Standortverbindung mit dem Assistenten erstellen
Site-to-Site-Tunnel mit geführter Einrichtung schrittweise aufbauen, jedes Objekt wiederverwenden oder erstellen und nach einem Abbruch weitermachen.
Die geführte Einrichtung führt Schritt für Schritt durch die fünf Objekte eines Site-to-Site-Tunnels. In jedem Schritt verwenden Sie ein Objekt wieder, das das Projekt bereits hat, oder erstellen ein neues. Erst wenn Sie im letzten Schritt bestätigen, wird etwas erstellt.
Voraussetzungen
- Sie benötigen auf Abonnement- oder Projektebene die Rolle Besitzer oder Mitwirkender oder eine benutzerdefinierte Rolle mit der Zugriffsebene Verwalten für Networking. Eine beliebige Rolle mit der Zugriffsebene Lesen für Networking kann VPN-Objekte anzeigen.
- Die Region des Projekts muss Site-to-Site VPN anbieten. Siehe Funktionsweise.
- Das Projekt benötigt einen Router mit externem Gateway, und die Subnetze, die das entfernte Netzwerk erreichen sollen, müssen an ihn angehängt sein. Siehe Subnetz anhängen.
- Halten Sie die Angaben zur Gegenstelle bereit: die CIDRs des entfernten Netzwerks, die öffentliche Adresse des entfernten VPN-Geräts, die IKE- und IPsec-Einstellungen, die es unterstützt, und einen Pre-Shared Key mit mindestens 8 Zeichen.
- Verwenden Sie eine Standortverbindung pro Gateway der Gegenstelle. Siehe Endpunktgruppen.
Um alles aus einem Namen mit empfohlenen Einstellungen zu erstellen, verwenden Sie stattdessen die Schnelleinrichtung. Sie füllt dieselben Schritte aus, die Sie weiterhin ändern können.
Geführte Einrichtung öffnen
Wechseln Sie in der Konsole zu NetzwerkVPN.
Wählen Sie Geführte Einrichtung aus.
Der Assistent hat sieben Schritte, die neben dem Formular aufgeführt sind. Sie wechseln mit Weiter und Zurück zwischen ihnen; Weiter ist verfügbar, wenn der aktuelle Schritt vollständig ist, und ein abgeschlossener Schritt zeigt ein Häkchen. Der Assistent behält Ihre Eingaben nur, solange die Seite geöffnet ist: Wenn Sie die Seite verlassen oder neu laden, beginnt er von vorn.
Jeder der ersten fünf Schritte legt ein Objekt fest und bietet die Auswahl Vorhandenes Objekt verwenden oder ein neues anlegen:
- Vorhandenes verwenden: Wählen Sie unter Vorhandenes Objekt ein Objekt aus. Das ist der Standard, wenn das Projekt ein Objekt dieses Typs hat. Die Schritte für den lokalen Endpunkt und die Gegenstelle listen nur Endpunktgruppen des passenden Typs auf.
- Neu anlegen: Füllen Sie die Felder für ein neues Objekt aus. Das ist die einzige Wahl, wenn das Projekt keines hat, und der Schritt zeigt In diesem Projekt gibt es noch nichts zum Wiederverwenden an.
Das Wiederverwenden ändert ein Objekt nicht. Solange eine Standortverbindung eine IKE- oder IPsec-Richtlinie verwendet, kann die Richtlinie nicht geändert werden; verwenden Sie eine Richtlinie also nur wieder, wenn ihre Einstellungen die gewünschten sind. Siehe Wiederverwendung und Änderungen.
VPN-Dienst
Wählen Sie einen VPN-Dienst aus, oder erstellen Sie einen: Geben Sie im Feld Name einen Namen ein, und wählen Sie unter Router den Router aus. Nur Router mit externem Gateway werden aufgeführt.
Wählen Sie Weiter aus.
Der Schritt bietet außerdem Mit empfohlenen Einstellungen verbinden an. Siehe Standort per Schnelleinrichtung verbinden.
IKE-Richtlinie
Wählen Sie eine IKE-Richtlinie aus, oder erstellen Sie eine: Geben Sie im Feld Name einen Namen ein, und legen Sie IKE-Version, Aushandlungsmodus Phase 1, Authentifizierungsalgorithmus, Verschlüsselungsalgorithmus, PFS-Gruppe und Lebensdauer (Sekunden) passend zum entfernten Gerät fest.
Wählen Sie Weiter aus.
Eine neue Richtlinie ist mit IKE v2, Modus main, sha256, aes-256, group14 und 3600 Sekunden vorbelegt. Die Lebensdauer muss mindestens 60 Sekunden betragen. Alle Werte finden Sie unter IKE-Richtlinien.
IPsec-Richtlinie
Wählen Sie eine IPsec-Richtlinie aus, oder erstellen Sie eine: Geben Sie im Feld Name einen Namen ein, und legen Sie Transformationsprotokoll, Kapselungsmodus, Authentifizierungsalgorithmus, Verschlüsselungsalgorithmus, PFS-Gruppe und Lebensdauer (Sekunden) passend zum entfernten Gerät fest.
Wählen Sie Weiter aus.
Eine neue Richtlinie ist mit esp, Modus tunnel, sha256, aes-256, group14 und 3600 Sekunden vorbelegt. Alle Werte finden Sie unter IPsec-Richtlinien.
Lokaler Endpunkt
Wählen Sie eine Endpunktgruppe vom Typ subnet aus, oder erstellen Sie eine: Geben Sie im Feld Name einen Namen ein, und wählen Sie unter Lokale Subnetze jedes Subnetz aus, das das entfernte Netzwerk erreichen soll.
Wählen Sie Weiter aus.
Jedes Subnetz in der Gruppe muss an den Router des VPN-Dienstes angehängt sein. Der Assistent prüft das nicht; die Plattform prüft es beim Erstellen am Ende. Fassen Sie alle Subnetze für diese Gegenstelle in einer Gruppe zusammen: Eine zweite Standortverbindung zur selben Gegenstelle überträgt keinen Datenverkehr.
Endpunkt der Gegenstelle
Wählen Sie eine Endpunktgruppe vom Typ cidr aus, oder erstellen Sie eine: Geben Sie im Feld Name einen Namen und im Feld Entfernte CIDRs die CIDRs des entfernten Netzwerks ein. Trennen Sie mehrere CIDRs durch Kommas, Leerzeichen oder Semikolons.
Geben Sie im Feld Gateway-Adresse der Gegenstelle die öffentliche Adresse des entfernten VPN-Geräts ein.
Wählen Sie Weiter aus.
Eine Gruppe kann denselben CIDR nicht zweimal enthalten. Wenn Sie 172.16.0.0/16 zweimal eingeben, zeigt der Assistent: 172.16.0.0/16 ist doppelt angegeben — jedes Subnetz und jedes CIDR darf in einer Gruppe nur einmal vorkommen.
Es gibt kein Feld für die IKE-Identitäten: Diese sind immer die beiden Gateway-Adressen. Siehe Standortverbindungen.
Standortverbindung
Geben Sie im Feld Name einen Namen für die Verbindung ein.
Geben Sie den Pre-Shared Key ein: mindestens 8 Zeichen, derselbe wie auf dem entfernten Gerät.
Legen Sie Initiator, Aktion bei Dead Peer Detection, DPD-Intervall (Sekunden), DPD-Timeout (Sekunden) und MTU fest.
Wählen Sie Weiter aus.
Die Felder sind mit bi-directional, hold, 30 Sekunden und 120 Sekunden vorbelegt, die MTU mit der kleinsten MTU der Netzwerke des Projekts. Alle Felder finden Sie unter Standortverbindungen.
Der Assistent prüft, ob der Schlüssel mindestens 8 Zeichen hat, ob das Intervall mindestens 1 und das Timeout mindestens 2 beträgt und ob die MTU mindestens 68 beträgt. Den Rest prüft die Plattform beim Erstellen: Das Timeout muss größer als das Intervall sein, und die MTU darf die MTU für Mandantennetzwerke der Cloud nicht überschreiten.
Zusammenfassung
Prüfen Sie die Liste. Jedes Objekt zeigt seinen Namen und Wiederverwendet oder Wird angelegt. Die Standortverbindung zeigt immer Wird angelegt.
Wählen Sie VPN-Verbindung erstellen aus.
Der Assistent erstellt die neuen Objekte nacheinander in der Reihenfolge der Schritte und wartet für jedes bis zu einem Zeitlimit, bis es fertig ist, bevor er das nächste erstellt. Wiederverwendete Objekte bleiben unverändert. Danach erstellt er die Standortverbindung. Wenn ein Objekt bis dahin noch nicht bereit ist, lehnt die Plattform die Verbindung ab, und der Durchlauf bricht ab; siehe Wenn der Durchlauf vorzeitig abbricht.
Objekte einzeln erstellen
Jede Registerkarte unter NetzwerkVPN hat eine eigene Schaltfläche zum Erstellen: Neuer VPN-Dienst, Neue IKE-Richtlinie, Neue IPsec-Richtlinie, Neue Endpunktgruppe und Neue Standortverbindung. Diese öffnen ganzseitige Formulare mit denselben Feldern wie der Assistent. Eine neue Endpunktgruppe benötigt einen Wert für Typ der Endpunktgruppe: subnet (lokales Ende) oder cidr (entferntes Ende).
Erstellen Sie den VPN-Dienst, die IKE-Richtlinie, die IPsec-Richtlinie, eine Subnetz-Endpunktgruppe und eine CIDR-Endpunktgruppe, oder stellen Sie sicher, dass die Objekte existieren, die Sie wiederverwenden möchten.
Wählen Sie auf der Registerkarte Standortverbindungen die Option Neue Standortverbindung aus.
Geben Sie unter Details im Feld Name einen Namen ein. Wählen Sie unter Referenzen die fünf Objekte aus.
Füllen Sie die Abschnitte Gegenstelle und Sicherheit wie im Assistenten aus.
Wählen Sie Erstellen aus.
Wenn eine der fünf Listen leer ist, weist das Formular darauf hin: Einige Objekte, die diese Verbindung braucht, existieren noch nicht. Die geführte Einrichtung legt sie nacheinander an. Die referenzierten Objekte müssen fertig erstellt sein; andernfalls lehnt die Plattform die Verbindung ab und bittet Sie zu warten, bis das Objekt bereit ist.
Wenn ein Feld korrigiert werden muss, markiert das Formular es, springt dorthin und sendet nichts. Nach dem Erstellen öffnet die Konsole die Seite der neuen Standortverbindung oder bei einem anderen Objekt dessen Registerkarte mit den Details des Objekts.
Ergebnis
Wenn die Standortverbindung erstellt ist, öffnet sich ihre Seite und zeigt den Tunnelstatus, den der Anbieter gemeldet hat. Die neuen Objekte erscheinen auf ihren Registerkarten unter NetzwerkVPN. Wie Sie das entfernte Gerät konfigurieren, erfahren Sie unter Gerät der Gegenstelle konfigurieren.
Wenn der Durchlauf vorzeitig abbricht
Wenn die Plattform ein Objekt ablehnt oder seine Erstellung fehlschlägt, bricht der Durchlauf ab. Der Assistent zeigt Der Durchlauf ist auf halbem Weg gestoppt und den Grund unter Die Anfrage wurde abgelehnt an.
Wenn der Durchlauf vor dem Abbruch Objekte erstellt hatte, listet der Assistent jedes mit Typ, Name und ID auf und bietet zwei Möglichkeiten:
| Auswahl | Wirkung | Verwenden, wenn |
|---|---|---|
| Behalten und erneut versuchen | Führt den Durchlauf ab dem fehlgeschlagenen Schritt mit denselben Werten erneut aus. Die Objekte in der Liste werden wiederverwendet, nicht erneut erstellt. | Die Ursache war vorübergehend, z. B. ein Objekt, das noch nicht bereit war. |
| Angelegte Objekte löschen | Löscht die aufgeführten Objekte in umgekehrter Reihenfolge und kehrt mit Ihren Werten zum Schritt Zusammenfassung zurück. Wenn ein Löschen fehlschlägt, bleiben die verbleibenden Objekte mit dem Grund in der Liste. | Die Ursache ist ein Wert, den Sie eingegeben haben, z. B. die MTU oder das Timeout der Dead Peer Detection. Kehren Sie zu seinem Schritt zurück, korrigieren Sie ihn, und erstellen Sie erneut. |
Ein erneuter Versuch mit denselben Werten schlägt wieder fehl, wenn ein Wert den Fehler verursacht hat. Wenn nichts erstellt wurde, zeigt der Assistent an: Vor dem Fehler wurde nichts angelegt, es gibt also nichts aufzuräumen. Wählen Sie Erneut versuchen aus, oder wählen Sie Zurück zur Zusammenfassung, um zuerst Werte zu ändern.
- Ein Objekt, dessen eigene Erstellung fehlgeschlagen ist, steht nicht in der Liste. Es bleibt mit dem Status Fehler auf seiner Registerkarte. Löschen Sie es, bevor Sie es erneut versuchen: Ein erneuter Versuch erstellt es wieder unter demselben Namen, und Namen müssen eindeutig sein.
- Die Liste existiert nur, solange die Seite geöffnet ist. Wenn Sie den Assistenten verlassen, bleiben die Objekte auf ihren Registerkarten. Sie können sie in einem neuen Durchlauf oder unter Neue Standortverbindung wiederverwenden oder sie löschen. Siehe VPN-Dienst, Richtlinie oder Endpunktgruppe löschen.