参考信息 › 组件目录参考指南 › 系统目录 › 网关 › VPN2：虚拟专用网络组件

VPN2：虚拟专用网络组件

最新版本：1.0.2-1

功能概述

VPN2 是在 IPv4 和 IPv6 网络中运行的虚拟专用网络组件，旨在为网格间通信以及远程访问应用和组件提供安全可靠的通道。 不使用 VPN2 通道也可以运行 VPN，在此情况下，VPN 充当明文 IN/OUT 组合网关。 VPN2 还可用于无缝互连 IPv4 和 IPv6 CA AppLogic 网格。 VPN2 基于 OpenVPN、OpenSSH 和 Racoon 开源软件包。

VPN 具有三种基本运行模式：server、client 和 both。

• 在以 server 模式运行时，可通过 srv 终端发送由 in 终端接收的流量。 如果 VPN2 使用了通道，则会先解密基于 in 终端建立的通道所传出的流量，然后再通过 srv 终端转发流量。 在此运行模式下，VPN2 将作为具有 VPN 通道支持的 IN 网关运行。
• 在以 client 模式运行时，可通过 in 终端转发发送由 clt 终端接收的流量。 如果 VPN2 使用了通道，则会先解密流量，然后通过 in 终端建立的通道发送流量。 在此运行模式下，VPN2 将作为具有 VPN 通道支持的 OUT 网关运行。
• 当既作为 server 又作为 client 运行时，支持上述两种流量传递方式，此时，VPN 将作为 IN/OUT 组合网关运行。

VPN2 对身份验证和加密支持 IPSec、共享密钥文件、SSL 证书和 ssh 密钥文件。 可以在远程工作站上使用常规 OpenVPN/OpenSSH 客户端连接到 VPN2，随即对 CA AppLogic 上运行的应用的内部组件提供安全访问。 VPN2 组件支持生成共享密钥文件、SSL 证书和 ssh 密钥。

要使用 VPN2 基于安全 VPN 通道远程访问 CA AppLogic 应用，可以在客户端计算机上使用 OpenVPN 客户端软件或 OpenSSH（或其他某些兼容软件）。

边界

资源

终端

in 终端用于加密流量（入站或出站）。此终端通过“应用配置编辑器”的“接口”选项卡进行配置。

属性

常规属性

VPN 属性

服务器属性

客户端属性

卷

自定义计数器

VPN2 组件通过 mon 终端报告以下自定义计数器。

性能

两个测试应用驻留在同一 CA AppLogic 网格上。 为两个 VPN2 组件（客户端和服务器）以及服务器和客户端组件分配了 100MB 带宽。 提取了多个对象，每次 10 个对象，每个对象大小为 1 MB，持续时间为 60 秒。

错误消息

在组件启动失败的情况下，系统日志可能记录以下错误消息：

通道类型

明文

该模式支持“单服务器 - 多客户端”方案，允许从多个位置访问 VPN2 服务器。 在该模式中不建立 VPN 通道，也不需要数据存储（数据卷和 NAS 组件都不连接到 fs 终端）。 该模式适用于 IPv4 和 IPv6。

在服务器 VPN2 组件上，通过 tcp_ports、udp_ports、aux_protocols 属性对 in 终端上接收的流量进行筛选并将其转发到 srv 终端。

在客户端 VPN2 组件上，在 clt 终端上接收的所有流量都转发到在 remote_host 属性中指定的远程 VPN2 服务器。

必须在服务器端配置的属性：mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：mode、tunnel、remote_host。

如果正在使用 IPv6 模式，则必须用客户端的地址来配置服务器端属性 remote_host。

证书

该模式支持“单服务器 - 多客户端”方案，允许从多个位置访问 VPN2 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式在 IPv4 和 IPv6 中均适用。

启动后，如果必要的证书和密钥文件不存在，服务器组件会生成这些文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成这些文件。 在配置任何 VPN2 客户端之前，必须为其生成证书。 用户可以登录正在运行的 VPN2 服务器组件并生成客户端密钥对，如下所述：

grid> comp login VPN2-1:main.VPN2

CentOS 发行版 6（最终）

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client

生成的客户端 SSL 证书和密钥文件。

==============================================

这些文件以及 CA 证书文件应复制到 VPN2 服务器的

数据卷或 fs 挂接卷的 /client/ 子目录。

在 auth_path 属性中应指定到客户端文件（client.829de5afcac564b3）的路径。

文件的位置：

客户端证书：/mnt/fs/server/client.829de5afcac564b3.crt

客户端密钥文件：/mnt/fs/server/client.829de5afcac564b3.key

CA 证书文件位于 /mnt/fs/server/ca.crt

必须将客户端证书和密钥文件复制到客户端 VPN2 组件上数据存储的 /client/ 子目录下，并将 auth_path 设置为适当值，在此示例中为“client.829de5afcac564b3”。 还必须将 VPN2 服务器 (/mnt/fs/server/ca.crt) 中的 CA 证书复制到客户端组件上的 /client/ 子目录，并将其命名为“ca.crt”。 每个客户端 VPN2 组件都应有自己的证书。

在服务器 VPN2 组件上，对 in 终端上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 属性对其进行筛选并将其转发到 srv 终端。

在客户端 VPN2 组件上，对 clt 终端上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN2 服务器。

必须在服务器端配置的属性：mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：mode、tunnel、remote_host、auth_path。

共享密钥文件

该模式只支持“单服务器 - 单客户端”方案，一次只允许从单个客户端访问 VPN2 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式在 IPv4 和 IPv6 中均适用。

启动后，如果共享密钥文件 /server/secret.key 不存在，则服务器组件会生成该文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成该文件。 在配置任何 VPN2 客户端之前，必须将该共享密钥文件复制到其数据存储中的 /client/ 子目录。 要生成新的共享密钥文件，用户可以登录到正在运行的 VPN2 服务器组件并发出以下命令：

[VPN2-1:main.VPN2 server]# /appliance/security.sh generate_secret

生成的 OpenVPN 共享密钥文件。

======================================

该文件应复制到 VPN2 服务器的数据卷或 fs 挂接卷的 /server/ 子目录，

以及 VPN2 客户端的数据卷或 fs 挂接卷的 /client/ 子目录。

在 VPN2 客户端的 auth_path 属性中应指定到它的路径。

文件位置：/mnt/fs/server/secret.key

如果已存在密钥文件，则新生成的密钥文件会覆盖旧文件。 必须将该共享密钥文件“/mnt/fs/server/secret.key”复制到客户端 VPN2 组件上数据存储的 /client/ 子目录中，并将 auth_path 属性设置为正确值，在此示例中为“secret.key”。 可以配置多个客户端 VPN2 组件，但任候时候只能连接一个组件。

在服务器 VPN2 组件上，对 in 终端上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 属性对其进行筛选并将其转发到 srv 终端。

在客户端 VPN2 组件上，对 clt 终端上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN2 服务器。

必须在服务器端配置的属性：mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：mode、tunnel、remote_host、auth_path。

Ssh 密钥

该模式支持“单服务器 - 多客户端”方案，允许从多个位置访问 VPN2 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 只有 tcp 流量可以通过 ssh 通道传送，因此在服务器端只能使用 tcp_ports 属性。 不支持端口范围－必须在 ssh_ports 客户端属性中显式指定应转发的每个端口。 该模式在 IPv4 和 IPv6 中均适用。

VPN2 服务器启动后会生成默认的 ssh 密钥对；默认密钥位于：服务器密钥（公钥）：server/ssh-server.pub；客户端密钥（私钥）：server/ssh-client.key。可以使用 security.sh 脚本手工生成更多密钥：

[VPN2-1:main.VPN2 ~]# /appliance/security.sh generate_ssh

生成的 SSH 密钥对。

======================

公钥应复制到 VPN2 服务器的数据卷或 fs 挂接卷的 /server/ 子目录。

私钥应复制到 VPN2 客户端的数据卷或 fs 挂接卷的 /client/ 子目录。

在 VPN2 客户端和服务器上 auth_path 属性中应指定到密钥文件的路径。

文件的位置：

公钥：/mnt/fs/server/ssh.11179ebbfa3f6852.pub

私钥：/mnt/fs/server/ssh.11179ebbfa3f6852.key

应该将公钥复制到 VPN2 服务器的 /server/ 子目录中，将私钥复制到客户端的 /client/ 子目录中。 在客户端和服务器上均应设置 auth_path 属性。 如果服务器上的 auth_path 为空，则使用默认的 SSH 密钥。 

在服务器 VPN2 组件上，对 in 终端上接收的流量解密，通过 ssh_ports 属性对其进行筛选并将其转发到 srv 终端。 只支持 tcp 端口转发。 auth_path 属性定义要使用的 SSH 公钥。 当组件同时在客户端和服务器模式下工作时，公钥和私钥应该名称相同，并位于 /server/ 和 /client/ 子目录中。 在服务器和客户端上应以相同方式配置 ssh_ports 属性。

在客户端 VPN2 组件上，对 clt 终端上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN2 服务器。

必须在服务器端配置的属性：mode、tunnel、allowed_hosts、auth_path、tcp_ports。

必须在客户端配置的属性：mode、tunnel、remote_host、auth_path、ssh_ports。

注意：SSH 服务器-服务器模式。 可以在 both 模式下同时配置两个 VPN2 组件，并将它们互相连接。 要使用该模式，必须以特殊方式配置组件：

假设有 2 个组件，名称分别为 VPN21 和 VPN22：

1. 创建 2 组公钥/私钥文件（1.key/1.pub，2.key/2.pub，使用“/appliance/security.sh generate_ssh”脚本）
2. 在两个组件上将 auth_path 属性配置为“ssh.key”
3. 将 2.pub 复制到 VPN21:/mnt/data/server/ssh.key（或复制到 NAS 驱动器的 /server/ 子目录的 ssh.key 文件）（公钥将移到 /server/ 子目录）
4. 将 2.key 复制到 VPN22:/mnt/data/client/ssh.key（私钥将移到 /client/ 子目录）
5. 将 1.pub 复制到 VPN22:/mnt/data/server/ssh.key（公钥将移到 /server/ 子目录）
6. 将 1.key 复制到 VPN21:/mnt/data/client/ssh.key（私钥将移到 /client/ 子目录）

IPSec 证书

该模式支持“单服务器 - 多客户端”方案，允许从多个位置访问 VPN2 服务器。 需要数据存储（连接到 fs 终端的数据卷或 NAS 组件）。 该模式仅适用于 IPv4。

启动后，如果必要的证书和密钥文件不存在，服务器组件会生成这些文件。 可以使用位于 /appliance/ 目录的 security.sh 脚本重新生成这些文件。 在配置任何 VPN2 客户端之前，必须为其生成证书。 用户可以登录正在运行的 VPN2 服务器组件并生成客户端密钥对，如下所述：

grid> comp login VPN2-1:main.VPN2

CentOS 发行版 6（最终）

[VPN2-1:main.VPN2 ~]# /appliance/security.sh generate_client

生成的客户端 SSL 证书和密钥文件。

==============================================

这些文件以及 CA 证书文件应复制到 VPN2 服务器的

数据卷或 fs 挂接卷的 /client/ 子目录。

在 auth_path 属性中应指定到客户端文件（client.829de5afcac564b3）的路径。

文件的位置：

客户端证书：/mnt/fs/server/client.829de5afcac564b3.crt

客户端密钥文件：/mnt/fs/server/client.829de5afcac564b3.key

CA 证书文件位于 /mnt/fs/server/ca.crt

必须将客户端证书和密钥文件复制到客户端 VPN2 组件上数据存储的 /client/ 子目录下，并将 auth_path 设置为适当值，在此示例中为“client.829de5afcac564b3”。 还必须将 VPN2 服务器 (/mnt/fs/server/ca.crt) 中的 CA 证书复制到客户端组件上的 /client/ 子目录，并将其命名为“ca.crt”。 每个客户端 VPN2 组件都应有自己的证书。

重要信息！ 在 both 模式下使用 VPN2 时，操作将有所不同。 在此情况下，所有证书、客户端和服务器必须由同一 VPN2 实例生成，并且与其 ca.crt 证书一起分发到其他实例中。

在服务器 VPN2 组件上，对 in 终端上接收的流量解密，通过 tcp_ports、udp_ports、aux_protocols 属性对其进行筛选并将其转发到 srv 终端。

在客户端 VPN2 组件上，对 clt 终端上接收的所有流量加密并将其转发到在 remote_host 属性中指定的远程 VPN2 服务器。

必须在服务器端配置的属性：mode、tunnel、allowed_hosts、tcp_ports、udp_ports、aux_protocols。

必须在客户端配置的属性：mode、tunnel、remote_host、auth_path。