Настройка Cato-инициированного IPsec для вашего AWS Transit Gateway

Обзор

AWS Transit Gateway обеспечивает полносетевую взаимосвязь VPC и позволяет вам подключиться ко всем вашим Виртуальным Частным Облакам (VPC) через одно или несколько VPN-соединений с идущей в соответствии с файловой системой AWS.

Cato поддерживает маршрутизируемые туннели IPsec с использованием BGP с AWS Transit Gateway, обеспечивая услугу.

• Обмен динамическими маршрутами с помощью BGP

• Автоматическое переключение между туннелями

• Высокая доступность через несколько узлов Cato

В зависимости от ваших требований к избыточности, вы можете развернуть одну из следующих архитектур:

Компоненты AWS

Создание основного туннеля между Transit Gateway и вашим PoP

В следующей процедуре мы подключимся через Cato Cloud к AWS Transit Gateway.

Чтобы создать туннель между Transit Gateway и вашим PoP через Cato Cloud:

1. В приложении управления Cato выберите выделенный IP-адрес для сайта.

   1. В меню навигации нажмите Сеть > Распределение IP.

      

   2. Выберите местоположение. Cato Networks выделяет уникальный IP.

      Количество уникальных IP-адресов, которые вы можете получить, определяется вашей лицензией. Для получения дополнительных IP-адресов свяжитесь с вашим реселлером или sales@catonetworks.com.

   3. Нажмите Save.

2. В консоли AWS создайте транзитный шлюз.

   1. Откройте сервис VPC, затем в панели навигации прокрутите вниз до Переходные шлюзы

   2. Щелкните Создать транзитный шлюз.

   3. Настройте параметры транзитного шлюза, включая имя и любые необходимые опции для вашей среды.

   4. Настройте параметр Поддержка VPN ECMP в соответствии с вашей моделью развертывания:

      • Активно-Пассивный (Основной-Вторичный): Отключите поддержку VPN ECMP, чтобы транзитный шлюз предпочел одно VPN вложение.

      • Активно-Активный (Два основных): Включите поддержку VPN ECMP для обеспечения балансировки нагрузки на стороне AWS-Cato через несколько активных туннелей VPN.

3. В консоли AWS создайте привязку VPN к транзитному шлюзу.

   1. Откройте сервис VPC, затем в панели навигации прокрутите вниз до Переходные шлюзы и щелкните Привязки переходного шлюза.

   2. Щелкните Создать привязку переходного шлюза.

   3. Настройте привязку переходного шлюза следующим образом:

      • ID транзитного шлюза: выберите ранее созданный транзитный шлюз.

      • Тип соединения: VPN

      • Клиентский шлюз: Новый

      • IP-адрес: введите выделенный IP-адрес Cato (см. выше).

      • BGP ASN: 64515

      • Варианты маршрутизации: Динамическая (требуется BGP)

        

   4. Щелкните Создать привязку.

   5. Щелкните Закрыть.

4. В консоли AWS создайте привязку VPC к транзитному шлюзу.

   1. Откройте сервис VPC, затем в панели навигации прокрутите вниз до Переходные шлюзы и щелкните Привязки переходного шлюза.

   2. Щелкните Создать привязку переходного шлюза.

   3. Настройте привязку переходного шлюза следующим образом:

      • ID транзитного шлюза: выберите тот же транзитный шлюз.

      • Тип вложения: VPC

      • ID VPC: выберите VPC, который будет присоединен к транзитному шлюзу.

   4. Щелкните Создать привязку.

   5. Щелкните Закрыть.

5. Проверьте соединение VPN и скачайте файл конфигурации.

   1. В панели навигации VPC прокрутите вверх до Виртуальная частная сеть (VPN) и щелкните Соединения VPN "точка-точка".

   2. Выберите флажок соединения VPN, созданного на предыдущем шаге, и щелкните Скачать конфигурацию.

      

   3. Настройте параметры следующим образом:

      • Производитель: Общий тип

      • Платформа: Общий тип

      • Программное обеспечение: Не зависящее от поставщика

        

   4. Нажмите Загрузка.

   5. Откройте загруженный файл и обратите внимание на следующие элементы в разделе IPsec туннель №1:

      • Предварительно Поделенный Ключ

        

      • Внешние IP-адреса- Виртуальный частный шлюз

        

      • Внутренние IP-адреса - Клиентский шлюз и Виртуальный частный шлюз

        

      • Опции конфигурации BGP - ASN виртуального частного шлюза и IP-адрес соседа

        

6. В Приложение Управления Cato, создайте и настройте IPsec сайт.

   1. В меню навигации нажмите Сеть > Сайты и нажмите Новый.

      Открывается панель Добавить сайт,

   2. Настройте параметры сайта следующим образом:

      • Название: AWS TGW (пример)

      • Тип: Облачный Центр Обработки Данных

      • Тип соединения: IPsec IKEv2

      • Страна: Страна, в которой расположен настроенный сайт.

      • Штат: Штат, если страна - это Соединенные Штаты.

      • Лицензия: Выберите подходящую лицензию.

      • Собственный диапазон: Любой из ваших подсетей AWS VPC.

        

   3. Щелкните Применить.

   4. На экране Сайты нажмите на новый сайт AWS.

   5. Из меню навигации выберите Настройка сайта > IPsec.

   6. Разверните раздел Основной и настройте следующие параметры:

      • IP Cato (Исходящий): уникальный IP-адрес, выделенный на шаге 1 выше.

      • Нажмите кнопку Новый ниже.

      • Определите роль в качестве WAN1.

      • Публичный IP: Внешний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

      • Частные IP-адреса

        • Сайт: Внутренний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

        • Cato: Внутренний IP-адрес клиентского шлюза из файла конфигурации AWS.

      • Пропускная способность (Исходящий трафик и Входящий трафик): пропускная способность согласно лицензии сайта.

      • Установить/Изменить основной пароль: Предварительно Shared Key из файла конфигурации AWS

        

   7. Кликните Применить.

7. Настройте параметры BGP для сайта.

   1. В меню навигации выберите Настройки сайта > BGP.

   2. Нажмите на Новый. Открывается панель (Добавить BGP соседа).

   3. Настройте Общие настройки:

      • Описание: AWS TWG #1 (пример)

      • Настройки ASN

        • Пир: ASN виртуального частного шлюза из файла конфигурации AWS

        • Cato: ASN для Cato Cloud

      • IP > Пир: IP-адрес соседа из файла конфигурации AWS

   4. Настройте политику для маршрутов BGP:

      • Выберите параметры для маршрутов, которые вы хотите объявлять (Маршрут по умолчанию и/или Все маршруты) и маршруты, которые вы хотите принять (Динамические маршруты).

      

   5. Кликните Применить.

8. Подтвердите, что статус подключения IPsec туннеля и маршрутов BGP - Подключено.

   1. В панели навигации выберите IPsec, затем кликните Статус соединения.

   2. В навигационной панели выберите BGP, а затем нажмите Показать статус BGP.

      Заметка:

      Маршруты Cato распространяются в таблицу маршрутизации AWS Transit Gateway, но не в таблицы маршрутизации VPC. Создайте маршруты обратно к вашим локальным сетям в каждом VPC, используя Transit Gateway в качестве цели, как показано в следующей процедуре

9. В консоли AWS в навигационной панели прокрутите до Virtual Private Cloud и нажмите Таблицы маршрутизации.

10. Выберите таблицу маршрутов, связанную с VPC, к которой вы хотите получить доступ через Transit Gateway, нажмите на вкладку Маршруты, а затем нажмите Редактировать маршруты.

    

11. Нажмите Добавить маршрут, затем настройте параметры следующим образом:

    • Назначение: введите подсеть вашей локальной сети. Это может быть сводный маршрут.

    • Цель: выберите Transit Gateway.

      

12. Повторите предыдущий шаг, чтобы создать маршруты для всех ваших локальных сетей, которым нужен доступ к VPC.

13. Нажмите Сохранить маршруты.

14. Повторите шаги 10 - 13 для каждого VPC, к которому вам нужно получить доступ через Transit Gateway.

Создание второго основного туннеля между транзитным шлюзом и Cato PoP (Активно-Активно)

При настройке VPN соединения AWS, AWS предоставляет два VPN туннеля на клиента Gateway. Это обеспечивает резервирование на стороне AWS. Однако оба туннеля должны быть подключены к одному PoP.

Эта конфигурация может быть полезна для настройки IPsec туннелей Активно-Активно для балансировки нагрузки и частичного резервирования. Если вы хотите настроить вторичный (пассивный) туннель и достичь полного резервирования, пропустите эту процедуру и продолжите к Создание вторичного туннеля между транзитным шлюзом и Cato PoP

Следующая процедура описывает, как настроить второй основной туннель как в консоли AWS, так и в приложении управления Cato.

Заметка:

Эта процедура предполагает, что в Приложении Управления Cato вы уже настроили один туннель для AWS Transit Gateway, как описано в Создание основного туннеля между Шлюзом и вашим PoP.

Чтобы создать второй основной туннель между транзитным шлюзом и вашим PoP через Cato Cloud:

1. Скачайте файл конфигурации.

   1. В панели навигации VPC прокрутите вверх до Виртуальная частная сеть (VPN) и щелкните Соединения VPN "точка-точка".

   2. Выберите флажок соединения VPN, созданного в предыдущем разделе, и щелкните Скачать конфигурацию. 

   3. Настройте параметры следующим образом:

      • Производитель: Общий тип

      • Платформа: Общий тип

      • Программное обеспечение: Не зависящее от поставщика

   4. Нажмите Загрузка.

   5. Откройте загруженный файл и обратите внимание на следующие элементы в разделе IPsec туннель №2:

      • Предварительно Поделенный Ключ

      • Внешние IP-адреса- Виртуальный частный шлюз

      • Внутренние IP-адреса - Клиентский шлюз и Виртуальный частный шлюз

      • Опции конфигурации BGP - ASN виртуального частного шлюза и IP-адрес соседа

2. В Приложении Управления Cato настройте второй основной туннель.

   1. Из меню навигации выберите Сеть > Сайты и кликните на сайт IPsec переходного шлюза AWS.

   2. Разверните раздел Основной и настройте следующие параметры:

      • Нажмите кнопку Новый ниже.

      • Определите роль как WAN2

      • Публичный IP: Внешний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

      • Частные IP-адреса

        • Сайт: Внутренний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

        • Cato: Внутренний IP-адрес клиентского шлюза из файла конфигурации AWS.

      • Пропускная способность (Исходящий трафик и Входящий трафик): пропускная способность согласно лицензии сайта.

      • Установить/Изменить PSK: Предварительно Shared Key из файла конфигурации AWS
         

      1. Нажмите Применить.

3. Настройте параметры BGP для второго основного туннеля для сайта.

   1. Из меню навигации выберите Конфигурация сайта > BGP.

   2. Нажмите Новый. Открывается панель Добавить правило.

   3. Настройте Общие параметры:

      • Описание: AWS TWG #2 (пример)

      • Настройки ASN

        • Пир: ASN виртуального частного шлюза из файла конфигурации AWS

        • Cato: ASN для Cato Cloud

      • IP > Пир: IP-адрес соседа из файла конфигурации AWS

   4. Настройте параметры Политики для маршрутов BGP

      • Выберите параметры маршрутов, которые вы хотите объявить (Маршрут по умолчанию и/или Все маршруты) и маршруты, которые вы хотите принять (Динамические маршруты).

   5. Нажмите Применить, затем Сохранить.

4. Подтвердите, что статус подключения IPsec туннеля и маршрутов BGP - Подключено.

   1. Из панели навигации выберите IPsec, затем кликните Статус соединения.

   2. Из панели навигации выберите BGP и затем нажмите Показать статус BGP и проверьте статус второго основного туннеля.

Создание резервного туннеля между Transit Gateway и Cato PoP (Активно-Пассивно)

Чтобы обеспечить резервирование Active-Passive для Cloud Cato и AWS, необходимо создать два клиентских шлюза в AWS, затем определить один туннель от одного клиентского шлюза для основного туннеля и один туннель от другого клиентского шлюза для вторичного туннеля. Это позволяет настроить основной и вторичный туннели на разных PoP в различных локациях.

Следующая процедура описывает, как настроить вторичный туннель как в консоли AWS, так и в приложении управления Cato

Заметка:

Эта процедура предполагает, что в Приложении Управления Cato вы уже настроили один туннель для AWS Transit Gateway, как описано в Создание основного туннеля между транзитным шлюзом и вашим PoP.

Чтобы создать резервный туннель между Transit Gateway и вашим PoP через Cato Cloud:

1. В приложении управления Cato выберите выделенный IP-адрес для сайта.

   1. В меню навигации нажмите Сеть > Распределение IP.

      

   2. Выберите местоположение. Cato Networks выделяет уникальный IP.

      Количество уникальных IP-адресов, которые вы можете получить, определяется вашей лицензией. Для получения дополнительных IP-адресов свяжитесь с вашим реселлером или sales@catonetworks.com.

   3. Нажмите Save.

2. В консоли AWS создайте VPN привязку к транзитному шлюзу.

   1. Откройте сервис VPC, затем в панели навигации прокрутите вниз до Переходные шлюзы и щелкните Привязки переходного шлюза.

   2. Щелкните Создать привязку переходного шлюза.

   3. Настройте привязку переходного шлюза следующим образом:

      • ID транзитного шлюза: выберите транзитный шлюз, созданный в разделе Создание основного туннеля между транзитным шлюзом и вашим PoP

      • Тип соединения: VPN

      • Клиентский шлюз: Новый

      • IP-адрес: введите выделенный IP-адрес Cato (см. выше).

      • BGP ASN: 64515

      • Варианты маршрутизации: Динамическая (требуется BGP)

        

   4. Щелкните Создать привязку.

   5. Щелкните Закрыть.

3. Проверьте соединение VPN и скачайте файл конфигурации.

   1. В панели навигации VPC прокрутите вверх до Виртуальная частная сеть (VPN) и щелкните Соединения VPN "точка-точка".

   2. Выберите флажок соединения VPN, созданного на предыдущем шаге, и щелкните Скачать конфигурацию.

      

   3. Настройте параметры следующим образом:

      • Производитель: Общий тип

      • Платформа: Общий тип

      • Программное обеспечение: Не зависящее от поставщика

        

   4. Нажмите Загрузка.

   5. Откройте загруженный файл и обратите внимание на следующие элементы в разделе IPsec туннель №1:

      • Предварительно Поделенный Ключ

        

      • Внешние IP-адреса- Виртуальный частный шлюз

        

      • Внутренние IP-адреса - Клиентский шлюз и Виртуальный частный шлюз

        

      • Опции конфигурации BGP - ASN виртуального частного шлюза и IP-адрес соседа

        

4. В Приложении Управления Cato настройте сайт AWS Transition Gateway IPsec для отказоустойчивых туннелей.

   1. Из меню навигации выберите Сеть > Сайты и кликните на сайт IPsec переходного шлюза AWS.

   2. Из меню навигации выберите Настройка сайта > IPsec.

   3. Разверните раздел Вторичный и настройте следующие параметры:

      • IP Cato (Исходящий): уникальный IP-адрес, выделенный на шаге 1 выше.

      • Нажмите кнопку Новый ниже.

      • Определите роль в качестве WAN1.

      • Публичный IP: Внешний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

      • Частные IP-адреса

        • Сайт: Внутренний IP-адрес виртуального частного шлюза из файла конфигурации AWS.

        • Cato: Внутренний IP-адрес клиентского шлюза из файла конфигурации AWS.

      • Пропускная способность (Исходящий трафик и Входящий трафик): пропускная способность согласно лицензии сайта

      • Установить/Изменить основной пароль: Предварительно Shared Key из файла конфигурации AWS

        

   4. Нажмите Save.

5. Настройте настройки BGP для резервного туннеля для сайта.

   1. В меню навигации выберите Настройки сайта > BGP.

   2. Нажмите на Новый. Открывается панель Добавить правило.

   3. Настройте Общие настройки:

      • Описание: AWS TWG #2 (пример)

      • Настройки ASN

        • Пир: ASN виртуального частного шлюза из файла конфигурации AWS

        • Cato: ASN для Cato Cloud

      • IP > Пир: IP-адрес соседа из файла конфигурации AWS

   4. Настройте политику для маршрутов BGP:

      • Выберите параметры для маршрутов, которые вы хотите объявлять (Маршрут по умолчанию и/или Все маршруты) и маршруты, которые вы хотите принять (Динамические маршруты).

   5. Нажмите Apply, а затем нажмите Save.

      

6. Подтвердите, что статус подключения IPsec туннеля и маршрутов BGP - Подключено.

   1. В панели навигации выберите IPsec, затем кликните Статус соединения.

   2. Из панели навигации выберите BGP и затем нажмите Показать статус BGP и проверьте статус вторичного туннеля.

      Заметка:

      Маршруты Cato распространяются в таблицу маршрутизации AWS Transit Gateway, но не в таблицы маршрутизации VPC. Создайте маршруты обратно к вашим локальным сетям в каждом VPC, используя Transit Gateway в качестве целевого объекта, как показано в первом разделе выше.