Informazioni di riferimento › Guida di riferimento al catalogo delle appliance › Catalogo di sistema › Gateway › VPN: appliance di rete privata virtuale

VPN: appliance di rete privata virtuale

Ultima versione: 3.1.3-1

Panoramica funzionale

Il VPN è un'appliance di Rete Privata Virtuale che funziona nelle reti IPv4 e IPv6 ed è progettata per fornire tunnel protetti e affidabili per le comunicazioni inter-griglia e l'accesso remoto alle applicazioni e alle appliance. Il VPN può anche operare senza utilizzare i tunnel VPN, e in questo caso funziona come un gateway di cleartext IN/OUT combinato. Il VPN serve anche per l'interconnessione delle griglie di CA AppLogic® di Ipv4 e IPv6. Si basa su OpenVPN, OpenSSH e sui pacchetti software Open Source di Racoon.

Il VPN ha tre modalità operative di base: server, client o entrambe.

• Quando opera come server, il traffico ricevuto dall'interfaccia esterna viene inviato al terminale di SRV. Se il VPN sta usando un tunnel, il traffico dal tunnel stabilito sull'interfaccia esterna è decifrato prima di essere inoltrato al terminale di SRV. In questa modalità operativa, il VPN opera come gateway IN con supporto di tunnel VPN.
• Quando opera come client, il traffico ricevuto attraverso il terminale di CLT è inviato attraverso l'interfaccia esterna. Se il VPN usa un tunnel, il traffico è codificato prima di essere inviato attraverso il tunnel stabilito sull'interfaccia esterna. In questa modalità operativa, il VPN opera come un gateway OUT con il supporto di un tunnel VPN.
• Quando opera come server e client, i due flussi di traffico sono supportati per fornire un'operazione di tipo gateway IN/OUT combinato.

Il VPN supporta IPSec, i file segreti condivisi, i certificati SSL e i file di codice SSH per l'autenticazione e la crittografia. Si può usare un normale client di OpenVPN/OpenSSH su una workstation remota per connettersi al VPN, che a sua volta garantisce un accesso protetto ai componenti interni di un'applicazione eseguita su CA AppLogic®. L'appliance di VPN supporta la generazione di file segreti condivisi, di certificati SSL e di codici SSH.

Per accedere in remoto a un'applicazione di CA AppLogic® su un tunnel VPN protetto usando la rete VPN, si può usare il software lato client di OpenVPN oppure OpenSSH sul computer del client (o su altri software compatibili).

Risorse

Terminali

Proprietà

Proprietà generali

Importante: È necessario definire almeno una coppia di indirizzi (IPv4 o IPv6).

Proprietà VPN

Proprietà di server

Proprietà di client

Volumi

Contatori personalizzati

L'appliance di VPN riporta i seguenti contatori personalizzati dal terminale di MON.

Prestazioni

Due applicazioni di test risiedevano sulla stessa griglia di CA AppLogic®. Una larghezza di banda di 100 mbit è stata assegnata alle due appliance di VPN (client e server) e alle appliance di server e client. Sono stati recuperati 10 oggetti in parallelo, della dimensione di 1 MB, a oggetto multiplo per 60 secondi.

Messaggi di errore

In caso di errore nell'avvio dell'appliance, è possibile che vengano registrarti i seguenti errori nel log di sistema:

Tipi di tunnel

Cleartext

Questa modalità supporta un unico server - diversi scenari di client e permette l'accesso al server VPN da più posizioni. In questa modalità, i tunnel VPN non sono stabiliti e non è richiesto un archivio di dati (né un volume di dati, né l'appliance NAS è connessa al terminale di fs). Questa modalità funziona in IPv4 e IPv6.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è filtrato mediante le proprietà tcp_ports, udp_ports, aux_protocols e inoltrato all'interfaccia di srv.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway, modalità, tunnel, allowed_hosts, tcp_ports, udp_ports, aux_protocols.

Proprietà che devono essere configurate sul lato client: ip_addr, maschera di rete, gateway, modalità, tunnel, remote_host.

La proprietà remote_host sul lato server deve essere configurata con l'indirizzo di client se la modalità di IPv6 è in uso.

Certificato

Questa modalità supporta un unico server - diversi scenari di client e permette l'accesso al server VPN da più posizioni. È richiesto un archivio di dati (o un volume di dati o un'appliance NAS connessa al terminale di fs). Questa modalità funziona in IPv4 e IPv6.

All'avvio, l'appliance di server genera i certificati necessari e i file di codice se questi file non sono già presenti. Questi file possono essere ri-generati con lo script security.sh, che si trova nella directory /appliance/. Prima di configurare i client di VPN, occorre generare dei certificati per loro. Un utente può accedere all'appliance del server VPN eseguito e generare una coppia di codici client come segue:

grid> comp login VPN-1:main.VPN
CentOS release 5 (Final)

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
Certificato SSL client generato e file di codice.
==============================================
Questi file, con il file di certificato di CA, dovrebbero essere copiati al server VPN
nella sottodirectory /client/ del volume di dati o del volume montato di fs.
Il percorso ai file client (client.829de5afcac564b3) dovrebbe essere specificato nella proprietà di auth_path.
Posizione dei file:
certificato di client: /mnt/fs/server/client.829de5afcac564b3.crt
file di codice client: /mnt/fs/server/client.829de5afcac564b3.key
File di certificato di CA localizzato in /mnt/fs/server/ca.crt

È necessario copiare il certificato di client e il file di codice nell'appliance di VPN client nella sottodirectory /client/ dell'archivio dati con auth_path impostato sul valore appropriato, client.829de5afcac564b3, in questo caso. È necessario copiare il certificato di CA dal server VPN (/mnt/fs/server/ca.crt) nella sottodirectory /client/ sull'appliance client e denominarlo ca.crt. Ogni appliance di VPN client dovrebbe avere il proprio certificato.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è cifrato, filtrato mediante le proprietà tcp_ports, udp_ports, aux_protocols e inoltrato all'interfaccia di srv.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è cifrato e inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corrispondenti), modalità, tunnel, allowed_hosts, tcp_ports, udp_ports, aux_protocols.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, remote_host, auth_path.

File segreto condiviso

Questa modalità supporta soltanto il server singolo - scenario di client singolo, permettendo l'accesso al server di VPN soltanto da un client alla volta. È richiesto un archivio di dati (o un volume di dati o un'appliance NAS connessa al terminale di fs). Questa modalità funziona in IPv4 e IPv6.

All'avvio, l'appliance di server genera i file segreto condiviso /server/secret.key, se non sono già presenti. Questo file può essere ri-generato con lo script di security.sh, localizzava nel /appliance/ directory. Prima di configurare i client VPN, è necessario copiare il file segreto condiviso nell'archivio di dati della sottodirectory /client/. Per generare un nuovo file segreto condiviso, l'utente può accedere nell'appliance di server VPN corrente ed emettere il seguente comando:

[VPN-1:main.VPN server]# /appliance/security.sh generate_secret
File segreto condiviso di OpenVPN generato.
======================================
Questo file dovrebbe essere copiato al server VPN nella sottodirectory /server/ del volume di dati o del volume montato su fs
e al client VPN nella sottodirectory /client/ del volume di dati del volume montato su fs.
Il relativo percorso dovrebbe essere specificato nella proprietà auth_path del client VPN.
Posizione di file: /mnt/fs/server/secret.key

Un file segreto appena generato sovrascrive il precedente, se esistente. È necessario copiare il file segreto condiviso /mnt/fs/server/secret.key nell'appliance di VPN client della sottodirectory /client/ dell'archivio di dati con la proprietà auth_path impostata sul valore corretto, secret.key in questo caso. Possono essere configurate più appliance di VPN client, ma soltanto una può essere connessa alla volta.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è cifrato, filtrato mediante le proprietà tcp_ports, udp_ports, aux_protocols e inoltrato all'interfaccia di srv.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è cifrato e inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corrispondenti), modalità, tunnel, allowed_hosts, tcp_ports, udp_ports, aux_protocols.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, remote_host, auth_path.

Codice SSH

Questa modalità supporta un unico server - diversi scenari di client e permette l'accesso al server VPN da più posizioni. È richiesto un archivio di dati (o un volume di dati o un'appliance NAS connessa al terminale di fs). Solamente il traffico TCP può essere inoltrato nel tunnel SSH, quindi soltanto la proprietà tcp_ports è usata sul lato server. Gli intervalli di porta non sono supportati - specificare esplicitamente ogni porta da inoltrare nella proprietà sul lato client di ssh_ports. Questa modalità funziona in IPv4 e IPv6.

Il server VPN genera la coppia di codici SSH predefinita all'avvio; i codici predefiniti si trovano in: codice di server (codice pubblico): codice client server/ssh-server.pub (codice privato): server/ssh-client.key. I codici aggiuntivi possono essere generati manualmente usando lo script security.sh:

[VPN-1:main.VPN ~]# /appliance/security.sh generate_ssh
Coppia di codici SSH generato.
======================
Il codice pubblico dovrebbe essere copiato al server VPN nella sottodirectory /server/ del volume di dati o del volume montato su fs.
Il codice pubblico dovrebbe essere copiato al server VPN nella sottodirectory /client/ del volume di dati o del volume montato su fs.
Il percorso ai file di codice dovrebbe essere specificato nella proprietà auth_path sul cliente e sul server VPN.
Posizione dei file:
Codice pubblico: /mnt/fs/server/ssh.11179ebbfa3f6852.pub
Codice privato: /mnt/fs/server/ssh.11179ebbfa3f6852.key

Il codice pubblico dovrebbe essere copiato sul server VPN nella sottodirectory /server/; il codice privata dovrebbe essere copiato al client nella sottodirectory /client/. La proprietà auth_path dovrebbe essere impostata sul client e sul server. Se auth_path è vuoto sul server, viene usato il codice SSH predefinito.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è decifrato, filtrato mediante la proprietà ssh_ports e inoltrato all'interfaccia di srv. Soltanto l'inoltro della porta TCP è supportato. La proprietà auth_path definisce il codice SSH pubblico da utilizzare. Quando l'appliance opera nella modalità client e server, il codice pubblico e il codice privato devono avere lo stesso nome e devono trovarsi nelle sottodirectory /server/ e /client/. La proprietà ssh_ports dovrebbe essere configurata sul server e sul client allo stesso modo.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è cifrato e inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, allowed_hosts, auth_path, tcp_ports.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, remote_host, auth_path, ssh_ports.

Importante: Modalità server-server di SSH. Due appliance di VPN possono entrambe essere configurate nei due modi e connettersi l'una all'altra. Per utilizzare questa modalità, occorre configurare le appliance in modo speciale:

Supponiamo di avere 2 appliance chiamate VPN1 e VPN2: 1. creare 2 set di file di codice pubblico/privato (1.key/1.pub, 2.key/2.pub usando "/appliance/security.sh generate_ssh" script) 2. configurare proprietà auth_path sulle due appliance in "ssh.key" 3. copiare 2.pub su VPN1:/mnt/data/server/ssh.key (o sul file ssh.key nella sottodirectory /server/ dell'unità di NAS) (il codice pubblico nella sottodirectory /server/) 4. copiare 2.key su VPN2:/mnt/data/client/ssh.key (il codice privato nella sottodirectory /client/) 5. copiare 1.pub su VPN2:/mnt/data/server/ssh.key (il codice pubblico nella sottodirectory /server/) 6. copiare 1.key su VPN1:/mnt/data/client/ssh.key (il codice privato nella sottodirectory /client/).

Certificato di IPSec

Questa modalità supporta un unico server - diversi scenari di client e permette l'accesso al server VPN da più posizioni. È richiesto un archivio di dati (o un volume di dati o un'appliance NAS connessa al terminale di fs). Questa modalità funziona solamente in IPv4.

All'avvio, l'appliance di server genera i certificati necessari e i file di codice se questi file non sono già presenti. Questi file possono essere ri-generati con lo script security.sh, che si trova nella directory /appliance/. Prima di configurare i client di VPN, occorre generare dei certificati per loro. Un utente può accedere all'appliance di VPN server corrente e generare una coppia di codici come segue:

grid> comp login VPN-1:main.VPN
CentOS release 5 (Final)

[VPN-1:main.VPN ~]# /appliance/security.sh generate_client
Certificato di SSL client generato e file di codice.
==============================================
Questi file, con il file di certificato di CA, dovrebbero essere copiati al server VPN
nella sottodirectory /client/ del volume di dati o del volume montato di fs.
Il percorso ai file client (client.829de5afcac564b3) dovrebbe essere specificato nella proprietà di auth_path.
Posizione dei file:
certificato di client: /mnt/fs/server/client.829de5afcac564b3.crt
file di codice client: /mnt/fs/server/client.829de5afcac564b3.key
File di certificato di CA localizzato in /mnt/fs/server/ca.crt

È necessario copiare il certificato di client e il file di codice nell'appliance di VPN client nella sottodirectory /client/ dell'archivio dati con auth_path impostato sul valore appropriato, client.829de5afcac564b3, in questo caso. È necessario copiare il certificato di CA dal server VPN (/mnt/fs/server/ca.crt) nella sottodirectory /client/ sull'appliance client e denominarlo ca.crt. Ogni appliance di VPN client dovrebbe avere il proprio certificato.

Importante: Si verifica un'eccezione quando il VPN è usato nelle due modalità. In questo caso tutti i certificati, client e server, devono essere generati dalla stessa istanza di VPN, e distribuiti insieme al certificato di ca.crt alle altre istanze.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è cifrato, filtrato mediante le proprietà tcp_ports, udp_ports, aux_protocols e inoltrato all'interfaccia di srv.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è cifrato e inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corrispondenti), modalità, tunnel, allowed_hosts, tcp_ports, udp_ports, aux_protocols.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, remote_host, auth_path.

Segreto condiviso di IPSec

Questa modalità supporta un unico server - diversi scenari di client e permette l'accesso al server VPN da più posizioni. È richiesto un archivio di dati (o un volume di dati o un'appliance NAS connessa al terminale di fs). Questa modalità funziona solamente in IPv4.

Sull'inizio, l'appliance server estrae la prima linea del file specificato in proprietà di auth_path e la usa come tasto condiviso. Questo file deve essere presente sulle due parti. Prima di configurare un client di VPN, è necessario copiare questo file segreto condiviso nel suo archivio dati nella sottodirectory /client/.

Sull'appliance di VPN server, il traffico ricevuto sull'interfaccia esterna è cifrato, filtrato mediante le proprietà tcp_ports, udp_ports, aux_protocols e inoltrato all'interfaccia di srv.

Sull'appliance di VPN di client, il traffico ricevuto sull'interfaccia di clt è cifrato e inoltrato al server VPN remoto, specificato nella proprietà di remote_host.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corrispondenti), modalità, tunnel, allowed_hosts, tcp_ports, udp_ports, aux_protocols.

Proprietà che devono essere configurate sul lato server: ip_addr, maschera di rete, gateway (o proprietà IPv6 corripondenti), modalità, tunnel, remote_host, auth_path.

accesso remoto a un servizio esterno

Il seguente diagramma illustra un esempio di come si configura l'accesso remoto a un servizio esterno:

in questo esempio, un'appliance Web, eseguita su una Griglia A, accede a un database MySQL remoto eseguito su una Griglia B mediante un tunnel VPN sicuro.

vpn1 sulla Griglia A è configurato per connettersi all'indirizzo IP assegnato a vpn2 sulla Griglia B. Il terminale srv di vpn1 e il terminale clt di vpn2 rimangono disconnessi. Le interfacce esterne di vpn1 e vpn2 sono configurate con indirizzi IP indirizzabili e adeguati.

Esempio di configurazione della proprietà:

vpn1:

vpn2:

Accesso remoto alle appliance di CA AppLogic® interne

Il seguente diagramma illustra un esempio di come configurare l'accesso remoto alle appliance di CA AppLogic® interne:

In questo esempio, un utente deve accedere dal suo PC a diverse appliance attraverso una connessione VPN sicura usando il client OpenVPN OpenVPN viene utilizzato per connettersi all'indirizzo IP assegnato a vpn. VPN stabilisce un tunnel VPN con il PC dell'utente e inoltra il traffico in entrata allo switch della porta sw, che viene configurata per distribuire il traffico a quattro diverse appliance nell'applicazione.

È necessario installare OpenVPN sul PC dell'utente prima di accedere a un'applicazione di CA AppLogic® che usa l'appliance di VPN come descritta in questo esempio. Le seguenti fasi descrivono la configurazione di questa applicazione e come accedere all'applicazione su un tunnel VPN sicuro:

1. l'utente deve installare OpenVPN sul PC. OpenVPN può essere ottenuto o da qui o da qui (ci sono stati rapporti di OpenVPN che non lavora su Vista di Windows). Dopo l'installazione, creare un file di configurazione distinto che definisce le proprietà del tunnel di OpenVPN che l'utente utilizzerà per accedere all'applicazione di CA AppLogic®. Le seguenti fasi descrivono la procedura.
2. Si raccomanda di utilizzare la modalità segreta condivisa di operazione dell'appliance VPN. Configurare vpn come segue:

vpn:

3. Assegnare i protocolli e le porte desiderati che devono essere inoltrate attraverso l'appliance di sw. In questo caso, 4 porte (122.422.522.822) sono inoltrate alle porte SSH delle appliance connesse a sw:

4. Avviare l'applicazione. Una volta avviata l'applicazione, estrarre il file segreto condiviso dall'appliance di VPN:

grid> comp ssh APPLICATION:main.VPN
vpn> cat /mnt/data/server/secret.key
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
431e845f2ca67f2a31649b20e3ba3291
...
fe991cdbfe82525a9367b9afbfd0f922
-----END OpenVPN Static key V1-----

5. Incollare il contenuto di secret.key di cui sopra in un file nuovo sul PC dell'utente e salvare il file. Questo è un file segreto condiviso che viene utilizzato per l'autenticazione.

6. Preparare un file di configurazione di OpenVPN client. Copiare le seguenti righe in un nuovo file sul PC dell'utente (un file diverso dalla fase 5):

dev tun
proto udp
resolv-retry infinite
persist-key
persist-tun
cipher AES-128-CBC
comp-lzo
keepalive 10 120
remote 11.22.33.44 1194
secret "C:\\Program Files\\OpenVPN\\sample-config\\secret.key"
nobind
ifconfig 169.254.215.101 169.254.215.102

Gli indirizzi IP nella linea di ifconfig possono essere di qualsiasi tipo, a condizione che siano: a) dal blocco di rete 169.254.0.0/16) b) nello stesso subnet di /30 c) non sono il primo o l'ultimo indirizzo nel subnet di /30. B e C sono i limiti del client di OpenVPN che viene eseguito sulla piattaforma Windows.

7. Sostituire l'indirizzo IP remoto dall'indirizzo IP che è assegnato all'appliance di VPN. Sostituire il percorso al file segreto condiviso nella linea segreta con il percorso del file di codici creato nella fase 5. Se si usa il sistema operativo Microsoft Windows sul PC in cui è stato installato OpenVPN, chiudere tutte le linee nelle citazioni e sostituire ogni slash con un doppio slash.

8. Avviare il client di OpenVPN:

c:\program files\OpenVPN\bin\openvpn.exe --config "c:\client.ovpn"

Nota: sostituire "c:\client.ovpn" con il percorso al file di configurazione creato nella fase 6.

9. Dopo pochi secondi, viene visualizzato il seguente messaggio da OpenVPN:

Wed Jul 01 09:41:12 2009 Peer Connection Initiated with XX.XX.XX.XX:1194
Wed Jul 01 09:41:12 2009 Initialization Sequence Completed

Ora è possibile accedere alle appliance dell'applicazione di CA AppLogic® usando l'indirizzo IP definito nei file di configurazione (169.254.215.102 in questo caso). La porta 169.254.215.102:122 è inoltrata da sw alla porta 22 dell'appliance di srv1, mentre la porta 169.254.215.102:422 è inoltrata all'appliance di srv4, ecc. Per esempio, eseguire

ssh -p 122 root@169.254.215.102

per accedere alla prima appliance.

Fornire un tunnel VPN sicuro per la replica MySQL

Il seguente diagramma illustra un esempio di come è possibile fornire tunnel VPN sicuri per la replica di MySQL:

In questo esempio due applicazioni eseguite su griglie differenti, Griglia A e Griglia B, in cui entrambe usano lo stesso database MySQL che è replicato attraverso un tunnel VPN sicuro.

vpn1 e vpn2 sono configurati con indirizzo IP instradabile sulle loro interfacce esterne. vpn1 è configurato per stabilire un tunnel a vpn2, e viceversa.

db1 da Griglia A invia traffico a vpn1 per la replica, dove è codificato ed è trasmesso a vpn2 che decifra il traffico e lo invia al terminale rin di db2 sulla Griglia B. Analogamente, la replica da db2 sulla Griglia B a db1 sulla Griglia A si comporta allo stesso modo.

vpn1:

vpn2:

vpn1:

vpn2:

note

OpenVPN deve essere usato sul computer del client per poter accedere a un tunnel VPN sicuro esposto dall'appliance VPN.

Questa appliance usa software Open Source di terze parti

VPN usa i seguenti pacchetti Open Source di terze parti oltre ai pacchetti Open Source di terze parti usati dalla loro classe di base LUX6.