Checkpoint: Baseado em Política
Este tópico fornece uma configuração baseada em política para o Check Point CloudGuard. As instruções foram validadas com o Check Point CloudGuard versão R80.20.
A Oracle fornece instruções de configuração para um conjunto testado de fornecedores e dispositivos. Use a configuração correta para o fornecedor e a versão do software.
Se a versão do dispositivo ou do software que a Oracle usou para verificar se a configuração não corresponde exatamente ao dispositivo ou ao software, você ainda poderá criar a configuração necessária no dispositivo. Consulte a documentação do fornecedor e faça as alterações necessárias.
Se o dispositivo for de um fornecedor que não está na lista de fornecedores e dispositivos verificados ou se você já estiver familiarizado com a configuração do dispositivo para IPSec, consulte a lista de parâmetros IPSec suportados e consulte a documentação do fornecedor para obter ajuda.
Este tópico destina-se à configuração baseada em política. Se, em vez disso, você quiser a configuração baseada em rota (baseada em VTI), consulte Check Point: Baseado em Rota.
É necessário ter experiência em Check Point. Este tópico Não inclui como adicionar o Check Point CloudGuard Security Gateway ao Check Point CloudGuard Security Manager. Para obter mais informações sobre como usar os produtos Check Point, consulte a documentação do Check Point.
A Oracle fornece instruções de configuração para um conjunto testado de fornecedores e dispositivos. Use a configuração correta para o fornecedor e a versão do software.
Se a versão do dispositivo ou do software que a Oracle usou para verificar se a configuração não corresponde exatamente ao dispositivo ou ao software, você ainda poderá criar a configuração necessária no dispositivo. Consulte a documentação do fornecedor e faça as alterações necessárias.
Se o dispositivo for de um fornecedor que não está na lista de fornecedores e dispositivos verificados ou se você já estiver familiarizado com a configuração do dispositivo para IPSec, consulte a lista de parâmetros IPSec suportados e consulte a documentação do fornecedor para obter ajuda.
Oracle Cloud Infrastructure offersSite-to-Site VPN, uma conexão IPSec segura entre uma rede local e uma VCN (virtual cloud network).
O diagrama a seguir mostra uma conexão IPSec básica com o Oracle Cloud Infrastructure que tem túneis redundantes. Os endereços IP usados neste diagrama são somente para fins de exemplo.
Melhores Práticas
Esta seção trata das melhores práticas gerais e de considerações para o uso da VPN Site a Site.
Configurar Todos os Túneis para Todas as Conexões IPSec
A Oracle implanta dois headends IPSec para conexões a fim de fornecer alta disponibilidade para cargas de trabalho de missão crítica. No lado Oracle, esses dois headends estão em roteadores distintos para fins de redundância. Recomendamos a configuração de todos os túneis disponíveis para redundância máxima. Essa é uma parte essencial da filosofia "Design para Falhas".
Ter CPEs Redundantes nas Redes Locais
Recomendamos que cada site que se conecta ao IPSec com o Oracle Cloud Infrastructure tenha dispositivos de borda redundantes (também conhecidos como CPE (customer-premises equipment)). Você adiciona cada CPE à Console do Oracle e cria uma conexão IPSec separada entre um DRG (dynamic routing gateway) e cada CPE. Para cada conexão IPSec, o sistema Oracle provisiona dois túneis em headends IPSec redundantes geograficamente. Para obter mais informações, consulte o Guia de redundância de conectividade (PDF).
Considerações sobre o Protocolo de Roteamento
Quando você cria uma conexão IPSec da VPN Site a Site, ela tem dois túneis IPSec redundantes. A Oracle incentiva você a configurar o CPE para usar ambos os túneis (se o CPE o suportar). Anteriormente, a Oracle criava conexões IPSec com até quatro túneis IPSec.
Os seguintes três tipos de roteamento estão disponíveis e você seleciona o tipo de roteamento separadamente para cada túnel na VPN Site a Site:
- Roteamento dinâmico BGP: as rotas disponíveis são obtidas dinamicamente por meio de BGP. O DRG obtém dinamicamente as rotas provenientes da rede local. No lado Oracle, o DRG propaga as sub-redes da VCN.
- roteamento estático: ao configurar a conexão IPSec com o DRG, você especifica para a rede local as rotas específicas que a VCN deverá saber. Você também deve configurar o dispositivo CPE com rotas estáticas para as sub-redes da VCN. Essas rotas não são aprendidas dinamicamente.
- roteamento baseado em política: ao configurar a conexão IPSec com o DRG, você especifica para a rede local as rotas específicas que a VCN deverá saber. Você também deve configurar o dispositivo CPE com rotas estáticas para as sub-redes da VCN. Essas rotas não são aprendidas dinamicamente.
Para obter mais informações sobre roteamento com a VPN Site a Site, incluindo recomendações da Oracle sobre como manipular o algoritmo de seleção de melhor caminho do BGP, consulte Roteamento da VPN Site a Site.
Outras Configurações Importantes do CPE
Verifique se as listas de acesso do CPE estão configuradas corretamente para não bloquear o tráfego necessário de origem ou destino do Oracle Cloud Infrastructure.
Se houver vários túneis ativos simultaneamente, você poderá experimentar um roteamento assimétrico. Para levar em conta o roteamento assimétrico, certifique-se de que o CPE esteja configurado para tratar o tráfego proveniente da VCN em qualquer um dos túneis. Por exemplo, você precisa desativar a inspeção do ICMP e configurar o bypass de estado do TCP. Para obter mais detalhes sobre a configuração apropriada, entre em contato com o suporte do fornecedor do CPE. Para configurar o roteamento para ser simétrico, consulte Encaminhamento da VPN Site a Site.
Cuidados e Limitações
Esta seção trata de características e limitações gerais importantes da VPN Site a Site que você esteja ciente.
Consulte Limites de Serviço para obter uma lista de limites e instruções aplicáveis a uma solicitação de aumento de limite.
Roteamento Assimétrico
O Oracle usa o roteamento assimétrico entre os túneis que compõem a conexão IPSec. Configure firewalls com isso em mente. Caso contrário, os testes de ping ou o tráfego de aplicativos na conexão não funcionarão de forma confiável.
Quando você usa vários túneis para o Oracle Cloud Infrastructure, Recomendamos que você configure o roteamento para rotear deterministicamente o tráfego pelo túnel preferido. Para usar um túnel IPSec como principal e outro como backup, configure rotas mais específicas para o túnel principal (BGP) e rotas menos específicas (rota padrão ou resumida) para o túnel de backup (BGP/estático). Caso contrário, se você propagar a mesma rota (por exemplo, uma rota padrão) por meio de todos os túneis, o tráfego de retorno de uma VCN para uma rede on-premises será roteado para qualquer um dos túneis disponíveis. Isso acontece porque o sistema Oracle usa roteamento assimétrico.
Para obter recomendações específicas de roteamento da Oracle sobre como impor o roteamento simétrico, consulte Roteamento da VPN Site a Site.
VPN Site a Site Baseada em Rota ou em Política
O protocolo IPSec usa SAs (Security Associations) para decidir como criptografar pacotes. Dentro de cada SA, você define domínios de criptografia para mapear o tipo de protocolo e o endereço IP de origem e de destino de um protocolo até uma entrada no banco de dados SA, a fim de definir como criptografar ou decriptografar um pacote.
Outros fornecedores e a documentação utilizada no setor podem usar os termos ID do proxy, índice de parâmetro de segurança (SPI) ou seletor de tráfego ao fazer referência a SAs ou domínios de criptografia.
Há dois métodos gerais para implementar túneis IPSec:
- Túneis baseados em rota: também chamados de túneis baseados no próximo salto. Uma pesquisa de tabela de roteamento é executada no endereço IP de destino de um pacote. Se a interface de saída da rota for um túnel IPSec, o pacote será criptografado e enviado para a outra extremidade do túnel.
- Túneis baseados em política: o protocolo e o endereço IP de origem e de destino do pacote são validados em relação a uma lista de instruções de política. Se não houver uma correspondência, o pacote será criptografado com base nas regras dessa instrução de política.
Os cabeçalhos da VPN Site a Site da Oracle usam túneis baseados em rota, mas podem funcionar com túneis baseados em política, com algumas limitações listadas nas seções a seguir.
Se o CPE suportar túneis baseados em rota, use esse método para configurar o túnel. Essa é a configuração mais simples que tem a maior interoperabilidade com o headend da Oracle VPN.
O IPSec baseado em rota usa um domínio de criptografia com os seguintes valores:
- Endereço IP de origem: qualquer um (0.0.0.0/0)
- Endereço IP de destino: qualquer um (0.0.0.0/0)
- Protocolo: IPv4
Se você precisar ser mais específico, poderá usar uma única rota resumida para valores de domínio de criptografia, em vez de uma rota padrão.
Quando você usa túneis baseados em política, cada entrada de política (um bloco CIDR em um lado da conexão IPSec) que você define gera uma associação de segurança (SA) IPSec com cada entrada elegível na outra extremidade do túnel. Esse par é chamado de domínio de criptografia.
Neste diagrama, a extremidade do DRG da Oracle do túnel IPSec tem entradas de política para três blocos CIDR IPv4 e um bloco CIDR IPv6. A extremidade do CPE on-premises do túnel tem entradas de política em dois blocos CIDR IPv4 e dois blocos CIDR IPv6. Cada entrada gera um domínio de criptografia com todas as entradas possíveis na outra extremidade do túnel. Os dois lados de um par de SA devem usar a mesma versão de IP. O resultado é um total de oito domínios de criptografia.
Se o CPE suportar apenas túneis baseados em política, conheça as restrições a seguir.
- A VPN Site a Site suporta vários domínios de criptografia, mas tem um limite máximo de 50 domínios.
- Se você tivesse uma situação semelhante ao exemplo anterior e tivesse configurado apenas três dos seis domínios de criptografia IPv4 possíveis no lado do CPE, o link seria listado em um estado "Parcial UP", porque todos os domínios de criptografia possíveis são sempre criados no lado do DRG.
- Dependendo de quando um túnel foi criado, talvez você não possa editar um túnel existente para usar o roteamento baseado em política e precise substituir o túnel por um novo túnel IPSec.
- Os blocos CIDR usados na extremidade do DRG da Oracle do túnel não podem sobrepor os blocos CIDR usados na extremidade do CPE on-premises do túnel.
- Um domínio de criptografia deve sempre estar entre dois blocos CIDR da mesma versão de IP.
Se o Seu CPE Estiver Atrás de um Dispositivo NAT
Em geral, o identificador IKE de CPE configurado na extremidade local da conexão deve corresponder ao identificador IKE de CPE que o sistema Oracle está usando. Por padrão, o sistema Oracle usa o endereço IP público do CPE, que você fornece ao criar o objeto CPE na Console do sistema Oracle. No entanto, se um CPE estiver atrás de um dispositivo NAT, o identificador IKE do CPE configurado na extremidade local poderá ser o endereço IP privado do CPE, conforme mostrado no diagrama a seguir.
Algumas plataformas CPE não permitem que você altere o identificador IKE local. Se não puder alterar, altere o ID de IKE remoto na Console do sistema Oracle para corresponder ao ID de IKE local do CPE. Você pode fornecer o valor quando configurar a conexão IPSec ou posteriormente, editando a conexão IPSec. O sistema Oracle espera que o valor seja um endereço IP ou um nome de domínio totalmente qualificado (FQDN), como cpe.example.com. Para obter instruções, consulte Alterando o Identificador IKE do CPE Usado pelo Sistema Oracle.
Parâmetros IPSec Suportados
Para obter uma lista não dependente de fornecedor contendo parâmetros IPSec suportados para todas as regiões, consulte Parâmetros IPSec Suportados.
O ASN do BGP da Oracle para o realm do Cloud do setor governamental é 31898. Se você estiver configurando a VPN Site-to-Site para a Nuvem do Governo dos EUA, consulte Parâmetros Obrigatórios da VPN Site-to-Site para a Nuvem do Governo e também ASN de BGP da Oracle. Para o Cloud do Governo do Reino Unido, consulte Regiões.
Configuração do CPE (Baseada em Política)
As instruções de configuração nesta seção são fornecidas pelo Oracle Cloud Infrastructure para este CPE. Se você precisar de suporte ou ajuda adicional, entre em contato diretamente com o suporte do fornecedor do CPE.
A figura a seguir mostra o layout básico da conexão IPSec.
Sobre a Utilização do IKEv2
O sistema Oracle suporta o Internet Key Exchange versão 1 (IKEv1) e versão 2 (IKEv2). Se você configurar a conexão IPSec na Console para usar IKEv2, deverá configurar o CPE para usar somente IKEv2 e os parâmetros relacionados de criptografia IKEv2 suportados pelo CPE. Para obter uma lista de parâmetros que o Oracle suporta para IKEv1 ou IKEv2, consulte Parâmetros IPSec Suportados.
Para usar IKEv2, selecione IKEv2 somente para o método da criptografia em tarefa 4, ao configurar a criptografia.
Processo de Configuração
-
Instale o módulo VPN IPSec. Recomendamos que você também instale o módulo Monitoring para análise de tráfego.
- Selecione OK para salvar as alterações.
Esta tarefa trata das opções mais importantes usadas para um túnel IPSec com o Oracle Cloud Infrastructure.
-
Na página Gerenciamento de Rede, importe todas as interfaces. Você pode fazer isso selecionando Obter Interfaces, que contém opções para Obter Interfaces com Topology e Obter Interfaces sem Topologia, Este exemplo usa Obter Interfaces sem Topologia para que você possa definir o objetivo de cada interface como uma rede externa ou interna.
Todas essas interfaces são usadas no Domínio de VPN como sub-redes propagadas pelo Check Point CloudGuard Security Gateway no domínio da criptografia IPSec.
-
Na página Domínio de VPN, recomendamos que você selecione a opção Para Todos os Endereços IP por trás do Gateway, baseie-se em informações de Topologia. Esta opção adiciona todas as sub-redes descobertas no Gerenciamento de Rede ao Domínio de Criptografia IPSec.
Em vez disso, você pode selecionar a opção Definido manualmente. No entanto, essa opção requer um Objeto de Rede com todas as sub-redes a serem incluídas no domínio de criptografia IPSec.
-
Se Ponto de Verificação CloudGuard O Gateway de Segurança usar NAT 1:1 para mapear endereços IP privados para endereços IP públicos: Na página Seleção de Links, em Sempre use este endereço IP, selecione IP NATed Estático e especifique o endereço IP que deseja usar como ID IKE.
Se você não quiser usar um endereço IP público como o ID do IKE local, poderá usar outro valor (como um endereço IP privado), mas ele não corresponderá àquele esperado no DRG da Oracle. Para resolver isso, você pode alterar o valor que o Oracle usa na Console do Oracle (consulte as instruções a seguir).
Para alterar o identificador IKE do CPE usado pelo sistema Oracle (Console do Sistema Oracle)- Abra o menu de navegação e selecione Rede. Em Conectividade do cliente, selecione VPN Site a Site.
É exibida uma lista das conexões IPSec no compartimento que você está acessando. Se você não vir a política que está procurando, verifique se está exibindo o compartimento correto. Para exibir políticas anexadas a outro compartimento, em Escopo da lista, selecione esse compartimento na lista.
-
Para a conexão IPSec desejada, selecione o menu Ações
e, em seguida, selecione Editar.O identificador IKE do CPE atual que o sistema Oracle está usando é exibido na parte inferior da caixa de diálogo.
- Digite novos valores para Tipo de Identificador IKE do CPE e Identificador IKE do CPE e, em seguida, selecione Salvar Alterações.
- Abra o menu de navegação e selecione Rede. Em Conectividade do cliente, selecione VPN Site a Site.
- Selecione OK para salvar as alterações.
Posteriormente, você criará uma Comunidade de VPN. Para poder, crie um Dispositivo Interoperável que seja usado no Check Point CloudGuard Security Gateway para definir o Oracle DRG.
-
Crie o novo dispositivo interoperável.
-
Na página Propriedades Gerais do novo dispositivo interoperável, adicione um nome para identificar o túnel IPSec. Informe o endereço IP que o sistema Oracle designou para a extremidade Oracle do túnel ao criar a conexão IPSec.
-
Na página Topologia, recomendamos que você crie uma nova toplogia selecionando Novo e adicionando as sub-redes da Oracle VCN a serem usadas para o túnel.
Em vez disso, você pode selecionar a opção Definido manualmente. No entanto, essa opção requer um Objeto de Rede com todas as sub-redes a serem incluídas no Domínio de Criptografia IPSec.
-
Na página VPN IPSec, opcionalmente, você pode adicionar um novo dispositivo interoperável a uma Comunidade de VPN existente. Você poderá ignorar esta etapa se ainda não tiver Comunidades VPNs.
Observe que você ignora a configuração de modo Tradicional, porque define todos os parâmetros da Fase 1 e da Fase 2 na Comunidade de VPN em uma etapa posterior. A Comunidade VPN aplica esses parâmetros a todos os dispositivos interoperáveis que pertencem à Comunidade VPN.
-
Na página Seleção de Link, em Sempre usar este endereço IP, selecione o Endereço principal, ou seja, o endereço especificado por você ao criar o dispositivo interoperável. Pode ou não ser necessário usar um endereço IP específico como o ID IKE.
-
Na página VPN Avançada, selecione Usar as definições da comunidade, que aplica todos os valores e opções à Comunidade de VPN, incluindo os parâmetros da Fase 1 e da Fase 2.
- Selecione OK para salvar as alterações.
- Vá para Políticas de Segurança. Em seguida, em Ferramentas de Acesso, selecione Comunidades VPN.
-
Crie uma Comunidade Estrela.
-
Para a comunidade estrela, adicione um nome.
-
Na página Gateways, selecione os valores para Gateways Centrais e Gateways Satélites. Esta comunidade estrela atua como um modelo de definições para os dispositivos interoperáveis que você especifica nos Gateways Centrais e nos Gateways Satélites.
- Gateways Centrais: para o Check Point CloudGuard Security Gateway.
- Gateways Satélites: para o CPE que estabelece conexão com o Oracle DRG de cada túnel IPSec.
-
Se este for um cenário de prova de conceito (POC): Na página Tráfego Criptografado, selecione Aceitar todo o tráfego criptografado. O valor padrão desta definição permite o tráfego entre gateways centrais e gateways satélites. Essa definição é apropriada para um cenário POC. No entanto, para um cenário da produção, Recomendamos que você crie políticas específicas de segurança no Controle de Acesso e na guia Política. Isso é abordado na tarefa final desse processo.
-
Na página Criptografia, configure os parâmetros da Fase 1 e da Fase 2 que o sistema Oracle suporta. Para obter uma lista desses valores, consulte Parâmetros IPSec Suportados.
Se você estiver configurando a VPN Site a Site para a Nuvem do Governo, consulte Parâmetros Obrigatórios da VPN Site a Site para a Nuvem do Governo.
Observe que para usar IKEv2, para o Método de Criptografia, selecione IKEv2 somente.
-
Na página Gerenciamento de Túnel, selecione Definir Túneis Permanentes. Recomendamos:
- Selecione Em todos os túneis da comunidade para manter todos os túneis Oracle IPSec atualizados ao mesmo tempo.
- Na seção Compartilhamento de Túnel de VPN, selecione Um túnel de VPN por Gateway.
Essa opção gera apenas um par de associações de segurança (SAs) IPSec, e cada SA tem apenas um índice de parâmetro de segurança (SPI) (unidirecional).
Quando você usa túneis baseados em política, cada entrada de política gera um par de ASs IPSec (também conhecido como domínio de criptografia).
Importante
O headend da Oracle VPN pode oferecer suporte a vários domínios da criptografia, dentro de limitações. Consulte Domínios de criptografia para túneis baseados em política para obter detalhes completos.O sistema Oracle cria uma conexão IPSec baseada em rota. Isso significa que tudo é roteado por meio de um domínio de criptografia que tem 0.0.0.0/0 (qualquer um) para tráfego local e 0.0.0.0/0 (qualquer) para tráfego remoto. Para obter mais informações, consulte Domínio de Criptografia ou ID de Proxy Suportado.
-
Na página Segredo Compartilhado, selecione Usar somente Segredo Compartilhado para todos os membros externos e adicione o segredo compartilhado que o sistema Oracle gerou para o túnel ao criar a conexão IPSec.
O sistema Oracle suporta apenas chaves secretas compartilhadas. Observe que você pode alterar o segredo compartilhado na Console do Oracle.
- Selecione OK para salvar as alterações.
Se esta for uma prova de cenário de conceito (POC), lembre-se de que antes você selecionou Aceitar todo tráfego criptografado na página Tráfego Criptografado. Se esse for um cenário de produção, é recomendável criar políticas de segurança.
- Em Políticas de Segurança, selecione Controle de Acesso e, em seguida, selecione a guia Política.
-
Configure os valores necessários.
- Selecione OK para salvar as alterações.
-
Selecione Instalar Política para aplicar a configuração.
O túnel IPSec agora deve estar ativo.
Verificação
Use as opções 2 e 4 no comando a seguir para verificar associações de segurança (SAs).
vpn tunnelutil
********** Select Option **********
(1) List all IKE SAs
(2) * List all IPsec SAs
(3) List all IKE SAs for a given peer (GW) or user (Client)
(4) * List all IPsec SAs for a given peer (GW) or user (Client)
(5) Delete all IPsec SAs for a given peer (GW)
(6) Delete all IPsec SAs for a given User (Client)
(7) Delete all IPsec+IKE SAs for a given peer (GW)
(8) Delete all IPsec+IKE SAs for a given User (Client)
(9) Delete all IPsec SAs for ALL peers and users
(0) Delete all IPsec+IKE SAs for ALL peers and users
* To list data for a specific CoreXL instance, append "-i <instance number>" to your selection.
(Q) Quit
*******************************************O serviço Monitoring também está disponível no Oracle Cloud Infrastructure para monitorar de forma ativa e passiva os recursos de nuvem. Para obter informações sobre o monitoramento de uma VPN Site a Site, consulte Métricas da VPN Site a Site.
Se você tiver problemas, consulte Diagnóstico e Solução de Problemas da VPN Site a Site.