Настройка VPN-туннеля между Evolution и Eltex ESR

Перед началом работы

1. Зарегистрируйтесь в личном кабинете Cloud.ru.

   Если вы уже зарегистрированы, войдите под своей учетной записью.

2. Создайте ресурсы на платформе Evolution согласно схеме:

   1. Создайте VPC VPC-1.

   2. Создайте подсеть 192.168.10.0/24 в зоне доступности ru.AZ-3.

   3. Разместите в подсети виртуальные машины.

3. Настройте удаленную инфраструктуру согласно схеме, на маршрутизаторе Eltex ESR настройте публичный IP-адрес, например 37.230.139.81.

1. Создайте VPN-шлюз в Evolution

На этом шаге вы создадите VPN-шлюз в Evolution и получите его IP-адрес.

1. Авторизуйтесь в личном кабинете.

2. Выберите сервис VPN.

3. Создайте VPN-шлюз с параметрами:

   • Название — vpn-gateway-test.

   • Производительность — 100 Mb/s.

   • Зона доступности — ru.AZ-3.

   • Тип подключения — VPC.

   • VPC — VPC-1.

IP-адрес шлюзу будет назначен автоматически, например 188.72.117.2. Скопируйте адрес, он понадобится на следующем шаге.

2. Настройте Eltex ESR

На этом шаге вы настроите алгоритмы шифрования, IKE-шлюз и активируете VPN-туннель.

1. Подключитесь к маршрутизатору через серийную консоль.

2. Настройте алгоритмы шифрования в фазе 1:

   security ike proposal IKE_PROP
   authentication-algorithm sha2-256
   encryption-algorithm aes128
   dh-group 14
   exit
   
   security ike policy IKE_POL
   pre-shared-key ascii-text "<your_secret>"
   proposal IKE_PROP
   exit
   
   

   Где <your_secret> — пароль, который будет использоваться для VPN-соединения, например password.

3. Настройте алгоритмы шифрования в фазе 2:

   security ipsec proposal IPSEC_PROP
   authentication-algorithm sha2-256
   encryption-algorithm aes128
   pfs dh-group 14
   exit
   
   security ipsec policy IPSEC_POL_PROD
   proposal IPSEC_PROP
   exit
   
   

4. Настройте IKE-шлюз:

   1. Включите режим Policy-Based:

      security ike gateway GW_PROD
      mode policy-based
      version v2-only
      ike-policy IKE_POL
      
      

   2. Укажите IP-адреса сторон:

      local address 192.168.210.4 # Если NAT-шлюз не используется, укажите публичный IP 37.230.139.81
      remote address 188.72.117.2
      
      

   3. Исправьте несовпадение ID:

      local id ipv4 37.230.139.81
      remote id ipv4 188.72.117.2
      
      

   4. Настройте селекторы трафика:

      local network 192.168.210.0/24
      remote network 192.168.10.0/24
      exit
      
      

5. Активируйте VPN-туннель:

   security ipsec vpn tunnel
   ike gateway GW_PROD
   ike ipsec-policy IPSEC_POL_PROD
   ike establish-tunnel immediate
   enable
   exit
   
   

6. Сохраните параметры:

   do commit
   do save
   end
   
   

3. Создайте профиль безопасности в Evolution

На этом шаге вы настроите параметры шифрования VPN со стороны Evolution.

1. В сервисе VPN перейдите на вкладку Профили безопасности.

2. Нажмите Создать.

3. Укажите Название vpn-profile-test.

4. В поле Версия IKE выберите IKE v2.

5. Настройте IKE proposals:

   1. Включите опцию Только шифрование.

   2. В поле Шифрование выберите aes128.

   3. В поле Целостность выберите sha256.

   4. В поле Обмен ключами выберите modp2048.

6. Включите ESP proposals:

   1. Выберите опцию Только шифрование.

   2. В поле Шифрование выберите aes128.

   3. В поле Целостность выберите sha256.

   4. В поле Обмен ключами выберите modp2048.

7. Остальные параметры профиля безопасности заполнять не требуется.

8. Нажмите Создать.

4. Настройте правила группы безопасности в Evolution

На этом шаге вы создадите в Evolution правило, разрешающее прохождение трафика между сетями Evolution и сетями, расположенными за виртуальным маршрутизатором.

1. Выберите сервис «Группы безопасности».

2. Для группы безопасности SSH-access_ru.AZ-3 создайте правило для входящего трафика с параметрами:

   • Протокол — ICMP.

   • Тип источника — IP-адрес.

   • Источник — 192.168.210.0/24.

3. Убедитесь, что прохождение трафика разрешено иными средствами безопасности, установленными на уровне гостевой OC.

5. Настройте секрет и VPN-туннель в Evolution

На этом шаге вы настроите секрет и VPN-туннель.

1. Создайте секрет secret-test, указав в нем пароль password.

2. Создайте VPN-туннель с параметрами:

   • Название — tunnel-test.

   • Локальные сетевые адреса — сеть в формате CIDR со стороны платформы Evolution 192.168.10.0/24.

   • Удаленные сетевые адреса — сеть в формате CIDR со стороны маршрутизатора Eltex ESR 192.168.210.0/24.

   • Адрес удаленного VPN-шлюза — IP-адрес для построения туннеля со стороны маршрутизатора Eltex ESR 37.230.139.81.

   • Тип авторизации — Секрет.

   • Секрет (из Secret Management) — secret-test.

   • Профиль безопасности — vpn-profile-test.

   Убедитесь, что на странице сервиса Evolution VPN отображается VPN-туннель tunnel-test в статусе «Активный».

6. Проверьте сетевую связность

С помощью команды ping проверьте сетевую связность между ресурсами Evolution и ресурсами со стороны маршрутизатора Eltex ESR.

Результат

Вы настроили VPN-туннель между Evolution и ресурсами со стороны маршрутизатора Eltex ESR.