Ein routenbasiertes VPN erstellt eine IPSec-Tunnelschnittstelle und leitet den Datenverkehr entsprechend der SDDC-Routing-Tabelle weiter. Ein routenbasiertes VPN bietet zuverlässigen und sicheren Zugriff auf mehrere Subnetze. Wenn Sie ein routenbasiertes VPN verwenden, werden neue Routen automatisch hinzugefügt, wenn neue Netzwerke erstellt werden.

Routenbasierte VPNs in Ihrem VMware Cloud on AWS-SDDC verwenden ein IPSec-Protokoll zur Sicherung des Datenverkehrs und das Border Gateway Protocol (BGP), um Routen zu erkennen und zu propagieren, wenn Netzwerke hinzugefügt und entfernt werden. Um ein routenbasiertes VPN zu erstellen, konfigurieren Sie die BGP-Informationen für den lokalen Endpoint (SDDC) und den Remote-Endpoint (lokal) und geben Sie dann die Tunnelsicherheitsparameter für das SDDC-Ende des Tunnels an.
Wichtig:

Wenn Ihr SDDC sowohl ein richtlinienbasiertes als auch ein routenbasiertes VPN enthält, schlägt die Verbindung über das richtlinienbasierte VPN fehl, wenn das routenbasierte VPN die Standardroute (0.0.0.0/0) für das SDDC ankündigt.

Prozedur

  1. Melden Sie sich bei der VMC Console unter https://vmc.vmware.com an.
  2. Klicken Sie auf Netzwerk und Sicherheit > VPN > Routenbasiert.
  3. (Optional) Ändern Sie die standardmäßige lokale autonome Systemnummer (ASN).
    Alle routenbasierten VPNs in der SDDC sind standardmäßig auf ASN 65000 eingestellt. Die lokale ASN muss sich von der Remote-ASN unterscheiden. (iBGP, bei dem die lokale und die Remote-ASN übereinstimmen müssen, wird in SDDC-Netzwerken nicht unterstützt.) Um die lokale Standard-ASN zu ändern, klicken Sie auf LOKALE ASN BEARBEITEN, geben Sie einen neuen Wert im Bereich von 64521 bis 65535 (oder 4200000000 bis 4294967294) ein und klicken anschließend auf ÜBERNEHMEN.
    Hinweis: Jede Änderung dieses Werts wirkt sich auf alle routenbasierten VPNs in diesem SDDC aus.
  4. Klicken Sie auf VPN HINZUFÜGEN und geben Sie dem neuen VPN einen Namen und eine optionale Beschreibung.
  5. Wählen Sie im Dropdown-Menü Lokale IP-Adresse aus.
    • Wenn dieses SDDC Teil einer SDDC-Gruppe ist oder für die Verwendung von AWS Direct Connect konfiguriert wurde, wählen Sie die private IP-Adresse aus, damit das VPN statt einer Internetverbindung diese Verbindung verwendet. Beachten Sie, dass der VPN-Datenverkehr über Direct Connect oder VMware Managed Transit Gateway (VTGW) auf die Standard-MTU von 1500 Byte beschränkt ist, selbst wenn der Link eine höhere MTU unterstützt. Weitere Informationen hierzu finden Sie unter Konfigurieren von Direct Connect für eine private virtuelle Schnittstelle für den Datenverkehr des SDDC-Verwaltungs- und Computing-Netzwerks.
    • Wählen Sie die öffentliche IP-Adresse aus, wenn die VPN-Verbindung über das Internet hergestellt werden soll.
  6. Geben Sie im Feld Öffentliche Remote-IP-Adresse die Adresse Ihres lokalen VPN-Endpoints ein.
    Dies ist die Adresse des Geräts, das IPSec-Anforderungen für dieses VPN initiiert oder darauf antwortet. Diese Adresse muss die folgenden Anforderungen erfüllen:
    • Sie darf nicht bereits für ein anderes VPN verwendet werden. VMware Cloud on AWS verwendet für alle VPN-Verbindungen dieselbe öffentliche IP-Adresse. Es kann also nur eine einzelne VPN-Verbindung (routenbasiert, richtlinienbasiert oder L2VPN) für eine bestimmte öffentliche Remote-IP-Adresse erstellt werden.
    • Sie muss über das Internet erreichbar sein, wenn Sie eine öffentliche IP-Adresse in Schritt 5 angegeben haben.
    • Sie muss über das VTGW oder Direct Connect zu einer privaten VIF erreichbar sein, wenn Sie in Schritt 5 eine private IP-Adresse angegeben haben.
    Standard-Gateway-Firewallregeln ermöglichen eingehenden und ausgehenden Datenverkehr über die VPN-Verbindung, aber Sie müssen Firewallregeln erstellen, um den Datenverkehr über den VPN-Tunnel zu verwalten.
  7. Geben Sie für Lokale BGP-IP/Präfixlänge eine Netzwerkadresse aus einem CIDR-Block der Größe /30 innerhalb des Subnetzes 169.254.0.0/16 ein.

    Einige Blöcke in diesem Bereich sind reserviert, wie in Reservierte Netzwerkadressenerwähnt. Wenn Sie (aufgrund eines Konflikts mit einem vorhandenen Netzwerk) kein Netzwerk aus dem Subnetz 169.254.0.0/16 verwenden können, müssen Sie eine Firewallregel erstellen, die Datenverkehr vom BGP-Dienst zu dem Subnetz zulässt, das Sie hier auswählen. Weitere Informationen hierzu finden Sie unter Hinzufügen oder Ändern von Firewallregeln für das Computing-Gateway.

    Lokale BGP-IP/Präfixlänge gibt sowohl ein lokales Subnetz als auch eine IP-Adresse an. Daher muss der von Ihnen angegebene Wert die zweite oder dritte Adresse im Bereich /30 sein und das Suffix „/30“ enthalten. Beispiel: Wenn Lokale BGP-IP/Präfixlänge 169.254.32.1/30 lautet, wird das Netzwerk 169.254.32.0 erstellt und 169.254.32.1 als lokale BGP-IP (auch bekannt als Virtual Tunnel Interface oder VTI) zugewiesen.

  8. Geben Sie für die Remote-BGP-IP die verbleibende IP-Adresse aus dem Bereich ein, den Sie in Schritt 7festgelegt haben.
    Wenn Sie beispielsweise für Lokale BGP-IP/Präfixlänge 169.254.32.1/30 angegeben haben, verwenden Sie als Remote-BGP-IP 169.254.32.2. Verwenden Sie bei der Konfiguration des lokalen Endes dieses VPN die IP-Adresse, die Sie für die Remote-BGP-IP als lokale BGP-IP- oder VTI-Adresse angeben.
  9. Geben Sie als BGP-Nachbar-ASN die ASN Ihres lokalen VPN-Gateways ein.
  10. Konfigurieren Sie Erweiterte Tunnelparameter.
    Option Beschreibung
    Tunnelverschlüsselung Wählen Sie eine Sicherheitsverbindung der Phase 2 aus, die von Ihrem lokalen VPN-Gateway unterstützt wird.
    Tunnel-Digest-Algorithmus Wählen Sie einen Digest-Algorithmus der Phase 2 aus, der von Ihrem lokalen VPN-Gateway unterstützt wird.
    Hinweis:

    Wenn Sie eine GCM-basierte Verschlüsselung für Tunnelverschlüsselung angeben, legen Sie Tunnel-Digest-Algorithmus auf Keiner fest. Die Digest-Funktion ist integraler Bestandteil der GCM-Verschlüsselung.

    Perfect Forward Secrecy Aktivieren oder deaktivieren Sie die Option entsprechend der Einstellung Ihres lokalen VPN-Gateways. Durch die Aktivierung von Perfect Forward Secrecy wird verhindert, dass aufgezeichnete (vergangene) Sitzungen entschlüsselt werden, wenn der private Schlüssel jemals gefährdet sein sollte.
    Pre-Shared Key Geben Sie die Zeichenfolge für den Pre-Shared Key ein.

    Die maximale Schlüssellänge beträgt 128 Zeichen. Dieser Schlüssel muss für beide Enden des VPN-Tunnels identisch sein.

    Private Remote-IP-Adresse Lassen Sie dieses Feld leer, um die Öffentliche Remote-IP als Remote-ID für die IKE-Verhandlung zu verwenden. Wenn sich Ihr lokales VPN-Gateway hinter einem NAT-Gerät befindet und/oder eine andere IP-Adresse als lokale ID verwendet, müssen Sie diese IP-Adresse hier eingeben.
    IKE-Verschlüsselung Wählen Sie eine Verschlüsselung der Phase 1 (IKE) aus, die von Ihrem lokalen VPN-Gateway unterstützt wird.
    IKE-Digest-Algorithmus Wählen Sie einen Digest-Algorithmus der Phase 1 aus, der von Ihrem lokalen VPN-Gateway unterstützt wird. Es wird empfohlen, denselben Algorithmus sowohl für den IKE-Digest-Algorithmus als auch für den Tunnel-Digest-Algorithmus zu verwenden.
    Hinweis:

    Wenn Sie eine GCM-basierte Verschlüsselung für IKE-Verschlüsselung angeben, legen Sie IKE-Digest-Algorithmus auf Keiner fest. Die Digest-Funktion ist integraler Bestandteil der GCM-Verschlüsselung. Sie müssen IKE V2 verwenden, wenn Sie eine GCM-basierte Verschlüsselung verwenden

    .
    IKE-Typ
    • Geben Sie IKE V1 an, um das IKEv1-Protokoll zu initiieren und zu akzeptieren.
    • Geben Sie IKE V2 an, um das IKEv2-Protokoll zu initiieren und zu akzeptieren. Sie müssen IKEv2 verwenden, wenn Sie einen GCM-basierten IKE-Digest-Algorithmus angegeben haben.
    • Geben Sie IKE FLEX an, um entweder IKEv1 oder IKEv2 zu akzeptieren, und initiieren Sie dann mit IKEv2. Wenn die IKEv2-Initiierung fehlschlägt, greift IKE FLEX nicht auf IKEv1 zurück.
    Diffie-Hellman Wählen Sie eine Diffie-Hellman-Gruppe aus, die von Ihrem lokalen VPN-Gateway unterstützt wird. Dieser Wert muss für beide Enden des VPN-Tunnels identisch sein. Höhere Gruppennummern bieten einen besseren Schutz. Es wird empfohlen, Gruppe 14 oder höher auszuwählen.
    Initiierungsmodus für Verbindungen Der Initiierungsmodus für Verbindungen definiert die Richtlinie, die der lokale Endpoint bei der Tunnelerstellung verwendet. Die folgenden Modi sind verfügbar:
    Initiator
    Der Standardwert. In diesem Modus initiiert der lokale Endpoint die Erstellung des VPN-Tunnels und reagiert auf eingehende Tunneleinrichtungsanforderungen vom Peer-Gateway.
    On Demand
    Nicht für routenbasiertes VPN anwendbar.
    Nur Reaktion
    In diesem Modus initiiert das VPN nie eine Verbindung. Die Peer-Site initiiert immer die Verbindungsanforderung, und der lokale Endpoint reagiert auf diese Verbindungsanforderung.
    TCP-MSS-Anbindung Um die Nutzlast der maximalen Segmentgröße (MSS) in der TCP-Sitzung während der IPSec-Verbindung zu reduzieren, aktivieren Sie TCP-MSS-Anbindung, wählen den Wert für die TCP-MSS-Richtung und legen optional den TCP-MSS-Wert fest. Weitere Informationen finden Sie unter Grundlegendes zur TCP-MSS-Anbindung im NSX-T Data Center-Administrationsleitfaden.
  11. (Optional) Geben Sie unter Erweiterte BGP-Parameter einen BGP-Schlüssel ein, der mit dem vom lokalen Gateway verwendeten Schlüssel übereinstimmt.
  12. (Optional) Versehen Sie das VPN mit einem Tag.

    Weitere Informationen zum Taggen von NSX-T-Objekten finden Sie unter Hinzufügen von Tags zu einem Objekt im Administratorhandbuch für NSX-T Data Center.

  13. Klicken Sie auf SPEICHERN.

Ergebnisse

Der VPN-Erstellungsvorgang kann einige Minuten dauern. Wenn das routenbasierte VPN verfügbar wird, werden der Tunnelstatus und der BGP-Sitzungszustand angezeigt. Die folgenden Aktionen sind verfügbar, um Sie bei der Fehlerbehebung und der Konfiguration des lokalen Endes des VPN zu unterstützen:
  • Klicken Sie auf KONFIGURATION HERUNTERLADEN, um eine Datei herunterzuladen, die die VPN-Konfigurationsdetails enthält. Sie können diese Details verwenden, um ein lokales Ende dieses VPN zu konfigurieren.
  • Klicken Sie auf STATISTIKEN ANZEIGEN, um die Paketdatenverkehr-Statistiken für dieses VPN anzuzeigen. Weitere Informationen hierzu finden Sie unter Anzeigen von VPN-Tunnel-Statusinformationen und -Statistiken.
  • Klicken Sie auf ROUTEN ANZEIGEN, um eine Darstellung der von diesem VPN angekündigten und erlernten Routen zu öffnen.
  • Klicken Sie auf ROUTEN HERUNTERLADEN, um eine Liste der Angekündigten Routen oder Erlernten Routen im CSV-Format anzuzeigen.

Nächste Maßnahme

Erstellen oder aktualisieren Sie Firewallregeln nach Bedarf. Um Datenverkehr über das routenbasierte VPN zuzulassen, geben Sie VPN-Tunnelschnittstelle im Feld Angewendet auf an. Die Option Alle Uplinks umfasst nicht den VPN-Tunnel.