Эта статья обсуждает, как настроить сайты, использующие тип соединения IPsec IKEv1. Для получения дополнительной информации о создании новой площадки, смотрите Использование Приложение Управления Cato для добавления сайтов.
Обзор соединений IPsec IKEv1
Cato может инициировать и поддерживать туннели IPsec IKEv1 с выбранных PoP в направлении ваших площадок и/или облачных центров обработки данных.
Заметка:
Примечание: Если вы отправляете только часть вашего сетевого трафика через Облачный Центр Обработки Данных Cato, настройте ваше сетевое оборудование, чтобы включить следующие диапазоны IP-адресов в вашу таблицу маршрутизации к Облачному Центру Обработки Данных Cato:
10.254.254.0/24 - стандартная подсеть, зарезервированная для трафика через облако Cato (для учетных записей с пользовательским диапазоном используйте пользовательскую подсеть)
10.41.0.0/16 - если вы не настроили собственный диапазон IP-адресов пользователей SDP вашей сети (см. Политика распределения IP для удалённых пользователей)
Подключение двух туннелей к AWS VPC для HA
Cato позволяет подключить ваш AWS VPC к облаку Cato, используя BGP через два туннеля IPsec для конфигурации высокой доступности (HA). Двойные туннели AWS поддерживаются только при наличии двух клиентских шлюзов, каждый из которых представляет собой другой публичный IP-адрес Cato. Это требования:
Два публичных IP-адреса Cato
Настройте два клиентских шлюза в том же VPC, каждый из которых назначен публичному IP-адресу Cato
В AWS настройте два соединения сайт к сайту
Настройка сайта IPsec IKEv1
После создания нового сайта, который использует IPsec IKEv1 для подключения к Облачному Центру Обработки Данных Cato, отредактируйте сайт и настройте параметры IPsec.
Для получения дополнительной информации о уникальных IP-адресах, смотрите Выделение IP-адресов для аккаунта.
ВАЖНО:
Мы настоятельно рекомендуем вам настроить вторичный туннель (с другими публичными IP-адресами Cato) для высокой доступности. В противном случае существует риск потери связности сайта с Cato Cloud.
Вы можете выбрать управление входящей и исходящей пропускной способностью для площадки IPsec. Если вы хотите, чтобы облако Cato ограничило входящую вашу пропускную способность, введите необходимые пределы. В противном случае введите значения согласно фактической скорости соединения вашего ISP. Если вы не знаете скорость соединения ISP, настройте входящую пропускную способность в соответствии с лицензией на этом сайте. Для исходящей пропускной способности облако Cato не контролирует исходящий трафик, и невозможно установить жесткое ограничение. Вместо этого настройка исходящей пропускной способности в Cato Cloud является наилучшей попыткой.
Если вы используете Специфический: x.x.x.x/y<-->a.a.a.a/b (Туннель от каждого локального диапазона к определенным удаленным диапазонам) маршрутизацию для сайта, ознакомьтесь с ??? перед тем как начать настраивать параметры IPsec.
Лучшие практики: Настроить Настройки Dead Peer Detection (DPD) для второй фазы IKEv1, чтобы автоматически перезапустить соединение, если нет ответа DPD. Вы также можете определить, как часто Cato Cloud отправляет пакет DPD и мониторингирует статус туннеля (максимальный интервал между пакетами DPD - 35 секунд).
Для IPsec сайтов с пропускной способностью более 100 Мбит/с используйте только алгоритмы AES 128 GCM-16 или AES 256 GCM-16. Алгоритмы AES CBC используются только на площадках с пропускной способностью менее 100Мбит/с.
Для FTP трафика Cato рекомендует настройку сервера FTP с таймаутом соединения 30 секунд или более.
Сайты Cato IPsec IKEv1 поддерживают длину nonce до 48 бит.
Вы можете установить общий секрет IPSec (PSK) до 64 символов.
Продолжительность SA — это период, в течение которого ключ шифрования действителен до истечения срока его действия и необходимости в новом ключе. Вы не можете настраивать Продолжительность SA для параметров IKEv1 Фаза 1 и Фаза 2. Настройки следующие:
Фаза 1 - 86400 секунд (24 часа)
Фаза 2 - 3600 секунд (1 час)
Заметка:
Примечание: Если вы вводите значения исходящего/входящего трафика, которые больше чем реальная скорость соединения вашего ISP, движок QoS сокета будет неэффективен.
Для получения дополнительной информации о QoS в Cato см. Что такое Профили Управления Пропускной Способностью Cato.
Чтобы настроить параметры для сайта IPsec IKEv1:
Из меню навигации щёлкните Сеть > Площадки и выберите сайт.
Из меню навигации, нажмите Настройки сайта > IPsec.
Разверните раздел Общие настройки и выберите тип пир-конфигурации IPsec (например, AWS или Azure), или выберите Общий тип.
Разверните раздел Primary, и настройте следующие параметры для основного туннеля IPsec:
В Публичный IP > Cato IP (Исходящий) выберите точку присутствия PoP Cato и IP-адрес, инициирующий туннель IPsec.
Если вам нужен другой IP-адрес, выделенный для вашего аккаунта, нажмите Настройки распределения IP-адресов и выберите местоположение PoP и IP-адрес.
В Публичный IP > IP сайта, введите публичный IP-адрес, где начинается туннель IPsec.
Для сайтов с динамической маршрутизацией BGP вы можете ввести Частные IP-адреса, находящиеся внутри VPN-туннеля.
В Пропускная способность, настройте максимальную доступную входящую и исходящую (Мбит/с) пропускную способность для сайта.
В Основной PSK нажмите Изменить пароль, чтобы ввести общий секрет для основного туннеля IPsec.
Примечание: Вы можете использовать один и тот же выделенный IP-адрес для одного или нескольких сайтов IPsec, если IP-адрес сайта различается для каждого сайта. Cato рекомендует использовать разные выделенные IP-адреса для каждого сайта.
(Необязательно) Разверните раздел Параметры IKEv1 Фазы I и настройте параметры.
В разделе Алгоритм выберите Алгоритм шифрования: AES-CBC-128 или AES-CBC-256.
В разделе Алгоритм выберите Хеш-алгоритм: MD5, SHA1, или SHA256.
В Группе Диффи–Хеллмана выберите длину ключа, который используется при шифровании: 2 (1024-бит), 5 (1536-бит), 14 (2048-бит), 15 (3072-бит), 16 (4096-бит).
(Необязательно) Разверните раздел Параметры IKEv1 Фазы II и настройте параметры.
В разделе Алгоритмы выберите Алгоритм шифрования: AES-CBC-128, AES-CBC-256, AES-GCM-128, или AES-GCM-256.
В разделе Алгоритм выберите Хеш-алгоритм: MD5, SHA1, или SHA256.
Чтобы настроить параметры фазы II Группы Диффи-Хеллмана, сначала включите Идеальную прямую секретность.
В Идеальной прямой секретности выберите Включить "защиту" прошлых передач от будущих компромиссов секретных ключей чтобы включить эту функцию для сайта.
В Группе Диффи–Хеллмана выберите длину ключа, который используется при шифровании: 2 (1024-бит), 5 (1536-бит), 14 (2048-бит), 15 (3072-бит), 16 (4096-бит).
Настроить параметры DPD для параметров фазы II IKEv1:
Выберите Интервал Keepalive (сек) и введите количество секунд между пакетами Keepalive (максимальное значение – 35).
(Лучший опыт) Выберите Перезапуск соединения при отсутствии ответа DPD, чтобы включить перезапуск соединения IPsec при отсутствии ответа для пакетов DPD в течение 35 секунд.
Чтобы отключить DPD для сайта, очистите Интервал поддержания активности (сек).
Расширьте раздел Маршрутизация, и выберите опцию маршрутизации для сайта:
Неявный: 0.0.0.0/0<-->0.0.0.0/0 (Туннель от всех локальных диапазонов ко всем удаленным диапазонам) — весь WAN трафик передается через соединение IPsec в одном туннеле фазы II с одним шифровальным ключом (один для каждой пары ESP SAs).
Явный: x.x.x.x/y<-->0.0.0.0/0 (Туннель от каждого локального диапазона ко всем удалённым диапазонам) — весь WAN трафик передаётся через соединение IPsec в одном туннеле фазы II для локальных диапазонов IP сайта ко всем удалённым диапазонам IP с одним шифровальным ключом (один ESP SA для каждого локального диапазона).
Специфический: x.x.x.x/y<-->a.a.a.a/b (Туннель от каждого локального диапазона к определенным удаленным диапазонам) - смотрите ниже ???
Нажмите Save.
Для сайтов, которые используют вторичный туннель IPsec, разверните раздел Secondary и настройте параметры как в предыдущем шаге, затем нажмите Сохранить.
Чтобы показать детали вашего соединения и статус туннеля IPsec для этого сайта, нажмите Статус Соединения.
Настройка специфической маршрутизации
Когда вы выбираете специфическую маршрутизацию для сайта IPsec, весь WAN трафик передается через соединение IPsec в туннеле второй фазы с использованием полной сетки между локальными и удалёнными IP-диапазонами.
Перед началом настройки параметров IPsec для сайта убедитесь, что локальные сети соответствуют тому, что вы установили для пир-а IPsec.
Локальные IP-диапазоны (подсети, расположенные за пиром IPsec) определены на странице Конфигурация сайта > Сети:
Удаленные IP-диапазоны (обычно сети от других площадок) определены в разделе Маршрутизация после выбора специфического варианта.
Нажмите Добавить, чтобы ввести IP-диапазоны