Cấu hình VPN Site-to-Site với Palo Alto

Bài viết này hướng dẫn build thiết bị Router để đấu nối VPN Site-to-Site với dịch vụ VPN Site-to-Site của FPT Smart Cloud.

Mục lục

1. Bước 1: Cấu hình cho VPN Site-to-Site
2. Bước 2: Cấu hình IPsec cho Palo Alto
3. Bước 3: Cấu hình firewall và routing cho Palo Alto

Cần đảm bảo các điều kiện sau:

• VPN Site-to-Site trên trang Portal
• Palo Alto đã được cài đặt và enable ở phía khách hàng.
• Palo Alto đã được cài đặt và có 3 IP: Management (IP public) - WAN (IP public) - LAN.

Bước 1: Cấu hình cho VPN Site-to-Site

Truy cập và tạo VPN Site-to-Site trên trang https://console.fptcloud.com/

- Tạo Customer Gateway:

• Remote private network: dãy Lan Subnet cần peering Palo Alto
• Remote IP public: IP public của Palo Alto

- Tạo VPN Connection:

Thông số của VPN Connection sẽ bao gồm 3 mục chính:

• General information (chứa các thông tin chung của kết nối VPN)
• Remote VPN Information (chứa các thông tin mã hóa và thông tin của quý khách hàng)
• Dead Peer Detection (số lần hệ thống tự động retry kết nối khi bị vấn đề)

Phần 1: General information

Lưu ý: Thông số Pre-shared-key cần lưu lại để kết nối với Palo Alto.

Phần 2: Remote VPN information

Khi quý khách hàng lựa chọn Providers "Palo Alto", hệ thống sẽ tự động điền thông tin cho IKE và IPSec cụ thể như sau:

Đối với IKE:

• Encryption algorithm: aes-256
• Authorization algorithm: sha256
• IKE version: ikev2
• Lifetime units: seconds
• Lifetime value: 28800
• DH Group: GROUP_14
• Phase1 negotiation mode: main

Đối với IPsec:

• Encapsulation mode: tunnel
• Encryption algorithm: aes-256
• Authorization algorithm: sha256
• Lifetime units: seconds
• Lifetime value: 3600
• Perfect forward secrecy (PFS): GROUP_14
• Transform protocol: esp

Phần 3: Dead Peer Detection

Điền thông số Delay và max failure và chọn Create VPN Connection.

Bước 2: Cấu hình IPsec cho Palo Alto

• Đăng nhập web vào Palo Alto khách hàng theo IP Management:

• Chọn Add và kích hoạt Zone của Palo Alto:

• Tạo Virtual Router của Palo Alto và chọn OK:

• Tạo ra interface WAN là LAN, (lưu ý làm cho ethernet1/1 và tương tự cho ethernet 1/2):

• Tạo ra IKE Crypto:

• Tạo ra IPSec Crypto:

• Chọn IPsec Tunnels:
  • Tại tab General, điền Peer Address là IP của FPT đã tạo ở bước 1 (trong hình là 103.176.147.48)

• Tại tab Advanced Options điền các thông tin sau:

• Tạo ra GlobalProtect IPSec:

• Tạo ra IPSec Tunnels:

Bước 3: Cấu hình firewall và routing cho Palo Alto

Để cấu hình firewall và routing cho Palo Alto, thao tác theo các bước ở ví dụ dưới đây:

• Mở firewall bất kỳ. Tuỳ theo từng khách hàng mà mở source và destination theo rule.

• Mở Routing theo 2 subnet là 30.30.30.0/24 và 80.80.80/24 (tùy theo khách hàng mà mở source và destination theo rule).

Tới đây khách hàng đã có thể mở Terminal - Command line để thử Ping thông mạng.