# Настройка IPSec VPN

Чтобы настроить IPsec с сетевыми устройствами:

1. [Создайте набор IP-адресов](#1-создать-набор-ip-адресов).
2. [Создайте правило брандмауэра для трафика из сети вашей инфраструктуры в виртуальный дата-центр](#2-создать-правила-брандмауэра-для-трафика-из-локальной-сети-вашей-инфраструктуры-в-виртуальный-дата-центр).
3. [Создайте правило брандмауэра для трафика из виртуального дата-центра в сеть вашей инфраструктуры](#3-создать-правила-брандмауэра-для-трафика-из-виртуального-дата-центра-в-локальную-сеть-вашей-инфраструктуры).
4. [Создайте туннель](#4-создать-туннель).
5. [Настройте профиль безопасности](#5-настроит-профиль-безопасности).

## 1. Создать набор IP-адресов

1. Перейдите в раздел **Networking** → **Edge Gateways**.
2. Выберите шлюз из списка, для которого нужно настроить подключение.
3. Перейдите в раздел **Security** → **IP Sets**.
4. Нажмите кнопку **NEW**.
5. В открывшемся окне заполните следующие данные:

   - **Name**: введите имя набора IP-адресов.
   - (необязательно) **Description**: введите описание, назначение набора IP-адресов.
   - **IP Addresses**: Введите IPv4 или IPv6 адрес, диапазон или CIDR (например, `10.0.0.0/24`).

6. Нажмите кнопку **ADD**.
7. Нажмите кнопку **SAVE**.

## 2. Создать правила брандмауэра для трафика из локальной сети вашей инфраструктуры в виртуальный дата-центр

1. Перейдите в раздел **Services** → **Firewall**.
2. Нажмите кнопку **NEW**.
3. В открывшемся окне заполните следующие данные:

   - **Name**: введите имя правила брандмауэра.
   - **Source**: нажмите на изображение карандаша, выберите из списка созданный ранее набор адресов и нажмите кнопку **KEEP**.
   - **Destination**: нажмите на изображение карандаша, выберите из списка локальную сеть в вашем виртуальном дата-центре и нажмите кнопку **KEEP**.
   - (необязательно) Включите опцию **Logging** для записи проходящего через правило трафика в журнал.

4. Нажмите кнопку **SAVE**.

## 3. Создать правила брандмауэра для трафика из виртуального дата-центра в локальную сеть вашей инфраструктуры

1. Нажмите кнопку **NEW**.
2. В открывшемся окне заполните следующие данные:

   - **Name**: введите имя правила брандмауэра.
   - **Source**: нажмите на изображение карандаша, выберите из списка локальную сеть в вашем виртуальном дата-центре и нажмите кнопку **KEEP**.
   - **Destination**: нажмите на изображение карандаша, выберите из списка созданный ранее набор адресов и нажмите кнопку **KEEP**.
   - (необязательно) Включите опцию **Logging** для записи проходящего через правило трафика в журнал.

3. Нажмите кнопку **SAVE**.

## 4. Создать туннель

1. Перейдите в раздел **Services** → **IPSec VPN**.
2. Нажмите кнопку **NEW**.
3. В открывшемся окне на шаге **General Settings** заполните следующие данные:

   - **Name**: введите имя туннеля.
   - (необязательно) **Description**: введите описание, назначение туннеля.
   - **Type**: выберите опцию `Policy Based`.
   - **Security Profile**: выберите опцию `Default`.
   - (необязательно) Включите опцию **Logging** для записи проходящего через туннель трафика в журнал.

4. Нажмите кнопку **NEXT**.
5. На шаге **Peer Authentication Mode** заполните следующие данные:

   - **Authentication Mode**: выберите опцию **Pre-Shared Key**.
   - **Pre-Shared Key**: укажите созданный ранее ключ.

6. Нажмите кнопку **NEXT**.
7. На шаге **Endpoint Configuration** заполните следующие данные:

   В подразделе **Local Endpoint**:

   - **IP Address**: введите внешний IP-адрес виртуального дата-центра. Доступные внешние IP-адреса можно посмотреть, нажав на иконку ⓘ в этом поле.
   - **Networks**: укажите IP-адрес локальной сети в вашем виртуальном дата-центре, например, `10.0.0.0/24`.

   В подразделе **Remote Endpoint**:

   - **IP Address**: введите внешний IP-адрес устройства в вашей инфраструктуре.
   - **Networks**: укажите IP-адрес локальной сети в вашей инфраструктуре.
   - **Remote ID**: введите внешний IP-адрес устройства в вашей инфраструктуре.

8. Нажмите кнопку **NEXT**.
9. Проверьте данные туннеля.
10. Нажмите кнопку **FINISH**.

## 5. Настроит профиль безопасности

::: tip Информация
Значения параметров, приведенные ниже, не являются универсальными. Замените их на значения, актуальные для вашей конфигурации, инфраструктуры и сетевого оборудования.
:::

1. В таблице в строчке с созданным туннелем нажмите на **…**.
2. Нажмите кнопку **Security Profile Customization**.
3. В разделе **IKE Profiles** задайте следующие параметры:

   - **Version**: `IKE v2`.
   - **Encryption**: `AES 128`.
   - **Digest**: `SHA 2 - 256`.
   - **Diffie-Hellman Group**: `Group 14`.
   - **Association Life Time (seconds)**: `86400`.

4. В разделе **Tunnel Configuration** задайте следующие параметры:

   - **Enable Perfect Forward Secrecy**: включите опцию.
   - **Defragmentation Policy**: `Copy`.
   - **Encryption**: `AES GCM 128`.
   - **Digest**: оставьте пустым.
   - **Diffie-Hellman Group** `Group 14`.
   - **Association Life Time (seconds)**: `3600`.

5. В разделе **DPD Configuration** задайте значение параметра **Probe Interval (seconds)**: `60`.
6. Нажмите **SAVE**.

## Далее

Настройте один из адаптеров:

- [ASAv](asav.md),
- [CSR 1000v](csr1000v.md),
- [Fortigate](fortigate.md).
