Rubriques Connexes

# Interface Virtuelle BOVPN de Routage Dynamique vers Amazon Web Services (AWS)

Dans Fireware v11.12.2 et les versions ultérieures, vous pouvez configurer une interface virtuelle BOVPN pour connecter votre Firebox à un réseau virtuel Amazon Web Services (AWS). Amazon appelle ce réseau virtuel un Virtual Private Cloud (VPC).

Cet exemple résume les paramètres de configuration pour un routage dynamique entre une interface virtuelle BOVPN Firebox et un VPC AWS. AWS prend en charge le protocole de routage dynamique BGP. OSPF n'est pas pris en charge.

Pour des instructions générales détaillées expliquant comment configurer une interface virtuelle, voir Configurer une Interface Virtuelle BOVPN.

Pour obtenir les clés pré-partagées et les adresses IP AWS afin d'achever la configuration de votre Firebox, vous devez télécharger un fichier de configuration depuis votre console VPC AWS. Sélectionnez Connexions VPN > Télécharger la Configuration et sélectionnez le fournisseur Générique.
Pour plus d'informations sur la manière de configurer les paramètres VPN d'AWS, consultez le Guide d'Utilisation du Virtual Private Cloud d'Amazon.

## Exemple de Configuration

### Interfaces Firebox

Pour cet exemple, le Firebox possède une interface externe et un réseau approuvé.

Interface | Type | Nom | Adresse IP
--- | --- | --- | ---
0 | Externe | Externe | 203.0.113.2/24
1 | Approuvé | Approuvé | 10.0.1.1/24

### Interfaces AWS

Pour cet exemple, la configuration du VPN AWS possède deux interfaces virtuelles externes et un réseau approuvé.

Une configuration VPN AWS comprend une passerelle privée virtuelle avec deux adresses IP externes pour la redondance. AWS détermine automatiquement quelle adresse IP est l'adresse IP principale.

Le basculement entre les adresses IP externes est activé par défaut. Si l'adresse IP externe d'AWS n'est pas disponible, le trafic VPN bascule automatiquement sur l'autre adresse IP d'AWS externe.

Interface | Type | Nom | Adresse IP
--- | --- | --- | ---
0 | Externe | Externe1 | 198.51.100.2/24
1 | Externe | Externe2 | 192.0.2.2/24
2 | Approuvé | Approuvé | 10.0.100.1/24

### Configuration du Firebox

Pour configurer une passerelle redondante qui utilise les deux adresses IP externes d'AWS, vous devez configurer deux interfaces virtuelles BOVPN.

Sur l'onglet Paramètres de passerelle pour la première interface virtuelle (pour cet exemple, toAWS-1) :

- Le Type de Points de Terminaison Distant est VPN en Nuage ou Passerelle Tierce
- La Méthode d'Informations d'Identification est Utiliser une Clé Pré-partagée. Spécifiez la clé pré-partagée incluse dans le fichier de configuration VPN AWS pour IPSec Tunnel #1.
- Les paramètres desPoints de Terminaison de Passerelle sont :

- ID de Passerelle Locale — 203.0.113.2 (interface externe du Firebox)
- Adresse IP et ID de la Passerelle Distante — 198.51.100.2 (première adresse IP de la passerelle virtuelle privée d'AWS)

Pour la seconde interface virtuelle (pour cet exemple, toAWS-2):

- Le Type de Points de Terminaison Distant est VPN en Nuage ou Passerelle Tierce
- La Méthode d'Informations d'Identification est Utiliser une Clé Pré-partagée.
  Spécifiez la clé pré-partagée incluse dans le fichier de configuration VPN AWS pour IPSec Tunnel #2.
- Les paramètres des Points de Terminaison de Passerelle sont :
  - Identifiant de Passerelle Locale — 203.0.113.2 (interface externe du Firebox)
  - Adresse IP et ID de la Passerelle Distante — 192.0.2.2 (seconde adresse IP de la passerelle virtuelle privée d'AWS)

Sur l'onglet Routes VPN, spécifiez les adresses IP virtuelles incluses dans le fichier de configuration VPN AWS. Le masque réseau attribué par AWS est toujours /30 (255.255.255.252).

Pour la première interface virtuelle (toAWS-1) :

- Attribuer des adresses IP d'interface virtuelle — Sélectionné
- Adresse IP locale — 169.254.11.254
  Dans le fichier de configuration VPN AWS de la section Tunnel IPSec #1 , il s'agit de l'adresse IP de la Passerelle Client Intérieure.
- Adresse IP ou masque de réseau de pair — 255.255.255.252
  Dans le fichier de configuration VPN AWS de la section Tunnel IPSec #1, il s'agit du masque de réseau de la Passerelle Client Intérieure.

Pour la seconde interface virtuelle (toAWS-2) :

- Attribuer des adresses IP d'interface virtuelle — Sélectionné
- Adresse IP locale — 169.254.9.162
  Dans le fichier de configuration VPN AWS de la section Tunnel IPSec #2 , il s'agit de l'adresse IP de la Passerelle Client Intérieure.
- Adresse IP ou masque de réseau de pair — 255.255.255.252
  Dans le fichier de configuration VPN AWS de la section Tunnel IPSec #2 , il s'agit du masque de réseau de la Passerelle Client Intérieure.

Durant les négociations VPN, AWS identifie les paramètres de l'algorithme d'authentification et de chiffrement du Firebox et les utilisent automatiquement s'ils sont pris en charge. AWS prend en charge des propositions spécifiques. Vous ne pouvez pas modifier la liste des propositions disponibles dans AWS.

Sur l'onglet Paramètres de Phase 1 pour les deux interfaces virtuelles, nous recommandons ces paramètres pour un niveau de sécurité supérieur :

- Authentification — SHA2-256
- Chiffrement — AES (256 bit)
- Groupe Diffie-Hellman Groupe — 14

Dans Fireware v12.0 et les versions ultérieures, le paramètre Diffie-Hellman par défaut est le Groupe 14. Dans Fireware v11.12.4 et les versions antérieures, le paramètre Diffie-Hellman par défaut est le Groupe 2. AWS prend en charge les deux groupes.

Laissez les autres paramètres de Phase 1 à leur valeur par défaut. Ne modifiez pas le paramètre de la Version par défaut sur IKEv1. AWS ne prend pas en charge IKEv2.

Pour un niveau de sécurité supérieur, nous recommandons la transformation par défaut ESP-AES256-SHA256 dans les paramètres de Phase 2.

Fireware v11.12.4 ou les versions antérieures ont des paramètres de Phase 2 par défaut différents. Si votre Firebox a Fireware v11.12.4 ou une version antérieure, nous vous recommandons d'ajouter une nouvelle proposition de Phase 2 qui spécifie ESP, AES (256 bit) pour le chiffrement, et SHA2-256 pour l'authentification. Pour plus d'informations, consultez Ajouter une Proposition de Phase 2.

Sur l'onglet Paramètres de Phase 2 pour les deux interfaces virtuelles :

- Activer Perfect Forward Secrecy — Sélectionné
- Diffie-Helman — Groupe 14
- Proposition IPSec de Phase 2 — ESP-AES256-SHA256

Dans Fireware v12.0 et les versions ultérieures, le paramètre Diffie-Hellman par défaut est le Groupe 14. Dans Fireware v11.12.4 et les versions antérieures, le paramètre Diffie-Hellman par défaut est le Groupe 2. AWS prend en charge les deux groupes.

L'ASN BGP AWS et l'adresse IP virtuelle (l'adresse du pair BGP) sont définies par AWS et ne peuvent pas être modifiées. La configuration du routage dynamique du BGP Firebox a ces commandes pour l'adresse IP dans cet exemple :

    router bgp 10001

    !

    ! to AWS VPC 1st ext-if

    !

    neighbor 169.254.11.253 remote-as 7224

    neighbor 169.254.11.253 activate

    neighbor 169.254.11.253 timers 10 30

    !

    ! to AWS VPC 2nd ext-if

    !

    neighbor 169.254.9.161 remote-as 7224

    neighbor 169.254.9.161 activate

    neighbor 169.254.9.161 timers 10 30

    !

    ! Pour publier des préfixes supplémentaires sur Amazon VPC, copiez la commande 'réseau'

    ! et identifiez le préfixe que vous voulez publier. Assurez-vous que le préfixe est présent

    ! dans la table de routage du périphérique avec un saut suivant valide.

    !

    network 10.0.1.0/24

Si vous configurez plusieurs réseaux approuvés sur votre Firebox, et que vous souhaitez qu'AWS apprenne la route d'un réseau approuvé supplémentaire, utilisez une commande réseau supplémentaire. Par exemple :

network 10.0.1.0/24

réseau 10.15.2.0/24

### Configuration AWS

Dans votre fichier de configuration VPN AWS, les paramètres sont :

Tunnel IPSec #1 :

- Adresses IP extérieures :
  - Passerelle Client — 203.0.113.2 (interface externe sur le Firebox)
  - Passerelle Virtuelle Privée — 198.51.100.2 (première adresse IP de la passerelle virtuelle privée AWS)
- Adresses IP Intérieures :
  - Passerelle Client — 169.254.11.254/30 (adresse IP de la première interface virtuelle sur le Firebox)
  - Passerelle Virtuelle Privée — 169.254.11.253 (adresse IP de la première interface virtuelle du VPN AWS)
- BGP :
  - Adresse IP Voisine — 169.254.11.254
  - ASN Passerelle Client — 10001 (l'ASN BGP ASN du Firebox)

Tunnel IPSec #2 :

- Adresses IP extérieures :
  - Passerelle Client — 203.0.113.2 (interface externe sur le Firebox)
  - Passerelle Virtuelle Privée — 192.0.2.2 (seconde adresse IP de la passerelle virtuelle privée AWS)
- Adresses IP intérieures :
  - Passerelle Client — 169.254.9.162/30 (adresse IP de la seconde interface virtuelle sur le Firebox)
  - Passerelle Virtuelle Privée — 169.254.9.161 (adresse IP pour la seconde interface virtuelle du VPN AWS)
- BGP
  - Adresse IP Voisine — 169.254.9.162
  - ASN Passerelle Client — 10001 (l'ASN BGP ASN du Firebox)

Pour plus d'informations sur la manière de configurer votre VPC AWS, consultez le Guide d'Utilisation du Virtual Private Cloud d'Amazon.

Envoyer Vos Commentaires • Obtenir de l'Aide • Documentation Complète des Produits • Recherche Technique