Dienste, Richtlinien, Endpunktgruppen & Standortverbindungen
Die fünf VPN-Objekte, ihre zulässigen Werte, ihre gemeinsame Nutzung, die Bedeutung ihrer Status und die Einstellungen, die das Gerät der Gegenstelle benötigt.
Ein Site-to-Site-Tunnel besteht aus fünf Objekten. Jedes ist eine eigene Ressource und wird unter NetzwerkVPN auf einer eigenen Registerkarte aufgeführt. Dieser Artikel beschreibt, was jedes Objekt festlegt und welche Werte es akzeptiert, wie Objekte gemeinsam genutzt werden, was ihre Status bedeuten und welche Einstellungen das Gerät am anderen Ende des Tunnels benötigt.
Die fünf Objekte
| Objekt | Registerkarte | Was es festlegt | Von mehreren Verbindungen nutzbar? |
|---|---|---|---|
| VPN-Dienst | VPN-Dienste | Den Router, an dem die Tunnel enden. | Ja |
| IKE-Richtlinie | IKE-Richtlinien | Phase 1: wie sich die Gateways gegenseitig authentifizieren und auf Schlüssel einigen. | Ja |
| IPsec-Richtlinie | IPsec-Richtlinien | Phase 2: wie der Datenverkehr im Tunnel geschützt wird. | Ja |
| Endpunktgruppe | Endpunktgruppen | Ein Ende eines Tunnels: lokale Subnetze oder entfernte CIDRs. | Ja |
| Standortverbindung | Standortverbindungen | Den Tunnel zu einem Gateway der Gegenstelle. | Nein; sie ist das Objekt, das die anderen verwendet. |
Eine Standortverbindung verweist auf einen VPN-Dienst, eine IKE-Richtlinie, eine IPsec-Richtlinie und zwei Endpunktgruppen: eine lokale und eine der Gegenstelle. Sie kopiert sie nicht.
VPN-Dienste
Ein VPN-Dienst verankert Tunnel an einem Router des Projekts.
- Router. Er muss ein externes Gateway haben; die Konsole listet nur solche Router auf. Der Router kann nach dem Erstellen des Dienstes nicht geändert werden.
- Externe Adresse. Die Adresse des externen Gateways des Routers, wie der Anbieter sie meldet. Sie ist das lokale Ende der Tunnel und die Adresse, mit der sich das Gerät der Gegenstelle verbindet. Bis der Anbieter sie meldet, zeigt die Konsole Noch nicht gemeldet an.
- Status. Der Anbieter hält einen neuen VPN-Dienst im Status Erstellung ausstehend, bis die erste Standortverbindung ihn verwendet. Siehe Status.
Ein VPN-Dienst kann viele Standortverbindungen tragen. Sie können ihn umbenennen und seine Beschreibung ändern, während er verwendet wird, aber Sie können ihn erst löschen, wenn keine Standortverbindung ihn mehr verwendet.
IKE-Richtlinien
Eine IKE-Richtlinie legt Phase 1 des Tunnels fest.
| Feld | Werte | Standardwert |
|---|---|---|
| IKE-Version | v1, v2 | v2 |
| Aushandlungsmodus Phase 1 | main, aggressive | main |
| Authentifizierungsalgorithmus | sha1, sha256, sha384, sha512, aes-xcbc, aes-cmac | sha256 |
| Verschlüsselungsalgorithmus | 3des, aes-128, aes-192, aes-256 sowie die CCM- und GCM-Varianten von AES-128, AES-192 und AES-256 mit 8-, 12- und 16-Byte-ICVs, z. B. aes-128-ccm-8 oder aes-256-gcm-16 | aes-256 |
| PFS-Gruppe | group2, group5 und group14 bis group31 | group14 |
| Lebensdauer (Sekunden) | Mindestens 60 | 3600 |
Bei einer IKE-Richtlinie ist PFS-Gruppe die Diffie-Hellman-Gruppe des Schlüsselaustauschs in Phase 1. Lebensdauern sind immer in Sekunden angegeben.
IPsec-Richtlinien
Eine IPsec-Richtlinie legt Phase 2 des Tunnels fest.
| Feld | Werte | Standardwert |
|---|---|---|
| Transformationsprotokoll | esp, ah, ah-esp | esp |
| Kapselungsmodus | tunnel, transport | tunnel |
| Authentifizierungsalgorithmus | Dieselben Werte wie bei einer IKE-Richtlinie | sha256 |
| Verschlüsselungsalgorithmus | Dieselben Werte wie bei einer IKE-Richtlinie | aes-256 |
| PFS-Gruppe | Dieselben Werte wie bei einer IKE-Richtlinie | group14 |
| Lebensdauer (Sekunden) | Mindestens 60 | 3600 |
Bei einer IPsec-Richtlinie ist PFS-Gruppe die Diffie-Hellman-Gruppe, die beim Erneuern der Schlüssel von Phase 2 verwendet wird.
Die Werte in beiden Tabellen sind die, die die Plattform akzeptiert. Wählen Sie Werte, die auch das Gerät der Gegenstelle unterstützt. Welche Werte den Datenverkehr verschlüsselt halten, erfahren Sie unter VPN-Tunnel.
Endpunktgruppen
Eine Endpunktgruppe benennt ein Ende eines Tunnels.
| Typ | Ende | Endpunkte |
|---|---|---|
| subnet (lokales Ende) | Lokal | Ein oder mehrere Subnetze des Projekts. |
| cidr (entferntes Ende) | Entfernt | Ein oder mehrere CIDRs, z. B. 172.16.0.0/16. Trennen Sie sie in der Konsole durch Kommas, Leerzeichen oder Semikolons. |
- Eine Gruppe führt jedes Subnetz und jeden CIDR nur einmal auf.
- Typ und Endpunkte können nach dem Erstellen der Gruppe nicht geändert werden. Name und Beschreibung können Sie ändern.
- Eine Standortverbindung benötigt eine Gruppe vom Typ subnet (lokales Ende) als lokale Gruppe und eine Gruppe vom Typ cidr (entferntes Ende) als Gruppe der Gegenstelle. Jedes Subnetz in der lokalen Gruppe muss an den Router des VPN-Dienstes der Verbindung angehängt sein.
Fassen Sie jedes lokale Subnetz, das eine Gegenstelle erreichen soll, in einer Gruppe zusammen. Eine zweite Standortverbindung zwischen denselben beiden Gateways funktioniert nicht: Die beiden Gateways führen eine einzige IKE-Sitzung, der Anbieter lehnt den zweiten Tunnel ab, und diese Verbindung überträgt keinen Datenverkehr, obwohl sie einen Tunnelstatus anzeigt. Die Plattform hindert Sie nicht daran, sie zu erstellen.
Standortverbindungen
Eine Standortverbindung ist der Tunnel zwischen Ihrem VPN-Dienst und einem Gateway der Gegenstelle.
| Feld | Regeln | Standardwert | Später änderbar? |
|---|---|---|---|
| Name | 1–255 Zeichen, eindeutig unter den Standortverbindungen des Projekts. | — | Ja |
| VPN-Dienst, IKE-Richtlinie, IPsec-Richtlinie | Vorhandene Objekte im Projekt, deren Erstellung abgeschlossen ist. | — | Nein |
| Lokale Endpunktgruppe, Endpunktgruppe der Gegenstelle | Eine Subnetzgruppe und eine CIDR-Gruppe, wie unter Endpunktgruppen beschrieben. | — | Nein |
| Gateway-Adresse der Gegenstelle | Die öffentliche Adresse des entfernten VPN-Geräts. | — | Um die Adresse der Gegenstelle zu ändern, erstellen Sie eine neue Verbindung, und löschen Sie die alte. |
| Pre-Shared Key | Mindestens 8 Zeichen. Er kann nicht wieder ausgelesen werden. Sie können ihn nur ersetzen. | — | Ja: Geben Sie einen neuen Schlüssel ein. Eine Änderung handelt den Tunnel neu aus. |
| Initiator | bi-directional oder response-only. Bei response-only wartet diese Seite darauf, dass die Gegenstelle die Aushandlung beginnt. | bi-directional | Ja |
| Aktion bei Dead Peer Detection | hold, clear, disabled, restart oder restart-by-peer: was das Gateway tut, wenn Dead Peer Detection feststellt, dass die Gegenstelle nicht antwortet. | hold | Ja |
| DPD-Intervall (Sekunden) | Mindestens 1. | 30 | Ja |
| DPD-Timeout (Sekunden) | Mindestens 2 und größer als das Intervall. | 120 | Ja |
| MTU | Mindestens 68 und höchstens die MTU für Mandantennetzwerke der Cloud. | Die Konsole schlägt die kleinste MTU der Netzwerke des Projekts vor. Ohne Wert verwendet die API die MTU für Mandantennetzwerke der Cloud. | Ja |
Wie Sie eine Verbindung ändern, ihren Tunnel deaktivieren oder neu starten oder sie löschen, erfahren Sie unter VPN-Objekte bearbeiten, deaktivieren und löschen.
IKE-Identitäten. Die IKE-Identitäten sind immer die beiden Gateway-Adressen; Sie können sie nicht festlegen. Die externe Adresse des VPN-Dienstes identifiziert diese Seite, die Gateway-Adresse der Gegenstelle die Gegenstelle.
MTU. Die MTU ist die des Tunnels selbst. Die Pakete, die hineinpassen, sind kleiner, weil ESP jedem Paket einen Header, einen Trailer und Authentifizierungsdaten hinzufügt. Eine Arbeitslast, die auf die volle Netzwerk-MTU ausgelegt ist, muss ihre eigene MTU senken oder ihre TCP-MSS begrenzen. Zu große Pakete schlagen mit einem Fehler fehl, statt zu verschwinden.
Wiederverwendung und Änderungen
VPN-Dienste, Richtlinien und Endpunktgruppen werden gemeinsam genutzt. Die Spalte Verwendet von zählt die Standortverbindungen, die jedes davon verwenden. Solange die Anzahl über 0 liegt, kann das Objekt nicht gelöscht und eine IKE- oder IPsec-Richtlinie überhaupt nicht geändert werden, nicht einmal umbenannt. Ein VPN-Dienst oder eine Endpunktgruppe kann weiterhin umbenannt werden.
Eine Standortverbindung behält ihren VPN-Dienst, ihre Richtlinien und ihre Endpunktgruppen während ihrer gesamten Lebensdauer. Der Anbieter lässt keine Änderung des Dienstes oder der Richtlinien zu, und die Plattform lässt keine Änderung der Endpunktgruppen zu. Um andere Objekte zu verwenden, erstellen Sie eine neue Standortverbindung, und löschen Sie die alte.
Die Schritte finden Sie unter VPN-Objekte bearbeiten, deaktivieren und löschen.
Status
Jedes VPN-Objekt hat einen Bereitstellungsstatus, der in der Spalte Bereitstellung angezeigt wird:
| Status | Bedeutung |
|---|---|
| Erstellung ausstehend, Aktualisierung ausstehend, Löschung ausstehend | Die Plattform erstellt, ändert oder löscht das Objekt. |
| Bereit | Das Objekt existiert beim Anbieter mit den angezeigten Einstellungen. |
| Fehler | Das letzte Erstellen, Ändern oder Löschen ist fehlgeschlagen, oder – bei einer Standortverbindung – der Anbieter meldet die Verbindung als fehlerhaft. Die Details des Objekts zeigen Meldung des Anbieters mit dem Grund an. |
VPN-Dienste und Standortverbindungen haben außerdem einen Status: den eigenen Status des Anbieters, so aufgezeichnet, wie der Anbieter ihn gemeldet hat. Er ist Aktiv, Inaktiv, Inaktiv, Fehler oder ein ausstehender Status und Noch nicht gemeldet, bis der Anbieter einen gemeldet hat. Bei einer Standortverbindung ist dies der Tunnelstatus. Aktiv bedeutet, dass die Sicherheitszuordnungen des Tunnels aufgebaut sind. Das beweist nicht, dass Datenverkehr fließt; testen Sie das mit Datenverkehr zwischen den beiden Netzwerken.
Die Plattform zeichnet den Status auf, wenn sie einen Vorgang am Objekt abschließt. Bei einer Standortverbindung ist das das Erstellen, das Ändern ihrer Konfiguration oder das Aktivieren, Deaktivieren oder Neustarten; der Status eines VPN-Dienstes wird erneut gelesen, wenn die Erstellung einer Standortverbindung darauf abgeschlossen ist. Außerdem liest die Plattform die VPN-Objekte des Projekts in regelmäßigen Abständen beim Anbieter aus und zeichnet auf, was der Anbieter meldet, außer bei einem Objekt mit laufendem Vorgang. Aktualisieren auf der Seite einer Verbindung lädt den Datensatz der Verbindung neu von der Plattform; die Plattform fragt dadurch nicht beim Anbieter nach.
Gerät der Gegenstelle konfigurieren
Das Gerät am anderen Ende des Tunnels benötigt Einstellungen, die zur Standortverbindung passen. So finden Sie jeden Wert in der Konsole. Die Richtlinien und Endpunktgruppen öffnen Sie über den Bereich Referenzen auf der Seite der Verbindung.
| Einstellung am Gerät der Gegenstelle | Wert | Wo Sie ihn finden |
|---|---|---|
| Adresse des entfernten Gateways | Die externe Adresse des VPN-Dienstes. | Externe Adresse auf der Registerkarte VPN-Dienste |
| Eigene Gateway-Adresse und IKE-Identität | Die Adresse, die Sie als Gateway-Adresse der Gegenstelle eingegeben haben. | Gateway der Gegenstelle und ID der Gegenstelle auf der Seite der Verbindung |
| Entfernte IKE-Identität | Die externe Adresse des VPN-Dienstes. | Externe Adresse auf der Registerkarte VPN-Dienste |
| Authentifizierung | Der Pre-Shared Key. | Der Schlüssel, den Sie eingegeben haben; er kann nicht wieder ausgelesen werden. |
| IKE-Version und Modus von Phase 1 | IKE-Version, Aushandlungsmodus Phase 1 | IKE-Richtlinie |
| Verschlüsselung und Integrität von Phase 1 | Verschlüsselungsalgorithmus, Authentifizierungsalgorithmus | IKE-Richtlinie |
| Diffie-Hellman-Gruppe von Phase 1 | PFS-Gruppe | IKE-Richtlinie |
| Lebensdauer von Phase 1 | Lebensdauer (Sekunden) | IKE-Richtlinie |
| Protokoll und Modus von Phase 2 | Transformationsprotokoll, Kapselungsmodus | IPsec-Richtlinie |
| Verschlüsselung und Integrität von Phase 2 | Verschlüsselungsalgorithmus, Authentifizierungsalgorithmus | IPsec-Richtlinie |
| PFS-Gruppe von Phase 2 | PFS-Gruppe | IPsec-Richtlinie |
| Lebensdauer von Phase 2 | Lebensdauer (Sekunden) | IPsec-Richtlinie |
| Eigene Netzwerke | Die CIDRs der Endpunktgruppe der Gegenstelle. | Endpunktgruppe der Gegenstelle |
| Entfernte Netzwerke | Die CIDRs der Subnetze in der lokalen Endpunktgruppe. | Lokale Endpunktgruppe |
| Wer die Aushandlung beginnt | Wenn Initiator response-only ist, muss die Gegenstelle sie beginnen. | Initiator auf der Seite der Verbindung |