VPN Gateway:Criar e gerenciar um servidor SSL

1. Faça login no console do VPN Gateway.

2. No painel de navegação à esquerda, escolha Network Interconnection > VPN > SSL Servers.

3. Na barra de navegação superior, selecione a região onde deseja criar o servidor SSL.

   O servidor SSL deve estar na mesma região da instância de VPN Gateway associada.

4. Na página SSL Servers, clique em Create SSL Server.

5. No painel Create SSL Server, configure os parâmetros a seguir e clique em OK.

   Parâmetro	Descrição
   Name	Insira um nome para o servidor SSL.
   Resource Group	Selecione o grupo de recursos da instância de VPN Gateway. O servidor SSL é adicionado ao mesmo grupo de recursos do gateway.
   VPN Gateway	Selecione a instância de VPN Gateway. A instância selecionada deve ter o SSL-VPN ativado.
   Local Network	Blocos CIDR acessíveis aos clientes pela conexão SSL-VPN. Uma rede local pode ser o bloco CIDR de uma VPC, de um vSwitch, de um data center on-premises conectado a uma VPC via Express Connect ou de um serviço em nuvem como Object Storage Service (OSS) ou ApsaraDB RDS. Clique em Add Local CIDR Block para adicionar vários blocos CIDR. É possível adicionar até cinco redes locais. Os seguintes intervalos de endereços IP não são suportados: 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Nota A máscara de sub-rede de uma rede local deve ter de 8 a 32 bits.
   Client CIDR Block	Pool de endereços IP usado pelo VPN Gateway para atribuir endereços aos clientes. Não corresponde ao bloco CIDR privado do cliente. O bloco CIDR do cliente deve oferecer pelo menos quatro vezes o número de endereços IP correspondente ao máximo de conexões SSL simultâneas suportadas pela instância de VPN Gateway. Clique para visualizar o motivo. Por exemplo, se você especificar 192.168.0.0/24 como bloco CIDR do cliente, o sistema aloca uma sub-rede /30, como 192.168.0.4/30, para cada conexão. Um endereço IP dessa sub-rede é atribuído ao cliente e os outros três são reservados pelo sistema para comunicação de rede. Portanto, cada conexão de cliente consome quatro endereços IP do pool. Para garantir que todos os clientes obtenham um endereço IP, o total de endereços IP no seu bloco CIDR de cliente deve ser pelo menos quatro vezes maior que o número máximo de conexões SSL da instância de VPN Gateway. Clique para visualizar os blocos CIDR não suportados. 100.64.0.0 a 100.127.255.255 127.0.0.0 a 127.255.255.255 169.254.0.0 a 169.254.255.255 224.0.0.0 a 239.255.255.255 255.0.0.0 a 255.255.255.255 Clique para visualizar os blocos CIDR de cliente recomendados para diferentes quantidades de conexões SSL. Para 5 conexões SSL, recomenda-se uma máscara de sub-rede de 27 bits ou menos. Exemplo: 10.0.0.0/27 ou 10.0.0.0/26. Para 10 conexões SSL, recomenda-se uma máscara de sub-rede de 26 bits ou menos. Exemplo: 10.0.0.0/26 ou 10.0.0.0/25. Para 20 conexões SSL, recomenda-se uma máscara de sub-rede de 25 bits ou menos. Exemplo: 10.0.0.0/25 ou 10.0.0.0/24. Para 50 conexões SSL, recomenda-se uma máscara de sub-rede de 24 bits ou menos. Exemplo: 10.0.0.0/24 ou 10.0.0.0/23. Para 100 conexões SSL, recomenda-se uma máscara de sub-rede de 23 bits ou menos. Exemplo: 10.0.0.0/23 ou 10.0.0.0/22. Para 200 conexões SSL, recomenda-se uma máscara de sub-rede de 22 bits ou menos. Exemplo: 10.0.0.0/22 ou 10.0.0.0/21. Para 500 conexões SSL, recomenda-se uma máscara de sub-rede de 21 bits ou menos. Exemplo: 10.0.0.0/21 ou 10.0.0.0/20. Para 1.000 conexões SSL, recomenda-se uma máscara de sub-rede de 20 bits ou menos. Exemplo: 10.0.0.0/20 ou 10.0.0.0/19. Importante A máscara de sub-rede do bloco CIDR do cliente deve ter de 16 a 29 bits. O bloco CIDR do cliente não deve sobrepor à Local Network, ao bloco CIDR da VPC ou a quaisquer blocos CIDR roteados no cliente. Use blocos CIDR privados como 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16, ou suas sub-redes. Para usar um intervalo de IP público, configure-o como um bloco CIDR definido pelo usuário na VPC para garantir o roteamento adequado. Consulte Perguntas frequentes sobre VPC e Perguntas frequentes sobre VPC. Após a criação do servidor SSL, o sistema adiciona uma rota para o bloco CIDR do cliente na tabela de rotas da VPC. Não adicione essa rota manualmente, pois isso pode interromper o tráfego SSL-VPN.
   Advanced Configuration
   Protocol	Protocolo da conexão SSL-VPN. Valores válidos: UDP TCP (padrão)
   Port	Porta usada pelo servidor SSL. Valores válidos: 1 a 65535. Valor padrão: 1194. Nota As seguintes portas não são suportadas: 22, 2222, 22222, 9000, 9001, 9002, 7505, 80, 443, 53, 68, 123, 4510, 4560, 500 e 4500.
   Encryption Algorithm	Algoritmo de criptografia da conexão SSL-VPN. Se o cliente executar Tunnelblick ou OpenVPN 2.4.0 ou posterior, o servidor e o cliente negociam dinamicamente o algoritmo de criptografia, priorizando a opção mutuamente suportada mais segura. O algoritmo especificado aqui não entra em vigor. Se o cliente executar uma versão do OpenVPN anterior à 2.4.0, o algoritmo especificado será utilizado. Algoritmos suportados: AES-128-CBC (padrão) AES-192-CBC AES-256-CBC none Desativa a criptografia.
   Compressed	Define se o tráfego SSL-VPN deve ser compactado. Valores válidos: Yes No (padrão)
   Two-factor Authentication	Define se a autenticação de dois fatores deve ser ativada. Desativada por padrão. A autenticação de dois fatores exige que os clientes passem tanto pela verificação de certificado SSL quanto pela autenticação de nome de usuário/senha em uma instância do IDaaS EIAM. Consulte Autenticação de dois fatores SSL-VPN. Quando ativada, selecione uma instância do IDaaS EIAM e um ID de aplicativo para autenticação. Clique para saber mais sobre o processo de autenticação de dois fatores O cliente inicia uma solicitação de conexão SSL-VPN. Após verificar o certificado, a instância de VPN Gateway solicita ao cliente um nome de usuário e senha. Depois que você insere o nome de usuário e a senha no cliente, o software VPN envia as credenciais para a instância de VPN Gateway. A instância de VPN Gateway encaminha as credenciais ao IDaaS para autenticação. O IDaaS autentica o nome de usuário e a senha e retorna o resultado à instância de VPN Gateway. Com base no resultado do IDaaS, a instância de VPN Gateway permite ou nega a conexão SSL-VPN. Nota Na primeira utilização, conceda as permissões necessárias através da Autorização. Ao criar um servidor SSL na região UAE (Dubai), vincule uma instância do IDaaS EIAM 2.0 na região de Singapura para reduzir a latência entre regiões. Instâncias do IDaaS EIAM 1.0 não estão mais disponíveis para compra. Caso exista uma em sua conta, você ainda poderá vinculá-la após ativar a autenticação de dois fatores. Se não houver nenhuma instância do IDaaS EIAM 1.0 em sua conta, apenas instâncias do IDaaS EIAM 2.0 poderão ser vinculadas. Vincular uma instância do IDaaS EIAM 2.0 pode exigir uma atualização do VPN Gateway. Consulte [Aviso de Alteração] Autenticação de dois fatores SSL-VPN suporta IDaaS EIAM 2.0.
   Custom Client DNS	Configure as definições de DNS para todos os clientes de forma centralizada. Disponível apenas em algumas regiões. Consulte Configurar definições de DNS para clientes.

Próximas etapas

Após criar o servidor SSL, crie e baixe um certificado de cliente SSL para autenticar e criptografar as conexões dos clientes. Consulte Criar e gerenciar um certificado de cliente SSL.