Servis, politika, uç nokta grubu ve site bağlantısı
Beş VPN nesnesini, kabul ettikleri değerleri, nasıl paylaşıldıklarını, durumlarının anlamını ve karşı uç cihazının ihtiyaç duyduğu ayarları öğrenin.
Siteden siteye bir tünel beş nesneden oluşur. Her biri kendi başına bir kaynaktır ve AğVPN altında kendi sekmesinde listelenir. Bu makalede her nesnenin neyi belirlediği ve hangi değerleri kabul ettiği, nesnelerin nasıl paylaşıldığı, durumlarının ne anlama geldiği ve tünelin diğer ucundaki cihazın hangi ayarlara ihtiyaç duyduğu açıklanır.
Beş nesne
| Nesne | Sekme | Neyi belirler | Birden çok bağlantı kullanabilir mi? |
|---|---|---|---|
| VPN servisi | VPN servisleri | Tünellerin sonlandığı yönlendirici. | Evet |
| IKE politikası | IKE politikaları | 1. aşama: ağ geçitlerinin birbirini nasıl doğruladığı ve anahtarlarda nasıl anlaştığı. | Evet |
| IPsec politikası | IPsec politikaları | 2. aşama: tünel içindeki trafiğin nasıl korunduğu. | Evet |
| Uç nokta grubu | Uç nokta grupları | Tünelin bir ucu: yerel alt ağlar ya da uzak CIDR’ler. | Evet |
| Site bağlantısı | Site bağlantıları | Tek bir karşı ağ geçidine giden tünel. | Hayır; diğerlerini kullanan nesnedir. |
Site bağlantısı bir VPN servisine, bir IKE politikasına, bir IPsec politikasına ve biri yerel, biri karşı uç olmak üzere iki uç nokta grubuna başvurur. Bunları kopyalamaz.
VPN servisleri
VPN servisi, tünelleri projenin bir yönlendiricisine bağlar.
- Yönlendirici. Harici ağ geçidi olmalıdır; konsol yalnızca bu tür yönlendiricileri listeler. Servis oluşturulduktan sonra yönlendirici değiştirilemez.
- Harici adres. Yönlendiricinin, sağlayıcının bildirdiği harici ağ geçidi adresi. Tünellerin yerel ucudur ve karşı uç cihazının bağlandığı adrestir. Sağlayıcı bu adresi bildirene kadar konsol Henüz bildirilmedi gösterir.
- Durum. Sağlayıcı, ilk site bağlantısı kullanana kadar yeni bir VPN servisini Oluşturma bekliyor durumunda tutar. Bkz. Durumlar.
Bir VPN servisi birçok site bağlantısı taşıyabilir. Kullanımdayken servisi yeniden adlandırabilir ve açıklamasını değiştirebilirsiniz, ancak hiçbir site bağlantısı kullanmayana kadar silemezsiniz.
IKE politikaları
IKE politikası tünelin 1. aşamasını belirler.
| Alan | Değerler | Varsayılan |
|---|---|---|
| IKE sürümü | v1, v2 | v2 |
| Birinci aşama pazarlık kipi | main, aggressive | main |
| Kimlik doğrulama algoritması | sha1, sha256, sha384, sha512, aes-xcbc, aes-cmac | sha256 |
| Şifreleme algoritması | 3des, aes-128, aes-192, aes-256 ve AES-128, AES-192 ve AES-256 için 8, 12 ve 16 baytlık ICV’li CCM ve GCM türevleri; örneğin aes-128-ccm-8 veya aes-256-gcm-16 | aes-256 |
| PFS grubu | group2, group5 ve group14 ile group31 arası | group14 |
| Ömür (saniye) | En az 60 | 3600 |
IKE politikasında PFS grubu, 1. aşama anahtar değişiminin Diffie-Hellman grubudur. Ömürler her zaman saniye cinsindendir.
IPsec politikaları
IPsec politikası tünelin 2. aşamasını belirler.
| Alan | Değerler | Varsayılan |
|---|---|---|
| Dönüşüm protokolü | esp, ah, ah-esp | esp |
| Kapsülleme kipi | tunnel, transport | tunnel |
| Kimlik doğrulama algoritması | IKE politikasıyla aynı değerler | sha256 |
| Şifreleme algoritması | IKE politikasıyla aynı değerler | aes-256 |
| PFS grubu | IKE politikasıyla aynı değerler | group14 |
| Ömür (saniye) | En az 60 | 3600 |
IPsec politikasında PFS grubu, 2. aşama anahtarları yenilenirken kullanılan Diffie-Hellman grubudur.
İki tablodaki değerler platformun kabul ettiği değerlerdir. Karşı uç cihazının da desteklediği değerleri seçin. Trafiği şifreli tutan değerler için bkz. VPN tünelleri.
Uç nokta grupları
Uç nokta grubu tünelin bir ucunu adlandırır.
| Tür | Uç | Uç noktalar |
|---|---|---|
| subnet (yerel uç) | Yerel | Projenin bir veya daha fazla alt ağı. |
| cidr (uzak uç) | Uzak | 172.16.0.0/16 gibi bir veya daha fazla CIDR. Konsolda bunları virgül, boşluk veya noktalı virgülle ayırın. |
- Bir grup her alt ağı veya CIDR’i yalnızca bir kez listeler.
- Grup oluşturulduktan sonra türü ve uç noktaları değiştirilemez. Adını ve açıklamasını değiştirebilirsiniz.
- Site bağlantısı, yerel grup olarak bir subnet (yerel uç) grubuna ve karşı uç grubu olarak bir cidr (uzak uç) grubuna ihtiyaç duyar. Yerel gruptaki her alt ağ, bağlantının VPN servisinin yönlendiricisine bağlı olmalıdır.
Bir karşı uca ulaşması gereken tüm yerel alt ağları tek bir gruba koyun. Aynı iki ağ geçidi arasındaki ikinci bir site bağlantısı çalışmaz: iki ağ geçidi tek bir IKE oturumu yürütür, sağlayıcı ikinci tüneli reddeder ve bu bağlantı bir tünel durumu gösterse de trafik taşımaz. Platform bu bağlantıyı oluşturmanızı engellemez.
Site bağlantıları
Site bağlantısı, VPN servisiniz ile tek bir karşı ağ geçidi arasındaki tüneldir.
| Alan | Kurallar | Varsayılan | Sonradan değiştirilebilir mi? |
|---|---|---|---|
| Ad | 1–255 karakter; projenin site bağlantıları arasında benzersiz. | — | Evet |
| VPN servisi, IKE politikası, IPsec politikası | Projede bulunan ve oluşturulması tamamlanmış nesneler. | — | Hayır |
| Yerel uç nokta grubu, Karşı uç nokta grubu | Uç nokta grupları bölümünde açıklandığı gibi bir alt ağ grubu ve bir CIDR grubu. | — | Hayır |
| Karşı ağ geçidi adresi | Uzak VPN cihazının genel adresi. | — | Karşı uç adresini değiştirmek için yeni bir bağlantı oluşturun ve eskisini silin. |
| Önceden paylaşılan anahtar | En az 8 karakter. Geri okunamaz. Yalnızca yenisiyle değiştirebilirsiniz. | — | Evet: yeni bir anahtar girin. Anahtarı değiştirmek tünelde yeniden pazarlık başlatır. |
| Başlatıcı | bi-directional veya response-only. response-only seçildiğinde bu taraf, pazarlığı karşı ucun başlatmasını bekler. | bi-directional | Evet |
| Ölü eş algılama eylemi | hold, clear, disabled, restart veya restart-by-peer: ölü eş algılama karşı ucun yanıt vermediğini tespit ettiğinde ağ geçidinin ne yapacağı. | hold | Evet |
| DPD aralığı (saniye) | En az 1. | 30 | Evet |
| DPD zaman aşımı (saniye) | En az 2 ve aralıktan büyük. | 120 | Evet |
| MTU | En az 68 ve en fazla dağıtımın proje ağları için izin verdiği MTU. | Konsol, projenin ağlarının en küçük MTU değerini önerir. Değer verilmezse API, dağıtımın proje ağları için izin verdiği MTU’yu kullanır. | Evet |
Bir bağlantıyı değiştirmek, tünelini devre dışı bırakmak veya yeniden başlatmak ya da bağlantıyı silmek için bkz. VPN nesnelerini düzenleme, devre dışı bırakma ve silme.
IKE kimlikleri. IKE kimlikleri her zaman iki ağ geçidinin adresleridir; bunları siz ayarlayamazsınız. VPN servisinin harici adresi bu tarafı, karşı ağ geçidi adresi de karşı ucu tanımlar.
MTU. MTU, tünelin kendi MTU değeridir. İçine sığan paketler daha küçüktür, çünkü ESP her pakete bir başlık, bir kuyruk ve kimlik doğrulama verisi ekler. Ağın tam MTU değerine göre boyutlandırılmış bir iş yükü kendi MTU değerini düşürmeli ya da TCP MSS clamp uygulamalıdır. Fazla büyük paketler kaybolmak yerine bir hatayla başarısız olur.
Yeniden kullanım ve değişiklikler
VPN servisleri, politikalar ve uç nokta grupları paylaşılır. Kullanan sütunu her birini kullanan site bağlantılarını sayar. Sayı 0’ın üzerindeyken nesne silinemez ve IKE veya IPsec politikası hiçbir şekilde değiştirilemez, yeniden adlandırılamaz bile. VPN servisi veya uç nokta grubu ise yine de yeniden adlandırılabilir.
Site bağlantısı VPN servisini, politikalarını ve uç nokta gruplarını ömrü boyunca korur. Sağlayıcı servisin veya politikaların, platform da uç nokta gruplarının değiştirilmesine izin vermez. Başka nesneler kullanmak için yeni bir site bağlantısı oluşturun ve eskisini silin.
Adımlar için bkz. VPN nesnelerini düzenleme, devre dışı bırakma ve silme.
Durumlar
Her VPN nesnesinin, Hazırlanma sütununda gösterilen bir sağlama durumu vardır:
| Durum | Anlamı |
|---|---|
| Oluşturma bekliyor, Güncelleme bekliyor, Silme bekliyor | Platform nesneyi oluşturuyor, değiştiriyor veya siliyor. |
| Hazır | Nesne, gösterilen ayarlarla sağlayıcıda mevcut. |
| Hata | Son oluşturma, değiştirme veya silme işlemi başarısız oldu ya da site bağlantısı için sağlayıcı bağlantıyı hata durumunda bildiriyor. Nesnenin ayrıntılarında nedeniyle birlikte Sağlayıcının bildirdiği bölümü görünür. |
VPN servislerinin ve site bağlantılarının bir de Durum değeri vardır: sağlayıcının kendi durumu, sağlayıcının bildirdiği şekilde kaydedilir. Bu durum Etkin, Kapalı, Etkin değil, Hata ya da bekleme durumlarından biridir; sağlayıcı bir durum bildirene kadar Henüz bildirilmedi olur. Site bağlantısı için bu, tünel durumudur. Etkin, tünelin güvenlik ilişkilerinin kurulduğu anlamına gelir. Trafiğin geçtiğini kanıtlamaz; bunu iki ağ arasında trafikle test edin.
Platform, nesne üzerindeki bir işlemi bitirdiğinde durumu kaydeder. Site bağlantısı için bu işlemler bağlantıyı oluşturma, yapılandırmasını değiştirme ya da etkinleştirme, devre dışı bırakma veya yeniden başlatmadır; bir VPN servisinin durumu, üzerindeki bir site bağlantısının oluşturulması bittiğinde yeniden okunur. Platform ayrıca projenin VPN nesnelerini düzenli aralıklarla sağlayıcıdan okur ve sağlayıcının bildirdiklerini kaydeder; devam eden bir işlemi olan nesneler bunun dışındadır. Bağlantının sayfasındaki Yenile düğmesi bağlantının kaydını platformdan yeniden yükler; platformun sağlayıcıya sormasını sağlamaz.
Karşı uç cihazını yapılandırma
Tünelin diğer ucundaki cihaz, site bağlantısıyla eşleşen ayarlara ihtiyaç duyar. Her değeri konsolda aşağıdaki gibi bulun. Politikalar ve uç nokta grupları, bağlantının sayfasındaki Başvurular panelinden açılır.
| Karşı uç cihazındaki ayar | Değer | Nerede bulunur |
|---|---|---|
| Uzak ağ geçidi adresi | VPN servisinin harici adresi. | VPN servisleri sekmesindeki Dış adres sütunu |
| Kendi ağ geçidi adresi ve IKE kimliği | Karşı ağ geçidi adresi olarak girdiğiniz adres. | Bağlantının sayfasındaki Karşı ağ geçidi ve Karşı kimlik |
| Uzak IKE kimliği | VPN servisinin harici adresi. | VPN servisleri sekmesindeki Dış adres sütunu |
| Kimlik doğrulama | Önceden paylaşılan anahtar. | Girdiğiniz anahtar; geri okunamaz. |
| IKE sürümü ve 1. aşama kipi | IKE sürümü, Birinci aşama pazarlık kipi | IKE politikası |
| 1. aşama şifreleme ve bütünlük | Şifreleme algoritması, Kimlik doğrulama algoritması | IKE politikası |
| 1. aşama Diffie-Hellman grubu | PFS grubu | IKE politikası |
| 1. aşama ömrü | Ömür (saniye) | IKE politikası |
| 2. aşama protokolü ve kipi | Dönüşüm protokolü, Kapsülleme kipi | IPsec politikası |
| 2. aşama şifreleme ve bütünlük | Şifreleme algoritması, Kimlik doğrulama algoritması | IPsec politikası |
| 2. aşama PFS grubu | PFS grubu | IPsec politikası |
| 2. aşama ömrü | Ömür (saniye) | IPsec politikası |
| Kendi ağları | Karşı uç nokta grubunun CIDR’leri. | Karşı uç nokta grubu |
| Uzak ağlar | Yerel uç nokta grubundaki alt ağların CIDR’leri. | Yerel uç nokta grubu |
| Pazarlığı kim başlatır | Başlatıcı değeri response-only ise pazarlığı karşı uç başlatmalıdır. | Bağlantının sayfasındaki Başlatıcı |