VPN site-to-site giúp thiết lập một kết nối bảo mật giữa datacenter doanh nghiệp và hạ tầng cloud. Người dùng trong mạng nội bộ có thể truy cập các VM trong VPC thông qua VPN tunnel đến virtual router.
Sau đây vHost sẽ hướng dẫn Quý khách hàng sử dụng hệ thống Cloud Gen 4 để cấu hình VPN site-to-site kết nối từ remote site của Quý khách đến VPC của hệ thống Cloud Gen 4.
Tạo VPN Customer Gateway #
Lưu ý: Một VPN Customer Gateway chỉ có thể kết nối đến một VPN Gateway tại một thời điểm.
- Vào menu Network → VPN Customer Gateway.
- Chọn Add VPN Customer Gateway.
- Điền các thông tin sau:
- Name: tên duy nhất để định danh gateway.
- Gateway: địa chỉ IP của remote gateway (phía bên ngoài VPC, ví dụ firewall tại datacenter của bạn).
- CIDR list: dải mạng nội bộ phía khách hàng (có thể nhập nhiều CIDR, phân cách bằng dấu phẩy). CIDR không được trùng hoặc overlap với CIDR của VPC.
- IPsec Preshared Key: khóa bí mật chia sẻ giữa 2 đầu VPN để xác thực.
Thông số bảo mật: chọn các thông số bảo mật cho kết nối VPN site-to-site, lưu ý rằng các thông số này phải giống nhau cho cả hai đầu kết nối
- IKE Encryption (phase-1): AES128, AES192, AES256, hoặc 3DES.
- IKE Hash (phase-1): SHA1 hoặc MD5.
- IKE DH group: None, Group-2 (1024-bit), hoặc Group-5 (1536-bit).
- ESP Encryption (phase-2): AES128, AES192, AES256, hoặc 3DES.
- ESP Hash (phase-2): SHA1 hoặc MD5.
- Perfect Forward Secrecy (PFS): None, Group-2, hoặc Group-5. Khi bật PFS, mỗi lần tạo SA phase-2 sẽ yêu cầu sinh lại khóa Diffie-Hellman → tăng bảo mật nhưng tốn thêm tài nguyên.
- IKE Lifetime: time to live của SA phase-1 (mặc định 86400 giây = 1 ngày).
- ESP Lifetime: time to live của SA phase-2 (mặc định 3600 giây = 1 giờ).
- Dead Peer Detection (DPD): bật để VPC router kiểm tra trạng thái của peer định kỳ. Nên cấu hình đồng nhất ở cả 2 đầu VPN.
- Bấm OK để tạo
Tạo VPN Gateway cho VPC #
VPN Gateway là đầu phía VPC trong kết nối site-to-site VPN.
- Vào menu Network → VPC.
- Chọn VPC cần cấu hình → VPN gateway
- Chọn Add VPN Gateway
- Sau vài giây, VPN Gateway sẽ được tạo, hiển thị thông tin IP address
Tạo VPN Connection #
Một VPN Connection liên kết VPN Customer Gateway (remote site) với VPN Gateway (phía VPC).
Lưu ý: mỗi VPC hỗ trợ tối đa 8 VPN Connections.
- Vào Network → VPC → chọn VPC cần cấu hình
- Chọn VPN Connection.
- Nhấn Create site-to-site VPN Connection.
- Chọn VPN Customer Gateway (remote site đã tạo trước đó).
- Hệ thống sẽ tiến hành đàm phán IKE (phase-1, phase-2) và tạo tunnel IPSec.
Sau khi kết nối thành công, traffic từ các network tier trong VPC có thể đi qua tunnel VPN đến mạng nội bộ của Khách hàng (hoặc ngược lại), theo đúng CIDR đã khai báo.
