介绍如何在 SD-WAN Orchestrator 中配置通用 IKEv2 路由器 (基于路由的 VPN) (Generic IKEv2 Router (Route Based VPN)) 类型的 Non VMware SD-WAN Site。
过程
- 从 SD-WAN Orchestrator 的导航面板中，转到配置 (Configure) > 网络服务 (Network Services)。
将显示
服务 (Services) 屏幕。
- 在通过网关的非 SD-WAN 目标 (Non SD-WAN Destinations via Gateway) 区域中，单击新建 (New) 按钮。
将显示
新建通过网关的非 SD-WAN 目标 (New Non SD-WAN Destinations via Gateway) 对话框。
- 在名称 (Name) 文本框中，输入 Non VMware SD-WAN Site 的名称。
- 从类型 (Type) 下拉菜单中，选择通用 IKEv2 路由器 (基于路由的 VPN) (Generic IKEv2 Router (Route Based VPN))。
- 输入主 VPN 网关（和辅助 VPN 网关，如果需要）的 IP 地址，然后单击下一步 (Next)。
将创建 IKEv2 类型的基于路由的
Non VMware SD-WAN Site，并显示
Non VMware SD-WAN Site 的对话框。
- 要为 Non VMware SD-WAN Site 的主 VPN 网关配置隧道设置，请单击高级 (Advanced) 按钮。
- 在主 VPN 网关 (Primary VPN Gateway) 区域中，您可以配置以下隧道设置：
| 字段 |
描述 |
| PSK |
预共享密钥 (Pre-Shared Key, PSK)，这是在隧道中进行身份验证时使用的安全密钥。默认情况下，Orchestrator 生成一个 PSK。如果要使用您自己的 PSK 或密码，您可以在文本框中输入该 PSK 或密码。 |
| 加密 (Encryption) |
选择 AES 128 或 AES 256 以作为数据加密的 AES 算法密钥大小。默认值为 AES 128。 |
| DH 组 (DH Group) |
选择在交换预共享密钥时使用的 Diffie-Hellman (DH) 组算法。DH 组设置算法强度（以位为单位）。支持的 DH 组为 2、5 和 14。建议使用 DH 组 14。 |
| PFS |
选择完美前向保密 (Perfect Forward Secrecy, PFS) 级别以提高安全性。支持的 PFS 级别为 2 和 5。默认值为 2。 |
| 身份验证算法 (Authentication Algorithm) |
VPN 标头的身份验证算法。从列表中选择以下支持的安全哈希算法 (Secure Hash Algorithm, SHA) 函数之一：
- SHA 1
- SHA 256
- SHA 384
- SHA 512
默认值为 SHA 1。 |
| IKE SA 生命周期 (分钟) (IKE SA Lifetime(min)) |
为 Edge 启动 Internet 密钥交换 (Internet Key Exchange, IKE) 重新加密的时间。最短 IKE 生命周期为 10 分钟，最长 IKE 生命周期为 1440 分钟。默认值为 1440 分钟。 |
| IPsec SA 生命周期 (分钟) (IPsec SA Lifetime(min)) |
为 Edge 启动 Internet 安全协议 (Internet Security Protocol, IPsec) 重新加密的时间。最短 IPsec 生命周期为 3 分钟，最长 IPsec 生命周期为 480 分钟。默认值为 480 分钟。 |
| DPD 类型 (DPD Type) |
不活动对等项检测 (Dead Peer Detection, DPD) 方法用于检测 Internet 密钥交换 (IKE) 对等项是处于活动状态还是不活动状态。如果检测到对等项处于不活动状态，设备将删除 IPsec 和 IKE 安全关联。从列表中选择定期 (Periodic) 或按需 (onDemand)。默认值为“按需”(onDemand)。 |
| DPD 超时 (秒) (DPD Timeout(sec)) |
在将对等项视为不活动之前，设备应等待接收 DPD 消息响应的最长时间。默认值为 20 秒。您可以将 DPD 超时定时器配置为 0 秒以禁用 DPD。 |
注： 在 AWS 启动到
VMware SD-WAN Gateway（在非 SD-WAN 目标中）的重新加密隧道时，可能会发生故障而不建立隧道，这可能会导致流量中断。请遵循以下准则：
- SD-WAN Gateway 的 IPsec SA 生命周期（分钟）定时器配置必须小于 60 分钟（建议为 50 分钟），以便与 AWS 默认 IPsec 配置匹配。
- DH 和 PFS DH 组必须匹配。
- 如果要为该站点创建辅助 VPN 网关，请单击辅助 VPN 网关 (Secondary VPN Gateway) 旁边的添加 (Add) 按钮。在弹出窗口中，输入辅助 VPN 网关的 IP 地址，然后单击保存更改 (Save Changes)。
将立即为该站点创建辅助 VPN 网关，并置备到该网关的 VMware VPN 隧道。
- 选中冗余 VeloCloud 云 VPN (Redundant VeloCloud Cloud VPN) 复选框，以便为每个 VPN 网关添加冗余隧道。
对主 VPN 网关的加密、DH 组或 PFS 所做的任何更改也会应用于冗余 VPN 隧道（如果已配置）。在修改主 VPN 网关的隧道设置后，保存所做的更改，然后单击
查看 IKE/IPSec 模板 (View IKE/IPSec Template) 以查看更新的隧道配置。
- 单击更新位置 (Update location) 链接以设置配置的 Non VMware SD-WAN Site 的位置。纬度和经度详细信息用于确定要在网络中连接到的最佳 Edge 或网关。
- 本地身份验证 ID 定义本地网关的格式和标识。从本地身份验证 ID (Local Auth Id) 下拉菜单中，从以下类型中进行选择，然后输入您确定的值：
- FQDN - 完全限定域名或主机名。例如，google.com。
- 用户 FQDN (User FQDN) - 采用电子邮件地址形式的用户完全限定域名。例如，[email protected]。
- IPv4 - 用于与本地网关通信的 IP 地址。
注：
对于基于路由的通用 VPN，如果用户未指定值，则将默认 (Default) 作为本地身份验证 ID。默认本地身份验证 ID 值将是 SD-WAN Gateway 接口公用 IP。
- 在站点子网 (Site Subnets) 下面，您可以单击 + 按钮以添加 Non VMware SD-WAN Site 的子网。如果您不需要站点的子网，请选中禁用站点子网 (Disable Site Subnets) 复选框。
- 在准备好启动从 SD-WAN Gateway 到通用 IKEv2 VPN 网关的隧道后，选中启用隧道 (Enable Tunnel(s)) 复选框。
- 单击保存更改 (Save Changes)。
