Xidmət, siyasət, son nöqtə qrupu və site connection
Beş VPN obyektini, onların qəbul etdiyi dəyərləri, paylaşılmasını, statuslarının mənasını və qarşı tərəfin qurğusu üçün lazım olan parametrləri öyrənin.
Site-to-site tunel beş obyektdən qurulur. Onların hər biri ayrıca resursdur və NetworkingVPN altında öz tab-vərəqəsində göstərilir. Bu məqalə hər obyektin nəyi təyin etdiyini və hansı dəyərləri qəbul etdiyini, obyektlərin necə paylaşıldığını, statuslarının nə demək olduğunu və tunelin digər ucundakı qurğuya hansı parametrlərin lazım olduğunu izah edir.
Beş obyekt
| Obyekt | Tab-vərəqə | Nəyi təyin edir | Bir neçə bağlantı ondan istifadə edə bilərmi? |
|---|---|---|---|
| VPN xidməti (VPN service) | VPN services | Tunellərin sonlandığı marşrutlaşdırıcını (router). | Bəli |
| IKE siyasəti (IKE policy) | IKE policies | 1-ci mərhələ: şlüzlər (gateway) bir-birini necə autentifikasiya edir və açarlar üzrə necə razılaşır. | Bəli |
| IPsec siyasəti (IPsec policy) | IPsec policies | 2-ci mərhələ: tunel daxilindəki trafik necə qorunur. | Bəli |
| Son nöqtə qrupu (endpoint group) | Endpoint groups | Tunelin bir ucu: lokal altşəbəkələr (subnet) və ya uzaq CIDR-lər. | Bəli |
| Site connection | Site connections | Bir qarşı tərəfin şlüzünə (peer gateway) gedən tunel. | Xeyr; digərlərindən istifadə edən obyekt odur. |
Site connection bir VPN xidmətinə, bir IKE siyasətinə, bir IPsec siyasətinə və iki son nöqtə qrupuna istinad edir: lokal qrupa və qarşı tərəf (peer) qrupuna. O, onları köçürmür.
VPN xidmətləri
VPN xidməti tunelləri layihənin (project) bir marşrutlaşdırıcısına bağlayır.
- Marşrutlaşdırıcı. Onun xarici şlüzü (external gateway) olmalıdır; konsol yalnız belə marşrutlaşdırıcıları göstərir. Xidmət yaradıldıqdan sonra marşrutlaşdırıcını dəyişmək olmaz.
- Xarici ünvan. Marşrutlaşdırıcının provayderin bildirdiyi xarici şlüz ünvanı. Bu, tunellərin lokal ucu və qarşı tərəfin qurğusunun qoşulduğu ünvandır. Provayder onu bildirənə qədər konsol Not reported yet göstərir.
- Status. Provayder yeni VPN xidmətini ilk site connection ondan istifadə edənə qədər Pending create statusunda saxlayır. Statuslar bölməsinə baxın.
Bir VPN xidməti bir çox site connection daşıya bilər. Onun adını və təsvirini istifadədə olarkən dəyişə bilərsiniz, lakin heç bir site connection ondan istifadə etməyənə qədər onu silə bilməzsiniz.
IKE siyasətləri
IKE siyasəti tunelin 1-ci mərhələsini təyin edir.
| Sahə | Dəyərlər | Standart dəyər |
|---|---|---|
| IKE version | v1, v2 | v2 |
| Phase 1 negotiation mode | main, aggressive | main |
| Authentication algorithm | sha1, sha256, sha384, sha512, aes-xcbc, aes-cmac | sha256 |
| Encryption algorithm | 3des, aes-128, aes-192, aes-256, həmçinin AES-128, AES-192 və AES-256-nın 8, 12 və 16 baytlıq ICV ilə CCM və GCM variantları, məsələn, aes-128-ccm-8 və ya aes-256-gcm-16 | aes-256 |
| PFS group | group2, group5, həmçinin group14-dən group31-ə qədər | group14 |
| Lifetime (seconds) | Ən azı 60 | 3600 |
IKE siyasətində PFS group 1-ci mərhələnin açar mübadiləsinin Diffie-Hellman qrupudur. Ömür müddətləri həmişə saniyə ilə verilir.
IPsec siyasətləri
IPsec siyasəti tunelin 2-ci mərhələsini təyin edir.
| Sahə | Dəyərlər | Standart dəyər |
|---|---|---|
| Transform protocol | esp, ah, ah-esp | esp |
| Encapsulation mode | tunnel, transport | tunnel |
| Authentication algorithm | IKE siyasətindəki dəyərlərin eynisi | sha256 |
| Encryption algorithm | IKE siyasətindəki dəyərlərin eynisi | aes-256 |
| PFS group | IKE siyasətindəki dəyərlərin eynisi | group14 |
| Lifetime (seconds) | Ən azı 60 | 3600 |
IPsec siyasətində PFS group 2-ci mərhələnin açarları yeniləndikdə istifadə olunan Diffie-Hellman qrupudur.
Hər iki cədvəldəki dəyərlər platformanın qəbul etdiyi dəyərlərdir. Qarşı tərəfin qurğusunun da dəstəklədiyi dəyərləri seçin. Trafiki şifrlənmiş saxlayan dəyərlər üçün VPN tunelləri bölməsinə baxın.
Son nöqtə qrupları
Son nöqtə qrupu tunelin bir ucunu göstərir.
| Tip | Uc | Son nöqtələr |
|---|---|---|
| subnet (local end) | Lokal | Layihənin bir və ya bir neçə altşəbəkəsi. |
| cidr (remote end) | Uzaq | Bir və ya bir neçə CIDR, məsələn, 172.16.0.0/16. Konsolda onları vergül, boşluq və ya nöqtəli vergüllə ayırın. |
- Qrup hər altşəbəkəni və ya CIDR-i yalnız bir dəfə sadalayır.
- Qrup yaradıldıqdan sonra tipi və son nöqtələri (endpoint) dəyişmək olmaz. Onun adını və təsvirini dəyişə bilərsiniz.
- Site connection-ə lokal qrup kimi subnet (local end) qrupu, qarşı tərəf qrupu kimi isə cidr (remote end) qrupu lazımdır. Lokal qrupdakı hər altşəbəkə bağlantının VPN xidmətinin marşrutlaşdırıcısına qoşulmalıdır.
Qarşı tərəfə çatmalı olan bütün lokal altşəbəkələri bir qrupa yerləşdirin. Eyni iki şlüz arasında ikinci site connection işləmir: iki şlüz tək IKE seansı işlədir, provayder ikinci tuneli rədd edir və həmin bağlantı tunel statusu göstərsə də trafik daşımır. Platforma onu yaratmağınıza mane olmur.
Site connection-lər
Site connection VPN xidmətiniz ilə bir qarşı tərəfin şlüzü arasındakı tuneldir.
| Sahə | Qaydalar | Standart dəyər | Sonra dəyişmək olarmı? |
|---|---|---|---|
| Name | 1–255 simvol, layihənin site connection-ləri arasında unikal. | — | Bəli |
| VPN service, IKE policy, IPsec policy | Layihədə mövcud olan, yaradılması başa çatmış obyektlər. | — | Xeyr |
| Local endpoint group, Peer endpoint group | Son nöqtə qrupları bölməsində təsvir olunduğu kimi altşəbəkə qrupu və CIDR qrupu. | — | Xeyr |
| Peer gateway address | Uzaq VPN qurğusunun ictimai ünvanı. | — | Qarşı tərəfin ünvanını dəyişmək üçün yeni bağlantı yaradın və köhnəsini silin. |
| Pre-shared key | Ən azı 8 simvol. Onu geri oxumaq olmur. Onu yalnız əvəz edə bilərsiniz. | — | Bəli: yeni açar daxil edin. Açar dəyişdirildikdə tunel üçün danışıqlar yenidən aparılır. |
| Initiator | bi-directional və ya response-only. response-only olduqda bu tərəf danışıqları qarşı tərəfin başlatmasını gözləyir. | bi-directional | Bəli |
| Dead peer detection action | hold, clear, disabled, restart və ya restart-by-peer: dead peer detection qarşı tərəfin cavab vermədiyini aşkar etdikdə şlüzün nə etdiyi. | hold | Bəli |
| DPD interval (seconds) | Ən azı 1. | 30 | Bəli |
| DPD timeout (seconds) | Ən azı 2 və intervaldan böyük. | 120 | Bəli |
| MTU | Ən azı 68 və ən çoxu platformanın tenant şəbəkəsinin (network) MTU-su. | Konsol layihənin şəbəkələrinin ən kiçik MTU-sunu təklif edir. Dəyər olmadıqda API platformanın tenant şəbəkəsinin MTU-sundan istifadə edir. | Bəli |
Bağlantını dəyişmək, onun tunelini qeyri-aktiv etmək və ya yenidən başlatmaq, yaxud onu silmək üçün VPN obyektlərini redaktə edin, qeyri-aktiv edin və silin səhifəsinə baxın.
IKE kimlikləri. IKE kimlikləri həmişə iki şlüzün ünvanlarıdır; onları təyin edə bilməzsiniz. VPN xidmətinin xarici ünvanı bu tərəfi, qarşı tərəfin şlüzünün ünvanı isə qarşı tərəfi identifikasiya edir.
MTU. MTU tunelin özününkündür. Onun içinə sığan paketlər daha kiçikdir, çünki ESP hər paketə başlıq, quyruq hissəsi və autentifikasiya məlumatları əlavə edir. Tam şəbəkə MTU-suna uyğunlaşdırılmış iş yükü öz MTU-sunu azaltmalı və ya TCP MSS-ni məhdudlaşdırmalıdır. Həddən artıq böyük paketlər yoxa çıxmaq əvəzinə xəta ilə uğursuz olur.
Təkrar istifadə və dəyişikliklər
VPN xidmətləri, siyasətlər (policy) və son nöqtə qrupları paylaşılır. Used by sütunu hər birindən istifadə edən site connection-ləri sayır. Say 0-dan böyük olduqda obyekti silmək olmaz, IKE və ya IPsec siyasətini isə ümumiyyətlə dəyişmək, hətta adını dəyişmək belə olmaz. VPN xidmətinin və ya son nöqtə qrupunun adını isə yenə də dəyişmək olar.
Site connection bütün ömrü boyu öz VPN xidmətini, siyasətlərini və son nöqtə qruplarını saxlayır. Provayder xidmətin və ya siyasətlərin dəyişdirilməsinə, platforma isə son nöqtə qruplarının dəyişdirilməsinə imkan vermir. Başqa obyektlərdən istifadə etmək üçün yeni site connection yaradın və köhnəsini silin.
Addımlar üçün VPN obyektlərini redaktə edin, qeyri-aktiv edin və silin səhifəsinə baxın.
Statuslar
Hər VPN obyektinin Provisioning sütununda göstərilən təchizat statusu (provisioning status) var:
| Status | Mənası |
|---|---|
| Pending create, Pending update, Pending delete | Platforma obyekti yaradır, dəyişir və ya silir. |
| Ready | Obyekt provayderdə göstərilən parametrlərlə mövcuddur. |
| Error | Sonuncu yaratma, dəyişmə və ya silmə uğursuz olub, yaxud site connection üçün provayder bağlantının xəta vəziyyətində olduğunu bildirir. Obyektin təfərrüatlarında səbəbi ilə birlikdə What the provider reported göstərilir. |
VPN xidmətlərinin və site connection-lərin həmçinin Status dəyəri olur: provayderin bildirdiyi kimi qeyd edilmiş öz statusu. O, Active, Down, Inactive, Error və ya gözləmə vəziyyətidir, provayder status bildirənə qədər isə Not reported yet olur. Site connection üçün bu, tunelin statusudur. Active tunelin təhlükəsizlik bağlılıqlarının qurulduğunu bildirir. Bu, trafikin keçdiyini sübut etmir; bunu iki şəbəkə arasında trafiklə yoxlayın.
Platforma obyekt üzərində əməliyyatı başa çatdırdıqda statusu qeyd edir. Site connection üçün bu, onun yaradılması, konfiqurasiyasının dəyişdirilməsi və ya aktivləşdirilməsi, qeyri-aktiv edilməsi, yaxud yenidən başladılmasıdır; VPN xidmətinin statusu isə onun üzərindəki site connection-in yaradılması başa çatdıqda yenidən oxunur. Platforma həmçinin layihənin VPN obyektlərini müntəzəm intervallarla provayderdən oxuyur və əməliyyatı davam edən obyektlər istisna olmaqla, provayderin bildirdiklərini qeyd edir. Bağlantının səhifəsindəki Refresh düyməsi bağlantının qeydini platformadan yenidən yükləyir; o, platformanı provayderə sorğu göndərməyə məcbur etmir.
Qarşı tərəfin qurğusunu konfiqurasiya edin
Tunelin digər ucundakı qurğuya site connection-ə uyğun parametrlər lazımdır. Hər dəyəri konsolda aşağıdakı kimi tapın. Siyasətlər və son nöqtə qrupları bağlantının səhifəsindəki References panelindən açılır.
| Qarşı tərəfin qurğusundakı parametr | Dəyər | Harada tapmaq olar |
|---|---|---|
| Uzaq şlüzün ünvanı | VPN xidmətinin xarici ünvanı. | VPN services tab-vərəqəsində External address |
| Öz şlüz ünvanı və IKE kimliyi | Qarşı tərəfin şlüz ünvanı kimi daxil etdiyiniz ünvan. | Bağlantının səhifəsində Peer gateway və Peer ID |
| Uzaq IKE kimliyi | VPN xidmətinin xarici ünvanı. | VPN services tab-vərəqəsində External address |
| Autentifikasiya | Əvvəlcədən paylaşılan açar (pre-shared key). | Daxil etdiyiniz açar; onu geri oxumaq olmur. |
| IKE versiyası və 1-ci mərhələ rejimi | IKE version, Phase 1 negotiation mode | IKE siyasəti |
| 1-ci mərhələnin şifrləməsi və tamlığı | Encryption algorithm, Authentication algorithm | IKE siyasəti |
| 1-ci mərhələnin Diffie-Hellman qrupu | PFS group | IKE siyasəti |
| 1-ci mərhələnin ömür müddəti | Lifetime (seconds) | IKE siyasəti |
| 2-ci mərhələnin protokolu və rejimi | Transform protocol, Encapsulation mode | IPsec siyasəti |
| 2-ci mərhələnin şifrləməsi və tamlığı | Encryption algorithm, Authentication algorithm | IPsec siyasəti |
| 2-ci mərhələnin PFS qrupu | PFS group | IPsec siyasəti |
| 2-ci mərhələnin ömür müddəti | Lifetime (seconds) | IPsec siyasəti |
| Öz şəbəkələri | Qarşı tərəfin son nöqtə qrupunun CIDR-ləri. | Peer endpoint group |
| Uzaq şəbəkələr | Lokal son nöqtə qrupundakı altşəbəkələrin CIDR-ləri. | Local endpoint group |
| Danışıqları kim başladır | Initiator response-only olduqda danışıqları qarşı tərəf başlatmalıdır. | Bağlantının səhifəsində Initiator |