SDN Sprut пайдаланып VPN-туннелін ұйымдастыру

Продвинутый маршрутизатордың көмегімен жергілікті инфрақұрылымыңыздың желісі мен VK Cloud виртуалды желілері арасында VPN-туннелін баптай аласыз.

Продвинутый маршрутизаторды баптауды көрсету үшін екі тәуелсіз желі байланыстырылады:

• Клиенттік желі — тапсырыс берушінің ішкі желісі.
• Виртуалды желі — VK Cloud ішінде орналасқан және платформалық маршрутизаторға қосылған.

VK Cloud жеке кабинетінде қосылымды баптауды көрсету үшін мыналар жасалады:

• vRouter01 продвинутый маршрутизаторы;
• 212.233.88.21 мекенжайы бар интернетке қол жеткізуге арналған маршрутизатор интерфейсі;
• priv_net_demo жеке желісі;
• 10.10.2.0/24 мекенжайы бар priv_subnet_demo жеке ішкіжелісі;
• 10.10.2.213 мекенжайы бар test-vm ВМ;
• permit-remote-cidr-in қауіпсіздік тобы.

Клиенттік желіде мыналар пайдаланылады:

• RouterOS 7.19.3 операциялық жүйесі бар MikroTik маршрутизаторы;
• Debian 12 ОС бар сервер;
• IPsec баптау үшін IKEv2;
• IKE фазасын келісу үшін ортақ пайдалану кілті (PSK).

Желі топологиясы келесі түрде көрінеді:

1. OpenStack клиенті орнатылғанына көз жеткізіңіз және жобаға аутентификациядан өтіңіз.

2. VK Cloud жеке кабинетіне өтіңіз.

3. Жобаны таңдаңыз.

4. Келесі параметрлері бар желіні жасаңыз:

   • Желі атауы: priv_net_demo.

   • SDN: Sprut.

   • Жеке DNS аймағы: mcs.local.

   • Маршрутизатор: Қолданбау.

   • Ішкіжелілер тізімі: тізімдегі жалғыз ішкіжеліні өңдеңіз. Ішкіжелі үшін келесі параметрлерді орнатыңыз:

     • Атауы: priv_subnet_demo.
     • Мекенжайы: 10.10.2.0/24.
     • Шлюз: 10.10.2.1.
     • DHCP қосу: бұл опция таңдалғанына көз жеткізіңіз.
     • DHCP IP-мекенжайлар пулы: 10.10.2.100 - 10.10.2.200.
     • Жеке DNS: бұл опция таңдалғанына көз жеткізіңіз.

5. Келесі параметрлері бар продвинутый маршрутизаторды жасаңыз:

   • Маршрутизатор түрі: Продвинутый.
   • Атауы: vRouter01.
   • Қолжетімділік аймағы: Москва ME1.
   • SNAT: опцияны қосыңыз.

6. Жасалған маршрутизаторға екі интерфейсті қосыңыз:

   • жеке ішкіжеліге қосылу үшін;
   • интернетке қолжетімділігі бар ішкіжеліге қосылу үшін.

   Жеке ішкіжеліге қосылуға арналған интерфейсті жасау кезінде келесі параметрлерді орнатыңыз:

   • Атауы: internal.
   • Ішкіжелі: priv_subnet_demo.
   • Интерфейстің IP-мекенжайын көрсету: опцияны қосыңыз.
   • Интерфейстің IP-мекенжайы: 10.10.2.1.

7. Келесі параметрлері бар виртуалды машинаны ссылка:

   • Виртуалды машинаның атауы: test-vm.
   • Желі: priv_net_demo.

   Виртуалды машинаның ішкі IP-мекенжайын жазып алыңыз. Мысалда 10.10.2.213 пайдаланылады.

8. permit-remote-cidr-in қауіпсіздік тобын жасаңыз.

9. permit-remote-cidr-in қауіпсіздік тобында келесі параметрлері бар кіріс трафигі үшін ережені қосыңыз:

   • Түрі: Барлық протоколдар және барлық порттар.
   • Қашықтағы мекенжай блогында IP мекенжайлар ауқымы қойындысына өтіп, жеке ішкіжелі CIDR мәнін көрсетіңіз: 192.168.5.0/24.

10. permit-remote-cidr-in қауіпсіздік тобын test-vm ВМ-ге қолданыңыз.

1. Виртуальные сети → VPN бөліміне өтіңіз.

2. Добавить VPN немесе Добавить түймесін басыңыз.

3. VPN параметрлерін көрсетіңіз:

   • SDN: Sprut.

   • IKE-саясаты: келесі параметрлері бар IKE саясатын жасаңыз:

     • Саясат атауы: Demo_IKEv2_Policy.
     • Кілттің өмір сүру уақыты: 28800.
     • Авторизация алгоритмі: sha256.
     • Шифрлау алгоритмі: aes-256.
     • IKE нұсқасы: v2.
     • Диффи — Хеллман тобы: group14.

4. Следующий шаг түймесін басыңыз.

5. IPsec саясатын баптаңыз:

   • Саясат атауы: Demo_IPSec_Policy.
   • Кілттің өмір сүру уақыты: 7200.
   • Авторизация алгоритмі: sha256.
   • Шифрлау алгоритмі: aes-256.
   • Диффи — Хеллман тобы: group14.

6. Endpoint топтарын баптаңыз:

   • Маршрутизатор: vRouter01.

   • Local Endpoint: келесі параметрлері бар жергілікті endpoint тобын жасаңыз:

     • Атауы: my_local_demo_endpoint.
     • Ішкіжелі мекенжайы: 10.10.2.0/24.

   • Remote Endpoint: келесі параметрлері бар қашықтағы (remote) endpoint тобын жасаңыз:

     • Топ атауы: my_remote_demo_endpoint.
     • Ішкіжелі мекенжайы: 192.168.5.0/24.

7. Следующий шаг түймесін басыңыз.

8. VPN-туннелін баптаңыз:

   • Баптаулар: Расширенные.

   • Туннель атауы: demo_tun.

   • Пирдің жария IPv4 мекенжайы (Peer IP): 62.176.10.113.

   • Ортақ пайдалану кілті (PSK): тиісті түймені басып кілтті жасаңыз. Кілт мәнін клиенттік желі жағында баптау үшін жазып алыңыз.

   • Аутентификацияға арналған пир маршрутизаторының идентификаторы (Peer ID): 62.176.10.113.

   • Трафик ағындарының селекторы: Разделить.

   • Инициатор күйі: bi-directional

   • Қашықтағы пирдің қолжетімсіздігін анықтау баптаулары (Dead Peer Detection, DPD):

     • Пирдің қолжетімсіздігі анықталғанда: restart.
     • Пирдің қолжетімсіздігін анықтау аралығы: 15.
     • Пирдің қолжетімсіздігін анықтау уақыты: 60.

9. Создать VPN-туннель түймесін басыңыз.

MikroTik жабдығын WinBox 4 немесе CLI арқылы баптаңыз.

1. IPSec Profile дайындаңыз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.

   2. Profile қойындысына өтіңіз.

   3. New түймесін басыңыз.

   4. Параметр мәндерін көрсетіңіз:

      • Name: vk-dc-prof.
      • Hash Algorithms: sha256.
      • PRF Algorithms: auto.
      • Encryption Algorithms: aes-256.
      • DH Group: modp2048.
      • Proposal Check: obey.
      • Lifetime: 28800.
      • NAT Traversal: опцияны қосыңыз.
      • DPD Interval: 15.
      • DPD Maximum Failures: 4.

   5. ОК түймесін басыңыз.

   Команданы орындаңыз:

    
   /ip ipsec profileadd dh-group=modp2048 enc-algorithm=aes-256 hash-algorithm=sha256 lifetime=8h name=vk-dc-prof

2. IPSec Proposal дайындаңыз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.

   2. Proposal қойындысына өтіңіз.

   3. New түймесін басыңыз.

   4. Параметр мәндерін көрсетіңіз:

      • Name: vk-dc-prof.
      • Hash Algorithms: sha256.
      • Encryption Algorithms: aes-256-cbc.
      • Lifetime: 7200.
      • PFS Group: modp2048.

   5. ОК түймесін басыңыз.

   Команданы орындаңыз:

    
   /ip ipsec proposaladd auth-algorithms=sha256 enc-algorithms=aes-256-cbc lifetime=2h name=vk-dc-prop pfs-group=modp2048

3. IPsec Peer баптаңыз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.

   2. Peer қойындысына өтіңіз.

   3. New түймесін басыңыз.

   4. Параметр мәндерін көрсетіңіз:

      • Enabled: опцияны қосыңыз.
      • Name: vk-dc-peer.
      • Address: 212.233.88.21.
      • Local address: 62.176.10.113.
      • Profile: vk-dc-prof (бұрын жасалған).
      • Exchange mode: IKE2
      • Send INITAL_CONTRACT: опцияны қосыңыз.

   5. ОК түймесін басыңыз.

   Команданы орындаңыз:

    
   /ip ipsec peeradd address=212.233.88.21/32 exchange-mode=ike2 local-address=62.176.10.113 name=vk-dc-peer profile=vk-dc-prof

4. IPsec Identity баптаңыз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.

   2. Identities қойындысына өтіңіз.

   3. New түймесін басыңыз.

   4. Параметр мәндерін көрсетіңіз:

      • Enabled: опцияны қосыңыз.
      • Peer: vk-dc-peer.
      • Auth. Method: pre shared key.
      • Secret: бұлттық желі жағында VPN-туннелін баптау кезінде орнатылған Ортақ пайдалану кілті (PSK) параметрінің мәнін көрсетіңіз.

   5. ОК түймесін басыңыз.

   Команданы орындаңыз:

    
   /ip ipsec identityadd peer=vk-dc-peer secret=<PSK>

   Мұнда <PSK> — бұлттық желі жағында VPN-туннелін баптау кезінде орнатылған Ортақ пайдалану кілті (PSK) параметрінің мәні.

5. IPSec Policy дайындаңыз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.

   2. Policy қойындысына өтіңіз.

   3. New түймесін басыңыз.

   4. General қойындысында параметр мәндерін көрсетіңіз:

      • Enabled: опцияны қосыңыз.
      • Peer: vk-dc-peer.
      • Src. Address: 192.168.5.0.24.
      • Dst. Address: 10.10.2.0/24.

   5. Action қойындысына өтіп, параметр мәндерін көрсетіңіз:

      • Action: encrypt.
      • Level: require.
      • IPsec Protocol: esp.
      • Proposal: vk-dc-prop.

   6. ОК түймесін басыңыз.

   Команданы орындаңыз:

    
   /ip ipsec policyadd dst-address=10.10.2.0/24 peer=vk-dc-peer proposal=vk-dc-prop src-address=192.168.5.0/24 tunnel=yes

6. Ерекшеліктерді баптаңыз:

   1. NAT ерекшеліктерін баптаңыз.

      NAT трансляциясынан ерекшеліктер интернетке трафикті шығару үшін SNAT ережесінен жоғары орналасуы керек (action = masquerade және action = src-nat to address түріндегі ережелер).

      Команданы орындаңыз:

       
      /ip firewall natadd action=accept chain=srcnat comment=srcnat_fix_for_vk_dc_router dst-address=10.10.2.0/24 src-address=192.168.5.0/24

   2. VK Cloud желісінен жергілікті желіге IPsec VPN-туннелі арқылы трафиктің өтуіне рұқсат беру үшін Forward тізбегіндегі Firewall рұқсатын баптаңыз.

      Рұқсат беретін ереже интерфейске келіп түсетін белгісіз трафикке тыйым салатын ережеден жоғары орналасуы керек.

      Команданы орындаңыз:

       
      /ip firewall filteradd action=accept chain=forward src-address=10.10.2.0/24 dst-address=192.168.5.0/24 ipsec-policy=in,ipsec in-interface=ether1

      Мұнда ether1 — интернетке қосылған MikroTik физикалық интерфейсінің (порттың) атауы.

   3. MSS Window оңтайландыру үшін Mangle ережелерін баптаңыз:

       
      /ip firewall mangleadd action=change-mss chain=forward dst-address=192.168.5.0/24 new-mss=1360 protocol=tcp src-address=10.10.2.0/24 tcp-flags=syn tcp-mss=!0-1360add action=change-mss chain=forward dst-address=10.10.2.0/24 new-mss=1360 protocol=tcp src-address=192.168.5.0/24 tcp-flags=syn tcp-mss=!0-1360

1. Бұлттық желі жағындағы күйді тексеріңіз:

   1. Жобадағы VPN сервистерін шығарыңыз:

       
      openstack vpn service list

      Команда шығысының мысалы

   2. Сервис туралы толық ақпаратты шығарыңыз:

       
      openstack vpn service show 7a60f4c3-5684-43d8-b5d7-a0**********

      Команда шығысының мысалы

      Active күйі сервистің белсенді екенін және трафиктің қашықтағы алаңдар арасында беріле алатынын білдіреді.

2. Клиенттік желі жағындағы күйді тексеріңіз:

   WinBox

   CLI

   1. IP → IPsec бөліміне өтіңіз.
   2. Policy қойындысына өтіңіз.
   3. Бапталған саясаттың күйін тексеріңіз: PH2 State бағанында established көрсетілуі керек.

   Команданы орындаңыз:

    
   ip ipsec policy print detail where peer=vk-dc-peer

   Команда шығысының мысалы

3. 192.168.5.0/24 және 10.10.2.0/24 ішкіжелілері арасындағы байланысты ICMP Ping арқылы тексеріңіз:

   1. 192.168.5.9 мекенжайы бар клиенттік желідегі ВМ немесе сервердің терминал сессиясын ашыңыз.

   2. 10.10.2.213 бұлттық желідегі машинаның ішкі IP-мекенжайын ping арқылы тексеріңіз.

       
      ping 10.10.2.213 -c 3

      Команда шығысының мысалы

      IP-мекенжай ping сұрауына жауап беруі керек.

Егер жасалған ресурстар енді қажет болмаса, оларды жойыңыз:

1. Виртуалды машинаны жойыңыз.
2. Маршрутизаторды жойыңыз.
3. ВМ орналастырылған ішкіжеліні және желіні жойыңыз.