2025-12-15 10:11:41 +00:00
# Настройка site-to-site подключения с помощью IPSec
В этой статье описана настройка site-to-site подключения по IPSec между шлюзом в виртуальном дата-центре и вашей собственной инфраструктурой.
## Перед началом работы
2025-12-18 07:42:39 +00:00
- Изучите [типы сетевых адаптеров виртуального дата центра ](about.md#сетевые-адаптеры ) и определите подходящий для вашего сценария.
2025-12-15 10:11:41 +00:00
- [Создайте локальную сеть ](./create-network.md ) в виртуальном дата-центре и [подключите ее к шлюзу ](./connect-to-edge-gateway.md ).
- [Сгенерируйте и сохраните ключ PSK для аутентификации ](./create-psk.md ).
- Согласуйте параметры шифрования и аутентификации IKE и IPSec, которые будут использоваться на обеих сторонах туннеля.
- Создайте локальную сеть в вашем собственном дата-центре.
- Убедитесь, что на внешних брандмауэрах и межсетевых экранах разрешен трафик для IKE и IPSec по портам UDP 500 и UDP 4500, а
## Настройка IPSec VPN
Чтобы настроить IPsec с сетевыми устройствами:
1. [Создать набор IP-адресов ](#1-создать-набор-ip-адресов ).
2. [Создать правило брандмауэра для трафика из сети вашей инфраструктуры в виртуальный дата-центр ](#2-создать-правила-брандмауэра-для-трафика-из-локальной-сети-вашей-инфраструктуры-в-виртуальный-дата-центр ).
3. [Создать правило брандмауэра для трафика из виртуального дата-центра в сеть вашей инфраструктуры ](#3-создать-правила-брандмауэра-для-трафика-из-виртуального-дата-центра-в-локальную-сеть-вашей-инфраструктуры ).
4. [Создать туннель ](#4-создать-туннель ).
5. [Настроить профиль безопасности ](#5-настроит-профиль-безопасности ).
6. Настроить сетевое устройство для подключения к виртуальному дата-центру:
- [ASAv ](./ipsec/asav.md ),
- [CSR 1000v ](./ipsec/csr1000v.md ),
- [Fortigate ](./ipsec/fortigate.md ).
### 1. Создать набор IP-адресов
1. Перейдите в раздел **Networking ** → **Edge Gateways ** .
2. Выберите шлюз из списка, для которого нужно настроить подключение.
3. Перейдите в раздел **Security ** → **IP Sets ** .
4. Нажмите кнопку **NEW ** .
5. В открывшемся окне заполните следующие данные:
- **Name**: введите имя набора IP-адресов.
- (необязательно) **Description ** : введите описание, назначение набора IP-адресов.
- **IP Addresses**: Введите IPv4 или IPv6 адрес, диапазон или CIDR (например, `10.0.0.0/24` ).
6. Нажмите кнопку **ADD ** .
7. Нажмите кнопку **SAVE ** .
### 2. Создать правила брандмауэра для трафика из локальной сети вашей инфраструктуры в виртуальный дата-центр
1. Перейдите в раздел **Services ** → **Firewall ** .
2. Нажмите кнопку **NEW ** .
3. В открывшемся окне заполните следующие данные:
- **Name**: введите имя правила брандмауэра.
- **Source**: нажмите на изображение карандаша, выберите из списка созданный ранее набор адресов и нажмите кнопку **KEEP ** .
- **Destination**: нажмите на изображение карандаша, выберите из списка локальную сеть в вашем виртуальном дата-центре и нажмите кнопку **KEEP ** .
- (необязательно) Включите опцию **Logging ** для записи проходящего через правило трафика в журнал.
4. Нажмите кнопку **SAVE ** .
### 3. Создать правила брандмауэра для трафика из виртуального дата-центра в локальную сеть вашей инфраструктуры
1. Нажмите кнопку **NEW ** .
2. В открывшемся окне заполните следующие данные:
- **Name**: введите имя правила брандмауэра.
- **Source**: нажмите на изображение карандаша, выберите из списка локальную сеть в вашем виртуальном дата-центре и нажмите кнопку **KEEP ** .
- **Destination**: нажмите на изображение карандаша, выберите из списка созданный ранее набор адресов и нажмите кнопку **KEEP ** .
- (необязательно) Включите опцию **Logging ** для записи проходящего через правило трафика в журнал.
3. Нажмите кнопку **SAVE ** .
### 4. Создать туннель
1. Перейдите в раздел **Services ** → **IPSec VPN ** .
2. Нажмите кнопку **NEW ** .
3. В открывшемся окне на шаге **General Settings ** заполните следующие данные:
- **Name**: введите имя туннеля.
- (необязательно) **Description ** : введите описание, назначение туннеля.
- **Type**: выберите опцию `Policy Based` .
- **Security Profile**: выберите опцию `Default` .
- (необязательно) Включите опцию **Logging ** для записи проходящего через туннель трафика в журнал.
4. Нажмите кнопку **NEXT ** .
5. На шаге **Peer Authentication Mode ** заполните следующие данные:
- **Authentication Mode**: выберите опцию **Pre-Shared Key ** .
- **Pre-Shared Key**: укажите созданный ранее ключ.
6. Нажмите кнопку **NEXT ** .
7. На шаге **Endpoint Configuration ** заполните следующие данные:
В **Local Endpoint ** :
- **IP Address**: введите внешний IP-адрес виртуального дата-центра. Доступные внешние IP-адреса можно посмотреть, нажав на иконку ⓘ в этом поле.
- **Networks**: укажите IP-адрес локальной сети в вашем виртуальном дата-центре, например, `10.0.0.0/24` .
В **Remote Endpoint ** :
- **IP Address**: введите внешний IP-адрес устройства в вашей инфраструктуре.
- **Networks**: укажите IP-адрес локальной сети в вашей инфраструктуре.
- **Remote ID**: введите внешний IP-адрес устройства в вашей инфраструктуре.
8. Нажмите кнопку **NEXT ** .
9. Проверьте данные туннеля.
10. Нажмите кнопку **FINISH ** .
### 5. Настроит профиль безопасности
2025-12-22 16:48:37 +06:00
::: tip Информация
2025-12-15 10:11:41 +00:00
Значения параметров, приведенные ниже, не являются универсальными. Замените их на значения, актуальные для вашей конфигурации, инфраструктуры и сетевого оборудования.
:::
1. В таблице в строчке с созданным туннелем нажмите на * * …**.
2. Нажмите кнопку **Security Profile Customization ** .
3. В **IKE Profiles ** задайте следующие параметры:
- **Version**: `IKE v2` .
- **Encryption**: `AES 128` .
- **Digest**: `SHA 2 - 256` .
- **Diffie-Hellman Group**: `Group 14` .
- **Association Life Time (seconds)**: `86400` .
4. В **Tunnel Configuration ** задайте следующие параметры:
- **Enable Perfect Forward Secrecy**: включите опцию.
- **Defragmentation Policy**: `Copy` .
- **Encryption**: `AES GCM 128` .
- **Digest**: оставьте пустым.
- **Diffie-Hellman Group** `Group 14` .
- **Association Life Time (seconds)**: `3600` .
5. В **DPD Configuration ** задайте значение параметра **Probe Interval (seconds) ** : `60` .
6. Нажмите **SAVE ** .
### 6. Настроить адаптер
Настройте один из адаптеров:
- [ASAv ](./ipsec/asav.md ),
- [CSR 1000v ](./ipsec/csr1000v.md ),
- [Fortigate ](./ipsec/fortigate.md ).
