最佳实践产品文档

Size: px

Start display at page:

Download "最佳实践产品文档"

墩侍孙
4 years ago
Views:

1 私有网络最佳实践产品文档

2 版权声明腾讯云版权所有本文档著作权归腾讯云单独所有, 未经腾讯云事先书面许可, 任何主体不得以任何形式复制修改抄袭传播全部或部分本文档内容商标声明及其它腾讯云服务相关的商标均为腾讯云计算 ( 北京 ) 有限责任公司及其关联公司所有本文档涉及的第三方主体的商标, 依法由权利人所有服务声明本文档意在向客户介绍腾讯云全部或部分产品服务的当时的整体概况, 部分产品服务的内容可能有所调整您所购买的腾讯云产品服务的种类服务标准等应由您与腾讯云之间的商业合同约定, 除非双方另有约定, 否则, 腾讯云对本文档内容不做任何明示或模式的承诺或保证第 2 页共 15 页

3 文档目录文档声明... 2 使用 Ipsec-tools 搭建对端 VPN 网关连接 VPC... 4 VPC 内无外网 IP 主机通过公网网关访问外网的优化配置第 3 页共 15 页

使用 Ipsec-tools 搭建对端 VPN 网关连接 VPC 腾讯云私有网络 VPC 可以通过加密的 VPN 通道连接客户 IDC, 只需在 VPC 及用户 IDC 中设置 VPN 网关及对端网关即可客户如果暂时不打算使用 cisco juniper 或 H3C 等厂家的硬件 vpn 设备, 也可以使用开源软件在服务器上搭建对端网关本文以在 CentOS 上安装 ipsectools

4 使用 Ipsec-tools 搭建对端 VPN 网关连接 VPC 腾讯云私有网络 VPC 可以通过加密的 VPN 通道连接客户 IDC, 只需在 VPC 及用户 IDC 中设置 VPN 网关及对端网关即可客户如果暂时不打算使用 cisco juniper 或 H3C 等厂家的硬件 vpn 设备, 也可以使用开源软件在服务器上搭建对端网关本文以在 CentOS 上安装 ipsectools 为例, 介绍如何通过开源软件连接腾讯云 VPC, 建立混合云场景 1. 环境说明如上图所示, 左边是您在腾讯云上建立的私有网络为了将 VPC 与右边的客户 IDC 互通, 可以利用公网在两者之间建立加密 Ipsec VPN 通道, 保障传输数据的安全可靠首先您需要在腾讯云上建立您的私有网络, 并根据您的需求规划子网购买 VPN 网关, 并设置好到需要互通的 I DC 网络的 VP C 路由 ( 注意路由设置中下一跳请选择您购买的 VPN 网关 ) 具体操作步骤请见创建私有网络及子网向私有网络中添加云服务关联子网路由修改默认路由表和创建 VPN 网关, 将上图左边部分创建设置完成若您需要在 IDC 内使用 VPN 硬件设备搭建对端 VPN 网关, 可使用的设备列表请见这里若您暂时不打算使用任何硬件厂家 VPN 设备, 您也可按照本文档下面部分的操作方式, 在位于 IDC 机房的一端使用 Ipsec-tools 开源工具搭建 VPN 网关 2. 安装 Ipsec-tools 系统环境要求, 以 CentOS 6.4 为例 : Linux version el6.x86_64 (mockbuild@c6b8.bsys.dev.centos.org) (gcc version 第 4 页共 15 页

(Red Hat 4.4.7-4) (GCC) ) #1 SMP Thu Jul 31 17:20:51 UTC 2014 根据系统平台不同选择使用 ipsec-tools-0.8.0-25.3.x86_64.rpm 包或者 ipsectools-0.8.0-25.3.i686.rpm 包, 可以由下面的链接进入下载 : ftp://ftp.pbone.net/mirror/ftp5.gwdg.

5 (Red Hat ) (GCC) ) #1 SMP Thu Jul 31 17:20:51 UTC 2014 根据系统平台不同选择使用 ipsec-tools x86_64.rpm 包或者 ipsectools i686.rpm 包, 可以由下面的链接进入下载 : ftp://ftp.pbone.net/mirror/ftp5.gwdg.de/pub/opensuse/repositories/home:/aevseev/centos_centos -6/x86_64/ipsec-tools x86_64.rpm ftp://ftp.pbone.net/mirror/ftp5.gwdg.de/pub/opensuse/repositories/home:/aevseev/centos_centos -6/i686/ipsec-tools i686.rpm 下载完成后, 使用以下命令进行安装 : rpm -ivh ipsec-tools x86_64.rpm 或 rpm -ivh ipsec-tools i686.rpm 安装结束后, 使用以下命令检查安装结果 : racoon V 第 5 页共 15 页

6 3. 配置 Ipsec-tools 需要配置的文件包括 : IPSec 策略配置文件 :/etc/racoon/setkey.conf 密钥配置文件 :/etc/racoon/psk.txt IKE 配置文件 :/etc/racoon/racoon.conf 3.1. 配置 Ipsec 策略使用以下命令打开配置文件 : vi /etc/racoon/setkey.conf 设置如下信息 : 假设您 VPC 的 CIDR 为 /24,VPC 上 VPN 网关的 IP 地址为 112.*.*.251 您 IDC 的 CIDR 为 /24, 本地 VPN 设备的 IP 地址为 112.*.*.152, 则配置如下 : 3.2. 配置密钥使用以下命令打开配置文件 : vi /etc/racoon/psk.txt 仍然假设您 VPC 上 VPN 网关的 IP 地址为 112.*.*.251, 预共享密钥为 test, 则 psk.txt 配置内容如下 : 第 6 页共 15 页

7 并执行以下命令 : chmod 600 psk.txt chown root psk.txt 3.3. 配置 IKE 使用以下命令打开配置文件 : vi /etc/racoon/racoon.conf 仍然假设您 VPC 上 VPN 网关的 IP 地址为 112.*.*.251, 您本地 VPN 设备的 IP 地址为 112.*.*.152, 则 racoon.conf 配置内容如下 : 第 7 页共 15 页

8 4. 启动 Ipsec-tools 执行以下命令启动 Ipsec-tools: echo 1 > /proc/sys/net/ipv4/ip_forward /usr/sbin/setkey -f /etc/racoon/setkey.conf /usr/sbin/racoon -f /etc/racoon/racoon.conf 为保障设备重启后 ipsec 服务自动开启, 同时需要将这三条命令写入 /etc/rc.local 文件中 5. 检查通道状态通过以下命令查看是否完成通道 sa 的协商 : 第 8 页共 15 页

9 setkey -D 在您的 IDC 网络中需要将目的 IP 为 VPC 的 CIDR 的报文路由到您的对端 VPN 网关, 即前面介绍的配置 Ipsectools 的机器在 IDC 中的机器上 ping 您在 VPC 里的子机 IP, 检测通信是否顺利建立 6. 其他问题若经过设置后 VPC 与 IDC 无法进行加密通信, 请按照以下步骤检查 : 1) 检测 VPC 网关 IP 是否可达 Ping 您在腾讯云上购买的 VPN 网关公网 IP 地址是否可达 2) 是否缺少路由通过以下命令检查是否有到 VPC 网段的路由或默认路由 route n 第 9 页共 15 页

10 3) 是否存在防火墙过滤规则通过以下命令检查是否有防火墙将 IKE 或内网通信报文过滤掉 iptables -nvl 4) 检查防火墙 NAT 规则是否有将内网通信报文进行 NAT 导致命中不了 Ipsec 策略 iptables -t nat -nvl 第 10 页共 15 页

11 VPC 内无外网 IP 主机通过公网网关访问外网的优化配置 1. 环境说明客户在腾讯云 VPC 中的部分主机没有外网 IP 但需要访问外网时, 可以通过购买公网网关主机作为其它没有外网 I P 的主机访问 Internet 的外网出口公网网关主机将对出网流量进行源地址转换, 所有其他主机访问外网的流量经过公网网关后, 源 IP 都被转换为公网网关主机的 IP 地址, 如下图 : 普通 CVM 没有外网 IP, 但是可以借助公网网关访问 Internet 要完成上述架构, 需要经过后文所述的几个步骤 2. 架构搭建 2.1. 创建网关子网由于公网网关只能转发非所在子网的路由转发请求, 因此公网网关主机不能和需要借助公网网关访问外网的 CV M 处于同一个子网下, 所以需要先建立一个独立的网关子网第 11 页共 15 页

12 2.2. 购买公网网关在刚刚创建好的网关子网下购买公网网关, 详细步骤请见购买私有网络的公网网关 2.3. 创建网关子网路由表网关子网和普通子网不能关联同一张路由表, 需要新建一张独立的网关路由表, 且网关子网关联该路由表第 12 页共 15 页

13 2.4. 配置普通子网路由表配置普通子网的路由表, 配置默认路由走公网网关主机, 使得普通子网内主机能通过公网网关的路由转发能力访问外网 3. 配置优化公网网关主机会默认配置 iptables 的 nat 规则, 以及打开 kernel 的 ip_forward, 基本的公网网关功能已经完全具备建议经过下述配置, 以达到更好的性能 1) 通过以下命令将 net.ipv4.ip_forward 配置写到 /etc/sysctl.conf 文件中 echo "net.ipv4.ip_forward = 1" >> /etc/sysctl.conf 2) 通过以下命令将 nf_conntrack 配置参数调大第 13 页共 15 页

14 echo "echo > /proc/sys/net/netfilter/nf_conntrack_max" >> /etc/rc.local echo "echo > /sys/module/nf_conntrack/parameters/hashsize" >> /etc/rc.local 3) 设置转发的 nat 规则 echo "iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE" >> /etc/rc.local 4) 关闭时间戳选项 echo "iptables -t mangle -A POSTROUTING -p tcp -j TCPOPTSTRIP --stripoptions timestamp" >> /etc/rc.local 5) 设置公网网关的 rps 在 /usr/local/sbin/ 目录下新建脚本 set_rps.sh, 将以下代码写入脚本中 : #!/bin/bash mask=0 i=0 cpu_nums=`cat /proc/cpuinfo grep processor wc -l` if(($cpu_nums==0));then exit 0 fi nic_queues=`cat /proc/interrupts grep -i virtio0-input wc -l` if(($nic_queues==0));then exit 0 fi echo "cpu number" $cpu_nums "nic queues" $nic_queues 第 14 页共 15 页

15 Powered by TCPDF ( mask=$(echo "obase=16;2^$cpu_nums - 1" bc) flow_entries=$(echo "$nic_queues * 4096" bc) echo "mask = "$mask echo "flow_entries = "$flow_entries #for i in {0..$nic_queues} while (($i < $nic_queues)) do echo $mask > /sys/class/net/eth0/queues/rx-$i/rps_cpus echo 4096 > /sys/class/net/eth0/queues/rx-$i/rps_flow_cnt i=$(($i+1)) done echo $flow_entries > /proc/sys/net/core/rps_sock_flow_entries 新建完成后执行以下命令 : chmod +x /usr/local/sbin/set_rps.sh echo "/usr/local/sbin/set_rps.sh" >> /etc/rc.local 完成上述配置后, 重启公网网关主机以使配置生效, 并在无外网 IP 的子机上测试是否能够成功访问外网第 15 页共 15 页

Get Started产品文档

Get Started产品文档腾讯云 CDB for MySQL Get Started 产品文档版权声明 2015-2016 腾讯云版权所有本文档著作权归腾讯云单独所有, 未经腾讯云事先书面许可, 任何主体不得以任何形式复制修改抄袭传播全部或部分本文档内容商标声明及其它腾讯云服务相关的商标均为腾讯云计算 ( 北京 ) 有限责任公司及其关联公司所有本文档涉及的第三方主体的商标, 依法由权利人所有服务声明本文档意在向客户介绍腾讯云全部或部分产品