Dieser Abschnitt bietet eine kurze Übersicht und detaillierte Verfahren zur Konfiguration von routenbasiertem NSD über Gateway zum VMware Cloud AWS Gateway.

Übersicht über routenbasiertes NSD über Gateway zum VMware Cloud AWS Gateway

Die Abbildung unten veranschaulicht die Integration von VMware SD-WAN und VMware Cloud on AWS, die IPsec-Konnektivität zwischen dem VMware SD-WAN Gateway und dem VMware Cloud-Gateway nutzt.

Vorgehensweise

Dieser Abschnitt enthält schrittweise Anleitungen, wie die Konnektivität zwischen einem SD-WAN Gateway und einem VMware Cloud-Gateway erreicht werden kann.
  1. Melden Sie sich bei der VMware Cloud-Konsole basierend auf der URL für Ihre SDDC-Organisation an (Die Anmeldeseite für VMware Cloud Services). Wählen Sie auf der Cloud Services Platform „VMware Cloud on AWS“ aus.
  2. Suchen Sie die für die VPN-Konnektivität verwendete öffentliche IP, indem Sie auf die Registerkarte „Netzwerke und Sicherheit (Networking and Security)“ klicken. Die öffentliche VPN-IP wird unterhalb des Fensters „Übersicht (Overview)“ angezeigt.

  3. Bestimmen Sie die Netzwerke/Subnetze für die Auswahl der Datenverkehrsverschlüsselung (gewünschter Datenverkehr) und notieren Sie diese. Diese sollten aus den Segmenten Netzwerk/Sicherheit in der VMware Cloud stammen. (Suchen Sie diese, indem Sie unter Netzwerk (Network) auf Segmente (Segments) klicken.)
  4. Melden Sie sich beim SD-WAN Orchestrator an und stellen Sie sicher, dass SD-WAN Edges angezeigt werden (neben ihnen wird ein grünes Statussymbol angezeigt).

  5. Navigieren Sie zur Registerkarte Konfigurieren (Configure) und klicken Sie auf Netzwerkdienste (Network Services). Klicken Sie unter „Nicht-SD-WAN-Ziel über Gateway (Non SD-WAN Destination via Gateway)“ auf die Schaltfläche Neu (New).

  6. Geben Sie einen Namen für das Nicht-SD-WAN-Ziel über Gateway an. Wählen Sie den Typ, in diesem Fall „Generischer IKEv2-Router (routenbasiertes VPN) (Generic IKEv2 Router (Route Based VPN))“, geben Sie die öffentliche IP von der in Schritt 2 erhaltenen VMC ein und klicken Sie auf Weiter (Next).

  7. Klicken Sie auf die Schaltfläche „Erweitert (Advanced)“ und führen Sie die folgenden Schritte aus:
    1. Wechseln Sie zum gewünschten PSK.
    2. Stellen Sie sicher, dass die Verschlüsselung auf AES 128 eingestellt ist.
    3. Ändern Sie die DH-Gruppe auf 2.
    4. Aktivieren Sie PFS auf 2.
    5. Setzen Sie den Authentifizierungsalgorithmus auf SHA 1.
    6. Deaktivieren Sie das Site-Subnetz, da Subnetze über BGP erlernt werden. (Wenn BGP nicht konfiguriert ist, fügen Sie die in Schritt 3 erfassten Site-Subnetze hinzu, wie bei einer statischen Route).
    7. Klicken Sie auf das Kontrollkästchen neben Tunnel aktivieren (Enable Tunnels).
    8. Klicken Sie auf Änderungen speichern (Save Changes).

  8. Klicken Sie auf IKE/IPSec-Vorlage anzeigen (View IKE/IPSec Template), kopieren Sie die Informationen in eine Textdatei und schließen Sie dann das Fenster.

  9. Klicken Sie im linken Fensterbereich auf Konfigurieren (Configure) > Profile (Profiles).

  10. Navigieren Sie zum Profil für den zugehörigen SD-WAN Edge und klicken Sie auf das entsprechende Profil.
  11. Führen Sie unter dem richtigen Profil die folgenden Schritte aus.
    1. Navigieren Sie zur Registerkarte Gerät (Device) und aktivieren Sie unter „Cloud-VPN (Cloud VPN)“ und „Zweigstelle-zu-Nicht-SD-WAN-Ziel über Gateway (Non SD-WAN Destination via Gateway)“ das Kontrollkästchen neben Aktivieren (Activate).
    2. Wählen Sie im Dropdown-Menü das „NSD über Gateway (NSD via Gateway)“ aus, das erstellt wurde (ab Schritt 6).
    3. Klicken Sie auf die Schaltfläche Änderungen speichern (Save Changes) oben im Bildschirm.

  12. Wechseln Sie zur Seite Netzwerkdienst (Network Service) und klicken Sie im Dienstbereich „NSD über Gateway (NSD via Gateway)“ auf die Schaltfläche „BGP“.

  13. Konfigurieren Sie die BGP-Parameter:
    1. Lokale ASN 65001 konfigurieren
    2. Nachbar-IP – 169.254.32.2 c) Peer-ASN – 65000 (VMC Standard-ASN ist 65000)
    3. Lokale IP-Adresse – 169.254.32.1
      Hinweis: Es wird empfohlen, einen /30 CIDR aus dem Subnetz 169.254.0.0/16 zu verwenden, ohne die folgenden reservierten VMC-Adressen – 169.254.0.0-169.254.31.255, 169.254.101.0-169.254.101.3

    Der Tunnel sollte auf dem SD-WAN Orchestrator mit BGP über IPsec bereit sein.
  14. Melden Sie sich bei der VMware Cloud-Konsole an.
  15. Navigieren Sie zu „Netzwerke und Sicherheit (Networking and Security)“ und klicken Sie auf die Registerkarte „VPN“. Wählen Sie im Bereich „VPN“ die Option „Routenbasiertes VPN (Route Based VPN)“ aus und klicken Sie auf „VPN hinzufügen (Add VPN)“.

  16. Geben Sie einen Namen für das routenbasierte VPN an und konfigurieren Sie Folgendes.
    1. Wählen Sie einen Namen. (Wählen Sie einen Namen, der mit „To_SDWAN_Gateway“ beginnt, damit das VPN bei der Fehlerbehebung und beim zukünftigen Support leicht identifiziert werden kann).
    2. Wählen Sie die öffentliche IP aus.
    3. Geben Sie die öffentliche Remote-IP ein.
    4. Geben Sie die private Remote-IP ein. HINWEIS: Hierfür ist ein Anruf beim GSS-Support erforderlich. Bitte lesen Sie den folgenden KB-Artikel und geben Sie die KB-ID an, wenn Sie den Support kontaktieren. https:// ikb.vmware.com/s/article/78196.
    5. Geben Sie die lokale BGP-IP an.
    6. Geben Sie die Remote-BGP-IP an.
    7. Wählen Sie unter „Tunnel-Verschlüsselung (Tunnel Encryption)“ die Option „AES 128“ aus.
    8. Wählen Sie unter „Tunnel-Digest-Algorithmus (Tunnel Digest Algorithm)“ die Option „SHA1“ aus.
    9. Stellen Sie sicher, dass „Perfect Forward Secrecy“ auf „Aktiviert (Enabled)“ festgelegt ist.
    10. Geben Sie den PSK ein, der Schritt 7A entspricht.
    11. Wählen Sie unter „IKE-Verschlüsselung (IKE Encryption)“ die Option „AES 128“ aus.
    12. Wählen Sie unter „IKE-Digest-Algorithmus (IKE Digest Algorithmus)“ die Option „SHA 1“ aus.
    13. Wählen Sie unter „IKE-Typ (IKE Type)“ die Option „IKEv2“ aus.
    14. Wählen Sie unter „Diffie Hellman“ die Option „Gruppe 2 (Group 2)“ aus.
    15. Klicken Sie auf Speichern (Save).

  17. Sobald die Konfiguration abgeschlossen ist, wird der Tunnel automatisch aktiviert und fährt fort, die Parameter der IKE-Phase 1 und Phase 2 mit dem Peer, also dem SD-WAN Gateway, auszuhandeln.

  18. Sobald der Tunnel angezeigt wird (grün), überprüfen Sie den NSD-über-Gateway-Tunnel/BGP-Status im SD-WAN Orchestrator (wechseln Sie zu Überwachen (Monitor) > Netzwerkdienste (Network Services)).

  19. Starten Sie einen Ping von einem Client, der an beiden Enden verbunden ist, zum gegenüberliegenden Client und überprüfen Sie die Erreichbarkeit des Pings. Die Tunnelkonfiguration ist vollständig und verifiziert.