VPN Gateway:Establish an SSL-VPN connection with IDaaS authentication

Escenario de ejemplo

En este tema se utiliza como ejemplo el escenario del diagrama anterior. Una empresa usa Alibaba Cloud IDaaS para gestionar y mantener las cuentas y los permisos de sus empleados. La empresa cuenta con una instancia de VPC en la región China (Hangzhou) y ha desplegado aplicaciones en instancias de Elastic Compute Service (ECS) dentro de dicha VPC. El objetivo es que los empleados en viajes de negocios accedan a los recursos de la VPC en cualquier momento, con la garantía de que sus identidades estén autenticadas.

Para lograrlo, la empresa puede utilizar la función SSL-VPN de VPN Gateway y habilitar la autenticación de dos factores. Una vez que el cliente supera la autenticación del certificado SSL y la de nombre de usuario y contraseña de IDaaS, establece una conexión SSL-VPN con la VPC y accede de forma segura a sus recursos.

Requisitos previos

• Creó una instancia de IDaaS EIAM Enterprise Edition. Para obtener más información, consulte Manage instances.

  Importante

  • Las instancias de IDaaS EIAM 1.0 ya no están disponibles para su compra. Se recomienda utilizar una instancia de IDaaS EIAM 2.0. En este tema se toma como ejemplo una instancia de IDaaS EIAM 2.0. Para obtener más información, consulte [[Notice of Change] SSL-VPN two-factor authentication supports IDaaS EIAM 2.0](t2719229.xdita#).

  • Si necesita instrucciones sobre cómo usar una instancia de IDaaS EIAM 1.0, consulte How do I configure an IDaaS EIAM 1.0 instance?.

• Creó una organización y cuentas en la instancia de EIAM.

  A continuación se explica cómo crear manualmente una organización y cuentas en la instancia de EIAM, junto con un ejemplo de ambas. Si prefiere sincronizar automáticamente la información de las cuentas hacia la instancia de EIAM mediante el protocolo LDAP, para que los empleados inicien sesión en las aplicaciones con autenticación AD/LDAP, consulte Establish an SSL-VPN connection between a client and a VPC with AD authentication. Para conocer más métodos de sincronización de cuentas, consulte Create an account or organization. Por ejemplo, en la página Account Management de la instancia de IDaaS, la organización SSL-VPN dentro del árbol organizacional contiene una cuenta llamada Lisi con estado Normal.

• Creó una VPC en la región China (Hangzhou) y desplegó aplicaciones en instancias de ECS dentro de esa VPC. Para obtener más información, consulte Create a VPC with an IPv4 CIDR block.

  Asegúrese de que las reglas del security group de las instancias de ECS en la VPC permitan a los clientes acceder a los recursos en la nube. Para obtener más información, consulte Query security group rules y Add a security group rule.

• Compruebe que el cliente tenga acceso a Internet y que su bloque CIDR privado no se superponga con el bloque CIDR privado de la VPC.

Procedimiento

Paso 1: Agregar una aplicación SSL-VPN de Alibaba Cloud

1. Inicie sesión en la consola de IDaaS.

2. En la página EIAM, busque la instancia de EIAM que creó en la sección Prerequisites y haga clic en Console dentro de la columna Actions.

3. En el panel de navegación izquierdo de la instancia de EIAM, seleccione Application. Después, en la página Application, haga clic en Add Application.

4. En la página Add Application, busque la plantilla Alibaba Cloud - SSL VPN y haga clic en Add Application.

5. En el cuadro de diálogo Add Application, introduzca un nombre personalizado para la aplicación y haga clic en Add Now.

6. En la pestaña Sign-In de la página de detalles de la aplicación, configure los siguientes parámetros y haga clic en Save en la parte inferior de la pestaña.

   SSO: Mantenga esta opción habilitada.

   Grant Types: El valor predeterminado es Password Grant. Para IdP, seleccione el valor predeterminado IDaaS Account. El sistema utiliza las cuentas que usted creó manualmente en la instancia de EIAM para autenticar a los empleados.

   Authorize: Utilice el valor predeterminado Manually. Con este modo, debe otorgar acceso manualmente a cuentas específicas para que puedan utilizar la aplicación. Para obtener más información, consulte Authorization scope.

7. En la pestaña Sign-In, haga clic en la pestaña Application Authorization.

   Otorgue autorización a las cuentas de los empleados que necesiten establecer conexiones SSL-VPN. Para obtener más información, consulte Application authorization.

Paso 2: Crear una instancia de VPN Gateway

1. Inicie sesión en la consola de VPN Gateway.

2. En la página VPN Gateways, haga clic en Create VPN Gateway.

3. En la página VPN Gateway, configure la puerta de enlace VPN tal como se indica a continuación, haga clic en Buy Now y complete el pago.

   La siguiente tabla describe únicamente los parámetros relevantes para este tema. Mantenga los valores predeterminados para el resto de los parámetros. Para obtener más información, consulte Create and manage a VPN Gateway instance.

   Parámetro	Descripción
   Region	Seleccione la región donde desea crear la instancia de VPN Gateway. En este ejemplo, se selecciona China (Hangzhou). Nota Asegúrese de que la VPC y la instancia de VPN Gateway se encuentren en la misma región.
   gateway type	Seleccione el tipo de puerta de enlace VPN que desea crear. En este ejemplo, se selecciona Standard.
   Network Type	Seleccione el tipo de red de la instancia de VPN Gateway. En este ejemplo, se selecciona Public.
   tunnel	El sistema muestra los modos de túnel para conexiones IPsec-VPN compatibles con la región actual.
   VPC	Seleccione la VPC a la que desea conectarse.
   vSwitch 1	Seleccione un vSwitch de la VPC. Si selecciona Single-tunnel, solo necesita especificar un vSwitch. Si selecciona Dual-tunnel, debe especificar dos vSwitches. Una vez habilitada la función IPsec-VPN, el sistema crea una interfaz de red elástica (ENI) para cada uno de los dos vSwitches. Estas interfaces permiten la comunicación con la VPC a través de la conexión IPsec-VPN. Cada ENI ocupa una dirección IP en el vSwitch. Nota El sistema selecciona un vSwitch de forma predeterminada. Usted puede cambiarlo o conservar el predeterminado. Después de crear una puerta de enlace VPN, no es posible modificar el vSwitch asociado. En la página de detalles de la puerta de enlace VPN puede consultar el vSwitch asociado, la zona a la que pertenece y la ENI correspondiente.
   vSwitch 2	Seleccione el segundo vSwitch de la VPC. Especifique dos vSwitches en zonas distintas dentro de la VPC asociada para implementar la recuperación ante desastres entre zonas en las conexiones IPsec-VPN. En las regiones que admiten una sola zona, la recuperación ante desastres entre zonas no está disponible. Se recomienda especificar dos vSwitches en la misma zona para lograr alta disponibilidad en las conexiones IPsec-VPN. También puede seleccionar el mismo vSwitch que utilizó primero. Nota Si la VPC no cuenta con un segundo vSwitch, cree uno nuevo. Para obtener más información, consulte Create and manage a vSwitch.
   IPsec-VPN	Indica si se habilita la función IPsec-VPN. En este ejemplo, seleccione Disable.
   SSL-VPN	Indica si se habilita la función SSL-VPN. En este ejemplo, seleccione Enable.
   SSL connections	Seleccione el número máximo de clientes que pueden conectarse al mismo tiempo. Nota Solo es posible configurar SSL Connections después de habilitar la función SSL-VPN.

4. Regrese a la página VPN Gateways para consultar la instancia de VPN Gateway.

   Una nueva instancia de VPN Gateway inicia en el estado Preparing. Después de 1 a 5 minutos, el estado cambia a Normal. El estado Normal indica que la instancia de VPN Gateway se inicializó correctamente.

Paso 3: Crear un servidor SSL

1. En el panel de navegación izquierdo, seleccione Interconnections > VPN > SSL Servers.

2. En la barra de navegación superior, seleccione la región del servidor SSL.

   Nota

   Asegúrese de que el servidor SSL y la instancia de VPN Gateway se encuentren en la misma región.

3. En la página SSL Server, haga clic en Create SSL Server.

4. En el panel Create SSL Server, configure el servidor SSL según la siguiente tabla y haga clic en OK.

   La siguiente tabla describe únicamente los parámetros relevantes para este tema. Mantenga los valores predeterminados para el resto de los parámetros. Para obtener más información, consulte Create and manage an SSL server.

   Parámetro	Descripción
   VPN Gateways	Seleccione la instancia de VPN Gateway que creó.
   Local Network	Introduzca el bloque CIDR de la VPC a la que desea acceder. En este ejemplo se utiliza 192.168.0.0/16.
   Client CIDR Block	Introduzca el bloque CIDR que el cliente utilizará para acceder a la VPC. En este ejemplo se utiliza 10.0.0.0/24. Importante La máscara de subred del bloque CIDR del cliente debe tener entre 16 y 29 bits de longitud. El bloque CIDR del cliente no debe superponerse con Local Network, con el bloque CIDR de la VPC ni con ningún bloque CIDR enrutado en el cliente. Utilice bloques CIDR privados como 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16, o bien sus subredes. Si necesita emplear un rango de IP públicas, configúrelo como un bloque CIDR definido por el usuario en la VPC para garantizar un enrutamiento adecuado. Consulte VPC FAQ y VPC FAQ. Cuando usted crea el servidor SSL, el sistema agrega una ruta para el bloque CIDR del cliente en la tabla de rutas de la VPC. No agregue esta ruta manualmente, ya que podría interrumpir el tráfico SSL-VPN. Si un vSwitch está asociado a una tabla de rutas personalizada, el sistema no agrega automáticamente la ruta del bloque CIDR del cliente a dicha tabla. En ese caso, debe agregar manualmente una entrada de ruta cuyo bloque CIDR de destino sea el del cliente y cuyo siguiente salto sea la puerta de enlace VPN. De lo contrario, los hosts de los bloques CIDR asociados a la tabla de rutas personalizada no podrán comunicarse con los clientes SSL-VPN.
   Advanced Settings	Habilite la autenticación de dos factores. En este tema se utiliza EIAM 2.0. Mantenga los valores predeterminados para el resto de las configuraciones. IDaaS Instance Region: Seleccione China (Hangzhou). IDaaS Instance: Seleccione la instancia de EIAM que creó en los requisitos previos. IDaaS Application: Seleccione la aplicación SSL-VPN de Alibaba Cloud que agregó. Nota Al crear un servidor SSL en la región Emiratos Árabes Unidos (Dubái), vincule una instancia de IDaaS EIAM 2.0 ubicada en la región Singapur para reducir la latencia entre regiones.

Paso 4: Crear un certificado de cliente SSL

1. En el panel de navegación izquierdo, seleccione Interconnections > VPN > SSL Clients.

2. En la página SSL Client, haga clic en Create SSL Client.

3. En el panel Create SSL Client, introduzca un nombre para el certificado de cliente SSL, seleccione el SSL Server correspondiente y haga clic en OK.

4. En la página SSL Client, busque el certificado de cliente SSL que creó y haga clic en Download Certificate dentro de la columna Actions.

   Guarde el certificado de cliente SSL descargado. Lo necesitará para configurar el cliente.

Paso 5: Configurar el cliente

Paso 6: Probar la conectividad

El siguiente procedimiento muestra cómo probar la conectividad entre un cliente Linux y la VPC.

1. Abra la ventana de línea de comandos en el cliente.

2. Ejecute el comando ping para acceder a la instancia ECS1 en la VPC y comprobar la conectividad.

   ping <IP address of the ECS1 instance>

   Si recibe paquetes de respuesta similares a los que se muestran a continuación, el cliente se conectó correctamente a la VPC.

   [root@iZuf6         ihcZ conf]# ping 192.168.10.154
   PING 192.168.10.154 (192.168.10.154) 56(84) bytes of data.
   64 bytes from 192.168.10.154: icmp_seq=1 ttl=63 time=11.9 ms
   64 bytes from 192.168.10.154: icmp_seq=2 ttl=63 time=11.7 ms
   64 bytes from 192.168.10.154: icmp_seq=3 ttl=63 time=11.7 ms
   64 bytes from 192.168.10.154: icmp_seq=4 ttl=63 time=11.8 ms
   64 bytes from 192.168.10.154: icmp_seq=5 ttl=63 time=11.5 ms
   ^Z
   [8]+  Stopped                 ping 192.168.10.154
   [root@iZuf6hgotc     :Z conf]#

Preguntas frecuentes