Tạo VPN Connection
Để tạo VPN Connection, làm theo các bước sau.
Các bước thực hiện
Bước 1: Trong menu, chọn Network, rồi mở tab VPN Site-to-Site. Trang này quản lý các VPN Connection. Chọn Create VPN connection.
Bước 2: Khởi tạo VPN Gateway rồi chọn Next.
Bước 3: Nhập thông tin cấu hình để tạo VPN Connection. Tham số của VPN Connection gồm ba phần chính:
- General Information (thông tin chung của kết nối)
- Remote VPN Information (thiết lập mã hoá và thông tin phía khách hàng)
- Dead Peer Detection (số lần tự động thử lại khi kết nối gặp sự cố)
Phần 1: General information
| Trường | Mô tả |
|---|---|
| VPN name | Tên của VPN Connection. |
| Description | Mô tả VPN Connection. |
| Pre-shared key | Khoá bảo mật dùng chung giữa hai thiết bị. Chọn Refresh Key để sinh khoá mới và Copy để sao chép. |
| Local IP public | Public IP do hệ thống FPT Cloud cấp. |
| Local private networks | Dải mạng của tài nguyên trên FPT Cloud. |
Phần 2: Remote VPN Information
Customer gateway
| Trường | Mô tả |
|---|---|
| Customer gateway | |
| Customer gateway | Cấu hình đầu kết nối phía bên kia. Chọn đúng Customer Gateway cần kết nối tới. Nếu chưa có Customer Gateway, xem Tạo Customer Gateway. |
| Providers | Danh sách nhà cung cấp kết nối VPN tới FCI. |
| IKE Policy | |
| Authorization algorithm | Thuật toán xác thực dữ liệu khi thiết lập kết nối VPN. Giá trị: sha1, sha256, sha384, sha512, aes-xcbc. Nên dùng sha256 để cân bằng giữa bảo mật và hiệu năng. |
| Encryption algorithm | Mã hoá quá trình đàm phán khoá. Giá trị: aes-128, aes-192, aes-256, aes-128-gcm-8, aes-128-gcm-12, aes-128-gcm-16, aes-192-gcm-8, aes-192-gcm-12, aes-192-gcm-16, aes-256-gcm-8, aes-256-gcm-12, aes-256-gcm-16. FCI khuyến nghị aes-256. Nếu dùng ikev1, không chọn các thuật toán gcm vì sẽ gây lỗi kết nối VPN. |
| IKE version | Phiên bản IKE được hỗ trợ. Giá trị: ikev1, ikev2. FCI khuyến nghị ikev2 cho phần lớn thiết bị firewall. Nếu dùng thiết bị Cisco đời cũ chỉ hỗ trợ ikev1 thì chọn ikev1. |
| Lifetime units | Đơn vị tính thời gian tồn tại của kết nối IKE. Mặc định: second. |
| Lifetime value | Giá trị thời gian tồn tại của Phase 1. |
| DH Group | Nhóm thuật toán Diffie-Hellman dùng để sinh khoá trao đổi ban đầu. Giá trị: group_1, group_2, group_5, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21. |
| Phase 1 negotiation mode | Cách hai thiết bị thiết lập kết nối bảo mật ở Phase 1 của IKE. Giá trị: main, aggressive (mặc định: main). |
| IPSec Policy | |
| Authorization algorithm | Thuật toán xác thực dữ liệu khi thiết lập kết nối VPN. Giá trị: sha1, sha256, sha384, sha512, aes-xcbc. Nên dùng sha256. |
| Encapsulation mode | Chế độ mã hoá và đóng gói dữ liệu trước khi truyền. Mặc định: tunnel. |
| Encryption algorithm | Mã hoá dữ liệu thực tế truyền qua VPN. Giá trị: aes-128, aes-192, aes-256. Nên dùng aes-256. |
| Lifetime units | Mặc định: second. |
| Lifetime value | Thời gian một phiên IPSec được phép hoạt động trước khi phải thiết lập lại. |
| Perfect forward secrecy | Tuỳ chọn bảo đảm an toàn khoá phiên (PFS — thường đi kèm một DH Group). Giá trị: off, group_1, group_2, group_5, group_14, group_15, group_16, group_17, group_18, group_19, group_20, group_21. Nên dùng group_14. |
| Transform protocol | Giao thức quy định cách mã hoá và xác thực trong IPSec. Giá trị: esp, ah. |
Về Providers
- FCI hiện hỗ trợ cấu hình sẵn cho các provider: AWS, Fortigate, Palo Alto. FCI khuyến nghị dùng các cấu hình này để kết nối tốt nhất.
- Với provider không có trong danh sách, nhập thủ công tên Providers cùng thông tin IKE và IPSec.
Tham số cấu hình sẵn cho các provider được hỗ trợ:
| Tham số cấu hình | AWS | Fortigate | Palo Alto |
|---|---|---|---|
| IKE Info | |||
| IKE version | ikev2 | ikev2 | ikev2 |
| Encryption algorithm | aes-256 | aes-256 | aes-256 |
| Authorization algorithm | sha256 | sha256 | sha256 |
| DH Group | group14 | group 19 | group 20 |
| Lifetime value | 28800s | 28800s | 28800s |
| Phase 1 negotiation mode | main | main | main |
| IPSec Info | |||
| Encryption algorithm | aes-256 | aes-256 | aes-256 |
| Authorization algorithm | sha256 | sha256 | sha256 |
| Perfect forward secrecy | group14 | group14 (hoặc group19) | group 19 |
| Lifetime value | 3600s | 3600s | 3600s |
| Encapsulation mode | tunnel | tunnel | tunnel |
| Transform protocol | esp | esp | esp |
Phần 3: Dead Peer Detection
| Trường | Mô tả |
|---|---|
| Delay(s) | Khoảng thời gian (giây) giữa mỗi lần gửi gói DPD để kiểm tra kết nối. Mặc định: 30s. |
| Max failures | Số lần kiểm tra thất bại tối đa trước khi peer bị coi là mất kết nối và tunnel được thiết lập lại. Mặc định: 10. |
Sau khi điền đủ thông tin, chọn Create VPN Connection.