Erstellen eines richtlinienbasierten VPN

Ein richtlinienbasiertes VPN erstellt einen IPSec-Tunnel und eine Richtlinie, die festlegt, wie der Datenverkehr ihn verwendet. Wenn Sie ein richtlinienbasiertes VPN verwenden, müssen Sie die Routing-Tabellen an beiden Enden des Netzwerks aktualisieren, wenn neue Routen hinzugefügt werden.

Hinweis:

In diesem Thema wird erläutert, wie Sie ein richtlinienbasiertes VPN erstellen, über das eine Verbindung mit der standardmäßigen öffentlichen oder privaten IP des SDDC hergestellt wird. Wenn Sie über ein SDDC mit zusätzlichen Tier-1-Gateways verfügen (siehe Hinzufügen eines benutzerdefinierten Tier-1-Gateways zu einem VMware Cloud on AWS-SDDC), können Sie auf NSX MANAGER ÖFFNEN klicken und VPN-Dienste hinzufügen, die auf diesen Gateways beendet werden. Weitere Informationen finden Sie im Administratorhandbuch für NSX Data Center unter Hinzufügen von VPN-Diensten.

In VMware Cloud on AWS bieten VPN-Dienste für ein Tier-1-Gateway keine Unterstützung für BGP.

Richtlinienbasierte VPNs in Ihrem VMware Cloud on AWS-SDDC verwenden ein IPSec-Protokoll, um den Datenverkehr zu sichern. Um ein richtlinienbasiertes VPN zu erstellen, konfigurieren Sie den lokalen Endpoint (SDDC) und dann einen übereinstimmenden Remote-Endpoint (lokal). Da jedes richtlinienbasierte VPN eine neue IPSec-Sicherheitsverbindung für jedes Netzwerk erstellen muss, muss ein Administrator die Routing-Informationen vor Ort und im SDDC aktualisieren, sobald ein neues richtlinienbasiertes VPN erstellt wird. Ein richtlinienbasiertes VPN kann eine geeignete Wahl sein, wenn an beiden Enden des VPN nur wenige Netzwerke vorhanden sind oder wenn Ihre lokale Netzwerkhardware BGP nicht unterstützt (was für routenbasierte VPNs erforderlich ist).

Wichtig:

Wenn Ihr SDDC sowohl ein richtlinienbasiertes VPN als auch eine andere Verbindung wie ein routenbasiertes VPN enthält, kann über das richtlinienbasierte VPN keine DX- oder VTGW-Konnektivität hergestellt werden, wenn eine dieser anderen Verbindungen die Standardroute (0.0.0.0/0) für das SDDC ankündigt. Wenn keine dieser anderen Verbindungen die Standardroute ankündigen, wird der gesamte Datenverkehr, der der VPN-Richtlinie entspricht, über das VPN geleitet, selbst wenn die anderen Verbindungen eine spezifischere Route bereitstellen. Im Falle einer Überschneidung wird eine routenbasierte VPN-Route gegenüber einer richtlinienbasierten VPN-Richtlinienüberstimmung bevorzugt.

Prozedur

1. Melden Sie sich bei der VMware Cloud-Konsole unter https://vmc.vmware.com an.
2. Klicken Sie auf Bestandsliste > SDDCs, wählen Sie dann eine SDDC-Karte aus und klicken Sie auf DETAILS ANZEIGEN.
3. Klicken Sie auf NSX MANAGER ÖFFNEN und melden Sie sich mit dem NSX Manager-Administratorbenutzerkonto an, das auf der SDDC-Seite Einstellungen angezeigt wird. Weitere Informationen finden Sie unter SDDC-Netzwerkverwaltung mit NSX Manager.
   Für diesen Workflow können Sie auch die VMware Cloud-Konsole-Registerkarte Netzwerk und Sicherheit verwenden.
4. Klicken Sie auf VPN > Richtlinienbasiert > VPN HINZUFÜGEN und legen Sie für das neue VPN einen Namen und eine optionale Beschreibung fest.
5. Wählen Sie im Dropdown-Menü Lokale IP-Adresse aus.
   • Wenn dieses SDDC Teil einer SDDC-Gruppe ist oder für die Verwendung von AWS Direct Connect konfiguriert wurde, wählen Sie die private IP-Adresse aus, damit das VPN statt einer Internetverbindung diese Verbindung verwendet. Beachten Sie, dass der VPN-Datenverkehr über Direct Connect oder VMware Managed Transit Gateway (VTGW) auf die Standard-MTU von 1.500 Byte beschränkt ist, selbst wenn der Link eine höhere MTU unterstützt. Weitere Informationen hierzu finden Sie unter Konfigurieren von Direct Connect für eine private virtuelle Schnittstelle für den Datenverkehr des SDDC-Verwaltungs- und Computing-Netzwerks.
   • Wählen Sie die öffentliche IP-Adresse aus, wenn die VPN-Verbindung über das Internet hergestellt werden soll.
6. Geben Sie die Öffentliche Remote-IP-Adresse Ihres lokalen Gateways ein.
   Die Adresse darf nicht bereits für ein anderes VPN verwendet werden. VMware Cloud on AWS verwendet für alle VPN-Verbindungen dieselbe öffentliche IP-Adresse. Es kann also nur eine einzelne VPN-Verbindung (routenbasiert, richtlinienbasiert oder L2VPN) für eine bestimmte öffentliche Remote-IP-Adresse erstellt werden. Diese Adresse muss über das Internet erreichbar sein, wenn Sie eine öffentliche IP-Adresse in Schritt 5 angegeben haben. Wenn Sie eine private IP-Adresse angegeben haben, muss diese über Direct Connect an einer privaten VIF erreichbar sein. Standard-Gateway-Firewallregeln ermöglichen eingehenden und ausgehenden Datenverkehr über die VPN-Verbindung, aber Sie müssen Firewallregeln erstellen, um den Datenverkehr über den VPN-Tunnel zu verwalten.
7. Geben Sie die Remotenetzwerke an, mit denen dieses VPN eine Verbindung herstellen kann.
   Diese Liste muss alle Netzwerke enthalten, die vom lokalen VPN-Gateway als lokal definiert sind.Geben Sie jedes Netzwerk im CIDR-Format ein, wobei mehrere CIDR-Blöcke durch Kommas getrennt werden.
8. Geben Sie unter Lokale Netzwerke die lokalen Netzwerke an, mit denen dieses VPN eine Verbindung herstellen kann.
   Diese Liste enthält alle gerouteten Computing-Netzwerke im SDDC sowie das gesamte Verwaltungsnetzwerk und das Appliance-Subnetz (eine Teilmenge des Verwaltungsnetzwerks, das vCenter und andere Verwaltungs-Appliances enthält, aber nicht die ESXi-Hosts). Sie enthält auch das CGW-DNS-Netzwerk, eine einzelne IP-Adresse, die für Quellanforderungen verwendet wird, die vom CGW-DNS-Dienst weitergeleitet werden.
9. Wählen Sie einen Authentifizierungsmodus aus.
   • Geben Sie für die PSK-Authentifizierung die Zeichenfolge Vorinstallierter Schlüssel ein. Die maximale Schlüssellänge beträgt 128 Zeichen. Dieser Schlüssel muss für beide Enden des VPN-Tunnels identisch sein.
   • Informationen zur zertifikatbasierten Authentifizierung finden Sie unter Konfigurieren der zertifikatbasierten Authentifizierung für ein IPSec-VPN.
10. (Optional) Wenn sich Ihr lokales Gateway hinter einem NAT-Gerät befindet, geben Sie die Gateway-Adresse als Private Remote-IP-Adresse ein.
    Diese IP-Adresse muss mit der lokalen Identität (IKE-ID) übereinstimmen, die vom lokalen VPN-Gateway gesendet wird. Wenn dieses Feld leer ist, wird das Feld Öffentliche Remote-IP-Adresse verwendet, um die lokale Identität des lokalen VPN-Gateways abzugleichen.
11. Konfigurieren Sie unter Erweiterte Tunnelparameter die erweiterten Tunnelparameter.

    Parameter	Wert
    IKE-Profil > IKE-Verschlüsselung	Wählen Sie eine Verschlüsselung der Phase 1 (IKE) aus, die von Ihrem lokalen VPN-Gateway unterstützt wird.
    IKE-Profil > IKE-Digest-Algorithmus	Wählen Sie einen Digest-Algorithmus der Phase 1 aus, der von Ihrem lokalen VPN-Gateway unterstützt wird. Es wird empfohlen, denselben Algorithmus sowohl für den IKE-Digest-Algorithmus als auch für den Tunnel-Digest-Algorithmus zu verwenden. Hinweis: Wenn Sie eine GCM-basierte Verschlüsselung für IKE-Verschlüsselung angeben, legen Sie IKE-Digest-Algorithmus auf Keiner fest. Die Digest-Funktion ist integraler Bestandteil der GCM-Verschlüsselung. Sie müssen IKE V2 verwenden, wenn Sie eine GCM-basierte Verschlüsselung verwenden .
    IKE-Profil > IKE-Version	Geben Sie IKE V1 an, um das IKEv1-Protokoll zu initiieren und zu akzeptieren. Geben Sie IKE V2 an, um das IKEv2-Protokoll zu initiieren und zu akzeptieren. Sie müssen IKEv2 verwenden, wenn Sie einen GCM-basierten IKE-Digest-Algorithmus angegeben haben. Geben Sie IKE FLEX an, um entweder IKEv1 oder IKEv2 zu akzeptieren, und initiieren Sie dann mit IKEv2. Wenn die IKEv2-Initiierung fehlschlägt, greift IKE FLEX nicht auf IKEv1 zurück.
    IKE-Profil > Diffie Hellman	Wählen Sie eine Diffie-Hellman-Gruppe aus, die von Ihrem lokalen VPN-Gateway unterstützt wird. Dieser Wert muss für beide Enden des VPN-Tunnels identisch sein. Höhere Gruppennummern bieten einen besseren Schutz. Es wird empfohlen, Gruppe 14 oder höher auszuwählen.
    IPSec-Profil > Tunnel-Verschlüsselung	Wählen Sie eine Sicherheitsverbindung der Phase 2 aus, die von Ihrem lokalen VPN-Gateway unterstützt wird.
    IPSec-Profil Tunnel-Digest-Algorithmus	Wählen Sie einen Digest-Algorithmus der Phase 2 aus, der von Ihrem lokalen VPN-Gateway unterstützt wird. Hinweis: Wenn Sie eine GCM-basierte Verschlüsselung für Tunnelverschlüsselung angeben, legen Sie Tunnel-Digest-Algorithmus auf Keiner fest. Die Digest-Funktion ist integraler Bestandteil der GCM-Verschlüsselung.
    IPSec-Profil > Perfect Forward Secrecy	Aktivieren oder deaktivieren Sie die Option entsprechend der Einstellung Ihres lokalen VPN-Gateways. Durch die Aktivierung von Perfect Forward Secrecy wird verhindert, dass aufgezeichnete (vergangene) Sitzungen entschlüsselt werden, wenn der private Schlüssel jemals gefährdet sein sollte.
    IPSec-Profil > Diffie-Hellman	Wählen Sie eine Diffie-Hellman-Gruppe aus, die von Ihrem lokalen VPN-Gateway unterstützt wird. Dieser Wert muss für beide Enden des VPN-Tunnels identisch sein. Höhere Gruppennummern bieten einen besseren Schutz. Es wird empfohlen, Gruppe 14 oder höher auszuwählen.
    DPD-Profil > DPD-Prüfmodus	Entweder Periodisch oder On-Demand. Für einen periodischen DPD-Prüfmodus wird jedes Mal ein DPD-Prüfpunkt gesendet, wenn das angegebene DPD-Prüfintervall erreicht ist. Bei einem bedarfsbasierten DPD-Prüfmodus wird ein DPD-Prüfpunkt gesendet, wenn nach einem Leerlauf kein IPSec-Paket von der Peer-Site empfangen wird. Der Wert in DPD-Prüfintervall bestimmt den verwendeten Leerlaufzeitpunkt.
    DPD-Profil > Anzahl der Wiederholungen	Ganzzahl für die zulässige Anzahl an Wiederholungen. Werte im Bereich 1 bis 100 sind gültig. Die Standardanzahl für Wiederholungen ist 10.
    DPD-Profil > DPD-Prüfintervall	Die Anzahl der Sekunden, die der NSX IKE-Daemon zwischen dem Senden der DPD-Prüfpunkte warten soll. Für einen periodischen DPD-Prüfmodus liegen die gültigen Werte zwischen 3 und 360 Sekunden. Die Standardeinstellung beträgt 60 Sekunden. Für einen On-Demand-Prüfmodus liegen die gültigen Werte zwischen 1 und 10 Sekunden. Die Standardeinstellung beträgt 3 Sekunden. Wenn der periodische DPD-Prüfmodus festgelegt ist, sendet der IKE-Daemon regelmäßig einen DPD-Prüfpunkt. Wenn die Peer-Site innerhalb einer halbe Sekunde antwortet, wird der nächste DPD-Prüfpunkt gesendet, nachdem das konfigurierte DPD-Prüfintervall erreicht wurde. Wenn die Peer-Site nicht antwortet, wird der DPD-Prüfpunkt nach einer halben Sekunde Wartezeit erneut gesendet. Wenn die Remote-Peer-Site weiterhin nicht antwortet, sendet der IKE-Daemon den DPD-Prüfpunkt erneut, bis eine Antwort eingeht oder die Anzahl der Wiederholungen erreicht wurde. Bevor die Peer-Site für tot erklärt wird, sendet der IKE-Daemon den DPD-Prüfpunkt maximal so oft, wie in der Eigenschaft Anzahl der Wiederholungen angegeben. Nachdem die Peer-Site für tot erklärt wurde, bricht NSX die Sicherheitsverbindung (SA) auf dem Link des toten Peers ab. Wenn der bedarfsbasierte DPD-Modus festgelegt ist, wird der DPD-Prüfpunkt nur gesendet, wenn kein IPSec-Datenverkehr von der Peer-Site empfangen wird, nachdem die konfigurierte Zeit für das DPD-Prüfintervall erreicht wurde.
    DPD-Profil > Admin-Status	Um das DPD-Profil zu aktivieren oder zu deaktivieren, klicken Sie auf die Umschaltoption Admin-Status. Standardmäßig ist der Wert auf Aktiviert eingestellt. Wenn das DPD-Profil aktiviert ist, wird das DPD-Profil für alle IPSec-Sitzungen im IPSec-VPN-Dienst verwendet, der das DPD-Profil verwendet.
    TCP MSS-Klemmung	Um TCP-MSS-Klemmung zur Reduzierung der maximalen Segmentgröße (MSS) der Nutzlast der TCP-Sitzung während der IPsec-Verbindung zu verwenden, legen Sie diese Option auf Aktiviert fest und wählen Sie dann TCP-MSS-Richtung und optional TCP-MSS-Wert aus. Weitere Informationen finden Sie unter Grundlegendes zur TCP-MSS-Anbindung im Administratorhandbuch für NSX Data Center.

12. (Optional) Versehen Sie das VPN mit einem Tag.

    Weitere Informationen zum Taggen von NSX-Objekten finden Sie unter Hinzufügen von Tags zu einem Objekt im Administratorhandbuch für NSX Data Center.

13. Klicken Sie auf SPEICHERN.

Ergebnisse

Der VPN-Erstellungsvorgang kann einige Minuten dauern. Wenn das richtlinienbasierte VPN verfügbar wird, stehen Ihnen die folgenden Aktionen zur Unterstützung bei der Fehlerbehebung und der Konfiguration des lokalen Endes des VPN zur Verfügung:

• Klicken Sie auf KONFIGURATION HERUNTERLADEN, um eine Datei herunterzuladen, die die VPN-Konfigurationsdetails enthält. Sie können diese Details verwenden, um ein lokales Ende dieses VPN zu konfigurieren.
• Klicken Sie auf STATISTIKEN ANZEIGEN, um die Paketdatenverkehr-Statistiken für dieses VPN anzuzeigen. Weitere Informationen hierzu finden Sie unter Anzeigen von VPN-Tunnel-Statusinformationen und -Statistiken.

Nächste Maßnahme

Erstellen oder aktualisieren Sie Firewallregeln nach Bedarf. Um Datenverkehr über das richtlinienbasierte VPN zuzulassen, geben Sie im Feld Angewendet auf Internet-Schnittstelle an.