Quando si aggiunge una VPN IPSec basata su criteri, i tunnel IPSec vengono utilizzati per connettere più subnet locali dietro al nodo NSX Edge con subnet peer nel sito VPN remoto.
I passaggi seguenti utilizzano la scheda Sessioni IPSec nell'interfaccia utente di NSX Manager per creare una sessione IPSec basata su criteri. Aggiungere inoltre informazioni per i profili tunnel, IKE e DPD e selezionare un endpoint locale esistente da utilizzare con la VPN IPSec basata su criteri.
È inoltre possibile aggiungere le sessioni VPN IPSec immediatamente dopo aver configurato correttamente il servizio VPN IPSec. Fare clic su Sì quando viene richiesto di continuare con la configurazione del servizio VPN IPSec e selezionare nel pannello Aggiungi servizio IPSec. Nei primi passaggi della procedura seguente si assume che si scelga No alla richiesta per continuare con la configurazione del servizio VPN IPSec. Se si sceglie Sì, procedere con il passaggio 3 nella procedura seguente per essere guidati nel resto della configurazione della sessione VPN IPSec basata su criteri.
Prerequisiti
- È necessario aver configurato un servizio VPN IPSec prima di procedere. Vedere Aggiunta di un servizio VPN IPSec.
- Ottenere le informazioni per l'endpoint locale, l'indirizzo IP del sito peer, la subnet della rete locale e la subnet della rete remota da utilizzare con la sessione VPN IPSec basata su criteri che si sta aggiungendo. Per creare un endpoint locale, vedere Aggiunta di endpoint locali.
- Se si utilizza una chiave PSK (Pre-Shared Key, chiave già condivisa) per l'autenticazione, ottenere il valore della PSK.
- Se per l'autenticazione si utilizza un certificato, assicurarsi che i certificati del server necessari e i certificati corrispondenti firmati dall'autorità di certificazione siano già stati importati. Vedere Certificati.
- Se non si desidera utilizzare i valori predefiniti per i profili del tunnel IPSec, IKE o DPD (Dead Peer Detection) forniti da NSX, configurare i profili che si desidera utilizzare. Per informazioni, vedere Aggiunta di profili.
Procedura
- Selezionare un endpoint locale esistente dal menu a discesa.
Questo valore dell'endpoint locale è obbligatorio e identifica il nodo NSX Edge locale. Se si desidera creare un endpoint locale diverso, fare clic sul menu con i tre puntini (
) e selezionare
Aggiungi endpoint locale.
- Per modificare i profili, la modalità di avvio, la modalità di clamping TCP MSS e i tag utilizzati dalla sessione VPN IPSec basata su criteri, fare clic su Proprietà avanzate.
Per impostazione predefinita, vengono utilizzati i profili generati dal sistema. Selezionare un altro profilo disponibile se non si desidera utilizzare il profilo predefinito. Se si desidera utilizzare un profilo non ancora configurato, fare clic sul menu con i tre puntini ( ) per creare un altro profilo. Vedere
Aggiunta di profili.
- Se il menu a discesa Profili IKE è abilitato, selezionare il profilo IKE.
- Selezionare il profilo del tunnel IPsec se il menu a discesa Profili IPSec non è disabilitato.
- Selezionare il profilo DPD preferito se il menu a discesa Profili DPD è abilitato.
- Selezionare la modalità preferita dal menu a discesa Modalità di avvio della connessione.
La modalità di avvio della connessione definisce il criterio utilizzato dall'endpoint locale nel processo di creazione dei tunnel. Il valore predefinito è Iniziatore. La seguente tabella descrive le diverse modalità di avvio delle connessioni disponibili.
Tabella 1. Modalità di avvio delle connessioni Modalità di avvio della connessione Descrizione Initiator Il valore predefinito. In questa modalità, l'endpoint locale avvia la creazione del tunnel VPN IPSec e risponde alle richieste di configurazione del tunnel in entrata dal gateway peer. On Demand In questa modalità, l'endpoint locale avvia la creazione del tunnel VPN IPSec dopo la ricezione del primo pacchetto che corrisponde alla regola del criterio. Risponde inoltre alla richiesta di avvio in arrivo. Respond Only La VPN IPSec non inizia mai una connessione. È sempre il sito peer ad avviare la richiesta di connessione e l'endpoint locale risponde a questa richiesta di connessione.
- Se si desidera ridurre il payload MSS (Maximum Segment Size) della sessione TCP durante la connessione IPSec, abilitare Clamping TCP MSS, selezionare il valore Direzione TCP MSS e, facoltativamente, impostare il Valore TCP MSS.
Per ulteriori informazioni, consultare Informazioni sulla funzionalità Clamping TCP MSS.
- Se si desidera includere questa sessione come parte di un gruppo specifico, immettere il nome del tag in Tag.
risultati
Operazioni successive
- Verificare che lo stato del tunnel VPN IPSec sia Attivo. Per informazioni, vedere Monitoraggio e risoluzione dei problemi delle sessioni VPN.
- Se necessario, gestire le informazioni della sessione VPN IPSec facendo clic sul menu con i tre puntini ( ) sul lato sinistro della riga della sessione. Selezionare una delle azioni che all'utente è consentito eseguire.
- Per configurare il dispositivo VPN peer, vedere Download del file di configurazione della VPN IPSec lato remoto.
