल्गोरिदम।
   
   आवश्यक फ़ील्ड भरने के बाद, रखें पर क्लिक करें।
   
   
4. हो गया।
   
   
5. साइट को जोड़ने के बाद, सक्रियण स्थिति टैब पर जाएं और IPsec सेवा को सक्रिय करें।
   
   
6. सेटिंग्स लागू होने के बाद, सांख्यिकी -> IPsec VPN टैब पर जाएं और सुरंग की स्थिति की जांच करें। हम देखते हैं कि सुरंग बढ़ गई है।
   
   
7. एज गेटवे कंसोल से सुरंग की स्थिति की जाँच करें:
   
   • शो सेवा ipsec - सेवा की स्थिति की जाँच करें।
     
     
   • शो सेवा ipsec साइट - साइट की स्थिति और सहमत मापदंडों के बारे में जानकारी।
     
     
   • शो सेवा ipsec सा - सिक्योरिटी एसोसिएशन (SA) स्टेटस चेक।
     
     
8. दूरस्थ साइट कनेक्टिविटी जाँच:
   
   

   root@racoon:~# ifconfig eth0:1 | grep inet inet 10.255.255.1 netmask 255.255.255.0 broadcast 0.0.0.0 root@racoon:~# ping -c1 -I 10.255.255.1 192.168.0.10 PING 192.168.0.10 (192.168.0.10) from 10.255.255.1 : 56(84) bytes of data. 64 bytes from 192.168.0.10: icmp_seq=1 ttl=63 time=59.9 ms --- 192.168.0.10 ping statistics --- 1 packets transmitted, 1 received, 0% packet loss, time 0ms rtt min/avg/max/mdev = 59.941/59.941/59.941/0.000 ms 

   
   
   दूरस्थ लिनक्स सर्वर से विन्यास फाइल और अतिरिक्त नैदानिक ​​कमांड:

    root@racoon:~# cat /etc/racoon/racoon.conf log debug; path pre_shared_key "/etc/racoon/psk.txt"; path certificate "/etc/racoon/certs"; listen { isakmp 80.211.43.73 [500]; strict_address; } remote 185.148.83.16 { exchange_mode main,aggressive; proposal { encryption_algorithm aes256; hash_algorithm sha1; authentication_method pre_shared_key; dh_group modp1536; } generate_policy on; } sainfo address 10.255.255.0/24 any address 192.168.0.0/24 any { encryption_algorithm aes256; authentication_algorithm hmac_sha1; compression_algorithm deflate; } === root@racoon:~# cat /etc/racoon/psk.txt 185.148.83.16 testkey === root@racoon:~# cat /etc/ipsec-tools.conf #!/usr/sbin/setkey -f flush; spdflush; spdadd 192.168.0.0/24 10.255.255.0/24 any -P in ipsec esp/tunnel/185.148.83.16-80.211.43.73/require; spdadd 10.255.255.0/24 192.168.0.0/24 any -P out ipsec esp/tunnel/80.211.43.73-185.148.83.16/require; === root@racoon:~# racoonctl show-sa isakmp Destination Cookies Created 185.148.83.16.500 2088977aceb1b512:a4c470cb8f9d57e9 2019-05-22 13:46:13 === root@racoon:~# racoonctl show-sa esp 80.211.43.73 185.148.83.16 esp mode=tunnel spi=1646662778(0x6226147a) reqid=0(0x00000000) E: aes-cbc 00064df4 454d14bc 9444b428 00e2296e c7bb1e03 06937597 1e522ce0 641e704d A: hmac-sha1 aa9e7cd7 51653621 67b3b2e9 64818de5 df848792 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: May 22 13:46:13 2019 current: May 22 14:07:43 2019 diff: 1290(s) hard: 3600(s) soft: 2880(s) last: May 22 13:46:13 2019 hard: 0(s) soft: 0(s) current: 72240(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 860 hard: 0 soft: 0 sadb_seq=1 pid=7739 refcnt=0 185.148.83.16 80.211.43.73 esp mode=tunnel spi=88535449(0x0546f199) reqid=0(0x00000000) E: aes-cbc c812505a 9c30515e 9edc8c4a b3393125 ade4c320 9bde04f0 94e7ba9d 28e61044 A: hmac-sha1 cd9d6f6e 06dbcd6d da4d14f8 6d1a6239 38589878 seq=0x00000000 replay=4 flags=0x00000000 state=mature created: May 22 13:46:13 2019 current: May 22 14:07:43 2019 diff: 1290(s) hard: 3600(s) soft: 2880(s) last: May 22 13:46:13 2019 hard: 0(s) soft: 0(s) current: 72240(bytes) hard: 0(bytes) soft: 0(bytes) allocated: 860 hard: 0 soft: 0 sadb_seq=0 pid=7739 refcnt=0 

   
   
9. सब कुछ तैयार है, साइट-टू-साइट IPsec वीपीएन कॉन्फ़िगर और काम कर रहा है।
   
   इस उदाहरण में, हमने सहकर्मी को प्रमाणित करने के लिए PSK का उपयोग किया है, लेकिन एक प्रमाणपत्र प्रमाणीकरण विकल्प भी संभव है। ऐसा करने के लिए, वैश्विक कॉन्फ़िगरेशन टैब पर जाएं, प्रमाणपत्र प्रमाणीकरण सक्षम करें और प्रमाणपत्र का चयन करें।
   
   इसके अलावा, साइट सेटिंग्स में प्रमाणीकरण विधि को बदलना आवश्यक होगा।
   
   
   
   
   
   मैं ध्यान देता हूं कि IPsec सुरंगों की संख्या तैनात एज गेटवे के आकार पर निर्भर करती है (इस बारे में हमारे पहले लेख में पढ़ें )।
   
   

एसएसएल वीपीएन

एसएसएल वीपीएन-प्लस रिमोट एक्सेस वीपीएन के लिए विकल्पों में से एक है। यह व्यक्तिगत दूरस्थ उपयोगकर्ताओं को NSX एज गेटवे के पीछे निजी नेटवर्क से सुरक्षित रूप से जुड़ने की अनुमति देता है। एक SSL वीपीएन-प्लस एन्क्रिप्टेड सुरंग क्लाइंट (विंडोज, लिनक्स, मैक) और एनएसएक्स एज के बीच स्थापित है।

1. चलो सेट करते हैं। एज गेटवे सर्विस कंट्रोल पैनल में, एसएसएल वीपीएन-प्लस टैब पर जाएं, फिर सर्वर सेटिंग्स पर जाएं। हम उस पते और पोर्ट का चयन करते हैं, जिस पर सर्वर आने वाले कनेक्शन के लिए सुनेगा, लॉगिंग को सक्षम करेगा और आवश्यक एन्क्रिप्शन एल्गोरिदम का चयन करेगा।
   
   
   
   यहां आप सर्टिफिकेट को बदल सकते हैं जो सर्वर उपयोग करेगा।
   
   
2. सब कुछ तैयार होने के बाद, सर्वर चालू करें और सेटिंग्स को बचाने के लिए मत भूलना।
   
   
3. अगला, हमें उन पतों के पूल को कॉन्फ़िगर करने की आवश्यकता है जिन्हें हम कनेक्ट होने पर ग्राहकों को जारी करेंगे। यह नेटवर्क आपके NSX वातावरण के किसी भी मौजूदा सबनेट से अलग है, इसे भौतिक नेटवर्क में अन्य उपकरणों पर कॉन्फ़िगर करने की आवश्यकता नहीं है, केवल उन मार्गों को छोड़कर जो इसे इंगित करते हैं।
   
   आईपी ​​पूल टैब पर जाएं और + पर क्लिक करें।
   
   
4. पते, सबनेट मास्क और गेटवे चुनें। यहां आप DNS और WINS सर्वर के लिए सेटिंग्स बदल सकते हैं।
   
   
5. परिणामस्वरूप पूल।
   
   
6. अब उन नेटवर्क को जोड़ें, जो वीपीएन से जुड़ने वाले उपयोगकर्ताओं तक पहुंचेंगे। निजी नेटवर्क टैब पर जाएं और + पर क्लिक करें।
   
   
7. हम इसमें भरते हैं:
   
   
   • नेटवर्क - एक स्थानीय नेटवर्क जिस पर दूरस्थ उपयोगकर्ताओं की पहुंच होगी।
   • ट्रैफ़िक भेजें, इसके दो विकल्प हैं:
     - सुरंग के ऊपर - सुरंग के माध्यम से नेटवर्क पर यातायात भेजें,
     - बाईपास टनल - टनल को सीधे बाईपास कर नेटवर्क को ट्रैफिक भेजें।
   • टीसीपी ऑप्टिमाइज़ेशन सक्षम करें - यदि सुरंग विकल्प चुना गया है, तो उसे चिह्नित करें। जब अनुकूलन सक्षम होता है, तो आप पोर्ट संख्या निर्दिष्ट कर सकते हैं जिसके लिए आप ट्रैफ़िक का अनुकूलन करना चाहते हैं। इस विशेष नेटवर्क के शेष बंदरगाहों के लिए यातायात को अनुकूलित नहीं किया जाएगा। यदि पोर्ट नंबर निर्दिष्ट नहीं हैं, तो सभी पोर्ट के लिए ट्रैफ़िक अनुकूलित है। इस सुविधा के बारे में यहाँ और पढ़ें।
   
   
8. इसके बाद, ऑथेंटिकेशन टैब पर जाएं और + पर क्लिक करें। प्रमाणीकरण के लिए, हम स्वयं NSX Edge पर एक स्थानीय सर्वर का उपयोग करेंगे।
   
   
9. यहां हम नए पासवर्ड बनाने के लिए नीतियां चुन सकते हैं और उपयोगकर्ता खातों को ब्लॉक करने के लिए विकल्प कॉन्फ़िगर कर सकते हैं (उदाहरण के लिए, पासवर्ड गलत दर्ज किए जाने पर रिट्रीट की संख्या)।
   
   
   
   
10. चूंकि हम स्थानीय प्रमाणीकरण का उपयोग करते हैं, इसलिए हमें उपयोगकर्ता बनाने होंगे।
    
    
11. नाम और पासवर्ड जैसी बुनियादी चीज़ों के अलावा, यहाँ, आप उदाहरण के लिए, उपयोगकर्ता को पासवर्ड बदलने से रोक सकते हैं या, इसके विपरीत, उसे अगले लॉगिन पर पासवर्ड बदलने के लिए मजबूर कर सकते हैं।
    
    
12. सभी आवश्यक उपयोगकर्ता जोड़े जाने के बाद, इंस्टॉलेशन पैकेज टैब पर जाएं, + पर क्लिक करें और इंस्टॉलर स्वयं बनाएं, जो स्थापना के लिए दूरस्थ कर्मचारी को डाउनलोड करेगा।
    
    
13. + पर क्लिक करें। हम उस सर्वर के पते और पोर्ट का चयन करते हैं जिससे क्लाइंट कनेक्ट होगा, और प्लेटफ़ॉर्म जिसके लिए आप इंस्टॉलेशन पैकेज जनरेट करना चाहते हैं।
    
    
    
    आप इस विंडो में नीचे विंडोज के लिए क्लाइंट सेटिंग निर्दिष्ट कर सकते हैं। चुनें:
    
    
    • लॉगऑन पर क्लाइंट शुरू करें - वीपीएन क्लाइंट को रिमोट मशीन पर स्टार्टअप में जोड़ा जाएगा;
    • डेस्कटॉप आइकन बनाएं - डेस्कटॉप पर एक वीपीएन क्लाइंट आइकन बनाएगा;
    • सर्वर सुरक्षा प्रमाणपत्र सत्यापन - कनेक्शन पर सर्वर प्रमाणपत्र को मान्य करेगा।
      सर्वर सेटअप पूर्ण है।
    
    
14. अब स्थापना पैकेज डाउनलोड करें जिसे हमने दूरस्थ पीसी पर अंतिम चरण में बनाया था। सर्वर सेट करते समय, हमने इसका बाहरी पता (185.148.83.16) और पोर्ट (445) निर्दिष्ट किया था। यह इस पते पर है कि हमें वेब ब्राउज़र पर जाने की आवश्यकता है। मेरे मामले में, यह 185.148.83.16 : 445 है।
    
    प्राधिकरण विंडो में, आपको उस उपयोगकर्ता का नाम दर्ज करना होगा जिसे हमने पहले बनाया था।
    
    
15. प्राधिकरण के बाद, हम डाउनलोड के लिए उपलब्ध स्थापना पैकेजों की एक सूची देखते हैं। हमने केवल एक ही बनाया है - और इसे डाउनलोड करें।
    
    
16. हम लिंक पर क्लिक करते हैं, क्लाइंट का डाउनलोड शुरू होता है।
    
    
17. डाउनलोड किए गए संग्रह को अनपैक करें और इंस्टॉलर को चलाएं।
    
    
18. स्थापना के बाद, क्लाइंट को प्राधिकरण विंडो में चलाएं, लॉगिन पर क्लिक करें।
    
    
19. प्रमाणपत्र सत्यापन विंडो में, हां का चयन करें।
    
    
20. हम पहले बनाए गए उपयोगकर्ता के लिए क्रेडेंशियल दर्ज करते हैं और देखते हैं कि कनेक्शन सफलतापूर्वक पूरा हो गया है।
    
    
    
    
21. स्थानीय कंप्यूटर पर वीपीएन क्लाइंट के आंकड़ों की जांच करें।
    
    
    
    
22. विंडोज कमांड लाइन (ipconfig / all) में हम देखते हैं कि एक अतिरिक्त वर्चुअल एडेप्टर दिखाई दिया है और रिमोट नेटवर्क के साथ कनेक्टिविटी है, सब कुछ काम करता है:
    
    
    
    
23. और अंत में - एज गेटवे कंसोल से एक चेक।
    
    

L2 वीपीएन

L2VPN की आवश्यकता तब होती है जब आपको भौगोलिक रूप से कई संयोजन करने की आवश्यकता होती है
एक प्रसारण डोमेन में वितरित नेटवर्क।

यह उपयोगी हो सकता है, उदाहरण के लिए, जब एक वर्चुअल मशीन को माइग्रेट करते हैं: जब कोई वीएम किसी अन्य भौगोलिक क्षेत्र में जाता है, तो मशीन आईपी एड्रेसिंग सेटिंग्स को बचाएगा और उसी L2 डोमेन में स्थित अन्य मशीनों के साथ कनेक्टिविटी नहीं खोएगा।

हमारे परीक्षण वातावरण में, हम दो साइटों को एक-दूसरे से जोड़ेंगे, हम उन्हें क्रमशः ए और बी कहेंगे। हमारे पास दो एनएसएक्स और दो अलग-अलग राउड नेटवर्क हैं जो अलग-अलग एज से जुड़े हैं। मशीन A का पता 10.10.10.250/24 है, मशीन B का पता 10.10.10.2/24 है।

1. VCloud निदेशक में, प्रशासन टैब पर जाएं, हमें जिस VDC की आवश्यकता है, पर जाएं, Org VDC Networks टैब पर जाएं और दो नए नेटवर्क जोड़ें।
   
   
2. हम रूट किए गए नेटवर्क प्रकार का चयन करते हैं और इस नेटवर्क को हमारे NSX से बांध देते हैं। हमने चेकबॉक्स बनाएँ उप सबप्रिट के रूप में डाल दिया।
   
   
3. नतीजतन, हमें दो नेटवर्क मिलने चाहिए। हमारे उदाहरण में, उन्हें एक ही गेटवे सेटिंग्स और एक ही मुखौटा के साथ नेटवर्क-ए और नेटवर्क-बी कहा जाता है।
   
   
   
   
4. अब पहले NSX की सेटिंग पर चलते हैं। यह NSX होगा जिससे नेटवर्क A संलग्न है। यह सर्वर के रूप में कार्य करेगा।
   
   NSx Edge इंटरफ़ेस पर वापस जाएं / VPN पर जाएं -> L2VPN टैब। हम एल 2 वीपीएन को चालू करते हैं, सर्वर ग्लोबल मोड में सर्वर ऑपरेटिंग मोड का चयन करते हैं, एनएसएक्स के बाहरी आईपी पते को निर्दिष्ट करते हैं, जिस पर सुरंग के लिए पोर्ट को सुना जाएगा। डिफ़ॉल्ट रूप से, सॉकेट पोर्ट 443 पर खुलेगा, लेकिन इसे बदला जा सकता है। भविष्य की सुरंग के लिए एन्क्रिप्शन सेटिंग्स चुनना न भूलें।
   
   
5. सर्वर साइट्स टैब पर जाएं और एक दावत जोड़ें।
   
   
6. दावत चालू करें, नाम, विवरण सेट करें, यदि आवश्यक हो, तो उपयोगकर्ता नाम और पासवर्ड सेट करें। क्लाइंट साइट सेट करते समय हमें इस डेटा की आवश्यकता होगी।
   
   प्रवेश ऑप्टिमाइज़ेशन गेटवे पते में, गेटवे पता सेट करें। यह आवश्यक है ताकि आईपी पते का कोई विरोध न हो, क्योंकि हमारे नेटवर्क पर गेटवे का एक ही पता है। फिर हम Select SUB-INTERFACES बटन दबाते हैं।
   
   
7. यहां हम वांछित उपप्रकार जमा करते हैं। सेटिंग्स सहेजें।
   
   
8. हम देखते हैं कि नई बनाई गई क्लाइंट साइट सेटिंग्स में दिखाई दी।
   
   
9. अब ग्राहक पक्ष पर NSX को कॉन्फ़िगर करने के लिए आगे बढ़ते हैं।
   
   हम NSX साइड B पर जाते हैं, VPN -> L2VPN पर जाते हैं, L2VPN चालू करते हैं, L2VPN मोड को क्लाइंट मोड पर सेट करते हैं। क्लाइंट ग्लोबल टैब पर, NSX A का पता और पोर्ट सेट करें, जिसे हमने पहले सर्वर साइड पर श्रवण आईपी और पोर्ट के रूप में इंगित किया था। यह भी एक ही एन्क्रिप्शन सेटिंग्स सेट करने के लिए आवश्यक है ताकि सुरंग को बढ़ाते समय वे सुसंगत हों।
   
   
   
   नीचे स्क्रॉल करें, उपप्रकार का चयन करें जिसके माध्यम से L2VPN के लिए सुरंग का निर्माण किया जाएगा।
   प्रवेश ऑप्टिमाइज़ेशन गेटवे पते में, गेटवे पता सेट करें। यूजर-आईडी और पासवर्ड सेट करें। हम उपपट्टी का चयन करते हैं और सेटिंग्स को बचाने के लिए मत भूलना।
   
   
10. वास्तव में यही सब है। क्लाइंट और सर्वर सेटिंग्स लगभग समान हैं, कुछ बारीकियों के अपवाद के साथ।
11. अब हम देख सकते हैं कि किसी भी NSX पर सांख्यिकी -> L2VPN पर जाकर हमारी सुरंग ने क्या अर्जित किया है।
    
    
12. यदि हम अब किसी भी एज गेटवे के कंसोल में जाते हैं, तो हम आर्क तालिका में उनमें से प्रत्येक पर दोनों वीएम के पते देखेंगे।
    
    

एनएसएक्स एज पर वीपीएन के बारे में यह सब है। पूछें कि क्या कुछ अस्पष्ट है। यह NSX Edge के साथ काम करने पर लेखों की श्रृंखला का अंतिम भाग भी है। हमें उम्मीद है कि वे उपयोगी थे :)