Для использования защищённого доступа к виртуальной инфраструктуре IaaS под управлением VMware vCloud Director рекомендуем использовать туннелирование трафика с помощью алгоритмов шифрования данных. В данной статье представлена информация по настройке IPsec site-to-site VPN.

Используемая топология:

Публичный IP в офисе — 91.10.20.254
Публичный IP vShield Edge — 109.248.46.105
Адресация используемая в облачной инфраструктуре — 10.50.100.0/24
Адресация используемая в офисе — 192.168.0.0/24

1. В разделе «Administration» перейдите в ваш виртуальный дата-центр. В появившемся меню настроек перейдите во вкладку «Edge Gateways». Выберите нужный «vShield Edge». Нажмите правой кнопкой мыши, в появившемся меню выберите опцию «Edge Gateway Services»

2. Откройте вкладку VPN и нажмите на «Enable VPN». Для смены IP-адреса с которого будет устанавливаться VPN-соединение, нажмите на кнопку «Configure Public IPs». Для создания нового VPN-соединения нажмите кнопку «Add»

3. В открывшемся окне настройте следующие параметры:

  • Name – имя VPN-соединения
  • Establish VPN to – с кем установить соединение:
    • A remote network – удалённая сеть, например ваш офис

Для установки соединения с удалённой сетью, требуется настроить следующие параметры.

  • Local Networks – указываем сеть в облачной инфраструктуре: 10.50.100.0/24
  • Peer Networks – указываем офисную сеть: 192.168.0.0/24
  • Local Endpoint – по умолчанию OutsideZone
  • Local ID – 109.248.46.105
  • Peer ID – 91.10.20.254
  • Peer IP – 91.10.20.254
  • Encryption protocol – алгоритм шифрования, для примера выбираем AES
  • Shared key – общий секретный ключ

Важно: по умолчанию используется в PFS и DH group 2.

Для применения настроек нажмите кнопку ОК.

Настройка VPN для Cisco:
crypto isakmp policy 10
encr aes
hash sha
authentication pre-share
group 2
set pfs group2
crypto isakmp key #key address 109.248.46.105
crypto ipsec transform-set MCLOUDS-TS esp-aes esp-sha-hmac

ip access-list extended MCLOUDS-VPN-TRAFFIC
remark traffic for tunnel
permit ip 192.168.0.0 0.0.0.255 10.50.100.0 0.0.0.255
exit

ip access-list extended MCLOUDS-VPN-NO-NAT
deny  192.168.0.0 0.0.0.255 10.50.100.0 0.0.0.255
permit ip 192.168.0.0 0.0.0.255 any
exit

ip nat inside source list MCLOUDS-VPN-NO-NAT interface #interface overload

crypto map MCLOUDS-VPN-MAP 10 ipsec-isakmp
set peer 109.248.46.105
set transform-set MCLOUDS-TS
match address MCLOUDS-VPN-TRAFFIC

interface public
crypto map MCLOUDS-VPN-MAP