Настройка IPSEC между edge gateway VMware и Windows Server 2012 R2

Настроим IPSEC туннель между vShield (edge gateway) и Windows Server 2012 R2

О том как настроить офисную часть на CentOS 7, можно посмотреть тут

Пример 1, когда на endpont'ах белые IP адреса

Для начала настроим VPN со стороны Edge gateway.

Логинимся в vCloud Director, заходим в наш датацентр и выбираем вкладку Edge Gateways.

Становимся курсором на наш Edge нажимаем правую кнопку мыши и выбираем пункт "Edge Gateway Services ..."

Далее переходим на вкладку VPN.

Тут ставим галочку "Enable VPN" и жмем кнопку "Add"

В открывшимся окошке вдумчиво заполняем поля:

1. Name - имя соединения;

2. Description - описание, полезно заполнять, особенно если у вас много соединений;

3. Проверьте, что бы галочка "Enable this VPN configuration" была установлена;

4. Establish VPN to: тут нужно выбрать "a remote network";

5. Local Networks - Выбираем нашу виртуальную сеть, в данном случае 172.16.0.0/24, сетей может быть несколько;

6. Peer Networks - Указываем сеть нашего офиса 192.168.0.0.0/24;

7. Local Endpoint - выбираем наш внешний пул;

8. Local ID - я тут указываю внешний IP: 185.32.226.177;

9. Peer ID: - внешний IP нашего Windows Server 2012 в офисе;

Проматываем немного вниз и продолжаем заполнять:

Выбираем "Remote Access" и жмем Next->Еще раз Next->

Тут выбираем DirectAccess VNN (RAS) и Routing, жмем Next а потом Install, должны установиться компоненты.

Далее идем в Windows Firewall->Advanded settings

Жмем правой мышью в самом верхнем левом углу на "Windows Firewall with Advanced Security on Local Computer"->Properties->IPsec Settings

Здесь сразу выбираем "Exept ICMP fom IPsec" - "Yes" и секции выше выбираем "Customize..."

Сдесь как для первой так и для второй фазы выбираем Advanced и дальше настаиваем нажав "Customize..."

Настроим сначала Main mode

Удаляем все методы и добавляем нужный т.е. алгоритм SHA-1 с шифрованием AES-CBC 256, DH-2. Жмем OK и нажимаем Customize для Quick Mode

Теперь укажем настройки endpoint'ов и сети которые будут за ними. Жмем Next.

Тут нужно выбрать метод аутентификации, выбираем "Advanced" и жмем "Customize..."

В открывшимся окошке слева жмем кнопку "Add" и выбираем Preshared key, вставляем его в поле ниже:

Теперь идем в Computer Management, находим Routing and Remote Access жмем правой кнопкой мыши и в открывшимся меня выбираем "Configure Routing and Remote Access"

Откроется мастер Routing and Remote Access Server, тут жмем Next

На следующем шаге выбираем "Custom configuration" и жмем Next

Выбираем LAN routing и жмем Next, а в следующем окошке Finish.

Появитя окошко с сообщением, что можно запустить сервис, жмем Start Serivce и немного ждем пока он запустится.

Проверяем со стороны Windows Server 2012 R2, в качестве источника пакетов указываем 192.168.0.10

Тест с машины находящеся в этой же сети, со следующими настроками

[root@localhost ~]# ip a

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN

    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00

    inet 127.0.0.1/8 scope host lo

       valid_lft forever preferred_lft forever

    inet6 ::1/128 scope host

       valid_lft forever preferred_lft forever

2: eno16777984: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP qlen 1000

    link/ether 00:50:56:b9:c4:65 brd ff:ff:ff:ff:ff:ff

    inet 192.168.0.11/24 scope global eno16777984

       valid_lft forever preferred_lft forever

    inet6 fe80::250:56ff:feb9:c465/64 scope link

       valid_lft forever preferred_lft forever

[root@localhost ~]# ip r

172.16.0.0/24 via 192.168.0.10 dev eno16777984

192.168.0.0/24 dev eno16777984  proto kernel  scope link  src 192.168.0.11

[root@localhost ~]# ping 172.16.0.20 -c 3

PING 172.16.0.20 (172.16.0.20) 56(84) bytes of data.

64 bytes from 172.16.0.20: icmp_seq=1 ttl=62 time=35.6 ms

64 bytes from 172.16.0.20: icmp_seq=2 ttl=62 time=34.4 ms

64 bytes from 172.16.0.20: icmp_seq=3 ttl=62 time=34.4 ms

--- 172.16.0.20 ping statistics ---

3 packets transmitted, 3 received, 0% packet loss, time 2003ms

rtt min/avg/max/mdev = 34.449/34.859/35.652/0.580 ms

А теперь со стороны облака VMware

Пример 2, когда со стороны офиса используется NAT

В таком случае со стороны vCloud Director'а все настраивается также за исключением Peer ID, который будет 10.0.0.10, Peer IP: будет внешний IP на роутере, т.е. 185.65.136.140.

Со стороны Windows Server нуно установить адрес Endpoint 10.0.0.10

На маршрутизаторе нужно настроить правило, которое будет прокидывать 500 UDP порт на адрес 10.0.0.10.

В остальном настройка аналогична.