Как развернуть VPNaaS (VPN as a Service) в OpenStack

25.04.2024

Сложность

15 мин.

Содержание

[скрыть][показать]

Что такое VPNaaS (VPN as a Service) в OpenStack?
Как развернуть VPNaaS в OpenStack и связать защищенным тоннелем инстансы из разных подсетей:
Создание VPNaaS и настройка защищенного соединения в Openstack Horison.
Как настроить тоннель между VPNaaS и локальным MikroTik

Что такое VPNaaS (VPN as a Service) в OpenStack?

VPNaaS (VPN as a Service) — это служба виртуальной частной сети, предоставляемая в рамках проекта OpenStack. Она позволяет пользователям создавать защищенные соединения между различными сегментами сети или между удаленными устройствами через интернет, используя протоколы виртуальной частной сети (VPN), такие как IPSec (Internet Protocol Security) и SSL/TLS (Secure Sockets Layer/Transport Layer Security).

Вот несколько примеров того, для чего может понадобиться VPNaaS (VPN as a Service) в OpenStack:

1) Обеспечение безопасной передачи данных: VPNaaS позволяет устанавливать защищенные соединения между различными сегментами сети или между удаленными устройствами через интернет, обеспечивая шифрование данных и защиту от несанкционированного доступа.

2) Обеспечение конфиденциальности и приватности: Путем создания виртуальных частных сетей VPNaaS обеспечивает конфиденциальность передаваемых данных, что особенно важно для организаций, работающих с чувствительной информацией.

3) Расширение сетевых возможностей: VPNaaS позволяет расширить сетевые возможности инфраструктуры OpenStack, обеспечивая возможность создания виртуальных частных сетей между различными областями или ресурсами.

4) Управление доступом и аутентификация: VPNaaS предоставляет средства управления доступом и аутентификации пользователей, что позволяет настраивать правила доступа и идентификации для обеспечения безопасности данных.

VPNaaS полностью интегрирована в экосистему OpenStack, что обеспечивает ее совместимость с другими сервисами и инструментами OpenStack, такими как Identity service (Keystone) и Networking service (Neutron).

VPNaaS обладает возможностью масштабирования, что позволяет адаптировать службу под нужды вашей организации, обеспечивая надежное и эффективное функционирование в условиях изменяющихся нагрузок.

VPNaaS предоставляет API для программного управления, а также интегрируется с Dashboard OpenStack для удобного визуального контроля и управления настройками VPN.

Таким образом, VPNaaS в OpenStack является важным инструментом для обеспечения безопасной и гибкой сетевой инфраструктуры, позволяющей пользователям создавать защищенные виртуальные сети и соединения между различными ресурсами и устройствами.

Как развернуть VPNaaS в OpenStack и связать защищенным тоннелем инстансы из разных подсетей:

Упрощенно схема создания защищенного тоннеля между двумя инстансами OpenStack выглядит так:

Шаг - 1: Настройка VPN сервиса

Войдите в панель управления OpenStack (Horizon).

Перейдите в раздел "Сеть" и выберите "VPN".

Создайте новый VPN сервис, выбрав соответствующие параметры, такие как роутеры и подсети для каждого конца туннеля.

Шаг - 2: Настройка параметров безопасности

Определите параметры безопасности, такие как алгоритмы шифрования и аутентификации, для IKE (Internet Key Exchange) и IPsec (Internet Protocol Security) политик.

Шаг - 3: Создание Endpoint Groups

Создайте группы конечных точек (Endpoint Groups) для локальных и удаленных подсетей, которые вы хотите соединить.

Шаг - 4: Создание IPsec соединения

Настройте IPsec соединение, указав параметры, такие как сервис VPN, группы конечных точек, параметры безопасности и идентификация пиров.

Шаг - 5: Проверка и активация соединения

После настройки убедитесь, что IPsec соединение создано.

Проверьте статус соединения. Он должен быть "Down", пока соединение не будет активировано.

Шаг - 6: Установка защищенного тоннеля

Повторите аналогичные шаги для настройки VPN на другом конце туннеля.

Когда оба конца соединения настроены, статус соединения должен измениться на "Active", указывая на успешное установление защищенного тоннеля между инстансами из разных подсетей.

Покажем на примерах как пройти каждый из этих шагов. В первом примере мы создадим в панели управления Horison защищенный тоннель между двумя инстансами из разных подсетей. И во втором примете мы настроим тоннель между инстансом и локальным Микротиком.

Создание VPNaaS и настройка защищенного соединения в Openstack Horison.

Вы можете связать через VPN инстансы из несвязанных между собой облачных инфраструктур.

Для нашего примера нам понадобятся две виртуальные машины: одна в подсети R1, другая в R2.

Также у нас должны быть два роутера, каждый в своей подсети.

Перед созданием VPN авторизуйтесь в Horison под вашим пользователем и подготовьте инстансы (если их еще нет)

Подробнее о том, как авторизоваться в Horison и создавать инстансы в OpenStack вы можете узнать в статье : Как создать виртуальный сервер в панели управления Horizon (Openstack)

Шаг - 1. Создадим VPN

Войдите в панель управления OpenStack (Horizon) под своим пользователем и нажмите на вкладку "Сеть" в главном меню, затем выберите "VPN".

Теперь приступим к созданию соединения между двумя подсетями.

У нас уже есть 2 виртуальные машины, одна в подсети R1, другая в R2 и 2 роутера по 1 подсети каждый.

Шаг - 2. Выполним настройку IKE Policy.

На этом этапе будем использовать следующие параметры:

Name ikepolicy
Authorization algorithm sha1
Encryption algorithm aes-128
IKE version v1
Lifetime value for IKE keys 86400
Perfect Forward Secrecy group5
IKE Phase1 negotiation mode main

Шаг-3. Выполним настройку IPsec Policy.

На этом этапе будем использовать следующие параметры:

Name ipsecpolicy
Authorization algorithm sha1
Encapsulation mode tunnel
Encryption algorithm aes-128
Lifetime value for IKE keys 3600
Perfect Forward Secrecy group5
Transform Protocol esp

Сконфигурируем необходимые параметры со стороны первой подсети - Конфигурация Site «A» (R1)

Шаг - 4A. Выполним настройку VPN service.

На этом этапе будем использовать следующие параметры:

Name service1
Router выберем из списка роутер облачного проекта R1
Subnet 10.0.2.0/24

Шаг - 5A. Выполним настройку Endpoint Groups R1. На этом этапе будем использовать следующие параметры:

Endpoint group name Type Value
local1_epg SUBNET 10.0.2.0/24
remote1_epg CIDR 10.0.1.0/24

Шаг - 6A. Выполним настройку IPsec site connection.. На этом этапе будем использовать следующие параметры:

Name ipsecsiteconn1
VPN service associated with this connection service1
Endpoint group for local subnet(s) local1_epg
IKE policy associated with this connection ikepolicy
IPsec policy associated with this connection ipsecpolicy
Peer gateway public IPv4/IPv6 Address or FQDN 94.103.11.89 (Public R2)
Peer router identity for authentication (Peer ID) 94.103.11.89 (Public R2)
Endpoint group for remote peer CIDR remote1_epg
Remote peer subnet 10.0.1.0/24 (Local R2)
Pre-Shared Key (PSK) string secret
MTU 1500

После всех проведённых манипуляций видим, что «IPsec site connection» успешно создался и имеет статус - «Down». Когда туннель будет настроен с другой стороны и успешно поднимется, статус изменится на «Active».

Выполним те же настройки на стороне второй подсети - Конфигурация Site «B» (R2)

Шаг - 4B. Выполним настройку VPN service. На этом этапе будем использовать следующие параметры:

Name service2
Router выберем из списка роутер облачного проекта R2
Subnet 10.0.1.0/24

Шаг - 5B. Выполним настройку Endpoint Groups R2. На этом этапе будем использовать следующие параметры:

Endpoint group name Type Value
local2_epg SUBNET 10.0.1.0/24
remote2_epg CIDR 10.0.2.0/24

Шаг - 6B. Выполним настройку IPsec site connection.. На этом этапе будем использовать следующие параметры:

Name ipsecsiteconn2
VPN service associated with this connection service2
Endpoint group for local subnet(s) local2_epg
IKE policy associated with this connection ikepolicy
IPsec policy associated with this connection ipsecpolicy
Peer gateway public IPv4/IPv6 Address or FQDN 94.103.11.88 (Public R1)
Peer router identity for authentication (Peer ID) 94.103.11.88 (Public R1)
Endpoint group for remote peer CIDR remote2_epg
Remote peer subnet 10.0.2.0/24 (Local R1)
Pre-Shared Key (PSK) string secret
MTU 1500

После всех проведённых манипуляций видим, что «IPsec site connection» изменился на «Active».

Настройка VPN тоннеля завершена. Теперь информация между двумя инстансами будет передаваться в защищенном режиме.

Как настроить тоннель между VPNaaS и локальным MikroTik

Для тестирования нам понадобится:

- Микротик с публичной и частной сетью.

- Клиент-сервер в частной сети Микротика.

- Маршрутизатор Openstack с частным интерфейсом.

Сконфигурируем необходимые политики по аналогии с предыдущим примером

Шаг - 1. Выполним настройку IKE Policy. На этом этапе будем использовать следующие параметры:

Name ikepolicy
Authorization algorithm sha1
Encryption algorithm aes-128
IKE version v1
Lifetime value for IKE keys 86400
Perfect Forward Secrecy group5
IKE Phase1 negotiation mode main

Шаг - 2. Выполним настройку IPsec Policy. На этом этапе будем использовать следующие параметры:

Name ipsecpolicy
Authorization algorithm sha1
Encapsulation mode tunnel
Encryption algorithm aes-128
Lifetime value for IKE keys 3600
Perfect Forward Secrecy group5
Transform Protocol esp

Настроим параметры защищенного соединения со стороны подсети Openstack - Конфигурация Site «A» (VPNaaS)

Шаг - 3A. Выполним настройку VPN service. На этом этапе будем использовать следующие параметры:

Name VPNservice
Router выберем из списка роутер облачного проекта

Шаг - 4A. Выполним настройку Endpoint Groups. На этом этапе будем использовать следующие параметры:

Endpoint group name Type Value
local_epg SUBNET 10.0.2.0/24
remote_epg CIDR 192.168.0.0/24

Шаг - 5A. Выполним настройку IPsec site connection. На этом этапе будем использовать следующие параметры:

Name ipsecsiteconn
VPN service associated with this connection VPNservice
Endpoint group for local subnet(s) local_epg
IKE policy associated with this connection ikepolicy
IPsec policy associated with this connection ipsecpolicy
Peer gateway public IPv4/IPv6 Address or FQDN 156.67.53.178 (Public Mikrotik)
Peer router identity for authentication (Peer ID) 156.67.53.178 (Public Mikrotik)
Endpoint group for remote peer CIDR remote_epg
Remote peer subnet 192.168.0.0/24 (Local Mikrotik)
Pre-Shared Key (PSK) string secret
MTU 1500

После всех проведённых манипуляций видим, что «IPsec site connection» успешно создался и имеет статус - «Down». Когда туннель будет настроен с другой стороны и успешно поднимется, статус изменится на «Active».

Настроим параметры защищенного соединения со стороны MikroTik - Конфигурация Site «B»

Шаг - 1B. Создадим профиль для «Phase 1»

Для создания через графический веб-интерфейс перейдем в меню «IP:IPsec» и на вкладке «Profiles» нажмём «Add New».