Перейти к основному содержимому
Связать филиалы и ЦОД: VPN Site-to-Site
Последнее изменение:

Связать филиалы и ЦОД: VPN Site-to-Site

В примере настраивается межсетевой экран Selectel, который находится со стороны дата-центра. Если межсетевой экран установлен в филиале, вы можете настроить его по документации производителя.

Чтобы связать филиалы и ЦОД, настройте туннель VPN Site-to-Site по протоколу IPsec.

  1. Подключитесь к межсетевому экрану Selectel.
  2. Настройте параметры первой фазы IKE для каждого устройства.
  3. Настройте параметры второй фазы IKE для каждого устройства.
  4. Настройте разрешающие правила на межсетевом экране для работы протокола IPsec.
  5. Поднимите туннель между устройствами.

1. Подключитесь к межсетевому экрану Selectel⁠

  1. Откройте в браузере страницу:

    https://<ip_address>:5443

    Укажите <ip_address> — IP-адрес межсетевого экрана.

  2. Введите логин и пароль, полученные в тикете после заказа межсетевого экрана. Откроется главная страница графического интерфейса с дашбордом.

2. Настроить параметры первой фазы IKE⁠

Параметры необходимо настраивать для всех устойств, между которыми создается туннель. Значения параметров должны быть одинаковыми.

  1. В меню VPN перейдите в раздел IPsec.

  2. Откройте вкладку Tunnels.

  3. Нажмите Add P1.

  4. В поле Key Exchange Version выберите версию протокола для обмена ключами — IKEv2.

  5. В поле Internet Protocol выберите интернет протокол — IPv4.

  6. В поле Interface выберите сетевой интерфейс, с которого будет строиться туннель.

  7. В поле Remote Gateway введите IP-адрес удаленного устройства.

  8. В поле Authentication Method выберите метод аутентификации:

    • Mutual PSK;
    • или Mutual Certificate и заполните поля My Certificate и Peer Certificate Authority.

  9. В поле My Identifier выберите тип и введите идентификатор устройства, с которого вы настраиваете туннель.

  10. В поле Peer Identifier выберите тип и введите идентификатор удаленного устройства.

  11. В поле Pre-Shared key введите код для аутентификации. Используется при настройке и подключении удаленного устройства.

  12. В блоке Encryption Algorithm настройте алгоритм шифрования:

    12.1. В поле Algorithm выберите — AES. 12.2. В поле Key Length выберите — 256 bits. 12.3. В поле HASH выберите — SHA512. 12.4. В поле DH Group выберите — 14.

  13. Нажмите Save → Apply Changes.

3. Настроить параметры второй фазы IKE⁠

Настройте параметры для каждого устройства, между которыми создается туннель. Значения параметров должны быть одинаковыми.

  1. В меню VPN перейдите в раздел IPsec.

  2. Откройте вкладку Tunnels.

  3. Под строкой первой фазы IKE нажмите Show Phase 2 Entries.

  4. Нажмите Add P2.

  5. В поле Mode выберите режим работы туннеля — Tunnel IPv4.

  6. В поле Local Network выберите тип локальной сети за VPN-шлюзом — Network и введите IP-адрес локальной подсети.

  7. В поле Remote Network выберите тип удаленной сети за VPN-шлюзом — Network и введите IP-адрес удаленной подсети.

  8. В поле Protocol выберите протокол защиты передаваемых данных — ESP.

  9. В блоке Encryption Algorithm настройте алгоритм шифрования:

    9.1. Отметьте чекбокс AES и выберите Key Length — 128 bits. 9.2. Отметьте чекбокс AES256-GCM и выберите Key Length — 128 bits.

  10. В поле Hash Algorithms выберите хэш-алгоритм — SHA512.

  11. В поле PFS Key Group выберите параметры дополнительной защиты ключей шифрования — 14.

  12. Нажмите Save → Apply Changes.

4. Настроить разрешающие правила на межсетевом экране⁠

Разрешающее правило для протоколов IPSEC нужно создать для интерфейсов WAN и IPSEC.

  1. В меню Firewall перейдите в раздел Rules.
  2. Откройте вкладку с именем интерфейса.
  3. Нажмите Add.
  4. В поле Action выберите действие при получении или отправке пакетов данных — Pass.
  5. В поле Interface выберите сетевой интерфейс — WAN или IPsec.
  6. В поле Source выберите источник сетевого трафика. Выберите подсеть, если на шаге 6 вы выбрали IPsec.
  7. В поле Destination выберите адрес назначения, к которому разрешен сетевой трафик.
  8. Нажмите Save.
  9. Перетащите разрешающее правило выше запрещающих. Правила выполняются по порядку в списке — сверху вниз.
  10. Нажмите Apply Changes.

5. Поднять туннель между устройствами⁠

  1. В меню Status перейдите в раздел IPsec.
  2. Откройте вкладку Overview.
  3. Нажмите Сonnect P1 and P2.