Что такое конфигурация vpn

Обзор конфигураций партнерских VPN-устройств

В этой статье содержится обзор процесса настройки локальных VPN-устройств для подключения к VPN-шлюзам Azure. Для демонстрации подключения к различным конфигурациям локальных VPN-устройств с помощью одинаковых параметров используются примеры виртуальной сети Azure и настройки VPN-шлюза.

Требования к устройствам

В VPN-шлюзах Azure используются стандартные наборы протоколов IPsec/IKE для VPN-туннелей типа «сайт — сайт» (S2S). Список параметров IPsec/IKE и алгоритмы шифрования для VPN-шлюзов Azure приведены в статье VPN-устройства и параметры IPsec/IKE для подключений типа «сеть — сеть» через VPN-шлюз. Также можно указать точные алгоритмы и уровни стойкости ключа для определенного подключения, как описано в статье Требования к шифрованию и VPN-шлюзы Azure.

Одиночный VPN-туннель

Первая конфигурация в примере состоит из одного VPN-туннеля S2S между VPN-шлюзом Azure и локальным устройством VPN. При необходимости можно также настроить протокол BGP поверх VPN-туннеля.

Схема одиночного VPN-туннеля S2S

Пошаговые инструкции по настройке одиночного VPN-туннеля см. в статье Создание подключения типа «сеть — сеть» на портале Azure. В следующих разделах указаны параметры подключения для примера конфигурации, а также приводится сценарий PowerShell для начала работы.

Параметры подключения

В этом разделе перечислены параметры для примеров, описанных в предыдущих разделах.

Параметр	Значение
Префиксы адресов виртуальной сети	10.11.0.0/16; 10.12.0.0/16
IP-адрес VPN-шлюза Azure	IP-адрес VPN-шлюза Azure
Префиксы адресов в локальной среде	10.51.0.0/16 10.52.0.0/16
IP-адрес VPN-устройства в локальной среде	IP-адрес VPN-устройства в локальной среде
*ASN для BGP виртуальной сети	65010
*IP-адрес узла BGP Azure	10.12.255.30
*ASN для BGP в локальной среде	65050
*IP-адрес узла BGP в локальной среде	10.52.255.254

* Необязательный параметр только для BGP.

Пример скрипта PowerShell

В этом разделе приведен пример скрипта для начала работы. Подробные инструкции приводятся в статье Создание виртуальной сети с VPN-подключением типа «сеть — сеть» с помощью PowerShell.

# Declare your variables $Sub1 = "Replace_With_Your_Subscription_Name" $RG1 = "TestRG1" $Location1 = "East US 2" $VNetName1 = "TestVNet1" $FESubName1 = "FrontEnd" $BESubName1 = "Backend" $GWSubName1 = "GatewaySubnet" $VNetPrefix11 = "10.11.0.0/16" $VNetPrefix12 = "10.12.0.0/16" $FESubPrefix1 = "10.11.0.0/24" $BESubPrefix1 = "10.12.0.0/24" $GWSubPrefix1 = "10.12.255.0/27" $VNet1ASN = 65010 $DNS1 = "8.8.8.8" $GWName1 = "VNet1GW" $GWIPName1 = "VNet1GWIP" $GWIPconfName1 = "gwipconf1" $Connection15 = "VNet1toSite5" $LNGName5 = "Site5" $LNGPrefix50 = "10.52.255.254/32" $LNGPrefix51 = "10.51.0.0/16" $LNGPrefix52 = "10.52.0.0/16" $LNGIP5 = "Your_VPN_Device_IP" $LNGASN5 = 65050 $BGPPeerIP5 = "10.52.255.254" # Connect to your subscription and create a new resource group Connect-AzAccount Select-AzSubscription -SubscriptionName $Sub1 New-AzResourceGroup -Name $RG1 -Location $Location1 # Create virtual network $fesub1 = New-AzVirtualNetworkSubnetConfig -Name $FESubName1 -AddressPrefix $FESubPrefix1 $besub1 = New-AzVirtualNetworkSubnetConfig -Name $BESubName1 -AddressPrefix $BESubPrefix1 $gwsub1 = New-AzVirtualNetworkSubnetConfig -Name $GWSubName1 -AddressPrefix $GWSubPrefix1 New-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 -Location $Location1 -AddressPrefix $VNetPrefix11,$VNetPrefix12 -Subnet $fesub1,$besub1,$gwsub1 # Create VPN gateway $gwpip1 = New-AzPublicIpAddress -Name $GWIPName1 -ResourceGroupName $RG1 -Location $Location1 -AllocationMethod Dynamic $vnet1 = Get-AzVirtualNetwork -Name $VNetName1 -ResourceGroupName $RG1 $subnet1 = Get-AzVirtualNetworkSubnetConfig -Name "GatewaySubnet" -VirtualNetwork $vnet1 $gwipconf1 = New-AzVirtualNetworkGatewayIpConfig -Name $GWIPconfName1 -Subnet $subnet1 -PublicIpAddress $gwpip1 New-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 -Location $Location1 -IpConfigurations $gwipconf1 -GatewayType Vpn -VpnType RouteBased -GatewaySku VpnGw1 -Asn $VNet1ASN # Create local network gateway New-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 -Location $Location1 -GatewayIpAddress $LNGIP5 -AddressPrefix $LNGPrefix51,$LNGPrefix52 -Asn $LNGASN5 -BgpPeeringAddress $BGPPeerIP5 # Create the S2S VPN connection $vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 $lng5gw = Get-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $False

(Необязательно) Использование настраиваемой политики IPsec/IKE с параметром UsePolicyBasedTrafficSelectors

Если ваши VPN-устройства не поддерживают селекторы трафика «любой к любому», такие как конфигурация на основе маршрутов или на основе VTI, то создайте настраиваемую политику IPsec/IKE с параметром UsePolicyBasedTrafficSelectors.

Необходимо создать политику IPsec/IKE для включения параметра UsePolicyBasedTrafficSelectors для подключения.

Пример сценария создает политику IPsec/IKE со следующими параметрами и алгоритмами:

IKEv2: AES256, SHA384, DHGroup24
IPsec: AES256, SHA1, PFS24, время существования сопоставления безопасности 7200 секунд, размер 20 480 000 КБ (20 ГБ).

Сценарий применяет политику IPsec/IKE и включает параметр UsePolicyBasedTrafficSelectors для подключения.

$ipsecpolicy5 = New-AzIpsecPolicy -IkeEncryption AES256 -IkeIntegrity SHA384 -DhGroup DHGroup24 -IpsecEncryption AES256 -IpsecIntegrity SHA1 -PfsGroup PFS24 -SALifeTimeSeconds 7200 -SADataSizeKilobytes 20480000 $vnet1gw = Get-AzVirtualNetworkGateway -Name $GWName1 -ResourceGroupName $RG1 $lng5gw = Get-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $False -IpsecPolicies $ipsecpolicy5 -UsePolicyBasedTrafficSelectors $True

[Необязательно] Использование BGP в VPN-подключении типа «сеть — сеть»

При создании VPN-подключения типа «сеть — сеть» (S2S) можно использовать BGP для VPN-шлюза. Такой подход имеет два отличия:

New-AzLocalNetworkGateway -Name $LNGName5 -ResourceGroupName $RG1 -Location $Location1 -GatewayIpAddress $LNGIP5 -AddressPrefix $LNGPrefix50 -Asn $LNGASN5 -BgpPeeringAddress $BGPPeerIP5

New-AzVirtualNetworkGatewayConnection -Name $Connection15 -ResourceGroupName $RG1 -VirtualNetworkGateway1 $vnet1gw -LocalNetworkGateway2 $lng5gw -Location $Location1 -ConnectionType IPsec -SharedKey 'AzureA1b2C3' -EnableBGP $True

Что такое конфигурация vpn

Программа позволяет развертывать и настраивать сервис OpenVPN в графическом режиме. Выполняется от имени администратора.

При первом запуске создается конфигурация по умолчанию, выпускаются необходимые для работы сертификаты сервера и проч. (см. «Настройки после первого запуска» Настройки после первого запуска). При выполнение всех этих операции, которые могут занять продолжительное время, отображается окно с уведомлением.

Главное окно программы (рис. 1) содержит вкладки «Настройки» (Вкладка «Настройки»), «Клиентские сертификаты» (Вкладка «Клиентские сертификаты»), рабочая панель для вывода сообщений (внизу) и кнопки управления:

[Запустить] (доступна, когда сервер остановлен) — запуск VPN-сервера с отображением хода процесса на рабочей панели;
[Остановить] (доступна, когда сервер запущен) — остановка VPN-сервера.

После изменения конфигурации для применения настроек следует заново запустить VPN-сервер.

Настройки после первого запуска

Вкладка (см. рис. 1) содержит параметры настройки порядка кнопок:

автоматически создается файл конфигурации сервиса, содержащий достаточные для запуска сервиса настройки по умолчанию;
создается локальный удостоверяющий центр и выпускаются необходимые для работы сертификаты;
создаются необходимые для работы сервиса файлы;
если на компьютере установлены и настроены библиотеки, поддерживающие метод защитного преобразования по алгоритму ГОСТ Р 34.12-2015 («Кузнечик»), то для защиты канала данных OpenVPN будет выбран этот метод. В противном случае будет выбран метод защитного преобразования AES-256-GCM;
выполняются настройки сетевого экрана, и другие настройки операционной системы для работы OpenVPN как системного сервиса.

Вкладка «Настройки»

Вкладка (см. рис. 1) содержит элементы управления для настройки сервера OpenVPN:

«IP-адрес» — в строке устанавливается IP-адрес создаваемой сети VPN. По умолчанию значение 10.8.0.0 (поддерживается только формат адресов протокола IPv4);
«Маска» — в строке устанавливается маска создаваемой сети VPN. По умолчанию значение 255.255.255.0 (поддерживается только формат масок протокола IPv4);
«Порт» — в строке устанавливается сетевой порт сервера, который будут использовать клиенты для подключения. По умолчанию — значение 1194 (поддерживаются номера свободных портов от 1 до 65535);
«Метод защитного преобразования» — по умолчанию устанавливается «grasshopper-cbc» («Кузнечик»). Поддерживаются следующие методы:
- «AES-256-GCM» — рекомендуется для применения в системах общего назначения;
- «AES-256-CBC» — допускается для применения в системах общего назначения;
- «AES-128-CBC» — используется для совместимости со старыми системами, к применению не рекомендуется.
[Показать расширенные настройки] — отображаются настройки (рис. 2), которые позволяют задать расположение ранее предустановленных файлов ключей и сертификатов внешнего удостоверяющего центра, а также заново выпустить сертификаты локального удостоверяющего центра:
- «Сертификат пользователя» — в строке отображается полное (маршрутное) имя установленного файла сертификата открытого ключа, [Выбрать] — из диалогового окна устанавливается имя нового файла;
- «Сертификат ЦС» — в строке отображается полное (маршрутное) имя установленного файла сертификата открытого ключа удостоверяющего центра, [Выбрать] — из диалогового окна устанавливается имя нового файла;
- «Личный ключ» — в строке отображается полное (маршрутное) имя установленного файла закрытого ключа сервера, [Выбрать] — из диалогового окна устанавливается имя нового файла;
- «Файл Диффи-Хеллмана» — в строке отображается полное (маршрутное) имя установленного файла параметров Диффи-Хеллмана, [Выбрать] — из диалогового окна устанавливается имя нового файла;
- «Файл аутентификации TLS» — в строке отображается полное (маршрутное) имя установленного файла дополнительной аутентификации TLS, [Выбрать] — из диалогового окна устанавливается имя нового файла;
- [Сбросить сертификаты] — удаление всех сертификатов локального удостоверяющего центра и повторный выпуск сертификатов сервера:
  - останавливается сервис OpenVPN;
  - удаляются все файлы удостоверяющего центра;
  - удаляются все копии сертификатов сервера и клиентов;
  - создается новый удостоверяющий центр;
  - создается новые сертификаты сервера;
  - повторно запускается сервер;
  После выполнения этого действия сертификаты клиентов станут недействительными, и клиенты потеряют возможность подключения к серверу OpenVPN;
  
  Вкладка «Клиентские сертификаты»
  
  Вкладка (рис. 3) содержит элементы управления для создания ключей и сертификатов для клиентов:
  - таблица «Клиенты» — таблица в каждой строке которой содержатся данные о конкретном клиентском сертификате. Столбцы:
    - «Номер» — номер сертификата в базе данных удостоверяющего центра;
    - «Имя пользователя» — уникальное имя сертификата;
    - «Состояние» — сертификат действителен или отозван;
    - «Страна» — название страны;
    - «Область» — название области;
    - «Город» — название города;
    - «Организация» — название организации;
    - «EMail» — адрес электронной почты;
    - «Подразделение» — название подразделения организации;
    - «Имя» — имя пользователя;
    - «Истекает» — дата завершения действия сертификата;
    - «Отозван» — дата отзыва сертификата, если он был отозван;
  - [Создать сертификат] — открывается форма (рис. 4) для заполнения.
    
    Строки ввода с отображаемыми в них значениями по умолчанию повторяют столбцы таблицы «Клиенты». Кнопки управления:
    - [Да] — в открытой форме (без защитного преобразования) генерируются клиентские ключи (при этом не запрашивается ввода паролей при подключении клиента к серверу):
      - создается новый файл закрытого ключа для клиента с указанным именем клиента (например, ivanov.key);
      - создается файл сертификата открытого ключа, подписанный удостоверяющим центром (например, ivanov.crt);
      - для удобства последующей передачи клиенту, созданные файлы копируются в каталог /etc/opnvpn/clients-keys/имя_клиента(например, /etc/opnvpn/clients-keys/ivanov);
      - дополнительно, в этот же каталог /etc/opnvpn/clients-keys/имя_клиента копируются и другие, необходимые для работы клиента, файлы: файл сертификата удостоверяющего центра (по умолчанию ca.crt) и файл дополнительной аутентификации TLS (ta.key);
      - сертификат установленного клиента помечается в базе данных удостоверяющего центра как «отозванный»;
      - создается или обновляется ранее созданный список отозванных сертификатов;
      - новый список отозванных сертификатов копируется в каталог /etc/openvpn/keys, и сервер openvpn автоматически перезапускается, чтобы обновления немедленно вошли в силу;
      Что такое конфигурация vpn
      
      1. Нажмите ПУСК -> Настройки -> Сеть и Интернет -> VPN
      
      2. Добавить VPN-подключение
      
      3. Поставщик VPN: Windows (встроенный)
      
      4. Имя подключения: ВАШЕ ИМЯ VPN
      
      5. Имя или адрес сервера: id-XXXXXX.server.polish-vpn.pl , где XXXXXX — индивидуальный номер хоста, который есть в панели
      
      6. Тип VPN: L2TP/IPSec с предварительным общим ключом
      
      7. Общий ключ: PSK KEY , который можно найти в учетной записи клиента
      
      8. Имя пользователя: ЛОГИН , который можно найти в учетной записи клиента
      
      9. Пароль: ПАРОЛЬ , который можно найти в учетной записи клиента
      
      11. щелкните значок сети в правом нижнем углу и выберите VPN, затем нажмите «Подключиться».
      
      Ошибка 809: Не удалось установить сетевое соединение между компьютером и VPN-сервером, так как удаленный сервер не отвечает. Это может быть связано с тем, что одно из сетевых устройств (например, брандмауэры, NAT, маршрутизаторы и т. д.) между вашим компьютером и удаленным сервером не настроено на разрешение VPN-соединений. Обратитесь к своему администратору или поставщику услуг, чтобы узнать, какое устройство может быть причиной проблемы.
      
      Примечание: следующее изменение реестра требуется только при использовании режима IPsec/L2TP для подключения к VPN
      
      Чтобы исправить эту ошибку, требуется однократное изменение реестра, поскольку VPN-сервер и/или клиент находятся за NAT (например, домашний маршрутизатор). Загрузите и импортируйте файл .reg ниже или выполните следующую команду из командной строки от имени администратора. После завершения необходимо перезагрузить компьютер.
      
      Windows Vista, 7, 8, 10 i 11 Download .reg
```
 REG ADD HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 0x2 /f
```
      ТОЛЬКО для Windows XP Download .reg
```
 REG ADD HKLM\SYSTEM\CurrentControlSet\Services\IPSec /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 0x2 /f
```
      Хотя и редко, некоторые системы Windows отключают IPsec, что приводит к сбою подключения.Чтобы снова включить его, выполните следующую команду и перезагрузите компьютер.
      
      Windows XP, Vista, 7, 8, 10 i 11 Download .reg
```
 REG ADD HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters /v ProhibitIpSec /t REG_DWORD /d 0x0 /f
```
      Ручная настройка VPN конфигураций
      
      Личный кабинет предлагает различные возможности для управления вашей учетной записью и используемыми сервисами KeepSolid. Одна из таких возможностей — ручная настройка VPN конфигураций. Эта инструкция поможет вам разобраться как добавить конфигурацию VPN, как настроить подключение и как оставаться анонимным в сети Интернет.
      
      Для начала войдите в ваш Личный кабинет и найдите службу VPN Unlimited. Нажмите Manage и выполните следующие шаги:
      
      1. Выберите устройство
      
      Выберите устройство из выпадающего списка или создайте новое. Если у вас нет свободных слотов, удалите старое устройство или купите дополнительные слоты.
      
      2. Выберите местоположение сервера
      
      VPN Unlimited предлагает большой выбор серверов: более 3000 серверов в более чем 80 локациях по всему миру. Для примера мы выбрали Германию.
      
      3. Выберите VPN протокол
      
      При выборе протокола IKEv2, вам также потребуется указать платформу вашего устройства.
      
      4. Создайте VPN конфигурацию
      
      Нажмите Generate. На экране вы увидите все данные, которые необходимы для настройки VPN-подключения.
      
      Эта информация включает в себя: логин, пароль, адрес сервера, а также некоторые другие данные. Сгенерированная VPN конфигурация будет представлена в текстовом виде, а также в виде QR-кода. При выборе протокола IKEv2 для платформы Windows или протокола OpenVPN® вне зависимости от платформы вам также будет предложено загрузить файл VPN конфигурации.
      
      Подробные инструкции по настройке VPN-соединения с помощью различных протоколов, таких как OpenVPN®, IKEv2 и ряда других, вы можете найти в разделе Инструкции.
      
      Если у вас есть какие-либо вопросы, не стесняйтесь обращаться в нашу службу поддержки. Мы с радостью вам поможем.
      
      Важно! Обратите внимание, вам придется самостоятельно настраивать ваше устройство, используя сгенерированные VPN конфигурации. Компания KeepSolid не несет за это ответственность.
      
      «OpenVPN» является зарегистрированным товарным знаком OpenVPN Inc.
      Похожие публикации:
      
      Как написать в поддержку apple
      
      Как поменять время на хонор
      
      Как скрыть часть текста в html
      
      Как убрать что использовать на самсунг