VPN Gateway:Criar e gerenciar um servidor SSL

1. Faça login no console do VPN Gateway.

2. No painel de navegação à esquerda, escolha Network Interconnection > VPN > SSL Servers.

3. Na barra de navegação superior, selecione a região onde deseja criar o servidor SSL.

   O servidor SSL deve estar na mesma região da instância de VPN Gateway associada.

4. Na página SSL Servers, clique em Create SSL Server.

5. No painel Create SSL Server, configure os parâmetros a seguir e clique em OK.

   Parâmetro	Descrição
   Name	Insira um nome para o servidor SSL.
   Resource Group	Selecione o grupo de recursos da instância de VPN Gateway. O servidor SSL é adicionado ao mesmo grupo de recursos do gateway. O escopo de acesso da conexão SSL-VPN depende da rede local (com base no bloco CIDR da VPC), sem relação com o grupo de recursos. Recursos na mesma VPC são acessíveis via SSL-VPN independentemente do grupo de recursos ao qual pertencem.
   VPN Gateway	Selecione a instância de VPN Gateway. A instância selecionada deve ter o SSL-VPN ativado.
   Local Network	Blocos CIDR acessíveis aos clientes pela conexão SSL-VPN. Uma rede local pode ser o bloco CIDR de uma VPC, de um vSwitch, de um data center on-premises conectado a uma VPC via Express Connect ou de um serviço cloud como Object Storage Service (OSS) ou ApsaraDB RDS. Clique em Add Local CIDR Block para adicionar vários blocos CIDR. É possível adicionar até cinco redes locais. Os seguintes intervalos de endereços IP não são suportados: 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Nota A máscara de sub-rede de uma rede local deve ter entre 8 e 32 bits.
   Client CIDR Block	Pool de endereços IP do qual o VPN Gateway atribui endereços aos clientes. Não corresponde ao bloco CIDR privado do cliente. O bloco CIDR do cliente deve oferecer pelo menos quatro vezes o número de endereços IP correspondente ao máximo de conexões SSL simultâneas suportadas pela instância de VPN Gateway. Clique para ver o motivo. Por exemplo, se você especificar 192.168.0.0/24 como bloco CIDR do cliente, o sistema aloca uma sub-rede /30, como 192.168.0.4/30, para cada conexão. Um endereço IP dessa sub-rede é atribuído ao cliente e os outros três são reservados pelo sistema para comunicação de rede. Portanto, cada conexão de cliente consome quatro endereços IP do pool. Para garantir que todos os clientes obtenham um endereço IP, o total de endereços IP no seu bloco CIDR do cliente deve ser pelo menos quatro vezes maior que o número máximo de conexões SSL da instância de VPN Gateway. Clique para ver os blocos CIDR não suportados. 100.64.0.0 a 100.127.255.255 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Clique para ver os blocos CIDR de cliente recomendados para diferentes quantidades de conexões SSL. Para 5 conexões SSL, recomenda-se uma máscara de sub-rede de 27 bits ou menor. Exemplo: 10.0.0.0/27 ou 10.0.0.0/26. Para 10 conexões SSL, recomenda-se uma máscara de sub-rede de 26 bits ou menor. Exemplo: 10.0.0.0/26 ou 10.0.0.0/25. Para 20 conexões SSL, recomenda-se uma máscara de sub-rede de 25 bits ou menor. Exemplo: 10.0.0.0/25 ou 10.0.0.0/24. Para 50 conexões SSL, recomenda-se uma máscara de sub-rede de 24 bits ou menor. Exemplo: 10.0.0.0/24 ou 10.0.0.0/23. Para 100 conexões SSL, recomenda-se uma máscara de sub-rede de 23 bits ou menor. Exemplo: 10.0.0.0/23 ou 10.0.0.0/22. Para 200 conexões SSL, recomenda-se uma máscara de sub-rede de 22 bits ou menor. Exemplo: 10.0.0.0/22 ou 10.0.0.0/21. Para 500 conexões SSL, recomenda-se uma máscara de sub-rede de 21 bits ou menor. Exemplo: 10.0.0.0/21 ou 10.0.0.0/20. Para 1.000 conexões SSL, recomenda-se uma máscara de sub-rede de 20 bits ou menor. Exemplo: 10.0.0.0/20 ou 10.0.0.0/19. Importante A máscara de sub-rede do bloco CIDR do cliente deve ter entre 16 e 29 bits. O bloco CIDR do cliente não deve sobrepor à Local Network, ao bloco CIDR da VPC ou a quaisquer blocos CIDR roteados no cliente. Utilize blocos CIDR privados como 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16, ou suas sub-redes. Para usar um intervalo de IP público, configure-o como um bloco CIDR definido pelo usuário na VPC para garantir o roteamento adequado. Consulte VPC FAQ e VPC FAQ. Após criar o servidor SSL, o sistema adiciona uma rota para o bloco CIDR do cliente na tabela de rotas da VPC. Não adicione essa rota manualmente, pois isso pode interromper o tráfego SSL-VPN. Se um vSwitch estiver associado a uma tabela de rotas personalizada, o sistema não adiciona automaticamente a rota do bloco CIDR do cliente a essa tabela personalizada. Adicione manualmente uma entrada de rota cujo bloco CIDR de destino seja o bloco CIDR do cliente e cujo próximo salto seja o gateway VPN. Caso contrário, os hosts nos blocos CIDR associados à tabela de rotas personalizada não conseguirão se comunicar com os clientes SSL-VPN.
   Advanced Configuration
   Protocol	Protocolo da conexão SSL-VPN. Valores válidos: UDP TCP (padrão)
   Port	Porta usada pelo servidor SSL. Valores válidos: 1 a 65535. Valor padrão: 1194. Nota As seguintes portas não são suportadas: 22, 2222, 22222, 9000, 9001, 9002, 7505, 80, 443, 53, 68, 123, 4510, 4560, 500 e 4500.
   Encryption Algorithm	Algoritmo de criptografia da conexão SSL-VPN. Se o cliente executar Tunnelblick ou OpenVPN 2.4.0 ou posterior, o servidor e o cliente negociam dinamicamente o algoritmo de criptografia, priorizando a opção mutuamente suportada mais segura. O algoritmo especificado aqui não entra em vigor. Se o cliente executar uma versão do OpenVPN anterior à 2.4.0, o algoritmo especificado será utilizado. Algoritmos suportados: AES-128-CBC (padrão) AES-192-CBC AES-256-CBC none Desativa a criptografia.
   Compressed	Indica se o tráfego SSL-VPN deve ser compactado. Valores válidos: Yes No (padrão)
   Two-factor Authentication	Indica se a autenticação de dois fatores deve ser ativada. Desativada por padrão. A autenticação de dois fatores exige que os clientes passem tanto pela verificação de certificado SSL quanto pela autenticação de nome de usuário/senha em uma instância IDaaS EIAM. Consulte Autenticação de dois fatores SSL-VPN. Quando ativada, selecione uma instância IDaaS EIAM e um ID de aplicativo para autenticação. Clique para saber mais sobre o processo de autenticação de dois fatores O cliente inicia uma solicitação de conexão SSL-VPN. Após verificar o certificado, a instância de VPN Gateway solicita ao cliente um nome de usuário e senha. Depois que você insere o nome de usuário e a senha no cliente, o software VPN envia as credenciais para a instância de VPN Gateway. A instância de VPN Gateway encaminha as credenciais ao IDaaS para autenticação. O IDaaS autentica o nome de usuário e a senha e retorna o resultado à instância de VPN Gateway. Com base no resultado do IDaaS, a instância de VPN Gateway permite ou nega a conexão SSL-VPN. Nota Na primeira utilização, conceda as permissões necessárias através de Authorization. Ao criar um servidor SSL na região UAE (Dubai), vincule uma instância IDaaS EIAM 2.0 na região Singapore para reduzir a latência entre regiões. Instâncias IDaaS EIAM 1.0 não estão mais disponíveis para compra. Se houver uma em sua conta, você ainda poderá vinculá-la após ativar a autenticação de dois fatores. Se não existir nenhuma instância IDaaS EIAM 1.0 em sua conta, apenas instâncias IDaaS EIAM 2.0 poderão ser vinculadas. Vincular uma instância IDaaS EIAM 2.0 pode exigir uma atualização do VPN Gateway. Consulte [Change Notice] SSL-VPN two-factor authentication supports IDaaS EIAM 2.0.
   Custom Client DNS	Configure as definições de DNS para todos os clientes de forma centralizada. Disponível apenas em algumas regiões. Consulte Configure as definições de DNS para clientes.

Próximos passos

Após criar o servidor SSL, crie e baixe um certificado de cliente SSL para autenticar e criptografar as conexões dos clientes. Crie e gerencie um certificado de cliente SSL.