VPN Gateway:Crear y gestionar un servidor SSL

1. Inicie sesión en la consola de VPN Gateway.

2. En el panel de navegación izquierdo, elija Network Interconnection > VPN > SSL Servers.

3. En la barra de navegación superior, seleccione la región donde desea crear el servidor SSL.

   El servidor SSL debe estar en la misma región que la instancia de VPN Gateway asociada.

4. En la página SSL Servers, haga clic en Create SSL Server.

5. En el panel Create SSL Server, configure los siguientes parámetros y haga clic en OK.

   Parámetro	Descripción
   Name	Introduzca un nombre para el servidor SSL.
   Resource Group	Seleccione el resource group de la instancia de VPN Gateway. El servidor SSL se agrega al mismo resource group que la puerta de enlace. El alcance de acceso de la conexión SSL-VPN lo determina la red local (según el bloque CIDR de la VPC) y no tiene relación con el resource group. Los recursos dentro de la misma VPC se pueden acceder mediante SSL-VPN sin importar a qué resource group pertenezcan.
   VPN Gateway	Seleccione la instancia de VPN Gateway. La instancia seleccionada debe tener SSL-VPN habilitado.
   Local Network	Los bloques CIDR a los que los clientes pueden acceder mediante la conexión SSL-VPN. Una red local puede ser el bloque CIDR de una VPC, de un vSwitch, de un centro de datos local conectado a una VPC mediante Express Connect o de un servicio en la nube como Object Storage Service (OSS) o ApsaraDB RDS. Haga clic en Add Local CIDR Block para agregar varios bloques CIDR. Puede agregar hasta cinco redes locales. No se admiten los siguientes rangos de direcciones IP: 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Nota La máscara de subred de una red local debe tener entre 8 y 32 bits de longitud.
   Client CIDR Block	El pool de direcciones IP desde el cual VPN Gateway asigna direcciones a los clientes. No es el bloque CIDR privado del cliente. El bloque CIDR del cliente debe proporcionar como mínimo cuatro veces la cantidad de direcciones IP respecto al número máximo de conexiones SSL simultáneas que admite la instancia de VPN Gateway. Haga clic para ver el motivo. Por ejemplo, si especifica 192.168.0.0/24 como bloque CIDR del cliente, el sistema asigna una subred /30, como 192.168.0.4/30, para cada conexión. Una dirección IP de esta subred se asigna al cliente y las otras tres las reserva el sistema para la comunicación de red. Por lo tanto, cada conexión de cliente consume cuatro direcciones IP del pool. Para garantizar que todos los clientes puedan obtener una dirección IP, el número total de direcciones IP en su bloque CIDR de cliente debe ser como mínimo cuatro veces el número máximo de conexiones SSL de la instancia de VPN Gateway. Haga clic para ver los bloques CIDR no compatibles. 100.64.0.0 a 100.127.255.255 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Haga clic para ver los bloques CIDR de cliente recomendados según la cantidad de conexiones SSL. Para 5 conexiones SSL, se recomienda una máscara de subred de 27 bits o menos. Ejemplo: 10.0.0.0/27 o 10.0.0.0/26. Para 10 conexiones SSL, se recomienda una máscara de subred de 26 bits o menos. Ejemplo: 10.0.0.0/26 o 10.0.0.0/25. Para 20 conexiones SSL, se recomienda una máscara de subred de 25 bits o menos. Ejemplo: 10.0.0.0/25 o 10.0.0.0/24. Para 50 conexiones SSL, se recomienda una máscara de subred de 24 bits o menos. Ejemplo: 10.0.0.0/24 o 10.0.0.0/23. Para 100 conexiones SSL, se recomienda una máscara de subred de 23 bits o menos. Ejemplo: 10.0.0.0/23 o 10.0.0.0/22. Para 200 conexiones SSL, se recomienda una máscara de subred de 22 bits o menos. Ejemplo: 10.0.0.0/22 o 10.0.0.0/21. Para 500 conexiones SSL, se recomienda una máscara de subred de 21 bits o menos. Ejemplo: 10.0.0.0/21 o 10.0.0.0/20. Para 1000 conexiones SSL, se recomienda una máscara de subred de 20 bits o menos. Ejemplo: 10.0.0.0/20 o 10.0.0.0/19. Importante La máscara de subred del bloque CIDR del cliente debe tener entre 16 y 29 bits de longitud. El bloque CIDR del cliente no debe superponerse con Local Network, el bloque CIDR de la VPC ni ningún bloque CIDR enrutado en el cliente. Use bloques CIDR privados como 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16, o sus subredes. Si necesita usar un rango de IP públicas, configúrelo como un bloque CIDR definido por el usuario en la VPC para garantizar un enrutamiento adecuado. VPC FAQ y VPC FAQ. Después de crear el servidor SSL, el sistema agrega una ruta para el bloque CIDR del cliente en la tabla de rutas de la VPC. No agregue esta ruta manualmente, ya que podría interrumpir el tráfico de SSL-VPN. Si un vSwitch está asociado a una tabla de rutas personalizada, el sistema no agrega automáticamente la ruta del bloque CIDR del cliente en dicha tabla. Debe agregar manualmente una entrada de ruta cuyo bloque CIDR de destino sea el bloque CIDR del cliente y cuyo siguiente salto sea la puerta de enlace VPN. De lo contrario, los hosts en los bloques CIDR asociados a la tabla de rutas personalizada no podrán comunicarse con los clientes SSL-VPN.
   Advanced Configuration
   Protocol	El protocolo de la conexión SSL-VPN. Valores válidos: UDP TCP (predeterminado)
   Port	El puerto que usa el servidor SSL. Valores válidos: 1 a 65535. Valor predeterminado: 1194. Nota No se admiten los siguientes puertos: 22, 2222, 22222, 9000, 9001, 9002, 7505, 80, 443, 53, 68, 123, 4510, 4560, 500 y 4500.
   Encryption Algorithm	El algoritmo de cifrado de la conexión SSL-VPN. Si el cliente ejecuta Tunnelblick u OpenVPN 2.4.0 o posterior, el servidor y el cliente negocian dinámicamente el algoritmo de cifrado y priorizan la opción compatible más segura para ambos. El algoritmo que especifique aquí no surte efecto. Si el cliente ejecuta una versión de OpenVPN anterior a la 2.4.0, se utiliza el algoritmo especificado. Algoritmos compatibles: AES-128-CBC (predeterminado) AES-192-CBC AES-256-CBC none Deshabilita el cifrado.
   Compressed	Indica si se comprime el tráfico de SSL-VPN. Valores válidos: Yes No (predeterminado)
   Two-factor Authentication	Indica si se habilita la autenticación de dos factores. Deshabilitada de forma predeterminada. La autenticación de dos factores exige que los clientes superen tanto la verificación del certificado SSL como la autenticación de nombre de usuario y contraseña frente a una instancia de IDaaS EIAM. SSL-VPN two-factor authentication. Cuando está habilitada, seleccione una instancia de IDaaS EIAM y un identificador de aplicación para la autenticación. Haga clic para conocer el proceso de autenticación de dos factores El cliente inicia una solicitud de conexión SSL-VPN. Tras verificar el certificado, la instancia de VPN Gateway solicita al cliente un nombre de usuario y una contraseña. Una vez que introduce el nombre de usuario y la contraseña en el cliente, el software de VPN envía las credenciales a la instancia de VPN Gateway. La instancia de VPN Gateway reenvía las credenciales a IDaaS para su autenticación. IDaaS autentica el nombre de usuario y la contraseña, y devuelve el resultado a la instancia de VPN Gateway. Según el resultado de IDaaS, la instancia de VPN Gateway permite o deniega la conexión SSL-VPN. Nota Si es la primera vez que lo usa, otorgue los permisos obligatorios mediante Authorization. Al crear un servidor SSL en la región UAE (Dubai), vincule una instancia de IDaaS EIAM 2.0 en la región Singapore para reducir la latencia entre regiones. Las instancias de IDaaS EIAM 1.0 ya no están disponibles para compra. Si existe alguna en su cuenta, aún puede vincularla después de habilitar la autenticación de dos factores. Si no hay ninguna instancia de IDaaS EIAM 1.0 en su cuenta, solo podrá vincular instancias de IDaaS EIAM 2.0. Vincular una instancia de IDaaS EIAM 2.0 podría requerir una actualización de VPN Gateway. [Change Notice] SSL-VPN two-factor authentication supports IDaaS EIAM 2.0.
   Custom Client DNS	Configure de manera centralizada los ajustes de DNS para todos los clientes. Disponible solo en algunas regiones. Configure DNS settings for clients.

Siguientes pasos

Después de crear el servidor SSL, cree y descargue un certificado de cliente SSL para autenticar y cifrar las conexiones de los clientes. Create and manage an SSL client certificate.