IPsec-Beispiel – dedizierte öffentliche IP

Beispiel für die Konfiguration eines IPsec-Tunnels mit einer dedizierten öffentlichen IP-Adresse und einem gebridgten internen Netzwerk für die Workload-Konnektivität.

Das folgende IPsec-Beispiel verwendet eine dedizierte öffentliche IP-Adresse für einen VPN-Tunnel. Der VPN-Router ist mit einem vorhandenen internen Netzwerk gebridged, um diesem Netzwerk Layer-2-Konnektivität bereitzustellen.

IPsec ist ein komplexes Framework, das eine Vielzahl von Konfigurationskombinationen unterstützt und viele Möglichkeiten bietet, dasselbe Ziel zu erreichen, sodass es unmöglich ist, allgemeingültige Anweisungen bereitzustellen. Beispielkonfigurationen werden als Referenz angegeben und sollten an die jeweilige Umgebung und die Anforderungen angepasst werden.

Lesen Sie die IPsec-Produktleitfadenseite für allgemeine Schritt-für-Schritt-Anweisungen zum Erstellen eines IPsec-Tunnels.

• VPN-Netzwerkname: vpn-ipsec
• Adresse des VPN-Routers: 192.168.0.254
• Lokales VPN-Netzwerk: 192.168.0.0/24
• Entferntes VPN-Netzwerk: 10.10.0.0/16
• Name des gebrückten internen Netzwerks: Internal-xyz
• Name des externen Netzwerks: Extern

Statische Lease

Wir navigieren zu Internal-xyz > IP-Adressen > Neu* um eine statische Adresse für den VPN-Router in diesem internen Netzwerk zu reservieren, damit kein anderes Gerät dieselbe IP-Adresse verwendet. Vollständige Anweisungen zum Erstellen einer statischen Lease finden Sie hier: Eine statische DHCP-Lease erstellen.

Statische VPN-Lease

VPN-Netzwerkkonfiguration

VPN-Netzwerkkonfig

Phase 1

Phase-1-Konfiguration

Phase 2

Phase-2-Konfiguration

Zugewiesene öffentliche IP-Adresse

Die öffentliche Adresse muss dem externen Netzwerk zugewiesen werden dem VPN-Netzwerk.

Öffentliche IP zuweisen

Standardregeln des VPN-Netzwerks

Standard-Firewallregeln - Die folgenden erforderlichen Firewallregeln werden automatisch erstellt wenn ein VPN-Netzwerk erstellt wird:

• IKE zulassen: Eingehenden UDP-Verkehr auf Port 500 zulassen an Meine Router-IP
• IPsec NAT-Traversal zulassen: Eingehenden UDP-Verkehr auf Port 4500 zulassen an Meine Router-IP
• ESP zulassen: Eingehenden ESP-Protokollverkehr zulassen an Meine Router-IP
• AH zulassen: Eingehenden AH-Protokollverkehr zulassen an Meine Router-IP

Regeln überprüfen

Diese Regeln können bei Bedarf geändert werden, um sie auf bestimmte Quelladressen einzuschränken.

Zusätzliche VPN-Netzwerkregeln

Im neuen VPN-Netzwerk müssen zusätzliche Regeln erstellt werden:

Übersetzungsregel:

Die Übersetzungsregel muss an den Anfang der Regelliste verschoben werden, vor die Akzeptieren Regeln. Anweisungen zum Ändern der Reihenfolge von Regeln finden Sie im Produktleitfaden: Netzwerkregeln – Reihenfolge der Regeln ändern

Standard-Route-Regel:

Regel für internes Netzwerk

Auf Internal-xyz ist eine Routingregel erforderlich, um seinen VPN-Verkehr zum VPN-Netzwerk zu leiten.

VPN-Standard-Route-Regel

Neue Regeln müssen auf jedem Netzwerk angewendet werden, damit sie wirksam werden.